一、适用范围

1.1 适用对象。本政策适用于荔枝记账（域名 lycheeledger.cn 及其子域名）的网页版、客户端 App 及相关接口。它说明我们收集哪些信息、为什么收集、放在哪里、与谁共享，以及你如何查看和删除它们。

1.2 数据控制者。荔枝记账由个人开发者独立开发与维护，不是注册公司或商业实体。本政策中的"我们"指代软件的开发与维护者个人。数据控制与处理均由开发者本人完成，不存在外包的数据处理方（第三方服务见第六节）。

1.3 与用户协议的关系。本政策侧重"数据如何被处理"；服务的性质、功能限制与责任边界见《用户协议与免责声明》。两份文件配合阅读，如有冲突，以更有利于保护你个人信息的一方为准。

1.4 同意方式。注册或继续使用即表示你已阅读并理解本政策。你可以在不提供非必要信息（头像、额外邮箱通知等）的情况下正常使用核心记账功能。

二、我们收集哪些信息

我们遵循最小必要原则，只收集实现对应功能所必需的信息。以下按类别列出：

2.1 账号信息

• 必填：用户名、密码。密码只保存加盐 SHA-256 哈希，不保存明文，我们也无法还原你的密码。
• 邮箱：用于注册确认、密码重置、新 IP 登录提醒、可选的通知邮件。你可以随时在设置页更换或关闭通知。
• 登录记录：注册时间、最后登录时间、最近一次登录 IP（用于"新地点登录提醒"与风控）。
• 可选：头像图片（保存在服务器上，仅你自己与家庭组可见）、第三方登录标识（GitHub / Gitee 的用户 ID 与昵称，仅在你自己授权登录时获得）。
• API 密钥：如你启用开放接口，只保存密钥的哈希值，明文仅在创建时显示一次。

2.2 记账数据（由你自己录入）

• 每笔记录的日期、分类、金额、备注、心情标记，以及家庭组归属（仅当你加入家庭组并共享时）。
• 衍生配置：循环账单模板、快捷模板、预算、储蓄目标、积分与签到记录、兑换码使用记录。
• 设备标识（device_id）：浏览器生成的一串随机 ID，用于多设备同步时区分记录来源、合并冲突。它不包含你的手机型号、IMEI、MAC 等硬件信息。
• 如你开启端到端加密（E2EE），记录在客户端加密后上传，服务器只保存密文。

2.3 AI 生成的内容

• AI 收支分析生成的结果（总结、亮点、建议）会保存在你的账号下，方便你回看历史分析。这些内容是模型生成的，不是原始账目。

2.4 你主动提交的反馈

• 反馈类型、标题、正文、你填写的联系方式（可留空）、可选截图，以及为了定位问题而附带的客户端版本、系统版本、设备型号。

2.5 技术日志与风控记录

• 访问日志：IP 地址、User-Agent、请求路径、时间、状态码。用于排查故障和识别攻击。
• 风控记录：当同一来源触发频率限制或异常行为时，会记录 IP 与原因，并可能实施有期限的临时封禁（到期自动解除，不做永久黑名单）。
• 这些日志不用于建立用户画像，也不与广告或第三方共享。

2.6 我们不收集的信息

• 不读取通讯录、短信、通话记录、相册（只有你主动选择上传的图片会被处理）。
• 不采集 GPS 精确位置；天气展示只用 IP 粗略定位到城市（见第六节）。
• 不采集设备硬件标识（IMEI / MAC / 广告 ID），不做跨站追踪。
• 不读取剪贴板、不扫描你设备上的其他应用或文件（你主动粘贴到输入框里的内容除外）。
• 不收集身份证号、银行卡号、支付密码、人脸或指纹等身份与支付凭证 —— 记账用不到这些，也请不要把它们写进备注。

2.7 这些信息从哪里来

• 你自己提供：用户名、密码、可选邮箱、账目与备注、上传的票据图片、录制的语音、反馈正文与截图。
• 使用中自动产生：登录时间与最近一次登录 IP、请求路径与状态码、随机生成的 device_id、登录失败与限流记录。
• 第三方回传：GitHub / Gitee 授权后返回的账号标识与昵称；ip-api 返回的城市级位置；Open-Meteo 返回的温度数值。这类数据只用于当次展示，不写入你的账目。

