花了知多少 · 隐私政策
发布日期：2026-09-02
生效日期：2026年9月16日
运营主体：光合引擎（以下简称「我们」）
请你在使用「花了知多少」前完整阅读本政策，特别是加粗部分。 本政策说明我们收集哪些信息、为什么收集、发送给了谁、保存多久，以及你能对这些信息做什么。 如果你不同意本政策，请停止使用本服务。
三句话先说清楚（摘要，不替代下方正文）
1. 我们把你的账本内容发给大模型服务商（深度求索 DeepSeek）做解析。 发出去的是你输入的记账文字、你上传的小票/截图图片、以及该账本的分类/账户/标签/成员显示名列表；不发你的微信 openid、手机号、头像。你可以在设置中关闭 AI 功能，关闭后不再向任何第三方发送内容。 详见第 4 节。
2. 在协作账本里，其他成员能看到你记的每一笔账，包括金额、备注、商户、凭证图片，以及你本月的支出合计。详见第 5 节。
3. 你可以随时导出全部数据、删除数据、注销账号，导出功能对所有用户免费，不设会员限制。详见第 8 节。
1. 适用范围
1.1 本政策适用于「花了知多少」微信小程序及其服务端。
1.2 我们遵循《中华人民共和国个人信息保护法》《数据安全法》《网络安全法》以及《微信小程序平台运营规范》《微信小程序用户隐私保护指引》的要求。
1.3 本政策不适用于通过本服务链接跳转到的第三方产品与服务，也不适用于微信本身。第三方的信息处理适用其自己的隐私政策。
2. 我们收集哪些信息，分别用来做什么
原则：记账这件事本身不需要知道你是谁。除了识别账号必需的微信标识，其余信息要么是你主动录入的账本内容，要么是可选的、拒绝也不影响记账的。
2.1 账号与身份信息
| 信息项 | 是否必需 | 收集方式 | 具体用途 |
|---|---|---|---|
| 微信 openid | 必需 | 你首次进入时静默调用微信登录，我们用返回的 code 向微信换取 | ① 作为你在本服务的唯一账号标识；② 让你换设备、重装小程序后能找回同一份账本；③ 向你推送微信订阅消息时作为接收方标识；④ 新版本按 openid 哈希分批灰度放量 |
| 微信 unionid | 可选（仅当小程序绑定了微信开放平台时才有） | 同上 | 仅用于在我们未来推出其他端（公众号/其他小程序）时，识别为同一个人，避免你重复建账。当前 v1.0 只有小程序，实际未被使用 |
| 微信 session_key | 必需（技术凭据） | 同上 | 仅用于服务端解密你主动授权的手机号。仅存储在服务端 Redis 且设有过期时间，绝不下发到小程序端 |
| 昵称、头像 | 可选 | 你在「我的」页或创建协作账本时主动授权（微信头像昵称填写能力） | 仅用于在协作账本中让其他成员认出你是谁，以及在你自己的个人页展示。不授权也能正常记账，此时显示为「记账用户 #1234」+ 默认头像 |
| 手机号 | 可选 | 仅在你主动要求「换机找回」等场景时引导绑定 | 仅用于账号找回。以 AES-256-GCM 加密存储，不用于营销、不用于推送、不对外提供 |
| 账号状态与偏好 | 必需 | 系统生成或你设置 | 语言、时区（用于把「今天」「昨天」算成正确日期）、主题、当前账本、注销冷静期截止时间 |
2.2 你主动录入的账本信息（本服务的核心数据）
| 信息项 | 具体用途 |
|---|---|
| 流水：金额、收支类型、分类、账户、发生时间、备注、商户名、标签 | 生成你的账本流水、统计图表、预算进度；这是本服务存在的目的 |
| 凭证图片（小票照片、支付截图） | ① 作为流水凭证供你日后查证；② 在你选择拍照记账时，发送给多模态模型识别出金额、商户、日期（见第 4 节）。可在设置中关闭「图片留存」 |
| 账本信息：名称、类型、封面、备注、币种、起止日期 | 组织你的多个账本；账本类型决定是否开启分摊、成员统计、结算等功能 |
| 分类、账户、标签及其自定义关键词 | 归类你的流水；关键词用于本地规则解析与自动分类自学习 |
