1. 引言
Strata Veritate LLC（以下简称“公司”、“我们”或“我们的”）运营 Summa 移动应用程序（以下简称“本应用”）。本隐私政策说明在您使用本应用时，我们如何收集、使用、披露及保护您的信息。
我们致力于保护您的隐私和财务数据。本政策旨在遵守适用的数据保护法律，包括《加利福尼亚消费者隐私法》（CCPA）、在适用范围内的《通用数据保护条例》（GDPR），以及 Apple App Store 审核指南。
请仔细阅读本隐私政策。使用本应用即表示您同意本文所述的做法。如果您不同意本隐私政策，请勿使用本应用。
2. 我们收集的信息
2.1 您直接提供的信息
| 数据类别 | 示例 | 目的 |
|---|---|---|
| 账户信息 | 姓名、电子邮件地址、头像 URL | 账户创建、身份识别、通信 |
| 财务数据 | 交易记录、金额、商户、分类、备注、预算、储蓄目标、投资持仓、成本基础 | 应用核心功能：预算管理、跟踪、分析 |
| 账户配置 | 首选货币、语言、通知偏好、主题设置、无障碍设置 | 个性化与用户体验 |
| 支持消息 | 您通过应用内支持聊天发送给我们的消息，以及我们的回复 | 解答您的疑问并解决问题。存储在我们的服务器上，以便对话在您的各设备间保持连续。请勿在消息中包含账号或登录凭据。 |
| 推荐计划参与 | 您的推荐码、推荐您的代码（如有）以及奖励状态 | 运营推荐计划并发放奖励 |
2.2 通过第三方服务收集的信息
2.2.1 Plaid（银行同步，仅限 Pro+Connect）
如果您选择启用银行同步功能，Plaid, Inc. 将收集并向我们提供以下信息：
- 账户名称、类型和余额；
- 交易记录（金额、日期、商户、分类）；
- 账户号码和路由号码片段（已脱敏，仅用于识别）；
- 金融机构名称和标志。
我们不会接收或存储您的银行登录凭据。Plaid 访问令牌仅存储在我们的服务器端基础设施中，位于任何客户端应用都无法读取的文档内，绝不会传输至您的设备或存储于其中。
有关 Plaid 的数据处理做法，请参阅：Plaid 隐私政策
2.2.2 Firebase 服务（Google）
| 服务 | 处理的数据 | 目的 |
|---|---|---|
| Firebase Authentication | 电子邮件、认证提供方标识符、认证令牌 | 安全的用户身份管理 |
| Cloud Firestore | 云端备份与同步（见第 4.2 节）：您的账户、交易、预算与预算分组、储蓄目标、周期项目、投资组合、标签、分类规则与学习样本、CSV 导入历史以及财务健康历史。此外还包括：Plaid 同步元数据、订阅状态、共享空间连接元数据、促销码与推荐码记录、应用内支持消息，以及分析运行状况指标 | 跨设备同步与恢复；服务器端数据协调 |
| Firebase Storage | 共享空间头像（如您设置） | 向与您共享的人展示您的头像。以私有访问控制存储。 |
| Firebase Cloud Functions | Plaid API 代理调用、订阅验证、Shared Spaces 连接管理、市场数据代理、推送通知发送 | 安全的服务器端业务逻辑 |
| Firebase Analytics | 匿名化的产品使用事件（功能交互、页面浏览、会话数据） | 产品改进和性能监控 |
| Firebase Crashlytics | 崩溃报告、设备型号、操作系统版本、应用版本、堆栈跟踪 | 应用稳定性监控和错误修复 |
| Firebase Cloud Messaging (FCM) | 设备推送令牌 | 推送通知的发送 |
| Firebase App Check | 设备证明令牌 | 防止滥用及未授权的 API 访问 |
Firebase Analytics 和 Crashlytics 数据依据 Google 的数据处理条款进行处理。我们不会将 Firebase Analytics 用于广告投放或广告定向。
2.2.3 Apple 服务
| 服务 | 处理的数据 | 目的 |
|---|---|---|
| StoreKit | 订阅状态、交易收据、Apple ID 账户令牌 | 应用内购买管理 |
