隱私權政策

生效日期：2026 年 9 月 25 日 · 更新日期：2026 年 10 月 30 日 · 適用於 iPhone、iPad、Apple Watch 上的盛林記帳（英文名稱 Fullgrove）、測試中的 Android 版，以及 fullgrove.com 網站

重點

你的帳本、背後的單據和帳單密碼都留在你的裝置上。我們沒有任何存放這些資料的伺服器。
盛林記帳從不登入你的銀行，也不會自行讀取其他 App 或你的螢幕。只有你自己分享或自己開始錄製的螢幕截圖和螢幕錄影，App 才會讀取。
只有少數幾種資料可能離開裝置，下面逐項說明，並說明怎麼關閉。
App 裡的「設定 › 網路紀錄」列出每一次連線的對象和原因。
Android 版還在測試，有些地方的做法不同，請看第 11 節。
fullgrove.com 用 Google Analytics 計算造訪次數，廣告功能都已關閉。它收到哪些資料、什麼時候不載入，請看第 7 節。

我們是誰
留在裝置上的資料
會離開裝置的資料
匿名使用資料
帳單密碼
我們絕不做的事
本網站
兒童
保存與刪除
你的權利
Android 版盛林記帳
政策變更與聯絡方式

1. 我們是誰

盛林記帳由台灣的 Fullgrove（fullgrove.com）開發，並負責本政策所說的個人資料。聯絡信箱：hello@fullgrove.com。

2. 留在裝置上的資料

你放進盛林記帳的所有內容，都存放並處理在你自己的裝置上：

帳目、金額、商家、分類、備註、預算、目標和帳戶名稱；
每一筆背後的單據：帳單、銀行檔案、收據、電子發票、付款截圖和照片；
家中物品、購物清單和提醒；
帳單 PDF 的密碼（見第 5 節）。

讀取 PDF、辨識照片裡的文字、分類和比對，全都在裝置上完成，手機上的 Apple Intelligence 模型也在裝置上執行。分享選單、小工具、捷徑等延伸功能只負責把檔案交給 App，等你打開 App 時才由 App 自己讀取。

匯出 CSV、封存檔或加密備份時，存到哪裡由你決定。如果存到雲端服務，那份副本就依該服務的條款處理。

3. 會離開裝置的資料

只有下列幾種例外，每一次連線都會寫進「設定 › 網路紀錄」。

項目	傳給誰	傳送內容	什麼時候
匯率	歐洲中央銀行（www.ecb.europa.eu）、美國聖路易聯邦準備銀行（fred.stlouisfed.org）	下載公開匯率的請求，不含任何帳本資料	需要更新匯率時
範本更新	fullgrove.com	下載新版匯入範本的請求，不傳送任何個人資料	範本有更新時
匿名使用與當機報告	Mixpanel（資料存放於歐盟，api-eu.mixpanel.com）、Google Firebase Crashlytics	一組固定的匿名使用事件（見第 4 節）、隨機安裝識別碼和當機報告	1.0.2 版起預設開啟，並且在你看過開關之後才開始；可以在「設定」關閉。更早的版本要你自己打開才會傳送
雲端 AI	Apple 私密雲端運算	當次要處理的內容，例如問助理的問題、匯入檔的欄位名稱、待分類的新帳目、要命名的物品照片	Premium 預設開啟，可在設定關閉；每次請求都有紀錄
購買	Apple（App Store）	付款由 Apple 處理。App 在裝置上用 Apple 的 StoreKit 確認你目前的方案	購買或回復購買時
繳費頁	你打開的公用事業或政府網站	和一般瀏覽器造訪網站時送出的內容相同	你自己打開時

不需要帳號

盛林記帳沒有登入功能，也沒有帳號。你在 App 裡做的事，不會和你的姓名、電子郵件或 Apple ID 連在一起。

Apple 私密雲端運算

部分功能可以改用 Apple 私密雲端運算上較大的模型。Premium 預設開啟，可以在「設定 › 助理」關閉。每次請求只包含那項工作需要的內容，Apple 不會保存，而且都會出現在網路紀錄裡。助理顯示的數字一律來自裝置上的計算結果。

