隐私政策

适用于 Keel（中文名「司元」）iOS 应用生效日期：2026 年 7 月 28 日最后更新：2026 年 10 月 5 日

1. 谁在提供这款应用

Keel（中文名「司元」，下称「本应用」）由个人开发者 gwongsam（下称「我们」）开发与发行。

本政策说明本应用如何处理你的信息。请注意一个贯穿全文的前提：本应用不设任何后端服务器，你的账本内容不会到达我们手中。因此本政策的绝大部分内容，实际是在说明数据如何在你自己的设备与你自己的 iCloud 账户之间流动。

2. 应用处理哪些数据

以下数据由你在使用过程中产生，保存在你的设备上：

本应用不索取、不收集、不处理以下信息：真实姓名、身份证件号码、手机号码、电子邮箱、银行卡号、银行账户或支付平台的登录凭据、通讯录、位置信息、健康数据、广告标识符（IDFA）、设备指纹。

3. 数据存放在哪里

3.1 设备本地（默认状态）

安装后默认情况下，上述全部数据只保存在本机：账本数据库位于应用沙盒目录，附件文件保存在应用的文件仓中并启用了系统文件保护（设备锁屏时文件处于加密不可读状态）。这些数据受 iOS 沙盒机制保护，其他应用无法读取。

如果你从未开启 iCloud 同步，也从未导出备份，那么你的账本数据从不离开这台设备。

3.2 iCloud 同步（默认关闭，需你手动开启）

你可以在「设置 › 隐私与同步」中开启 iCloud 同步。开启后：

• 账本、流水、账户、分类、汇率、应用设置与附件会保存到你 Apple ID 名下的 iCloud 私有数据库（CloudKit private database），用于在你的多台设备之间同步。
• 这部分数据由 Apple 托管，存放在你自己的 iCloud 账户配额内。我们无法访问、无法读取、也无法导出它——开发者对私有数据库没有任何访问权限，这是 Apple CloudKit 的架构决定的，不是我们的自我承诺。
• Apple 对这部分数据的处理适用 Apple 隐私政策。
• 同步过程使用静默推送通知来提示设备拉取变更；该通知不包含你的账本内容。
• 你可以随时关闭同步。关闭时可以选择保留本机副本，或一并请求删除 iCloud 中的数据副本。

3.3 共享账本

你可以把某个账本共享给他人协作。这是由你发起的主动行为：

• 共享通过 Apple 的 iCloud 共享机制实现，你会生成一个 iCloud 共享链接并自行发送给对方。
• 被你邀请并接受邀请的成员，可以按你授予的权限（只读或可编辑）访问该账本的内容，包括其中的流水与附件。你未共享的账本不受影响。
• 为了在成员列表中显示「谁是谁」，应用会显示 Apple 提供的成员标识信息（如对方在系统共享中呈现的名称）。你也可以为成员设置仅本地可见的备注名。
• 你可以随时移除成员或停止共享。停止共享后对方将失去访问权限。
• 请谨慎选择共享对象。一旦对方获得访问权限，就可能查看或复制该账本中的信息，这超出了我们的技术控制范围。

3.4 在线汇率

本应用可以获取多币种折算所需的参考汇率。该功能：

• 从一个 iCloud 公共数据库（CloudKit public database）只读拉取汇率数据；
• 不上传任何信息——不上传你的账本、账户、币种偏好或任何标识符；
• 拉取到的只是公开的市场汇率数字，本身不包含任何个人信息；
• 你手动录入的汇率始终优先于在线汇率。

汇率仅供记账折算参考，不构成任何交易报价，另见服务条款第 6 条。

4. 设备权限

本应用只在你使用对应功能时请求以下权限，全部可以拒绝，拒绝后其余功能照常使用：

本应用不请求定位、通讯录、麦克风、日历、健康或跟踪（App Tracking Transparency）权限。

5. 诊断日志与崩溃数据

为了排查问题，本应用会在设备上记录运行日志与错误信息，并接收系统提供的崩溃与性能指标（Apple MetricKit）。关于这些数据：

• 它们只保存在你的设备上，会按容量与时间自动轮转清理，你也可以在「设置」中查看它们占用的空间并手动清除。
• 它们不会自动发送给我们。只有当你主动在应用内导出诊断日志并通过邮件等方式发给我们时，我们才会看到——发送前你可以自行查看内容。
• 日志记录的是操作类型、错误码与技术上下文，用于定位故障；我们已尽力避免把账本明细写入日志，但不排除备注、账户名称等文本片段随错误上下文出现在日志中。因此，在发送日志前请自行确认其中不含你不愿分享的内容。

此外，如果你在 iOS 系统设置中开启了「共享 iPhone 分析」，Apple 可能会通过 App Store Connect 向我们提供聚合且不含身份标识的崩溃与使用统计。这项由 Apple 控制，你可以在系统设置的「隐私与安全性 › 分析与改进」中随时关闭。

6. 购买与订阅

本应用的会员功能通过 Apple 的 App Store 内购提供：

• 付款由 Apple 处理，我们不接触你的支付信息。我们看不到你的银行卡号、Apple ID 密码或账单地址。
• 应用从 App Store 接收交易凭据以确认你的会员权益是否有效。这些凭据用于本机的功能解锁判断。
• Apple 会向我们提供销售与订阅的统计报表，这些报表是聚合数据，不包含可识别到个人的信息。
• 购买、退款、订阅管理与取消均适用 Apple 媒体服务条款。

购买相关的商业条款见服务条款第 3 条。

7. 导入、导出与备份

• 导入（文件）：你可以从第三方记账应用导出的表格文件（如钱迹的 xlsx / CSV）导入历史流水。文件完全在你的设备上解析，不会上传到任何地方。
• 导入（YNAB 直连）：如果你使用 YNAB，可以粘贴自己的个人访问令牌，由应用直接向 YNAB 的接口读取你自己的预算数据，不经过我们的服务器（我们没有服务器）。这是单向读取：不向 YNAB 写入，也不把本应用里的账本内容发过去。令牌只留在这台设备的内存里，导入结束即清除，不写磁盘、不进 iCloud、不进备份。
• 备份导出：你可以导出完整备份文件。备份支持设置口令进行 AES 加密；如果不设口令，导出的就是未加密文件，任何拿到该文件的人都能读取其中的账本内容——请自行妥善保管。
• 导出去向由你决定。备份文件通过系统分享面板交给你选择的目标（「文件」、iCloud Drive、邮件、第三方网盘等）。一旦离开本应用，该文件就适用你所选目标的隐私政策，不再受本政策约束。
• 口令我们无从找回。加密口令只用于加解密，不会被存储或上传。忘记口令意味着该备份文件无法恢复。

8. AI 功能如何处理你的数据

本应用有两项由人工智能承担的功能，都在你的设备上完成：

• 问账本（助手）：你用自然语言提问，应用按这一问的需要现取对应的那部分账本数据——账户与余额、流水、预算、近期到期的承诺项——交给模型作答。
• 截图记账：你交给它一张账单或小票的图片，应用识别其中的文字，起草一条待你确认的记账。它只处理你交给它的那一张图。

使用之前会先征得你的同意。首次打开助手时，应用会先用一整屏说明上述内容，你确认之后才进入对话；在此之前助手不会读取任何账本数据。你也可以随时在「设置 › 隐私与同步 › Siri 与快捷指令」里关闭这一整组功能，关闭后助手入口不再出现。

这两项功能对设备的要求不同：问账本需要你的设备支持并已开启 Apple Intelligence（该功能在中国大陆暂未提供）；截图记账用的是系统自带的文字识别，不要求 Apple Intelligence。条件不满足时，对应的入口不会出现。

9. 第三方：我们不做的事

为免歧义，明确列出本应用不存在的行为：

• 不集成任何第三方分析、统计、崩溃上报或 A/B 测试 SDK；
• 不展示广告，不集成任何广告网络；
• 不使用 Cookie、像素、设备指纹或任何跨应用跟踪技术；
• 不出售、不出租、不以营销为目的共享你的个人信息（也包括加州法律定义下的「出售」与「共享」）；
• 不为训练机器学习模型而使用你的账本数据；
• 不向数据经纪商、征信机构、金融机构或任何第三方提供你的数据。

默认状态下，本应用涉及的外部主体只有一个：Apple——它作为平台方提供 iCloud 存储、共享机制与支付服务。另有两条通道只有你主动发起才成立，默认都不存在：

• 从 YNAB 导入（第 7 条）：你自己粘贴 YNAB 的个人访问令牌之后，应用直接向 YNAB 的接口读取你自己的预算数据。这是一次单向读取——不向 YNAB 写入任何内容，也不把本应用里的账本内容发给 YNAB；令牌只留在这台设备的内存里，导完即清除。
• macOS 版本的「本机 AI 应用访问」（第 8 条）：开启后账本内容会进入你所连接的人工智能服务提供方。iOS 与 iPadOS 版本没有这条通道。

「联系与反馈」页上的外部链接。「设置 › 联系与反馈」列出了邮件，以及 Discord、小红书、X、TikTok、微信、抖音等社交平台的入口。这些入口都编译在应用里，打开这一页本身不产生任何网络请求。点开其中任何一个，就会离开本应用，跳转到对应的 App 或网页；此后你在那里的浏览与互动由该服务处理，适用它自己的隐私政策，不受本政策约束。本应用不会向这些平台发送任何数据。邮件入口只是在系统的邮件编辑界面里替你填好收件人、主题，以及一段写明应用版本、系统版本、机型与界面语言的文字；选「报告问题」时还会附上诊断报告（见第 5 条）。这些内容在发送前都完整可见，发不发、删改什么由你决定。

除上述情形与法律强制要求外（见下），不存在其他数据接收方。

如果我们收到具有法定管辖权的机关依法提出的数据要求，我们只能提供我们实际持有的信息。由于我们不持有你的账本数据，这类要求对你的账本内容不产生影响；针对存储在 iCloud 中的数据，应向 Apple 提出。

10. 数据保留与删除

因为数据由你自己保管，保留期限也由你决定。删除方式：

• 删除单条记录：在应用内直接删除对应的流水、账户或附件。
• 清空全部数据：「设置」中提供「清除所有数据」，需输入校验码确认，执行后当前存储中的数据被销毁重建。
• 删除 iCloud 中的副本：关闭 iCloud 同步时选择「删除 iCloud 副本」，或在 iOS 系统的「设置 › Apple ID › iCloud › 管理账户存储」中删除本应用的数据。注意：删除云端副本会同时终止你发起的账本共享，成员将失去访问权限。
• 删除应用：从设备上删除本应用会一并删除其沙盒内的全部本地数据；iCloud 中的副本需按上一条单独删除。

你自行导出到设备其他位置或第三方服务的备份文件，需要你自己删除。

11. 你的权利

在适用的法律（包括中华人民共和国《个人信息保护法》、欧盟 GDPR、加州 CCPA/CPRA 等）下，你对自己的个人信息享有知情、查阅、复制、更正、补充、删除、转移以及撤回同意等权利。

在本应用中，行使这些权利不需要联系我们，也不需要等待我们审批——因为数据一直在你手里：

如果你认为你的权利未能得到落实，或对本政策有任何疑问，可以通过第 16 条的方式联系我们。我们会在收到后 30 日内答复。你也有权向所在地的个人信息保护监管机构投诉。

12. 未成年人

本应用面向成年用户设计，不针对儿童，也不会有意收集儿童的个人信息。若你未满 14 周岁，请在监护人的同意与指导下使用本应用。由于本应用不向我们回传任何个人信息，我们不掌握任何用户的年龄信息；如监护人发现相关情况并希望清除设备上的数据，可按第 10 条自行删除。

年龄段信号：在法律有此要求的设备或地区，本应用会通过 Apple 的 Declared Age Range（年龄段声明）接口询问你的年龄段。Apple 只返回一个年龄段，不返回你的出生日期。该结果只在你的设备上使用，仅用于判断应用发生重大变更时是否需要取得家长同意；它只保存在内存中，不写入存储、不同步、不发送给我们。

13. 数据安全

• 本机数据受 iOS 沙盒隔离；附件文件启用系统文件保护，设备锁屏时处于加密状态。
• iCloud 传输与存储由 Apple 加密，具体机制见 Apple 的相关说明。
• 备份文件可选 AES 加密（口令由你设定，我们不保存）。
• 我们不持有你的数据，因此也不存在「我们被拖库」这类风险。

与此同时请注意：设备本身的安全是这一切的前提。请为设备设置锁屏密码、开启生物识别、及时更新系统，并谨慎对待越狱设备与来路不明的备份文件。没有任何技术措施能保证绝对安全。

14. 跨境传输

我们自身不接收、不传输你的个人信息，因此不存在由我们发起的跨境传输。若你开启 iCloud 同步，数据的存储位置由 Apple 依据你的 Apple ID 所属国家或地区决定（例如中国大陆的 iCloud 服务由云上贵州运营）。相关安排与保障措施请参阅 Apple 隐私政策及 iCloud 条款。

15. 政策变更

如果本应用的数据处理方式发生变化，我们会更新本页面并修改顶部的「最后更新」日期。涉及重大变更（例如引入任何形式的数据上传）时，我们会在应用内以显著方式提示，并在需要时重新征求你的同意。本页面的历史版本可在本站的公开代码仓库中查阅。

16. 联系我们

关于本政策或你的数据的任何问题，请发送邮件至：keel@gwongsam.net

请在邮件中说明你使用的应用版本与设备系统版本，这有助于我们更快答复。

本政策另有英文、德文、西班牙文、法文、葡萄牙文与意大利文译本（English · Deutsch · Español · Français · Português · Italiano）；各译本与中文版本如有歧义，以中文版本为准。

Privacy Policy

For the Keel iOS app (Chinese name: 司元)Effective: July 28, 2026Last updated: October 5, 2026

1. Who provides this app

Keel (Chinese name 司元, the "App") is developed and published by gwongsam, an independent developer ("we", "us").

This policy explains how the App handles your information. One premise runs through all of it: the App has no backend server of ours, and your ledger contents never reach us. Most of what follows therefore describes how data moves between your own device and your own iCloud account.

2. What data the app handles

The following data is created by you as you use the App, and is stored on your device:

The App does not request, collect, or process your legal name, government ID numbers, phone number, email address, card numbers, banking or payment credentials, contacts, location, health data, advertising identifiers (IDFA), or device fingerprints.

3. Where your data lives

3.1 On your device (the default)

Out of the box, all of the above is stored locally: the ledger database lives in the app's sandbox container, and attachment files are stored in the app's file repository with system file protection enabled (encrypted and unreadable while the device is locked). iOS sandboxing prevents other apps from reading any of it.

If you never enable iCloud Sync and never export a backup, your ledger data never leaves that device.

