隐私政策

本中文译本仅为方便阅读而提供。如中文译本与英文版本有任何不一致之处，以英文版本为准。

本政策说明当您使用Kemback网站、网页应用和移动应用（以下简称“本服务”）时，Phlorin LLC（以下简称“Kemback”或“我们”）如何处理您的个人信息。

简而言之：我们只收集为您运行Kemback所需的信息。我们不出售您的数据，不将其用于广告，也不会在网络上追踪您。您可以随时导出全部数据，也可以在应用中自行删除您的账户（操作方法）。

我们收集哪些信息

账户信息。您的电子邮件地址和密码；密码仅以单向Argon2id哈希值的形式保存，任何人（包括我们）都无法读取。如果您开启两步验证或添加通行密钥，我们会保存验证它们所需的信息。两步验证的密钥经过加密。

使用 Google、Apple、LinkedIn 或 Facebook 登录。如果您选择使用其中之一登录，它会告诉我们您的姓名、电子邮件地址以及它为您使用的 ID。我们保存该 ID 和它提供的电子邮件地址，用于为您登录并向您显示这一关联。以这种方式创建的账户在您设置密码之前没有密码。我们从不接收您该账户的密码，从不在其中发帖，也从不读取您的联系人、好友或其中的任何其他内容。Apple 还会给我们一个令牌，我们将其加密保存，仅用于在您移除关联或删除账户时请 Apple 忘记这一关联。我们不保存这些服务的任何其他令牌。您可以在安全中解除任何一项关联；在 Facebook 设置中移除 Kemback 也会解除该关联。

您的财务数据。账户、余额、交易、类别、预算、账单、储蓄目标、规则、标签、备注，以及您导入的文件（例如OFX、QFX、QIF、CSV或Mint导出文件）。这些是您自己选择放入Kemback的信息。

文档。如果您使用Paper Trail（我们的文档附加功能）：您扫描、上传或通过电子邮件发送到您的Kemback文档地址的收据、账单和其他文件；发送到该地址的电子邮件的正文；以及我们从中读取的信息，例如商家、日期、总额和到期日。我们会先加密每个文件，然后再保存。对于我们读取到的任何账号、卡号或参考编号，我们只保留最后四个字符。

Rental Houses。如果您的家庭使用Rental Houses（我们面向出租房子的附加功能，了解其工作方式）：您添加的房子和房间（名称、地址、购买日期和价格、床位和租金价格）、预订、房贷、租约模板和租约、您记录的租金、费用和押金，以及您录入的租客姓名、电子邮件地址、电话号码、语言和备注。这些是家庭数据：只有该家庭的成员能看到，但每位租客可以在租客门户中看到自己的预订（见下文）。它们包含在该家庭的数据导出中，并会在家庭被删除时一并删除。我们仅将其用于提供该功能，绝不用于营销。我们只会向您的租客发送该功能的邮件：租客门户邀请、待签署的租约、已签署的租约，以及租金提醒（仅在您为该预订开启后才会发送）。Kemback不处理任何租金或押金付款：租客直接向房东付款，由房东记录付款。您的家庭有责任具备保存租客信息的依据。

租客和电子签名。如果房东邀请您使用其租客门户，您使用的是普通的免费Kemback账户。在门户中，您只能看到自己的预订、租约、应付金额和房东的付款说明，以及房东为您记录的付款；房东能看到您的预订，但绝不会看到您自己在Kemback中的财务信息。当您在Kemback中签署租约时，我们会保存一份电子签名记录：您输入的姓名、时间、您的IP地址、您的浏览器（其用户代理）、您的用户ID，以及文档的指纹（其确切文本的SHA-256哈希值）。签名记录和已签署的PDF作为房东家庭数据的一部分随该家庭保存，并包含在其导出中。它们会一直保留，直到房东删除该预订或家庭。如果您删除自己的Kemback账户，您的登录信息会被删除，但房东仍会保留该预订、房东录入的关于您的信息，以及已签署的租约及其签名记录（您的用户ID会被清除），因为这是您作为一方当事人的协议记录。删除账户前，请先下载您自己的已签署租约副本。

家庭信息。您所属的家庭、您在每个家庭中的角色，以及您邀请的人的电子邮件地址。

银行连接数据。如果您通过Plaid等聚合服务商连接银行，我们会从其接收账户和交易数据。聚合服务商会向我们提供一个访问令牌，我们将其加密保存。我们绝不会接收或保存您的银行用户名或密码。

