1. 适用范围与开发者信息
本政策适用于酷喵记账（CoolMeowLedger）iOS App、Android App、分享扩展、Watch 相关能力、公开邀请页面、账号删除页面、隐私与条款页面，以及用于支持这些功能的 Firebase、Cloudflare 和相关后端服务。
本应用由 Spawn Lau 发布和维护。你可以通过 App 内反馈入口、App Store / Google Play 商店页面展示的开发者联系方式，或发送邮件至 [email protected] 与我们联系。
如果你通过第三方服务商的商店、登录、订阅、推送、小票识别或云服务使用本应用，这些第三方服务商也会按照其各自政策处理与你相关的数据。
2. 我们处理的信息类型
账号与登录信息
包括邮箱地址、Firebase 用户 ID、Apple 或 Google 登录返回的用户标识、显示名称、头像链接、登录状态、账号创建/更新时间以及必要的身份验证令牌。
账本与记账内容
包括账本标题、图标、默认币种、分类、金额、交易时间、创建时间、商家或标题、备注、标签、附件、参与人、成员角色、审批记录、归档状态、同步版本号和锁定状态。
共享协作信息
包括邀请链接、邀请状态、成员昵称、头像、邮箱或账号标识、创建者/协作者/查看者角色、只读状态、审批策略、待审批变更和操作元数据。
图片、附件与媒体
当你拍照或从相册选择图片时，App 会处理图片文件、缩略图、文件名、MIME 类型和附件路径。共享账本中的附件可能上传到云端，供有权限的协作者查看。
语音输入与识别文本
当你主动点击语音输入时，App 会临时访问麦克风并调用系统语音识别能力，把语音转换为文本。App 不会在你未启动语音输入时持续监听。
小票识别请求与结果
当你主动使用小票识别时，所选小票图片、结构化识别结果、错误状态和必要的用量记录会被处理。识别服务不会直接写入账本。
订阅、权益与账单状态
包括产品 ID、会员等级、权益状态、交易 ID、原始交易 ID、购买平台、续订状态、到期状态、小票识别使用状态、恢复购买结果和必要的服务器通知记录。
通知与设备令牌
如果你允许通知，我们会处理 APNs/FCM 推送令牌、通知权限状态和通知路由所需的账本或审批标识，用于协作审批和共享账本相关提醒。
诊断、安全与配置数据
包括崩溃日志、诊断数据、App Check 状态、请求错误、设备和系统环境、应用版本、功能开关、滥用防护和速率限制记录。
反馈与支持信息
当你通过邮件或客服反馈时，我们处理联系方式、问题描述以及解决问题所需的最小信息。
3. 我们如何收集信息
- 你主动输入、拍摄、导入、发送、编辑、删除、分享或提交审批时，我们会处理对应内容。
- 你登录、恢复购买、接受邀请、启用同步、允许通知或使用小票识别时，我们会从系统、商店平台、Firebase、Cloudflare 或专用识别服务接收必要信息。
- App 运行时会自动生成必要的诊断、安全、同步、崩溃和用量限制记录。
- 如果你在备注、标题、附件或小票图片里主动包含他人信息、位置、账单、医疗或其他敏感内容，这些内容会按你选择的功能被处理。
4. 我们如何使用信息
- 提供本地记账、搜索、统计、日历汇总、分类、附件、归档和多设备同步能力。
- 完成登录、账号管理、账号删除、权益识别、恢复购买、订阅校验和小票识别使用限制管理。
- 支持共享账本、协作者角色、审批流程、创建者权限、查看者只读、离线缓存和重新联网后的同步。
- 在你主动使用时执行小票图片识别和系统语音转文本。
- 发送你允许的通知，例如审批提醒或共享账本提醒。
- 保护服务安全，防止欺诈、滥用、越权访问、无效 App Check 请求和异常频率调用。
- 排查崩溃、性能、同步、订阅、通知、小票识别或后端问题，并改进产品稳定性。
5. 共享与第三方服务
我们不会出售你的个人信息，也不会把你的记账数据用于第三方广告定向。为了提供功能，我们会在必要范围内与以下服务处理或共享数据：
- Apple：Sign in with Apple、App Store / StoreKit、订阅、退款、服务器通知、APNs 推送、系统相册、相机、语音识别和崩溃/系统能力。
- Google / Firebase：Firebase Authentication、App Check、Cloud Messaging、Analytics、Crashlytics，以及 Google 登录相关能力。
- Cloudflare：Workers、Pages、D1、R2、KV 和 AI Gateway 等，用于共享账本、附件、公开网页、速率限制、小票识别和后端 API。
- 图片识别模型服务商：小票图片和识别请求会经我们的后端与 Cloudflare AI Gateway 发送给当前配置的图片识别服务商（目前包括 OpenCode 和 OpenRouter），用于返回结构化识别结果。
- 应用商店与支付平台：在 iOS 上通过 Apple 处理购买和订阅，在 Android 上通过 Google Play Billing 处理付款。RevenueCat 接收购买历史、订阅标识、账号标识与状态，用于校验购买、提供订阅分析和管理会员权益。从 iOS 1.1.0 起，App 不再请求 Apple 跟踪权限，也不向 RevenueCat 提供广告标识符。仍在使用 iOS 1.0.11 或更早版本的用户可能会看到 Apple 跟踪权限提示；只有在用户明确允许后，旧版本才会向 RevenueCat 收集设备和广告标识符，用于订阅归因与分析。拒绝不会影响购买或恢复购买。
这些第三方只能在提供相应服务所需范围内处理数据，并受其自身条款、隐私政策和安全措施约束。
MCP 与你选择的外部 AI 客户端
你主动通过 MCP 连接外部 AI 客户端时，可以选择授权的云端账本和操作范围。工具返回的账目、成员信息、备注和附件可能进入该客户端的上下文或会话记录，其保存、训练和删除方式由该客户端的政策及你的设置决定。MCP 不能访问仅保存在设备上的账本，授权也不会改变你的成员角色、会员条件或账本审批规则。
我们保留提供连接所需的授权与令牌信息、必要安全记录，以及用于防止重复执行和核对结果的操作回执；不为 MCP 保存 AI 对话或服务器端预览草稿。停用连接与撤销服务端授权不同：如客户端提供撤销入口，请在那里撤销；仅删除本地配置不保证授权已撤销。需要协助时请联系支持。
6. 共享账本中的可见性
