清账隐私政策

生效日期：2026 年 8 月 25 日

最近更新：2026 年 10 月 21 日

“清账”是一款本地优先的个人财务记录与对账应用，提供本机模式和配置了云服务地址的云同步模式。未配置云服务地址时默认使用本机模式。本政策说明两种模式会处理哪些数据，以及启用用户自选外部 AI 时会发生什么，适用于本次 Web 公开测试运行。运营者、联系方式、服务商和数据区域见第 7 节。

1. 处理的数据

应用会处理使用者主动填写或导入的账户、余额、卡号后四位、流水、币种、分类、交易对方、备注、订单号、支付渠道、联系人、债务、对账证据、原始账单字段、导入批次、文件哈希和账本分录，以及主题和同步状态等设置。

云账户会处理邮箱、显示名称、密码的单向 BCrypt 哈希、刷新令牌的 SHA-256 摘要和会话时间。同步还会处理设备随机标识、设备首次和最近同步时间、记录类型与标识、逐记录版本、变更序号、删除标记，以及用于网络重试去重的请求标识。服务器不保存明文密码或明文刷新令牌。

本机模式的登录身份保存在独立的本地身份数据库，密码使用随机盐和 PBKDF2-HMAC-SHA256（120,000 次）派生摘要；本机注册和登录不会创建云账户。这些身份记录不包含在财务备份中。

受密码保护的导入文件，其解密密码只用于本次设备内解密，不写入应用数据库、同步实体或云端快照。解析后的原始账单字段和证据记录则属于账本数据，会进入本地保存及云同步范围。请勿导入不希望由本设备和清账云服务处理的数据。

2. 本地与云端保存

原生版本在应用沙盒内使用 SQLite，Web 版本使用浏览器站点存储。账本计算在本机完成；本机模式不执行云同步，云同步模式登录后按第 3 节所述同步结构化账本记录，供同一云账户的其他设备获取。两种模式使用不同的本地财务数据库；浏览器来源和配置目录不同也会使用不同存储。本站公开部署使用 HTTPS 传输；仅限本机的开发环境可以使用回环地址 HTTP，不能据此把开发服务直接开放到公网。

服务端使用 AES-256-GCM、随机 IV 和按用户及记录区分的附加认证数据，加密同步实体正文和增量变更正文；保留的完整快照及 AI API 密钥也进行静态加密，完整快照另带 SHA-256 完整性校验。账户邮箱、显示名称、记录类型与标识、版本、设备标识、时间等服务元数据不属于上述财务正文的加密范围。

这些措施属于服务端静态加密，不是端到端加密。清账服务端持有解密主密钥，并会在处理获授权的同步请求时解密数据；不能据此承诺只有用户设备能读取账本。服务运营者必须保护密钥、数据库和备份，并限制有权访问生产环境的人员。

公开 HTTPS 部署下，Web 刷新令牌保存在 HttpOnly + Secure + SameSite=Strict Cookie 中，不写入 LocalStorage；仅限本机的开发配置可以关闭 Secure。原生端使用操作系统安全存储。短期访问令牌会暂存在应用内存或原生安全存储的会话记录中。

本地数据库目前没有额外的应用层加密，仍依赖设备锁、操作系统沙盒和浏览器安全。Android 已禁止传统自动备份；iOS 已请求完整文件保护和排除 Application Support 目录备份，但移动端正式发布前仍需真机和商店构建验证。

3. 云同步行为

常规同步覆盖 12 类结构化数据：账户、支付渠道绑定、经济事件、支付生命周期操作、导入批次、原始账单记录、对账记录、复式分录、联系人、债务、AA/分摊记录和债务活动。它们会冻结为完整账务批次并分片传输，只有整批通过校验才会写入可见云端账本。因此，云同步不只是发送统计汇总，也会包含解析后保存的原始账单字段、交易对方和证据；当前不把用户选择的原始导入文件本体作为附件上传。