设备和安全信息。当您登录时，我们会记录您的IP地址、浏览器或设备类型，以及该会话最后一次使用的时间，以便您查看您的设备并让其退出登录，也便于我们发现滥用行为。我们会为您的账户和家庭中与安全相关的操作保留一份防篡改的记录。如果您在iPhone或Android应用中开启通知，我们会加密保存该手机的推送令牌。

iPhone 上的小组件和 Siri。如果您把 Kemback 的小组件添加到主屏幕或锁定屏幕，或向 Siri 询问您的财务情况，iPhone App 会在手机上保存一份简短摘要，存放在一个 App Group 中（手机上只有 Kemback App 及其小组件可以读取的存储空间）：您每个家庭的可安心花金额、接下来的账单以及本月预算的剩余金额。小组件会按照您的设置在主屏幕和锁定屏幕上显示这些信息，并在手机锁定时隐藏金额。该摘要只保存在手机上：小组件从不连接我们的服务器，也不持有任何登录凭据。当您退出登录或删除账户时，它会被删除。

在您自己的日历中查看账单。如果您在“账单”页面打开日历链接，Kemback 会为您家庭的账单生成一个私密网址，您可以将其添加到 Google 日历、Apple 日历、Outlook 或其他日历应用。该日历的提供商随后会每隔几小时获取您在 Kemback 中可见的账单：每笔账单的收款方、金额和到期日，绝不包括账户名称或账号。提供商按其自身条款保存这些信息。我们只存储该网址的单向哈希值，因此无法再次向您显示。您把网址给了谁，谁就能看到这些账单，直到您在“账单”页面生成新链接或将其关闭，关闭后立即停止。离开家庭或删除账户也会将其关闭。

短信和WhatsApp提醒。Plus会员可以选择通过短信（SMS）或WhatsApp接收提醒。如果您这样选择，我们会收集您的手机号码并加密保存，同时保存该号码的一个带密钥的哈希值，以便将您的回复（例如STOP）与您的账户对应起来。我们还会保存您使用该号码时所在的时区（以免在夜间给您发消息）、您的同意记录（您同意的确切文字、同意的时间、IP地址以及对应的渠道），以及您的退订记录。提醒消息只说明是哪一类提醒，并附上Kemback的链接，绝不包含金额、收款方、账户名称或账号。我们绝不会共享或出售您的手机号码或您对接收短信的同意，也绝不会将其用于营销。短信提醒如何运作（含同意文本原文和示例消息）。

在 iPhone 应用中购买。如果您在 iPhone 应用中订阅 Plus，付款由 Apple 收取。Apple 会向我们发送一份经签名的订阅记录：版本、价格和币种、日期、是否续订以及购买的标识符，另附我们为您的账户分配的随机标识符，以便购买记入您的账户。我们从不会收到您的银行卡信息或 Apple ID。只要您的账户存在，我们就会保留此记录，以便了解您已付费的内容。

Mac 应用。Mac 应用不会收集 iPhone 应用不收集的任何信息，本政策中关于 iPhone 应用的说明同样适用于它：如果您开启通知，它的推送令牌（通知由 Apple 发送）；它的小组件显示的摘要，保存在 Mac 上的 App Group 中，并在您退出登录时删除；以及在其中购买的 Plus，由 Apple 收取款项。

往来邮件。如果您给我们发邮件，我们会保留往来记录。

营销邮件。我们会偶尔通过邮件发送产品新闻和使用技巧，但仅限于您选择接收的情况：注册时勾选复选框（默认不勾选），或在网页应用、iPhone应用或Android应用的“个人资料”页面打开开关。除非您主动打开，否则此功能处于关闭状态。如果您通过其他方式（例如签署的表格）向我们表示同意，我们可能会连同该证据一并记录，但如果您曾明确拒绝，我们绝不会这样做。我们会保留您的选择记录：您何时做出选择、通过什么方式（例如注册时、在“个人资料”页面，或通过邮件中的链接）、您看到的说明文字的版本，以及使用的语言。每次更改也会记入您账户的审计日志。该记录包含在您的数据导出中，并会随您的账户一并删除。

公开网站。我们的公开页面不使用分析类或广告类Cookie。我们会统计每篇博客文章被阅读的次数，但不使用Cookie，也不记录是谁阅读的。当您创建账户时，我们会记下您是从我们网站的哪个页面过来的（例如某篇博客文章），以便了解哪些页面对用户有帮助。我们只保存该页面的地址以及链接中的推广活动标签，不保存您之前访问的网站的任何信息。我们的服务器会短期保留标准技术日志（例如IP地址和请求路径），用于安全保障和故障排查。