| AdServices 与 SKAdNetwork | Apple Search Ads 归因令牌；以保护隐私的方式向 Apple 报告的安装与里程碑转化值 | 衡量哪些广告系列带来了安装。不使用 IDFA，也不进行跨应用追踪。 |
| Sign in with Apple | Apple 用户标识符、可选的姓名和中继电子邮件地址 | 身份认证 |
| Apple Push Notification Service (APNs) | 设备令牌、通知有效负载 | 本地和远程通知发送 |
2.2.4 Apple Wallet（FinanceKit）
如果您选择连接 Apple Wallet 账户（Apple Card、Apple Cash 和 Savings，在受支持的地区可用），App 仅在您于系统弹窗中授予权限后，才会通过 Apple 的 FinanceKit 框架读取以下内容：
- 账户名称、类型和余额
- 交易记录（金额、日期、商家及商家类别代码）
这些数据在您的设备上读取，随后与 App 中的其他财务数据同等处理：它们包含在云备份与同步中（见第 4.2 节），使您的账户在设备间保持同步，并通过与其他数据相同的机制删除。您可以随时在 iOS 设置中撤销 App 对 Apple Wallet 数据的访问权限，并可通过在 App 中删除已关联的账户来移除已导入的数据。
2.3 自动收集的信息
| 数据类别 | 详情 | 目的 |
|---|---|---|
| 设备信息 | 设备型号、操作系统版本、应用版本（通过 Crashlytics 收集） | 应用兼容性和崩溃诊断 |
| 使用分析 | 功能使用模式、会话时长、页面浏览（通过 Firebase Analytics 匿名化） | 产品改进 |
| 性能数据 | 应用启动时间、错误率、崩溃频率 | 性能优化 |
2.4 我们不收集的信息
- 广告标识符（IDFA）：我们不使用广告标识符。
- 位置数据：本应用从不请求位置权限，也不访问 GPS、Wi-Fi 或蜂窝网络定位服务。唯一且范围明确的例外是：当您选择一张已有照片用于扫描收据时，该照片 EXIF 元数据中原本包含的 GPS 坐标可能会在您的设备上被读取，以帮助推断正确的货币。该过程完全在设备端进行，不会被存储，也不会被传输。
- 通讯录：我们不访问您的联系人、通话记录或消息。
- 生物识别数据：生物识别认证（Face ID / Touch ID）完全由 Apple 的 LocalAuthentication 框架在您的设备上处理。我们从不接收、传输或存储任何生物识别模板或数据。
- 浏览记录：我们不追踪您的网页浏览活动。
- 麦克风或摄像头数据：仅当您主动发起收据扫描时才会访问摄像头。图像通过 Apple Vision 框架在内存中进行设备端 OCR 处理，绝不会被保存、上传或传输。
3. 信息使用方式
3.1 核心服务提供
- 提供个人财务跟踪、预算管理和分析功能；
- 通过您的个人 iCloud 账户在您的设备之间同步数据；
- 处理和分类交易记录；
- 生成财务预测、现金流分析和净资产计算；
- 管理您的订阅和账户。
3.2 服务改进
- 分析匿名化的使用模式以改进功能和用户体验；
- 监控应用稳定性，修复崩溃和错误；
- 衡量功能使用情况以确定产品开发的优先级。
3.3 通信
- 发送您已启用的推送通知（预算警报、账单提醒、目标里程碑等）；
- 发送与服务相关的通信（订阅状态、安全警报）。
3.4 安全
- 验证您的身份；
- 通过 Firebase App Check 防范欺诈和未授权访问；
- 监控可疑活动。
4. 设备端处理与机器学习
Summa 的核心架构原则是通过设备端处理实现数据最小化。
4.1 设备端机器学习
所有机器学习功能均完全在您的设备上运行：
- 交易分类：CoreML BERT 模型在本地对交易进行分类；
- 智能周期性检测：模式识别在设备端运行；
- 商户识别：基于启发式和机器学习的商户匹配在本地进行；
- 收据 OCR：Apple Vision 框架在内存中处理收据图像；图像绝不会被持久化存储或传输。
