Chobo Pocket 隱私權政策
最後更新：2026-10-02 ｜ 服務提供者：鄺聯企業有限公司（下稱「我們」） ｜ 聯絡：[email protected]
1. 我們的原則
Chobo Pocket 是 local-first 的記帳 App：你的帳本（帳戶、交易、分類、預算、日記等）預設只存在你的手機。只有在你使用需要連網的功能時，才會傳送完成該功能所需的最少資料。
- 你開啟雲端同步或加入群組後，帳本以端對端加密上傳：加密金鑰只在你（與你授權的人）的裝置上，我們無法讀取你的帳本內容。
- 我們不出售你的個人資料，也不會把帳本內容（金額、備註、商家、日記、收據）用於廣告或提供給廣告商。
2. 不需要帳號也能使用
不登入即可使用記帳、統計、預算、日記等核心功能。App 首次連網時會產生一組隨機的「裝置識別碼」，伺服器只保存它的雜湊值，用來計算每日免費額度與防止濫用。登入只在雲端同步、群組、跨裝置恢復方案時需要。
3. 各功能會傳送的資料
| 功能 | 傳送給我們（或服務提供者）的資料 | 不會傳送的資料 |
|---|---|---|
| 一句話記帳（智慧解析） | 你輸入的那一句話、分類與帳戶的名稱清單、今天日期與時區、語系；結果在伺服器快取 24 小時 | 任何歷史交易 |
| 拍收據 | 無法在手機上辨識時，只傳送 OCR 辨識出的文字 | 照片本身（個人帳本的照片只存在手機） |
| 每週報告、問問帳本（Pro） | 彙總後的數字（例如各分類總額、預算使用率）與商家名稱；問問帳本只送你的問題與本機計算好的彙總結果 | 單筆交易的備註、日期、金額 |
| 匯率 | 無個人資料 | — |
| 【台灣】電子發票載具（目前未開放；開放後適用） | 手機條碼與驗證碼，僅在同步當下轉送給財政部，不寫入資料庫或紀錄檔；驗證碼只存在你手機的安全儲存區 | — |
| 雲端同步（Pro） | 端對端加密後的資料：我們只看得到資料類型、識別碼、更新時間與密文。同步密碼不會離開你的裝置 | 任何明文帳本資料 |
| 群組（家庭、小團隊、公司） | 見第 5 節 | — |
| 公司帳本的收據照片 | 以帳本金鑰加密後上傳（見第 5.4 節） | 明文照片 |
| 登入（Google、Apple、LINE、WhatsApp、Kakao） | 登入服務提供的使用者識別碼、顯示名稱／頭像（若有）、電子郵件（僅作顯示）。WhatsApp 登入的手機號碼只保存雜湊值與末 4 碼 | 密碼 |
| 聊天機器人記帳（LINE／WhatsApp） | 你傳給機器人的訊息會即時解析，結果以你的公鑰加密後暫存，解析後立即丟棄明文 | — |
| 推播通知 | 裝置的推播權杖（Expo Push Token）、平台、語系與通知開關（見第 7 節） | 通知內容不含金額、商家、備註 |
| 購買與訂閱 | 見第 6 節 | 信用卡號與付款資訊 |
| 獎勵廣告 | 見第 4 節 | 任何帳本內容 |
只存在手機、不會上傳的資料：日記照片、個人帳本的收據照片、App 鎖設定、自動備份檔。日記文字、心情、貼圖與手繪只在開啟同步時以端對端加密上傳。
4. 廣告（獎勵廣告）
- 我們只使用 Google AdMob 的獎勵廣告：只有你在點數頁主動點「看廣告」時才會載入與播放；App 不顯示橫幅、插頁或開屏廣告，記帳永遠不需要看廣告。
- 你點「看廣告」時，Google 可能收集：裝置廣告識別碼（Android 廣告 ID；iOS 的 IDFA 只在你允許追蹤後提供）、裝置與 App 資訊、IP 位址推估的大略位置、廣告互動紀錄，用於投放與衡量廣告、防止詐欺。Google 如何處理資料見 https://policies.google.com/technologies/partner-sites。
- 同意：在歐洲經濟區、英國、瑞士等需要同意的地區，第一次看廣告前會先顯示 Google 的同意表單（UMP）；你可以隨時在「設定 → 安全與隱私 → 廣告隱私選項」變更。
- iOS 追蹤（ATT）：App 啟動時不會詢問；只有你第一次點「看廣告」時才詢問「允許追蹤」。拒絕後仍可觀看非個人化廣告。
- 拒絕個人化廣告時，我們只請求非個人化廣告（仍可能使用大略位置與裝置資訊做頻率控制與防詐欺）。
- 我們不會把帳本內容、金額、備註、商家、日記、收據或任何關鍵字提供給廣告 SDK，也不會用它們做廣告定向。