| 预算、周期记账规则 | 计算预算进度、按周期自动生成流水、触发预算预警提醒 |
| 分摊与结算记录 | 在协作账本中计算每个成员应承担的金额与最简转账方案 |
我们不会主动索取你的银行卡号、身份证号、支付密码等信息。 如果你把这类信息写进备注或拍进小票照片，它会作为你录入的内容被存储——请在上传前自行确认与遮挡。
2.3 AI 相关信息
| 信息项 | 具体用途 | 保存多久 |
|---|---|---|
AI 草稿（ai_drafts）：你输入的原始文本 / 图片识别文本，以及模型解析出的结构化条目 | 让你在保存前先看到并修改解析结果；解析失败时不丢失你的输入 | 24 小时后自动清理 |
AI 调用记录（ai_usage_logs）：调用的功能、模型名、token 数、耗时、是否成功、错误码、费用 | ① 执行每日额度限制；② 成本核算与告警；③ 分析 AI 是否真的好用。不包含你输入的内容本身 | 180 天，之后按月聚合并删除明细 |
AI 纠错记录（ai_feedback）：你把 AI 填错的字段改成了什么（如金额、分类、日期） | 评估解析准确率、改进解析规则与提示词 | 随对应草稿删除 |
2.4 设备与日志信息
| 信息项 | 具体用途 |
|---|---|
设备标识（客户端生成的随机 device_key，不是 IMEI/IDFA/MAC 等硬件标识）、平台、小程序版本号、最后同步时间 | 多设备增量同步：知道这台设备上次同步到哪儿，只拉新增部分 |
| 服务端日志：请求路径、耗时、状态码、链路追踪 ID、哈希化后的用户标识、账本 ID、IP 地址 | ① 排查故障；② 接口限流与防刷（如邀请码枚举防护）；③ 敏感操作审计（谁、何时、改了什么、来自哪个 IP）。日志中的手机号、openid 一律脱敏或哈希化 |
| 崩溃与异常监控：JS 异常、白屏、接口失败率、启动耗时 | 发现并修复线上故障。见第 4.4 节的第三方说明 |
我们不收集：你的地理位置、通讯录、微信运动数据、剪贴板内容、其他应用列表。 小程序仅在你实际使用对应功能时才申请相册/相机（拍照记账）、订阅消息权限，不在启动时批量索取。
2.5 会员与支付信息（若付费功能已上线）
| 信息项 | 具体用途 |
|---|---|
| 订单号、套餐、金额、支付状态、微信支付交易号、微信支付回调原文 | 完成交易、开通会员、对账、处理退款与投诉、防止重复扣款。回调原文留存用于争议时的交易审计 |
| 会员有效期、来源（购买/兑换码/邀请） | 判断你当前的额度与权益 |
| 兑换码使用记录（谁用了哪个码） | 防止一个多人份的批量兑换码被同一个人反复使用 |
我们不接触你的支付密码、银行卡号、完整支付账户信息——这些由微信支付处理，我们只收到脱敏的交易结果。
2.6 我们不会做的事
- 不出售、不出租你的个人信息；
- 不将你的账本内容用于广告投放（本服务不含广告）；
- 不将你的账本内容用于训练我们自己的模型；
- 不在你未授权的情况下，把你的信息提供给与提供本服务无关的第三方。
3. 我们如何存储和保护你的信息
3.1 存储位置
你的全部数据存储在中华人民共和国境内。 服务器、数据库、对象存储、缓存均部署在境内节点；AI 服务亦选用境内节点。我们不向境外提供你的个人信息。
- 服务器与数据库：阿里云 ECS（中国深圳，可用区 cn-shenzhen-d）
- 对象存储：阿里云 OSS（中国深圳，存储桶
heji-bucket）
3.2 保留期限
| 数据 | 保留策略 |
|---|---|
| 你删除的流水 / 账本 | 进入回收站，30 天后物理删除 |
| AI 草稿 | 24 小时后清理 |
| AI 调用记录（不含内容） | 180 天，之后按月聚合并删除明细 |
| 站内消息 | 90 天 |
| 凭证图片 | 跟随流水；流水被物理删除时，对象存储中的图片同步删除 |
| 账号与账本数据 | 你的账号存续期间 |