加入同一共享账本的成员，可能看到该账本内的标题、金额、币种、交易时间、备注、图片、附件、分类、标签、参与人昵称、头像、审批状态和部分操作记录。
创建者可以管理账本共享、协作者角色和审批策略。协作者对记账数据的新增、修改、删除可能需要创建者审批；查看者只能查看。具体权限以 App 内显示和当前账本设置为准。
如果创建者会员状态失效、账本被归档、成员被移除，或共享同步不可用，账本可能变为只读，或只能使用上一次缓存状态查看。
7. 系统权限说明
- 相机：用于拍摄记账相关图片、账单、票据或其他附件。
- 相册：用于选择图片作为账本图标、备注图片、附件或图片识别来源。
- 麦克风与语音识别：仅在你主动启动语音输入时使用，用于把语音转换为输入框文本。
- 通知：用于协作审批、共享账本状态和其他你允许的提醒。
- 网络：用于登录、同步、共享、订阅校验、小票识别、汇率查询、图片/附件上传和诊断。
8. 小票识别与自动化处理
App 只会在你主动选择“识别”时，把经过尺寸限制的小票图片和当前账本的分类名称发送到专用识别服务。该服务通过 Cloudflare AI Gateway 的固定收据路由调用当前配置的图片识别服务商并返回结构化候选字段，不会读取其他账本记录、接收通用指令或直接写入账本。
我们的识别服务不会保存小票图片或识别正文，也不记录或缓存发送给识别提供方的请求和返回内容；仅保留用量计数和必要运行信息。模型提供方仍会按其服务政策处理请求。
识别结果可能不准确或不完整。你应在保存前检查金额、币种、商户、分类和时间；最终保存的内容以你的确认和修改为准。
9. 数据保留与删除
- 本地账本：未启用共享的数据主要保存在你的设备上，直到你删除、归档、清理 App 数据或卸载 App。
- 共享账本：启用共享后，账本、成员、审批、附件和同步数据会保留在云端，以支持协作和多设备同步。
- 账号删除：你可以在 App 内或公开账号删除页面发起删除请求。删除后，我们会删除或匿名化与你账号直接关联的活动服务数据；为安全、防滥用、故障排查、订阅核对、争议处理或法律合规所需的最小记录可能保留更长时间。
- 备份与日志：备份、崩溃、诊断和安全日志会按供应商和系统策略滚动清理；通常我们会尽力在不再需要时删除或匿名化，常规周期一般不超过 90 天，法律或安全原因除外。
- 共享内容：如果你在共享账本中创建内容，其他协作者设备上的副本可能在同步、导出、截图或本地缓存中继续存在，直到相应成员删除或系统完成清理。
10. 安全措施
我们使用 HTTPS、Firebase Authentication、Firebase App Check、平台权限控制、成员角色、后端访问校验、速率限制、最小化日志和供应商提供的云安全能力来保护数据。
没有任何系统可以保证绝对安全。请妥善保管你的设备、系统账号、登录方式和商店账号。如果你认为账号或共享账本存在异常访问，请尽快联系我们。
11. 跨境处理
由于 Firebase、Cloudflare、Apple、Google 和图片识别服务可能在多个国家或地区运行，你的信息可能在你所在地以外被处理。我们会依赖相应服务商的合规机制和安全措施，并仅为本政策所述目的处理数据。
12. 你的选择与权利
- 你可以在 App 中查看、编辑或删除账本、备注、图片、成员和个人资料。
- 你可以关闭共享、退出共享账本、撤销通知权限、停止使用小票识别或退出登录。
- 你可以通过系统设置管理相机、相册、麦克风、语音识别和通知权限。
- 你可以请求访问、更正、删除、导出或限制处理你的个人信息；我们会在适用法律要求范围内响应。
- 你可以在 App Store 或 Google Play 管理订阅；删除 App 或账号不一定会自动取消商店订阅。
13. 儿童与敏感信息
酷喵记账不是面向儿童的服务，也不属于 Google Play 或 App Store 的儿童专用产品。未满适用地区法定年龄的用户，应在监护人同意下使用。
请不要在备注、图片、附件或小票识别中上传不必要的身份证件、精确位置、医疗、财务账号、密码、儿童信息或其他高度敏感数据。若这些信息由你主动提供，我们会按你选择的功能处理它们。
14. 不收集或限制使用的数据
除非你主动在内容中提供，酷喵记账不会有意收集通讯录、精确定位、健康数据、浏览历史、短信或通话记录。iOS 1.1.0 及后续版本不请求 Apple 跟踪权限，也不为 RevenueCat 收集广告标识符；iOS 1.0.11 或更早版本可能请求该权限，并且只有在用户明确允许后才会收集设备和广告标识符。我们不提供第三方广告、出售个人信息、进行跨 App 广告定向或使用记账内容训练第三方公开模型。
15. 政策更新与联系
如果功能、供应商、数据处理方式或法律要求发生变化，我们会更新本政策，并在页面中显示新的更新时间。重大变化可能会通过 App 内提示、商店更新说明或其他合理方式通知。
如需联系，请使用 App 内反馈入口、App Store / Google Play 商店页面展示的开发者联系方式，或发送邮件至 [email protected]。
1. 適用範圍與開發者資訊
本政策適用於酷喵記帳（CoolMeowLedger）iOS App、Android App、分享擴充套件、Watch 相關能力、公開邀請頁面、帳號刪除頁面、隱私與條款頁面，以及用於支援這些功能的 Firebase、Cloudflare 和相關後端服務。
本應用由 Spawn Lau 釋出和維護。你可以透過 App 內反饋入口、App Store / Google Play 商店頁面展示的開發者聯絡方式，或傳送郵件至 [email protected] 與我們聯絡。
如果你透過第三方服務商的商店、登入、訂閱、推送、收據辨識或雲服務使用本應用，這些第三方服務商也會按照其各自政策處理與你相關的資料。
2. 我們處理的資訊型別
帳號與登入資訊
包括郵箱地址、Firebase 使用者 ID、Apple 或 Google 登入返回的使用者標識、顯示名稱、頭像連結、登入狀態、帳號建立/更新時間以及必要的身份驗證令牌。
帳本與記帳內容
包括帳本標題、圖示、預設幣種、分類、金額、交易時間、建立時間、商家或標題、備註、標籤、附件、參與人、成員角色、審核記錄、封存狀態、同步版本號和鎖定狀態。
共享協作資訊
包括邀請連結、邀請狀態、成員暱稱、頭像、郵箱或帳號標識、建立者/協作者/檢視者角色、只讀狀態、審核策略、待審核變更和操作後設資料。
圖片、附件與媒體
