隐私政策

cinder.fi 遵循一个简单的原则:您的财务数据属于您自己。

cinder.fi 如何运作

您无需账户即可使用 cinder.fi。匿名使用时,所有数据都保留在您的浏览器中,不会发送到我们的服务器。如果您创建账户,您的计划数据会同步到安全的数据库,方便您在多台设备上访问。

我们收集哪些信息

匿名用户:不收集任何个人数据。您输入的所有财务数据都通过 localStorage 和 IndexedDB 存储在您的浏览器本地。在 cinder.fi 上,您在首页规划工具中修改的回答(年龄、居住地、收入、储蓄、支出、退休年龄)还会保存在当前浏览器标签页的 sessionStorage 中,方便我们的指南和 AI 页面使用您的数字;它们只留在该标签页,除非您选择保存计划,否则绝不会发送给我们,并会在您保存或关闭标签页时清除。

已登录用户:我们会保存您的电子邮件地址、计划输入(收入、余额、假设)、预算数据、交易记录、情景和分数历史。这些数据存储在位于加拿大(ca-central-1)的安全加密数据库中。第三方服务中列出的部分服务会在加拿大境外处理有限的数据,详见您的数据在何处处理。

我们绝不收集:社会保险号(SIN)或社会安全号(SSN)、银行登录凭据、完整的账号或路由号码,以及政府签发的身份证件。

账户连接(Plaid)

您可以通过 Plaid 连接账户,自动导入余额和交易。使用此功能时:

• 您的银行凭据直接在 Plaid 的安全组件中输入,cinder.fi 不会看到或存储您的银行登录信息
• Plaid 向我们提供账户名称、余额和交易记录
• 连接令牌在存储前使用 AES-256-GCM 加密,只有我们的服务器端函数可以访问
• 您可以随时断开任何金融机构的连接,这会立即撤销访问权限并删除加密的令牌

Plaid 的隐私做法请参阅其 End User Privacy Policy(英文)。

加密与安全

• 所有传输中的数据均通过 TLS (HTTPS) 加密
• 数据库存储在静态时加密
• Plaid 访问令牌在应用层使用专用密钥,通过 AES-256-GCM 再次加密
• 行级安全(Row Level Security,RLS)确保用户只能访问自己的数据
• 敏感操作(令牌交换、余额获取)在服务器端的边缘函数(edge functions)中运行,绝不在浏览器中进行

分析与广告

我们使用以下工具来了解人们如何找到并使用 cinder.fi,以便改进产品并触达新用户。这些工具都不会接收您输入的财务数据、计划数字、账户余额或交易,只会收到经过匿名化的互动数据(页面浏览、按钮点击、注册、购买)。

Google Analytics 4:衡量网站和应用的使用情况(页面浏览、注册、功能使用、购买)。使用第一方 Cookie 区分访客。如果您已登录,我们会关联一个经过哈希处理的用户 ID,以便跨设备汇总使用情况。Google Analytics 4 提供包括退出选项在内的数据控制,我们不会在 GA4 内启用 Google Signals 或广告功能。

Google Tag Manager 与 Server-side Tag Manager:我们在 metrics.cinder.fi 运营自己的标签服务器(托管于 Railway),它以第一方方式接收衡量事件,再转发给我们的分析和广告衡量服务商。这样您的浏览数据留在我们自己的域名内,而不是第三方域名中,并且我们可以在转发前剔除或遮蔽某些字段。

Reddit Conversions API:对于来自 Reddit 广告的注册和购买,我们会通过标签服务器或 Stripe 的 webhook,以服务器对服务器的方式发送转化事件(而非从您的浏览器发送)。我们发送您电子邮件的 SHA-256 哈希值和事件类型(“SignUp”、“Purchase”等),以便 Reddit 归因该转化。我们绝不发送原始电子邮件,也绝不包含任何财务细节。

Google Ads 衡量:对于通过点击 Google Ads 广告到访的访客,我们会发送转化事件(注册、购买),以便 Google Ads 衡量广告活动的效果。原则相同:使用哈希标识符,不含财务数据。

退出广告 Cookie。如果您不希望 Google 或 Reddit 接收您访问的广告衡量数据:

• 安装任意跟踪拦截器(uBlock Origin、Privacy Badger):我们的标签服务器会遵从被拦截的请求
• 使用注重隐私的浏览器(Brave、启用 ITP 的 Safari、启用增强型跟踪保护的 Firefox)
• 通过 Google 广告设置和 Reddit 隐私设置关闭广告 Cookie

AI 功能

Ask cinder 和 AI 导入工具(交易分类、读取您上传的对账单或电子表格、账单建议)使用第三方语言模型。请求从我们的服务器发出,经由 Vercel AI Gateway 转发给模型服务商。目前的服务商是 OpenAI 和 Anthropic。Ask cinder 的聊天和解释使用 OpenAI;分类和导入等结构化任务使用 Anthropic 的模型,并以 OpenAI 作为备用。

• Ask cinder:您的问题,以及回答所需的计划和预算上下文。电子邮件、电话号码、账号等类似标识信息会在发送前被剔除。
• 分类与账单建议:已剔除标识信息的交易描述。
• 导入:您选择导入的对账单、电子表格或文本,以便模型读取。

