隐私与合规

默认只存在你这台手机的本机存储里。不登录、不注册，所以也不存在「账号」这个中间层 —— 没有账号，就没有「账号泄露」这回事，也没有「忘记密码」这种流程。

你可以在「我的 → 备份与安全」里打开云同步开关。打开之后，数据会自动备份到微信云开发，目的是换手机不丢。关掉开关只是不再上传：本机数据不受影响，已经备份在云端的内容也不会被删除。

云端的备份按你的身份严格隔离，仅你本人可读写。产品里没有「把账本分享给家人」这类入口 —— 那是刻意不做的功能，因为它意味着要把你的数据共享出去。

这是最容易被含糊过去的一节，所以我们写具体。产品里有一个匿名使用统计，唯一目的是知道哪些功能真的有人用 —— 不然没法判断该继续做哪一个。

它上报的只有两类东西：条数区间（比如「一次存了几条」落在哪个区间，而不是具体条数）和原因码（比如某个流程中断的编号）。

• 不包含任何金额 —— 连「你家收了多少」都不在采集范围内
• 不包含姓名与备注，一个字都不上报
• 不包含 openid、手机号、位置或设备标识
• 不做设备指纹，不接任何第三方广告或分析像素

记录一笔时能填的只有结构化字段：称呼、金额、事由、日期、备注。没有留言板、没有自定义大段文本。

这样做的直接结果是：产品里不存在可以被公开传播的用户内容。没有内容，就没有内容安全风险，也不需要在别人写的字上做审核。

界面默认显示完整姓名。「李四」变成「李*」这种处理看似保护隐私，实际会让同姓的人分不清谁是谁 —— 记不清人，记账就失去意义。

公共场合可以在「备份与安全」里打开隐藏姓名开关，界面上的姓名会遮挡成「王*明」这样，你自己认得出，旁边的人认不出。

导出与打印始终使用完整姓名，因为这两份东西的用途就是对账与留档。这是有意的取舍，不是遗漏。

删掉一笔记录，7 天内在「回收站」里可以恢复。如果开了云同步，删除状态也会同步到云端：云端保存的是同一条记录和它的「已删除」状态，换手机后在回收站里同样能看到、能恢复 —— 不会凭空复活成一条正常记录。

要注意「删除用户信息」与「删除数据」是两件事：删除用户信息只清掉头像和昵称，不会顺带清空你的礼单记录。

小程序后台的《用户隐私保护指引》是唯一的正式披露渠道，具有平台效力；本页是它的解释版，用大白话把同样的事情重讲一遍，方便你在决定要不要用之前先看清楚。

两处内容如有出入，以小程序内正式披露的版本为准 —— 这是平台规则，也是我们希望的顺序。

收礼活动是唯一需要云同步的功能：宾客在他的手机上提交，你在你的手机上看，数据必须经过一个中间点才能送达。

宾客登记时填的是称呼与金额两样，没有自由文本。每位宾客只能看到自己提交的那一条及其状态；全部清单只有发起人可见。

再说一次边界：登记不等于收款。小程序里只做登记与核对，不涉及任何在线支付，礼金仍由宾客当面交付。