1. 适用范围与开发者信息
本政策适用于酷喵记账（CoolMeowLedger）iOS App、Android App、分享扩展、Watch 相关能力、公开邀请页面、账号删除页面、隐私与条款页面，以及用于支持这些功能的 Firebase、Cloudflare 和相关后端服务。
本应用由 Spawn Lau 发布和维护。你可以通过 App 内反馈入口、App Store / Google Play 商店页面展示的开发者联系方式，或发送邮件至 [email protected] 与我们联系。
如果你通过第三方服务商的商店、登录、订阅、推送、小票识别或云服务使用本应用，这些第三方服务商也会按照其各自政策处理与你相关的数据。
2. 我们处理的信息类型
账号与登录信息
包括邮箱地址、Firebase 用户 ID、Apple 或 Google 登录返回的用户标识、显示名称、头像链接、登录状态、账号创建/更新时间以及必要的身份验证令牌。
账本与记账内容
包括账本标题、图标、默认币种、分类、金额、交易时间、创建时间、商家或标题、备注、标签、附件、参与人、成员角色、审批记录、归档状态、同步版本号和锁定状态。
共享协作信息
包括邀请链接、邀请状态、成员昵称、头像、邮箱或账号标识、owner/editor/viewer 角色、只读状态、审批策略、待审批变更和操作元数据。
图片、附件与媒体
当你拍照或从相册选择图片时，App 会处理图片文件、缩略图、文件名、MIME 类型和附件路径。共享账本中的附件可能上传到云端，供有权限的协作者查看。
语音输入与识别文本
当你主动点击语音输入时，App 会临时访问麦克风并调用系统语音识别能力，把语音转换为文本。App 不会在你未启动语音输入时持续监听。
小票识别请求与结果
当你主动使用小票识别时，所选小票图片、结构化识别结果、错误状态和必要的用量记录会被处理。识别服务不会直接写入账本。
订阅、权益与账单状态
包括产品 ID、会员等级、权益状态、交易 ID、原始交易 ID、购买平台、续订状态、到期状态、小票识别使用状态、恢复购买结果和必要的服务器通知记录。
通知与设备令牌
如果你允许通知，我们会处理 APNs/FCM 推送令牌、通知权限状态和通知路由所需的账本或审批标识，用于协作审批和共享账本相关提醒。
诊断、安全与配置数据
包括崩溃日志、诊断数据、App Check 状态、请求错误、设备和系统环境、应用版本、功能开关、滥用防护和速率限制记录。
推广与支持信息
如果你使用推广、奖励或支持入口，我们可能处理推广码、奖励状态、支持请求、联系方式和与问题排查相关的最小必要信息。
3. 我们如何收集信息
- 你主动输入、拍摄、导入、发送、编辑、删除、分享或提交审批时，我们会处理对应内容。
- 你登录、恢复购买、接受邀请、启用同步、允许通知或使用小票识别时，我们会从系统、商店平台、Firebase、Cloudflare 或专用识别服务接收必要信息。
- App 运行时会自动生成必要的诊断、安全、同步、崩溃和用量限制记录。
- 如果你在备注、标题、附件或小票图片里主动包含他人信息、位置、账单、医疗或其他敏感内容，这些内容会按你选择的功能被处理。
4. 我们如何使用信息
- 提供本地记账、搜索、统计、日历汇总、分类、附件、归档和多设备同步能力。
- 完成登录、账号管理、账号删除、权益识别、恢复购买、订阅校验和小票识别使用限制管理。
- 支持共享账本、协作者角色、审批流程、owner 权限、viewer 只读、离线缓存和重新联网后的同步。
- 在你主动使用时执行小票图片识别和系统语音转文本。
- 发送你允许的通知，例如审批提醒或共享账本提醒。
- 保护服务安全，防止欺诈、滥用、越权访问、无效 App Check 请求和异常频率调用。
- 排查崩溃、性能、同步、订阅、通知、小票识别或后端问题，并改进产品稳定性。
5. 共享与第三方服务
我们不会出售你的个人信息，也不会把你的记账数据用于第三方广告定向。为了提供功能，我们会在必要范围内与以下服务处理或共享数据：
- Apple：Sign in with Apple、App Store / StoreKit、订阅、退款、服务器通知、APNs 推送、系统相册、相机、语音识别和崩溃/系统能力。
- Google / Firebase：Firebase Authentication、App Check、Cloud Messaging、Analytics、Crashlytics，以及 Google 登录相关能力。
- Cloudflare：Workers、Pages、D1、R2、KV 和 AI Gateway 等，用于共享账本、附件、公开网页、速率限制、小票识别和后端 API。
- 图片识别模型服务商：小票图片和识别请求会经我们的后端与 Cloudflare AI Gateway 发送给当前配置的图片识别服务商（目前包括 OpenCode 和 OpenRouter），用于返回结构化识别结果。
