隐私政策

第1条 处理目的

Donup 在必要范围内处理信息，以通过 Apple 或 Google 验证会员身份、创建个人财务记录并在设备之间同步、管理预算、定期支出和支付方式、提供 AI 辅助记账及 DonWorry AI 财务助手，以及验证 Donup Pro 使用权限。

如果上述目的发生变化，Donup 将通过应用内通知或更新后的隐私政策予以告知。

第2条 处理的信息

账户及登录信息：Supabase 用户 ID、登录提供商（Apple 或 Google）、该提供商的唯一主体标识符、电子邮箱地址、姓名及提供商允许提供的其他账户信息、已关联的登录方式，以及用于防止重复迁移同一 CloudKit 来源的哈希标识符。

用户直接输入的信息：收入和支出记录、金额、货币及汇率信息、日期、分类、支付方式、备注、定期支出、预算、资产和负债、设置及显示偏好。

用户自愿附加的信息：收据或交易照片、拍摄的图像、文档、电子表格，以及附件分析请求中包含的信息。

DonWorry 对话记录：问题、附件名称和格式、回复摘要、回复区块、图表数据、相关问题及创建时间。

支付消息候选记录：用户通过应用或自动化提供的原始文本、发送方、商户、金额、交易时间及保存状态。

购买权益信息：App Store 或 Google Play 产品 ID、购买类型、状态、环境和时间戳；交易、原始交易、订单及账户关联标识符；验证数据的哈希值；以及服务器重新验证所需的加密 Google Play 购买令牌。

设备及使用信息：应用版本、OS 版本、同步设备 ID、IP 地址、请求及响应的时间和状态、错误信息、数据修改时间，以及用于 AI 请求次数限制的随机标识符或哈希标识符及请求状态。

Donup 不收集支付卡号、金融账户登录凭据、广告标识符、位置数据、通讯录、健康信息、韩国居民登记号码或其他由政府签发的唯一身份标识符。

第3条 保存及使用期限

同步至 Supabase 的个人财务数据、偏好设置、支付消息候选记录、DonWorry 对话及附件，可能会保存至用户删除相应项目或 Donup 账户时。删除项目时，其内容会被移除，但为使其他设备接收到该删除操作，可能会保留最少必要的标识信息及删除时间戳作为同步删除标记，直至账户删除。

已删除的个人财务记录及其图像的可恢复副本，最多保存 30 天或最近 200 条记录，以先达到的限制为准。如果用户清空恢复记录或删除账户，这些副本将提前移除。

现有 CloudKit 数据可能会被复制至已登录 Donup 账户的 Supabase 数据库和私有文件存储。迁移后，原有的 iCloud CloudKit 副本可能不会自动删除，可能需要通过 iCloud 存储管理另行移除。

Donup 账户删除完成后，Supabase Auth 会员数据、同步数据、附件，以及 Donup 持有的购买权益验证数据会从正在运行的系统中删除。用户设备上的本地副本或导出文件、Apple 或 Google 持有的原始购买记录，以及迁移后遗留的 CloudKit 副本，必须另行删除。安全备份或灾难恢复备份中残留的副本将与常规服务隔离，并根据备份轮换周期销毁。

发送至 OpenAI API 的 AI 请求及响应，在默认设置下可能会作为滥用监控日志保存最多 30 天。Cerebras 声明，在提供响应后不会保留 AI 推理输入和输出，但为提供服务所必需的服务运行日志可能会在必要期间内进行处理。

DonWorry 对话记录可通过应用内的对话历史删除功能删除，也可通过删除 Donup 账户一并删除。

第4条 向第三方披露

除经用户同意或法律要求或允许的情况外，Donup 不会向第三方出售或披露个人信息。

外部提供商按照 Donup 的指示处理信息以提供服务时，该处理将在下文的“服务提供商”和“信息跨境传输”中披露。用户直接使用 Apple 或 Google 账户及商店时，也适用相应的条款和隐私政策。