當你拍照或從相簿選擇圖片時，App 會處理圖片檔案、縮圖、檔名、MIME 型別和附件路徑。共享帳本中的附件可能上傳到雲端，供有權限的協作者檢視。
語音輸入與辨識文本
當你主動點選語音輸入時，App 會臨時存取麥克風並呼叫系統語音辨識能力，把語音轉換為文本。App 不會在你未啟動語音輸入時持續監聽。
收據辨識請求與結果
當你主動使用收據辨識時，所選收據圖片、結構化辨識結果、錯誤狀態和必要的用量記錄會被處理。辨識服務不會直接寫入帳本。
訂閱、權益與帳單狀態
包括產品 ID、會員等級、權益狀態、交易 ID、原始交易 ID、購買平臺、續訂狀態、到期狀態、收據辨識使用狀態、恢復購買結果和必要的伺服器通知記錄。
通知與裝置令牌
如果你允許通知，我們會處理 APNs/FCM 推送令牌、通知權限狀態和通知路由所需的帳本或審核標識，用於協作審核和共享帳本相關提醒。
診斷、安全與配置資料
包括崩潰日誌、診斷資料、App Check 狀態、請求錯誤、裝置和系統環境、應用版本、功能開關、濫用防護和速率限制記錄。
回饋與支援資訊
當你透過郵件或客服提供回饋時，我們處理聯絡方式、問題描述以及解決問題所需的最小資訊。
3. 我們如何收集資訊
- 你主動輸入、拍攝、匯入、傳送、編輯、刪除、分享或提交審核時，我們會處理對應內容。
- 你登入、恢復購買、接受邀請、啟用同步、允許通知或使用收據辨識時，我們會從系統、商店平臺、Firebase、Cloudflare 或專用辨識服務接收必要資訊。
- App 執行時會自動生成必要的診斷、安全、同步、崩潰和用量限制記錄。
- 如果你在備註、標題、附件或收據圖片裡主動包含他人資訊、位置、帳單、醫療或其他敏感內容，這些內容會按你選擇的功能被處理。
4. 我們如何使用資訊
- 提供本地記帳、搜尋、統計、日曆彙總、分類、附件、封存和多裝置同步能力。
- 完成登入、帳號管理、帳號刪除、權益辨識、恢復購買、訂閱校驗和收據辨識使用限制管理。
- 支援共享帳本、協作者角色、審核流程、建立者權限、檢視者只讀、離線快取和重新聯網後的同步。
- 在你主動使用時執行收據圖片辨識和系統語音轉文本。
- 傳送你允許的通知，例如審核提醒或共享帳本提醒。
- 保護服務安全，防止欺詐、濫用、越權存取、無效 App Check 請求和異常頻率呼叫。
- 排查崩潰、效能、同步、訂閱、通知、收據辨識或後端問題，並改進產品穩定性。
5. 共享與第三方服務
我們不會出售你的個人資訊，也不會把你的記帳資料用於第三方廣告定向。為了提供功能，我們會在必要範圍內與以下服務處理或共享資料：
- Apple：Sign in with Apple、App Store / StoreKit、訂閱、退款、伺服器通知、APNs 推送、系統相簿、相機、語音辨識和崩潰/系統能力。
- Google / Firebase：Firebase Authentication、App Check、Cloud Messaging、Analytics、Crashlytics，以及 Google 登入相關能力。
- Cloudflare：Workers、Pages、D1、R2、KV 和 AI Gateway 等，用於共享帳本、附件、公開網頁、速率限制、收據辨識和後端 API。
- 圖片辨識模型服務商：收據圖片和辨識請求會經我們的後端與 Cloudflare AI Gateway 傳送給目前配置的圖片辨識服務商（目前包括 OpenCode 和 OpenRouter），用於返回結構化辨識結果。
- 應用商店與支付平臺：在 iOS 上透過 Apple 處理購買和訂閱，在 Android 上透過 Google Play Billing 處理付款。RevenueCat 接收購買歷史、訂閱標識、帳號標識與狀態，用於校驗購買、提供訂閱分析和管理會員權益。從 iOS 1.1.0 起，App 不再請求 Apple 跟蹤權限，也不向 RevenueCat 提供廣告辨識符號。仍在使用 iOS 1.0.11 或更早版本的使用者可能會看到 Apple 跟蹤權限提示；只有在使用者明確允許後，舊版本才會向 RevenueCat 收集裝置和廣告辨識符號，用於訂閱歸因與分析。拒絕不會影響購買或恢復購買。
這些第三方只能在提供相應服務所需範圍內處理資料，並受其自身條款、隱私政策和安全措施約束。
MCP 與你選擇的外部 AI 客戶端
你主動透過 MCP 連接外部 AI 客戶端時，可以選擇授權的雲端帳本和操作範圍。工具傳回的帳目、成員資訊、備註和附件可能進入該客戶端的上下文或對話記錄，其儲存、訓練和刪除方式由該客戶端的政策及你的設定決定。MCP 無法存取僅儲存在裝置上的帳本，授權也不會改變你的成員角色、會員條件或帳本審核規則。
我們保留提供連線所需的授權與權杖資訊、必要安全記錄，以及用於防止重複執行和核對結果的操作回執；不為 MCP 儲存 AI 對話或伺服器端預覽草稿。停用連線與撤銷伺服器端授權不同：如客戶端提供撤銷入口，請在那裡撤銷；僅刪除本機設定不保證授權已撤銷。需要協助時請聯絡支援。
6. 共享帳本中的可見性
加入同一共享帳本的成員，可能看到該帳本內的標題、金額、幣種、交易時間、備註、圖片、附件、分類、標籤、參與人暱稱、頭像、審核狀態和部分操作記錄。
建立者可以管理帳本共享、協作者角色和審核策略。協作者對記帳資料的新增、修改、刪除可能需要建立者審核；檢視者只能檢視。具體權限以 App 內顯示和目前帳本設定為準。
如果建立者會員狀態失效、帳本被封存、成員被移除，或共享同步不可用，帳本可能變為只讀，或只能使用上一次快取狀態檢視。
7. 系統權限說明
- 相機：用於拍攝記帳相關圖片、帳單、票據或其他附件。
- 相簿：用於選擇圖片作為帳本圖示、備註圖片、附件或圖片辨識來源。
- 麥克風與語音辨識：僅在你主動啟動語音輸入時使用，用於把語音轉換為輸入框文本。
- 通知：用於協作審核、共享帳本狀態和其他你允許的提醒。
- 網路：用於登入、同步、共享、訂閱校驗、收據辨識、匯率查詢、圖片/附件上傳和診斷。
8. 收據辨識與自動化處理
App 只會在你主動選擇“辨識”時，把經過尺寸限制的收據圖片和目前帳本的分類名稱傳送到專用辨識服務。該服務透過 Cloudflare AI Gateway 的固定收據路由呼叫目前配置的圖片辨識服務商並返回結構化候選欄位，不會讀取其他帳本記錄、接收通用指令或直接寫入帳本。
我們的辨識服務不會儲存收據圖片或辨識正文，也不記錄或快取傳送給辨識提供方的請求和返回內容；僅保留用量計數和必要執行資訊。模型提供方仍會按其服務政策處理請求。
