布丁记账 隐私政策

更新日期：2026年6月20日 ｜ 生效日期：2026年6月20日 ｜ 适用版本：v1.0.0 及以上


布丁记账（以下简称"本应用"，包名 com.budinginfo.personaccount）是一款隐私本地优先的个人记账工具，由无锡布丁信息技术有限公司（"我们"）开发并运营。除您主动启用的几项可选联网功能外，您的账单数据默认仅保存在本机、不上传我们的服务器。请在使用前仔细阅读本政策。


一、我们如何存储您的数据

本应用核心定位为"本地工具"。您录入的数据默认存储在设备本地的应用沙箱（HarmonyOS EL2 加密等级），包括：
• 账单：金额、分类、备注、附件照片、时间、所属账本/账户
• 自定义分类、账户、账本、标签、预算、周期账单、分期、债务、报销记录
• 应用偏好（主题、币种、首页布局等）、桌面卡片统计快照（仅存本机）
• 应用锁 PIN：经 SHA-256 + 随机 salt 哈希存储，不留明文

存储路径示例：/data/storage/el2/base/files/databases/personaccount.db

上述数据不会通过任何方式被本应用主动上传至我们的服务器，除非您主动启用下文第三章所述的联网功能。


二、设备权限清单

本应用申请以下系统权限，均遵循"按需触发、可拒绝、拒绝不影响其它功能"原则。本应用不申请通讯录、位置、短信、日历等无关权限。

• 相机（CAMERA）
  - 何时申请：您主动拍摄小票/附件时
  - 用途与数据流向：CoreVisionKit 在设备端识别票据文字；图片仅存应用沙箱，不上传图像或识别结果

• 麦克风（MICROPHONE）
  - 何时申请：您主动使用"语音记账"时
  - 用途与数据流向：CoreSpeechKit 在设备端识别语音；音频识别后即丢弃，识别文本在本机解析后由您确认入账，不上传

• 截屏（CUSTOM_SCREEN_CAPTURE）
  - 何时申请：您主动双击桌面闪控球且已授予时
  - 用途与数据流向：截取当前页面在设备端 OCR 识别记账信息；未授予时自动降级为"选择最近图片"；图片与识别结果均不上传

• 闪控球（USE_FLOAT_BALL）
  - 何时申请：您主动开启桌面闪控球时
  - 用途与数据流向：在桌面显示快捷记账悬浮球，不收集任何数据

• 生物识别（ACCESS_BIOMETRIC）
  - 何时申请：您主动开启"应用锁 + 生物识别"后
  - 用途与数据流向：调用系统接口验证身份，完全在系统本地完成，本应用不接触任何生物特征数据

• 隐私窗口（PRIVACY_WINDOW）
  - 何时申请：您主动开启"防窥模式"后
  - 用途与数据流向：禁用截屏录屏与多任务卡片预览，不收集数据

• 震动（VIBRATE）
  - 用途与数据流向：记账输入按键反馈（可关），本地震动，不收集数据

• 网络（INTERNET）
  - 何时申请：您启用共享账本/电脑端浏览/华为账号登录等联网功能时
  - 用途与数据流向：见第三章；未启用任何联网功能时不进行外部通信

• WiFi 信息（GET_WIFI_INFO）
  - 何时申请：您开启"电脑端数据浏览"时
  - 用途与数据流向：获取本机局域网 IP，用于显示电脑访问链接，不上传

• 持久化文件访问（FILE_ACCESS_PERSIST）
  - 何时申请：您设置华为云盘同步文件时
  - 用途与数据流向：记住您选定的同步文件，避免每次重选


三、可能涉及联网或数据传输的可选功能

以下功能默认关闭，仅在您主动启用后才会发生数据传输。

说明：本应用的语音记账、一句话记账、票据/截图识别等"智能记账"功能全部在设备本地完成，不联网、不依赖第三方 AI 服务、不需要任何配置。

3.1 共享账本（双人协同，端到端加密）

当您创建或加入"共享账本"与他人同步账单时，账单变更会经我们的中转服务器转发给对方设备。该过程为端到端加密（E2E）：
• 账单内容在您设备本地加密后才上传，我们的服务器全程只能看到密文，无法解密您的账单
• 服务器仅存储"配对关系（账本成员的匿名标识 unionid 映射）"与"短期有效的邀请令牌"，不存储任何账单数据
• 解散共享账本或退出后，相应配对关系即失效

3.2 电脑端数据浏览（局域网）

当您开启"数据浏览"开关后，本应用在本机启动一个仅限同一局域网（WiFi）访问的 HTTP 服务，供您在电脑浏览器中查看、导入导出、备份还原账单。需通过本机扫码授权的令牌才能访问；数据始终在您的设备与您的电脑之间，不经过、也不上传至我们的服务器。关闭开关即刻失效。

3.3 华为云空间备份

若您在华为系统设置中开启"云空间 → 应用数据备份 → 布丁记账"，HarmonyOS 系统会将本应用沙箱数据上传至您自己的华为云空间。该过程由系统完成，数据进入您的华为账号，本应用与本公司均无法访问。默认关闭。


四、华为账号与会员内购

使用"会员订阅"或"共享账本"时，本应用通过华为 Account Kit 获取您的匿名联合标识（unionid）用于身份识别与权益归属，不获取您的真实姓名、手机号等身份信息。会员订阅通过华为应用内支付（IAP）完成，支付过程与您的支付信息由华为处理，本应用不接触您的银行卡/支付密码等敏感信息。


五、相册访问

为账单添加附件照片时，本应用通过系统 PhotoViewPicker 调起图库选择器，您选中的图片复制到应用沙箱保存。本应用不申请独立相册/存储权限，不读取或预览相册其它内容。


六、错误日志

错误日志通过 hilog 仅输出到本机日志系统，不上传。本应用未集成任何 Crash / APM 监控 SDK。


七、数据删除

• 应用内删除单条账单/账户/账本/预算等
• "我的 → 设置 → 数据"中清空所有数据（需应用锁确认）
• 系统设置中清除本应用数据，或卸载应用（自动删除所有本地数据）
• 共享账本数据：退出/解散后失效；华为云备份：在华为系统设置中删除


八、儿童隐私

本应用面向 12 岁以上用户，不主动收集 12 岁以下儿童个人信息。涉及文本输入的功能建议未成年人在监护人指导下使用。


九、免责声明

本应用为辅助记账工具，数据仅供个人参考，不构成投资/税务/财务建议。我们不对操作不当、设备故障、OCR/语音识别误差、多币种汇率（缓存值，仅参考）等导致的损失承担责任。本应用按"现状"提供服务。


十、政策变更

本政策如有变更，我们将在应用内以弹窗形式通知并要求重新同意。建议定期查阅。


十一、联系我们

开发与运营方：无锡布丁信息技术有限公司
• 邮箱：89182516@qq.com
• 应用内："我的 → 设置 → 意见反馈"