3.2 iCloud Sync (off by default; you must turn it on)

You can enable iCloud Sync under Settings › Privacy & Sync. Once enabled:

• Books, transactions, accounts, categories, exchange rates, app settings, and attachments are stored in the iCloud private database of your Apple ID (CloudKit private database) so they can sync across your devices.
• This data is hosted by Apple within your own iCloud storage quota. We cannot access, read, or export it. Developers have no access to a user's private database — that is how Apple's CloudKit is architected, not merely a promise we make.
• Apple's handling of this data is governed by the Apple Privacy Policy.
• Sync uses silent push notifications to tell a device to fetch changes. Those notifications carry no ledger content.
• You can turn sync off at any time, and choose either to keep a local copy or to also request deletion of the copy stored in iCloud.

3.3 Shared books

You can share a book with other people for collaboration. This is always initiated by you:

• Sharing uses Apple's iCloud sharing mechanism: you generate an iCloud share link and send it to the other person yourself.
• Members who accept your invitation can access the contents of that book — including its transactions and attachments — at the permission level you grant (read-only or read-write). Books you have not shared are unaffected.
• So the member list can show who is who, the App displays the participant identity information Apple provides (such as the name the person presents through system sharing). You can also set a local-only nickname for a member.
• You can remove a member or stop sharing at any time, which revokes their access.
• Choose who you share with carefully. Once someone has access, they may view or copy what is in that book, which is beyond our technical control.

3.4 Online exchange rates

The App can fetch reference exchange rates for multi-currency conversion. This feature:

• performs a read-only fetch from an iCloud public database (CloudKit public database);
• uploads nothing — not your ledger, accounts, currency preferences, or any identifier;
• retrieves only public market rate figures, which contain no personal information;
• always defers to rates you enter manually.

Rates are for bookkeeping conversion only and are not a quote for any transaction; see Terms of Service, Section 6.

4. Device permissions

The App requests the following permissions only when you use the corresponding feature. You may decline any of them; the rest of the App continues to work.

The App does not request location, contacts, microphone, calendar, health, or App Tracking Transparency permissions.

5. Diagnostics and crash data

To make problems diagnosable, the App records runtime logs and error information on the device, and receives system-provided crash and performance metrics (Apple MetricKit). About this data:

• It stays on your device. It is rotated and pruned automatically by size and age, and you can inspect how much space it uses — and clear it — in Settings.
• It is never sent to us automatically. We see it only if you deliberately export the diagnostic log in the App and send it to us, for example by email. You can review the contents before sending.
• The logs record operation types, error codes, and technical context to locate faults. We take care to keep ledger details out of them, but we cannot rule out that fragments of text such as a note or account name appear in an error context. Please review a log before sending it if it might contain something you would rather not share.

Separately, if you have enabled "Share iPhone Analytics" in iOS Settings, Apple may provide us with aggregated, non-identifying crash and usage statistics through App Store Connect. That channel is controlled by Apple, and you can turn it off at any time under Settings › Privacy & Security › Analytics & Improvements.

6. Purchases and subscriptions

• Payment is handled by Apple. We never see your payment information — not your card number, Apple ID password, or billing address.
• The App receives transaction receipts from the App Store to determine whether your membership entitlement is valid. Those receipts are used for on-device feature unlocking.
• Apple provides us with sales and subscription reports. These are aggregated and contain no information identifying an individual.
• Purchases, refunds, subscription management, and cancellation are governed by the Apple Media Services Terms and Conditions.

The commercial terms for purchases are in Terms of Service, Section 3.

7. Import, export, and backups

• Import (files): You can import historical transactions from spreadsheets exported by other bookkeeping apps (such as Qianji's xlsx / CSV files). Files are parsed entirely on your device and are not uploaded anywhere.
• Import (YNAB, direct): If you use YNAB, you can paste your own personal access token and the App reads your own budget data straight from YNAB’s API, never through a server of ours (we have none). It is a one-way read: nothing is written to YNAB, and no ledger content from this App is sent there. The token stays in this device’s memory and is cleared when the import ends — never written to disk, never synced to iCloud, never included in a backup.
• Backup export: You can export a complete backup. Backups support AES encryption with a passphrase you set. Without a passphrase, the exported file is unencrypted and anyone who obtains it can read your ledger — store it carefully.
• You choose the destination. Backups are handed to the system share sheet and go wherever you send them (Files, iCloud Drive, email, a third-party cloud service). Once a file leaves the App, the privacy policy of that destination applies, not this one.
• We cannot recover a passphrase. It is used only for encryption and decryption, and is never stored or transmitted. A forgotten passphrase means that backup cannot be restored.

8. How AI features handle your data

Two features in the App are powered by AI, and both run on your device:

• Ask your ledger (the assistant): you ask in plain language, and the App fetches just the part of your ledger that question needs — accounts and balances, entries, budgets, commitments falling due — and hands it to the model.
• Receipt capture: you hand it a photo of a bill or receipt, the App recognizes the text in it and drafts an entry for you to confirm. It processes only the image you gave it.

Your permission is asked first. The first time you open the assistant, the App shows a full screen stating all of the above, and the conversation begins only after you confirm; until then the assistant reads nothing from your ledger. You can also switch the whole feature group off at any time under Settings › Privacy & Sync › Siri & Shortcuts, after which the assistant entry point disappears.

The two features have different device requirements: asking your ledger needs a device that supports Apple Intelligence with it turned on (not yet available in mainland China); receipt capture uses the system's own text recognizer and does not require Apple Intelligence. Where the requirements are not met, the corresponding entry point does not appear.

9. Third parties: what we don't do

To leave no ambiguity, here is what the App does not do:

• No third-party analytics, telemetry, crash-reporting, or A/B testing SDKs are integrated;
• No advertising is shown and no ad network is integrated;
• No cookies, pixels, device fingerprinting, or cross-app tracking of any kind;
• We do not sell, rent, or share your personal information for marketing purposes — including under the meanings of "sell" and "share" in California law;
• We do not use your ledger data to train machine-learning models;
• We do not provide your data to data brokers, credit bureaus, financial institutions, or any other third party.

By default there is exactly one external party involved: Apple, as the platform provider of iCloud storage, sharing, and payment services. Two further channels exist only if you start them yourself, and neither is on by default:

• Importing from YNAB (Section 7): after you paste your own YNAB personal access token, the App reads your own budget data straight from YNAB’s API. It is a one-way read — nothing is written back to YNAB, and no ledger content from this App is sent there. The token stays in this device’s memory and is cleared when the import finishes.
• “AI Apps on This Mac” in the macOS version (Section 8): once enabled, ledger content reaches whichever AI service provider you connected. The iOS and iPadOS versions have no such channel.

External links on the Contact & Feedback page. Settings › Contact & Feedback lists email together with social platforms such as Discord, RED (Xiaohongshu), X, TikTok, WeChat, and Douyin. These entries are built into the App; opening the page makes no network request. Tapping any of them takes you out of the App to the corresponding app or website, where your browsing and interactions are handled by that service under its own privacy policy, not this one. The App sends no data to these platforms. The email entries only pre-fill, in the system mail composer, the recipient, a subject, and a short block stating the app version, OS version, device model, and interface language; choosing Report a Problem also attaches a diagnostics report (see Section 5). All of it is visible before you send, and whether to send it — and what to remove — is up to you.

Apart from those cases and legally compelled disclosure (below), there are no other recipients of data.

If we receive a lawful demand for data from an authority with jurisdiction, we can only produce information we actually hold. Because we do not hold your ledger data, such a demand has no effect on your ledger contents; requests concerning data stored in iCloud must be directed to Apple.

10. Retention and deletion

Because you hold the data, you decide how long it is kept. To delete it:

• A single record: delete the transaction, account, or attachment in the App.
• Everything: Settings offers "Clear All Data", which requires a confirmation code and destroys and rebuilds the current store.
• The iCloud copy: choose "Delete iCloud Copy" when turning off iCloud Sync, or delete the app's data under Settings › Apple ID › iCloud › Manage Account Storage. Note that deleting the cloud copy also ends any book sharing you started, and members lose access.
• The app: deleting the App from your device removes all local data in its sandbox. Any iCloud copy must be deleted separately, as above.

Backup files you exported elsewhere are yours to delete.

11. Your rights

Under applicable law — including China's Personal Information Protection Law (PIPL), the EU GDPR, and California's CCPA/CPRA — you have rights to be informed about, access, copy, correct, supplement, delete, and port your personal information, and to withdraw consent.

In this App, exercising those rights requires no request to us and no approval from us, because the data has been in your hands all along:

If you believe your rights have not been honored, or you have questions about this policy, contact us using Section 16. We will respond within 30 days. You also have the right to lodge a complaint with your local data protection authority.

12. Children

The App is designed for adults. It is not directed at children and does not knowingly collect children's personal information. If you are under 14, please use the App with the consent and guidance of a parent or guardian. Because the App transmits no personal information to us, we hold no age information about any user; a guardian who wishes to erase data from a device can do so directly using Section 10.

Age-range signal: on devices and in regions where the law requires it, the App asks Apple's Declared Age Range API for your age range. Apple returns only an age range, not your date of birth. The result is used on your device only, solely to decide whether parental consent is needed before significant changes to the App; it is kept in memory only — never stored, never synced, and never sent to us.

13. Security

• Local data is isolated by the iOS sandbox; attachment files use system file protection and are encrypted while the device is locked.
• iCloud transport and storage are encrypted by Apple; see Apple's documentation for details.
• Backup files can be AES-encrypted with a passphrase you choose and we never store.
• We hold none of your data, so there is no "we got breached" scenario for it.

That said, the security of your device underpins all of this. Set a passcode, enable biometric unlock, keep iOS updated, and be cautious with jailbroken devices and backup files of unknown origin. No security measure is absolute.

14. International transfers

We neither receive nor transmit your personal information, so there is no cross-border transfer initiated by us. If you enable iCloud Sync, the storage location is determined by Apple based on the country or region of your Apple ID (for example, iCloud services for mainland China are operated by GCBD). For those arrangements and safeguards, see the Apple Privacy Policy and the iCloud terms.

15. Changes to this policy

If the App's data practices change, we will update this page and revise the "Last updated" date at the top. For material changes — such as introducing any form of data upload — we will surface a prominent in-app notice and, where required, ask for your consent again. Previous versions of this page can be reviewed in this site's public repository.

16. Contact us

For any question about this policy or your data, email keel@gwongsam.net.

Including your app version and iOS version helps us answer faster.

In case of any discrepancy between this English version and the Chinese version, the Chinese version prevails.

Datenschutzerklärung

Für die iOS-App Keel (chinesischer Name: 司元)Gültig ab: 28. Juli 2026Zuletzt aktualisiert: 5. Oktober 2026

1. Wer diese App anbietet

Keel (chinesischer Name 司元, die „App“) wird von gwongsam, einem unabhängigen Entwickler („wir“, „uns“), entwickelt und veröffentlicht.

Diese Richtlinie erläutert, wie die App mit deinen Informationen umgeht. Eine Voraussetzung zieht sich durch alles: Die App hat keinen eigenen Backend-Server von uns, und der Inhalt deiner Bücher erreicht uns nie. Das Folgende beschreibt daher größtenteils, wie Daten zwischen deinem eigenen Gerät und deinem eigenen iCloud-Account fließen.

2. Welche Daten die App verarbeitet

Die folgenden Daten entstehen, während du die App nutzt, und werden auf deinem Gerät gespeichert:

Die App fordert, erhebt und verarbeitet nicht: deinen bürgerlichen Namen, amtliche Ausweisnummern, Telefonnummer, E-Mail-Adresse, Kartennummern, Bank- oder Zahlungszugangsdaten, Kontakte, Standort, Gesundheitsdaten, Werbe-IDs (IDFA) oder Geräte-Fingerprints.

3. Wo deine Daten gespeichert sind

3.1 Auf deinem Gerät (Standard)

Im Auslieferungszustand wird alles oben Genannte lokal gespeichert: Die Buchhaltungsdatenbank liegt im Sandbox-Container der App, und Anhänge werden im Dateispeicher der App mit aktiviertem Dateischutz des Systems abgelegt (verschlüsselt und nicht lesbar, solange das Gerät gesperrt ist). Die iOS-Sandbox verhindert, dass andere Apps darauf zugreifen.

Wenn du die iCloud-Synchronisierung nie aktivierst und nie ein Backup exportierst, verlassen deine Buchhaltungsdaten dieses Gerät nie.

3.2 iCloud-Synchronisierung (standardmäßig aus; du musst sie einschalten)

Du kannst die iCloud-Synchronisierung unter Einstellungen › Datenschutz & Synchronisierung aktivieren. Sobald sie aktiviert ist:

• Bücher, Buchungen, Konten, Kategorien, Wechselkurse, App-Einstellungen und Anhänge werden in der privaten iCloud-Datenbank deines Apple Accounts (private CloudKit-Datenbank) gespeichert, damit sie zwischen deinen Geräten synchronisiert werden können.
• Diese Daten werden von Apple gehostet, innerhalb deines eigenen iCloud-Speicherkontingents. Wir können darauf weder zugreifen noch sie lesen oder exportieren. Entwickler haben keinen Zugriff auf die private Datenbank eines Nutzers – das ergibt sich aus der Architektur von Apples CloudKit und ist nicht bloß ein Versprechen von uns.
• Für Apples Umgang mit diesen Daten gilt die Datenschutzerklärung von Apple.
• Die Synchronisierung verwendet stille Push-Mitteilungen, um ein Gerät zum Abrufen von Änderungen aufzufordern. Diese Mitteilungen enthalten keine Buchhaltungsinhalte.
• Du kannst die Synchronisierung jederzeit ausschalten und dabei wählen, ob du eine lokale Kopie behältst oder zusätzlich die Löschung der in iCloud gespeicherten Kopie veranlasst.

3.3 Geteilte Bücher

Du kannst ein Buch zur Zusammenarbeit mit anderen Personen teilen. Dies geschieht immer auf deine Veranlassung:

• Das Teilen nutzt Apples iCloud-Freigabemechanismus: Du erzeugst einen iCloud-Freigabelink und sendest ihn selbst an die andere Person.
• Mitglieder, die deine Einladung annehmen, können auf den Inhalt dieses Buchs – einschließlich seiner Buchungen und Anhänge – mit der von dir eingeräumten Berechtigungsstufe (nur Lesen oder Lesen und Schreiben) zugreifen. Bücher, die du nicht geteilt hast, sind davon nicht betroffen.
• Damit die Mitgliederliste erkennen lässt, wer wer ist, zeigt die App die von Apple bereitgestellten Identitätsangaben der Teilnehmenden an (etwa den Namen, mit dem die Person über die Systemfreigabe auftritt). Du kannst für ein Mitglied außerdem einen nur lokal sichtbaren Spitznamen festlegen.
• Du kannst jederzeit ein Mitglied entfernen oder das Teilen beenden; damit wird dessen Zugriff widerrufen.
• Wähle sorgfältig aus, mit wem du teilst. Sobald jemand Zugriff hat, kann er den Inhalt dieses Buchs ansehen oder kopieren; das liegt außerhalb unserer technischen Kontrolle.

