一句话版本：万亿不收集你的任何财务数据。账目只存在你的设备与你自己 iCloud 私人数据库中，我们没有服务器，无法读取你的任何一笔账。
一、我们收集什么
答案尽可能短：财务数据：不收集。个人身份信息：不收集。位置：不收集。广告标识符：不使用。
万亿不包含任何第三方统计、广告、崩溃上报 SDK，因此不存在向第三方传输数据的通道。App Store Connect 会向开发者提供匿名的下载量、崩溃率与销售数据，其中不含任何账目内容或个人身份信息。
二、你的账目数据存在哪里
- 本机存储：账目数据保存在设备的 App 沙盒目录中。删除 App 即删除数据（建议先导出 CSV）。
- iCloud 同步（可选，永久免费）：开启后，数据通过 CloudKit 存入你自己的 iCloud 私人数据库。该数据库由 Apple 加密并以你的 Apple ID 保护，开发者没有任何技术途径访问其内容。
- 桌面小组件：通过 iOS 的 App Group 机制读取本机账目摘要，不产生网络请求。
三、账单导入如何处理文件
- 你主动导入的微信 / 支付宝账单文件，解析全程在设备内存中完成。
- 文件不会被复制、不会被保存、不会被上传；你从文件提供方（微信 / 支付宝 / 邮箱）获取的原始文件仍由你自行管理。
- 解析结果在确认前仅存在于内存预览中；你确认后写入本机账本，未确认的解析结果即被丢弃。
- 万亿与微信、支付宝没有任何关联，也不代表其提供解析服务；导入功能仅处理你本人导出的本人账单。
四、权限的使用
| 权限 | 何时申请 | 用途 |
|---|---|---|
| 通知 | 你打开「记账提醒」或「自动捕获」开关时 | 每日提醒、预算超支预警与待入账提醒（默认不含金额与商户，可在设置中开启显示） |
| 面容 ID / 触控 ID | 你打开「账本锁」开关时 | 回前台时本地验证，数据不出设备 |
| iCloud | 你手动点「立即同步」时 | 读写你自己的 iCloud 私人数据库 |
| 剪贴板 | 你复制账单文本或截图后打开 App（或点「读取剪贴板」）时 | 读取你复制的短信 / 通知文本用于本地解析；复制到的是图片时，先用系统免费的 detectPatterns 判断「像是一张图」才读取，再用设备端文字识别（Vision）转成文字。仅在剪贴板内容变化时才读取一次，首次读取系统可能弹窗征求同意，可随时在设置中关闭自动检测 |
| 相机 / 相册 | 你点「拍照识别」或从相册选一张时 | 用于识别小票 / 账单截图上的金额。图片只在设备内做一次文字识别（系统 Vision，无需网络），识别完立即释放：原图不保存、不上传、不进 iCloud。相册走系统选择器，不申请照片库权限 |
万亿不会在启动时申请任何权限；拒绝任何权限均不影响记账核心功能。万亿没有、也不需要「读取短信」或「读取其他应用通知」的权限——iOS 不向第三方 App 提供这类能力，「消费自动捕获」只处理你通过系统快捷指令、剪贴板或手动粘贴主动交给它的文本。
关于自动捕获的文本：原文解析出金额、商户、时间、卡尾号后立即丢弃，本地只保留这几个字段；解析失败的文本不留存。待入账队列与去重记录存在设备本地，不进 iCloud、不上传，可随时在设置里一键清除。
五、日志与诊断
应用日志只记录条数与结果（例如「导入成功 N 笔」），绝不包含金额、备注、交易对手等账目内容。诊断信息由你在设置页主动导出，万亿不做任何后台上传。
六、你的权利
- 导出：设置 → 数据 → 导出 CSV（永久免费）。
- 删除：删除 App 即删除本机数据；已同步至 iCloud 的数据可在 iOS「设置 → Apple 账户 → iCloud → 管理储存空间」中删除。
- 撤回同意：关闭 iCloud 同步、通知、面容 ID 开关即时生效。
七、未成年人
万亿面向普通用户，不针对未成年人设计诱导性功能；应用内购买受 Apple ID 密码 / 家长控制保护。
八、政策变更
若隐私政策发生重大变更，将通过应用内公告与本页更新告知。变更不会追溯改变「不收集财务数据」这一核心承诺。
九、联系我
如有任何隐私疑问：miclshui@gmail.com。
本政策自 2026-10-14 起适用。本方案为产品设计参考，具体实施请结合公司合规与法务要求确认。