2.8 不需要提供的信息

• 真实姓名、身份证号、手机号、住址、银行卡号都不是注册或使用的前提。本服务只靠用户名 + 密码（可选邮箱）识别你。
• 除邮箱（用于找回密码与安全提醒）外，不强制绑定任何第三方账号；不绑定也能使用全部核心记账功能。
• 头像是可选项，不上传也能正常使用；邮箱通知可在设置页逐项关闭。

三、我们如何使用这些信息

3.1 提供服务。保存、同步、统计你的账目；生成报表、预算与储蓄进度；导出数据。

3.2 账号与安全。登录校验、密码重置、新 IP 登录提醒、限流与反滥用、故障排查。

3.3 AI 功能。只有你主动点击分析、对话、语音记账或 OCR 识别时才会触发，具体数据流见第六节。

3.4 通知邮件。注册验证、密码重置、异常登录提醒，以及在设置中开启后的提醒类邮件。设置页可逐项关闭。

3.5 产品改进。我们通过错误日志与反馈定位问题；不会为了"优化体验"而对你的账目做商业分析或针对性画像，涉及数据的用途仅限下一条所述的聚合统计。

3.6 数量统计。我们可能使用你的数据做数量统计，例如注册用户数、累计记账笔数、今日新增笔数、各功能的使用次数与成功率、平均响应耗时。这类统计只保留总量与趋势，用于首页数据展示、容量规划、故障定位与功能取舍；统计结果不含你的备注原文、单笔金额明细或任何可定位到个人的信息，也不用于广告，不会为你个人打分或建立画像。首页展示的站点数字（用户数、累计笔数、今日笔数）即来自这类统计。

3.7 关于 AI 的说明。AI 收支分析、AI 助手、语音记账与 OCR 由第三方大模型生成（服务商与传输的数据见第六节），只在你主动触发时运行：
① AI 生成的内容（总结、建议、对话回复、识别结果）可能不准确、不完整或带偏差，仅供参考，不构成财务、投资、税务或法律建议，重要决定请自行判断；
② 我们统计 AI 调用的次数、类型与耗时，用于积分结算、配额与成本控制，不记录提问与对话的完整原文，也不会用你的账目、提问或生成结果去训练、微调模型；
③ 现有 AI 功能均可关闭，关闭后不会再向模型服务商发送任何数据；账单识别失败时你可能需要手工录入；
④ 数据到达服务商之后如何收集、留存、是否用于模型训练，由智谱 AI（BigModel 开放平台）与讯飞各自的隐私政策、服务条款决定，我们既无法获知、也无法控制，只能保证「只把当次需要的内容转发过去」。想弄清这部分，请直接到智谱 AI / 讯飞官网查阅它们的隐私政策与用户协议，再决定要不要使用 AI 功能。不同意可以把 AI 功能全部关掉，核心记账不受影响。

3.8 自动化风控，以及怎么申诉。为防撞库和防刷，系统会按行为自动限流、临时封禁：依据只有请求频率、失败次数、来源 IP 与账号维度，不看你的账目内容，也不会因为金额、分类或备注而限制你。封禁都带期限，到期自动解除；我们不依据自动化判断永久封号。如果你认为自己被误判，用注册邮箱发一封说明即可，我们会人工核查后解除。

3.9 不建立画像。我们不基于你的消费记录生成广告标签、信用评分或对外可售的用户画像，也不把本站数据与站外数据拼接做身份识别。首页展示的站点数字来自 3.6 的聚合统计，无法反推到任何个人。

四、我们不做的事

4.1 不出售、不出租、不交换你的个人信息，也不将其用于任何商业变现。

4.2 不投放广告，不接入广告 SDK；全站没有第三方统计脚本（无 Google Analytics、无百度统计），自建统计只保留不含个人明细的总量（见 3.6）。前端字体、图标与 JS 库全部自托管。