第5条 服务提供商

Supabase, Inc.：会员身份验证、按用户隔离的数据库及私有文件存储、多设备同步、账户删除、购买权益验证与关联、AI 请求路由及请求次数限制处理。

OpenAI OpCo, LLC：应用户请求分析文本、图像、文档和电子表格，以及生成个人财务记录草稿和 DonWorry 回复。

Cerebras Systems Inc.：应用户请求分析文本和图像，以及生成个人财务记录或资产草稿。

Apple Inc.：通过“使用 Apple 登录”进行身份验证、App Store 付款、恢复购买及交易验证、现有 iCloud CloudKit 数据迁移，以及语音识别、相机访问和照片选择等操作系统功能。

Google LLC：Google 登录身份验证，以及 Google Play 付款、恢复购买和交易验证。

第6条 信息跨境传输

Supabase, Inc.（[email protected]）：账户及登录信息、个人财务数据、偏好设置、DonWorry 对话、附件、购买权益信息及技术信息会传输至新加坡。用户创建账户、登录、同步、上传附件或请求服务器功能时，信息会通过加密网络传输。这些信息将用于身份验证、数据库、私有存储、同步及服务器功能，并持续处理至用户删除相应项目或账户时。

OpenAI OpCo, LLC（[email protected]）：获得授权后，当用户运行 AI 功能，或已启用的自动建议功能请求分析时，输入的文本、选择或拍摄的图像、文档或电子表格、问题、必要的结构化个人财务上下文、参考时间、时区及候选分类会经加密传输至美国。这些信息将用于生成分析结果以及处理错误或滥用行为，在默认设置下可能会保存最多 30 天。

Cerebras Systems Inc.（[email protected]）：用户运行相应的 AI 分析功能时，输入的文本或图像、候选分类或资产、参考时间及时区会经加密传输至美国。这些信息将用于生成分析结果。Cerebras 声明，在提供响应后不会保留推理输入和输出。

Apple Inc. 和 Google LLC：用户调用各自的登录、付款或恢复购买功能时，账户标识符、用户允许提供的电子邮箱地址或姓名、身份验证信息及购买验证信息可能会经加密传输至美国及各提供商开展业务的其他国家。各提供商根据自身的保存政策，为其功能及履行法律义务而处理这些信息。

向 Supabase 传输信息是提供 Donup 账户及同步服务所必需的。用户可通过不创建账户或请求删除账户来拒绝传输，但届时将无法使用 Donup 基于账户的功能。用户可通过不使用可选的 AI 功能来拒绝向 OpenAI 或 Cerebras 传输信息，并可继续手动输入数据。用户可通过选择其他登录方式，或不使用相关登录或付款功能，来拒绝向 Apple 或 Google 传输信息，但届时将无法使用相关身份验证、付款或旧版 CloudKit 数据迁移功能。

第7条 基于账户的同步及 CloudKit 迁移

数据按已登录 Donup 账户的 Supabase 用户 ID 进行隔离，行级访问策略将读取范围限制为已通过身份验证的用户自己的数据。

登录同一 Donup 账户的设备使用行级变更历史及修订版本，同步创建、更新和删除操作。变更发生冲突时，可能会依据服务器最新确认的变更进行协调。

附加的图像存储在每位用户的私有路径下，其他 Donup 账户无法访问。

首次迁移时，现有 CloudKit 数据会被读取并复制至已登录的 Donup 账户。iCloud 用户记录名称会在应用及容器范围内进行哈希处理，仅用于防止同一来源被迁移至多个 Donup 账户；原始值不会发送至 Donup 服务器。迁移后，CloudKit 不再用作 Donup 持续同步的服务器端原始数据来源。

如果通过账户设置，将 Apple 和 Google 登录方式手动关联至同一个 Donup 账户，即可在支持的平台上使用同一份数据及经验证的购买权益。未关联而分别登录，可能会创建独立的账户和独立的数据。

