隱私權政策

本隱私權政策說明「念帳（Voinance）」行動應用程式與相關服務（以下合稱「本服務」）如何蒐集、使用、儲存與保護你的個人資料。本服務由 Voinance（念帳）的個人開發者（以下稱「我們」）獨立開發與營運。當你下載、註冊或使用本服務，即表示你已閱讀並同意本政策。

1. 我們蒐集哪些資料

1.1 你主動提供的資料

1.2 語音與發票載具

1.3 自動蒐集的技術資料

• 裝置型號、作業系統版本、App 版本、語系、時區、裝置識別碼（device ID）——用於登入綁定、相容性與錯誤診斷。
• IP 位址——連線時我們的伺服器會看到，用來擋下異常大量的請求，也會出現在伺服器的連線紀錄中。
• 操作紀錄（例如登入、同步、匯入、訂閱變動發生的時間與次數）——存在我們的伺服器，用於防止濫用與排查問題。一般不含記帳內容，但你在某些申請中自己填寫的說明（例如要求提前刪除救援副本時的備註）會一併記下。
• 系統異常紀錄（伺服器或 App 偵測到同步、加密等問題時，記下你的帳號編號、裝置與 App 版本和錯誤說明）——用於即時發現並修復問題。一般不含記帳內容。
• 當機與診斷資料（裝置型號、作業系統與 App 版本、當機堆疊、本 App 專用的安裝識別碼）——透過 Google Firebase Crashlytics 蒐集，用於偵測並修復當機、提升穩定性。不含廣告識別碼，也不會用於跨 App 追蹤。
• 使用統計（Firebase 自動蒐集的畫面瀏覽、工作階段等使用事件，以及本 App 專用的識別碼，例如 app-instance ID；iPhone 上還有 Apple 提供的廠商識別碼 IDFV）——透過 Google Analytics for Firebase 蒐集，用於了解功能使用情形以改善產品。我們已關閉廣告識別碼（IDFA／GAID）蒐集，這些資料不會用於廣告或跨 App 追蹤。
• 推播通知用的裝置權杖——透過 Google Firebase Cloud Messaging 發送通知（iPhone 另經 Apple 推播服務）。
• 訂閱狀態（是否為高級會員）——由訂閱服務商 RevenueCat 提供；試用到期日由我們的伺服器記錄。
• 使用網頁版時，我們會在你的瀏覽器存放登入用的 cookie；不用於追蹤或廣告。

1.4 自動記帳（高級功能，需要你自己開啟）

自動記帳會讀銀行、支付 App 的消費通知，認出店家和金額後自動幫你記帳，再發一則通知讓你過目。這個功能只給高級會員（含免費試用期間），預設是關的，要你自己在 App 裡打開並授權才會開始；不開也不影響其他功能。

我們會讀什麼

• 只讀你選的 App。Android 要你先在系統設定開「通知存取」，再到念帳裡勾選要讀的 App。iPhone 要你在「捷徑」App 自己建自動化，可以是 Apple Pay 交易，或 iOS 27 起的 App 通知。你沒選的 App，念帳一個字都不讀。
• 先在手機上篩選。通知要有金額，而且不是驗證碼或廣告，才會送出；廣告過濾可以在設定關掉。簡訊、Email、LINE 這類私人來源，還要看得出是一筆交易才會送出。其他通知不會離開你的手機。
• 我們不申請讀取簡訊的權限，也不會去翻你的簡訊收件匣或信箱。

什麼會送到我們的伺服器和 AI

• 通知內容：通過手機篩選的通知，標題和內文（Android 另有寄件人名稱）會經我們的伺服器送給 Anthropic（Claude API），辨識店家、金額和分類，跟語音記帳一樣。通知裡可能有你或交易對象的姓名、卡號或帳戶末幾碼；我們不會另外加上你的 Email 或帳號編號（見第 3 節）。即使你已完成資料加密，這段內容在辨識時仍會以未加密的形式經過我們的伺服器。
• 伺服器不留原文：通知原文處理完就丟，不存進資料庫，也不寫進紀錄。紀錄裡只有帳號編號、字數、記帳筆數和成功或失敗，30 天後自動刪除。
• Apple Pay：商家和金額直接在手機上記帳，不送 AI；卡片名稱只在手機上用來比對是不是同一筆，不會存下來。

什麼會存下來、存多久

• 自動記好的帳：跟你其他的帳一樣，存在手機並備份到我們的伺服器（加密規則見 4.1），直到你刪除。
• 通知原文：不存。只有沒網路或伺服器暫時沒回應時，會先暫存在這支手機，記好就刪，最晚 24 小時內刪除；你關掉自動記帳時立刻全部刪除。
• 只存在你手機上的資料：最近處理過的通知清單（來源 App、寄件人名稱、金額和處理結果）、防止重複記帳用的雜湊值，以及你的自動記帳設定。這些不會上傳，舊的會自動刪除，登出或換帳號時也會清除。
• 同步到伺服器的設定：「排除字詞」和「協助改善辨識」開關等設定會同步到我們的伺服器，讓你換手機也一樣，刪除帳號時一起刪除。排除字詞在伺服器上不加密，就算你已完成資料加密也一樣（見 4.1）。
• 操作紀錄：每次使用自動記帳的時間、記帳筆數和成功或失敗（不含通知內容），保存方式同第 5 節的操作紀錄。

選用：「協助改善辨識」

協助改善辨識（預設開啟，可隨時關閉）：為了強化辨識，我們會把通知內容遮罩後的格式存在伺服器。店名、金額、卡號、日期、人名等都會先換成記號，只留下句型，例如「您的卡片於{店名}消費{金額}元」，資料庫也不直接存你的帳號。這些格式最後一次被用到後滿 2 年刪除；因為不直接連到帳號，刪除帳號時不會跟著刪。你可以在自動記帳設定裡關掉，關掉後就不再收集。

你可以怎麼控制

• 隨時關掉：在 App 的自動記帳設定頁關掉開關，手機上暫存的原文會立刻刪除，念帳也不再處理通知。你也可以到系統設定收回「通知存取」（Android），或刪掉捷徑自動化（iPhone）。
• 選擇讀什麼：只讀你選的 App；你也可以設定「排除字詞」，標題或內文含這些字的通知就不讀。
• 刪除自動記好的帳：跟其他帳一樣，在 App 裡刪除就好。
• 協助改善辨識：隨時可以關（見上段）。
• 方案到期：自動記帳會停止，不再讀取或送出通知內容；之前記好的帳都還在。
• 刪除帳號：伺服器上的排除字詞和自動記帳設定會一起刪除（見第 5 節）。

2. 我們如何使用資料

• 提供、維護與改善本服務的核心功能（記帳、AI 分類、自動記帳、報表、載具匯入、共用帳本、跨裝置同步）。
• 驗證身分、管理你的帳號與訂閱狀態。
• 回應你的客服詢問與錯誤回報，並透過推播通知你（例如客服回覆、公告）。
• 偵測、預防與處理詐欺、濫用及安全事件。
• 遵循法律義務。

我們不會販售你的個人資料，也不會將其用於跨站廣告追蹤。本服務不含第三方廣告。

3. 第三方服務（資料處理者）

為提供本服務，我們會在必要範圍內將部分資料交由下列服務商處理：

4. 資料儲存與保護

• 裝置優先 ＋ 雲端備份：記帳資料會先儲存在你的裝置本機資料庫，並備份至我們的伺服器（所有使用者都有，不分免費或付費），讓你換裝置或重裝時能還原。在你完成「資料加密」設定之前，伺服器上存的是未加密的內容，我們的維運人員在技術上看得到；加密的說明見 4.1。多裝置即時同步為高級版功能；免費版與高級版都能在 App 內看完整歷史（資料仍完整保存在伺服器上）。
• 傳輸加密：所有與伺服器的通訊皆透過 HTTPS／TLS 加密。
• 機敏資料：載具憑證存於裝置安全儲存區；登入憑證（JWT）於裝置上受作業系統層級保護，並排除於雲端備份之外。
• 存取控制：App 與網頁版讀寫帳號資料和記帳資料的 API，都需要有效的身分權杖（JWT）才能存取（我們的後台另用管理員憑證）。例外是邀請連結的預覽：只要拿到連結，不登入也看得到帳本名稱、邀請人名字等。
• 外洩通報：若發生危及你個人資料的安全事件，我們會依適用法律通知受影響的使用者及主管機關。

4.1 內容加密，以及我們為了救你的資料而留的一份副本

從 2.0.0 版開始，我們分批開放「資料加密」。輪到你的帳號時，App 會請你設定一組 6 位數密碼，並給你一組救援碼；設定完成後，你的記帳內容會先在你的手機上加密，才上傳到我們的伺服器。在你完成設定之前，伺服器上的內容不會加密。例外：在帳本擁有者還沒完成加密設定的共用帳本裡，你記的帳仍會以未加密的形式上傳。

解開內容的鑰匙由這組密碼與救援碼鎖住。我們的伺服器存放鎖住的鑰匙（讓你換手機時能解開）、加密後的內容，以及由密碼算出的驗證資料（見下段），不存這些內容的原文。加密的是內容本身（例如說明、金額、備註、語音轉成的文字、發票號碼）；為了同步和整理，有些資料仍以未加密的形式存放，例如日期、分類、幣別與匯率、收入或支出、記帳來源、帳本名稱、自訂分類名稱、預算金額、自動記帳的「排除字詞」，以及共用帳本裡記帳與修改者的名字、成員的支付方式名稱。另外，AI 分類與發票匯入時，內容會以未加密的形式短暫經過我們的伺服器（見第 3 節）。

為了檢查你輸入的密碼對不對、限制猜錯的次數，伺服器存有一份由你的 6 位數密碼算出來的驗證資料（不是密碼本身）。如果有人取得我們的資料庫，理論上可以靠大量運算猜出你的 6 位數密碼；再加上我們伺服器的金鑰，就能解開內容。所以請避免使用 123456、生日這類容易猜到的密碼。