3.4 Online-Wechselkurse

Die App kann Referenz-Wechselkurse für die Umrechnung zwischen mehreren Währungen abrufen. Diese Funktion:

• führt einen reinen Lesezugriff auf eine öffentliche iCloud-Datenbank (öffentliche CloudKit-Datenbank) aus;
• lädt nichts hoch – weder dein Buch noch deine Konten, Währungseinstellungen oder irgendeine Kennung;
• ruft nur öffentliche Marktkurse ab, die keine personenbezogenen Daten enthalten;
• hat stets Nachrang gegenüber von dir manuell eingegebenen Kursen.

Die Kurse dienen nur der buchhalterischen Umrechnung und stellen kein Angebot für irgendeine Transaktion dar; siehe Nutzungsbedingungen, Abschnitt 6.

4. Geräteberechtigungen

Die App fragt die folgenden Berechtigungen nur an, wenn du die jeweilige Funktion nutzt. Du kannst jede davon ablehnen; der Rest der App funktioniert weiterhin.

Die App fordert keine Berechtigungen für Standort, Kontakte, Mikrofon, Kalender, Health oder App-Tracking-Transparenz an.

5. Diagnose- und Absturzdaten

Damit sich Probleme diagnostizieren lassen, zeichnet die App Laufzeitprotokolle und Fehlerinformationen auf dem Gerät auf und empfängt vom System bereitgestellte Absturz- und Leistungsmetriken (Apple MetricKit). Zu diesen Daten:

• Sie bleiben auf deinem Gerät. Sie werden nach Größe und Alter automatisch rotiert und bereinigt, und du kannst in den Einstellungen einsehen, wie viel Speicher sie belegen, und sie löschen.
• Sie werden nie automatisch an uns gesendet. Wir sehen sie nur, wenn du das Diagnoseprotokoll in der App bewusst exportierst und uns zusendest, etwa per E-Mail. Du kannst den Inhalt vor dem Senden prüfen.
• Die Protokolle erfassen Vorgangsarten, Fehlercodes und technischen Kontext, um Fehler einzugrenzen. Wir achten darauf, Buchungsdetails daraus fernzuhalten, können aber nicht ausschließen, dass Textfragmente wie eine Notiz oder ein Kontoname in einem Fehlerkontext erscheinen. Bitte prüfe ein Protokoll vor dem Senden, falls es etwas enthalten könnte, das du lieber nicht teilen möchtest.

Unabhängig davon kann Apple uns, sofern du in den iOS-Einstellungen „iPhone-Analyse teilen“ aktiviert hast, über App Store Connect aggregierte, nicht identifizierende Absturz- und Nutzungsstatistiken bereitstellen. Dieser Kanal wird von Apple gesteuert, und du kannst ihn jederzeit unter Einstellungen › Datenschutz & Sicherheit › Analyse & Verbesserungen ausschalten.

6. Käufe und Abonnements

• Die Zahlung wird von Apple abgewickelt. Wir sehen deine Zahlungsinformationen nie – weder deine Kartennummer noch dein Apple Account-Passwort oder deine Rechnungsadresse.
• Die App erhält Transaktionsbelege vom App Store, um festzustellen, ob deine Premium-Berechtigung gültig ist. Diese Belege werden zur Freischaltung von Funktionen auf dem Gerät verwendet.
• Apple stellt uns Verkaufs- und Abonnementberichte bereit. Diese sind aggregiert und enthalten keine Informationen, die eine einzelne Person identifizieren.
• Für Käufe, Erstattungen, Abonnementverwaltung und Kündigung gelten die Allgemeinen Geschäftsbedingungen für Medienservices von Apple.

Die geschäftlichen Bedingungen für Käufe findest du in den Nutzungsbedingungen, Abschnitt 3.

7. Import, Export und Backups

• Import (Dateien): Du kannst historische Buchungen aus Tabellen importieren, die von anderen Buchhaltungs-Apps exportiert wurden (etwa xlsx-/CSV-Dateien von Qianji). Die Dateien werden vollständig auf deinem Gerät verarbeitet und nirgendwohin hochgeladen.
• Import (YNAB, direkt): Wenn du YNAB nutzt, kannst du dein eigenes persönliches Zugriffstoken einfügen; die App liest dann deine eigenen Budgetdaten direkt über die API von YNAB, niemals über einen Server von uns (wir haben keinen). Es handelt sich um einen einseitigen Lesezugriff: Nichts wird in YNAB geschrieben, und keine Buchhaltungsinhalte aus dieser App werden dorthin gesendet. Das Token verbleibt im Arbeitsspeicher dieses Geräts und wird nach Abschluss des Imports gelöscht – es wird nie auf den Datenträger geschrieben, nie mit iCloud synchronisiert und nie in ein Backup aufgenommen.
• Backup-Export: Du kannst ein vollständiges Backup exportieren. Backups unterstützen eine AES-Verschlüsselung mit einem von dir festgelegten Passwort. Ohne Passwort ist die exportierte Datei unverschlüsselt, und jeder, der sie erhält, kann dein Buch lesen – bewahre sie sorgfältig auf.
• Du wählst das Ziel. Backups werden an das Teilen-Menü des Systems übergeben und gelangen dorthin, wohin du sie sendest (Dateien, iCloud Drive, E-Mail, ein Cloud-Dienst eines Drittanbieters). Sobald eine Datei die App verlassen hat, gilt die Datenschutzerklärung dieses Ziels, nicht diese.
• Wir können kein Passwort wiederherstellen. Es wird nur zur Ver- und Entschlüsselung verwendet und nie gespeichert oder übertragen. Ein vergessenes Passwort bedeutet, dass dieses Backup nicht wiederhergestellt werden kann.

8. Wie die KI-Funktionen mit deinen Daten umgehen

Zwei Funktionen der App werden durch KI unterstützt, und beide laufen auf deinem Gerät:

• Dein Buch befragen (der Assistent): Du stellst eine Frage in natürlicher Sprache, und die App ruft genau den Teil deines Buchs ab, den diese Frage benötigt – Konten und Salden, Buchungen, Budgets, fällig werdende Verpflichtungen – und übergibt ihn dem Modell.
• Belegerfassung: Du übergibst ein Foto einer Rechnung oder eines Belegs, die App erkennt den darin enthaltenen Text und entwirft einen Eintrag, den du bestätigst. Sie verarbeitet nur das Bild, das du ihr gegeben hast.

Zuerst wird deine Zustimmung eingeholt. Wenn du den Assistenten zum ersten Mal öffnest, zeigt die App einen ganzen Bildschirm mit allen obigen Angaben, und die Unterhaltung beginnt erst, nachdem du bestätigt hast; bis dahin liest der Assistent nichts aus deinem Buch. Du kannst die gesamte Funktionsgruppe außerdem jederzeit unter Einstellungen › Datenschutz & Synchronisierung › Siri & Kurzbefehle ausschalten; danach verschwindet der Einstiegspunkt des Assistenten.

Die beiden Funktionen haben unterschiedliche Geräteanforderungen: Das Befragen deines Buchs erfordert ein Gerät, das Apple Intelligence unterstützt und bei dem es eingeschaltet ist (auf dem chinesischen Festland noch nicht verfügbar); die Belegerfassung nutzt die systemeigene Texterkennung und erfordert kein Apple Intelligence. Sind die Voraussetzungen nicht erfüllt, erscheint der entsprechende Einstiegspunkt nicht.

9. Dritte: was wir nicht tun

Um keine Unklarheit zu lassen, hier ist aufgeführt, was die App nicht tut:

• Es sind keine SDKs Dritter für Analyse, Telemetrie, Absturzberichte oder A/B-Tests integriert;
• es wird keine Werbung angezeigt und kein Werbenetzwerk integriert;
• keine Cookies, Pixel, Geräte-Fingerprinting oder App-übergreifendes Tracking jeglicher Art;
• wir verkaufen, vermieten oder teilen deine personenbezogenen Daten nicht zu Marketingzwecken – auch nicht im Sinne von „Verkaufen“ („sell“) und „Teilen“ („share“) nach kalifornischem Recht;
• wir verwenden deine Buchhaltungsdaten nicht zum Training von Modellen für maschinelles Lernen;
• wir geben deine Daten nicht an Datenhändler, Auskunfteien, Finanzinstitute oder sonstige Dritte weiter.

Standardmäßig ist genau eine externe Partei beteiligt: Apple, als Plattformanbieter von iCloud-Speicher, Freigabe- und Zahlungsdiensten. Zwei weitere Kanäle bestehen nur, wenn du sie selbst in Gang setzt, und keiner davon ist standardmäßig aktiv:

• Import aus YNAB (Abschnitt 7): Nachdem du dein eigenes persönliches YNAB-Zugriffstoken eingefügt hast, liest die App deine eigenen Budgetdaten direkt über die API von YNAB. Es handelt sich um einen einseitigen Lesezugriff – nichts wird in YNAB zurückgeschrieben, und keine Buchhaltungsinhalte aus dieser App werden dorthin gesendet. Das Token verbleibt im Arbeitsspeicher dieses Geräts und wird nach Abschluss des Imports gelöscht.
• „KI-Apps auf diesem Mac“ in der macOS-Version (Abschnitt 8): Sobald es aktiviert ist, gelangen Buchhaltungsinhalte zu dem KI-Dienstanbieter, mit dem du den Client verbunden hast. Die iOS- und iPadOS-Versionen haben keinen solchen Kanal.

Externe Links auf der Seite „Kontakt & Feedback“. Einstellungen › Kontakt & Feedback listet E-Mail sowie soziale Plattformen wie Discord, RED (Xiaohongshu), X, TikTok, WeChat und Douyin auf. Diese Einträge sind in die App integriert; das Öffnen der Seite löst keine Netzwerkanfrage aus. Wenn du auf einen davon tippst, verlässt du die App und gelangst zur entsprechenden App oder Website, wo dein Surfen und deine Interaktionen von diesem Dienst nach dessen eigener Datenschutzerklärung behandelt werden, nicht nach dieser. Die App sendet keine Daten an diese Plattformen. Die E-Mail-Einträge füllen im Mail-Editor des Systems lediglich den Empfänger, einen Betreff und einen kurzen Block mit App-Version, Betriebssystemversion, Gerätemodell und Sprache der Benutzeroberfläche vor; wählst du Problem melden, wird zusätzlich ein Diagnosebericht angehängt (siehe Abschnitt 5). All dies ist vor dem Senden sichtbar, und ob du es sendest – und was du entfernst –, entscheidest du.

Abgesehen von diesen Fällen und einer gesetzlich erzwungenen Offenlegung (siehe unten) gibt es keine weiteren Empfänger von Daten.

Erhalten wir von einer zuständigen Behörde ein rechtmäßiges Auskunftsersuchen, können wir nur Informationen herausgeben, die wir tatsächlich besitzen. Da wir deine Buchhaltungsdaten nicht besitzen, hat ein solches Ersuchen keine Auswirkungen auf den Inhalt deiner Bücher; Ersuchen zu in iCloud gespeicherten Daten sind an Apple zu richten.

10. Speicherdauer und Löschung

Da du die Daten besitzt, entscheidest du, wie lange sie aufbewahrt werden. So löschst du sie:

• Ein einzelner Eintrag: Lösche die Buchung, das Konto oder den Anhang in der App.
• Alles: Die Einstellungen bieten „Alle Daten löschen“; dies erfordert einen Bestätigungscode und vernichtet den aktuellen Datenspeicher und baut ihn neu auf.
• Die iCloud-Kopie: Wähle beim Ausschalten der iCloud-Synchronisierung „iCloud-Kopie löschen“ oder lösche die Daten der App unter Einstellungen › Apple Account › iCloud › Accountspeicher verwalten. Beachte, dass das Löschen der Cloud-Kopie auch jede von dir gestartete Buchfreigabe beendet und die Mitglieder ihren Zugriff verlieren.
• Die App: Wenn du die App von deinem Gerät löschst, werden alle lokalen Daten in ihrer Sandbox entfernt. Eine iCloud-Kopie muss wie oben beschrieben separat gelöscht werden.

Backup-Dateien, die du an anderer Stelle gespeichert hast, musst du selbst löschen.

11. Deine Rechte

Nach geltendem Recht – einschließlich des chinesischen Gesetzes zum Schutz personenbezogener Informationen (PIPL), der EU-Datenschutz-Grundverordnung (DSGVO) sowie des kalifornischen CCPA/CPRA – hast du das Recht auf Information über deine personenbezogenen Daten, auf Auskunft, auf Kopie, auf Berichtigung, auf Vervollständigung, auf Löschung und auf Datenübertragbarkeit sowie das Recht, deine Einwilligung zu widerrufen.

In dieser App erfordert die Ausübung dieser Rechte weder einen Antrag an uns noch unsere Zustimmung, denn die Daten waren von Anfang an in deinen Händen:

Wenn du der Ansicht bist, dass deine Rechte nicht gewahrt wurden, oder Fragen zu dieser Richtlinie hast, kontaktiere uns wie in Abschnitt 16 beschrieben. Wir antworten innerhalb von 30 Tagen. Du hast außerdem das Recht, Beschwerde bei deiner örtlichen Datenschutzaufsichtsbehörde einzulegen.

12. Kinder

Die App ist für Erwachsene konzipiert. Sie richtet sich nicht an Kinder und erhebt wissentlich keine personenbezogenen Daten von Kindern. Wenn du jünger als 14 Jahre bist, nutze die App bitte mit Einwilligung und unter Anleitung eines Elternteils oder einer erziehungsberechtigten Person. Da die App keine personenbezogenen Daten an uns übermittelt, besitzen wir keine Altersangaben zu irgendeinem Nutzer; eine erziehungsberechtigte Person, die Daten von einem Gerät löschen möchte, kann dies direkt gemäß Abschnitt 10 tun.

Altersbereichssignal: Auf Geräten und in Regionen, in denen das Gesetz es verlangt, fragt die App über Apples Declared Age Range API deinen Altersbereich ab. Apple gibt nur einen Altersbereich zurück, nicht dein Geburtsdatum. Das Ergebnis wird nur auf deinem Gerät verwendet, ausschließlich um zu entscheiden, ob vor wesentlichen Änderungen an der App eine elterliche Einwilligung erforderlich ist; es wird nur im Arbeitsspeicher gehalten – nie gespeichert, nie synchronisiert und nie an uns gesendet.

