隐私政策

读取哪些资料

应用通过 Google OAuth 请求 gmail.readonly 只读权限，不收集 Gmail 密码。此权限在技术上允许读取整个邮箱及附件，应用内筛选不会缩小 Google 授予的权限范围。

连接时，应用读取邮箱地址用于识别连接，数据库仅保存遮罩邮箱。用户手动同步银行邮件时，应用按发件人、主题、日期和认证等规则筛选，校验通过后读取受支持的正文或月账 PDF。平台账单由用户指定平台、日期并明确选择附件后读取导入。

授权完成不会自动扫描邮箱。当前没有后台定时扫描邮箱、修改邮件或发送邮件的功能。

如何使用资料

读取的资料用于交易解析、重复识别、账目核对、分类整理、明细补充和来源审计。

手动同步可能触发现有自动入账、整理与月账应用。平台导入可能自动匹配已有流水、补充明细及拆分类别；后台也会重新匹配已经保存的平台来源，不因此扫描邮箱。无法确认的事项保留待处理。

保存哪些资料

• 银行通知与月账：原始邮件正文及受支持 PDF 仅在内存中解析，不保存原文、原 PDF、完整主题或原始 Gmail 消息标识。数据库保存必要的交易字段、候选或月账证据、不可逆消息与内容摘要、同步状态及审计记录。
• 平台账单：用户选择导入的原附件、完整原始字段、规范化交易资料及匹配记录保存在受家庭和本人权限保护的正式数据库中，并随数据库备份保留。平台附件的保存策略与银行邮件不同。
• 授权凭据：OAuth 客户端密钥及刷新令牌保存在运行应用设备的系统安全凭据存储中，不写入账本数据库或返回客户端；访问令牌只在服务端进程中短暂缓存。
• 附件密码：用户输入的解密密码仅在内存中使用，不保存或记录。

访问与保护

Gmail 连接状态、同步及平台来源读取限定原授权或导入成员。账目访问继续遵守服务端的家庭与私人账户权限。原邮件 HTML 不作为网页渲染，也不加载其中的远程资源。

资料用于家庭账本功能，不向公众展示。本静态说明页不执行脚本，没有表单、外部字体或分析追踪，不连接邮箱或账本 API。

撤销授权与资料保留

用户可在 Google 账号的第三方连接管理中撤销 Finance Tracker 的访问权限。应用此后无法继续凭该授权读取 Gmail，需要重新授权才能恢复读取；凭据失效时应用也会提示重新授权。

撤销授权不会自动删除既有账目、银行来源证据、平台附件或审计记录。取消平台关联也不会删除原附件。当前没有平台批次物理删除入口，也不提供一键清除全部导入资料的功能。

如需了解资料保留或提出处理请求，请联系 Google OAuth 授权同意页显示的用户支持邮箱，确认可处理的范围与方式。