本机在修改账本的同时记录待同步操作及其修改前版本；首次接入增量同步时，已有本机记录也可能作为初始数据上传。服务端保留逐记录版本、加密变更记录、删除标记和请求去重记录；本机保存同步进度、待重试操作及冲突记录。上传中的批次分片和提交结果也使用 AES-256-GCM 静态加密；未完成分片不会更新账本或游标。用户的后续新批次会清理七天前仍未完成的批次，删除云账户会立即级联清理；完全不再同步且不删除账户时，当前没有独立定时清理任务。

应用在打开期间启动后自动尝试同步，并约每五分钟重试，也提供手动同步；关闭应用后不保证后台同步。不同事件的账务变化按真实分录差额合并；同一事件或相互关联的退款、分录、债务发生冲突时，本机会保留双方内容并提示使用者选择。选择会作用于完整关联组件，其他独立流水保留，不会只覆盖单条账户记录。

旧版完整加密快照仍可能保存在云端，相关接口保留用于兼容恢复和迁移。例如，空白本机在云端尚无增量记录时可尝试读取旧快照，再转入增量同步。当前常规同步并非每次上传整库，也不保证持续更新旧快照；既有快照可能不是最新账本，不能替代独立的备份与恢复方案。

本机会记录账本所属的云账户。登录、恢复或刷新云会话时，应用先核对归属；不匹配的账户不能进入本机财务页面，也不能使用该账本导出、修改或发送 AI 聚合事实。退出登录保留账本；需要更换所属账户时，应由原账户登录后主动备份和清理。没有归属标记的历史账本由首次成功登录的云账户认领。恢复备份不会导入其中的云账户归属和设备同步标记，而会保留当前安装的这些设置。

4. 用户自选外部 AI

外部 AI 默认关闭。使用者可以自行填写供应商名称、HTTPS API 地址、适配器、模型、API 密钥和启用状态。界面只显示密钥末尾提示。更换供应商地址或接口协议时，必须重新提供密钥。

本机模式将供应商配置和密钥保存在本设备，直接请求所选供应商，不经过清账云服务。原生端使用系统安全存储；Web 端把密钥加密后保存在站点存储，但用于解密的密钥材料也在同一浏览器来源内，不能防护已获得该来源脚本执行或浏览器配置访问权限的人。本机开发允许回环 HTTP 端点，其他地址要求 HTTPS。

云同步模式由清账云服务使用 AES-256-GCM 加密保存供应商密钥，读取接口不返回密钥全文。启用并提问时，客户端把问题和聚合事实发送至清账云服务，再由服务端请求所选供应商。两种模式发送给供应商的内容包括：

- 使用者输入的问题；
- 本地账本工具计算出的聚合事实，例如当月收支与结余、待结算金额、应收应付金额、事件数量和主要支出分类汇总；
- 必要的模型与生成参数。

应用不会自动把原始账单行、导入文件、完整交易明细、联系人列表或服务端保存的账本快照加入外部 AI 请求；这与第 3 节面向清账云服务的账本同步范围不同。“仅聚合数据”不等于匿名化：金额和分类名称本身可能透露个人信息，使用者在问题中自行输入的姓名、完整卡号或其他敏感内容也会随问题发送，应用不会自动识别并删除这类自由文本。发送前请自行检查问题和分类名称。

外部供应商对请求的存储、训练使用、跨境传输、费用和删除方式受该供应商自身政策与使用者账户设置约束；清账无法替使用者控制第三方供应商。使用者可随时停用或删除供应商配置；这不会收回已经发送给供应商的内容。

5. 导出、共享与第三方

使用者主动导出的本地备份是未加密 JSON，包含完整账本、原始证据和相关设置。文件带有 SHA-256 完整性校验，但完整性校验不是加密，不能阻止他人读取。导出后不再受应用沙盒或清账云端加密保护，请只保存在受保护的位置；选择的保存位置若属于系统云盘或共享目录，也应自行检查该位置的同步和共享设置。