- 你可以在系統設定重設或刪除廣告 ID（Android：設定 → Google → 廣告；iOS：設定 → 隱私權與安全性 → 追蹤）。
5. 群組與共享
群組分為家庭、小團隊、公司。所有帳本內容都維持端對端加密：伺服器只保存「誰是成員、角色、誰可以拿到哪把金鑰」等權限資料與密文。群組名稱、部門名稱、報帳附註也以群組金鑰加密。
5.1 其他成員看得到什麼
- 共用帳本：群組成員可依角色（擁有者、管理員、編輯者、檢視者）檢視或新增共用帳本中的交易，並看到每筆交易的記錄人。
- 你的成員帳本：是否分享、分享給誰，依群組的「可見範圍」（全員互看／上看下／各自決定）與你的設定決定。加入前 App 會列出「誰看得到你的哪些資料」，加入後可隨時在「我的分享」查看。
- 分享程度：「只看總額」的觀看者只看得到每月 × 分類的合計、筆數與每日支出合計，看不到單筆交易、商家與備註；「完整明細」的觀看者看得到交易（金額、分類、日期、商家、備註、貼圖）。你的日記、預算、設定、每週報告等其他資料不會分享給觀看者。
- 私密交易：標為私密的交易只有你自己的裝置能解密，任何觀看者都看不到，也不計入總額。
- 停止分享：家庭與小團隊可以隨時停止分享；停止後其他成員在下次同步時就看不到，且帳本金鑰會輪替。對方裝置上已看過的內容我們無法從他人記憶中移除。
5.2 公司群組
- 公司會為每位員工建立工作帳本，工作帳本屬於公司：依公司設定，主管、管理員與
finance角色看得到工作帳本中的公務支出與收據；工作帳本不能設私密。 - 你的個人帳本公司永遠看不到；App 會清楚標示「公司帳本」與「個人帳本（公司看不到）」。
- 報帳單的狀態、送出人、審核人與時間以明文保存（用於通知與權限檢查），報帳內容（交易清單、金額、附註）以加密保存。
- 公司是其員工資料的管理者：公司使用本服務處理員工的公務支出時，應依其所在地法律告知員工。
5.3 離開與被移除
- 你離開或被移除後，下次同步時該群組的共用帳本與你可觀看的他人帳本會從你的裝置刪除，相關金鑰會輪替。
- 公司員工離開或被移除時，工作帳本保留在公司（封存，finance 仍可查閱）；你的個人帳本不受影響。
- 群組擁有者的方案到期時，群組帳本變為唯讀，資料保留 180 天。
5.4 公司帳本的收據照片
公司工作帳本中的交易收據照片會在你的手機上壓縮、以帳本金鑰加密後上傳到我們的儲存空間（Cloudflare R2，單張 ≤ 2 MB），只有有權限的成員裝置能解密。個人帳本的收據照片與所有日記照片不會上傳。
6. 購買與訂閱
- Pro、家庭、公司方案（自動續訂訂閱）與貼圖包、外觀商品（一次性購買）都透過 App Store 或 Google Play 付款。付款由 Apple／Google 處理，我們不會取得或保存你的信用卡號或付款資訊。
- 我們使用 RevenueCat 作為受託處理者管理購買狀態：RevenueCat 會收到一組匿名的 App 使用者 ID（登入後為我們的使用者 ID）、商店的購買收據與交易資訊、商店國家，用來確認你擁有哪些方案與商品。我們只從 RevenueCat 收到方案、商品、到期日與（公司方案）人數。
- 點數只存在你的手機，不能用金錢購買、不能兌換現金。
7. 推播通知
- 只有你登入且加入群組後，App 才會詢問是否允許通知；你可以隨時在系統設定或「設定 → 通知」關閉報帳通知或群組通知。
- 我們保存裝置的推播權杖、平台與語系，並透過 Expo Push Service 以及 Apple（APNs）、Google（FCM）傳送。
- 推播內容不包含金額、商家、備註，例如「{name} 送出了一張報帳單」。部分通知為不顯示內容的背景通知，只用來觸發同步。
- 登出或刪除帳號時會刪除推播權杖。
8. 使用數據與當機報告
- 使用數據（PostHog）：只有功能使用情形（例如「新增了一筆交易、來源為手動」「建立了家庭群組」），絕不包含金額、備註、商家、日記、群組名稱或發票內容。在歐盟、英國、瑞士、巴西等地區預設關閉，需你同意才開啟；其他地區可隨時在「安全與隱私」關閉。
- 當機報告（Sentry）：錯誤資訊與裝置型號，傳送前會移除所有財務欄位。可在設定中關閉。
9. 服務提供者（受託處理者）
| 服務 | 用途 |
|---|---|
| Cloudflare | 伺服器、資料庫、加密檔案儲存 |