辨識結果可能不準確或不完整。你應在儲存前檢查金額、幣種、商戶、分類和時間；最終儲存的內容以你的確認和修改為準。
9. 資料保留與刪除
- 本地帳本：未啟用共享的資料主要儲存在你的裝置上，直到你刪除、封存、清理 App 資料或移除 App。
- 共享帳本：啟用共享後，帳本、成員、審核、附件和同步資料會保留在雲端，以支援協作和多裝置同步。
- 帳號刪除：你可以在 App 內或公開帳號刪除頁面發起刪除請求。刪除後，我們會刪除或匿名化與你帳號直接關聯的活動服務資料；為安全、防濫用、故障排查、訂閱核對、爭議處理或法律合規所需的最小記錄可能保留更長時間。
- 備份與日誌：備份、崩潰、診斷和安全日誌會按供應商和系統策略滾動清理；通常我們會盡力在不再需要時刪除或匿名化，常規週期一般不超過 90 天，法律或安全原因除外。
- 共享內容：如果你在共享帳本中建立內容，其他協作者裝置上的副本可能在同步、匯出、截圖或本地快取中繼續存在，直到相應成員刪除或系統完成清理。
10. 安全措施
我們使用 HTTPS、Firebase Authentication、Firebase App Check、平臺權限控制、成員角色、後端存取校驗、速率限制、最小化日誌和供應商提供的雲安全能力來保護資料。
沒有任何系統可以保證絕對安全。請妥善保管你的裝置、系統帳號、登入方式和商店帳號。如果你認為帳號或共享帳本存在異常存取，請儘快聯絡我們。
11. 跨境處理
由於 Firebase、Cloudflare、Apple、Google 和圖片辨識服務可能在多個國家或地區執行，你的資訊可能在你所在地以外被處理。我們會依賴相應服務商的合規機制和安全措施，並僅為本政策所述目的處理資料。
12. 你的選擇與權利
- 你可以在 App 中檢視、編輯或刪除帳本、備註、圖片、成員和個人資料。
- 你可以關閉共享、退出共享帳本、撤銷通知權限、停止使用收據辨識或登出。
- 你可以透過系統設定管理相機、相簿、麥克風、語音辨識和通知權限。
- 你可以請求存取、更正、刪除、匯出或限制處理你的個人資訊；我們會在適用法律要求範圍內響應。
- 你可以在 App Store 或 Google Play 管理訂閱；刪除 App 或帳號不一定會自動取消商店訂閱。
13. 兒童與敏感資訊
酷喵記帳不是面向兒童的服務，也不屬於 Google Play 或 App Store 的兒童專用產品。未滿適用地區法定年齡的使用者，應在監護人同意下使用。
請不要在備註、圖片、附件或收據辨識中上傳不必要的身份證件、精確位置、醫療、財務帳號、密碼、兒童資訊或其他高度敏感資料。若這些資訊由你主動提供，我們會按你選擇的功能處理它們。
14. 不收集或限制使用的資料
除非你主動在內容中提供，酷喵記帳不會有意收集通訊錄、精確定位、健康資料、瀏覽歷史、簡訊或通話記錄。iOS 1.1.0 及後續版本不請求 Apple 跟蹤權限，也不為 RevenueCat 收集廣告辨識符號；iOS 1.0.11 或更早版本可能請求該權限，並且只有在使用者明確允許後才會收集裝置和廣告辨識符號。我們不提供第三方廣告、出售個人資訊、進行跨 App 廣告定向或使用記帳內容訓練第三方公開模型。
15. 政策更新與聯絡
如果功能、供應商、資料處理方式或法律要求發生變化，我們會更新本政策，並在頁面中顯示新的更新時間。重大變化可能會透過 App 內提示、商店更新說明或其他合理方式通知。
如需聯絡，請使用 App 內反饋入口、App Store / Google Play 商店頁面展示的開發者聯絡方式，或傳送郵件至 [email protected]。
1. 適用範囲と開発者情報
本ポリシーは、CoolMeowLedger の iOS App、Android App、共有拡張、Watch 関連機能、公開招待ページ、アカウント削除ページ、プライバシーおよび利用規約ページ、ならびにこれらを支える Firebase、Cloudflare、関連バックエンドサービスに適用されます。
本アプリは Spawn Lau により公開および運営されています。お問い合わせは、アプリ内フィードバック、App Store / Google Play のストア掲載ページに表示される開発者連絡先、または [email protected] へのメールで行えます。
ストア、ログイン、サブスクリプション、プッシュ通知、レシート認識、クラウド機能など第三者サービスを通じて本アプリを利用する場合、それらの提供者も各自のポリシーに従って関連データを処理することがあります。
2. 処理する情報の種類
アカウントとログイン情報
メールアドレス、Firebase ユーザー ID、Apple または Google ログインの提供者 ID、表示名、アバター URL、ログイン状態、アカウント作成/更新日時、サービスに必要な認証トークンを含みます。
帳簿と記帳内容
帳簿名、アイコン、既定通貨、カテゴリ、金額、取引日時、作成日時、店舗名またはタイトル、メモ、タグ、添付、参加者、メンバー権限、承認記録、アーカイブ状態、同期リビジョン、ロック状態を含みます。
共有コラボレーション情報
招待リンク、招待状態、メンバーのニックネーム、アバター、メールまたはアカウント識別子、作成者/共同編集者/閲覧者 ロール、読み取り専用状態、承認ポリシー、保留中の変更、操作メタデータを含みます。
画像、添付、メディア
写真を撮影または選択した場合、画像ファイル、サムネイル、ファイル名、MIME タイプ、添付パスを処理します。共有帳簿の添付は、権限のある共同編集者が閲覧できるようクラウドにアップロードされることがあります。
音声入力と認識テキスト
あなたが明示的に音声入力を開始したときのみ、マイクとシステムの音声認識を一時的に利用して音声をテキストへ変換します。音声入力を開始していない間、継続的に聞き取ることはありません。
レシート認識のリクエストと結果
レシート認識を明示的に利用した場合、選択したレシート画像、構造化された認識結果、エラー状態、必要な利用記録を処理します。認識サービスが帳簿へ直接書き込むことはありません。
サブスクリプションと権限データ
商品 ID、プラン、権限状態、取引 ID、元取引 ID、購入プラットフォーム、更新/期限切れ状態、レシート認識の利用状態、購入復元結果、必要なサーバー通知記録を含みます。
通知とデバイストークン