任何财务数据均不会被发送到任何外部机器学习服务（包括我们自己的服务器）进行推理或模型训练。
4.2 您的财务数据存储在何处
您的设备保存主副本。您的财务数据（交易、账户、预算、目标、周期项目、投资持仓）使用 Apple 的 SwiftData 框架存储在您的设备上，并受 iOS 文件级加密保护。
云端备份与同步。为使您的数据在设备丢失后仍然存在，并出现在您登录的每一台设备上，本应用还会将这些记录镜像到 Cloud Firestore，这是由我们运营的一个 Google Cloud 数据库。该副本存储在您的账户标识符之下，通过服务器端强制执行的安全规则与其他用户的数据相互隔离，并由 Google Cloud 进行静态加密。您的设备仍是数据的权威来源；云端副本用于恢复和同步该设备。
由此产生两点后果，我们希望对两者都作出明确说明。第一，与纯本地应用不同，您的财务记录副本位于我们控制的基础设施之上。第二，由于该基础设施由我们运营，我们的管理系统在技术上具备访问能力。我们仅在运营服务所必需、处理您提出的支持请求，或法律要求时才会访问。我们不会将其用于广告，不会出售或出租，也不会为构建关于您的画像而对其进行分析。
共享空间的数据有所不同。您发布到共享空间的所有内容都会在上传前于您的设备上进行端到端加密，我们无法读取。参见第 6.3 节。
历史说明。本应用的早期版本使用 Apple 的 iCloud/CloudKit 进行跨设备同步。该机制已停用，不再使用。若您曾使用早期版本，此前镜像到您私有 CloudKit 数据库中的数据仍在您的 Apple 账户内、由您控制，可通过设备的 iCloud 设置删除。
5. 加密与安全
5.1 静态加密
- 设备端：所有本地数据均受益于 iOS 硬件级别加密（数据保护类）。敏感项目通过
kSecAttrAccessibleWhenUnlockedThisDeviceOnly保护等级存储在 iOS 钥匙串中。 - 分层密钥架构：本应用采用由安全隔区支持的根密钥 → 密钥加密密钥（KEK）→ 逐记录内容加密密钥（CEK）的分层架构，使用 AES-256-GCM 对敏感设备端数据进行加密。
- 服务器端：Firestore 中的数据（包括您财务记录的云端备份副本）由 Google Cloud 的默认加密进行静态加密，并通过服务器端强制执行的安全规则按用户隔离。
- 银行访问令牌：Plaid 访问令牌保存在服务器端专用的 Firestore 文档中，任何客户端应用均无法读取或写入，这由拒绝一切客户端访问的安全规则强制执行。这些令牌仅由我们的 Cloud Functions 使用，绝不会传输至您的设备或存储于其中。
5.2 传输加密
所有网络通信均使用 TLS 1.2 或更高版本。应用强制执行 App Transport Security (ATS)，确保不存在明文 HTTP 连接。
5.3 Shared Spaces 端到端加密
通过 Shared Spaces 功能共享的数据受端到端加密保护：
- 密钥协商：P256 椭圆曲线 Diffie-Hellman (ECDH)
- 对称加密：AES-256-GCM 认证加密
- 密钥存储：私钥通过仅限设备访问（
kSecAttrAccessibleWhenUnlockedThisDeviceOnly）的方式存储在 iOS 钥匙串中 - 零知识服务器：我们的服务器仅传输密文。我们无法推导共享密钥或解密 Shared Spaces 数据。
5.4 Plaid 安全性
- 银行凭据由您直接提供给 Plaid，我们从不传输或存储这些凭据。
- Plaid 访问令牌保存在服务器端、任何客户端应用都无法读取的文档中。
- 所有 Plaid API 调用均通过 Firebase Cloud Functions 代理；您的设备不会与 Plaid API 进行直接通信。
- 当您移除银行连接或删除账户时，我们会以编程方式撤销相关的 Plaid 访问令牌。
6. 数据共享与披露
6.1 我们不出售您的数据
我们不会向任何第三方出售、出租或交易您的个人信息或财务数据。我们不会与广告商共享您的数据。我们不从事数据经纪业务。
6.2 第三方服务提供商