4.3 不用你的账目训练 AI 模型。我们没有自建模型，也不会把数据存起来做训练；调用的是第三方 API（见第六节），我方只把当次需要的内容转发过去。服务商收到之后如何处理，见 3.7 ④ 与 6.1。

4.4 不做跨站追踪，不与其他网站共享 Cookie；本站 Cookie 只用于语言偏好与登录态。

4.5 不主动读取你的第三方账单账户。导入微信/支付宝账单只处理你自己上传的截图或 CSV 文件，不需要也不会要求你提供支付账号密码。

4.6 不发营销邮件。系统邮件只用于注册验证、密码重置、异常登录提醒、你主动开启的提醒（预算、账单）与必要的服务通知。目前不发送推广或营销类邮件；如未来提供，会单独征得同意，并在邮件中给出退订方式。

五、数据存放在哪里

5.1 存储位置。业务数据存放在开发者自有的 NAS 设备上（家庭网络环境，位于中国大陆），通过一台香港 VPS 反向代理对外提供访问。中转机只做加密转发，不落地存储业务数据；数据库不对公网开放。

5.2 跨境传输说明。由于中转节点位于香港，你的请求会经过该节点转发，这构成一条跨境传输路径。我们不在此节点存储数据，但如你所在地区对数据跨境有特别要求，请自行评估后再使用本服务。

5.3 备份。服务器每日自动备份，保留最近 7 份（约 7 天滚动），包含数据库与上传文件，仅保存在同一台服务器上，不向外传输。

5.4 自主备份。你可以在设置页随时导出全部账目（JSON / CSV），建议定期导出一份到自己手里 —— 这是对抗任何服务中断的最可靠方式。

5.5 各类数据保留多久。下表是实际规则的汇总，与第九节一致：

5.6 备份里有什么。每日备份包含数据库与上传文件（头像、票据图片等），只存放在同一台服务器上，不上传境外节点，也不交给第三方。备份文件仅开发者本人可访问，只用于故障恢复。因为备份是整库快照，你刚删除的内容可能在最近 7 份旧快照里短暂存在，随滚动覆盖消失。

六、第三方服务与数据共享

除下列情形外，我们不会把数据提供给任何第三方。每一项都对应你主动使用的功能，且多数可以关闭：

6.1 第三方独立性。上述服务商有各自的隐私政策与数据处理规则，其行为不受我们控制，我们也无法得知它们对已接收数据的具体留存方式与用途（包括是否用于改进或训练模型）——这部分只能以其官方隐私政策与用户协议为准，建议使用对应功能前先去官网查阅。它们位于中国境内（智谱、讯飞）或境外（Resend、ip-api、Open-Meteo、GitHub / Gitee）。

6.2 可以关闭的项。AI 增强 OCR、语音记账、天气展示、通知邮件均可在设置中关闭；关闭后不会再向对应服务发送任何数据。

6.3 法律要求。如收到有效的司法或监管要求，我们会在法律允许的范围内提供必要数据。开启 E2EE 的记录在服务器上是密文，我们无法解密后提供。

6.4 家庭组共享。加入家庭组后，你标记为共享的账目对该组成员可见 —— 这是共享功能的必要前提，请只在信任的小范围内使用；你可以随时退出家庭组。

6.5 清单会变。如新增、替换或停用某个第三方服务，我们会更新本节与第六节的表格，并在站内公告中说明。更换模型或邮件服务商属于常规运维，可能不逐一征得同意；但只要涉及「传什么数据、为什么传」的变化，就会提前公告并更新版本号。

6.6 我们没有接入的东西。没有广告 SDK，没有第三方统计或埋点脚本，没有会话录制、热力图、客服聊天、消息推送类 SDK；前端字体、图标与 JS 库全部自托管，不从公共 CDN 加载，避免你的 IP 被第三方 CDN 记录。

七、Cookie 与本地存储

本站不使用广告或统计 Cookie。实际使用的只有减少重复操作的几项：

• lang：记住你选择的页面语言，有效期 1 年。
• cookie_consent：记住你在底部提示中的选择（接受 / 拒绝），有效期 1 年。
• token：网页版登录态（使用网页登录时），退出登录即清除；未登录时不写入。
• OAuth state：仅在使用第三方登录跳转期间临时生成，用于防止登录请求被伪造，短时间内失效。