我们如何使用这些信息

• 提供本服务：显示您的账簿、预算和报表，在您的设备之间同步，导入您的文件，并按您的选择与家人共享。
• 发送您要求的邮件和通知，例如验证链接、邀请、提醒和每周摘要，以及必要的账户消息。
• 仅在您选择接收后，通过邮件向您发送产品新闻和使用技巧。我们只根据账户信息（您的套餐、是否付费、语言、注册时间和您来自我们网站的哪个页面，以及您最近一次使用Kemback的时间）决定每封邮件发给谁，绝不使用您的财务数据。在欧盟和英国，这项处理的法律依据是您的同意，您可以随时撤回。
• 保障本服务和您账户的安全，例如限制反复尝试登录、发现可疑活动。
• 修复问题并改进Kemback。在研究功能的使用情况时，我们使用的是汇总信息，而不是您账户中的内容。
• 履行法律义务，并执行我们的使用条款。

我们不出售或出租个人信息，不为广告目的分享个人信息，也不会利用您的财务数据向您营销金融产品。

由谁代我们处理

我们只使用少数几家服务提供商，每一家都受约束，只能将您的信息用于向我们提供其服务：

对于短信和WhatsApp，我们只向这些服务提供商发送您的电话号码和消息本身，消息中绝不包含金额、收款方、账户名称或账号。

营销邮件如何发送。每封营销邮件都会注明我们的法定名称和邮寄地址，并在底部附有退订链接。如果某个地址的邮件被永久退回，或有人将我们的邮件标记为垃圾邮件，Postmark会通知我们，我们将停止向该地址发送营销邮件；垃圾邮件投诉也会为您退订。邮件打开和点击跟踪处于关闭状态。如果我们将来开启它，会先更新本政策：届时Postmark会记录营销活动邮件是否被打开、其中哪些链接被点击，仅用于统计该活动的效果。

文档如何被读取。当您添加一份文档时，我们会将该文档发送到Anthropic的API（不会发送您账户中的任何其他内容），由其读取文档并返回其详细信息。根据Anthropic的商业条款，它不会使用我们发送的内容训练其模型，并会在30天内将其删除。

就通知而言，Apple 和 Google 只会收到您手机的推送令牌和通知本身。通知只会告诉您有事项在等待处理，例如您有多少条新提醒；通知中绝不会包含金额、账户名称或交易。

在法律要求、为保护他人安全或我们的权利，或者在合并或出售业务的过程中，我们也可能披露信息（在这种情况下，本政策将继续适用于您的信息，否则我们会通知您）。

你连接的 AI 助手

在包含此功能的方案中（目前为 Plus），你可以通过我们的 MCP 服务器，将 Claude（Anthropic）、ChatGPT（OpenAI）或 Microsoft Copilot 等 AI 助手连接到你的 Kemback 账户（了解原理）。在你于 Kemback 自己的授权页面上批准之前，不会共享任何内容。你会在该页面看到是哪个应用在请求，并选择它可以读取哪些家庭。

• 只读。 已连接的助手可以读取你所选家庭的账户、余额、交易、预算、账单、净资产和报告。它无法更改任何内容或转移资金，也永远看不到你的密码、银行登录信息或其他成员的私人账户。
• 只提供它请求的内容。 我们只在助手提问时，向它发送该问题的答案。我们不会批量或在后台向它发送你的数据。
• 适用提供方的条款。 助手收到的内容由其提供方按照自己的条款和隐私政策处理，而不是本政策。请查看这些条款，特别是它是否会使用你的对话来训练模型。
• 有记录，可撤销。 助手的每次请求都会记录在你账户的活动日志中（记录它请求了什么，而不是我们回答了什么）。你可以在网页版、iPhone 或 Android 应用的“安全 → 已连接的应用”中查看每个连接，并随时立即断开。重置密码或删除账户也会断开这些连接。
• 令牌经过哈希处理。 我们只以单向哈希的形式保存助手使用的令牌。

您家庭中的其他成员

共享家庭中的信息对其成员可见，具体取决于他们的角色。您标记为私人的账户仅您本人可见。成员可以查看家庭的操作记录。

Cookie

网页应用使用两个Cookie，二者都是其正常运行所必需的：kb_session用于保持您的登录状态，kb_csrf用于保护您的账户免受跨站请求伪造攻击。我们不使用广告Cookie或第三方追踪Cookie。

如果您使用 Google、Apple、LinkedIn 或 Facebook 登录，登录过程中还会用到两个短期Cookie：kb_oauth 将这次登录与您的浏览器绑定，使其他人无法完成它；kb_mfa 最多保存五分钟待完成的两步验证。