我们仅在运营本应用所必需的范围内，与以下类别的服务提供商共享数据：
| 提供商 | 共享的数据 | 目的 |
|---|---|---|
| Plaid, Inc. | 银行连接令牌（仅限服务器端） | 银行账户同步 |
| Google (Firebase/GCP) | 认证数据、匿名化的分析事件、崩溃报告、Firestore 文档、推送令牌 | 基础设施、分析、稳定性 |
| Apple | 购买收据、订阅状态、通过 Apple 登录的标识符、推送令牌、广告归因与转化值 | App Store 计费、身份验证、通知、广告衡量 |
| Yahoo Finance（通过服务器代理） | 股票代码符号（不含个人数据） | 市场数据获取 |
| Brandfetch（经服务器代理） | 仅机构与公司名称或域名（不含个人数据） | 获取银行与公司标识 |
6.3 Shared Spaces：用户指示的共享
当您使用 Shared Spaces 功能时，即指示我们将加密的财务数据提供给您指定的信任联系人。此共享完全由您发起和控制。我们仅传输加密密文，无法访问明文内容。
6.4 法律义务
如果法律要求，或者我们善意地认为以下行为属于必要，我们可能会披露您的信息：
- 遵守法律义务、传票或法院命令；
- 保护和维护 Strata Veritate LLC 的权利或财产；
- 预防或调查与本应用相关的可能违规行为；
- 保护用户或公众的人身安全。
6.5 业务转让
在发生合并、收购、重组、破产或出售我们全部或部分资产的情况下，您的信息可能作为该交易的一部分被转让。在您的信息适用不同的隐私政策之前，我们将通过应用内通知或电子邮件通知您。
7. 数据留存
7.1 活跃账户
在您的账户处于活跃状态期间以及为您提供应用服务所需的期间，我们会保留您的数据。
| 数据类型 | 留存期限 |
|---|---|
| 设备端财务数据（SwiftData） | 直至您删除相关数据或删除账户 |
| 财务数据的云端备份副本（Firestore） | 直至您删除该记录或删除账户 |
| 其他 Firestore 服务器端数据 | 直至账户删除 |
| 应用内支持消息 | 直至账户删除 |
| 共享空间头像 | 直至您移除该头像或删除账户 |
| 推荐记录（代码、归因、奖励） | 直至账户删除，另加履行已发放奖励所需的期间 |
| Firestore 服务器端数据 | 直至账户删除 |
| Firebase Analytics 数据 | 按照 Google 的标准分析数据留存期限保留（最长 14 个月） |
| Crashlytics 报告 | 按照 Google 的标准 Crashlytics 留存期限保留（90 天） |
| Plaid 访问令牌 | 直至您断开银行连接或删除账户 |
| 订阅记录 | 订阅期间加上适用的法定留存期限 |
| 推送通知令牌 | 直至退出登录或账户删除 |
7.2 已删除的账户
当您删除账户时，我们将执行全面的数据删除流程：
- Firebase Authentication 账户：永久删除
- Plaid 连接：所有访问令牌将以编程方式撤销并删除
- Firestore 数据：所有用户文档将被永久删除，包括您财务记录的云端备份副本、支持消息以及推荐记录
- 共享空间：您已发布的加密快照及各接收方密钥将被清除，任何头像也会从 Firebase Storage 中删除
- 本地设备端数据：所有 SwiftData 记录将被清除
- 加密密钥：所有存储在钥匙串中的密钥（根密钥、KEK、Shared Spaces 私钥）将被销毁
- 会话状态：所有缓存的状态和会话令牌将被清除
某些无法用于识别您身份的聚合、去标识化数据可能会为分析目的而继续保留。
7.3 临时数据
为 OCR 扫描而拍摄的收据图像仅在处理期间存在于设备内存中，绝不会被持久化存储到磁盘、上传或传输。
8. 您的权利与选择
8.1 访问与可携带性
您可以随时在应用内查看您的所有财务数据。Pro 订阅用户可通过 CSV 导出功能导出交易数据，以实现数据可携带性。
8.2 更正
您可以随时直接在应用内编辑您的交易记录、账户、预算、目标和个人资料信息。
