隐私政策

最后更新：2026 年 10 月 20 日另见《服务条款》

01适用范围

本政策适用于 Prismira（下称「我们」）提供的网站（prismira.app）和 Web 应用（合称「服务」）。iPhone、iPad、Mac 应用尚未公开提供，开放时会相应更新本政策。

02我们收集的信息

账户信息

注册时你填写用户名、邮箱和密码，可选填写显示名称与头像。启用新版账户保护后，密码在设备端派生，服务器只保存认证材料的单向校验值，不接收你设置的新密码。旧账号升级前仍由服务器验证原登录密码。我们还记录账户创建时间与最近登录时间。

你交给我们的财务数据

你导入或录入的交易、账户、分类、预算、对账锚点，以及你对它们的修改。在线模式下这些数据保存在我们的服务器；本地模式见下一节。

服务运行所需的记录

成功登录与粗粒度的访问记录（平台类型、应用版本、数据模式、时间），用于账户安全和了解服务可用性。这些记录不包含页面路径、IP 地址、浏览器标识或任何财务数据。

购买、额度与退款记录

我们保存购买商品、支付平台交易与客户标识、支付环境、币种、金额、会员有效期、点数发放与消耗、邮箱月用量，以及退款申请原因、审核与处理状态，用于交付权益、查询账单和防止重复处理。支付由 Dodo Payments 处理，我们不保存完整卡号、安全码或付款密码。

你主动提交的反馈

反馈的标题与描述、是否允许联系你，以及提交时所在的页面、应用版本、平台和数据模式。

03数据存放：在线与本地

在线模式（默认）：你的账本保存在我们的服务器数据库中，在不同设备的浏览器上登录都能访问同一本账。

本地模式：账本在当前浏览器中运行，包含交易、账户、分类、预算、规则、对账事实、AI 记忆与会话，以及可恢复的导入草稿。Web 端以 AES-256-GCM 加密保存。启用新版账户保护后，同一个账户密码完成登录与解密； 密码在设备端处理，认证和解密使用不同用途的派生材料。支持 WebAuthn PRF 的浏览器和密码管理器可配置 Passkey 解锁，系统可能要求指纹、面容或设备密码；我们不会接收指纹或面容模板。

默认在退出登录时自动锁定。登录有效期间，在同一浏览器刷新、新开标签页或重启浏览器可保持解锁；退出登录、登录过期、切换账户或手动锁定会撤销设备授权。 也可选择闲置 30 分钟后锁定，此时仅当前标签页短时保持解锁。 设备授权由浏览器中不可导出的加密密钥保护，不保存账户密码；每次重新打开都需核对有效登录。

Web 本地模式可开启加密云备份，用于自动备份和换设备恢复。 新设备登录后，输入独立的 6 位数字备份密码即可解密、预览并确认恢复。系统解锁（Passkey）可另外设置。 服务器保存密文及用于解密的加密凭据，也会看到版本、设备信息、密文大小和更新时间，无法解开账本。 云备份不包含原始账单文件、系统凭据或旧操作的执行权限。

修改账户密码不会自动更新云备份的数据加密密钥。需要替换时，可在云备份设置中更新；已下载的备份和其他离线副本不会随之删除。

云备份和下载文件统一使用独立的 6 位数字备份密码。密码仅在设备端参与加密，不发送给服务器；本机用设备密钥封装备份密钥，解锁后可自动备份。6 位数字的组合有限，无法消除离线猜测风险，请妥善保存备份密码。 更换备份密码时，云端保留的历史版本会重新加密；已下载的旧文件仍使用原备份密码，无法撤回别人已复制或解密的材料。 邮件重置后，可用备份密码恢复新格式备份。忘记备份密码且没有可解锁设备时，邮件或客服无法绕过加密。

在本地模式下，以下内容仍在服务器处理：账户与登录、设置（包括数据模式和统计偏好）、AI 点数、会员、购买订单与退款记录、API Key 与 OAuth 授权、反馈、专属账单邮箱，以及你主动发起的每一次在线 AI 调用。

Web 本地模式的新设备备份（.prismira.e2ee）在设备端加密、解密和预览， 无需开启云备份，也不把明文账本发送到服务器。新文件使用导出时的 6 位备份密码独立恢复。旧格式仍需导出时的账户密码或对应旧版恢复卡。更换备份密码不改变已下载的文件。 修改账户密码不会更改已下载的文件。旧版设备备份仍可能需要配套旧版恢复卡； 没有有效解锁方式时，我们无法恢复相应密文。

在线备份及旧格式（.prismira.enc）由服务器密钥加密。恢复旧文件前会明确说明， 经你确认并验证当前账户密码后，文件发送到服务器完成兼容解密， 再在设备端预览。服务器在内存中处理并返回结果，不保存这次备份内容。