- 应用商店与支付平台：在 iOS 上通过 Apple 处理购买和订阅，在 Android 上通过 Google Play Billing 处理付款。RevenueCat 接收购买历史、订阅标识、账号标识与状态，用于校验购买、提供订阅分析和管理会员权益。从 iOS 1.1.0 起，App 不再请求 Apple 跟踪权限，也不向 RevenueCat 提供广告标识符。仍在使用 iOS 1.0.11 或更早版本的用户可能会看到 Apple 跟踪权限提示；只有在用户明确允许后，旧版本才会向 RevenueCat 收集设备和广告标识符，用于订阅归因与分析。拒绝不会影响购买或恢复购买。
这些第三方只能在提供相应服务所需范围内处理数据，并受其自身条款、隐私政策和安全措施约束。
6. 共享账本中的可见性
加入同一共享账本的成员，可能看到该账本内的标题、金额、币种、交易时间、备注、图片、附件、分类、标签、参与人昵称、头像、审批状态和部分操作记录。
owner 可以管理账本共享、协作者角色和审批策略。editor 对记账数据的新增、修改、删除可能需要 owner 审批；viewer 只能查看。具体权限以 App 内显示和当前账本设置为准。
如果 owner 会员状态失效、账本被归档、成员被移除，或共享同步不可用，账本可能变为只读，或只能使用上一次缓存状态查看。
7. 系统权限说明
- 相机：用于拍摄记账相关图片、账单、票据或其他附件。
- 相册：用于选择图片作为账本图标、备注图片、附件或图片识别来源。
- 麦克风与语音识别：仅在你主动启动语音输入时使用，用于把语音转换为输入框文本。
- 通知：用于协作审批、共享账本状态和其他你允许的提醒。
- 网络：用于登录、同步、共享、订阅校验、小票识别、汇率查询、图片/附件上传和诊断。
8. 小票识别与自动化处理
App 只会在你主动选择“识别”时，把经过尺寸限制的小票图片和当前账本的分类名称发送到专用识别服务。该服务通过 Cloudflare AI Gateway 的固定收据路由调用当前配置的图片识别服务商并返回结构化候选字段，不会读取其他账本记录、接收通用指令或直接写入账本。
专用 Worker 不会把图片或识别正文写入 D1、R2 或 KV，并关闭 AI Gateway 的请求/响应正文日志与缓存；服务端只保留限额计数和必要的非正文运行元数据。模型提供方仍会按其服务政策处理请求。
识别结果可能不准确或不完整。你应在保存前检查金额、币种、商户、分类和时间；最终保存的内容以你的确认和修改为准。
9. 数据保留与删除
- 本地账本：未启用共享的数据主要保存在你的设备上，直到你删除、归档、清理 App 数据或卸载 App。
- 共享账本：启用共享后，账本、成员、审批、附件和同步数据会保留在云端，以支持协作和多设备同步。
- 账号删除：你可以在 App 内或公开账号删除页面发起删除请求。删除后，我们会删除或匿名化与你账号直接关联的活动服务数据；为安全、防滥用、故障排查、订阅核对、争议处理或法律合规所需的最小记录可能保留更长时间。
- 备份与日志：备份、崩溃、诊断和安全日志会按供应商和系统策略滚动清理；通常我们会尽力在不再需要时删除或匿名化，常规周期一般不超过 90 天，法律或安全原因除外。
- 共享内容：如果你在共享账本中创建内容，其他协作者设备上的副本可能在同步、导出、截图或本地缓存中继续存在，直到相应成员删除或系统完成清理。
10. 安全措施
我们使用 HTTPS、Firebase Authentication、Firebase App Check、平台权限控制、成员角色、后端访问校验、速率限制、最小化日志和供应商提供的云安全能力来保护数据。
没有任何系统可以保证绝对安全。请妥善保管你的设备、系统账号、登录方式和商店账号。如果你认为账号或共享账本存在异常访问，请尽快联系我们。
11. 跨境处理
由于 Firebase、Cloudflare、Apple、Google 和图片识别服务可能在多个国家或地区运行，你的信息可能在你所在地以外被处理。我们会依赖相应服务商的合规机制和安全措施，并仅为本政策所述目的处理数据。
12. 你的选择与权利
- 你可以在 App 中查看、编辑或删除账本、备注、图片、成员和个人资料。
- 你可以关闭共享、退出共享账本、撤销通知权限、停止使用小票识别或退出登录。
- 你可以通过系统设置管理相机、相册、麦克风、语音识别和通知权限。
- 你可以请求访问、更正、删除、导出或限制处理你的个人信息；我们会在适用法律要求范围内响应。
- 你可以在 App Store 或 Google Play 管理订阅；删除 App 或账号不一定会自动取消商店订阅。
13. 儿童与敏感信息
酷喵记账不是面向儿童的服务，也不属于 Google Play 或 App Store 的儿童专用产品。未满适用地区法定年龄的用户，应在监护人同意下使用。
请不要在备注、图片、附件或小票识别中上传不必要的身份证件、精确位置、医疗、财务账号、密码、儿童信息或其他高度敏感数据。若这些信息由你主动提供，我们会按你选择的功能处理它们。
14. 不收集或限制使用的数据