購買

訂閱和買斷方案都由 Apple 透過 App Store 販售，我們看不到你的付款資料。從 1.0.3 版起，App 在裝置上用 Apple 的 StoreKit 確認你目前的方案，中間沒有其他購買服務。匿名使用資料開啟時，第 4 節裡有三個事件會記錄選了哪一種方案和購買的結果，不含價格，也不含收據。

1.0.3 之前的版本用 RevenueCat 確認你目前的方案。RevenueCat 收到 App Store 交易資訊和一組隨機匿名識別碼；這組識別碼和匿名使用資料的識別碼沒有關聯，RevenueCat 也收不到任何帳本資料。

App 內繳費頁

處理定期付款時，盛林記帳可以在 App 內開啟少數幾個官方的公用事業、電信和政府繳費頁面：台電電子帳單、台灣自來水、臺北自來水、大台北瓦斯、欣欣天然氣、新海瓦斯、中華電信、台灣大哥大、遠傳電信，以及財政部網路繳稅。銀行網站一律不會在 App 內開啟。

瀏覽工作階段是暫時的，關掉之後 Cookie 和網站資料就會清除。
盛林記帳不注入任何程式碼，不讀取頁面或表單的內容，也不儲存密碼。
網址列一直顯示，你隨時看得到自己在哪個網站。
只有你按下「擷取」時才會擷取畫面，擷取結果存在你的裝置上，作為那筆付款的證明。

你打開的網站會和平常用瀏覽器造訪時一樣收到你的連線，並適用該網站自己的隱私權政策。

4. 匿名使用資料

「分享匿名使用資料」是「設定 › 隱私與安全」裡的一個開關，可以隨時關閉。1.0.2 之前的版本預設關閉，要你自己打開。1.0.2 版起預設開啟：初次設定的畫面會顯示這個開關，更新上來的人會看到一則通知，可以選擇維持開啟或關閉。在你看到開關或通知之前，不會傳送任何內容。

傳送的內容用來了解 App 怎麼被使用、哪裡出問題：打開了哪些畫面和功能、初次設定走到哪一步、匯入或購買有沒有完成，以及當機報告。每個值都來自經過測試的固定清單，數量只以區間表示，例如「11–100」。App 裡的「設定 › 隱私與安全 › 實際分享的內容」會列出傳送的項目。

事件絕不包含金額、商家、備註、你自訂的分類名稱、帳戶名稱、交易日期或你的位置。

識別碼：Mixpanel 使用每次安裝時隨機產生的識別碼，Crashlytics 使用它自己的安裝識別碼。不收集廣告識別碼（IDFA）。
位置：Mixpanel 的 IP 定位已關閉；App 裡沒有 Google Analytics，所以不會從你的 IP 位址推算地區。
當機報告：Firebase Crashlytics 的當機報告跟著同一個開關。
廣告：盛林記帳沒有廣告，也不會跨 App 或網站追蹤你。
關閉之後立即停止傳送，並重設裝置上的 Mixpanel 識別碼。

Mixpanel 的資料存放在歐盟。Firebase Crashlytics 可能在美國及 Google 營運的其他國家處理當機報告。

5. 帳單密碼

加密帳單 PDF 的密碼只存在裝置的鑰匙圈裡：必須設定裝置密碼才能使用，不會離開這台裝置，每次使用都需要 Face ID 或 Touch ID。如果你更改了登錄的生物辨識資料，已存的密碼就無法再讀取，需要重新輸入。密碼永遠不會被記錄、同步、匯出，也不會交給任何模型。