8.3 删除
您可以：
- 在应用内删除单笔交易、单个账户、预算或目标；
- 通过“设置”中的账户删除功能删除您的整个账户及所有相关数据；
- 通过下方联系地址联系我们，请求删除数据。
8.4 通知偏好
您可以精细控制通知。您可以启用或禁用各类通知（预算警报、账单提醒、目标里程碑、储蓄提醒等），并可配置“免打扰时段”以在指定时间段内屏蔽通知。
8.5 银行连接管理
您可以随时断开单个银行连接，此操作将撤销相关的 Plaid 访问令牌。您也可以通过删除账户同时移除所有银行连接。
8.6 数据共享（Shared Spaces）控制
您可以随时撤销与任何信任联系人的 Shared Spaces 数据共享，此操作将立即终止其对您加密数据的访问。
8.7 分析数据退出
在应用中：Firebase Analytics 收集匿名化的使用数据。您可以通过调整设备隐私设置来限制数据收集：前往“设置”>“隐私与安全性”>“分析与改进”。
在我们的网站上：summaone.com 使用第一方 Google Analytics 4（通过 Firebase）来统计页面访问和 App Store 链接点击。在需要征得同意的地区，网站分析在您允许之前保持关闭。您可以随时通过网站页脚的“隐私选项”链接更改您的决定。
8.8 GDPR 项下的权利（欧洲经济区/英国用户）
如果您位于欧洲经济区或英国，您享有以下权利：
- 访问我们持有的与您相关的个人数据；
- 更正不准确的个人数据；
- 删除（“被遗忘权”）您的个人数据；
- 限制处理您的个人数据；
- 数据可携带性：以结构化、机器可读的格式接收您的数据；
- 反对基于合法利益进行的处理；
- 在处理基于同意的情况下，随时撤回同意；
- 向当地数据保护机构提出投诉。
如需行使上述任何权利，请通过下方地址联系我们。
8.9 CCPA 项下的权利（加利福尼亚州居民）
如果您是加利福尼亚州居民，您享有以下权利：
- 知悉我们收集、使用和披露了哪些个人信息；
- 删除您的个人信息；
- 选择退出个人信息的出售（我们不出售个人信息）；
- 因行使隐私权利而不受歧视。
如需行使上述权利，请通过下方地址联系我们。
9. 儿童隐私
本应用不面向未满十六（16）周岁或适用法域规定的数字同意最低年龄（以较高者为准）的儿童。我们不会故意收集低于上述年龄门槛的儿童的个人数据。
如果您是父母或监护人，并认为您的孩子向我们提供了个人数据，请立即与我们联系。如果我们发现收集了低于适用最低年龄的儿童的个人数据，我们将及时采取措施从我们的系统中删除该等数据。
11. 国际数据传输
您的数据可能在美国及我们的服务提供商设有设施的其他国家/地区进行处理（包括用于 Firebase 服务的 Google Cloud 区域）。当数据进行国际传输时，我们依据标准合同条款、充分性决定或其他合法的传输机制，以确保采取适当的保障措施。
12. 第三方链接与服务
本应用可能包含指向第三方网站或服务的链接（例如，您的银行网站、Apple 的订阅管理页面）。我们不对这些第三方服务的隐私做法或内容负责。我们建议您查阅您所访问的任何第三方服务的隐私政策。
13. 本隐私政策的变更
我们可能会不时更新本隐私政策。对于重大变更，我们将通过以下方式通知您：
- 更新本政策顶部的“最后更新”日期；
- 在可行的情况下，发送应用内通知；
- 对于显著影响我们处理您数据方式的重大变更，发送电子邮件通知。
在本隐私政策修改后继续使用本应用，即视为您接受更新后的政策。
14. 数据保护官
如有隐私咨询、数据主体访问请求或需行使您的任何权利，请联系我们的数据保护团队：
Strata Veritate LLC（数据保护）
电子邮件：security@summaone.com
网站：https://summaone.com/support
我们将在三十（30）天内或适用法律规定的期限内回复所有合法请求。
15. 联系方式
如对本隐私政策有任何一般性问题，请通过以下方式联系我们：
Strata Veritate LLC
电子邮件：support@summaone.com
网站：https://summaone.com/support