除非你主动在内容中提供，酷喵记账不会有意收集通讯录、精确定位、健康数据、浏览历史、短信或通话记录。iOS 1.1.0 及后续版本不请求 Apple 跟踪权限，也不为 RevenueCat 收集广告标识符；iOS 1.0.11 或更早版本可能请求该权限，并且只有在用户明确允许后才会收集设备和广告标识符。我们不提供第三方广告、出售个人信息、进行跨 App 广告定向或使用记账内容训练第三方公开模型。
15. 政策更新与联系
如果功能、供应商、数据处理方式或法律要求发生变化，我们会更新本政策，并在页面中显示新的更新时间。重大变化可能会通过 App 内提示、商店更新说明或其他合理方式通知。
如需联系，请使用 App 内反馈入口、App Store / Google Play 商店页面展示的开发者联系方式，或发送邮件至 [email protected]。
1. 適用範囲と開発者情報
本ポリシーは、CoolMeowLedger の iOS App、Android App、共有拡張、Watch 関連機能、公開招待ページ、アカウント削除ページ、プライバシーおよび利用規約ページ、ならびにこれらを支える Firebase、Cloudflare、関連バックエンドサービスに適用されます。
本アプリは Spawn Lau により公開および運営されています。お問い合わせは、アプリ内フィードバック、App Store / Google Play のストア掲載ページに表示される開発者連絡先、または [email protected] へのメールで行えます。
ストア、ログイン、サブスクリプション、プッシュ通知、レシート認識、クラウド機能など第三者サービスを通じて本アプリを利用する場合、それらの提供者も各自のポリシーに従って関連データを処理することがあります。
2. 処理する情報の種類
アカウントとログイン情報
メールアドレス、Firebase ユーザー ID、Apple または Google ログインの提供者 ID、表示名、アバター URL、ログイン状態、アカウント作成/更新日時、サービスに必要な認証トークンを含みます。
帳簿と記帳内容
帳簿名、アイコン、既定通貨、カテゴリ、金額、取引日時、作成日時、店舗名またはタイトル、メモ、タグ、添付、参加者、メンバー権限、承認記録、アーカイブ状態、同期リビジョン、ロック状態を含みます。
共有コラボレーション情報
招待リンク、招待状態、メンバーのニックネーム、アバター、メールまたはアカウント識別子、owner/editor/viewer ロール、読み取り専用状態、承認ポリシー、保留中の変更、操作メタデータを含みます。
画像、添付、メディア
写真を撮影または選択した場合、画像ファイル、サムネイル、ファイル名、MIME タイプ、添付パスを処理します。共有帳簿の添付は、権限のある共同編集者が閲覧できるようクラウドにアップロードされることがあります。
音声入力と認識テキスト
あなたが明示的に音声入力を開始したときのみ、マイクとシステムの音声認識を一時的に利用して音声をテキストへ変換します。音声入力を開始していない間、継続的に聞き取ることはありません。
レシート認識のリクエストと結果
レシート認識を明示的に利用した場合、選択したレシート画像、構造化された認識結果、エラー状態、必要な利用記録を処理します。認識サービスが帳簿へ直接書き込むことはありません。
サブスクリプションと権限データ
商品 ID、プラン、権限状態、取引 ID、元取引 ID、購入プラットフォーム、更新/期限切れ状態、レシート認識の利用状態、購入復元結果、必要なサーバー通知記録を含みます。
通知とデバイストークン
通知を許可した場合、APNs/FCM プッシュトークン、通知権限状態、承認や帳簿を通知先に紐づけるために必要な識別子を処理します。
診断、安全、設定データ
クラッシュログ、診断データ、App Check 状態、リクエストエラー、端末と OS 環境、アプリバージョン、機能フラグ、不正利用防止、レート制限記録を含みます。
紹介とサポート情報
紹介、報酬、サポート機能を利用する場合、紹介コード、報酬状態、サポート依頼、連絡先、問題解決に必要な最小限の情報を処理することがあります。
3. 情報の収集方法
- あなたが入力、撮影、インポート、送信、編集、削除、共有、承認提出を行うと、対応する内容を処理します。
- ログイン、購入復元、招待承諾、同期有効化、通知許可、レシート認識の利用時には、OS、ストア、Firebase、Cloudflare、または専用認識サービスから必要な情報を受け取ります。
- アプリの実行中、診断、安全、同期、クラッシュ、クォータに関する必要な記録が自動生成されます。
- メモ、タイトル、添付、レシート画像に他者の情報、位置、請求書、医療情報、その他の機微情報を自ら含めた場合、その内容は選択した機能に従って処理されます。
4. 情報の利用目的
- ローカル記帳、検索、集計、カレンダー合計、カテゴリ、添付、アーカイブ、複数端末同期を提供するため。