但這裡有一個例外，我們必須先講清楚：加密完成、清掉伺服器上的原文之前，我們會先保留一份當時資料的原樣副本。因為萬一你把 6 位數密碼和救援碼都弄丟了，我們沒有提供其他救回資料的方式，這份副本就是我們能把資料還給你的辦法。在下表所說的這段期間內，伺服器上確實存在一份看得懂的副本。

另外，如果你請客服替你重設加密，重設前的資料會先完整另存一份，以便操作失誤時救回，例如帳號資料（姓名、Email、頭像）、記帳內容、共用帳本的成員與邀請、提醒等；如果你是共用帳本擁有者，也包括其他成員的帳。這份備份沒有固定的刪除時間，刪除帳號時會一併刪除。

5. 資料保留與刪除

• 記帳資料在你刪除前持續保留。
• 刪除記帳紀錄：你刪掉的記帳會先移到 App 的「垃圾桶」。在垃圾桶按「永久刪除」，會立刻從你的裝置和我們的伺服器刪除；沒有按的話，刪除 7 天後會從我們的伺服器刪除，手機上的垃圾桶也會在 7 天後清掉（App 登入並同步時才會執行）。不論哪一種，資料庫備份裡的複本最多還會再留約 30 天。在這 7 天內，還沒完成資料加密的帳號，伺服器上仍有完整內容；已加密的帳號只留下日期、分類等基本欄位。刪除後，伺服器會留下一筆不含內容的刪除紀錄（例如帳目編號與日期），用來防止舊裝置把它送回來。
• 刪除其他項目：刪掉的其他設定（例如支付方式、固定收支、預算、帳本、分類、提醒）沒有垃圾桶，會以「已刪除」的狀態留在我們的伺服器上，直到你刪除帳號；還沒完成資料加密的帳號，內容也還在。
• 刪除帳號：你可隨時在「設定」頁的「帳號」區塊點「刪除帳號」。我們會立刻刪除伺服器上你的帳號資料與記帳資料，例如姓名、Email、頭像、記帳紀錄、帳本、支付方式、預算、固定收支、提醒、自動記帳的排除字詞與設定、裝置與推播紀錄、加密鑰匙，以及 4.1 的救援副本與重設備份；也會向 RevenueCat 送出刪除你訂閱紀錄的要求。刪除後無法復原。
• 如果你是共用帳本的擁有者，你擁有的共用帳本會一起刪除，包括其他成員在裡面記的帳。
• 刪除帳號不會自動取消 App Store／Google Play 的訂閱，請自行到商店取消。
• 解除安裝 App 會移除裝置上大部分的本機資料，但 iPhone 上的載具帳號、驗證碼與加密鑰匙存在系統的鑰匙圈裡。2.0.2 及更早的版本有一個問題：解除安裝後這些資料會留在手機上，重新安裝後可能被下一個登入的帳號讀到。2.0.3 起已修正，重新安裝並第一次開啟念帳時會自動清除。登出或刪除帳號時也會清除。伺服器上的資料需透過「刪除帳號」才會一併刪除。

刪除帳號後，下列資料仍會保留：

• 上表保留的資料，多半以你的帳號編號標示；這個編號就是 Apple／Google 給你的帳號編號。日後用同一個 Apple／Google 帳號重新註冊，例如問題回報與許願會重新出現在你的帳號裡。
• 試用識別碼是用單向雜湊產生的，看不出原本的帳號編號；只有在你日後用同一個 Apple／Google 帳號再登入時，系統才比對得出來，且不用於其他目的。
• 交給第三方的資料依各服務商的保存規則處理：Firebase 的當機與分析資料沒有連到你的帳號，不會隨刪帳號刪除，會依 Google 的保存期限到期；Apple／Google 的購買紀錄依其政策保存。
• 以上之外，法律要求須保留者依法保留。

6. 你的權利

你對自己的個人資料享有下列權利：查詢與閱覽、更正、刪除、複製、停止使用或限制處理。多數權利可直接在 App 內完成（編輯、刪除紀錄、刪除帳號）；其餘請來信 guagma0920@gmail.com（主旨「[PDPA] 個資權利請求」；點信箱連結會自動帶入主旨，自己輸入的話請保留 [PDPA] 標記），我們將於合理期間內回覆。

7. 兒童隱私

本服務並非針對 13 歲（部分地區為 16 歲）以下兒童設計，我們不會在知情下蒐集兒童的個人資料。若你認為兒童向我們提供了資料，請來信 guagma0920@gmail.com（主旨「[DELETE-DATA] 刪除兒童資料」；點信箱連結會自動帶入主旨，自己輸入的話請保留 [DELETE-DATA] 標記）告訴我們，我們確認後會刪除該帳號與相關資料。

8. 政策變更

我們可能不時更新本政策。重大變更將透過 App 內通知或更新本頁「最後更新日」公告。變更後繼續使用本服務，即視為同意更新後之政策。

9. 聯絡我們

如對本政策或你的個人資料有任何疑問，請聯絡：
Voinance（念帳）開發者
Email：guagma0920@gmail.com

10. 泰國使用者補充條款（PDPA）

本節寫給位在泰國的使用者，依泰國《個人資料保護法》（Personal Data Protection Act B.E. 2562，以下稱「PDPA」）補充說明。本節沒提到的事項，照本政策其他各節辦理。

10.1 誰負責你的資料、怎麼聯絡

決定如何處理你個人資料的（PDPA 所稱的「資料控制者」），是 Voinance（念帳）的個人開發者，也就是本政策裡的「我們」，在台灣營運。我們在泰國沒有分支機構。本節提到的所有請求，請直接寄到 guagma0920@gmail.com（主旨「[PDPA] 個資權利請求」；點信箱連結會自動帶入主旨，自己輸入的話請保留 [PDPA] 標記），由我們直接處理。

10.2 我們處理哪些資料、為什麼、依據什麼

• 本政策開頭寫「即表示你已閱讀並同意本政策」，第 6 節寫「使用本服務即表示你同意必要的跨境資料傳輸」。對泰國使用者，這兩句的意思是你知道並接受本政策的內容；上表的處理是以表中列的依據為準，不是靠你的「同意」。如果日後有哪一項處理依 PDPA 需要你明確同意，我們會在當下另外問你，並告訴你可以隨時撤回；撤回不影響撤回前已經做完的處理。
• 帳號與記帳資料是提供本服務所必需的；少了它們，我們就無法替你建立帳號或備份資料。
• 我們不會刻意蒐集 PDPA 第 26 條所說的敏感資料（例如健康、宗教、生物特徵資料）。語音由手機系統的語音辨識轉成文字（見 1.2），念帳只收到文字，不會用你的聲音辨識你是誰。你自己寫進記帳描述或備註的內容，我們只用來提供本服務。
• AI 分類只是幫你填上分類，你隨時可以改。我們不會用它對你做出具有法律效果或類似重大影響的決定。

10.3 資料傳到泰國以外的地方

你的資料會傳到下列地方處理；每家廠商處理哪些資料，詳見第 3 節。

傳到這些地方，主要是因為不這樣做就無法提供你要求的服務（PDPA 第 28 條「履行契約所必需」）：沒有伺服器就無法備份與同步，沒有 AI 服務就無法自動分類，沒有訂閱服務就無法開通高級版，沒有登入與推播服務就無法登入或收到通知。

10.4 資料保存多久

• 帳號與記帳資料：保存到你刪除該筆紀錄或刪除帳號為止；刪掉的記帳 7 天後從伺服器刪除，其他項目留到刪除帳號（見第 5 節）。
• 救援副本：依 4.1 的規則保存，到期後自動刪除。
• 刪除帳號後仍會保留的資料、各自保留多久，列在第 5 節的表格；其中多項沒有固定期限。
• 每日資料庫備份：保留 30 份，約 30 天後自動汰換。
• 法律要求保留的資料：依法定期間保存。

10.5 你的權利

依 PDPA，你享有下列權利：

• 查閱並取得副本：取得我們持有的你的個人資料副本。
• 取得與移轉資料：以常見的電子格式取得你的資料；技術上可行時，也可以要求我們傳給其他業者。
• 反對處理：對我們依「正當利益」進行的處理表示反對。
• 刪除：要求刪除你的個人資料。
• 限制處理：要求我們暫停使用你的資料。
• 更正：要求更正不正確或不完整的資料。
• 撤回同意：如果日後有依同意進行的處理，可隨時撤回。
• 申訴：向泰國個人資料保護委員會辦公室（www.pdpc.or.th）提出申訴。

怎麼行使：有些權利可以直接在 App 內完成：修改紀錄（更正）、刪除單筆紀錄、用「匯出資料」把帳本的記帳紀錄匯出成 CSV 檔（取得副本、資料可攜）、在「設定」頁「帳號」區塊點「刪除帳號」（刪除；仍會保留的資料見第 5 節）。其他請求請寄到 guagma0920@gmail.com（主旨「[PDPA] 個資權利請求」；點信箱連結會自動帶入主旨，自己輸入的話請保留 [PDPA] 標記），並寫上你登入用的 Email；我們可能需要先確認是你本人。我們會依 PDPA 的規定回覆；如果依法不能照辦，會告訴你原因。

10.6 個資外洩通報

如果發生個資外洩，我們會依 PDPA 的規定通報泰國個人資料保護委員會辦公室；如果對你的權利風險高，也會依規定通知你，說明發生了什麼事，以及你可以怎麼保護自己。

This Privacy Policy explains how the “Voinance (念帳)” mobile app and related services (together, the “Service”) collect, use, store, and protect your personal data. The Service is independently developed and operated by the individual developer of Voinance (“we,” “us”). By downloading, registering for, or using the Service, you confirm that you have read and agree to this Policy.