| 注销账号 | 7 天冷静期 → 匿名化你的用户记录（清除昵称头像、哈希化 openid）→ 删除你的全部个人数据；你在协作账本中的历史流水保留但署名改为「已注销用户」 |
| 交易与账务记录 | 依照法律法规对交易记录保存期限的要求保留 |
3.3 安全措施
| 层面 | 措施 |
|---|---|
| 传输 | 全链路 HTTPS |
| 手机号 | 应用层 AES-256-GCM 加密存储，密钥由密钥管理服务托管并定期轮换 |
| 凭证图片 | 对象存储私有读，任何人都拿不到公开链接；查看时下发有效期 10 分钟的签名 URL；存储路径按账本隔离，一个泄露的链接无法横向遍历到别的账本 |
| 数据库 | 磁盘加密；备份文件加密存储；每日全量备份 + 日志归档 |
| 越权防护 | 每一个账本相关接口都强制校验你是否是该账本成员，并有专门的越权测试用例 |
| 登录凭据 | 访问令牌短时效；刷新令牌一次性使用，被重放即失效；退出登录会吊销全部刷新令牌 |
| 邀请链接 | 随机长令牌 + 7 天过期 + 可撤销 + 可限次；邀请码查询有频率限制 |
| 日志 | 手机号、openid 脱敏或哈希化；错误信息不含堆栈、SQL 与内部标识 |
| 密钥 | 全部通过环境变量/密钥管理器注入，不写进代码；仓库配置密钥扫描 |
3.4 安全事件响应
若发生个人信息泄露、篡改、丢失等安全事件，我们将按法律规定第一时间启动应急预案，采取补救措施，并以站内消息、公告或其他合理方式告知你事件情况、可能影响、我们已采取的措施和你可以采取的措施，同时向监管部门报告。
4. 第三方共享清单（重点：AI 与你的账本内容）
以下是全部会接触到你的信息的第三方。我们仅向它们提供实现对应功能所必需的最小数据。
4.1 深度求索 DeepSeek（大语言模型服务）—— 请重点阅读
这是本服务唯一会接触到你账本内容的第三方，因此单列说明。
什么时候会发送？ 只有在你主动使用下列功能时：
| 你的操作 | 实际发送给 DeepSeek 的内容 |
|---|---|
| 自然语言记账（输入「今天打车28 中午吃饭35」） | ① 你输入的这段文字（截断至 500 字符，并清除控制字符）；② 当前时间与星期；③ 该账本的分类名称列表与账户名称列表（如「餐饮, 交通, 购物」「微信, 支付宝, 银行卡」）；④ 固定的解析指令 |
| 拍照 / 截图记账 | ① 你上传的那张图片本身（以 base64 形式随请求发送）；② 该账本的分类与账户名称列表；③ 固定的识别指令。图片内容是什么，我们不做任何删改——所以请注意小票或截图上可能包含的姓名、卡号、地址 |
| AI 对话查询（问「上周谁花得最多」） | ① 你的问题原文；② 当前时间；③ 该账本的分类、账户、标签名称，以及成员显示名列表（如「爸爸, 妈妈, 我」）；④ 固定的解析指令。生成回答时，还会发送服务端已经算好的金额数字用于措辞 |
不会发送的内容（无论何种功能）：
- 你的微信 openid、unionid、session_key
- 你的手机号、头像
- 你的用户 ID、账本 ID（对话功能的查询结构里根本不存在账本字段）
- 你账本中的其他流水（只发送当前这一次输入的内容）
对方是否留存？ DeepSeek 作为受托处理方，按其 API 服务条款处理数据。我们对它的要求是：仅用于本次解析、不用于模型训练。其数据留存期限与训练政策以 DeepSeek 官方公布的 API 服务条款与隐私政策为准；与本政策不一致的，以官方条款为准，我们将同步更新本节。
你可以完全关掉它。 设置页提供「关闭 AI 功能」开关，关闭后：
- 所有解析改为在你手机本地或我们服务器上用规则完成，不向 DeepSeek 或任何第三方发送任何内容；
- 识别能力会下降（例如复杂句式、图片识别不可用），但记账、统计、协作等全部核心功能不受影响。
4.2 微信（腾讯）
| 场景 | 提供给微信的信息 | 目的 |
|---|---|---|
| 登录 | 小程序临时登录凭证 code | 换取你的 openid，建立账号 |