请选用足够强的新账户密码，并只在可信、已更新的客户端输入； 加密不能阻止别人尝试猜测弱密码。设备端加密依赖你正在运行的同源页面脚本， 解锁期间脚本可以访问账本。它不防止被篡改的客户端、恶意扩展或已解锁设备上的访问。 浏览器持久存储可以降低自动回收风险，手动清除网站数据仍会删除本机副本。

04账单文件与专属邮箱

上传的账单文件

CSV 与 Excel 文件在你的设备上解析。在线模式下，PDF 与图片文件会暂存在服务器用于解析与核对，在你提交或丢弃这次导入、或删除对应来源时一并删除。扫描版 PDF 可能被转换为页面图片后发送给模型识别。本地模式下，原始文件不会上传到服务器草稿。

专属账单邮箱

专属邮箱需要你主动开启并同意相关说明。邮件经由邮件中继接收，中继中的副本在交接后删除，最长不超过 24 小时。我们只保存账单附件本身，以按用途派生的密钥（AES-256-GCM）加密存储；邮件正文、主题和完整发件地址不会保存。

账单收件额度按 UTC 自然月统计。有效接收才计入用量；超额邮件不保留附件，仅保存月内拒收计数及用于避免重复计数的指纹。界面会提示超额数量，你可手动导入或升级后重新发送。

附件默认保留 30 天（可在 1 至 90 天之间调整），在你提交草稿、永久丢弃或到期后删除。已完成条目的加密文件名保留 7 天，用于显示处理记录。附件或上传文件的解压密码、PDF 打开密码只在你的设备内存中使用，不会发送或保存到服务器。

05AI 功能

AI 功能由我们配置的第三方模型服务商提供。当你使用 AI 时，完成该任务所需的数据会发送给服务商：

• 识别新账单格式时，只发送表头与版式信息，不发送交易明细；卡号只保留后四位。
• 使用 AI 助手时，发送你的问题以及回答所需的账本数据。你可以在设置中选择数据范围（完整或仅汇总）与脱敏级别。
• 识别截图或扫描件时，发送图片内容。

AI 提出的分类、去重或其它修改都以提案形式呈现，只有在你确认后才会写入。AI 点数账本只记录用量，不保存提示词或回答内容。我们不会用你的财务数据训练模型。

06使用统计

基础登录与访问记录见第 2 节，始终开启。详细使用统计默认关闭：只有在你主动开启后，我们才会记录一组固定的页面与操作类型，用于改进产品；你可以随时在设置中关闭。详细统计通过我们自行托管的统计服务处理，不包含财务数据。

07第三方接入与信息共享

你可以通过 MCP、OAuth、API Key 或命令行工具，将 Prismira 接入你选择的 AI 助手或自动化工具。授权分为只读与读写两种范围，写操作仍需确认；你可以随时在设置中撤销授权或删除 API Key。第三方接入只能访问在线模式下服务器上的数据，无法访问本地模式的加密账本。你接入的第三方工具如何处理数据，适用其自身的隐私政策。

我们不会出售你的个人信息。为提供服务，我们会使用模型服务商、邮件中继与托管服务等服务提供方，它们处理的数据范围见上文各节。

08Cookie 与本地存储

09保存期限

• 账户与在线账本：在账户存续期间保存，直至你要求删除。
• 登录会话：7 天。
• 基础访问记录：原始记录 180 天，之后仅保留不含个人身份的每日汇总。
• 专属邮箱附件：默认 30 天，见第 4 节。
• 导入草稿中的文件：在提交、丢弃或删除来源时删除。
• 加密云备份：保留最近 10 个已发布版本，非当前版本按 30 天清理；当前版本不按年龄删除，另有两个冲突安全槽。
• 本机冲突安全副本：按最近两组、30 天的策略在解锁或处理冲突等检查点清理；待处理状态和恢复点仍引用的副本继续保留。
• 关闭此设备云备份默认保留已有云端副本。另行确认删除后，服务器会清理云端版本链；其他设备和已下载文件不会随之删除。

10你的权利

• 访问与导出：随时在应用中查看你的数据。Web 本地模式可导出设备端加密备份（.prismira.e2ee），在线模式保留 .prismira.enc 备份。
• 更正：在应用中直接修改你的数据和账户信息。
• 清空数据：在设置中验证密码后清空账本数据。
• 迁移：在在线与本地模式之间迁移，并可选择清除原位置的副本。
• 撤回同意：关闭详细使用统计、关闭专属邮箱、撤销第三方授权。
• 删除账户：目前请发送邮件至 privacy@prismira.app 提交删除请求，我们会尽快处理并回复你。

11安全措施

登录认证材料以单向哈希保存；专属邮箱附件与本地账本采用 AES-256-GCM 加密；API Key 只保存哈希；OAuth 授权使用 PKCE，访问令牌 1 小时过期。没有任何措施能保证绝对安全；如发生影响你的安全事件，我们会依法及时通知。

12政策更新

我们可能更新本政策。重大变更会在生效前通过站内通知或邮件告知你。

13联系我们

关于隐私和个人信息的问题、请求或投诉，请发送邮件至 privacy@prismira.app。