13. Sicherheit

• Lokale Daten werden durch die iOS-Sandbox isoliert; Anhangsdateien nutzen den Dateischutz des Systems und sind verschlüsselt, solange das Gerät gesperrt ist.
• Übertragung und Speicherung in iCloud werden von Apple verschlüsselt; Einzelheiten findest du in der Dokumentation von Apple.
• Backup-Dateien können mit einem von dir gewählten Passwort, das wir nie speichern, per AES verschlüsselt werden.
• Wir besitzen keine deiner Daten, daher gibt es für sie kein Szenario „bei uns wurde eingebrochen“.

Dennoch gilt: Die Sicherheit deines Geräts ist die Grundlage für all dies. Lege einen Code fest, aktiviere die biometrische Entsperrung, halte iOS auf dem neuesten Stand und sei vorsichtig mit gejailbreakten Geräten und Backup-Dateien unbekannter Herkunft. Keine Sicherheitsmaßnahme ist absolut.

14. Internationale Datenübermittlungen

Wir empfangen und übermitteln deine personenbezogenen Daten nicht, daher gibt es keine von uns veranlasste grenzüberschreitende Übermittlung. Wenn du die iCloud-Synchronisierung aktivierst, bestimmt Apple den Speicherort anhand des Landes oder der Region deines Apple Accounts (beispielsweise werden iCloud-Dienste für das chinesische Festland von GCBD betrieben). Zu diesen Regelungen und Garantien siehe die Datenschutzerklärung von Apple und die iCloud-Bedingungen.

15. Änderungen dieser Richtlinie

Ändert sich der Umgang der App mit Daten, aktualisieren wir diese Seite und passen das Datum „Zuletzt aktualisiert“ oben an. Bei wesentlichen Änderungen – etwa der Einführung jeglicher Form des Hochladens von Daten – weisen wir in der App deutlich darauf hin und holen, soweit erforderlich, erneut deine Einwilligung ein. Frühere Fassungen dieser Seite können im öffentlichen Repository dieser Website eingesehen werden.

16. Kontakt

Bei Fragen zu dieser Richtlinie oder zu deinen Daten schreibe eine E-Mail an keel@gwongsam.net.

Wenn du deine App-Version und iOS-Version angibst, können wir schneller antworten.

Bei Abweichungen zwischen dieser deutschen Fassung und der chinesischen Fassung ist die chinesische Fassung maßgeblich.

Política de privacidad

Para la app Keel para iOS (nombre en chino: 司元)Fecha de entrada en vigor: 28 de julio de 2026Última actualización: 5 de octubre de 2026

1. Quién ofrece esta app

Keel (nombre en chino 司元, la «App») es desarrollada y publicada por gwongsam, un desarrollador independiente («nosotros»).

Esta política explica cómo trata la App tu información. Toda ella parte de una premisa: la App no tiene ningún servidor backend nuestro y el contenido de tu libro nunca llega a nosotros. Por eso, la mayor parte de lo que sigue describe cómo circulan los datos entre tu propio dispositivo y tu propia cuenta de iCloud.

2. Qué datos trata la app

Los siguientes datos los creas tú al usar la App y se guardan en tu dispositivo:

La App no solicita, recopila ni trata tu nombre legal, números de documentos de identidad oficiales, número de teléfono, dirección de correo electrónico, números de tarjeta, credenciales bancarias o de pago, contactos, ubicación, datos de salud, identificadores publicitarios (IDFA) ni huellas digitales del dispositivo.

3. Dónde se guardan tus datos

3.1 En tu dispositivo (opción predeterminada)

De forma predeterminada, todo lo anterior se guarda localmente: la base de datos del libro reside en el contenedor aislado (sandbox) de la app, y los archivos adjuntos se guardan en el repositorio de archivos de la app con la protección de archivos del sistema activada (cifrados e ilegibles mientras el dispositivo está bloqueado). El aislamiento de iOS impide que otras apps lean nada de ello.

Si nunca activas la sincronización con iCloud ni exportas una copia de seguridad, los datos de tu libro nunca salen de ese dispositivo.

3.2 Sincronización con iCloud (desactivada de forma predeterminada; debes activarla tú)

Puedes activar la sincronización con iCloud en Ajustes › Privacidad y sincronización. Una vez activada:

• Los libros, movimientos, cuentas, categorías, tipos de cambio, ajustes de la app y adjuntos se guardan en la base de datos privada de iCloud de tu Cuenta de Apple (base de datos privada de CloudKit) para que puedan sincronizarse entre tus dispositivos.
• Estos datos están alojados por Apple dentro de tu propia cuota de almacenamiento de iCloud. No podemos acceder a ellos, leerlos ni exportarlos. Los desarrolladores no tienen acceso a la base de datos privada de un usuario: así está diseñada la arquitectura de CloudKit de Apple; no es solo una promesa nuestra.
• El tratamiento de estos datos por parte de Apple se rige por la Política de privacidad de Apple.
• La sincronización usa notificaciones push silenciosas para indicar a un dispositivo que descargue los cambios. Esas notificaciones no contienen ningún contenido del libro.
• Puedes desactivar la sincronización en cualquier momento y elegir entre conservar una copia local o solicitar también la eliminación de la copia guardada en iCloud.

3.3 Libros compartidos

Puedes compartir un libro con otras personas para colaborar. Esto siempre lo inicias tú:

• El uso compartido emplea el mecanismo de compartición de iCloud de Apple: generas un enlace para compartir de iCloud y se lo envías tú mismo a la otra persona.
• Los miembros que aceptan tu invitación pueden acceder al contenido de ese libro —incluidos sus movimientos y adjuntos— con el nivel de permiso que les concedas (solo lectura o lectura y escritura). Los libros que no has compartido no se ven afectados.
• Para que la lista de miembros permita saber quién es quién, la App muestra la información de identidad del participante que proporciona Apple (como el nombre con el que la persona se presenta a través de la compartición del sistema). También puedes asignar a un miembro un apodo que solo se guarda localmente.
• Puedes eliminar a un miembro o dejar de compartir en cualquier momento, lo que revoca su acceso.
• Elige con cuidado con quién compartes. Una vez que alguien tiene acceso, puede ver o copiar lo que contiene ese libro, lo cual queda fuera de nuestro control técnico.

3.4 Tipos de cambio en línea

La App puede obtener tipos de cambio de referencia para la conversión entre monedas. Esta función:

• realiza una consulta de solo lectura a una base de datos pública de iCloud (base de datos pública de CloudKit);
• no sube nada: ni tu libro, ni tus cuentas, ni tus preferencias de moneda, ni ningún identificador;
• solo obtiene cifras públicas de tipos de mercado, que no contienen información personal;
• siempre da prioridad a los tipos que introduces manualmente.

Los tipos sirven únicamente para la conversión contable y no constituyen una cotización para ninguna operación; consulta los Términos del servicio, sección 6.

4. Permisos del dispositivo

La App solicita los siguientes permisos solo cuando usas la función correspondiente. Puedes denegar cualquiera de ellos; el resto de la App sigue funcionando.

La App no solicita permisos de ubicación, contactos, micrófono, calendario, salud ni de Transparencia de Rastreo de Apps.

5. Diagnóstico y datos de fallos

Para que los problemas puedan diagnosticarse, la App registra en el dispositivo registros de ejecución e información de errores, y recibe métricas de fallos y rendimiento proporcionadas por el sistema (Apple MetricKit). Sobre estos datos:

• Se quedan en tu dispositivo. Se rotan y depuran automáticamente según su tamaño y antigüedad, y en Ajustes puedes consultar cuánto espacio ocupan y borrarlos.
• Nunca se nos envían automáticamente. Solo los vemos si exportas deliberadamente el registro de diagnóstico desde la App y nos lo envías, por ejemplo, por correo electrónico. Puedes revisar el contenido antes de enviarlo.
• Los registros recogen tipos de operación, códigos de error y contexto técnico para localizar fallos. Procuramos mantener fuera de ellos los detalles del libro, pero no podemos descartar que en el contexto de un error aparezcan fragmentos de texto, como una nota o el nombre de una cuenta. Revisa el registro antes de enviarlo si pudiera contener algo que prefieras no compartir.

Por otra parte, si has activado «Compartir análisis del iPhone» en los Ajustes de iOS, Apple puede facilitarnos, a través de App Store Connect, estadísticas de fallos y de uso agregadas y no identificativas. Ese canal lo controla Apple, y puedes desactivarlo en cualquier momento en Ajustes › Privacidad y seguridad › Análisis y mejoras.

6. Compras y suscripciones

• Apple gestiona el pago. Nunca vemos tu información de pago: ni el número de tu tarjeta, ni la contraseña de tu Cuenta de Apple, ni tu dirección de facturación.
• La App recibe del App Store los recibos de transacción para determinar si tu acceso a Premium es válido. Esos recibos se usan para desbloquear funciones en el dispositivo.
• Apple nos facilita informes de ventas y suscripciones. Son agregados y no contienen información que identifique a una persona.
• Las compras, los reembolsos, la gestión de suscripciones y la cancelación se rigen por los Términos y condiciones de los Servicios Multimedia de Apple.

Las condiciones comerciales de las compras figuran en los Términos del servicio, sección 3.

7. Importación, exportación y copias de seguridad

• Importación (archivos): puedes importar movimientos históricos desde hojas de cálculo exportadas por otras apps de contabilidad (como los archivos xlsx / CSV de Qianji). Los archivos se procesan íntegramente en tu dispositivo y no se suben a ningún sitio.
• Importación (YNAB, directa): si usas YNAB, puedes pegar tu propio token de acceso personal y la App lee tus propios datos de presupuesto directamente de la API de YNAB, sin pasar nunca por un servidor nuestro (no tenemos ninguno). Es una lectura en un solo sentido: no se escribe nada en YNAB ni se envía allí ningún contenido del libro de esta App. El token permanece en la memoria de este dispositivo y se borra al terminar la importación: nunca se escribe en el disco, nunca se sincroniza con iCloud y nunca se incluye en una copia de seguridad.
• Exportación de copias de seguridad: puedes exportar una copia de seguridad completa. Las copias de seguridad admiten cifrado AES con una frase de contraseña que tú defines. Sin frase de contraseña, el archivo exportado no está cifrado y cualquiera que lo obtenga podrá leer tu libro: guárdalo con cuidado.
• Tú eliges el destino. Las copias de seguridad se entregan a la hoja de compartir del sistema y van a donde tú las envíes (Archivos, iCloud Drive, correo electrónico, un servicio de nube de terceros). Una vez que un archivo sale de la App, se aplica la política de privacidad de ese destino, no esta.
• No podemos recuperar una frase de contraseña. Solo se usa para cifrar y descifrar, y nunca se almacena ni se transmite. Si olvidas la frase de contraseña, esa copia de seguridad no podrá restaurarse.

8. Cómo tratan tus datos las funciones de IA

Dos funciones de la App se basan en IA, y ambas se ejecutan en tu dispositivo:

• Consultar tu libro (el asistente): preguntas en lenguaje natural y la App obtiene solo la parte de tu libro que necesita esa pregunta —cuentas y saldos, asientos, presupuestos, compromisos próximos a vencer— y se la entrega al modelo.
• Registro a partir de recibos: le das una foto de una factura o un recibo, la App reconoce el texto que contiene y redacta un asiento para que lo confirmes. Solo procesa la imagen que le has dado.

Primero se te pide permiso. La primera vez que abres el asistente, la App muestra una pantalla completa que explica todo lo anterior, y la conversación solo comienza después de que lo confirmes; hasta entonces, el asistente no lee nada de tu libro. También puedes desactivar todo este grupo de funciones en cualquier momento en Ajustes › Privacidad y sincronización › Siri y Atajos, tras lo cual desaparece el acceso al asistente.

Las dos funciones tienen requisitos de dispositivo distintos: consultar tu libro requiere un dispositivo compatible con Apple Intelligence y que esta esté activada (aún no disponible en China continental); el registro a partir de recibos usa el reconocedor de texto propio del sistema y no requiere Apple Intelligence. Si no se cumplen los requisitos, el acceso correspondiente no aparece.

9. Terceros: lo que no hacemos

Para no dejar lugar a dudas, esto es lo que la App no hace:

• No integra ningún SDK de terceros de analítica, telemetría, notificación de fallos ni pruebas A/B;
• No muestra publicidad ni integra ninguna red publicitaria;
• No usa cookies, píxeles, huellas digitales del dispositivo ni rastreo entre apps de ningún tipo;
• No vendemos, alquilamos ni compartimos tu información personal con fines de marketing, incluso en el sentido de «vender» («sell») y «compartir» («share») de la legislación de California;
• No usamos los datos de tu libro para entrenar modelos de aprendizaje automático;
• No proporcionamos tus datos a intermediarios de datos («data brokers»), burós u oficinas de crédito, entidades financieras ni a ningún otro tercero.

De forma predeterminada interviene exactamente un tercero: Apple, como proveedor de la plataforma de los servicios de almacenamiento, compartición y pago de iCloud. Existen otros dos canales solo si los inicias tú mismo, y ninguno está activado de forma predeterminada:

• Importación desde YNAB (sección 7): después de que pegues tu propio token de acceso personal de YNAB, la App lee tus propios datos de presupuesto directamente de la API de YNAB. Es una lectura en un solo sentido: no se escribe nada de vuelta en YNAB ni se envía allí ningún contenido del libro de esta App. El token permanece en la memoria de este dispositivo y se borra al terminar la importación.
• «Apps de IA en este Mac» en la versión para macOS (sección 8): una vez activado, el contenido del libro llega al proveedor de servicios de IA que hayas conectado. Las versiones para iOS y iPadOS no tienen este canal.

Enlaces externos en la página Contacto y comentarios. Ajustes › Contacto y comentarios muestra el correo electrónico junto con plataformas sociales como Discord, RED (Xiaohongshu), X, TikTok, WeChat y Douyin. Estas entradas están integradas en la App; abrir la página no genera ninguna solicitud de red. Al tocar cualquiera de ellas, sales de la App hacia la app o el sitio web correspondiente, donde tu navegación e interacciones las trata ese servicio conforme a su propia política de privacidad, no esta. La App no envía ningún dato a estas plataformas. Las entradas de correo electrónico solo completan de antemano, en el editor de correo del sistema, el destinatario, un asunto y un breve bloque con la versión de la app, la versión del sistema operativo, el modelo del dispositivo y el idioma de la interfaz; si eliges Informar de un problema, además se adjunta un informe de diagnóstico (consulta la sección 5). Todo ello es visible antes de enviarlo, y tú decides si lo envías y qué eliminas.

Aparte de esos casos y de la divulgación exigida por ley (véase más abajo), no hay ningún otro destinatario de datos.

Si recibimos un requerimiento legítimo de datos de una autoridad competente, solo podemos entregar la información que realmente tenemos. Como no tenemos los datos de tu libro, dicho requerimiento no afecta al contenido de tu libro; las solicitudes relativas a datos almacenados en iCloud deben dirigirse a Apple.