当前应用不包含广告、行为分析或第三方崩溃收集 SDK，也不会出售或出租个人财务数据。应用主动传输财务内容的途径为云同步、用户主动导出，以及用户主动调用自己选择的 AI 供应商。托管、数据库、备份和网络服务提供方可能作为基础设施处理者接触加密数据或运行元数据；本站实际使用的托管服务商和数据区域见第 7 节。

6. 保留、删除与账户权利

本地账本由当前设备保存，使用者可以在应用内执行清除；卸载应用或清除网站数据也可能移除该设备的本地账本，但不是云端账户删除操作。正常同步中的单条记录删除会使用删除标记传播到其他设备，不表示较早的加密变更记录、旧快照和基础设施备份立即被抹除。当前服务端没有增量变更记录和删除标记的自动过期清理任务；这些历史记录在账户存续期间可能持续保留，删除云账户时随该账户数据级联删除。

“删除本机全部财务数据”会退出登录并清除当前设备的本地账本、冲突正文、冻结批次、待上传记录和其他同步元数据，不删除云账户、云端同步实体、变更记录、服务端未完成暂存分片或旧快照；再次登录后仍可从现存云端数据恢复。未完成服务端分片按上述触发式七天规则清理。单纯退出登录也不等于删除本地账本。

在“我的”页面选择“删除云端账户及本机数据”并通过当前密码验证后，主数据库中的账户、刷新令牌、同步设备记录、加密同步实体、增量变更记录、原子同步暂存/结果、请求去重记录、完整快照和 AI 供应商配置会立即级联删除；当前设备随后清除会话、本地账本和同步元数据。若界面提示本地清理失败，应在该设备重试本地清除，不能仅凭云端账户删除推定本机已完成清理。

服务器每日北京时间 03:20（Asia/Shanghai）计划生成数据库及恢复配置的 age 加密备份，服务器副本按 7 天周期保留。每次成功备份后，任务会自动清理超过 7 天的服务器备份；任务失败或服务器停机时，过期清理可能延迟到后续成功任务。备份仅包含服务器已有的数据和恢复配置，不能代替设备本地尚未同步账本的备份。

运营者会按需将加密备份人工下载至其受限管理电脑；这些本机副本及恢复验收产生的临时副本也按 7 天周期人工清理，当前没有本机自动清理任务。当前没有持续自动异地备份，本机下载副本不会自动随服务器每日备份更新。服务器和系统盘同时丢失时，最后一次人工下载之后的数据可能无法从该本机副本恢复。

账户删除不会直接改写已经形成的加密备份，其中删除前的数据会随上述服务器自动保留周期或管理电脑的人工保留周期到期清理。账户删除也不会远程擦除其他设备的本地账本，请在各设备分别清理。它不能收回使用者已导出的文件、原始导入文件、操作系统或浏览器备份、已发送给外部 AI 的内容，或第三方保留的副本。应用清除不承诺对所有磁盘、闪存或备份介质进行取证级擦除。

7. 安全、儿童与政策更新

应用面向能够独立管理个人财务的使用者，不以儿童为目标。我们使用传输加密、密码哈希、短期访问令牌、轮换刷新令牌、数据库约束和静态加密降低风险，但任何系统都无法保证绝对安全。请使用唯一强密码，保护设备锁屏和 AI API 密钥，并及时报告异常。

运营者：赵天泽。隐私与安全联系邮箱：514hdzs@gmail.com。网站备案号：豫ICP备2024097486号。网站地址：https://qingzhang.zuojiu.top。服务器托管服务为阿里云 ECS，云端数据库及服务器备份的数据区域为中国内地华北 2（北京）。人工下载的备份另保存在运营者的受限管理电脑，按第 6 节所述周期人工清理。

公开政策网址：https://qingzhang.zuojiu.top/privacy.html。网站在维护或上线验收期间可能暂时暂停访问。功能、服务商、数据区域或法律要求变化时，本政策会更新并修改生效日期。请勿在公开 Issue、论坛或截图中附上真实账单、Token、API 密钥或备份文件。