1. Data We Collect

1.1 Data you provide

1.2 Voice and e-invoice carrier

1.3 Automatically collected technical data

• Device model, OS version, app version, language, time zone, and device ID — for sign-in binding, compatibility, and troubleshooting.
• IP address — seen by our servers when you connect; used to block unusually high volumes of requests, and it also appears in our server connection logs.
• Activity logs (for example, when and how often you sign in, sync, import, or your subscription changes) — kept on our servers to prevent abuse and investigate problems. They generally do not include expense content, but notes you write yourself in certain requests (for example, when asking us to delete the rescue copy early) are recorded too.
• System error logs (when the server or app detects a problem such as with sync or encryption, we record your account ID, device and app version, and an error description) — used to spot and fix problems quickly. They generally do not include expense content.
• Crash and diagnostic data (device model, OS and app version, crash stack traces, an installation identifier specific to this app) — collected via Google Firebase Crashlytics to detect and fix crashes and improve stability. It contains no advertising identifier and is not used for cross-app tracking.
• Usage statistics (usage events that Firebase collects automatically, such as screen views and sessions, plus identifiers specific to this app, such as the app-instance ID; on iPhone, also Apple's vendor identifier, IDFV) — collected via Google Analytics for Firebase to understand how features are used and improve the product. We have turned off advertising-identifier (IDFA / GAID) collection, and this data is not used for advertising or cross-app tracking.
• A device token for push notifications — notifications are sent through Google Firebase Cloud Messaging (on iPhone, also through Apple's push notification service).
• Subscription status (whether you are a Premium member) — provided by our subscription provider, RevenueCat; your trial end date is recorded by our own server.
• When you use the web version, we store a sign-in cookie in your browser; it is not used for tracking or advertising.

1.4 Auto record (a Premium feature you turn on yourself)

Auto record reads spending notifications from banking and payment apps, picks out the merchant and amount, records the entry for you automatically, and then sends you a notification so you can review it. This feature is only for Premium members (including during the free trial). It is off by default and only starts after you turn it on in the app and grant permission; not turning it on does not affect any other feature.

What we read

• Only the apps you choose. On Android, you first turn on “Notification access” in system settings, then check the apps to read in Voinance. On iPhone, you build an automation yourself in the Shortcuts app — for Apple Pay transactions, or, from iOS 27, for app notifications. Voinance doesn't read a single word from apps you haven't chosen.
• Filtered on your phone first. A notification is sent only if it contains an amount and is not a verification code or an ad; you can turn off the ad filter in settings. Private sources such as text messages, email, and LINE are sent only if they also clearly look like a transaction. Other notifications never leave your phone.
• We do not request permission to read your text messages, and we never go through your text-message inbox or mailbox.

What is sent to our server and AI

• Notification content: for notifications that pass the on-phone filter, the title and body (on Android, also the sender name) are sent through our server to Anthropic (Claude API) to recognize the merchant, amount, and category — the same as voice entry. A notification may contain your name or the other party's name, or the last few digits of a card or account number; we do not add your email or account ID (see section 3). Even if you have finished setting up data encryption, this content still passes through our server unencrypted during recognition.
• Our server does not keep the original text: the original notification text is discarded once processed; it is not saved to the database or written to logs. The logs only contain your account ID, the character count, the number of entries recorded, and whether it succeeded, and they are deleted automatically after 30 days.
• Apple Pay: the merchant and amount are recorded directly on your phone and are not sent to AI; the card name is only used on your phone to check whether two records are the same transaction, and is not stored.

What is stored, and for how long

• Entries auto record saves: like your other entries, they are stored on your phone and backed up to our server (encryption rules in 4.1) until you delete them.
• Original notification text: not stored. Only when there is no network or our server is temporarily not responding is it held temporarily on this phone; it is deleted once the entry is recorded, and within 24 hours at the latest. When you turn off auto record, it is all deleted immediately.
• Data that stays only on your phone: the list of recently processed notifications (source app, sender name, amount, and result), hash values used to prevent duplicate entries, and your auto record settings. These are not uploaded, old items are deleted automatically, and they are also cleared when you sign out or switch accounts.
• Settings synced to our server: settings such as your “Words to exclude” and the “Help improve recognition” switch are synced to our server so they carry over when you switch phones, and are deleted when you delete your account. Words to exclude are not encrypted on our server, even if you have finished setting up data encryption (see 4.1).
• Activity logs: the time of each use of auto record, the number of entries recorded, and whether it succeeded (no notification content), kept in the same way as the activity logs in section 5.

Optional: “Help improve recognition”

Help improve recognition (on by default, can be turned off at any time): to improve recognition, we store the format of notification content on our server after masking it. Merchant names, amounts, card numbers, dates, people's names, and similar details are first replaced with placeholders, leaving only the sentence pattern — for example, “Your card was used at {merchant} for {amount}” — and the database does not directly store your account. These formats are deleted 2 years after they were last used; because they are not directly linked to your account, they are not deleted when you delete your account. You can turn this off in auto record settings, after which we stop collecting it.

How you can control it

• Turn it off at any time: turn off the switch on the auto record settings page in the app; the original text held temporarily on your phone is deleted immediately, and Voinance stops processing notifications. You can also revoke “Notification access” in system settings (Android), or delete the Shortcuts automation (iPhone).
• Choose what is read: only the apps you choose are read; you can also set “Words to exclude”, and notifications whose title or body contains them are not read.
• Delete entries auto record saved: just delete them in the app like any other entry.
• Help improve recognition: can be turned off at any time (see above).
• When your plan expires: auto record stops and no longer reads or sends notification content; entries recorded before remain.
• Deleting your account: your words to exclude and auto record settings on our server are deleted too (see section 5).

2. How We Use Data

• Provide, maintain, and improve the Service's core features (tracking, AI categorization, auto record, reports, carrier import, shared ledgers, cross-device sync).
• Verify your identity and manage your account and subscription.
• Respond to your support requests and bug reports, and notify you through push notifications (for example, support replies and announcements).
• Detect, prevent, and address fraud, abuse, and security incidents.
• Comply with legal obligations.

We do not sell your personal data, and we do not use it for cross-site advertising tracking. The Service contains no third-party ads.

3. Third-Party Services (Processors)

To provide the Service, we share some data, to the extent necessary, with the following providers:

4. Storage & Security

• Device-first + cloud backup: expense data is first stored in your device's local database and backed up to our servers (for every user, free or paid), so you can restore it when you switch devices or reinstall. Until you finish setting up “Data encryption”, what we store on the server is unencrypted, and our operations staff can technically see it; see 4.1 for how encryption works. Live multi-device sync is a Premium feature; both Free and Premium can see your full history in the app (the data remains fully stored on the server).
• Encryption in transit: all communication with our servers uses HTTPS/TLS.
• Sensitive data: carrier credentials are kept in the device secure store; the sign-in token (JWT) is protected on the device at the operating-system level and excluded from cloud backups.
• Access control: the APIs that the app and web version use to read and write account data and expense data all require a valid identity token (JWT) (our back office uses separate administrator credentials). The exception is the invite-link preview: anyone who has the link can see the ledger name, the inviter's name, and similar details without signing in.
• Breach notification: if a security incident affects your personal data, we will notify affected users and the relevant authorities as required by applicable law.

4.1 Encryption, and the one copy we keep so we can rescue your data

From version 2.0.0, we are rolling out “Data encryption” in stages. When it is your account's turn, the app asks you to set a 6-digit passcode and gives you a recovery code; once setup is done, your entries are encrypted on your phone before they are uploaded to our servers. Until you finish setup, the content on our servers is not encrypted. One exception: in a shared ledger whose owner has not yet finished setting up encryption, the entries you record are still uploaded unencrypted.

The key that unlocks your content is locked with that passcode and recovery code. Our servers store the locked key (so you can unlock it when you switch phones), the encrypted content, and verification data derived from your passcode (see the next paragraph), and do not store the original text of that content. What gets encrypted is the content itself (for example, descriptions, amounts, notes, text transcribed from your voice, invoice numbers). For syncing and organizing, some data is still stored unencrypted — for example, dates, categories, currency and exchange rates, income or expense, entry source, ledger names, custom category names, budget amounts, auto record “Words to exclude”, the names of people who recorded or edited entries in shared ledgers, and members' payment-method names. Also, during AI categorization and invoice import, content passes briefly through our server unencrypted (see section 3).

To check whether the passcode you enter is correct and to limit wrong guesses, our server stores verification data computed from your 6-digit passcode (not the passcode itself). In theory, someone who obtained our database could guess your 6-digit passcode with enough computing power, and with our server key as well, could unlock your content. So please avoid easy-to-guess passcodes such as 123456 or your birthday.

There is one exception we want to state plainly: after encryption finishes and before the original text on our server is cleared, we first keep a copy of your data exactly as it was. If you lose both your 6-digit passcode and your recovery code, we do not offer any other way to recover your data, so this copy is how we can give your data back to you. During the period described below, a readable copy of your data does exist on our server.

Also, if you ask support to reset your encryption, a full copy of your data from before the reset is saved first, so it can be recovered if something goes wrong — for example, account data (name, email, profile photo), expense content, shared-ledger members and invites, reminders, and so on; if you own a shared ledger, it also includes other members' entries. This backup has no fixed deletion date, and it is deleted when you delete your account.

5. Data Retention & Deletion

• Expense data is kept until you delete it.
• Deleting entries: entries you delete first go to the app's “Trash”. If you tap “Delete permanently” in the Trash, they are deleted from your device and our server right away; if you don't, they are deleted from our server 7 days after deletion, and the Trash on your phone is also cleared after 7 days (this only runs when the app is signed in and syncing). Either way, copies in the database backups may remain for up to about 30 days. During those 7 days, for accounts that have not finished data encryption, the full content is still on our server; for encrypted accounts, only basic fields such as date and category remain. After deletion, our server keeps a deletion record with no content (for example, the entry ID and date) to stop an old device from sending the entry back.
• Deleting other items: other things you delete (for example, payment methods, recurring entries, budgets, ledgers, categories, reminders) have no Trash; they stay on our server marked as “deleted” until you delete your account. For accounts that have not finished data encryption, their content is still there too.
• Deleting your account: you can tap “Delete account” in the “Account” section of the “Settings” page at any time. We immediately delete your account data and expense data from our servers — for example, your name, email, profile photo, expense records, ledgers, payment methods, budgets, recurring entries, reminders, auto record words to exclude and settings, device and push records, encryption keys, and the rescue copy and reset backup described in 4.1 — and we also send RevenueCat a request to delete your subscription record. This cannot be undone.
• If you own shared ledgers, the shared ledgers you own are deleted too, including entries other members recorded in them.
• Deleting your account does not automatically cancel your App Store / Google Play subscription; please cancel it in the store yourself.
• Uninstalling the app removes most local data on the device, but on iPhone your carrier credentials and encryption keys are kept in the system Keychain. Versions 2.0.2 and earlier have a bug: this data stays on the phone after uninstalling, and after reinstalling it may be readable by the next account that signs in. This is fixed from 2.0.3: the data is cleared automatically the first time you open Voinance after reinstalling. It is also cleared when you sign out or delete your account. Data on our servers is deleted only when you delete your account.