银行登录凭据绝不会发送给任何 AI 服务商。

第三方服务

以下公司代表我们处理数据。每一项都列明了其用途、接收的数据以及处理地点。标注为“美国”的服务商也可能依据其自身条款在其他国家处理数据。

• Supabase:身份验证、数据库和服务器端函数。接收您存放在账户中的全部内容:电子邮件、计划、预算和交易。位于加拿大(ca-central-1),数据在静态时加密。请参阅其隐私政策。
• Vercel:托管应用和本网站,并运行转发 AI 请求的 Vercel AI Gateway(参见 AI 功能)。接收标准服务器日志(IP 地址、用户代理)、页面浏览和性能衡量数据,以及上文所述的 AI 请求内容。美国。请参阅其隐私政策。
• Railway:托管我们的 MCP 服务器、后台任务进程,以及位于 metrics.cinder.fi 的分析标签服务器。接收这些服务处理的请求,包括您从 AI 助手授权的 MCP 请求。美国。请参阅其隐私政策。
• OpenAI:Ask cinder 聊天和解释所用的语言模型服务商,也是结构化 AI 任务的备用服务商。接收上文所述的 AI 请求内容。美国。请参阅其隐私政策。
• Anthropic:分类和导入等结构化 AI 任务所用的语言模型服务商。接收上文所述的 AI 请求内容。美国。请参阅其隐私政策。
• Plaid:连接账户以导入余额和交易。接收您选择的银行以及您在 Plaid 组件中输入的登录信息;返回账户名称、余额和交易。美国。请参阅其隐私政策。
• Stripe:处理网页端订阅付款。接收您的电子邮件和付款信息;我们不存储您的支付卡信息。美国。请参阅其隐私政策。
• RevenueCat:管理在 iOS 应用内购买的订阅。接收您的用户 ID 以及来自 Apple App Store 的购买记录。美国。请参阅其隐私政策。
• Apple:App Store 购买、推送通知和 Sign in with Apple。接收您的购买信息、设备推送令牌和推送通知的文本(除非您开启“在通知中隐藏金额”,否则可能包含账单名称和金额),以及您使用 Apple 登录时的登录信息。美国。请参阅其隐私政策。
• PostHog:产品分析(页面浏览、点击和功能使用),以及经过遮蔽的会话回放。登录后接收您的用户 ID 和电子邮件,以及互动事件。金额按区间分组,绝不发送精确数值。美国。请参阅其隐私政策。
• Sentry:错误追踪。接收与您的用户 ID 关联的技术性错误报告(设备、浏览器和应用版本、错误本身及其前因);屏幕上的数字会被遮蔽,也不会收集 IP 地址。美国。请参阅其隐私政策。
• Loops:发送我们的事务性邮件和生命周期邮件(登录验证码、收据、提醒和小贴士)。接收您的电子邮件、您提供的姓名(如有)、国家、套餐和注册日期。美国。请参阅其隐私政策。
• Google(Analytics、Tag Manager、Ads、Sign-In、Firebase):转化衡量和广告归因(见上文)、Sign in with Google,以及 iOS 应用中的 Firebase Analytics(不使用广告标识符 IDFA,仅转发注册事件)。Google 的 Firebase Cloud Messaging 也负责向 Android 设备投递推送通知,内容规则与上文相同。美国。请参阅 Google 的隐私政策。
• Reddit(Pixel、Conversions API):Reddit 广告活动的广告归因。对于来自 Reddit 广告的网页端注册和购买,接收经过哈希处理的电子邮件和事件类型。不会收到任何有关 App Store 购买的数据。美国。请参阅 Reddit 的隐私政策。

如果您选择从 YNAB 导入,您的浏览器会将您提供的 YNAB 访问令牌直接发送给 YNAB 以获取您的预算。该令牌保留在您的浏览器中。

您的数据在何处处理

您的账户数据库托管在加拿大。上文提到的其他服务,包括 AI 处理、服务器托管、分析、错误追踪、电子邮件和支付,会在美国或其他国家处理数据,因此您的部分数据会离开加拿大。当某项服务接收个人信息时,我们只提供其履行职能所需的内容,并依靠服务商的合同承诺来保护这些信息,且仅将其用于提供相应服务。您的信息可能会被处理地所在国家的法院和主管机关获取。如需了解您的数据如何处理,请联系 info@cinder.fi。

数据删除

匿名用户:清除浏览器中 cinder.fi 的网站数据(如果您使用过旧域名,还包括 cinderfi.com),或使用“清除浏览数据”功能。

已登录用户:您可以随时在“设置”中删除账户及所有相关数据。这将立即且永久地删除:

• 您的计划、情景、预算、交易和分数历史
• 所有 Plaid 连接(令牌会被撤销并删除)
• 您的身份验证记录和个人资料

您也可以单独断开某个银行连接,或清除交易历史,而无需删除账户。

如需通过电子邮件申请删除,请联系 info@cinder.fi。我们会在 30 天内处理请求。

数据保留

我们仅在您的账户有效期间保留您的数据。删除账户后,所有数据将被永久删除。除标准数据库备份期限(最长 7 天)外,我们不会保留单个用户数据的备份,期限过后已删除的数据将无法恢复。

政策变更

如果本政策发生重大变更,我们会通过电子邮件通知已登录用户,并更新页首的日期。最新政策始终可在本网址查看。

联系我们

对本政策或您的数据有疑问?请通过 info@cinder.fi 联系我们。