6. 我們絕不做的事

登入你的銀行，或要求網路銀行帳號密碼。
自行讀取其他 App 或你的螢幕。只有你自己分享或自己開始錄製的螢幕截圖和螢幕錄影，並且在 App 說明會讀取什麼、你同意之後，盛林記帳才會讀取。
在盛林記帳裡開啟銀行網站。
把帳目、單據、金額、商家或密碼送進分析服務或當機報告。
販售或出租個人資料、顯示廣告，或跨 App 與網站追蹤你。

7. 本網站

fullgrove.com 用 Google Analytics 計算造訪次數。你打開的每一頁，Google 會收到這一頁的網址和你從哪一頁過來，你的瀏覽器、裝置類型、螢幕大小和語言，你捲動到哪裡、點了哪些連到站外或檔案的連結，以及是否開始填寫或送出表單。它不會收到你在表單裡輸入的內容。本網站的兩個 Cookie（_ga 和 _ga_RHJT43FQZC）存著一個隨機識別碼，讓你再次造訪時算成同一位訪客；這兩個 Cookie 在你最後一次造訪的 13 個月後失效。Google 會從你的 IP 位址推算國家、地區和城市，但不保存位址本身。Google 信號、廣告功能和廣告個人化都已關閉，所以你的造訪不會連到 Google 帳號，也不會用在廣告上。Google Analytics 可能在美國及 Google 營運的其他國家處理資料。

瀏覽器送出「全球隱私控制」（Global Privacy Control）或「不要追蹤」（Do Not Track）時，或裝置設在歐洲時區時，本網站不會載入 Google Analytics。Google 判斷造訪來自歐洲經濟區、英國或瑞士時，Google Analytics 不會存放 Cookie。

除了 Google Analytics，本網站只在兩個有表單的頁面載入第三方資源 Cloudflare Turnstile。計算機頁面（fullgrove.com/tools）會執行一支我們自己的程式，在你的裝置上計算，不送出任何資料。網站主機可能為了安全和穩定保留一般的存取紀錄。

測試名單頁面（fullgrove.com/get）會執行表單的程式，並載入 Cloudflare Turnstile，用來確認填表的是真人。加入名單時，我們會保存你的 email、你選的手機平台、頁面語言、主機回報的連線所在國家，以及你點進來的活動連結。我們不保存你的 IP 位址。名單存放在 Cloudflare，iPhone 的測試邀請透過 Apple 的 TestFlight 寄出。

這個 email 只用來寄測試邀請和上線通知。想從名單移除，請寫信到 hello@fullgrove.com。

學生方案頁面（fullgrove.com/student）也是同樣的做法：表單的程式，加上 Cloudflare Turnstile。你在那裡輸入 email 時，我們會保存這個信箱、它的網域是不是學術網域、頁面語言、主機回報的連線所在國家，以及你點進來的活動連結。我們不保存你的 IP 位址。這個信箱只用來確認是不是學術信箱，以及寄一次性代碼給你。想從名單移除，請寫信到 hello@fullgrove.com。

8. 兒童

盛林記帳是給管理家庭財務的成年人使用的。App 可以記錄子女帳本，由家長設定，和其他帳目一樣留在家長的裝置上。我們不會刻意收集兒童的個人資料；如果你認為我們持有兒童的個人資料，請與我們聯絡，我們會刪除。

9. 保存與刪除

帳本與單據：刪除 App 就會從那台裝置上刪除。你另外存放的匯出檔或備份，請自行刪除。
匿名使用資料：在「設定 › 隱私與安全」關閉。已送出的事件和當機報告依我們專案的保存設定留在 Mixpanel 和 Firebase Crashlytics；因為只帶有隨機安裝識別碼，我們無法用你的姓名找到它們。
本網站：Google Analytics 保存每次造訪的事件 2 個月，和隨機識別碼相關的資料保存到最後一次造訪後 14 個月，之後刪除。報表裡的總數不指名任何訪客，會保留下來。你隨時可以在瀏覽器裡刪除這些 Cookie。

