私密記帳工具：這裡的「私密」是什麼意思

資料的流向

Spendwise 沒有後端。每一筆交易、預算、分類、備註、往來對象、群組與收據附件，都寫進 應用程式私有儲存空間裡的 SQLite 資料庫，每個畫面也都從這個資料庫讀取。既然沒有東西 要登入，也就不會有一份關於你的個人資料，等著被建立、出售、遺失或交出去。

只有兩項功能會連上網際網路，兩者都小到可以講清楚：

• 一則廣告，出現在交易確認畫面，以非個人化方式請求，且應用程式已移除 廣告 ID 權限。
• 匿名畫面分析——每次畫面瀏覽只記一組路由名稱，沒有使用者 ID、沒有 交易內容、沒有廣告 ID，也沒有追蹤 ID。

沒有當機回報工具、沒有工作階段錄影、沒有熱區圖，除了廣告與分析函式庫之外也沒有其他 第三方 SDK。隱私權政策逐項列出它們， 篇幅很短，因為清單本來就短。

應用程式要求的權限，以及它沒要的權限

Android 權限大致能反映一個應用程式實際能做什麼。Spendwise 只要求通知權限，讓每日提醒 與週期性帳單提醒能準時發出。清單就到此為止。

• 沒有通訊錄權限。你記錄的往來對象是你自己建立的項目，不是手機裡的 通訊錄。
• 沒有位置權限。應用程式裡沒有任何功能需要知道你在哪裡。
• 沒有相機權限。附加收據時用的是 Android 系統的相片選擇器與文件選擇 器，它們只讓應用程式存取你挑選的那個檔案，其他一律不給。
• 沒有廣告 ID 權限。清單中的這項權限在建置時就被移除，廣告網路沒有 ID 可讀。

至於應用程式鎖定，它不額外儲存任何東西：驗證交給 Android 內建的驗證提示，你的 PIN、 圖形鎖或生物辨識永遠不會經過 Spendwise。

那則廣告，不加修飾

Spendwise 的免費版本有一則廣告，這點不打算含糊。確認畫面上有一則原生廣告，它讓應用 程式得以不收訂閱費而維持免費。與隱私相關的事實如下：

• 每次請求都是非個人化的，即使使用者已同意同意書也一樣。同意書授權的 是送出請求，從來不代表可以個人化。
• SDK 拿不到廣告 ID，因為該權限在建置時就被移除。
• 在歐洲經濟區與英國，同意關卡會先攔下，而且是預設關閉：沒有網路、 沒有同意，或沒有設定好的訊息，就不會請求廣告。在框架要求提供回頭路徑的地方，可從 設定 → 隱私權重新開啟同意書。

廣告網路仍然看得到請求本身——IP 位址、裝置型號與大約地區，在任何網路請求中都無可避免。 差別在於，我們這一端不會建立你的消費輪廓去附在請求上。

真的關得掉的分析

使用分析確實存在，應用程式也直說，不假裝自己完全不留痕跡。Spendwise 會為每個路由記錄 一次匿名畫面瀏覽——記錄走到哪些畫面，不記錄畫面上有什麼——不含使用者 ID、電子郵件或 交易內容。

開關在設定裡，效果是徹底的：關閉分析後，事件就不再送出。不是減少，不是雜湊後照送， 也不會在本機留一份等以後再傳。「分析可以關掉」這句話若要有意義，就得是這個意思。

承諾到哪裡為止

誠實比口號值錢，所以界線也一併寫出來：

• 備份檔案沒有加密。它是一個 .spendwise 封存檔，拿到 檔案的人都能讀。請放在你會放銀行對帳單的地方；或者乾脆不用檔案，接受資料會隨手機 一起消失。
• 手機的鎖定畫面才是真正的防線。Spendwise 的應用程式鎖定只是第二道 檢查；一台已解鎖且已 root 的裝置，其應用程式資料就是能被讀取。
• 安裝過程仍由 Google Play 參與，手機上的 Play 服務屬於 Google， 不屬於 Spendwise。這裡談的是這個應用程式怎麼處理你的資料，不是它跑在什麼作業系統上。
• 附件就是檔案。收據照片在你分享到別處時就離開了應用程式，而它的 中繼資料就是檔案原本帶的內容。

控制項，一次看完

• 分析開／關——設定 → 隱私權。
• 廣告同意——設定 → 隱私權，同意框架要求提供回到同意書的路徑時就在 這裡。
• 應用程式鎖定——設定 → 安全性。
• 刪除所有資料——解除安裝應用程式，或在 Android 設定中清除它的資料。

常見問題