浏览器本地存储（localStorage，不会上传到服务器）：

• token / user_id：登录凭证与当前账号编号，退出登录即清除。
• theme、display_*：深色/浅色主题与显示偏好。
• fx_rates：汇率缓存的临时数据。
• user_email：仅用于界面回显，不发往服务器。
• device_id：多设备同步用的随机设备标识，会随账目一起上传（见 2.2）。

7.1 你可以拒绝。在底部提示中点击「拒绝」，我们不会写入偏好类 Cookie，并会清除本站已写入的本地数据（不触碰第三方验证类 Cookie）。拒绝后仍可浏览公开页面，但无法保持登录状态。

7.2 怎么清除浏览器里的数据。退出登录会清除 token 与 user_id；在浏览器设置里清除本站数据，会一并清掉主题、语言与显示偏好。清除本地数据不会删除服务器上的账目 —— 要删账目请在设置页删除记录或注销账号。

7.3 关于 Do Not Track。本站不做跨站追踪，所以不区分 DNT / GPC 信号：无论浏览器是否发送该信号，我们的行为一致。

八、数据安全措施

8.1 传输加密。全站使用 HTTPS（TLS）；服务器与中转机之间的链路同样加密。

8.2 密码保护。密码以加盐哈希形式保存，登录失败过多会触发限流与临时封禁。

8.3 端到端加密（可选）。开启后账目在你的设备上加密再上传，服务器只持有密文，我们也无法读取。代价是：AI 分析无法解读这些记录、密钥丢失将导致数据永久不可恢复，请自行评估。

8.4 服务端字段加密。部分自动写入路径（如 OCR 自动入账、周期账单生成）的分类与备注会额外使用服务端密钥加密存储。

8.5 访问控制。数据库不暴露公网端口；管理面板仅限局域网访问；接口需登录令牌或 API 密钥。

8.6 现实的局限。这是个人维护的自建服务，任何系统都无法保证绝对安全：磁盘故障、断电、误操作、尚未发现的漏洞都可能造成数据损坏或泄露。请定期导出备份，不要在备注里长期保存身份证号、银行卡号、完整住址等高度敏感信息。

8.7 你这边能做的。用与其他网站不同的密码；不要在公共或共享设备上长期保持登录；开启端到端加密的用户请把密码单独备份好（我们无法帮你恢复）；建议在大版本更新前导出一份数据。

8.8 万一发生安全事件。如果发现数据泄露、越权访问或大规模异常，我们会先阻断入口、修补问题，再在站内公告说明影响范围与建议措施（例如建议改密码）。我们没有能力做商业级的取证与赔付，也不承诺固定时限，但会把已知情况如实告知，不隐瞒。

8.9 漏洞报告。发现漏洞请发邮件到 help@lycheeledger.cn 说明复现步骤，并给修复留出时间，不要在修复前公开披露；也不要用访问、下载或修改他人数据的方式「验证」漏洞。出于善意、未造成实际损害且及时报告的测试，我们不追究责任 —— 但这不构成对任何违法行为的授权。

九、数据保留与删除

9.1 账号数据。在你使用期间保留。发起注销后进入 7 天冷静期，期间可随时撤销；期满后账号与关联数据（账目、模板、预算、储蓄目标、云端备份、反馈、AI 分析记录、积分与兑换记录等）会被永久删除，不可恢复。

9.2 回收站。删除的账目先进入回收站（软删除），可随时恢复；30 天后由每日清理任务自动彻底删除。

9.3 服务器备份。每日备份保留最近 7 份；已删除数据的残留会随备份滚动在约 7 天内消失。

9.4 日志。访问与风控日志按排查需要短期保留，不做长期归档；临时封禁到期自动解除。

9.5 数据导出不设限。你可以在删除前导出全部数据，导出文件由你自己保管。

9.6 注销后可能残留的副本。数据库里的数据会删除，但有三类东西不在同一时刻消失：① 最近 7 份服务器备份里可能还有快照，随滚动覆盖在约 7 天内消失；② 访问日志里会短期保留「某 IP 在何时访问过」这类记录（不含账目内容）；③ 你自己导出到本地的文件、截图与客户端缓存，不在我们控制范围内，请自行清理。依法必须保留的最小材料，只在法律要求的范围内保留。