- ログイン、アカウント管理、アカウント削除、権限確認、購入復元、サブスクリプション検証、レシート認識の利用制限管理を行うため。
- 共有帳簿、共同編集者ロール、承認フロー、owner 権限、viewer の読み取り専用、オフラインキャッシュ、再接続後の同期を運用するため。
- あなたが明示的に利用したときに、レシート画像認識とシステム音声テキスト化を実行するため。
- 承認リマインダーや共有帳簿リマインダーなど、あなたが許可した通知を送信するため。
- 不正、濫用、不正アクセス、無効な App Check リクエスト、異常な頻度の呼び出しからサービスを保護するため。
- クラッシュ、パフォーマンス、同期、サブスクリプション、通知、レシート認識、バックエンドの問題を調査し、安定性を改善するため。
5. 共有と第三者サービス
当社はあなたの個人情報を販売せず、記帳データを第三者広告のターゲティングに利用しません。サービス提供に必要な範囲で、次のサービスとデータを処理または共有します。
- Apple：Sign in with Apple、App Store / StoreKit、サブスクリプション、返金、サーバー通知、APNs、写真、カメラ、音声認識、クラッシュまたはシステム機能。
- Google / Firebase：Firebase Authentication、App Check、Cloud Messaging、Analytics、Crashlytics、Google Sign-In。
- Cloudflare：Workers、Pages、D1、R2、KV、AI Gateway、および共有帳簿、添付、公開ページ、レート制限、レシート認識、バックエンド API に関連するサービス。
- 画像認識モデルサービス：レシート画像と認識リクエストは、構造化結果を返すため、当社のバックエンドと Cloudflare AI Gateway を経由して、現在設定されている画像認識サービスプロバイダー（現在は OpenCode と OpenRouter を含みます）へ送信されます。
- アプリストアと決済プラットフォーム：iOS の購入とサブスクリプションは Apple、Android の支払いは Google Play Billing が処理します。RevenueCat は購入履歴、サブスクリプション識別子、アカウント識別子、状態を受け取り、購入検証、サブスクリプション分析、メンバーシップ特典の管理に使用します。iOS 1.1.0 以降、アプリは Apple のトラッキング許可を要求せず、RevenueCat に広告識別子を提供しません。iOS 1.0.11 以前を使用している場合は Apple のトラッキング許可が表示されることがあり、明示的に許可した場合に限り、旧バージョンがサブスクリプションのアトリビューションと分析のために端末識別子および広告識別子を RevenueCat に収集します。拒否しても購入や購入の復元には影響しません。
これらの第三者は、各サービス提供に必要な範囲でデータを処理し、それぞれの規約、プライバシーポリシー、セキュリティ対策に従います。
6. 共有帳簿での表示範囲
同じ共有帳簿のメンバーは、その帳簿のタイトル、金額、通貨、取引日時、メモ、画像、添付、カテゴリ、タグ、参加者表示名、アバター、承認状態、一部の操作記録を見ることがあります。
owner は共有、共同編集者ロール、承認ポリシーを管理できます。editor による記帳レコードの追加、編集、削除は owner 承認が必要な場合があります。viewer は閲覧のみ可能です。実際の権限はアプリ内の状態と帳簿設定に従います。
owner の会員資格が失効した場合、帳簿がアーカイブされた場合、メンバーが削除された場合、または同期が利用できない場合、帳簿は読み取り専用になるか、最後のキャッシュ状態でのみ閲覧できることがあります。
7. システム権限
- カメラ：記帳用画像、請求書、レシート、その他添付を撮影するため。
- 写真：帳簿アイコン、画像メモ、添付、画像認識に使う画像を選択するため。
- マイクと音声認識：あなたが開始した音声入力をテキストに変換するため。
- 通知：承認、共有帳簿状態、その他許可したリマインダーのため。
- ネットワーク：ログイン、同期、共有、サブスクリプション検証、レシート認識、為替レート照会、画像/添付アップロード、診断のため。
8. レシート認識と自動処理
あなたが明示的に「認識」を選んだ場合に限り、サイズを制限したレシート画像と現在の帳簿のカテゴリ名が専用サービスへ送信されます。このサービスは Cloudflare AI Gateway の固定レシートルートを通じて現在設定されている画像認識サービスを呼び出し、構造化された候補項目を返します。他の帳簿記録を読み取らず、汎用的な指示を受け付けず、帳簿へ直接書き込みません。