通知を許可した場合、APNs/FCM プッシュトークン、通知権限状態、承認や帳簿を通知先に紐づけるために必要な識別子を処理します。
診断、安全、設定データ
クラッシュログ、診断データ、App Check 状態、リクエストエラー、端末と OS 環境、アプリバージョン、機能フラグ、不正利用防止、レート制限記録を含みます。
フィードバックとサポート情報
メールやサポートでご連絡いただく場合、連絡先、問題の説明、解決に必要な最小限の情報を処理します。
3. 情報の収集方法
- あなたが入力、撮影、インポート、送信、編集、削除、共有、承認提出を行うと、対応する内容を処理します。
- ログイン、購入復元、招待承諾、同期有効化、通知許可、レシート認識の利用時には、OS、ストア、Firebase、Cloudflare、または専用認識サービスから必要な情報を受け取ります。
- アプリの実行中、診断、安全、同期、クラッシュ、クォータに関する必要な記録が自動生成されます。
- メモ、タイトル、添付、レシート画像に他者の情報、位置、請求書、医療情報、その他の機微情報を自ら含めた場合、その内容は選択した機能に従って処理されます。
4. 情報の利用目的
- ローカル記帳、検索、集計、カレンダー合計、カテゴリ、添付、アーカイブ、複数端末同期を提供するため。
- ログイン、アカウント管理、アカウント削除、権限確認、購入復元、サブスクリプション検証、レシート認識の利用制限管理を行うため。
- 共有帳簿、共同編集者ロール、承認フロー、作成者権限、閲覧者の読み取り専用、オフラインキャッシュ、再接続後の同期を運用するため。
- あなたが明示的に利用したときに、レシート画像認識とシステム音声テキスト化を実行するため。
- 承認リマインダーや共有帳簿リマインダーなど、あなたが許可した通知を送信するため。
- 不正、濫用、不正アクセス、無効な App Check リクエスト、異常な頻度の呼び出しからサービスを保護するため。
- クラッシュ、パフォーマンス、同期、サブスクリプション、通知、レシート認識、バックエンドの問題を調査し、安定性を改善するため。
5. 共有と第三者サービス
当社はあなたの個人情報を販売せず、記帳データを第三者広告のターゲティングに利用しません。サービス提供に必要な範囲で、次のサービスとデータを処理または共有します。
- Apple：Sign in with Apple、App Store / StoreKit、サブスクリプション、返金、サーバー通知、APNs、写真、カメラ、音声認識、クラッシュまたはシステム機能。
- Google / Firebase：Firebase Authentication、App Check、Cloud Messaging、Analytics、Crashlytics、Google Sign-In。
- Cloudflare：Workers、Pages、D1、R2、KV、AI Gateway、および共有帳簿、添付、公開ページ、レート制限、レシート認識、バックエンド API に関連するサービス。
- 画像認識モデルサービス：レシート画像と認識リクエストは、構造化結果を返すため、当社のバックエンドと Cloudflare AI Gateway を経由して、現在設定されている画像認識サービスプロバイダー（現在は OpenCode と OpenRouter を含みます）へ送信されます。
- アプリストアと決済プラットフォーム：iOS の購入とサブスクリプションは Apple、Android の支払いは Google Play Billing が処理します。RevenueCat は購入履歴、サブスクリプション識別子、アカウント識別子、状態を受け取り、購入検証、サブスクリプション分析、メンバーシップ特典の管理に使用します。iOS 1.1.0 以降、アプリは Apple のトラッキング許可を要求せず、RevenueCat に広告識別子を提供しません。iOS 1.0.11 以前を使用している場合は Apple のトラッキング許可が表示されることがあり、明示的に許可した場合に限り、旧バージョンがサブスクリプションのアトリビューションと分析のために端末識別子および広告識別子を RevenueCat に収集します。拒否しても購入や購入の復元には影響しません。
これらの第三者は、各サービス提供に必要な範囲でデータを処理し、それぞれの規約、プライバシーポリシー、セキュリティ対策に従います。
MCP と選択した外部 AI クライアント
MCP で外部 AI クライアントを接続する際は、アクセスを許可するクラウド帳簿と操作範囲を選択できます。ツールが返す記帳内容、メンバー情報、メモ、添付は、クライアントのコンテキストや会話履歴に含まれる場合があります。保存、学習への利用、削除は、そのクライアントのポリシーとあなたの設定に従います。MCP は端末内だけに保存された帳簿にアクセスできず、認可によってメンバーの役割、会員条件、帳簿の承認ルールが変わることはありません。
接続に必要な認可とトークン情報、必要な安全記録、重複実行の防止と結果確認のための操作記録を保持します。MCP のために AI の会話やサーバー側のプレビュー下書きを保存することはありません。接続の無効化とサーバー側の認可取り消しは異なります。クライアントに取り消し機能がある場合は利用してください。ローカル設定の削除だけでは認可が取り消されたとは限りません。必要な場合はサポートへご連絡ください。
6. 共有帳簿での表示範囲
同じ共有帳簿のメンバーは、その帳簿のタイトル、金額、通貨、取引日時、メモ、画像、添付、カテゴリ、タグ、参加者表示名、アバター、承認状態、一部の操作記録を見ることがあります。
作成者は共有、共同編集者ロール、承認ポリシーを管理できます。共同編集者による記帳レコードの追加、編集、削除は 作成者承認が必要な場合があります。閲覧者は閲覧のみ可能です。実際の権限はアプリ内の状態と帳簿設定に従います。
作成者の会員資格が失効した場合、帳簿がアーカイブされた場合、メンバーが削除された場合、または同期が利用できない場合、帳簿は読み取り専用になるか、最後のキャッシュ状態でのみ閲覧できることがあります。
7. システム権限
- カメラ：記帳用画像、請求書、レシート、その他添付を撮影するため。
- 写真：帳簿アイコン、画像メモ、添付、画像認識に使う画像を選択するため。