After you delete your account, the following data is still kept:

• Most of the data kept in the table above is labeled with your account ID, which is the account ID Apple or Google gives you. If you later register again with the same Apple or Google account, items such as your bug reports and wishes will reappear in your account.
• The trial identifier is created with a one-way hash, so the original account ID cannot be read from it; the system can match it only if you later sign in again with the same Apple or Google account, and it is not used for any other purpose.
• Data shared with third parties is handled under each provider's own retention rules: Firebase crash and analytics data is not linked to your account, so it is not deleted when you delete your account and expires according to Google's retention period; Apple and Google keep purchase records under their own policies.
• Beyond the above, data that the law requires us to keep is kept as required.

6. Your Rights

You have the following rights over your personal data: to access and view it, correct it, delete it, get a copy of it, and stop or restrict its processing. Most of these can be done directly in the app (editing, deleting entries, deleting your account); for anything else, email guagma0920@gmail.com (subject “[PDPA] Data rights request”; tapping the email link fills in the subject automatically, and if you type it yourself, keep the [PDPA] tag) and we will respond within a reasonable time.

7. Children's Privacy

The Service is not designed for children under 13 (16 in some regions), and we do not knowingly collect children's personal data. If you believe a child has given us data, please email guagma0920@gmail.com (subject “[DELETE-DATA] Delete child data”; tapping the email link fills in the subject automatically, and if you type it yourself, keep the [DELETE-DATA] tag), and after confirming we will delete that account and the related data.

8. Changes to This Policy

We may update this Policy from time to time. Material changes will be announced through an in-app notice or by updating the “Last updated” date on this page. Continuing to use the Service after a change means you accept the updated Policy.

9. Contact Us

For any questions about this Policy or your personal data, contact:
Voinance (念帳) — Individual Developer
Email: guagma0920@gmail.com

10. Supplementary Terms for Users in Thailand (PDPA)

This section is for users located in Thailand and adds detail under Thailand's Personal Data Protection Act B.E. 2562 (the “PDPA”). Anything not covered here follows the other sections of this Policy.

10.1 Who is responsible for your data and how to reach us

The person who decides how your personal data is processed (the “data controller” under the PDPA) is the individual developer of Voinance (念帳) — “we” in this Policy — operating from Taiwan. We have no branch in Thailand. Please send every request mentioned in this section directly to guagma0920@gmail.com (subject “[PDPA] Data rights request”; tapping the email link fills in the subject automatically, and if you type it yourself, keep the [PDPA] tag), and we will handle it ourselves.

10.2 What we process, why, and on what basis

• The opening of this Policy says that by using the Service you “have read and agree to this Policy”, and section 6 says that by using the Service you “agree to the necessary cross-border data transfers”. For users in Thailand, both sentences mean you acknowledge and accept the content of this Policy; the processing in the table above relies on the bases listed there, not on your “consent”. If any processing ever requires your explicit consent under the PDPA, we will ask you separately at that time and tell you that you can withdraw it at any time; withdrawing does not affect processing already done before you withdraw.
• Account and expense data are required to provide the Service; without them we cannot create your account or back up your data.
• We do not intentionally collect the sensitive data described in Section 26 of the PDPA (for example, health, religious, or biometric data). Your voice is turned into text by your phone's speech recognition (see 1.2); Voinance receives only the text and does not use your voice to identify you. Anything you write yourself in an entry's description or note is used only to provide the Service.
• AI categorization only fills in a category for you, and you can change it at any time. We do not use it to make any decision about you that has legal effects or a similarly significant impact.

10.3 Transfers outside Thailand

Your data is sent to the following places for processing; for exactly what each vendor handles, see section 3.

The main reason we send data to these places is that we could not otherwise provide the service you asked for (PDPA Section 28, necessary to perform the contract): without servers there is no backup or sync, without an AI service there is no automatic categorization, without a subscription service Premium cannot be activated, and without sign-in and push services you cannot sign in or receive notifications.

10.4 How long we keep data

• Account and expense data: kept until you delete the record or delete your account; deleted entries are removed from our servers after 7 days, and other items are kept until you delete your account (see section 5).
• Rescue copy: kept under the rules in 4.1 and deleted automatically when it expires.
• What is still kept after you delete your account, and for how long, is listed in the table in section 5; several items have no fixed period.
• Daily database backups: 30 copies are kept, each replaced automatically after about 30 days.
• Data the law requires us to keep: kept for the period the law requires.

10.5 Your rights

Under the PDPA, you have the following rights:

• Access and copy: get a copy of the personal data we hold about you.
• Data portability: get your data in a commonly used electronic format, and, where technically feasible, ask us to send it to another provider.
• Object: object to processing we carry out on the basis of “legitimate interest”.
• Erasure: ask us to delete your personal data.
• Restriction: ask us to suspend use of your data.
• Rectification: ask us to correct inaccurate or incomplete data.
• Withdraw consent: if any processing ever relies on consent, you can withdraw it at any time.
• Complain: file a complaint with the Office of the Personal Data Protection Committee (www.pdpc.or.th).

How to exercise them: some rights can be exercised directly in the app — edit an entry (rectification), delete individual entries, use “Export data” to export a ledger's entries as a CSV file (copy, portability), and tap “Delete account” in the “Account” section of the “Settings” page (erasure; for what is still kept, see section 5). For other requests, email guagma0920@gmail.com (subject “[PDPA] Data rights request”; tapping the email link fills in the subject automatically, and if you type it yourself, keep the [PDPA] tag) and include the email you sign in with; we may first need to confirm it is you. We will respond as the PDPA requires; if the law does not allow us to do what you ask, we will tell you why.

10.6 Breach notification

If a personal data breach occurs, we will notify the Office of the Personal Data Protection Committee as the PDPA requires; if it poses a high risk to your rights, we will also notify you as required, explaining what happened and how you can protect yourself.

นโยบายความเป็นส่วนตัวนี้อธิบายว่าแอปพลิเคชันมือถือ “Voinance (念帳)” และบริการที่เกี่ยวข้อง (รวมเรียกว่า “บริการ”) เก็บรวบรวม ใช้ จัดเก็บ และปกป้องข้อมูลส่วนบุคคลของคุณอย่างไร บริการนี้พัฒนาและดำเนินการโดยนักพัฒนารายบุคคลของ Voinance (念帳) เพียงผู้เดียว (เรียกว่า “เรา”) เมื่อคุณดาวน์โหลด ลงทะเบียน หรือใช้บริการ ถือว่าคุณได้อ่านและยอมรับนโยบายนี้แล้ว

1. ข้อมูลที่เราเก็บรวบรวม

1.1 ข้อมูลที่คุณให้เราเอง

1.2 เสียงพูดและบาร์โค้ดมือถือ (ใบกำกับภาษีอิเล็กทรอนิกส์)

1.3 ข้อมูลทางเทคนิคที่เก็บโดยอัตโนมัติ

• รุ่นอุปกรณ์ เวอร์ชันระบบปฏิบัติการ เวอร์ชันแอป ภาษา เขตเวลา และ ID อุปกรณ์ (device ID) — ใช้ผูกการเข้าสู่ระบบ ตรวจสอบความเข้ากันได้ และวินิจฉัยข้อผิดพลาด
• ที่อยู่ IP — เซิร์ฟเวอร์ของเราจะเห็นเมื่อมีการเชื่อมต่อ ใช้สกัดคำขอที่มีจำนวนมากผิดปกติ และจะปรากฏในบันทึกการเชื่อมต่อของเซิร์ฟเวอร์ด้วย
• บันทึกการใช้งาน (เช่น เวลาและจำนวนครั้งที่มีการเข้าสู่ระบบ การซิงค์ การนำเข้า หรือการเปลี่ยนแปลงการสมัครสมาชิก) — เก็บไว้บนเซิร์ฟเวอร์ของเรา ใช้ป้องกันการใช้งานในทางที่ผิดและตรวจหาสาเหตุของปัญหา โดยทั่วไปไม่มีเนื้อหารายการบัญชี แต่คำอธิบายที่คุณกรอกเองในคำขอบางอย่าง (เช่น หมายเหตุตอนขอให้ลบสำเนากู้คืนก่อนกำหนด) จะถูกบันทึกไว้ด้วย
• บันทึกความผิดปกติของระบบ (เมื่อเซิร์ฟเวอร์หรือแอปตรวจพบปัญหาเกี่ยวกับการซิงค์ การเข้ารหัส ฯลฯ จะบันทึก ID บัญชี อุปกรณ์และเวอร์ชันแอป และคำอธิบายข้อผิดพลาด) — ใช้ค้นพบและแก้ไขปัญหาได้ทันที โดยทั่วไปไม่มีเนื้อหารายการบัญชี
• ข้อมูลการขัดข้องและการวินิจฉัย (รุ่นอุปกรณ์ เวอร์ชันระบบปฏิบัติการและแอป ข้อมูลสแตกตอนแอปขัดข้อง และ ID การติดตั้งเฉพาะของแอปนี้) — เก็บผ่าน Google Firebase Crashlytics เพื่อตรวจจับและแก้ไขการขัดข้อง และเพิ่มความเสถียร ไม่มีตัวระบุโฆษณา และไม่ใช้ติดตามข้ามแอป
• สถิติการใช้งาน (เหตุการณ์การใช้งานที่ Firebase เก็บโดยอัตโนมัติ เช่น การเปิดดูหน้าจอและเซสชัน รวมถึงตัวระบุเฉพาะของแอปนี้ เช่น app-instance ID และบน iPhone ยังมีตัวระบุผู้ให้บริการ IDFV ที่ Apple จัดให้) — เก็บผ่าน Google Analytics for Firebase เพื่อทำความเข้าใจการใช้งานฟีเจอร์และปรับปรุงผลิตภัณฑ์ เราปิดการเก็บตัวระบุโฆษณา (IDFA/GAID) แล้ว ข้อมูลเหล่านี้ไม่ใช้เพื่อโฆษณาหรือการติดตามข้ามแอป
• โทเค็นอุปกรณ์สำหรับการแจ้งเตือนแบบพุช — ใช้ส่งการแจ้งเตือนผ่าน Google Firebase Cloud Messaging (บน iPhone ส่งผ่านบริการแจ้งเตือนแบบพุชของ Apple ด้วย)
• สถานะการสมัครสมาชิก (เป็นสมาชิก Premium หรือไม่) — ได้จากผู้ให้บริการระบบสมาชิก RevenueCat ส่วนวันหมดอายุการทดลองใช้บันทึกโดยเซิร์ฟเวอร์ของเรา
• เมื่อใช้เวอร์ชันเว็บ เราจะเก็บคุกกี้สำหรับการเข้าสู่ระบบไว้ในเบราว์เซอร์ของคุณ โดยไม่ใช้เพื่อติดตามหรือโฆษณา

