YeeDot1. 个人信息处理清单
标记为“可选”的项目只有在你主动使用、开启并完成必要授权后才会处理；关闭后不影响本地核心记账与预测。
| 使用场景 | 信息或权限 | 处理目的 | 处理方式 | 是否必要 | 触发条件 | 保存位置与期限 | 关闭方式 |
|---|---|---|---|---|---|---|---|
| 本地记账与预测 | 账户名称、余额、交易、分类、备注、计划、预测 | 记账、现金流计算和风险提示 | 仅在设备本地读写 | 核心数据必要；备注可选 | 你录入或导入数据 | 设备本地，至删除或清除 App | 删除记录、清空本地数据或卸载 |
| 截图与支付结果识别 | 你主动提供的账单截图、图片文字，或主动开启后收到的微信/支付宝支付通知；direct 包可读取屏幕上可见的支付结果 | 在设备本地生成待确认的记账草稿 | iOS Vision 或 Android bundled ML Kit 本地 OCR；通知与无障碍识别仅在对应开关启用后进行 | 非必要 | 你分享截图、运行快捷指令，或单独开启通知/无障碍识别 | 原图处理后删除；识别草稿在设备本地保存至确认、取消或清理 | 不分享截图，或在 App/系统设置中关闭相应识别能力 |
| 提醒与隐私保护 | 提醒时间、计划日期、生物识别结果、隐私设置 | 本地通知、App 锁和隐藏金额 | 系统和本地数据库 | 可选 | 你主动开启 | 设备本地，至关闭或清除 App | App 或系统设置中关闭 |
| 导入、导出与分享 | 你选择的账本文件或导出内容 | 迁移、备份或分享 | 系统文件选择器或分享面板 | 可选 | 你主动选择 | 由选择位置或目标 App 决定 | 取消选择或删除文件 |
| 官网访问 | IP、时间、路径、User-Agent、响应状态 | 交付、安全和故障排查 | EdgeOne 标准日志 | 网站服务必要 | 访问官网 | 配置及法定义务所需最短期限 | 停止访问；网站不设置 Cookie |
| 直接版本更新 | IP、请求时间、App 版本、渠道、下载请求 | 检查、下载和验证更新 | HTTPS 清单和 APK | 检查可选；下载需主动触发 | 检查更新或确认下载 | 下载日志按必要最短期限保存 | 不检查或不下载 |
| 账号与云备份（可选） | 邮箱、Apple 标识、会话、设备元数据、分账本快照与工作区清单 | 认证、设备管理、备份和恢复 | 加密传输；备份非端到端加密 | 仅在线能力必要 | 你注册或登录，并主动开启云备份 | 账号存续期间；删除后活动数据删除，基础设施备份按轮换到期 | 关闭备份、删除云账号 |
| 匿名分析（可选） | 独立随机标识、允许列表事件、版本、时间 | 了解功能是否正常使用 | 与账号和账本隔离上传 | 非必要 | 你主动开启 | 关闭后停止发送；可申请删除对应安装标识的历史事件 | 关闭并请求删除历史事件 |
| 反馈（可选） | 类别、正文、自愿提供的联系方式 | 处理问题和回复 | 由你主动提交 | 非必要 | 你主动提交 | 处理及法定义务所需最短期限 | 不提交；提交后可联系删除 |
| YeeDot AI（可选） | 问题、最近 12 轮对话、最小现金流上下文 | 生成现金流解释草稿 | 经 YeeDot 发给已披露模型商 | 非必要 | 你登录、主动开启并完成供应商专项同意 | 本机对话最多 50 条且最长 30 天；服务端短期运行元数据最长 24 小时 | 拒绝或撤回 AI 同意 |
2. Android 权限与系统能力
| 使用场景 | 信息或权限 | 处理目的 | 处理方式 | 是否必要 | 触发条件 | 保存位置与期限 | 关闭方式 |
|---|---|---|---|---|---|---|---|
| 网络访问 | INTERNET | 更新及用户选择的在线能力 | HTTPS | 本地功能非必要 | 检查更新或使用在线能力 | App 不保存权限本身 | 不使用在线能力或限制网络 |
| 计划提醒 | POST_NOTIFICATIONS | 显示本地提醒 | Android 系统通知 | 可选 | 你开启提醒并授权 | 设置保存在设备本地 | App 或系统通知设置关闭 |
| App 锁 | USE_BIOMETRIC | 系统生物识别解锁 | 系统仅返回成功或失败 | 可选 | 你主动开启并验证 | 不读取或保存指纹、面容模板 | 关闭 App 锁或系统生物识别 |
| 重启后恢复提醒 | RECEIVE_BOOT_COMPLETED | 设备重启或更新后恢复提醒 | 接收系统事件 | 提醒功能需要 | 重启或 App 更新 | 不因此收集设备内容 | 关闭提醒或限制后台行为 |
| 直接安装更新 | REQUEST_INSTALL_PACKAGES | 交由系统安装官方 APK | Android 安装确认 | 仅直接分发更新需要 | 你确认安装 | 不获取其他应用列表 | 拒绝安装或关闭来源授权 |
| 文件导入导出 | 系统文件选择器 | 读取所选文件或保存导出 | 系统按单个文件授权 | 可选 | 你主动选择 | 不申请宽泛存储权限 | 取消或删除导出文件 |
| 系统分享 | 系统分享面板 | 将所选内容交给目标 App | 由系统展示并由你选择 | 可选 | 你主动分享 | 由目标 App 规则决定 | 取消分享 |
| 支付通知识别 | Android 通知访问权限；微信/支付宝支付结果通知 | 在设备本地生成待确认的记账草稿 | 仅匹配允许来源与支付结果字段，不写入日志、分析或云备份 | 可选 | 你在 App 和系统设置中分别开启 | 原始通知不保存；本地草稿至确认、取消或清理 | 在 App 或系统通知访问设置中关闭 |
| 支付结果无障碍增强 | direct 包的 Android 无障碍服务；屏幕上可见的微信/支付宝支付结果 | 在设备本地补充生成待确认的记账草稿 | 只读匹配允许应用的可见支付结果；Play 包不包含该服务 | 可选 | 你主动安装 direct 包并在系统中单独开启 | 原始界面内容不保存；本地草稿至确认、取消或清理 | 在 App 或系统无障碍设置中关闭 |
3. 清单边界与更新
权限声明不等同于实际收集个人信息，例如系统生物识别仅返回验证结果。
每次发布前应与平台权限、商店隐私标签和真实网络请求逐项核对；新增权限、SDK、接收方或目的必须先更新清单和版本。