10. 你的權利

依你所在地的法律，包括台灣《個人資料保護法》和歐盟《一般資料保護規則》，你可以請求查詢、更正、刪除我們持有的個人資料，或反對我們使用。你大部分的資料從來不會到我們手上，你可以在 App 裡直接查看和刪除。其他需求請寫信到 hello@fullgrove.com，你也可以向當地的個人資料保護主管機關申訴。

11. Android 版盛林記帳

Android 版還在測試。第 2 到第 5 節說的是 Apple 裝置上的 App，這一節說明 Android 版在這些地方怎麼做。第 6 到第 10 節兩邊都適用。

留在手機上的資料

帳本：每一筆紀錄的金額、商家、分類和備註。
每一筆背後的憑證：通知的文字、你開啟的收據、對帳單或檔案，以及從裡面讀到的文字。
從你自己的對帳單整理出來的信用卡。

帳本不會進入 Google 雲端備份。換新手機時，可以在 Android 轉移資料時用傳輸線或 Wi-Fi 一起帶過去。加密 PDF 的密碼只用在那一次讀取，不會保存。Android 版沒有帳號，也不用登入。

銀行與信用卡通知

通知存取權是你在 Android 系統設定裡給的權限。有了這個權限，盛林記帳只讀你在 App 裡打開的那些 App 發出的通知，其他 App 的通知不讀。其中只有說明錢進出的通知會記成紀錄；驗證碼、廣告訊息和失敗的交易會被忽略，不會保存。文字在手機上讀取，和紀錄存在一起讓你核對。盛林記帳不要求讀取簡訊的權限。

雲端判讀

手機上的規則讀不出帳單、對帳單或發票時，你可以把文字交給語言模型來讀。在你自己送出文件之前，它是關閉的；每一次送出前，你都會先看到要送的文字。

送出什麼：只送文字，不送圖片或檔案。卡號與帳號只留末四碼；姓名、地址、電話、電子郵件和身分證字號會遮蔽。旁邊沒有稱謂或欄位名稱的姓名認不出來，送出前請先看過文字。
送到哪裡：文字除了走 HTTPS 連線，還會先在手機上加密，送到盛林記帳自己架在 Cloudflare 上的中繼站。中繼站再經由 OpenRouter 交給語言模型。每一次請求都要求服務商不保存文字、不拿文字訓練模型。
中繼站留下什麼：不留文字，也不留回覆。它只留計數：一組隨機號碼今天送了幾次、所有人合計幾次，以及當天和當月花了多少錢。紀錄裡只有回覆的模型、請求的大小和費用。
隨機號碼：在你開啟雲端判讀時產生，關閉時丟棄，和你本人、帳號或手機都沒有關聯。
上限：每支手機每天有次數上限，所有人合計每天和每月有費用上限。到了上限，雲端判讀會停到隔天或下個月，App 會告訴你。在 Google Play 有販售 Premium 的地方，沒有 Premium 時每個月可以讀三份文件。
回覆：裡面的每個金額、日期和卡號末碼，都會在手機上和你送出的文字比對。文字裡沒有的一律捨棄。

Cloudflare、OpenRouter 和模型服務商依各自的條款處理這次請求，也和任何網路服務一樣看得到連線的來源。雲端判讀可以在 App 的「設定」關閉。

匿名使用資料

Android 版有「分享匿名使用資料」這個開關，預設開啟。初次設定的「你的錢，留在你這裡」那一頁會顯示這個開關，在你看到它之前不會傳送任何內容。設定完成後，開關在「設定 › 隱私」裡，可以隨時關閉。如果你還沒走到那一頁就按了「略過設定」，在你打開「設定 › 隱私」、看到這個開關之前都不會傳送。