1.4 จดอัตโนมัติ (ฟีเจอร์ Premium ที่คุณต้องเปิดเอง)

จดอัตโนมัติจะอ่านการแจ้งเตือนการใช้จ่ายจากแอปธนาคารและแอปชำระเงิน ระบุร้านค้าและจำนวนเงิน แล้วจดรายการให้คุณโดยอัตโนมัติ จากนั้นจะส่งการแจ้งเตือนให้คุณตรวจดู ฟีเจอร์นี้มีให้เฉพาะสมาชิก Premium (รวมถึงช่วงทดลองใช้ฟรี) ค่าเริ่มต้นปิดอยู่ และจะเริ่มทำงานก็ต่อเมื่อคุณเปิดในแอปและอนุญาตสิทธิ์เองเท่านั้น หากไม่เปิดก็ไม่กระทบฟีเจอร์อื่น

เราอ่านอะไรบ้าง

• อ่านเฉพาะแอปที่คุณเลือก บน Android คุณต้องเปิด “การเข้าถึงการแจ้งเตือน” ในการตั้งค่าระบบก่อน แล้วเลือกแอปที่จะให้อ่านใน Voinance บน iPhone คุณต้องสร้างระบบอัตโนมัติเองในแอป “คำสั่งลัด” ซึ่งใช้ได้กับธุรกรรม Apple Pay หรือการแจ้งเตือนจากแอปตั้งแต่ iOS 27 ขึ้นไป แอปที่คุณไม่ได้เลือก Voinance จะไม่อ่านแม้แต่คำเดียว
• คัดกรองบนโทรศัพท์ก่อน การแจ้งเตือนจะถูกส่งออกไปก็ต่อเมื่อมีจำนวนเงิน และไม่ใช่รหัสยืนยันหรือโฆษณา คุณปิดตัวกรองโฆษณาได้ในการตั้งค่า แหล่งที่มาส่วนตัว เช่น SMS อีเมล และ LINE ต้องดูออกด้วยว่าเป็นธุรกรรมจึงจะถูกส่ง การแจ้งเตือนอื่นจะไม่ออกจากโทรศัพท์ของคุณ
• เราไม่ขอสิทธิ์อ่าน SMS และจะไม่เข้าไปดูกล่องข้อความ SMS หรือกล่องอีเมลของคุณ

อะไรบ้างที่ส่งไปยังเซิร์ฟเวอร์ของเราและ AI

• เนื้อหาการแจ้งเตือน: การแจ้งเตือนที่ผ่านการคัดกรองบนโทรศัพท์ จะส่งหัวข้อและเนื้อหา (บน Android มีชื่อผู้ส่งด้วย) ผ่านเซิร์ฟเวอร์ของเราไปให้ Anthropic (Claude API) เพื่อระบุร้านค้า จำนวนเงิน และหมวดหมู่ เหมือนกับการจดด้วยเสียง การแจ้งเตือนอาจมีชื่อของคุณหรือของคู่ธุรกรรม หรือเลขท้ายบัตรหรือบัญชี เราจะไม่เพิ่มอีเมลหรือ ID บัญชีของคุณเข้าไปอีก (ดูข้อ 3) แม้คุณจะตั้งค่าการเข้ารหัสข้อมูลเสร็จแล้ว เนื้อหาส่วนนี้ก็ยังผ่านเซิร์ฟเวอร์ของเราในรูปแบบที่ไม่ได้เข้ารหัสระหว่างการระบุ
• เซิร์ฟเวอร์ไม่เก็บต้นฉบับ: ต้นฉบับของการแจ้งเตือนจะถูกทิ้งเมื่อประมวลผลเสร็จ ไม่บันทึกลงฐานข้อมูล และไม่เขียนลงบันทึก บันทึกมีเพียง ID บัญชี จำนวนตัวอักษร จำนวนรายการที่จด และผลสำเร็จหรือล้มเหลว และจะลบอัตโนมัติหลัง 30 วัน
• Apple Pay: ร้านค้าและจำนวนเงินจะจดลงบนโทรศัพท์โดยตรง ไม่ส่งให้ AI ส่วนชื่อบัตรใช้บนโทรศัพท์เพื่อเทียบว่าเป็นรายการเดียวกันหรือไม่เท่านั้น และไม่ถูกเก็บไว้

อะไรบ้างที่ถูกเก็บไว้ และเก็บนานเท่าไร

• รายการที่จดอัตโนมัติ: เหมือนรายการอื่นของคุณ เก็บไว้บนโทรศัพท์และสำรองไว้บนเซิร์ฟเวอร์ของเรา (กฎการเข้ารหัสดูข้อ 4.1) จนกว่าคุณจะลบ
• ต้นฉบับของการแจ้งเตือน: ไม่เก็บ เฉพาะเมื่อไม่มีอินเทอร์เน็ตหรือเซิร์ฟเวอร์ไม่ตอบสนองชั่วคราว จะพักไว้บนโทรศัพท์เครื่องนี้ก่อน จดเสร็จก็ลบ และลบภายใน 24 ชั่วโมงเป็นอย่างช้า เมื่อคุณปิดจดอัตโนมัติ จะลบทั้งหมดทันที
• ข้อมูลที่อยู่บนโทรศัพท์ของคุณเท่านั้น: รายการการแจ้งเตือนที่ประมวลผลล่าสุด (แอปต้นทาง ชื่อผู้ส่ง จำนวนเงิน และผลการประมวลผล) ค่าแฮชที่ใช้ป้องกันการจดซ้ำ และการตั้งค่าจดอัตโนมัติของคุณ ข้อมูลเหล่านี้ไม่ถูกอัปโหลด ข้อมูลเก่าจะลบอัตโนมัติ และจะถูกล้างเมื่อออกจากระบบหรือเปลี่ยนบัญชีด้วย
• การตั้งค่าที่ซิงค์ไปยังเซิร์ฟเวอร์: การตั้งค่า เช่น “คำที่ยกเว้น” และสวิตช์ “ช่วยพัฒนาการจดจำ” จะซิงค์ไปยังเซิร์ฟเวอร์ของเรา เพื่อให้เหมือนเดิมเมื่อคุณเปลี่ยนโทรศัพท์ และจะลบไปด้วยเมื่อคุณลบบัญชีผู้ใช้ คำที่ยกเว้นไม่ได้เข้ารหัสบนเซิร์ฟเวอร์ แม้คุณจะตั้งค่าการเข้ารหัสข้อมูลเสร็จแล้วก็ตาม (ดูข้อ 4.1)
• บันทึกการใช้งาน: เวลาที่ใช้จดอัตโนมัติแต่ละครั้ง จำนวนรายการที่จด และผลสำเร็จหรือล้มเหลว (ไม่มีเนื้อหาการแจ้งเตือน) เก็บแบบเดียวกับบันทึกการใช้งานในข้อ 5

ตัวเลือก: “ช่วยพัฒนาการจดจำ”

ช่วยพัฒนาการจดจำ (เปิดไว้เป็นค่าเริ่มต้น ปิดได้ทุกเมื่อ): เพื่อพัฒนาการจดจำให้ดีขึ้น เราจะเก็บรูปแบบของเนื้อหาการแจ้งเตือนหลังปิดบังข้อมูลแล้วไว้บนเซิร์ฟเวอร์ ชื่อร้าน จำนวนเงิน เลขบัตร วันที่ ชื่อบุคคล ฯลฯ จะถูกแทนด้วยสัญลักษณ์ก่อน เหลือไว้เพียงรูปประโยค เช่น “บัตรของคุณใช้จ่ายที่ {ร้านค้า} จำนวน {จำนวนเงิน}” และฐานข้อมูลไม่ได้เก็บบัญชีของคุณโดยตรง รูปแบบเหล่านี้จะถูกลบเมื่อครบ 2 ปีนับจากที่ถูกใช้ครั้งล่าสุด เนื่องจากไม่ได้เชื่อมกับบัญชีโดยตรง จึงไม่ถูกลบไปพร้อมกับการลบบัญชีผู้ใช้ คุณปิดได้ในการตั้งค่าจดอัตโนมัติ เมื่อปิดแล้วเราจะไม่เก็บอีก