第8条 您的权利及法定监护人的权利

用户可通过应用提供的功能访问、更正、删除及导出自己的个人财务数据，并可在账户设置中删除 Donup 账户及与服务器关联的数据。

删除 Donup 账户会移除 Supabase 会员信息及 Donup 服务器数据，但不会删除用户的 Apple 或 Google 账户。迁移后遗留的 CloudKit 副本及各设备上的本地副本可能需要另行移除。

删除账户不会取消 App Store 或 Google Play 订阅、删除商店的原始购买记录或发起退款。订阅、购买及退款必须在原购买商店中另行管理。

用户也可通过联系邮箱提交访问、更正、删除个人信息或限制其处理的请求。

第9条 个人信息的销毁

个人信息的处理目的已实现或保存期限已届满时，将及时予以销毁，不作不当延迟。收到删除账户的请求后，会依次删除服务器上的私有附件、按用户存储的数据库行及 Auth 会员数据；若任何必要阶段失败，Donup 不会报告删除已完成。

电子文件及数据库记录将以难以恢复的方式删除。任何纸质文档均会被粉碎或焚毁。仅含标识符和删除时间的同步删除标记，将随账户删除一并移除。

删除应用仅会移除该设备上的本地副本，不会删除 Supabase 账户数据。用户必须使用应用内的账户删除功能，才能删除全部服务器数据。

第10条 安全措施

Donup 通过应用沙盒、本地 SwiftData、Supabase Auth、按用户实施的行级访问策略、私有 Storage 路径，以及仅在服务器端运行的购买验证函数，限制数据访问范围。

在合理可行的情况下，AI 分析请求及网络通信均使用加密传输。

用户负责维护自身设备的安全，包括设备锁定，以及作为登录方式关联的 Apple 或 Google 账户的安全。

第11条 儿童个人信息

Donup 的主要服务对象并非未满 14 岁的儿童，且不会在知情的情况下未经法定监护人同意而收集儿童的个人信息。

有关儿童个人信息处理的请求，可通过联系邮箱提交。

第12条 隐私事务联系方式及救济途径

隐私事务联系团队：Donup 运营团队

隐私及服务咨询：[email protected]

通信销售业务登记编号：2026-서울구로-0897

隐私投诉也可向个人信息侵害举报中心（Personal Information Infringement Report Center，118，privacy.kisa.or.kr）、个人信息纠纷调解委员会（Personal Information Dispute Mediation Committee，1833-6972，kopico.go.kr）或韩国警察网络犯罪举报系统（Korean National Police Cybercrime Reporting System，ecrm.police.go.kr）提交。

第13条 自动化处理及 AI 分析

AI 功能会分析用户输入或选择的信息，并建议标题、金额、日期、分类、资产信息或 DonWorry 回复。此类功能不会自动作出产生法律效力或使用户权利发生同等重大变化的决定。

在向外部生成式 AI 发送数据之前，Donup 会说明接收方、数据、目的、保存期限及拒绝选项，并在登录条款之外单独请求授权。授权按账户记录在此设备上，并可通过 AI 功能提示或“设置”中的“AI 数据使用”撤回。授权前及撤回授权后，新的 AI 请求将被阻止。获得授权后，已启用的建议卡片可能会使用当前屏幕的账本信息自动请求建议。

相机、麦克风和语音识别，以及通知权限均为可选权限，并会在使用相应功能时请求。照片访问仅限于在系统选择器中选择的项目。拒绝这些权限不会影响手动记录或常规账本功能。权限可在设备设置中更改。

用户可以不使用 AI，直接手动输入数据。AI 记账和 DonWorry 操作可能会自动保存记录；保存后的结果可供查看、编辑或删除。导入等设有确认屏幕的功能，允许用户在保存前查看或取消。已保存的 DonWorry 对话及附件也可另行删除。

第14条 本政策的变更

本隐私政策可能会更新，以反映法律、平台政策或服务功能的变化。

重大变更将通过应用更新、应用内通知或商店公告予以公布。