10. Conservación y eliminación

Como los datos los tienes tú, tú decides cuánto tiempo se conservan. Para eliminarlos:

• Un solo registro: elimina el movimiento, la cuenta o el adjunto en la App.
• Todo: Ajustes ofrece «Borrar todos los datos», que requiere un código de confirmación y destruye y reconstruye el almacén actual.
• La copia de iCloud: elige «Eliminar copia de iCloud» al desactivar la sincronización con iCloud, o elimina los datos de la app en Ajustes › Cuenta de Apple › iCloud › Gestionar almacenamiento de la cuenta. Ten en cuenta que eliminar la copia en la nube también pone fin a cualquier libro compartido que hayas iniciado, y los miembros pierden el acceso.
• La app: eliminar la App de tu dispositivo borra todos los datos locales de su sandbox. Cualquier copia en iCloud debe eliminarse por separado, como se indica arriba.

Los archivos de copia de seguridad que hayas exportado a otros lugares debes eliminarlos tú.

11. Tus derechos

En virtud de la legislación aplicable —incluidas la Ley de Protección de la Información Personal de China (PIPL), el Reglamento General de Protección de Datos de la UE (RGPD) y la CCPA/CPRA de California—, tienes derecho a ser informado sobre tu información personal, a acceder a ella, copiarla, rectificarla, completarla, suprimirla y portarla, así como a retirar tu consentimiento.

En esta App, ejercer esos derechos no requiere ninguna solicitud ni ninguna aprobación por nuestra parte, porque los datos han estado en tus manos desde el principio:

Si consideras que no se han respetado tus derechos o tienes preguntas sobre esta política, contáctanos según lo indicado en la sección 16. Responderemos en un plazo de 30 días. También tienes derecho a presentar una reclamación ante la autoridad de protección de datos de tu país o región.

12. Menores

La App está diseñada para adultos. No está dirigida a menores y no recopila a sabiendas información personal de menores. Si tienes menos de 14 años, usa la App con el consentimiento y la orientación de tu padre, madre o tutor. Como la App no nos transmite ninguna información personal, no disponemos de información sobre la edad de ningún usuario; un tutor que desee borrar los datos de un dispositivo puede hacerlo directamente siguiendo la sección 10.

Señal de rango de edad: en los dispositivos y regiones donde la ley lo exige, la App consulta tu rango de edad a la API Declared Age Range de Apple. Apple solo devuelve un rango de edad, no tu fecha de nacimiento. El resultado se usa únicamente en tu dispositivo, con el único fin de decidir si se necesita el consentimiento parental antes de cambios importantes en la App; solo se mantiene en memoria: nunca se almacena, nunca se sincroniza y nunca se nos envía.

13. Seguridad

• Los datos locales están aislados por el sandbox de iOS; los archivos adjuntos usan la protección de archivos del sistema y están cifrados mientras el dispositivo está bloqueado.
• Apple cifra la transmisión y el almacenamiento de iCloud; consulta la documentación de Apple para más detalles.
• Los archivos de copia de seguridad pueden cifrarse con AES mediante una frase de contraseña que tú eliges y que nosotros nunca almacenamos.
• No tenemos ninguno de tus datos, así que no existe para ellos el escenario de «hemos sufrido una filtración».

Dicho esto, la seguridad de tu dispositivo es la base de todo lo anterior. Configura un código de acceso, activa el desbloqueo biométrico, mantén iOS actualizado y ten precaución con los dispositivos con jailbreak y con los archivos de copia de seguridad de origen desconocido. Ninguna medida de seguridad es absoluta.

14. Transferencias internacionales

No recibimos ni transmitimos tu información personal, por lo que no existe ninguna transferencia internacional iniciada por nosotros. Si activas la sincronización con iCloud, Apple determina la ubicación del almacenamiento en función del país o región de tu Cuenta de Apple (por ejemplo, los servicios de iCloud para China continental los opera GCBD). Para conocer esas disposiciones y garantías, consulta la Política de privacidad de Apple y los términos de iCloud.

15. Cambios en esta política

Si cambian las prácticas de la App en materia de datos, actualizaremos esta página y modificaremos la fecha de «Última actualización» que figura al principio. En caso de cambios sustanciales —como la introducción de cualquier forma de subida de datos—, mostraremos un aviso destacado en la App y, cuando sea necesario, volveremos a solicitar tu consentimiento. Las versiones anteriores de esta página pueden consultarse en el repositorio público de este sitio.

16. Contacto

Para cualquier pregunta sobre esta política o sobre tus datos, escribe a keel@gwongsam.net.

Si incluyes la versión de la app y la versión de iOS, podremos responderte más rápido.

En caso de discrepancia entre esta versión en español y la versión en chino, prevalecerá la versión en chino.

Politique de confidentialité

Pour l’app iOS Keel (nom chinois : 司元)Date d’entrée en vigueur : 28 juillet 2026Dernière mise à jour : 5 octobre 2026

1. Qui fournit cette app

Keel (nom chinois 司元, l’« App ») est développée et publiée par gwongsam, développeur indépendant (« nous »).

La présente politique explique comment l’App traite vos informations. Un principe la sous-tend dans son ensemble : l’App ne dispose d’aucun serveur dorsal qui nous appartienne, et le contenu de vos livres ne nous parvient jamais. L’essentiel de ce qui suit décrit donc la manière dont les données circulent entre votre propre appareil et votre propre compte iCloud.

2. Données traitées par l’app

Les données suivantes sont créées par vous lorsque vous utilisez l’App, et sont stockées sur votre appareil :

L’App ne demande, ne collecte ni ne traite votre nom légal, vos numéros d’identification officiels, votre numéro de téléphone, votre adresse e-mail, vos numéros de carte, vos identifiants bancaires ou de paiement, vos contacts, votre localisation, vos données de santé, votre identifiant publicitaire (IDFA) ni l’empreinte de votre appareil.

3. Où se trouvent vos données

3.1 Sur votre appareil (par défaut)

D’emblée, toutes les données ci-dessus sont stockées localement : la base de données comptable se trouve dans le conteneur sandbox de l’app, et les pièces jointes sont stockées dans le référentiel de fichiers de l’app avec la protection des fichiers du système activée (chiffrés et illisibles tant que l’appareil est verrouillé). Le sandboxing d’iOS empêche les autres apps de les lire.

Si vous n’activez jamais la synchronisation iCloud et n’exportez jamais de sauvegarde, vos données comptables ne quittent jamais cet appareil.

3.2 Synchronisation iCloud (désactivée par défaut ; vous devez l’activer)

Vous pouvez activer la synchronisation iCloud dans Réglages › Confidentialité et synchronisation. Une fois celle-ci activée :

• Les livres, opérations, comptes, catégories, taux de change, réglages de l’app et pièces jointes sont stockés dans la base de données privée iCloud de votre identifiant Apple (base de données privée CloudKit) afin d’être synchronisés entre vos appareils.
• Ces données sont hébergées par Apple, dans votre propre quota de stockage iCloud. Nous ne pouvons ni y accéder, ni les lire, ni les exporter. Les développeurs n’ont aucun accès à la base de données privée d’un utilisateur — cela découle de l’architecture de CloudKit d’Apple, et pas seulement d’une promesse de notre part.
• Le traitement de ces données par Apple est régi par les Engagements d’Apple en matière de confidentialité.
• La synchronisation utilise des notifications push silencieuses pour indiquer à un appareil de récupérer les modifications. Ces notifications ne contiennent aucun contenu comptable.
• Vous pouvez désactiver la synchronisation à tout moment et choisir soit de conserver une copie locale, soit de demander également la suppression de la copie stockée dans iCloud.

3.3 Livres partagés

Vous pouvez partager un livre avec d’autres personnes pour collaborer. Ce partage est toujours à votre initiative :

• Le partage utilise le mécanisme de partage iCloud d’Apple : vous générez un lien de partage iCloud et l’envoyez vous-même à l’autre personne.
• Les membres qui acceptent votre invitation peuvent accéder au contenu de ce livre — y compris ses opérations et pièces jointes — selon le niveau d’autorisation que vous leur accordez (lecture seule ou lecture et écriture). Les livres que vous n’avez pas partagés ne sont pas concernés.
• Afin que la liste des membres permette d’identifier chacun, l’App affiche les informations d’identité des participants fournies par Apple (par exemple le nom que la personne présente via le partage du système). Vous pouvez également attribuer à un membre un surnom visible uniquement sur votre appareil.
• Vous pouvez retirer un membre ou arrêter le partage à tout moment, ce qui révoque son accès.
• Choisissez avec soin les personnes avec qui vous partagez. Une fois qu’une personne a accès, elle peut consulter ou copier le contenu de ce livre, ce qui échappe à notre contrôle technique.

3.4 Taux de change en ligne

L’App peut récupérer des taux de change de référence pour la conversion multidevise. Cette fonctionnalité :

• effectue une récupération en lecture seule depuis une base de données publique iCloud (base de données publique CloudKit) ;
• ne téléverse rien — ni votre livre, ni vos comptes, ni vos préférences de devise, ni aucun identifiant ;
• ne récupère que des taux de marché publics, qui ne contiennent aucune information personnelle ;
• s’efface toujours devant les taux que vous saisissez manuellement.

Les taux servent uniquement à la conversion comptable et ne constituent une cotation pour aucune transaction ; voir l’article 6 des Conditions d’utilisation.

4. Autorisations de l’appareil

L’App ne demande les autorisations suivantes que lorsque vous utilisez la fonctionnalité correspondante. Vous pouvez refuser n’importe laquelle d’entre elles ; le reste de l’App continue de fonctionner.

L’App ne demande pas les autorisations de localisation, de contacts, de microphone, de calendrier, de santé ni de transparence du suivi des apps (App Tracking Transparency).

5. Données de diagnostic et de plantage

Afin de pouvoir diagnostiquer les problèmes, l’App enregistre sur l’appareil des journaux d’exécution et des informations sur les erreurs, et reçoit des indicateurs de plantage et de performances fournis par le système (Apple MetricKit). Concernant ces données :

• Elles restent sur votre appareil. Elles font l’objet d’une rotation et d’une purge automatiques selon leur taille et leur ancienneté, et vous pouvez consulter l’espace qu’elles occupent — et les effacer — dans les Réglages.
• Elles ne nous sont jamais envoyées automatiquement. Nous ne les voyons que si vous exportez délibérément le journal de diagnostic dans l’App et nous l’envoyez, par exemple par e-mail. Vous pouvez en examiner le contenu avant l’envoi.
• Les journaux enregistrent les types d’opérations, les codes d’erreur et le contexte technique permettant de localiser les anomalies. Nous veillons à en exclure le détail de vos livres, mais nous ne pouvons pas exclure que des fragments de texte, tels qu’une note ou un nom de compte, apparaissent dans le contexte d’une erreur. Veuillez examiner un journal avant de l’envoyer s’il est susceptible de contenir des éléments que vous préféreriez ne pas partager.

Par ailleurs, si vous avez activé « Partager l’analyse de l’iPhone » dans les Réglages d’iOS, Apple peut nous fournir, via App Store Connect, des statistiques de plantage et d’utilisation agrégées et non identifiantes. Ce canal est contrôlé par Apple, et vous pouvez le désactiver à tout moment dans Réglages › Confidentialité et sécurité › Analyse et améliorations.

6. Achats et abonnements

• Le paiement est géré par Apple. Nous ne voyons jamais vos informations de paiement — ni votre numéro de carte, ni le mot de passe de votre identifiant Apple, ni votre adresse de facturation.
• L’App reçoit de l’App Store les reçus de transaction afin de déterminer si vos droits d’accès Premium sont valides. Ces reçus servent au déverrouillage des fonctionnalités sur l’appareil.
• Apple nous fournit des rapports de ventes et d’abonnements. Ceux-ci sont agrégés et ne contiennent aucune information permettant d’identifier une personne.
• Les achats, remboursements, la gestion et la résiliation des abonnements sont régis par les Conditions générales des services multimédias Apple.

Les conditions commerciales applicables aux achats figurent à l’article 3 des Conditions d’utilisation.

7. Importation, exportation et sauvegardes

• Importation (fichiers) : vous pouvez importer un historique d’opérations à partir de feuilles de calcul exportées par d’autres apps de comptabilité (comme les fichiers xlsx / CSV de Qianji). Les fichiers sont analysés entièrement sur votre appareil et ne sont téléversés nulle part.
• Importation (YNAB, directe) : si vous utilisez YNAB, vous pouvez coller votre propre jeton d’accès personnel, et l’App lit vos propres données budgétaires directement depuis l’API de YNAB, sans jamais passer par un serveur à nous (nous n’en avons aucun). Il s’agit d’une lecture à sens unique : rien n’est écrit dans YNAB, et aucun contenu comptable de cette App n’y est envoyé. Le jeton reste dans la mémoire de cet appareil et est effacé à la fin de l’importation — il n’est jamais écrit sur le disque, jamais synchronisé avec iCloud, jamais inclus dans une sauvegarde.
• Exportation de sauvegardes : vous pouvez exporter une sauvegarde complète. Les sauvegardes peuvent être chiffrées en AES avec une phrase secrète que vous définissez. Sans phrase secrète, le fichier exporté n’est pas chiffré et toute personne qui l’obtient peut lire vos livres — conservez-le avec soin.
• Vous choisissez la destination. Les sauvegardes sont transmises à la feuille de partage du système et vont là où vous les envoyez (Fichiers, iCloud Drive, e-mail, service cloud tiers). Dès qu’un fichier quitte l’App, c’est la politique de confidentialité de cette destination qui s’applique, et non la présente.
• Nous ne pouvons pas récupérer une phrase secrète. Elle sert uniquement au chiffrement et au déchiffrement, et n’est jamais stockée ni transmise. Une phrase secrète oubliée signifie que la sauvegarde concernée ne peut pas être restaurée.

8. Traitement de vos données par les fonctionnalités d’IA

Deux fonctionnalités de l’App reposent sur l’IA, et toutes deux s’exécutent sur votre appareil :

• Interroger votre livre (l’assistant) : vous posez une question en langage courant, et l’App récupère uniquement la partie de votre livre nécessaire à cette question — comptes et soldes, opérations, budgets, engagements arrivant à échéance — puis la transmet au modèle.
• Saisie de reçus : vous lui fournissez la photo d’une facture ou d’un reçu, l’App en reconnaît le texte et prépare une opération que vous devez confirmer. Elle ne traite que l’image que vous lui avez fournie.

Votre autorisation est demandée au préalable. La première fois que vous ouvrez l’assistant, l’App affiche un écran complet exposant tout ce qui précède, et la conversation ne commence qu’après votre confirmation ; jusque-là, l’assistant ne lit rien dans votre livre. Vous pouvez également désactiver l’ensemble de ces fonctionnalités à tout moment dans Réglages › Confidentialité et synchronisation › Siri et Raccourcis, après quoi l’accès à l’assistant disparaît.