- マイクと音声認識：あなたが開始した音声入力をテキストに変換するため。
- 通知：承認、共有帳簿状態、その他許可したリマインダーのため。
- ネットワーク：ログイン、同期、共有、サブスクリプション検証、レシート認識、為替レート照会、画像/添付アップロード、診断のため。
8. レシート認識と自動処理
あなたが明示的に「認識」を選んだ場合に限り、サイズを制限したレシート画像と現在の帳簿のカテゴリ名が専用サービスへ送信されます。このサービスは Cloudflare AI Gateway の固定レシートルートを通じて現在設定されている画像認識サービスを呼び出し、構造化された候補項目を返します。他の帳簿記録を読み取らず、汎用的な指示を受け付けず、帳簿へ直接書き込みません。
当社の認識サービスは画像や認識結果の本文を保存しません。AI Gateway でも本文のログとキャッシュを無効にしています。利用回数と必要最小限の運用情報のみを保持します。画像認識の提供者は、それぞれのポリシーに従ってリクエストを処理します。
認識結果は不正確または不完全な場合があります。保存前に金額、通貨、店舗、カテゴリ、日時を確認してください。最終的に保存される内容は、あなたの確認と修正が基準です。
9. 保持と削除
- ローカル帳簿：共有していないデータは主に端末上に保存され、削除、アーカイブ、アプリデータ消去、アンインストールまで保持されます。
- 共有帳簿：共有を有効にすると、帳簿、メンバー、承認、添付、同期データは共同編集と複数端末同期のためクラウドに保存されます。
- アカウント削除：アプリまたは公開アカウント削除ページから削除を依頼できます。削除後、アカウントに直接関連する有効なサービスデータは削除または匿名化されます。ただし、安全、不正利用防止、トラブルシュート、サブスクリプション照合、紛争対応、法令遵守に必要な最小限の記録はより長く保持されることがあります。
- バックアップとログ：バックアップ、クラッシュ、診断、安全ログは提供者やシステムのポリシーに従ってローテーションされます。通常、不要になった時点で削除または匿名化するよう努め、法的または安全上の理由がない限り一般的な期間は 90 日以内です。
- 共有コンテンツ：共有帳簿で作成した内容は、共同編集者の端末、エクスポート、スクリーンショット、ローカルキャッシュに残ることがあります。
10. セキュリティ対策
HTTPS、Firebase Authentication、Firebase App Check、プラットフォーム権限、メンバーロール、バックエンドアクセス確認、レート制限、最小限のログ、クラウド提供者の安全機能を用いてデータを保護します。
完全に安全なシステムはありません。端末、システムアカウント、ログイン方法、ストアアカウントを保護してください。異常なアクセスに気づいた場合は速やかにお問い合わせください。
11. 国際的な処理
Firebase、Cloudflare、Apple、Google、画像認識サービスは複数の国または地域で運用されることがあるため、あなたの情報は所在地以外で処理される場合があります。当社は各提供者のコンプライアンス機構と安全対策に依拠し、本ポリシーに記載した目的に限って処理します。
12. あなたの選択と権利
- アプリ内で帳簿、メモ、画像、メンバー、プロフィール情報を閲覧、編集、削除できます。
- 共有を停止、共有帳簿から退出、通知権限を取り消し、レシート認識の利用を停止、ログアウトできます。
- システム設定でカメラ、写真、マイク、音声認識、通知の権限を管理できます。
- 個人情報へのアクセス、訂正、削除、エクスポート、処理制限を求めることができ、適用法令に従って対応します。
- サブスクリプションは App Store または Google Play で管理できます。アプリやアカウントを削除しても、ストアのサブスクリプションが自動的に解約されるとは限りません。
13. 子どもと機微情報
CoolMeowLedger は子ども向けサービスではなく、Google Play または App Store の子ども向け製品ではありません。適用される法定年齢未満のユーザーは、保護者の同意のもとで利用してください。
不要な身分証、正確な位置情報、医療情報、金融口座番号、パスワード、子どもの情報、その他高度に機微な情報をメモ、画像、添付、レシート認識へアップロードしないでください。あなたが自発的に含めた場合、選択した機能に従って処理されます。
14. 意図的に収集しない、または制限するデータ
あなたが自ら内容に含めない限り、CoolMeowLedger は連絡先、正確な位置情報、健康データ、閲覧履歴、SMS、通話履歴を意図的に収集しません。iOS 1.1.0 以降は Apple のトラッキング許可を要求せず、RevenueCat のために広告識別子を収集しません。iOS 1.0.11 以前では許可を求める場合があり、明示的に許可した場合に限り、端末識別子および広告識別子を収集します。また、第三者広告の提供、個人情報の販売、他社のアプリやウェブサイトをまたぐ広告ターゲティング、記帳内容を第三者の公開モデルの学習に使用することもありません。
15. 更新と連絡先
機能、提供者、データ処理、法的要件が変わった場合、本ポリシーを更新し、新しい更新日を表示します。重要な変更は、アプリ内通知、ストア更新情報、その他合理的な方法で知らせることがあります。
お問い合わせは、アプリ内フィードバック、App Store / Google Play のストア掲載ページに表示される開発者連絡先、または [email protected] へのメールをご利用ください。
1. Scope and Developer Information
This policy applies to the CoolMeowLedger iOS app, Android app, share extension, Watch-related features, public invitation pages, account deletion page, privacy and terms pages, and the Firebase, Cloudflare, and related backend services that support those features.