専用 Worker は画像や認識本文を D1、R2、KV に保存せず、AI Gateway のリクエスト／レスポンス本文ログとキャッシュを無効にしています。サーバー側に残るのは利用上限カウンターと本文を含まない必要最小限の運用メタデータです。モデル提供者は自社のサービスポリシーに従ってリクエストを処理します。
認識結果は不正確または不完全な場合があります。保存前に金額、通貨、店舗、カテゴリ、日時を確認してください。最終的に保存される内容は、あなたの確認と修正が基準です。
9. 保持と削除
- ローカル帳簿：共有していないデータは主に端末上に保存され、削除、アーカイブ、アプリデータ消去、アンインストールまで保持されます。
- 共有帳簿：共有を有効にすると、帳簿、メンバー、承認、添付、同期データは共同編集と複数端末同期のためクラウドに保存されます。
- アカウント削除：アプリまたは公開アカウント削除ページから削除を依頼できます。削除後、アカウントに直接関連する有効なサービスデータは削除または匿名化されます。ただし、安全、不正利用防止、トラブルシュート、サブスクリプション照合、紛争対応、法令遵守に必要な最小限の記録はより長く保持されることがあります。
- バックアップとログ：バックアップ、クラッシュ、診断、安全ログは提供者やシステムのポリシーに従ってローテーションされます。通常、不要になった時点で削除または匿名化するよう努め、法的または安全上の理由がない限り一般的な期間は 90 日以内です。
- 共有コンテンツ：共有帳簿で作成した内容は、共同編集者の端末、エクスポート、スクリーンショット、ローカルキャッシュに残ることがあります。
10. セキュリティ対策
HTTPS、Firebase Authentication、Firebase App Check、プラットフォーム権限、メンバーロール、バックエンドアクセス確認、レート制限、最小限のログ、クラウド提供者の安全機能を用いてデータを保護します。
完全に安全なシステムはありません。端末、システムアカウント、ログイン方法、ストアアカウントを保護してください。異常なアクセスに気づいた場合は速やかにお問い合わせください。
11. 国際的な処理
Firebase、Cloudflare、Apple、Google、画像認識サービスは複数の国または地域で運用されることがあるため、あなたの情報は所在地以外で処理される場合があります。当社は各提供者のコンプライアンス機構と安全対策に依拠し、本ポリシーに記載した目的に限って処理します。
12. あなたの選択と権利
- アプリ内で帳簿、メモ、画像、メンバー、プロフィール情報を閲覧、編集、削除できます。
- 共有を停止、共有帳簿から退出、通知権限を取り消し、レシート認識の利用を停止、ログアウトできます。
- システム設定でカメラ、写真、マイク、音声認識、通知の権限を管理できます。
- 個人情報へのアクセス、訂正、削除、エクスポート、処理制限を求めることができ、適用法令に従って対応します。
- サブスクリプションは App Store または Google Play で管理できます。アプリやアカウントを削除しても、ストアのサブスクリプションが自動的に解約されるとは限りません。
13. 子どもと機微情報
CoolMeowLedger は子ども向けサービスではなく、Google Play または App Store の子ども向け製品ではありません。適用される法定年齢未満のユーザーは、保護者の同意のもとで利用してください。
不要な身分証、正確な位置情報、医療情報、金融口座番号、パスワード、子どもの情報、その他高度に機微な情報をメモ、画像、添付、レシート認識へアップロードしないでください。あなたが自発的に含めた場合、選択した機能に従って処理されます。
14. 意図的に収集しない、または制限するデータ
あなたが自ら内容に含めない限り、CoolMeowLedger は連絡先、正確な位置情報、健康データ、閲覧履歴、SMS、通話履歴を意図的に収集しません。iOS 1.1.0 以降は Apple のトラッキング許可を要求せず、RevenueCat のために広告識別子を収集しません。iOS 1.0.11 以前では許可を求める場合があり、明示的に許可した場合に限り、端末識別子および広告識別子を収集します。また、第三者広告の提供、個人情報の販売、他社のアプリやウェブサイトをまたぐ広告ターゲティング、記帳内容を第三者の公開モデルの学習に使用することもありません。
15. 更新と連絡先
機能、提供者、データ処理、法的要件が変わった場合、本ポリシーを更新し、新しい更新日を表示します。重要な変更は、アプリ内通知、ストア更新情報、その他合理的な方法で知らせることがあります。
お問い合わせは、アプリ内フィードバック、App Store / Google Play のストア掲載ページに表示される開発者連絡先、または [email protected] へのメールをご利用ください。
1. Scope and Developer Information