Les deux fonctionnalités ont des exigences matérielles différentes : l’interrogation de votre livre nécessite un appareil compatible avec Apple Intelligence sur lequel celle-ci est activée (pas encore disponible en Chine continentale) ; la saisie de reçus utilise le module de reconnaissance de texte propre au système et ne nécessite pas Apple Intelligence. Lorsque les exigences ne sont pas remplies, le point d’accès correspondant n’apparaît pas.

9. Tiers : ce que nous ne faisons pas

Pour lever toute ambiguïté, voici ce que l’App ne fait pas :

• Aucun SDK tiers d’analyse, de télémétrie, de rapport de plantage ou de test A/B n’est intégré ;
• Aucune publicité n’est affichée et aucun réseau publicitaire n’est intégré ;
• Aucun cookie, pixel, empreinte d’appareil ni suivi entre apps de quelque nature que ce soit ;
• Nous ne vendons, ne louons ni ne partageons vos informations personnelles à des fins de marketing — y compris au sens des termes « sell » (vendre) et « share » (partager) du droit californien ;
• Nous n’utilisons pas vos données comptables pour entraîner des modèles d’apprentissage automatique ;
• Nous ne fournissons vos données à aucun courtier en données, bureau de crédit, établissement financier ni à aucun autre tiers.

Par défaut, un seul tiers externe intervient : Apple, en tant que fournisseur de la plateforme pour les services de stockage iCloud, de partage et de paiement. Deux autres canaux n’existent que si vous les mettez en œuvre vous-même, et aucun n’est activé par défaut :

• Importation depuis YNAB (article 7) : après que vous avez collé votre propre jeton d’accès personnel YNAB, l’App lit vos propres données budgétaires directement depuis l’API de YNAB. Il s’agit d’une lecture à sens unique — rien n’est réécrit dans YNAB, et aucun contenu comptable de cette App n’y est envoyé. Le jeton reste dans la mémoire de cet appareil et est effacé à la fin de l’importation.
• « Apps d’IA sur ce Mac » dans la version macOS (article 8) : une fois activé, le contenu comptable parvient au fournisseur de services d’IA auquel vous vous êtes connecté. Les versions iOS et iPadOS ne comportent aucun canal de ce type.

Liens externes de la page Contact et retours. Réglages › Contact et retours répertorie l’e-mail ainsi que des plateformes sociales telles que Discord, RED (Xiaohongshu), X, TikTok, WeChat et Douyin. Ces entrées sont intégrées à l’App ; l’ouverture de la page n’effectue aucune requête réseau. Toucher l’une d’elles vous fait quitter l’App pour l’app ou le site web correspondant, où votre navigation et vos interactions sont traitées par ce service selon sa propre politique de confidentialité, et non selon la présente. L’App n’envoie aucune donnée à ces plateformes. Les entrées e-mail se contentent de pré-remplir, dans l’éditeur de messages du système, le destinataire, un objet et un court bloc indiquant la version de l’app, la version du système d’exploitation, le modèle de l’appareil et la langue de l’interface ; le choix de Signaler un problème joint également un rapport de diagnostic (voir l’article 5). Tout cela est visible avant l’envoi, et il vous appartient de décider de l’envoyer ou non — et de ce qu’il convient d’en retirer.

En dehors de ces cas et des communications imposées par la loi (ci-dessous), il n’existe aucun autre destinataire des données.

Si nous recevons d’une autorité compétente une demande légale de communication de données, nous ne pouvons produire que les informations que nous détenons effectivement. Comme nous ne détenons pas vos données comptables, une telle demande est sans effet sur le contenu de vos livres ; les demandes concernant des données stockées dans iCloud doivent être adressées à Apple.

10. Conservation et suppression

Comme c’est vous qui détenez les données, c’est vous qui décidez de leur durée de conservation. Pour les supprimer :

• Un enregistrement isolé : supprimez l’opération, le compte ou la pièce jointe dans l’App.
• L’ensemble des données : les Réglages proposent « Effacer toutes les données », qui exige un code de confirmation, puis détruit et reconstruit le stockage actuel.
• La copie iCloud : choisissez « Supprimer la copie iCloud » lors de la désactivation de la synchronisation iCloud, ou supprimez les données de l’app dans Réglages › identifiant Apple › iCloud › Gérer le stockage du compte. Notez que la suppression de la copie dans le cloud met également fin à tout partage de livre que vous avez initié, et que les membres perdent leur accès.
• L’app : la suppression de l’App de votre appareil efface toutes les données locales contenues dans son sandbox. Toute copie iCloud doit être supprimée séparément, comme indiqué ci-dessus.

Il vous appartient de supprimer les fichiers de sauvegarde que vous avez exportés ailleurs.

11. Vos droits

En vertu du droit applicable — notamment la loi chinoise sur la protection des informations personnelles (PIPL), le règlement général sur la protection des données de l’UE (RGPD) et le CCPA/CPRA californien — vous disposez du droit d’être informé, d’un droit d’accès, de copie, de rectification, de complément, d’effacement et de portabilité de vos informations personnelles, ainsi que du droit de retirer votre consentement.

Dans cette App, l’exercice de ces droits ne nécessite aucune demande auprès de nous ni aucune approbation de notre part, car les données sont depuis toujours entre vos mains :

Si vous estimez que vos droits n’ont pas été respectés, ou si vous avez des questions sur la présente politique, contactez-nous selon les modalités de l’article 16. Nous vous répondrons dans un délai de 30 jours. Vous avez également le droit d’introduire une réclamation auprès de votre autorité locale de protection des données.

12. Enfants

L’App est conçue pour les adultes. Elle ne s’adresse pas aux enfants et ne collecte pas sciemment d’informations personnelles concernant des enfants. Si vous avez moins de 14 ans, veuillez utiliser l’App avec le consentement et sous la supervision d’un parent ou d’un tuteur. Comme l’App ne nous transmet aucune information personnelle, nous ne détenons aucune information sur l’âge de nos utilisateurs ; un tuteur qui souhaite effacer des données d’un appareil peut le faire directement en suivant l’article 10.

Signal de tranche d’âge : sur les appareils et dans les régions où la loi l’exige, l’App demande votre tranche d’âge à l’API Declared Age Range d’Apple. Apple ne renvoie qu’une tranche d’âge, et non votre date de naissance. Le résultat est utilisé uniquement sur votre appareil, dans le seul but de déterminer si un consentement parental est nécessaire avant des modifications importantes de l’App ; il est conservé uniquement en mémoire — jamais stocké, jamais synchronisé et jamais envoyé à nous.

13. Sécurité

• Les données locales sont isolées par le sandbox d’iOS ; les pièces jointes bénéficient de la protection des fichiers du système et sont chiffrées lorsque l’appareil est verrouillé.
• La transmission et le stockage iCloud sont chiffrés par Apple ; consultez la documentation d’Apple pour plus de détails.
• Les fichiers de sauvegarde peuvent être chiffrés en AES avec une phrase secrète que vous choisissez et que nous ne stockons jamais.
• Nous ne détenons aucune de vos données ; il n’existe donc aucun scénario dans lequel « nous aurions été piratés » s’agissant de celles-ci.

Cela étant, la sécurité de votre appareil est le fondement de tout ce qui précède. Définissez un code d’accès, activez le déverrouillage biométrique, maintenez iOS à jour, et soyez prudent avec les appareils jailbreakés et les fichiers de sauvegarde d’origine inconnue. Aucune mesure de sécurité n’est absolue.

14. Transferts internationaux

Nous ne recevons ni ne transmettons vos informations personnelles ; il n’y a donc aucun transfert transfrontalier à notre initiative. Si vous activez la synchronisation iCloud, le lieu de stockage est déterminé par Apple en fonction du pays ou de la région de votre identifiant Apple (par exemple, les services iCloud pour la Chine continentale sont exploités par GCBD). Pour ces modalités et les garanties associées, consultez les Engagements d’Apple en matière de confidentialité et les conditions d’iCloud.

15. Modifications de la présente politique

Si les pratiques de l’App en matière de données changent, nous mettrons à jour cette page et modifierons la date de « Dernière mise à jour » figurant en haut. En cas de modification substantielle — telle que l’introduction de toute forme de téléversement de données — nous afficherons un avis bien visible dans l’App et, lorsque la loi l’exige, nous vous demanderons à nouveau votre consentement. Les versions antérieures de cette page peuvent être consultées dans le dépôt public de ce site.

16. Nous contacter

Pour toute question concernant la présente politique ou vos données, écrivez à keel@gwongsam.net.

Indiquer la version de l’app et la version d’iOS nous aide à vous répondre plus rapidement.

En cas de divergence entre la présente version française et la version chinoise, la version chinoise prévaut.

Política de Privacidade

Para o app Keel para iOS (nome chinês: 司元)Vigência: 28 de julho de 2026Última atualização: 5 de outubro de 2026

1. Quem fornece este App

O Keel (nome chinês 司元, o “App”) é desenvolvido e publicado por gwongsam, um desenvolvedor independente (“nós”).

Esta política explica como o App trata as suas informações. Uma premissa permeia todo o texto: o App não tem nenhum servidor de back-end nosso, e o conteúdo do seu livro nunca chega até nós. Por isso, a maior parte do que segue descreve como os dados circulam entre o seu próprio dispositivo e a sua própria conta do iCloud.

2. Quais dados o App trata

Os dados a seguir são criados por você ao usar o App e ficam armazenados no seu dispositivo:

O App não solicita, não coleta e não trata seu nome civil, números de documentos de identificação, número de telefone, endereço de e-mail, números de cartão, credenciais bancárias ou de pagamento, contatos, localização, dados de saúde, identificadores de publicidade (IDFA) ou impressões digitais do dispositivo (device fingerprints).

3. Onde seus dados ficam

3.1 No seu dispositivo (padrão)

Por padrão, tudo o que foi listado acima é armazenado localmente: o banco de dados do livro fica no contêiner sandbox do App, e os arquivos de anexo ficam no repositório de arquivos do App com a proteção de arquivos do sistema ativada (criptografados e ilegíveis enquanto o dispositivo estiver bloqueado). O sandbox do iOS impede que outros apps leiam qualquer um desses dados.

Se você nunca ativar a Sincronização do iCloud e nunca exportar um backup, os dados do seu livro nunca saem desse dispositivo.

3.2 Sincronização do iCloud (desativada por padrão; você precisa ativá-la)

Você pode ativar a Sincronização do iCloud em Ajustes › Privacidade e sincronização. Depois de ativada:

• Livros, lançamentos, contas, categorias, taxas de câmbio, ajustes do App e anexos são armazenados no banco de dados privado do iCloud da sua Conta Apple (banco de dados privado do CloudKit) para que possam ser sincronizados entre os seus dispositivos.
• Esses dados são hospedados pela Apple, dentro da sua própria cota de armazenamento do iCloud. Não podemos acessá-los, lê-los nem exportá-los. Os desenvolvedores não têm acesso ao banco de dados privado de um usuário — é assim que o CloudKit da Apple foi arquitetado, e não apenas uma promessa nossa.
• O tratamento desses dados pela Apple é regido pela Política de Privacidade da Apple.
• A sincronização usa notificações push silenciosas para avisar um dispositivo de que deve buscar alterações. Essas notificações não contêm nenhum conteúdo do livro.
• Você pode desativar a sincronização a qualquer momento e escolher entre manter uma cópia local ou também solicitar a exclusão da cópia armazenada no iCloud.

3.3 Livros compartilhados

Você pode compartilhar um livro com outras pessoas para colaborar. Isso é sempre iniciado por você:

• O compartilhamento usa o mecanismo de compartilhamento do iCloud da Apple: você gera um link de compartilhamento do iCloud e o envia pessoalmente à outra pessoa.
• Os membros que aceitarem o seu convite podem acessar o conteúdo daquele livro — incluindo seus lançamentos e anexos — no nível de permissão que você conceder (somente leitura ou leitura e gravação). Os livros que você não compartilhou não são afetados.
• Para que a lista de membros mostre quem é quem, o App exibe as informações de identidade do participante fornecidas pela Apple (como o nome que a pessoa apresenta por meio do compartilhamento do sistema). Você também pode definir para um membro um apelido que fica apenas no seu dispositivo.
• Você pode remover um membro ou parar de compartilhar a qualquer momento, o que revoga o acesso dele.
• Escolha com cuidado com quem você compartilha. Depois que alguém obtém acesso, essa pessoa pode visualizar ou copiar o conteúdo daquele livro, o que está fora do nosso controle técnico.

3.4 Taxas de câmbio on-line

O App pode buscar taxas de câmbio de referência para a conversão entre várias moedas. Este recurso:

• faz uma busca somente leitura em um banco de dados público do iCloud (banco de dados público do CloudKit);
• não envia nada — nem o seu livro, nem contas, nem preferências de moeda, nem qualquer identificador;
• obtém apenas cotações de mercado públicas, que não contêm nenhuma informação pessoal;
• sempre dá prioridade às taxas que você insere manualmente.

As taxas servem apenas para a conversão contábil e não constituem cotação para nenhuma transação; consulte os Termos de Serviço, Seção 6.

4. Permissões do dispositivo

O App solicita as permissões abaixo somente quando você usa o recurso correspondente. Você pode recusar qualquer uma delas; o restante do App continua funcionando.

O App não solicita permissões de localização, contatos, microfone, calendário, saúde ou de Transparência no Rastreamento de Apps.

5. Diagnóstico e dados de falhas

Para que os problemas possam ser diagnosticados, o App registra no dispositivo logs de execução e informações de erros, e recebe métricas de falhas e de desempenho fornecidas pelo sistema (Apple MetricKit). Sobre esses dados:

• Eles ficam no seu dispositivo. São rotacionados e eliminados automaticamente conforme o tamanho e a idade, e você pode ver quanto espaço ocupam — e apagá-los — nos Ajustes.
• Eles nunca são enviados a nós automaticamente. Só os vemos se você exportar deliberadamente o log de diagnóstico no App e enviá-lo a nós, por exemplo, por e-mail. Você pode revisar o conteúdo antes de enviar.
• Os logs registram tipos de operação, códigos de erro e contexto técnico para localizar falhas. Tomamos cuidado para manter os detalhes do livro fora deles, mas não podemos descartar que trechos de texto, como uma nota ou o nome de uma conta, apareçam em um contexto de erro. Revise o log antes de enviá-lo caso ele possa conter algo que você prefira não compartilhar.

Além disso, se você ativou “Compartilhar Análise do iPhone” nos Ajustes do iOS, a Apple pode nos fornecer, por meio do App Store Connect, estatísticas de falhas e de uso agregadas e não identificáveis. Esse canal é controlado pela Apple, e você pode desativá-lo a qualquer momento em Ajustes › Privacidade e Segurança › Análise e Melhorias.