| 订阅消息 | 你的 openid、消息模板 ID、模板字段（账本名称、成员显示名、金额、时间、分类名等，例如「妈妈在『家庭账本』记了一笔 ¥35.00」） | 把提醒推送到你的微信。只有你主动点击授权订阅之后才会发送，且每次授权只能推送对应次数 |
| 邀请二维码 | 账本邀请场景参数 | 生成可扫码加入账本的小程序码 |
| 微信支付（若已上线） | 订单号、金额、商品描述 | 完成支付并接收支付结果 |
关于语音：当前版本没有语音记账功能，小程序不会申请录音权限、也不会采集你的语音。 若今后上线语音记账，无论转写由微信官方插件完成还是由我们自己的服务端完成，都属于第 9.2 节所列的重大变更——我们会在本节列明处理方、说明录音去了哪里，并重新征得你的同意后才启用。
4.3 对象存储服务商
| 存放什么 | 说明 |
|---|---|
| 凭证图片（小票照片、支付截图） | 私有读，10 分钟签名 URL |
| 你上传的账单导入文件 | 导入完成后按保留策略清理 |
| 你导出的 Excel / CSV 文件 | 供你下载 |
| （如你上传了自定义头像）头像图片 | — |
服务商：阿里云 OSS（中国深圳，存储桶 heji-bucket）。存储桶为私有读，服务商仅作为存储设施，不解析文件内容。
4.4 崩溃与异常监控
我们不接入任何第三方错误监控服务（如 Sentry 一类的 SaaS）。这是一个明确的取舍：这类服务多数将数据存放在境外，接入后第 3.1 节「数据不出境」将不再成立。
线上故障排查依靠我们自有服务器上的运行日志，日志中的用户标识经哈希处理，不含你的账本内容。这些日志不离开我们的服务器，也不共享给任何第三方。
4.5 依法披露
在下列情形下，我们可能在不事先征得你同意的情况下提供你的信息：与国家安全、公共安全直接相关；与刑事侦查、起诉、审判和判决执行等直接相关；为维护你或他人的生命、财产等重大合法权益但又很难得到本人同意；你自行公开的信息；法律法规规定的其他情形。
5. 协作账本：其他成员能看到什么（重要）
这是本服务最容易被误解的地方，请务必在邀请他人或接受邀请前读完。
5.1 一旦你和别人共用一个账本
该账本的其他成员可以看到：
| 可见内容 | 说明 |
|---|---|
| 你在该账本记的每一笔流水 | 金额、收支类型、分类、账户、发生时间、备注文字、商户名、标签 |
| 你上传的凭证图片 | 小票照片、支付截图，成员可打开查看原图 |
| 每笔流水是谁记的 | 流水上带记账人署名 |
| 你本月在该账本的支出合计与记账笔数 | 成员列表页直接展示 |
| 你的昵称与头像（如你已授权）或账本内显示名 | 用于让成员认出你 |
| 你的角色、加入时间、是否有邀请权限 | — |
| 分摊与结算中你应承担/应收的金额 | 若该账本开启了分摊功能 |
| 你触发的成员记账提醒 | 你记一笔账，其他成员可能收到订阅消息通知 |
其他成员看不到： 你的微信 openid、手机号、你在其他账本里的任何数据、你的 AI 使用记录、你的会员状态。
5.2 关于修改与删除
具备相应权限的成员（拥有者、管理员）可以编辑或删除账本内的流水，包括你记录的流水。
5.3 关于离开
- 你退出账本或被移除后，你此前记录的流水仍保留在该账本中——这些流水是账本共同账目的一部分，删掉会破坏其他成员的账目完整性；
- 你注销账号后，这些流水的署名会改为「已注销用户」。
5.4 我们的建议
- 只把你信任的人拉进账本；
- 邀请链接和邀请码等同于加入权限，不要公开传播（链接 7 天过期、可撤销、可限次）；
- 敏感消费单独记在个人账本里——个人账本只有你自己能看到；
- 上传小票前先确认照片上有没有你不想让家人看到的信息。
6. 未成年人保护
6.1 本服务不面向不满 14 周岁的儿童。 我们不会主动向儿童收集个人信息。
6.2 如你是不满 18 周岁的未成年人，请在监护人陪同下阅读本政策，并在取得监护人同意后使用本服务。