The app is published and maintained by Spawn Lau. You can contact us through the in-app feedback entry, the developer contact information shown on the App Store or Google Play listing, or by email at [email protected].
If you use the app through third-party store, sign-in, subscription, push, receipt-recognition, or cloud services, those providers may also process data about you under their own policies.
2. Types of Information We Process
Account and sign-in information
Email address, Firebase user ID, Apple or Google provider identifiers, display name, avatar URL, sign-in state, account timestamps, and authentication tokens required for the service.
Books and bookkeeping content
Book title, icon, default currency, categories, amounts, transaction time, creation time, merchant or title, notes, tags, attachments, participants, roles, approval records, archive state, sync revisions, and lock state.
Collaboration information
Invitation links, invitation status, member nicknames, avatars, email or account identifiers, creator/collaborator/viewer roles, read-only state, approval policy, pending changes, and operational metadata.
Images, attachments, and media
When you capture or choose an image, the app processes image files, thumbnails, file names, MIME types, and attachment paths. Attachments in shared books may be uploaded for authorized collaborators to view.
Speech input and recognized text
When you explicitly start voice input, the app temporarily uses the microphone and system speech recognition to convert speech into text. The app does not continuously listen when you have not started voice input.
Receipt-recognition requests and results
When you explicitly use receipt recognition, we process the selected receipt image, structured recognition result, error state, and necessary usage records. The recognition service never writes directly to the ledger.
Subscription and entitlement data
Product IDs, plan tier, entitlement state, transaction ID, original transaction ID, purchase platform, renewal or expiration state, receipt-recognition usage state, restore-purchase results, and necessary server notification records.
Notifications and device tokens
If you allow notifications, we process APNs/FCM push tokens, notification permission state, and book or approval identifiers needed to route collaboration approval and shared-book notifications.
Diagnostics, security, and configuration data
Crash logs, diagnostic data, App Check state, request errors, device and system environment, app version, feature flags, abuse prevention, and rate-limit records.
Feedback and support information
When you contact us by email or through support, we process your contact details, problem description, and the minimum information needed to resolve the issue.
3. How We Collect Information
- We process content when you enter, capture, import, send, edit, delete, share, or submit it for approval.
- We receive necessary information from the operating system, app stores, Firebase, Cloudflare, or the dedicated recognition service when you sign in, restore purchases, accept invitations, enable sync, allow notifications, or use receipt recognition.
- The app automatically generates necessary diagnostic, security, sync, crash, and quota records while it runs.
- If you voluntarily include another person's information, location, bills, medical information, or other sensitive content in notes, titles, attachments, or receipt images, that content is processed according to the feature you chose.
4. How We Use Information
- To provide local bookkeeping, search, summaries, calendar totals, categories, attachments, archiving, and multi-device sync.
- To support sign-in, account management, account deletion, entitlement checks, purchase restoration, subscription validation, and receipt-recognition usage limits.
- To operate shared books, collaborator roles, approval flows, creator permissions, viewer read-only access, offline cache, and sync after reconnecting.
- To perform receipt-image recognition and system speech-to-text when you actively use them.
- To send notifications you allow, such as approval reminders or shared-book reminders.
- To protect the service from fraud, abuse, unauthorized access, invalid App Check requests, and abnormal request frequency.
- To troubleshoot crashes, performance, sync, subscription, notification, receipt-recognition, or backend issues and improve product stability.
5. Sharing and Third-Party Services
We do not sell your personal information and do not use your bookkeeping data for third-party advertising targeting. To provide the service, we process or share data with the following services where necessary:
- Apple: Sign in with Apple, App Store / StoreKit, subscriptions, refunds, server notifications, APNs push, system photo library, camera, speech recognition, and crash or system capabilities.
- Google / Firebase: Firebase Authentication, App Check, Cloud Messaging, Analytics, Crashlytics, and Google Sign-In.
- Cloudflare: Workers, Pages, D1, R2, KV, AI Gateway, and related services for shared books, attachments, public pages, rate limiting, receipt recognition, and backend APIs.
- Image-recognition services: receipt images and recognition requests are sent through our backend and Cloudflare AI Gateway to the currently configured image-recognition providers, which currently include OpenCode and OpenRouter, to produce structured recognition results.