This policy applies to the CoolMeowLedger iOS app, Android app, share extension, Watch-related features, public invitation pages, account deletion page, privacy and terms pages, and the Firebase, Cloudflare, and related backend services that support those features.
The app is published and maintained by Spawn Lau. You can contact us through the in-app feedback entry, the developer contact information shown on the App Store or Google Play listing, or by email at [email protected].
If you use the app through third-party store, sign-in, subscription, push, receipt-recognition, or cloud services, those providers may also process data about you under their own policies.
2. Types of Information We Process
Account and sign-in information
Email address, Firebase user ID, Apple or Google provider identifiers, display name, avatar URL, sign-in state, account timestamps, and authentication tokens required for the service.
Books and bookkeeping content
Book title, icon, default currency, categories, amounts, transaction time, creation time, merchant or title, notes, tags, attachments, participants, roles, approval records, archive state, sync revisions, and lock state.
Collaboration information
Invitation links, invitation status, member nicknames, avatars, email or account identifiers, owner/editor/viewer roles, read-only state, approval policy, pending changes, and operational metadata.
Images, attachments, and media
When you capture or choose an image, the app processes image files, thumbnails, file names, MIME types, and attachment paths. Attachments in shared books may be uploaded for authorized collaborators to view.
Speech input and recognized text
When you explicitly start voice input, the app temporarily uses the microphone and system speech recognition to convert speech into text. The app does not continuously listen when you have not started voice input.
Receipt-recognition requests and results
When you explicitly use receipt recognition, we process the selected receipt image, structured recognition result, error state, and necessary usage records. The recognition service never writes directly to the ledger.