คุณควบคุมได้อย่างไร

• ปิดได้ทุกเมื่อ: ปิดสวิตช์ในหน้าการตั้งค่าจดอัตโนมัติในแอป ต้นฉบับที่พักไว้บนโทรศัพท์จะถูกลบทันที และ Voinance จะไม่ประมวลผลการแจ้งเตือนอีก คุณยังเพิกถอน “การเข้าถึงการแจ้งเตือน” ในการตั้งค่าระบบ (Android) หรือลบระบบอัตโนมัติในคำสั่งลัด (iPhone) ได้ด้วย
• เลือกสิ่งที่จะให้อ่าน: อ่านเฉพาะแอปที่คุณเลือก และคุณยังตั้ง “คำที่ยกเว้น” ได้ การแจ้งเตือนที่หัวข้อหรือเนื้อหามีคำเหล่านี้จะไม่ถูกอ่าน
• ลบรายการที่จดอัตโนมัติ: ลบในแอปได้เหมือนรายการอื่น
• ช่วยพัฒนาการจดจำ: ปิดได้ทุกเมื่อ (ดูย่อหน้าก่อนหน้า)
• เมื่อแพ็กเกจหมดอายุ: จดอัตโนมัติจะหยุดทำงาน และไม่อ่านหรือส่งเนื้อหาการแจ้งเตือนอีก รายการที่จดไว้ก่อนหน้ายังอยู่ครบ
• การลบบัญชีผู้ใช้: คำที่ยกเว้นและการตั้งค่าจดอัตโนมัติบนเซิร์ฟเวอร์จะถูกลบไปด้วย (ดูข้อ 5)

2. เราใช้ข้อมูลอย่างไร

• ให้บริการ ดูแล และปรับปรุงฟีเจอร์หลักของบริการ (การจดบัญชี การจัดหมวดหมู่ด้วย AI จดอัตโนมัติ รายงาน การนำเข้าจากบาร์โค้ดมือถือ สมุดบัญชีที่แชร์ การซิงค์ข้ามอุปกรณ์)
• ยืนยันตัวตน และจัดการบัญชีผู้ใช้และสถานะการสมัครสมาชิกของคุณ
• ตอบคำถามและการแจ้งปัญหาของคุณ และแจ้งคุณผ่านการแจ้งเตือนแบบพุช (เช่น คำตอบจากฝ่ายบริการลูกค้า ประกาศ)
• ตรวจจับ ป้องกัน และจัดการการฉ้อโกง การใช้งานในทางที่ผิด และเหตุการณ์ด้านความปลอดภัย
• ปฏิบัติตามหน้าที่ตามกฎหมาย

เราไม่ขายข้อมูลส่วนบุคคลของคุณ และไม่นำไปใช้ติดตามเพื่อโฆษณาข้ามเว็บไซต์ บริการนี้ไม่มีโฆษณาจากบุคคลที่สาม

3. บริการของบุคคลที่สาม (ผู้ประมวลผลข้อมูล)

เพื่อให้บริการ เราจะให้ผู้ให้บริการต่อไปนี้ประมวลผลข้อมูลบางส่วนเท่าที่จำเป็น:

4. การจัดเก็บและการปกป้องข้อมูล

• อุปกรณ์มาก่อน + สำรองบนคลาวด์: ข้อมูลรายรับรายจ่ายจะเก็บในฐานข้อมูลบนอุปกรณ์ของคุณก่อน แล้วสำรองไว้บนเซิร์ฟเวอร์ของเรา (ผู้ใช้ทุกคนได้ ไม่ว่าจะใช้ฟรีหรือเสียเงิน) เพื่อให้กู้คืนได้เมื่อเปลี่ยนอุปกรณ์หรือติดตั้งใหม่ ก่อนที่คุณจะตั้งค่า “การเข้ารหัสข้อมูล” เสร็จ ข้อมูลที่เก็บบนเซิร์ฟเวอร์จะไม่ได้เข้ารหัส และผู้ดูแลระบบของเราสามารถเห็นได้ในทางเทคนิค คำอธิบายเรื่องการเข้ารหัสดูข้อ 4.1 การซิงค์แบบเรียลไทม์หลายอุปกรณ์เป็นฟีเจอร์ Premium ส่วนแพ็กเกจฟรีและ Premium ดูประวัติทั้งหมดในแอปได้เหมือนกัน (ข้อมูลยังเก็บไว้ครบบนเซิร์ฟเวอร์)
• การเข้ารหัสระหว่างส่ง: การสื่อสารทั้งหมดกับเซิร์ฟเวอร์เข้ารหัสผ่าน HTTPS/TLS
• ข้อมูลลับ: ข้อมูลเข้าสู่ระบบบาร์โค้ดมือถือเก็บในพื้นที่จัดเก็บที่ปลอดภัยของอุปกรณ์ โทเค็นเข้าสู่ระบบ (JWT) ได้รับการปกป้องระดับระบบปฏิบัติการบนอุปกรณ์ และไม่รวมอยู่ในการสำรองข้อมูลบนคลาวด์
• การควบคุมการเข้าถึง: API ที่แอปและเวอร์ชันเว็บใช้อ่านและเขียนข้อมูลบัญชีผู้ใช้และข้อมูลรายรับรายจ่าย ต้องมีโทเค็นยืนยันตัวตน (JWT) ที่ถูกต้องจึงจะเข้าถึงได้ (ระบบหลังบ้านของเราใช้ข้อมูลรับรองของผู้ดูแลระบบแยกต่างหาก) ข้อยกเว้นคือหน้าตัวอย่างของลิงก์เชิญ: ใครก็ตามที่มีลิงก์จะเห็นชื่อสมุดบัญชี ชื่อผู้เชิญ ฯลฯ ได้โดยไม่ต้องเข้าสู่ระบบ
• การแจ้งเหตุรั่วไหล: หากเกิดเหตุด้านความปลอดภัยที่กระทบข้อมูลส่วนบุคคลของคุณ เราจะแจ้งผู้ใช้ที่ได้รับผลกระทบและหน่วยงานกำกับดูแลตามกฎหมายที่ใช้บังคับ

4.1 การเข้ารหัสข้อมูล และสำเนาหนึ่งชุดที่เราเก็บไว้เพื่อช่วยกู้ข้อมูลของคุณ

ตั้งแต่เวอร์ชัน 2.0.0 เราทยอยเปิดให้ใช้ “การเข้ารหัสข้อมูล” ทีละกลุ่ม เมื่อถึงคิวบัญชีของคุณ แอปจะให้คุณตั้งรหัส PIN 6 หลัก และให้รหัสกู้คืนหนึ่งชุด เมื่อตั้งค่าเสร็จ เนื้อหารายการของคุณจะถูกเข้ารหัสบนโทรศัพท์ของคุณก่อน แล้วจึงอัปโหลดไปยังเซิร์ฟเวอร์ของเรา ก่อนที่คุณจะตั้งค่าเสร็จ เนื้อหาบนเซิร์ฟเวอร์จะไม่ได้เข้ารหัส ข้อยกเว้น: ในสมุดบัญชีที่แชร์ซึ่งเจ้าของยังตั้งค่าการเข้ารหัสไม่เสร็จ รายการที่คุณจดจะยังอัปโหลดในรูปแบบที่ไม่ได้เข้ารหัส

กุญแจที่ใช้เปิดเนื้อหาถูกล็อกไว้ด้วยรหัส PIN และรหัสกู้คืนนี้ เซิร์ฟเวอร์ของเราเก็บกุญแจที่ถูกล็อกไว้ (เพื่อให้คุณเปิดได้เมื่อเปลี่ยนโทรศัพท์) เนื้อหาที่เข้ารหัสแล้ว และข้อมูลยืนยันที่คำนวณจากรหัส PIN (ดูย่อหน้าถัดไป) แต่ไม่เก็บต้นฉบับของเนื้อหาเหล่านี้ สิ่งที่ถูกเข้ารหัสคือตัวเนื้อหา (เช่น คำอธิบาย จำนวนเงิน หมายเหตุ ข้อความที่แปลงจากเสียง เลขที่ใบกำกับภาษี) เพื่อการซิงค์และการจัดระเบียบ ข้อมูลบางอย่างยังเก็บในรูปแบบที่ไม่ได้เข้ารหัส เช่น วันที่ หมวดหมู่ สกุลเงินและอัตราแลกเปลี่ยน รายรับหรือรายจ่าย แหล่งที่มาของรายการ ชื่อสมุดบัญชี ชื่อหมวดหมู่ที่กำหนดเอง จำนวนเงินงบประมาณ “คำที่ยกเว้น” ของจดอัตโนมัติ รวมถึงชื่อผู้จดและผู้แก้ไขในสมุดบัญชีที่แชร์ และชื่อวิธีชำระเงินของสมาชิก นอกจากนี้ ตอนจัดหมวดหมู่ด้วย AI และนำเข้าใบกำกับภาษี เนื้อหาจะผ่านเซิร์ฟเวอร์ของเราชั่วคราวในรูปแบบที่ไม่ได้เข้ารหัส (ดูข้อ 3)

เพื่อตรวจว่ารหัส PIN ที่คุณใส่ถูกต้องหรือไม่ และจำกัดจำนวนครั้งที่ใส่ผิด เซิร์ฟเวอร์เก็บข้อมูลยืนยันที่คำนวณจากรหัส PIN 6 หลักของคุณ (ไม่ใช่ตัวรหัส PIN) หากมีผู้ได้ฐานข้อมูลของเราไป ในทางทฤษฎีอาจเดารหัส PIN 6 หลักของคุณได้ด้วยการคำนวณจำนวนมาก และหากได้กุญแจของเซิร์ฟเวอร์เราไปด้วย ก็จะเปิดเนื้อหาได้ ดังนั้นโปรดหลีกเลี่ยงรหัสที่เดาง่าย เช่น 123456 หรือวันเกิด

แต่มีข้อยกเว้นหนึ่งข้อที่เราต้องบอกให้ชัดก่อน: ก่อนที่การเข้ารหัสจะเสร็จและเราล้างต้นฉบับบนเซิร์ฟเวอร์ เราจะเก็บสำเนาของข้อมูลในขณะนั้นไว้ตามสภาพเดิมหนึ่งชุด เพราะหากคุณทำทั้งรหัส PIN 6 หลักและรหัสกู้คืนหาย เราไม่มีวิธีอื่นในการกู้ข้อมูลคืนให้ สำเนานี้คือวิธีที่เราจะคืนข้อมูลให้คุณได้ ในช่วงเวลาตามตารางด้านล่าง บนเซิร์ฟเวอร์จะมีสำเนาที่อ่านได้อยู่จริงหนึ่งชุด