6. Compras e assinaturas

• O pagamento é processado pela Apple. Nunca vemos suas informações de pagamento — nem o número do seu cartão, nem a senha da sua Conta Apple, nem o seu endereço de cobrança.
• O App recebe recibos de transação da App Store para determinar se o seu direito de acesso da assinatura é válido. Esses recibos são usados para desbloquear recursos no próprio dispositivo.
• A Apple nos fornece relatórios de vendas e de assinaturas. Eles são agregados e não contêm nenhuma informação que identifique uma pessoa.
• Compras, reembolsos, gerenciamento e cancelamento de assinaturas são regidos pelos Termos e Condições dos Serviços de Mídia da Apple.

Os termos comerciais das compras estão nos Termos de Serviço, Seção 3.

7. Importação, exportação e backups

• Importação (arquivos): você pode importar lançamentos históricos de planilhas exportadas por outros apps de contabilidade pessoal (como os arquivos xlsx / CSV do Qianji). Os arquivos são analisados inteiramente no seu dispositivo e não são enviados a lugar nenhum.
• Importação (YNAB, direta): se você usa o YNAB, pode colar o seu próprio token de acesso pessoal, e o App lê os dados do seu próprio orçamento diretamente da API do YNAB, nunca por meio de um servidor nosso (não temos nenhum). É uma leitura unidirecional: nada é gravado no YNAB, e nenhum conteúdo do livro deste App é enviado para lá. O token fica na memória deste dispositivo e é apagado quando a importação termina — nunca é gravado em disco, nunca é sincronizado com o iCloud, nunca é incluído em um backup.
• Exportação de backup: você pode exportar um backup completo. Os backups aceitam criptografia AES com uma senha definida por você. Sem senha, o arquivo exportado não é criptografado e qualquer pessoa que o obtenha pode ler o seu livro — guarde-o com cuidado.
• Você escolhe o destino. Os backups são entregues à planilha de compartilhamento do sistema e vão para onde você os enviar (Arquivos, iCloud Drive, e-mail, um serviço de nuvem de terceiros). Quando um arquivo sai do App, passa a valer a política de privacidade desse destino, e não esta.
• Não podemos recuperar uma senha. Ela é usada apenas para criptografar e descriptografar, e nunca é armazenada nem transmitida. Se você esquecer a senha, esse backup não poderá ser restaurado.

8. Como os recursos de IA tratam seus dados

Dois recursos do App usam IA, e ambos rodam no seu dispositivo:

• Perguntar ao seu livro (o assistente): você pergunta em linguagem natural, e o App busca apenas a parte do seu livro de que a pergunta precisa — contas e saldos, lançamentos, orçamentos, compromissos a vencer — e a entrega ao modelo.
• Captura de recibos: você fornece a foto de uma conta ou de um recibo, e o App reconhece o texto nela e prepara um rascunho de lançamento para você confirmar. Ele processa apenas a imagem que você forneceu.

Sua permissão é solicitada antes. Na primeira vez que você abre o assistente, o App mostra uma tela inteira com todas as informações acima, e a conversa só começa depois que você confirma; até lá, o assistente não lê nada do seu livro. Você também pode desativar todo esse grupo de recursos a qualquer momento em Ajustes › Privacidade e sincronização › Siri e Atalhos; depois disso, o acesso ao assistente desaparece.

Os dois recursos têm requisitos de dispositivo diferentes: perguntar ao seu livro exige um dispositivo compatível com a Apple Intelligence, com ela ativada (ainda não disponível na China continental); a captura de recibos usa o próprio reconhecimento de texto do sistema e não exige a Apple Intelligence. Quando os requisitos não são atendidos, o acesso correspondente não aparece.

9. Terceiros: o que não fazemos

Para não deixar nenhuma ambiguidade, eis o que o App não faz:

• Não há SDKs de terceiros integrados de análise, telemetria, relatórios de falhas ou testes A/B;
• Não exibe anúncios e não integra nenhuma rede de publicidade;
• Não usa cookies, pixels, impressão digital do dispositivo nem rastreamento entre apps de nenhum tipo;
• Não vendemos, não alugamos e não compartilhamos suas informações pessoais para fins de marketing — inclusive nos sentidos de “vender” (sell) e “compartilhar” (share) da legislação da Califórnia;
• Não usamos os dados do seu livro para treinar modelos de aprendizado de máquina;
• Não fornecemos seus dados a corretores de dados (data brokers), birôs de crédito, instituições financeiras ou quaisquer outros terceiros.

Por padrão, há exatamente uma parte externa envolvida: a Apple, como fornecedora da plataforma dos serviços de armazenamento, compartilhamento e pagamento do iCloud. Existem mais dois canais somente se você mesmo os iniciar, e nenhum deles vem ativado por padrão:

• Importação do YNAB (Seção 7): depois que você cola o seu próprio token de acesso pessoal do YNAB, o App lê os dados do seu próprio orçamento diretamente da API do YNAB. É uma leitura unidirecional — nada é gravado de volta no YNAB, e nenhum conteúdo do livro deste App é enviado para lá. O token fica na memória deste dispositivo e é apagado quando a importação termina.
• “Apps de IA neste Mac” na versão para macOS (Seção 8): depois de ativado, o conteúdo do livro chega ao provedor de serviços de IA que você conectou. As versões para iOS e iPadOS não têm esse canal.

Links externos na página Contato e feedback. Ajustes › Contato e feedback lista o e-mail junto com plataformas sociais como Discord, RED (Xiaohongshu), X, TikTok, WeChat e Douyin. Essas entradas fazem parte do App; abrir a página não faz nenhuma solicitação de rede. Tocar em qualquer uma delas leva você para fora do App, para o app ou site correspondente, onde a sua navegação e as suas interações são tratadas por esse serviço segundo a política de privacidade dele, e não esta. O App não envia nenhum dado a essas plataformas. As entradas de e-mail apenas preenchem previamente, no editor de e-mail do sistema, o destinatário, um assunto e um pequeno bloco com a versão do App, a versão do sistema operacional, o modelo do dispositivo e o idioma da interface; escolher Relatar um problema também anexa um relatório de diagnóstico (consulte a Seção 5). Tudo isso fica visível antes do envio, e cabe a você decidir se envia — e o que remover.

Fora esses casos e da divulgação exigida por lei (abaixo), não há nenhum outro destinatário de dados.

Se recebermos uma requisição legal de dados de uma autoridade competente, só poderemos fornecer as informações que de fato possuímos. Como não possuímos os dados do seu livro, uma requisição desse tipo não tem efeito sobre o conteúdo do seu livro; as requisições relativas a dados armazenados no iCloud devem ser dirigidas à Apple.

10. Retenção e exclusão

Como os dados estão com você, é você quem decide por quanto tempo eles são mantidos. Para excluí-los:

• Um único registro: exclua o lançamento, a conta ou o anexo no App.
• Tudo: os Ajustes oferecem “Apagar todos os dados”, que exige um código de confirmação e destrói e recria o armazenamento atual.
• A cópia no iCloud: escolha “Excluir cópia do iCloud” ao desativar a Sincronização do iCloud, ou exclua os dados do App em Ajustes › Conta Apple › iCloud › Gerenciar Armazenamento da Conta. Observe que excluir a cópia na nuvem também encerra todo compartilhamento de livros que você iniciou, e os membros perdem o acesso.
• O App: apagar o App do seu dispositivo remove todos os dados locais do sandbox dele. Qualquer cópia no iCloud precisa ser excluída separadamente, conforme descrito acima.

Cabe a você excluir os arquivos de backup que tiver exportado para outros lugares.

11. Seus direitos

Nos termos da legislação aplicável — incluindo a Lei de Proteção de Informações Pessoais da China (PIPL), o RGPD da UE e a CCPA/CPRA da Califórnia — você tem direito de ser informado sobre suas informações pessoais, de acessá-las, copiá-las, corrigi-las, complementá-las, excluí-las e portá-las, bem como de revogar o consentimento.

Neste App, exercer esses direitos não exige nenhuma solicitação a nós nem nenhuma aprovação nossa, porque os dados sempre estiveram nas suas mãos:

Se você acredita que seus direitos não foram respeitados, ou se tiver dúvidas sobre esta política, entre em contato conosco conforme a Seção 16. Responderemos em até 30 dias. Você também tem o direito de apresentar uma reclamação à autoridade de proteção de dados do seu país ou região.

12. Crianças

O App foi projetado para adultos. Ele não é direcionado a crianças e não coleta intencionalmente informações pessoais de crianças. Se você tiver menos de 14 anos, use o App com o consentimento e a orientação de um dos pais ou responsável legal. Como o App não transmite nenhuma informação pessoal para nós, não temos nenhuma informação sobre a idade de qualquer usuário; um responsável legal que queira apagar os dados de um dispositivo pode fazê-lo diretamente conforme a Seção 10.

Sinal de faixa etária: nos dispositivos e nas regiões em que a lei o exige, o App consulta a API Declared Age Range da Apple para obter a sua faixa etária. A Apple retorna apenas uma faixa etária, não a sua data de nascimento. O resultado é usado somente no seu dispositivo, exclusivamente para decidir se é necessário o consentimento dos pais antes de alterações significativas no App; ele é mantido apenas na memória — nunca armazenado, nunca sincronizado e nunca enviado a nós.

13. Segurança

• Os dados locais são isolados pelo sandbox do iOS; os arquivos de anexo usam a proteção de arquivos do sistema e ficam criptografados enquanto o dispositivo estiver bloqueado.
• A transmissão e o armazenamento no iCloud são criptografados pela Apple; consulte a documentação da Apple para mais detalhes.
• Os arquivos de backup podem ser criptografados com AES usando uma senha escolhida por você e que nunca armazenamos.
• Não possuímos nenhum dado seu, portanto não existe para eles o cenário de “fomos invadidos”.

Dito isso, a segurança do seu dispositivo é a base de tudo isso. Defina um código, ative o desbloqueio biométrico, mantenha o iOS atualizado e tenha cautela com dispositivos desbloqueados (jailbreak) e com arquivos de backup de origem desconhecida. Nenhuma medida de segurança é absoluta.

14. Transferências internacionais

Não recebemos nem transmitimos suas informações pessoais, portanto não há nenhuma transferência internacional iniciada por nós. Se você ativar a Sincronização do iCloud, o local de armazenamento é determinado pela Apple com base no país ou na região da sua Conta Apple (por exemplo, os serviços do iCloud na China continental são operados pela GCBD). Para esses arranjos e salvaguardas, consulte a Política de Privacidade da Apple e os termos do iCloud.

15. Alterações nesta política

Se as práticas de dados do App mudarem, atualizaremos esta página e revisaremos a data de “Última atualização” no topo. Em caso de alterações relevantes — como a introdução de qualquer forma de envio de dados —, exibiremos um aviso destacado no App e, quando exigido, pediremos novamente o seu consentimento. As versões anteriores desta página podem ser consultadas no repositório público deste site.

16. Fale conosco

Para qualquer dúvida sobre esta política ou sobre os seus dados, envie um e-mail para keel@gwongsam.net.

Incluir a versão do App e a versão do iOS nos ajuda a responder mais rápido.

Em caso de qualquer divergência entre esta versão em português e a versão em chinês, prevalece a versão em chinês.

Informativa sulla privacy

Per l’app iOS Keel (nome cinese: 司元)In vigore dal: 28 luglio 2026Ultimo aggiornamento: 5 ottobre 2026

1. Chi fornisce questa app

Keel (nome cinese 司元, l’«App») è sviluppata e pubblicata da gwongsam, sviluppatore indipendente («noi»).

La presente informativa spiega come l’App tratta le tue informazioni. Un presupposto la attraversa tutta: l’App non dispone di alcun nostro server di backend e i contenuti del tuo libro non ci raggiungono mai. Gran parte di quanto segue descrive quindi come i dati si spostano tra il tuo dispositivo e il tuo account iCloud.

2. Quali dati tratta l’app

I dati seguenti vengono creati da te mentre usi l’App e sono memorizzati sul tuo dispositivo:

L’App non richiede, non raccoglie e non tratta il tuo nome legale, numeri di documenti d’identità, numero di telefono, indirizzo e-mail, numeri di carta, credenziali bancarie o di pagamento, contatti, posizione, dati sanitari, identificatori pubblicitari (IDFA) o impronte digitali del dispositivo (fingerprinting).

3. Dove si trovano i tuoi dati

3.1 Sul tuo dispositivo (impostazione predefinita)

In origine, tutto quanto sopra è memorizzato localmente: il database del libro si trova nel contenitore sandbox dell’app e i file allegati sono conservati nell’archivio file dell’app con la protezione dei file di sistema attiva (cifrati e illeggibili mentre il dispositivo è bloccato). La sandbox di iOS impedisce alle altre app di leggerne qualsiasi parte.

Se non attivi mai la sincronizzazione iCloud e non esporti mai un backup, i dati del tuo libro non lasciano mai quel dispositivo.

3.2 Sincronizzazione iCloud (disattivata per impostazione predefinita; devi attivarla tu)

Puoi attivare la sincronizzazione iCloud in Impostazioni › Privacy e sincronizzazione. Una volta attivata:

• Libri, movimenti, conti, categorie, tassi di cambio, impostazioni dell’app e allegati vengono memorizzati nel database privato iCloud del tuo Account Apple (database privato CloudKit), così da poter essere sincronizzati tra i tuoi dispositivi.
• Questi dati sono ospitati da Apple all’interno della tua quota di spazio iCloud. Non possiamo accedervi, leggerli né esportarli. Gli sviluppatori non hanno accesso al database privato di un utente: è così che è progettata l’architettura di CloudKit di Apple, non si tratta di una semplice promessa da parte nostra.
• Il trattamento di questi dati da parte di Apple è disciplinato dall’Informativa sulla privacy di Apple.
• La sincronizzazione usa notifiche push silenziose per indicare a un dispositivo di scaricare le modifiche. Tali notifiche non contengono alcun contenuto del libro.
• Puoi disattivare la sincronizzazione in qualsiasi momento e scegliere di conservare una copia locale oppure di richiedere anche la cancellazione della copia memorizzata su iCloud.

3.3 Libri condivisi

Puoi condividere un libro con altre persone per collaborare. La condivisione è sempre avviata da te:

• La condivisione si basa sul meccanismo di condivisione iCloud di Apple: generi un link di condivisione iCloud e lo invii tu stesso all’altra persona.
• I membri che accettano il tuo invito possono accedere ai contenuti di quel libro, compresi i movimenti e gli allegati, con il livello di autorizzazione che concedi (sola lettura o lettura e scrittura). I libri che non hai condiviso non sono interessati.
• Affinché l’elenco dei membri mostri chi è chi, l’App visualizza le informazioni sull’identità dei partecipanti fornite da Apple (ad esempio il nome con cui la persona si presenta tramite la condivisione di sistema). Puoi anche assegnare a un membro un soprannome visibile solo localmente.
• Puoi rimuovere un membro o interrompere la condivisione in qualsiasi momento, revocandone così l’accesso.
• Scegli con attenzione con chi condividere. Una volta ottenuto l’accesso, una persona può visualizzare o copiare il contenuto di quel libro, il che esula dal nostro controllo tecnico.