我们保存多久

在您拥有账户期间，我们会保存您的账户和财务数据。过期的登录验证请求和频率限制记录会被自动删除。

文档会在其所属家庭保留期间一直保存。如果某个家庭中已无人拥有Paper Trail，其文档在90天内仍可查看和下载，之后将被删除，包括文件本身。当您删除一份文档、一个家庭或您的账户时，其存储的文件会在几分钟内从存储中删除。

当您在应用中删除账户时，删除会立即生效（如何删除账户）：

• 您的登录信息将被删除：包括您的密码、通行密钥、两步验证、推送令牌以及所有已登录的设备。
• **已关联的登录方式会被移除。**如果您曾使用 Apple 登录，我们还会请 Apple 忘记这一关联。
• 仅有您一人的家庭将被删除，连同其中的所有内容，包括其操作记录。
• 在您与他人共享的家庭中，您将被移除。您在其中的私人账户及其交易将被删除。共享的账户、交易和预算会保留给其他成员；该家庭的操作记录会保留您在其中的操作以及您已退出的记录，因为该记录是防篡改的，无法被改写。
• 您建立的银行连接将在银行服务提供商处断开。
• 您在Plus候补名单上的位置将被移除（如果您加入过）。
• 我们会发送最后一封邮件，确认删除已完成。

如果您改为通过电子邮件要求我们删除，我们会在30天内完成同样的操作，但法律要求我们保留的信息除外。无论哪种方式，备份中的副本都会在此后30天内被覆盖。

您的手机号码。当您移除号码或删除账户时，我们会删除该号码及您的同意记录。只有一个例外：如果您曾回复STOP退订，我们会将该号码的带密钥哈希值和退订日期保存4年，以确保您的退订持续有效。没有我们的密钥，无法从该哈希值还原出您的号码。您发送到Kemback号码的短信会加密保存最多30天，以便我们的工作人员回复，之后即被删除。

您的选择和权利

• 导出：随时在应用的您的数据中，以JSON或CSV格式下载您的全部数据。
• 更正：在应用中修改您的信息，或请我们代为修改。
• 删除：随时在网页应用、iPhone应用或Android应用的安全中自行删除您的账户；系统会要求您输入密码（如果开启了两步验证，还需输入验证码）。您也可以用账户绑定的电子邮件地址写信至hello@kemback.com，要求我们删除。如果您的账户没有密码，您需要使用已关联的账户重新登录，以确认是您本人。删除您的Kemback账户页面会逐步说明每种方式。
• 邮件：在“设置”中关闭提醒和每周摘要，或使用每封邮件中的退订链接。我们仍会发送必要的账户消息。营销邮件默认关闭，除非您主动打开。您可以随时关闭：使用任何一封营销邮件底部的链接（无需登录）、您邮件应用自带的“退订”按钮，或“个人资料”页面上的开关。关闭立即生效，且不会停止必要的账户消息、提醒或每周摘要，它们各有自己的设置。
• 短信和WhatsApp：您需要为每个渠道分别表示同意，并可随时在“设置”中关闭，或回复STOP给我们的任意一条短信或WhatsApp消息。我们会立即停止发送，并发送一条确认消息。回复HELP可获取帮助。您的运营商可能收取短信和数据费用。

根据您所在的地区（例如加利福尼亚州及美国其他州，或欧盟和英国），您可能享有更多权利，例如了解我们持有哪些信息、反对某些用途，或向监管机构投诉。如需行使这些权利，请写信至hello@kemback.com；我们不会因此区别对待您。我们不会按照这些法律所定义的含义“出售”或“共享”个人信息。

安全

我们通过以下方式保护您的信息：传输过程加密（HTTPS）以及敏感机密和每份已存储文档的静态加密，对密码和令牌进行单向哈希处理，在数据库层面隔离每个家庭的数据，通行密钥和两步验证，以及防篡改的审计日志。没有任何系统是绝对安全的，因此请使用强度高且不重复的密码，或使用通行密钥。更多信息请参阅我们的安全页面；如发现漏洞，请报告至security@kemback.com。

您的数据存储在哪里

您的数据存储在德国的服务器上。如果您在其他地方（包括美国）使用Kemback，您的信息会被传输到德国，以及传输给上面列出的服务提供商。

儿童

Kemback不面向儿童。您必须年满18周岁才能创建账户，我们不会在知情的情况下收集13岁以下儿童的信息。

本政策的变更

如果我们对本政策做出重大变更，会在变更生效前通过电子邮件或在应用中通知您。页面顶部的日期显示本政策最后一次变更的时间。

联系方式

Phlorin LLC，美国New Jersey。电子邮件：hello@kemback.com。