| Google Gemini API | 智慧解析、每週報告、問問帳本的語言模型（目前使用 Google Gemini API 免費方案）；只處理第 3 節列出的內容。依 Google 條款，免費方案傳送的內容可能被 Google 用於改善其產品，並可能經人工審閱，因此請勿在一句話記帳或問問帳本中輸入身分證號、帳號密碼等敏感個人資料。日後改用付費方案或其他服務時會更新本節 |
| Anthropic | 備用：日後若改用 Anthropic，依其商業條款不會用於訓練模型 |
| Google（AdMob、Firebase Cloud Messaging、Google 登入） | 獎勵廣告、Android 推播、登入 |
| Apple（Sign in with Apple、APNs、App Store） | 登入、iOS 推播、付款 |
| LINE、Kakao、Meta（WhatsApp） | 登入、驗證碼、聊天機器人記帳 |
| Expo | 推播傳送 |
| RevenueCat | 購買與訂閱狀態 |
| PostHog、Sentry | 使用數據、當機報告 |
| 匯率供應商 | 匯率（不含個人資料） |
這些服務可能位於你所在國家以外（例如美國）；我們依適用法規採取契約等保護措施。
10. 保存期間
| 資料 | 保存期間 |
|---|---|
| 手機上的資料 | 直到你刪除 App 或使用「刪除所有資料」 |
| 雲端同步資料（密文） | 直到你刪除帳號或重設雲端資料；方案到期後保留 180 天 |
| 群組帳本 | 直到群組被刪除；擁有者方案到期後保留 180 天；公司工作帳本在員工離開後仍由公司保留，直到公司刪除 |
| 公司收據照片（密文） | 隨所屬交易或工作帳本刪除 |
| 同步衝突紀錄 | 30 天 |
| 一句話記帳解析快取 | 24 小時 |
| 聊天機器人暫存 | 取回後立即刪除，最長 30 天 |
| WhatsApp 驗證碼 | 5 分鐘 |
| 推播權杖 | 直到登出、刪除帳號或權杖失效 |
| 帳號資料（登入方式、顯示名稱） | 直到你刪除帳號 |
| 伺服器請求紀錄（不含內容） | 30 天 |
| 基礎設施備份 | 刪除後最長 30 天內自動覆蓋 |
11. 刪除帳號
- 在 App 內：設定 → 帳號與登入方式 → 刪除帳號 → 輸入確認字。
- 沒有 App 時：依 https://kuangli.tw/chobo-pocket/delete-account/ 的說明，用你登入時使用的信箱或登入方式寫信給 [email protected]。
- 會刪除：登入方式與帳號資料、你擁有的雲端帳本（含共用帳本，其他成員下次同步時移除）、你的加密金鑰、群組成員資格與觀看權限、推播權杖、聊天機器人連結與暫存、使用額度紀錄、與購買的關聯；以 Apple 登入者會同時向 Apple 撤銷授權。
- 不會刪除或由他人保留：
- 你是員工時的公司工作帳本屬於公司，會保留在公司；
- 你擁有的群組：請先轉移擁有權，否則群組與其共用帳本會一併刪除；
- 其他成員依權限已同步到他們裝置上的內容；
- 手機上的本機資料（刪除後可選擇保留或清除）；
- App Store／Google Play 的訂閱需你自行到商店取消，我們無法代為取消；
- 不含個人資料的匿名彙總紀錄（例如每日請求數），以及只與匿名裝置識別碼雜湊相關的額度紀錄。
- 刪除無法復原。
12. 你的權利
你可以隨時：匯出資料（CSV、JSON）、刪除本機所有資料、刪除帳號與雲端資料、關閉使用數據與當機報告、變更廣告同意、要求查詢、更正或刪除我們保存的帳號資料，或撤回同意（寫信給 [email protected]）。依你所在地法律，你也可以向主管機關申訴。因為帳本內容以端對端加密，我們無法代你查詢或還原帳本內容；遺失同步密碼時雲端資料無法還原。
13. 兒童
本服務不以 13 歲以下兒童為對象（歐洲經濟區等法律要求更高年齡的地區為 16 歲以下）。我們不會在知情的情況下收集兒童的個人資料；若你認為兒童向我們提供了個人資料，請聯絡 [email protected]，我們會刪除。廣告請求不標示為兒童導向，內容分級上限為 PG。
14. 安全
所有傳輸使用 HTTPS；敏感資料（金鑰、登入權杖、驗證碼）只存在裝置的安全儲存區；帳本、群組名稱、報帳內容與公司收據在伺服器上皆為密文。
15. 政策變更
重大變更會在 App 內公告，並更新本頁的「最後更新」日期。
16. 聯絡我們
鄺聯企業有限公司 ｜ [email protected]