3.4 Tassi di cambio online

L’App può scaricare tassi di cambio di riferimento per la conversione tra più valute. Questa funzione:

• esegue un recupero in sola lettura da un database pubblico iCloud (database pubblico CloudKit);
• non carica nulla: né il tuo libro, né i conti, né le preferenze di valuta, né alcun identificatore;
• scarica solo dati pubblici sui tassi di mercato, che non contengono informazioni personali;
• dà sempre la precedenza ai tassi che inserisci manualmente.

I tassi servono solo alla conversione contabile e non costituiscono una quotazione per alcuna transazione; vedi Termini di servizio, sezione 6.

4. Autorizzazioni del dispositivo

L’App richiede le autorizzazioni seguenti solo quando usi la funzione corrispondente. Puoi rifiutarne qualsiasi; il resto dell’App continua a funzionare.

L’App non richiede autorizzazioni per posizione, contatti, microfono, calendario, dati sanitari o per la trasparenza sul tracciamento delle app (App Tracking Transparency).

5. Diagnostica e dati sugli arresti anomali

Per poter diagnosticare i problemi, l’App registra sul dispositivo log di esecuzione e informazioni sugli errori e riceve metriche su arresti anomali e prestazioni fornite dal sistema (Apple MetricKit). Riguardo a questi dati:

• Restano sul tuo dispositivo. Vengono ruotati ed eliminati automaticamente in base a dimensione e anzianità; nelle Impostazioni puoi verificare quanto spazio occupano e cancellarli.
• Non ci vengono mai inviati automaticamente. Li vediamo solo se esporti deliberatamente il log di diagnostica dall’App e ce lo invii, ad esempio via e-mail. Puoi esaminarne il contenuto prima dell’invio.
• I log registrano tipi di operazione, codici di errore e contesto tecnico per individuare i guasti. Facciamo attenzione a escludere i dettagli del libro, ma non possiamo escludere che frammenti di testo, come una nota o il nome di un conto, compaiano nel contesto di un errore. Esamina il log prima di inviarlo se potrebbe contenere qualcosa che preferisci non condividere.

Separatamente, se hai attivato «Condividi analisi iPhone» nelle Impostazioni di iOS, Apple può fornirci tramite App Store Connect statistiche sugli arresti anomali e sull’utilizzo aggregate e non identificative. Questo canale è controllato da Apple e puoi disattivarlo in qualsiasi momento in Impostazioni › Privacy e sicurezza › Analisi e miglioramenti.

6. Acquisti e abbonamenti

• Il pagamento è gestito da Apple. Non vediamo mai i tuoi dati di pagamento: né il numero della carta, né la password dell’Account Apple, né l’indirizzo di fatturazione.
• L’App riceve dall’App Store le ricevute delle transazioni per verificare se il tuo diritto di accesso a Premium è valido. Tali ricevute sono utilizzate per sbloccare le funzioni sul dispositivo.
• Apple ci fornisce report su vendite e abbonamenti. Questi report sono aggregati e non contengono informazioni che identifichino una persona.
• Acquisti, rimborsi, gestione degli abbonamenti e disdetta sono disciplinati dai Termini e condizioni dei servizi multimediali Apple.

Le condizioni commerciali relative agli acquisti si trovano nei Termini di servizio, sezione 3.

7. Importazione, esportazione e backup

• Importazione (file): puoi importare movimenti storici da fogli di calcolo esportati da altre app di contabilità (ad esempio i file xlsx / CSV di Qianji). I file vengono elaborati interamente sul tuo dispositivo e non vengono caricati da nessuna parte.
• Importazione (YNAB, diretta): se usi YNAB, puoi incollare il tuo token di accesso personale e l’App legge i tuoi dati di budget direttamente dall’API di YNAB, senza mai passare da un nostro server (non ne abbiamo). Si tratta di una lettura unidirezionale: nulla viene scritto su YNAB e nessun contenuto del libro di questa App vi viene inviato. Il token resta nella memoria di questo dispositivo e viene cancellato al termine dell’importazione: non viene mai scritto su disco, mai sincronizzato con iCloud, mai incluso in un backup.
• Esportazione del backup: puoi esportare un backup completo. I backup supportano la cifratura AES con una passphrase da te impostata. Senza passphrase, il file esportato non è cifrato e chiunque ne entri in possesso può leggere il tuo libro: conservalo con cura.
• Sei tu a scegliere la destinazione. I backup vengono passati al foglio di condivisione del sistema e finiscono ovunque tu li invii (File, iCloud Drive, e-mail, un servizio cloud di terze parti). Una volta che un file esce dall’App, si applica l’informativa sulla privacy di quella destinazione, non la presente.
• Non possiamo recuperare una passphrase. Viene usata solo per la cifratura e la decifratura e non viene mai memorizzata né trasmessa. Se dimentichi la passphrase, quel backup non può essere ripristinato.

8. Come le funzioni di intelligenza artificiale trattano i tuoi dati

Due funzioni dell’App si basano sull’intelligenza artificiale ed entrambe vengono eseguite sul tuo dispositivo:

• Domande al tuo libro (l’assistente): fai una domanda in linguaggio naturale e l’App recupera solo la parte del tuo libro necessaria a quella domanda (conti e saldi, registrazioni, budget, impegni in scadenza) e la passa al modello.
• Acquisizione delle ricevute: le fornisci la foto di un conto o di una ricevuta, l’App ne riconosce il testo e prepara una bozza di registrazione che sarai tu a confermare. Elabora solo l’immagine che le hai fornito.

Prima ti viene chiesto il permesso. La prima volta che apri l’assistente, l’App mostra una schermata a tutto schermo che illustra quanto sopra e la conversazione inizia solo dopo la tua conferma; fino ad allora l’assistente non legge nulla dal tuo libro. Puoi inoltre disattivare l’intero gruppo di funzioni in qualsiasi momento in Impostazioni › Privacy e sincronizzazione › Siri e Comandi rapidi; dopodiché il punto di accesso all’assistente scompare.

Le due funzioni hanno requisiti diversi per il dispositivo: le domande al tuo libro richiedono un dispositivo che supporti Apple Intelligence, con la funzione attivata (non ancora disponibile nella Cina continentale); l’acquisizione delle ricevute usa il riconoscimento del testo proprio del sistema e non richiede Apple Intelligence. Se i requisiti non sono soddisfatti, il punto di accesso corrispondente non viene visualizzato.

9. Terze parti: cosa non facciamo

Per non lasciare ambiguità, ecco ciò che l’App non fa:

• Non è integrato alcun SDK di terze parti per analisi, telemetria, segnalazione degli arresti anomali o test A/B;
• Non viene mostrata pubblicità e non è integrata alcuna rete pubblicitaria;
• Nessun cookie, pixel, fingerprinting del dispositivo o tracciamento tra app di alcun tipo;
• Non vendiamo, non affittiamo e non condividiamo i tuoi dati personali per finalità di marketing, anche ai sensi dei significati di «vendere» («sell») e «condividere» («share») previsti dalla legge della California;
• Non usiamo i dati del tuo libro per addestrare modelli di apprendimento automatico;
• Non forniamo i tuoi dati a data broker, centrali rischi, istituti finanziari o qualsiasi altra terza parte.

Per impostazione predefinita è coinvolto esattamente un solo soggetto esterno: Apple, in qualità di fornitore della piattaforma per l’archiviazione iCloud, la condivisione e i servizi di pagamento. Esistono altri due canali solo se li avvii tu, e nessuno dei due è attivo per impostazione predefinita:

• Importazione da YNAB (sezione 7): dopo che hai incollato il tuo token di accesso personale YNAB, l’App legge i tuoi dati di budget direttamente dall’API di YNAB. Si tratta di una lettura unidirezionale: nulla viene riscritto su YNAB e nessun contenuto del libro di questa App vi viene inviato. Il token resta nella memoria di questo dispositivo e viene cancellato al termine dell’importazione.
• «App AI su questo Mac» nella versione per macOS (sezione 8): una volta attivato, i contenuti del libro raggiungono il fornitore di servizi di intelligenza artificiale che hai collegato. Le versioni per iOS e iPadOS non dispongono di tale canale.

Link esterni nella pagina Contatti e feedback. Impostazioni › Contatti e feedback elenca l’e-mail insieme a piattaforme social come Discord, RED (Xiaohongshu), X, TikTok, WeChat e Douyin. Queste voci sono integrate nell’App; l’apertura della pagina non effettua alcuna richiesta di rete. Toccando una qualsiasi di esse esci dall’App e passi all’app o al sito web corrispondente, dove la tua navigazione e le tue interazioni sono gestite da quel servizio secondo la sua informativa sulla privacy, non la presente. L’App non invia alcun dato a queste piattaforme. Le voci e-mail si limitano a precompilare, nel compositore di posta del sistema, il destinatario, un oggetto e un breve blocco che indica la versione dell’app, la versione del sistema operativo, il modello del dispositivo e la lingua dell’interfaccia; scegliendo Segnala un problema viene inoltre allegato un report di diagnostica (vedi la sezione 5). Tutto è visibile prima dell’invio e sta a te decidere se inviarlo e che cosa rimuovere.

Al di fuori di questi casi e della comunicazione imposta dalla legge (vedi sotto), non vi sono altri destinatari dei dati.

Se riceviamo una richiesta legittima di dati da un’autorità competente, possiamo fornire solo le informazioni effettivamente in nostro possesso. Poiché non deteniamo i dati del tuo libro, una tale richiesta non ha alcun effetto sui contenuti del tuo libro; le richieste relative ai dati memorizzati su iCloud devono essere rivolte ad Apple.

10. Conservazione e cancellazione

Poiché sei tu a detenere i dati, sei tu a decidere per quanto tempo conservarli. Per cancellarli:

• Una singola registrazione: elimina il movimento, il conto o l’allegato nell’App.
• Tutto: le Impostazioni offrono «Cancella tutti i dati», che richiede un codice di conferma e distrugge e ricrea l’archivio corrente.
• La copia su iCloud: scegli «Elimina copia iCloud» quando disattivi la sincronizzazione iCloud, oppure elimina i dati dell’app in Impostazioni › Account Apple › iCloud › Gestisci spazio dell’account. Tieni presente che l’eliminazione della copia nel cloud pone fine anche a qualsiasi condivisione di libri da te avviata e i membri perdono l’accesso.
• L’app: eliminando l’App dal dispositivo si rimuovono tutti i dati locali nella sua sandbox. Un’eventuale copia su iCloud deve essere eliminata separatamente, come sopra.

Spetta a te eliminare i file di backup che hai esportato altrove.

11. I tuoi diritti

In base alla normativa applicabile, tra cui la legge cinese sulla protezione delle informazioni personali (PIPL), il regolamento generale sulla protezione dei dati dell’UE (GDPR) e il CCPA/CPRA della California, hai il diritto di essere informato sui tuoi dati personali, di accedervi, di ottenerne copia, di rettificarli, integrarli, cancellarli e portarli, nonché di revocare il consenso.

In questa App, l’esercizio di tali diritti non richiede alcuna richiesta né alcuna approvazione da parte nostra, perché i dati sono sempre stati nelle tue mani:

Se ritieni che i tuoi diritti non siano stati rispettati, o hai domande sulla presente informativa, contattaci come indicato nella sezione 16. Ti risponderemo entro 30 giorni. Hai inoltre il diritto di proporre reclamo all’autorità di controllo per la protezione dei dati competente nel tuo paese.

12. Minori

L’App è pensata per gli adulti. Non è rivolta ai minori e non raccoglie consapevolmente dati personali di minori. Se hai meno di 14 anni, usa l’App con il consenso e sotto la guida di un genitore o tutore. Poiché l’App non ci trasmette alcun dato personale, non deteniamo informazioni sull’età di alcun utente; un genitore o tutore che desideri cancellare i dati da un dispositivo può farlo direttamente seguendo la sezione 10.

Segnale della fascia d’età: sui dispositivi e nelle regioni in cui la legge lo richiede, l’App chiede la tua fascia d’età tramite l’API Declared Age Range di Apple. Apple restituisce solo una fascia d’età, non la tua data di nascita. Il risultato è utilizzato solo sul tuo dispositivo, al solo scopo di stabilire se sia necessario il consenso dei genitori prima di modifiche significative all’App; viene conservato solo in memoria: mai memorizzato, mai sincronizzato e mai inviato a noi.

13. Sicurezza

• I dati locali sono isolati dalla sandbox di iOS; i file allegati usano la protezione dei file di sistema e sono cifrati mentre il dispositivo è bloccato.
• La trasmissione e l’archiviazione su iCloud sono cifrate da Apple; per i dettagli consulta la documentazione di Apple.
• I file di backup possono essere cifrati con AES mediante una passphrase scelta da te e che non memorizziamo mai.
• Non deteniamo nessuno dei tuoi dati, quindi per essi non esiste lo scenario «abbiamo subito una violazione».

Detto questo, la sicurezza del tuo dispositivo è alla base di tutto. Imposta un codice, attiva lo sblocco biometrico, mantieni iOS aggiornato e presta attenzione ai dispositivi sottoposti a jailbreak e ai file di backup di origine sconosciuta. Nessuna misura di sicurezza è assoluta.

14. Trasferimenti internazionali

Non riceviamo né trasmettiamo i tuoi dati personali, pertanto non vi è alcun trasferimento transfrontaliero avviato da noi. Se attivi la sincronizzazione iCloud, il luogo di archiviazione è stabilito da Apple in base al paese o alla regione del tuo Account Apple (ad esempio, i servizi iCloud per la Cina continentale sono gestiti da GCBD). Per tali disposizioni e garanzie, consulta l’Informativa sulla privacy di Apple e i termini di iCloud.

15. Modifiche alla presente informativa

Se le pratiche dell’App in materia di dati cambiano, aggiorneremo questa pagina e modificheremo la data di «Ultimo aggiornamento» in alto. In caso di modifiche sostanziali, come l’introduzione di qualsiasi forma di caricamento dei dati, mostreremo un avviso ben visibile nell’App e, ove richiesto, ti chiederemo nuovamente il consenso. Le versioni precedenti di questa pagina possono essere consultate nel repository pubblico di questo sito.

16. Contattaci

Per qualsiasi domanda sulla presente informativa o sui tuoi dati, scrivi a keel@gwongsam.net.

Indicare la versione dell’app e la versione di iOS ci aiuta a risponderti più rapidamente.

In caso di discrepanze tra la presente versione italiana e la versione cinese, prevale la versione cinese.