นอกจากนี้ หากคุณขอให้ฝ่ายบริการลูกค้ารีเซ็ตการเข้ารหัสให้ ข้อมูลก่อนรีเซ็ตจะถูกบันทึกแยกไว้ครบชุดก่อน เพื่อกู้คืนหากดำเนินการผิดพลาด เช่น ข้อมูลบัญชีผู้ใช้ (ชื่อ อีเมล รูปโปรไฟล์) เนื้อหารายการ สมาชิกและคำเชิญของสมุดบัญชีที่แชร์ การเตือนให้จดรายการ ฯลฯ หากคุณเป็นเจ้าของสมุดบัญชีที่แชร์ จะรวมรายการของสมาชิกคนอื่นด้วย ข้อมูลสำรองนี้ไม่มีกำหนดเวลาลบที่แน่นอน และจะถูกลบไปพร้อมกันเมื่อลบบัญชีผู้ใช้

5. การเก็บรักษาและการลบข้อมูล

• ข้อมูลรายรับรายจ่ายจะถูกเก็บไว้ต่อไปจนกว่าคุณจะลบ
• การลบรายการ: รายการที่คุณลบจะย้ายไปที่ “ถังขยะ” ในแอปก่อน หากกด “ลบถาวร” ในถังขยะ รายการจะถูกลบออกจากอุปกรณ์ของคุณและเซิร์ฟเวอร์ของเราทันที หากไม่กด รายการจะถูกลบออกจากเซิร์ฟเวอร์ของเราเมื่อลบไปแล้ว 7 วัน และถังขยะบนโทรศัพท์ก็จะถูกล้างหลัง 7 วันเช่นกัน (ทำงานเฉพาะตอนที่แอปเข้าสู่ระบบและซิงค์) ไม่ว่าแบบใด สำเนาในข้อมูลสำรองของฐานข้อมูลอาจยังอยู่ต่อได้อีกไม่เกินประมาณ 30 วัน ระหว่าง 7 วันนี้ สำหรับบัญชีที่ยังเข้ารหัสข้อมูลไม่เสร็จ บนเซิร์ฟเวอร์ยังมีเนื้อหาครบถ้วน ส่วนบัญชีที่เข้ารหัสแล้วจะเหลือเพียงช่องข้อมูลพื้นฐาน เช่น วันที่และหมวดหมู่ หลังการลบ เซิร์ฟเวอร์จะเก็บบันทึกการลบที่ไม่มีเนื้อหาไว้หนึ่งรายการ (เช่น ID รายการและวันที่) เพื่อป้องกันไม่ให้อุปกรณ์เครื่องเก่าส่งรายการนั้นกลับมา
• การลบรายการอื่น: การตั้งค่าอื่นที่ลบไป (เช่น วิธีชำระเงิน รายการประจำ งบประมาณ สมุดบัญชี หมวดหมู่ การเตือนให้จดรายการ) ไม่มีถังขยะ และจะคงอยู่บนเซิร์ฟเวอร์ของเราในสถานะ “ลบแล้ว” จนกว่าคุณจะลบบัญชีผู้ใช้ สำหรับบัญชีที่ยังเข้ารหัสข้อมูลไม่เสร็จ เนื้อหาก็ยังอยู่ด้วย
• การลบบัญชีผู้ใช้: คุณแตะ “ลบบัญชีผู้ใช้” ในส่วน “บัญชีผู้ใช้” ของหน้า “ตั้งค่า” ได้ทุกเมื่อ เราจะลบข้อมูลบัญชีผู้ใช้และข้อมูลรายรับรายจ่ายของคุณบนเซิร์ฟเวอร์ทันที เช่น ชื่อ อีเมล รูปโปรไฟล์ รายการที่จด สมุดบัญชี วิธีชำระเงิน งบประมาณ รายการประจำ การเตือนให้จดรายการ คำที่ยกเว้นและการตั้งค่าจดอัตโนมัติ บันทึกอุปกรณ์และการแจ้งเตือนแบบพุช กุญแจเข้ารหัส รวมถึงสำเนากู้คืนและข้อมูลสำรองก่อนรีเซ็ตในข้อ 4.1 และจะส่งคำขอให้ RevenueCat ลบประวัติการสมัครสมาชิกของคุณ เมื่อลบแล้วจะกู้คืนไม่ได้
• หากคุณเป็นเจ้าของสมุดบัญชีที่แชร์ สมุดบัญชีที่แชร์ที่คุณเป็นเจ้าของจะถูกลบไปด้วย รวมถึงรายการที่สมาชิกคนอื่นจดไว้ในนั้น
• การลบบัญชีผู้ใช้ไม่ได้ยกเลิกการสมัครสมาชิกใน App Store / Google Play โดยอัตโนมัติ โปรดยกเลิกที่สโตร์ด้วยตนเอง
• การถอนการติดตั้งแอปจะลบข้อมูลส่วนใหญ่บนอุปกรณ์ แต่บน iPhone บัญชีบาร์โค้ดมือถือ รหัสยืนยัน และกุญแจเข้ารหัสเก็บอยู่ในพวงกุญแจ (Keychain) ของระบบ เวอร์ชัน 2.0.2 และก่อนหน้ามีปัญหา: ข้อมูลเหล่านี้จะยังคงอยู่ในโทรศัพท์หลังถอนการติดตั้ง และหลังติดตั้งใหม่อาจถูกบัญชีถัดไปที่เข้าสู่ระบบอ่านได้ ตั้งแต่เวอร์ชัน 2.0.3 ได้แก้ไขแล้ว โดยข้อมูลจะถูกล้างโดยอัตโนมัติเมื่อเปิด Voinance ครั้งแรกหลังติดตั้งใหม่ และจะถูกล้างเช่นกันเมื่อออกจากระบบหรือลบบัญชีผู้ใช้ ข้อมูลบนเซิร์ฟเวอร์จะถูกลบไปด้วยก็ต่อเมื่อใช้ “ลบบัญชีผู้ใช้” เท่านั้น

หลังลบบัญชีผู้ใช้ ข้อมูลต่อไปนี้จะยังคงเก็บไว้:

• ข้อมูลที่เก็บไว้ตามตารางข้างต้น ส่วนใหญ่ระบุด้วย ID บัญชีของคุณ ซึ่งก็คือ ID บัญชีที่ Apple/Google ให้คุณ หากภายหลังคุณสมัครใหม่ด้วยบัญชี Apple/Google เดิม ข้อมูลบางอย่าง เช่น การแจ้งปัญหาและข้อเสนอใน “ขอฟีเจอร์” จะกลับมาปรากฏในบัญชีของคุณอีกครั้ง
• ตัวระบุการทดลองใช้สร้างด้วยแฮชทางเดียว จึงดูไม่ออกว่า ID บัญชีเดิมคืออะไร ระบบจะจับคู่ได้ก็ต่อเมื่อคุณเข้าสู่ระบบอีกครั้งด้วยบัญชี Apple/Google เดิมเท่านั้น และไม่ใช้เพื่อวัตถุประสงค์อื่น
• ข้อมูลที่ส่งให้บุคคลที่สามจะจัดการตามกฎการเก็บรักษาของผู้ให้บริการแต่ละราย: ข้อมูลการขัดข้องและการวิเคราะห์ของ Firebase ไม่ได้เชื่อมกับบัญชีของคุณ จึงไม่ถูกลบเมื่อลบบัญชีผู้ใช้ และจะหมดอายุตามระยะเวลาเก็บรักษาของ Google ส่วนประวัติการซื้อของ Apple/Google เก็บตามนโยบายของแต่ละราย
• นอกจากที่กล่าวมา ข้อมูลที่กฎหมายกำหนดให้ต้องเก็บจะเก็บไว้ตามกฎหมาย

6. สิทธิของคุณ

คุณมีสิทธิต่อข้อมูลส่วนบุคคลของตนเองดังนี้: ขอตรวจสอบและเข้าดู แก้ไข ลบ ขอสำเนา ระงับการใช้ หรือจำกัดการประมวลผล สิทธิส่วนใหญ่ทำได้โดยตรงในแอป (แก้ไข ลบรายการ ลบบัญชีผู้ใช้) สำหรับสิทธิอื่น โปรดอีเมลมาที่ guagma0920@gmail.com (หัวเรื่อง “[PDPA] คำขอใช้สิทธิในข้อมูลส่วนบุคคล” เมื่อแตะลิงก์อีเมล หัวเรื่องจะถูกกรอกให้อัตโนมัติ หากพิมพ์เอง โปรดคงแท็ก [PDPA] ไว้) เราจะตอบกลับภายในระยะเวลาที่เหมาะสม

7. ความเป็นส่วนตัวของเด็ก

บริการนี้ไม่ได้ออกแบบมาสำหรับเด็กอายุต่ำกว่า 13 ปี (บางภูมิภาคคือ 16 ปี) และเราจะไม่เก็บข้อมูลส่วนบุคคลของเด็กโดยรู้ตัว หากคุณเชื่อว่ามีเด็กให้ข้อมูลแก่เรา โปรดอีเมลแจ้งเราที่ guagma0920@gmail.com (หัวเรื่อง “[DELETE-DATA] ลบข้อมูลของเด็ก” เมื่อแตะลิงก์อีเมล หัวเรื่องจะถูกกรอกให้อัตโนมัติ หากพิมพ์เอง โปรดคงแท็ก [DELETE-DATA] ไว้) เมื่อยืนยันแล้วเราจะลบบัญชีนั้นและข้อมูลที่เกี่ยวข้อง

8. การเปลี่ยนแปลงนโยบาย

เราอาจปรับปรุงนโยบายนี้เป็นครั้งคราว การเปลี่ยนแปลงที่สำคัญจะประกาศผ่านการแจ้งเตือนในแอป หรือโดยการอัปเดต “อัปเดตล่าสุด” ในหน้านี้ หากคุณยังใช้บริการต่อหลังการเปลี่ยนแปลง ถือว่าคุณยอมรับนโยบายฉบับปรับปรุงแล้ว