- App stores and payment platforms: Apple handles iOS purchases and subscriptions, and Google Play Billing handles Android payments. RevenueCat receives purchase history, subscription identifiers, account identifiers, and status for purchase validation, subscription analytics, and membership entitlement management. Starting with iOS 1.1.0, the app no longer requests Apple's tracking permission or provides advertising identifiers to RevenueCat. Users who still have iOS 1.0.11 or earlier installed may see Apple's tracking permission prompt; only after explicit authorization may those older versions collect device and advertising identifiers for RevenueCat subscription attribution and analytics. Denying permission does not affect purchases or purchase restoration.
These third parties process data only as needed to provide their services and are governed by their own terms, privacy policies, and security measures.
MCP and the external AI client you choose
When you choose to connect an external AI client through MCP, you select the cloud ledgers and operations it may access. Ledger records, member information, notes and attachments returned by tools may enter that client's context or conversation history. Its policies and your settings govern retention, training and deletion. MCP cannot access ledgers stored only on your device. Authorization does not change your member role, membership requirements or ledger approval rules.
We retain authorization and token information needed for the connection, necessary security records, and operation receipts used to prevent duplicate execution and check results. We do not store AI conversations or server-side preview drafts for MCP. Disabling a connection and revoking server-side authorization are different: use the client's revocation option when available. Deleting local configuration alone does not guarantee revocation. Contact support if you need help.
6. Visibility in Shared Books
Members of the same shared book may see that book's title, amounts, currency, transaction time, notes, images, attachments, categories, tags, participant display names, avatars, approval status, and certain activity records.
Creators can manage sharing, collaborator roles, and approval policies. Collaborator additions, edits, or deletions of bookkeeping records may require creator approval. Viewers can only view. Actual permissions depend on the in-app state and current book settings.
If the creator's membership expires, the book is archived, a member is removed, or sync is unavailable, the book may become read-only or may only be viewable using the last cached state.
7. System Permissions
- Camera: used to capture bookkeeping images, bills, receipts, or other attachments.
- Photos: used to choose images for book icons, image notes, attachments, or image recognition.
- Microphone and speech recognition: used only after you start voice input, to convert speech into text.
- Notifications: used for collaboration approvals, shared-book status, and other reminders you allow.
- Network: used for sign-in, sync, sharing, subscription validation, receipt recognition, exchange-rate lookups, image or attachment upload, and diagnostics.
8. Receipt Recognition and Automated Processing
Only when you explicitly choose recognition does the app send a size-bounded receipt image and the current book's category names to the dedicated service. That service calls the currently configured image-recognition providers through Cloudflare AI Gateway's fixed receipt route and returns structured candidate fields. It does not read other ledger records, accept general-purpose instructions, or write directly to the ledger.
Our recognition service does not store receipt images or extraction content. Request and response body logging and caching are disabled in AI Gateway. We retain usage counts and necessary operational metadata without those bodies. Image-recognition providers process requests under their own policies.
Recognition results may be inaccurate or incomplete. Review the amount, currency, merchant, category, and time before saving. Your confirmation and edits are the source of truth for the final record.
9. Retention and Deletion
- Local books: data that is not shared is primarily stored on your device until you delete it, archive it, clear app data, or uninstall the app.
- Shared books: when sharing is enabled, books, members, approvals, attachments, and sync data are stored in the cloud to support collaboration and multi-device sync.
- Account deletion: you can request deletion in the app or on the public account deletion page. After deletion, we delete or anonymize active service data directly associated with your account; minimal records needed for security, abuse prevention, troubleshooting, subscription verification, dispute handling, or legal compliance may be retained longer.
- Backups and logs: backups, crash, diagnostic, and security logs are rotated under vendor and system policies. We generally try to delete or anonymize them when no longer needed, commonly within 90 days, unless legal or security reasons require longer retention.
- Shared content: if you create content in a shared book, copies on collaborators' devices may remain in sync state, exports, screenshots, or local caches until those members delete them or system cleanup completes.
10. Security Measures
We use HTTPS, Firebase Authentication, Firebase App Check, platform permissions, member roles, backend access checks, rate limits, minimized logs, and cloud-provider security controls to protect data.
No system can be perfectly secure. Please protect your device, system account, sign-in methods, and store account. If you believe your account or shared book has been accessed unexpectedly, contact us as soon as possible.
11. International Processing
Because Firebase, Cloudflare, Apple, Google, and image-recognition services may operate in multiple countries or regions, your information may be processed outside your location. We rely on those providers' compliance mechanisms and security measures and process data only for the purposes described in this policy.
12. Your Choices and Rights
- You can view, edit, or delete books, notes, images, members, and profile data in the app.
- You can turn off sharing, leave shared books, revoke notification permission, stop using receipt recognition, or sign out.
- You can manage camera, photo, microphone, speech recognition, and notification permissions in system settings.
- You can request access, correction, deletion, export, or restriction of your personal information, and we will respond as required by applicable law.
- You can manage subscriptions through the App Store or Google Play. Deleting the app or account may not automatically cancel store subscriptions.
13. Children and Sensitive Information
CoolMeowLedger is not directed to children and is not a child-directed product on Google Play or the App Store. Users under the applicable legal age should use the app with guardian consent.
Please do not upload unnecessary ID documents, precise location, medical data, financial account numbers, passwords, children's information, or other highly sensitive data in notes, images, attachments, or receipt recognition. If you voluntarily include that data, we process it according to the feature you selected.
14. Data We Do Not Intentionally Collect or Limit
Unless you voluntarily include it in your content, CoolMeowLedger does not intentionally collect contacts, precise location, health data, browsing history, SMS, or call logs. iOS 1.1.0 and later do not request Apple's tracking permission or collect advertising identifiers for RevenueCat. iOS 1.0.11 or earlier may request that permission and collect device and advertising identifiers only after the user explicitly authorizes it. We do not provide third-party ads, sell personal information, perform advertising targeting across other companies' apps or websites, or use bookkeeping content to train third-party public models.
15. Updates and Contact
If features, providers, data practices, or legal requirements change, we will update this policy and show the new update date. Material changes may be announced through in-app notices, store release notes, or other reasonable methods.
If you need to contact us, please use the in-app feedback entry, the developer contact information shown on the App Store or Google Play listing, or email [email protected].