Subscription and entitlement data
Product IDs, plan tier, entitlement state, transaction ID, original transaction ID, purchase platform, renewal or expiration state, receipt-recognition usage state, restore-purchase results, and necessary server notification records.
Notifications and device tokens
If you allow notifications, we process APNs/FCM push tokens, notification permission state, and book or approval identifiers needed to route collaboration approval and shared-book notifications.
Diagnostics, security, and configuration data
Crash logs, diagnostic data, App Check state, request errors, device and system environment, app version, feature flags, abuse prevention, and rate-limit records.
Referral and support information
If you use referral, reward, or support features, we may process referral codes, reward state, support requests, contact information, and the minimum information needed for troubleshooting.
3. How We Collect Information
- We process content when you enter, capture, import, send, edit, delete, share, or submit it for approval.
- We receive necessary information from the operating system, app stores, Firebase, Cloudflare, or the dedicated recognition service when you sign in, restore purchases, accept invitations, enable sync, allow notifications, or use receipt recognition.
- The app automatically generates necessary diagnostic, security, sync, crash, and quota records while it runs.
- If you voluntarily include another person's information, location, bills, medical information, or other sensitive content in notes, titles, attachments, or receipt images, that content is processed according to the feature you chose.
4. How We Use Information
- To provide local bookkeeping, search, summaries, calendar totals, categories, attachments, archiving, and multi-device sync.
- To support sign-in, account management, account deletion, entitlement checks, purchase restoration, subscription validation, and receipt-recognition usage limits.
- To operate shared books, collaborator roles, approval flows, owner permissions, viewer read-only access, offline cache, and sync after reconnecting.
- To perform receipt-image recognition and system speech-to-text when you actively use them.
- To send notifications you allow, such as approval reminders or shared-book reminders.
- To protect the service from fraud, abuse, unauthorized access, invalid App Check requests, and abnormal request frequency.
- To troubleshoot crashes, performance, sync, subscription, notification, receipt-recognition, or backend issues and improve product stability.
5. Sharing and Third-Party Services
We do not sell your personal information and do not use your bookkeeping data for third-party advertising targeting. To provide the service, we process or share data with the following services where necessary:
- Apple: Sign in with Apple, App Store / StoreKit, subscriptions, refunds, server notifications, APNs push, system photo library, camera, speech recognition, and crash or system capabilities.
- Google / Firebase: Firebase Authentication, App Check, Cloud Messaging, Analytics, Crashlytics, and Google Sign-In.
- Cloudflare: Workers, Pages, D1, R2, KV, AI Gateway, and related services for shared books, attachments, public pages, rate limiting, receipt recognition, and backend APIs.
- Image-recognition services: receipt images and recognition requests are sent through our backend and Cloudflare AI Gateway to the currently configured image-recognition providers, which currently include OpenCode and OpenRouter, to produce structured recognition results.
- App stores and payment platforms: Apple handles iOS purchases and subscriptions, and Google Play Billing handles Android payments. RevenueCat receives purchase history, subscription identifiers, account identifiers, and status for purchase validation, subscription analytics, and membership entitlement management. Starting with iOS 1.1.0, the app no longer requests Apple's tracking permission or provides advertising identifiers to RevenueCat. Users who still have iOS 1.0.11 or earlier installed may see Apple's tracking permission prompt; only after explicit authorization may those older versions collect device and advertising identifiers for RevenueCat subscription attribution and analytics. Denying permission does not affect purchases or purchase restoration.
These third parties process data only as needed to provide their services and are governed by their own terms, privacy policies, and security measures.
6. Visibility in Shared Books
Members of the same shared book may see that book's title, amounts, currency, transaction time, notes, images, attachments, categories, tags, participant display names, avatars, approval status, and certain activity records.
Owners can manage sharing, collaborator roles, and approval policies. Editor additions, edits, or deletions of bookkeeping records may require owner approval. Viewers can only view. Actual permissions depend on the in-app state and current book settings.
If the owner's membership expires, the book is archived, a member is removed, or sync is unavailable, the book may become read-only or may only be viewable using the last cached state.
7. System Permissions
- Camera: used to capture bookkeeping images, bills, receipts, or other attachments.
- Photos: used to choose images for book icons, image notes, attachments, or image recognition.