9. ติดต่อเรา

หากมีคำถามเกี่ยวกับนโยบายนี้หรือข้อมูลส่วนบุคคลของคุณ โปรดติดต่อ:
Voinance (念帳) — นักพัฒนารายบุคคล
อีเมล: guagma0920@gmail.com

10. ข้อกำหนดเพิ่มเติมสำหรับผู้ใช้ในประเทศไทย (PDPA)

ข้อนี้เขียนสำหรับผู้ใช้ที่อยู่ในประเทศไทย เพื่ออธิบายเพิ่มเติมตามพระราชบัญญัติคุ้มครองข้อมูลส่วนบุคคล พ.ศ. 2562 (“PDPA”) เรื่องที่ข้อนี้ไม่ได้กล่าวถึงให้เป็นไปตามข้ออื่นของนโยบายนี้

10.1 ใครรับผิดชอบข้อมูลของคุณ และติดต่ออย่างไร

ผู้ตัดสินใจว่าจะประมวลผลข้อมูลส่วนบุคคลของคุณอย่างไร (“ผู้ควบคุมข้อมูลส่วนบุคคล” ตาม PDPA) คือนักพัฒนารายบุคคลของ Voinance (念帳) ซึ่งก็คือ “เรา” ในนโยบายนี้ และดำเนินการจากไต้หวัน เราไม่มีสาขาในประเทศไทย คำขอทั้งหมดที่กล่าวถึงในข้อนี้ โปรดส่งมาที่ guagma0920@gmail.com โดยตรง (หัวเรื่อง “[PDPA] คำขอใช้สิทธิในข้อมูลส่วนบุคคล” เมื่อแตะลิงก์อีเมล หัวเรื่องจะถูกกรอกให้อัตโนมัติ หากพิมพ์เอง โปรดคงแท็ก [PDPA] ไว้) แล้วเราจะดำเนินการเอง

10.2 ข้อมูลที่เราประมวลผล เหตุผล และฐานทางกฎหมาย

• ตอนต้นของนโยบายนี้เขียนว่า “ถือว่าคุณได้อ่านและยอมรับนโยบายนี้แล้ว” และข้อ 6 เขียนว่า “การใช้บริการถือว่าคุณยินยอมให้มีการโอนข้อมูลข้ามพรมแดนที่จำเป็น” สำหรับผู้ใช้ในประเทศไทย ข้อความทั้งสองนี้หมายความว่าคุณรับทราบและยอมรับเนื้อหาของนโยบายนี้ ส่วนการประมวลผลในตารางข้างต้นอาศัยฐานที่ระบุไว้ในตาราง ไม่ได้อาศัย “ความยินยอม” ของคุณ หากในอนาคตมีการประมวลผลใดที่ PDPA กำหนดให้ต้องได้รับความยินยอมโดยชัดแจ้งจากคุณ เราจะขอความยินยอมแยกต่างหากในตอนนั้น และแจ้งให้ทราบว่าคุณถอนความยินยอมได้ทุกเมื่อ การถอนความยินยอมไม่กระทบการประมวลผลที่ทำไปแล้วก่อนการถอน
• ข้อมูลบัญชีผู้ใช้และข้อมูลรายรับรายจ่ายจำเป็นต่อการให้บริการ หากไม่มีข้อมูลเหล่านี้ เราจะสร้างบัญชีหรือสำรองข้อมูลให้คุณไม่ได้
• เราไม่ได้ตั้งใจเก็บข้อมูลอ่อนไหวตามมาตรา 26 ของ PDPA (เช่น ข้อมูลสุขภาพ ศาสนา หรือข้อมูลชีวภาพ) เสียงพูดถูกแปลงเป็นข้อความโดยระบบรู้จำเสียงพูดของโทรศัพท์ (ดูข้อ 1.2) Voinance ได้รับเพียงข้อความ และไม่ใช้เสียงของคุณเพื่อระบุว่าคุณเป็นใคร เนื้อหาที่คุณเขียนเองในคำอธิบายหรือหมายเหตุของรายการ เราใช้เพื่อให้บริการเท่านั้น
• การจัดหมวดหมู่ด้วย AI เป็นเพียงการช่วยเลือกหมวดหมู่ให้ และคุณเปลี่ยนได้ทุกเมื่อ เราไม่ใช้ระบบนี้ตัดสินใจเรื่องใดเกี่ยวกับตัวคุณที่มีผลทางกฎหมายหรือมีผลกระทบสำคัญในลักษณะคล้ายกัน

10.3 การส่งข้อมูลไปนอกประเทศไทย

ข้อมูลของคุณจะถูกส่งไปประมวลผลในสถานที่ต่อไปนี้ ผู้ให้บริการแต่ละรายประมวลผลข้อมูลใดบ้าง ดูรายละเอียดในข้อ 3

เหตุผลหลักที่ต้องส่งข้อมูลไปยังสถานที่เหล่านี้ คือหากไม่ส่ง เราจะให้บริการที่คุณขอไม่ได้ (PDPA มาตรา 28 จำเป็นเพื่อปฏิบัติตามสัญญา): ไม่มีเซิร์ฟเวอร์ก็สำรองและซิงค์ข้อมูลไม่ได้ ไม่มีบริการ AI ก็จัดหมวดหมู่อัตโนมัติไม่ได้ ไม่มีบริการระบบสมาชิกก็เปิดใช้ Premium ไม่ได้ ไม่มีบริการเข้าสู่ระบบและบริการแจ้งเตือนแบบพุชก็เข้าสู่ระบบหรือรับการแจ้งเตือนไม่ได้

10.4 ระยะเวลาเก็บรักษาข้อมูล

• ข้อมูลบัญชีผู้ใช้และข้อมูลรายรับรายจ่าย: เก็บไว้จนกว่าคุณจะลบรายการนั้นหรือลบบัญชีผู้ใช้ รายการที่ลบจะถูกลบออกจากเซิร์ฟเวอร์หลัง 7 วัน ส่วนรายการอื่นจะเก็บไว้จนกว่าจะลบบัญชีผู้ใช้ (ดูข้อ 5)
• สำเนากู้คืน: เก็บตามกฎในข้อ 4.1 และถูกลบโดยอัตโนมัติเมื่อครบกำหนด
• ข้อมูลที่ยังเก็บไว้หลังลบบัญชีผู้ใช้ และระยะเวลาเก็บของแต่ละอย่าง ระบุไว้ในตารางของข้อ 5 ซึ่งหลายรายการไม่มีกำหนดระยะเวลาที่แน่นอน
• ข้อมูลสำรองของฐานข้อมูลรายวัน: เก็บไว้ 30 ชุด และถูกแทนที่โดยอัตโนมัติหลังประมาณ 30 วัน
• ข้อมูลที่กฎหมายกำหนดให้ต้องเก็บ: เก็บไว้ตามระยะเวลาที่กฎหมายกำหนด

10.5 สิทธิของคุณ

ตาม PDPA คุณมีสิทธิดังต่อไปนี้:

• เข้าถึงและขอรับสำเนา: ขอรับสำเนาข้อมูลส่วนบุคคลของคุณที่เราเก็บไว้
• ขอรับและโอนย้ายข้อมูล: ขอรับข้อมูลของคุณในรูปแบบอิเล็กทรอนิกส์ที่ใช้กันทั่วไป และหากทำได้ในทางเทคนิค ขอให้เราส่งไปยังผู้ให้บริการรายอื่น
• คัดค้าน: คัดค้านการประมวลผลที่เราทำโดยอาศัย “ประโยชน์โดยชอบด้วยกฎหมาย”
• ลบ: ขอให้ลบข้อมูลส่วนบุคคลของคุณ
• ระงับการใช้: ขอให้เราระงับการใช้ข้อมูลของคุณ
• แก้ไข: ขอให้แก้ไขข้อมูลที่ไม่ถูกต้องหรือไม่ครบถ้วน
• ถอนความยินยอม: หากในอนาคตมีการประมวลผลที่อาศัยความยินยอม คุณถอนความยินยอมได้ทุกเมื่อ
• ร้องเรียน: ร้องเรียนต่อสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคล (www.pdpc.or.th)

วิธีใช้สิทธิ: สิทธิบางอย่างทำได้โดยตรงในแอป ได้แก่ แก้ไขรายการ (แก้ไข) ลบรายการทีละรายการ ใช้ “ส่งออกข้อมูล” เพื่อส่งออกรายการในสมุดบัญชีเป็นไฟล์ CSV (ขอรับสำเนา ขอรับและโอนย้ายข้อมูล) และแตะ “ลบบัญชีผู้ใช้” ในส่วน “บัญชีผู้ใช้” ของหน้า “ตั้งค่า” (ลบ ข้อมูลที่ยังเก็บไว้ดูข้อ 5) สำหรับคำขออื่น โปรดอีเมลมาที่ guagma0920@gmail.com (หัวเรื่อง “[PDPA] คำขอใช้สิทธิในข้อมูลส่วนบุคคล” เมื่อแตะลิงก์อีเมล หัวเรื่องจะถูกกรอกให้อัตโนมัติ หากพิมพ์เอง โปรดคงแท็ก [PDPA] ไว้) พร้อมระบุอีเมลที่คุณใช้เข้าสู่ระบบ เราอาจต้องยืนยันก่อนว่าเป็นคุณจริง เราจะตอบกลับตามที่ PDPA กำหนด หากกฎหมายไม่อนุญาตให้เราดำเนินการตามคำขอ เราจะแจ้งเหตุผลให้คุณทราบ

10.6 การแจ้งเหตุละเมิดข้อมูลส่วนบุคคล

หากเกิดเหตุละเมิดข้อมูลส่วนบุคคล เราจะแจ้งสำนักงานคณะกรรมการคุ้มครองข้อมูลส่วนบุคคลตามที่ PDPA กำหนด หากเหตุนั้นมีความเสี่ยงสูงต่อสิทธิของคุณ เราจะแจ้งให้คุณทราบตามที่กฎหมายกำหนดด้วย ว่าเกิดอะไรขึ้น และคุณปกป้องตัวเองได้อย่างไร