私密记账工具：这里的“私密”指什么

数据的流向

Spendwise 没有后端。每一笔交易、预算、分类、笔记、成员、分组和收据附件都写入应用私有存储中的 SQLite 数据库，所有屏幕都从这个数据库读取。没有需要登录的账号，也就没有关于你的画像可供建立、出售、丢失或移交。

只有两项功能会联网，而且都可以准确说清：

• 一条广告，位于交易确认屏幕，按非个性化方式请求，广告标识符权限已在构建时从应用中移除。
• 匿名屏幕分析——每次屏幕浏览只记录一个路由名称，没有用户 ID，没有交易内容，不含广告标识符，也没有跟踪 ID。

应用里没有崩溃上报、没有会话录制、没有热图，除广告和分析库之外也没有其他第三方 SDK。隐私政策逐条列出了它们，篇幅很短，因为清单本来就短。

申请了哪些权限，又有哪些完全没有

Android 权限能很好地说明一个应用实际能做什么。Spendwise 申请通知权限，是为了让每日提醒和定期账单提醒能够触发。清单就这些。

• 没有通讯录权限。你记录的成员是你自己创建的条目，不是你的通讯录。
• 没有位置权限。应用里没有任何功能需要知道你在哪里。
• 没有相机权限。添加收据使用的是 Android 系统照片选择器和文档选择器，它们只授予应用访问你所选文件的权限，别的什么都不给。
• 不申请广告标识符权限。清单中的这一项在构建时已被移除，广告网络读不到任何 ID。

应用锁同样不额外存储任何东西：它把验证交给 Android 自带的身份验证提示，所以你的 PIN、图案或生物识别永远不会经过 Spendwise。

广告，不绕弯子

Spendwise 并不隐瞒广告。交易确认屏幕上有一条原生广告，应用正是靠它保持免费，无需订阅。与隐私相关的事实如下：

• 每次请求都是非个性化的，即使对已接受同意表单的用户也是如此。同意只授权发起请求，从不等于购买个性化。
• SDK 拿不到任何广告标识符，因为该权限在构建时已被移除。
• 在欧洲经济区和英国，会先经过同意关卡，而且默认拒绝：没有网络、没有同意或没有配置好消息，就不会有广告。“设置 → 隐私”可以在框架要求时重新打开该表单。

广告网络仍然会看到请求本身——IP 地址、设备型号和大致地区在任何网络请求中都不可避免。区别在于，我们这一侧不会建立你的消费画像并附在请求上。

真的可以关掉的分析

使用分析确实存在，应用也如实说明。Spendwise 会为每条路由记录一次匿名屏幕浏览——记录到达了哪些屏幕，而不是屏幕上有什么——不含用户 ID、邮箱和交易内容。

开关在设置里，效果是彻底的：关闭分析后，事件就不再发送。它不会减少、不会哈希，也不会留一份本地副本等以后再发。如果“分析可以关闭”这句话要有意义，就必须是这个意思。

承诺止步的地方

诚实比口号更有价值，所以边界也写在这里：

• 备份文件没有加密。它是一个 .spendwise 归档，拿到文件的人都能读取。请放在你会放银行对账单的地方；或者干脆不用文件，接受数据随手机一起消失。
• 你手机的锁屏才是真正的边界。Spendwise 的应用锁只是第二道检查，但一台已解锁并被 root 的设备，其应用数据是可以被读取的。
• 安装过程仍然涉及 Google Play，你手机上的 Play 服务属于 Google，而不是 Spendwise。这里说的是这个应用如何处理你的数据，不是它所运行的操作系统。
• 附件就是文件。收据照片在你分享到别处时就会离开应用，而它的元数据仍然是文件原本就有的那些。

所有开关，集中在一处

• 分析开/关 —— 设置 → 隐私。
• 广告同意 —— 设置 → 隐私，同意框架要求提供返回表单的入口时就在这里。
• 应用锁 —— 设置 → 安全。
• 删除全部数据 —— 卸载应用，或在 Android 设置中清除它的数据。

常见问题