6.3 若我们发现在未事先获得可证实的监护人同意的情况下收集了不满 14 周岁儿童的个人信息，将尽快删除相关数据，并可能限制该账号的协作与支付功能。
6.4 监护人如发现被监护人未经同意使用本服务或提交了个人信息，请通过第 10 节的联系方式与我们联系，我们将协助删除。
7. Cookie 与本地存储
7.1 本服务以微信小程序形式提供，不使用 Cookie，也不使用任何跨站追踪技术。
7.2 小程序采用本地优先的存储策略，会在你的设备本地（微信小程序本地存储）保存：
| 本地保存的内容 | 目的 |
|---|---|
| 登录令牌 | 免去每次进入都重新登录 |
| 账本流水与统计的缓存 | 断网也能记账、首屏秒开；网络恢复后自动同步 |
| 尚未同步的记账与同步队列 | 后端不可用时你的记账不会丢 |
| 设备标识、你的界面偏好（主题、当前账本） | 增量同步与界面还原 |
7.3 这些本地数据存放在你自己的设备上。你可以通过删除小程序（微信 →「我 → 设置 → 通用 → 发现页管理/小程序」或长按小程序卡片删除）清除它们。注意：清除本地数据不等于删除云端数据，删除云端数据请使用第 8 节的方式。
7.4 我们的合规页面（用户协议、隐私政策网页版）为静态页面，不设置 Cookie、不做统计埋点。
8. 你的权利
| 权利 | 怎么行使 |
|---|---|
| 查阅 | 小程序内可查看你的全部账本、流水、统计与个人资料；如需查看本政策未覆盖的其他信息，可通过第 10 节联系我们 |
| 更正 | 任一笔流水、分类、账户、账本信息、昵称头像均可在小程序内直接编辑 |
| 删除 | 删除单笔流水/账本 → 进入回收站，30 天后物理删除；也可在回收站中立即彻底删除。你亦可通过第 10 节要求我们删除特定信息 |
| 导出（可携带权） | 「我的 → 数据导出」导出 Excel / CSV。对全部用户免费，不设会员限制 |
| 撤回同意 | ① 设置页「关闭 AI 功能」→ 不再向第三方发送任何内容；② 关闭「图片留存」→ 不再保存凭证原图；③ 关闭订阅消息 → 不再推送；④ 通过微信「设置 → 隐私 → 授权管理」撤回相册等系统权限；⑤ 「我的 → 隐私保护指引」可查看已授权项并跳转撤回 |
| 注销账号 | 「我的 → 设置 → 注销账号」：二次确认 + 输入「注销账号」→ 7 天冷静期（期间登录即可撤销）→ 到期删除你的个人数据。若你是某协作账本的唯一拥有者且该账本还有其他成员，需先转让或解散该账本 |
| 获取副本 / 转移 | 通过导出功能获取通用格式（Excel/CSV）的数据副本 |
| 解释说明 | 你有权要求我们解释本政策；也有权了解我们如何使用 AI 处理你的输入（见第 4.1 节） |
| 投诉与举报 | 通过第 10 节联系我们；你也有权向网信、市场监管等主管部门投诉，或依法提起诉讼 |
响应时限：我们将在收到你的请求并验证你的身份后 15 个工作日内答复。对于明显缺乏事实依据、需要过多技术手段、或可能损害他人合法权益的请求，我们可能拒绝并说明理由。
9. 本政策的更新
9.1 我们可能修订本政策。修订后的版本将在本页面与小程序内公示。
9.2 涉及下列情形的重大变更，我们会以显著方式（小程序内弹窗、站内消息）单独通知你，并在必要时重新征得你的同意：
- 收集的个人信息种类、目的、方式发生实质变化；
- 新增或更换会接触你账本内容的第三方；
- 个人信息共享、转让或公开披露的对象发生变化；
- 你行使权利的方式发生重大变化；
- 数据存储地域或出境情况发生变化。
10. 联系我们
| 项目 | 内容 |
|---|---|
| 运营主体 | 光合引擎 |
| 个人信息保护联系邮箱 | ajilisiwei@126.com |
| 响应时限 | 15 个工作日内 |
如你对我们的答复不满意，还可以向网信部门、公安机关、市场监管部门等主管部门投诉举报，或向有管辖权的人民法院提起诉讼。
本政策与《用户协议》一并构成你与我们之间的完整约定。