傳送什麼：十一種事件，用來了解 App 怎麼被使用：開過哪些畫面、初次設定走到哪一步、有沒有看到 Premium 頁面、選了哪個方案、購買的結果、匯入完成還是失敗，以及通知的設定做到哪裡。每個值都來自固定清單，數量只以區間傳送，例如「11–100」。「設定 › 隱私 › 實際分享的內容」列出每一個事件名稱、欄位名稱和欄位的值。
事件裡不會有：帳本裡的金額、商家、備註、帳戶名稱和日期，通知或文件的文字，以及你在初次設定「哪幾句說的是你？」那一頁選了什麼。
送到哪裡：事件送到 Mixpanel，存放在歐盟（api-eu.mixpanel.com），掛在 Mixpanel 的軟體為這次安裝隨機產生的識別碼底下；同樣的事件也送到 Google Analytics for Firebase，掛在它自己的 App 執行個體識別碼底下。App 沒有帳號，也不附上任何使用者識別碼。Mixpanel 的自動事件和 Google Analytics 的自動畫面報告都已關閉。
裝置資訊：Mixpanel 的軟體會自己在每個事件附上這些：手機的製造商、品牌和型號，Android 版本，螢幕尺寸和密度，App 的版本和版號，電信業者名稱，有沒有連上 Wi-Fi，手機有沒有 NFC 和電話功能，以及藍牙版本。
位置：Mixpanel 的 IP 定位已關閉。Google Analytics 會從連線的 IP 位址推算國家和地區，但不保存位址本身。
當機報告：當機報告送到 Google Firebase Crashlytics，跟著同一個開關。Crashlytics 使用它自己的安裝識別碼。
購買和使用資料對得起來：開關開著時，Adapty 會拿到 Mixpanel 的識別碼和 Google Analytics 的 App 執行個體識別碼，讓試用、購買和續訂出現在 Mixpanel 和 Google Analytics 裡，和初次設定、Premium 頁面的事件掛在同一次安裝底下。裡面沒有帳本裡的金額。
廣告：App 沒有廣告，也不收集廣告 ID。讀取廣告 ID 的權限已經從 App 移除。
關閉之後立即停止傳送，並重設手機上的 Mixpanel 識別碼和 Google Analytics 資料。

Google Analytics for Firebase 和 Firebase Crashlytics 可能在美國及 Google 營運的其他國家處理資料。已送出的事件和當機報告怎麼保存，請看第 9 節。

購買

Android 版的 Premium 由 Google Play 販售，有年繳訂閱、月繳訂閱和一次付清的買斷方案。付款由 Google 處理，我們看不到你的付款資料。我們用 Adapty（adapty.io）確認這次安裝有哪個方案，並提供販售中的方案。App 啟動時，以及你購買或回復購買時，Adapty 會收到 Google Play 的購買紀錄、它為這次安裝產生的一組隨機識別碼，以及手機型號、Android 版本、App 版本、語言和時區。Adapty 收集 IP 位址和廣告 ID 的功能已關閉，它也收不到任何帳本資料。在 Google Play 買的方案不會解鎖 iPhone 版，在 App Store 買的方案也不會解鎖 Android 版。

App 裡的 Google 軟體

圖片裡的文字由 Google ML Kit 在手機上辨識。ML Kit 會把它自己的診斷數據傳給 Google：手機型號、App 版本、辨識花了多久、有沒有失敗。圖片和文字不會傳出去。
文字辨識元件由 Google Play 服務提供，App 安裝後會下載一次。你的圖片不在這次下載裡。
收據掃描畫面由 Google Play 服務提供，第一次使用前會下載一次。掃描好的頁面在手機上交給盛林記帳。

在 App 裡開啟的頁面

這份政策、使用條款和支援頁面會從 fullgrove.com 在盛林記帳裡開啟。網址一直顯示，不執行程式碼，也不保留 Cookie 和網站資料。要離開盛林記帳之前（Android 系統設定、手機的瀏覽器或相機 App），App 都會先問你。

Android 版沒有的東西

沒有廣告，也不收集廣告 ID。Android 版目前還沒有網路紀錄。這兩點如果有變動，會在那個版本發布之前先更新這一節。

12. 政策變更與聯絡方式

本政策如有修改，新版本會公布在這裡，並標示新的生效日期。有任何問題請寫信到 hello@fullgrove.com。

Fullgrove（fullgrove.com），台灣。