- Microphone and speech recognition: used only after you start voice input, to convert speech into text.
- Notifications: used for collaboration approvals, shared-book status, and other reminders you allow.
- Network: used for sign-in, sync, sharing, subscription validation, receipt recognition, exchange-rate lookups, image or attachment upload, and diagnostics.
8. Receipt Recognition and Automated Processing
Only when you explicitly choose recognition does the app send a size-bounded receipt image and the current book's category names to the dedicated service. That service calls the currently configured image-recognition providers through Cloudflare AI Gateway's fixed receipt route and returns structured candidate fields. It does not read other ledger records, accept general-purpose instructions, or write directly to the ledger.
The dedicated Worker does not store images or recognition content in D1, R2, or KV, and AI Gateway request/response payload logging and caching are disabled. The server retains only usage-limit counters and necessary non-content operational metadata. The model provider still processes requests under its own service policies.
Recognition results may be inaccurate or incomplete. Review the amount, currency, merchant, category, and time before saving. Your confirmation and edits are the source of truth for the final record.
9. Retention and Deletion
- Local books: data that is not shared is primarily stored on your device until you delete it, archive it, clear app data, or uninstall the app.
- Shared books: when sharing is enabled, books, members, approvals, attachments, and sync data are stored in the cloud to support collaboration and multi-device sync.
- Account deletion: you can request deletion in the app or on the public account deletion page. After deletion, we delete or anonymize active service data directly associated with your account; minimal records needed for security, abuse prevention, troubleshooting, subscription verification, dispute handling, or legal compliance may be retained longer.
- Backups and logs: backups, crash, diagnostic, and security logs are rotated under vendor and system policies. We generally try to delete or anonymize them when no longer needed, commonly within 90 days, unless legal or security reasons require longer retention.
- Shared content: if you create content in a shared book, copies on collaborators' devices may remain in sync state, exports, screenshots, or local caches until those members delete them or system cleanup completes.
10. Security Measures
We use HTTPS, Firebase Authentication, Firebase App Check, platform permissions, member roles, backend access checks, rate limits, minimized logs, and cloud-provider security controls to protect data.
No system can be perfectly secure. Please protect your device, system account, sign-in methods, and store account. If you believe your account or shared book has been accessed unexpectedly, contact us as soon as possible.
11. International Processing
Because Firebase, Cloudflare, Apple, Google, and image-recognition services may operate in multiple countries or regions, your information may be processed outside your location. We rely on those providers' compliance mechanisms and security measures and process data only for the purposes described in this policy.
12. Your Choices and Rights
- You can view, edit, or delete books, notes, images, members, and profile data in the app.
- You can turn off sharing, leave shared books, revoke notification permission, stop using receipt recognition, or sign out.
- You can manage camera, photo, microphone, speech recognition, and notification permissions in system settings.
- You can request access, correction, deletion, export, or restriction of your personal information, and we will respond as required by applicable law.
- You can manage subscriptions through the App Store or Google Play. Deleting the app or account may not automatically cancel store subscriptions.
13. Children and Sensitive Information
CoolMeowLedger is not directed to children and is not a child-directed product on Google Play or the App Store. Users under the applicable legal age should use the app with guardian consent.
Please do not upload unnecessary ID documents, precise location, medical data, financial account numbers, passwords, children's information, or other highly sensitive data in notes, images, attachments, or receipt recognition. If you voluntarily include that data, we process it according to the feature you selected.
14. Data We Do Not Intentionally Collect or Limit
Unless you voluntarily include it in your content, CoolMeowLedger does not intentionally collect contacts, precise location, health data, browsing history, SMS, or call logs. iOS 1.1.0 and later do not request Apple's tracking permission or collect advertising identifiers for RevenueCat. iOS 1.0.11 or earlier may request that permission and collect device and advertising identifiers only after the user explicitly authorizes it. We do not provide third-party ads, sell personal information, perform advertising targeting across other companies' apps or websites, or use bookkeeping content to train third-party public models.
15. Updates and Contact
If features, providers, data practices, or legal requirements change, we will update this policy and show the new update date. Material changes may be announced through in-app notices, store release notes, or other reasonable methods.
If you need to contact us, please use the in-app feedback entry, the developer contact information shown on the App Store or Google Play listing, or email [email protected].