9.7 长期不活跃的账号。连续 12 个月没有登录的账号可能被清理。清理前会尽量通过注册邮箱提醒；如果你只是很久没用，登录一次即可重新计时。

9.8 数据携带。设置页可导出 JSON 或 CSV，导出文件由你保管、我们不另存副本。导出格式面向个人备份，不保证能直接导入其他财务软件。

十、你的权利

10.1 查看与导出。设置页可查看账号信息、导出全部账目；使用开放接口的可通过 API 拉取。

10.2 更正。账目、用户名、头像可自行修改；邮箱可重新绑定（需通过验证码）。

10.3 删除。单条账目可删除并彻底清除；整个账号可注销（见 9.1）。

10.4 撤回同意。AI 增强 OCR、语音记账、天气展示、通知邮件均可随时关闭；Cookie 可在提示中拒绝，也可通过浏览器清除。

10.5 如何行使。优先使用设置页与账号页的自助功能。确实无法自助的（例如需要人工核对的请求），请发邮件至下方地址说明账号与需求。作为个人项目，我们不承诺固定的响应时限，但会尽力处理。

10.6 由他人代为行使。你可以委托他人代为提出请求，但需要能证明你的授权；未成年人的权利由监护人代为行使。

10.7 申诉与投诉。对限流、封禁、删除等处理有异议，可以发邮件申诉，我们会人工核查后答复。如果对我们的处理仍不满意，你可以停止使用并注销账号；本政策也不排除你依法向监管机构投诉的权利。

十一、未成年人

本服务面向能够独立承担民事责任的用户。未满 14 周岁的未成年人应在监护人同意与指导下使用；监护人如发现孩子未经同意注册，可联系我们删除相关账号与数据。

十二、本政策的更新

12.1 重大变更会告知。如新增第三方数据处理、改变数据用途或扩大收集范围，我们会在站内公告中说明，并更新本页的版本号与日期。

12.2 继续使用即视为接受更新后的政策；如不同意，请停止使用并注销账号（注销不会影响你在同意期间已完成处理的合法性）。

十三、联系我们

邮箱：help@lycheeledger.cn（同时是系统邮件的发件地址）。如发现安全问题，请先私下告知，给我们修复的时间，不要直接公开披露。涉及账号数据的具体请求，请用注册邮箱发送，以便核实身份。

十四、术语说明

个人数据：能单独或与其他信息结合识别到你本人的信息，例如邮箱、用户名、最近一次登录 IP。

聚合统计：把许多人的数据汇总成总量与趋势（如「累计记账 12 万笔」），无法反推到某一个人。

软删除：记录被标记为已删除并移入回收站，30 天内仍可恢复。

端到端加密（E2EE）：数据在你的设备上加密后再上传，密钥只在你手里，服务器只保存密文。

访问令牌（JWT）：登录后签发的凭证，存放在你的浏览器里，用来标识「已登录的你」，退出登录即失效。

第三方服务商：本政策第六节列出的、为特定功能提供处理能力的服务提供方，它们各自对自己的行为负责。

十五、适用法律与解释

15.1 适用法律。本政策适用中华人民共和国法律（不含香港、澳门、台湾地区法律）。

15.2 与用户协议的关系。本政策侧重数据处理，服务性质与责任边界见《用户协议与免责声明》。两份文件如有冲突，涉及个人信息保护的部分以更有利于保护你的一方为准。

15.3 标题不影响含义。条款标题只为方便阅读，解释条款时以正文内容为准。

15.4 条款独立。任何一条被认定无效或不可执行，不影响其余条款的效力。

十六、版本记录

相关页面：用户协议与免责声明 · 常见问题 · 反馈