数据安全：我们做了什么，您能控制什么

传输中与存储中

• 所有连接均加密（HTTPS）并由服务器强制执行；没有未加密版本。
• 您的会话保存在浏览器脚本无法读取的加密 Cookie 中（HttpOnly、Secure）——只有一个必要的会话 Cookie，没有追踪或第三方分析 Cookie。
• 严格的内容安全策略：应用页面没有内联脚本，也没有来自第三方服务器的脚本。
• 收据图片与文件保存在封闭的云端对象存储中；经应用服务器传输，查看链接会自动失效。
• 数据库位于东南亚区域的云端；每日备份保存 14 天，每月备份保存 90 天，均已加密。
• 新密码以 k-匿名方式与公开泄露名单比对——您的密码从不发送；也可使用无密码的 Google 登录。

按团体隔离——由数据库强制执行

• 每行数据（收据、开销、报销、设置）都标记所属团体——家庭、公司、协会、事务所——数据库本身拒绝任何跨团体读写，即使应用代码出错亦然。
• 平台所有者只能看到汇总统计（团体数量、用量）——无法读取任何团体的收据；这项限制同样由数据库强制执行。
• 报销中的职责分离（审核人 ≠ 审批人）与已报税年度的锁定由数据库触发器强制执行，而不只是应用中的按钮。
• 每次 API 调用都需要有效会话；来自其他网站的写入会被拒绝（多层 CSRF 防护），并按账户限速。

团体内谁能看到什么

• 您的收据：您与团体管理员可见；标记为私人的收据只有您与管理员可见——其他成员看不到。
• 购物清单与家庭财务概览：共享；您的完整税务资料（收入、PCB、减免）对管理员与审计员关闭，除非您自己开放（默认：关闭）。
• 报销审核人、审批人与付款人（司库、财务经理）：只能看到提交给他们决定的报销，包括该报销的收据图片。
• 受邀的审计员与会计师：只读——已报税或已锁定的记录与已关闭的年度；他们不占方案名额，也不能扫描或更改。
• 在机构空间中，员工与理事的个人税务对任何人都不开放。成员通过电邮或 Telegram 发送的收据以发送者名义记录。

绝不离开您设备的内容

• 银行、信用卡与电子钱包对账单文件（CSV、Excel、PDF）在您的浏览器内解析——文件不会上传到服务器；只保存您确认导入的记录。
• 社交媒体分享卡片在设备上绘制，不含姓名、收入、商店或日期。
• 公开计算器、减免查找器与“X 可以申报吗？”页面不发送任何数据——计算在浏览器内完成。
• 您扫描的收据图片会发送给 AI 服务读取；根据供应商条款，提交的内容可能被用于改进供应商的产品。手动录入不会向 AI 发送任何内容——您随时可以停用 AI 功能。

导出、回收站与删除——由您掌控

• 随时可下载完整 JSON 备份与 ZIP 审计包（每张收据图片、HK-4、摘要）——更多 → 数据与恢复。
• 删除的收据在回收站保留 30 天（可恢复），之后永久删除；未处理的收据电邮在 30 天后删除。
• 删除我的数据：任何用户都可在应用内即时删除自己的数据与账户——无需电邮或表格。例外：已锁定年度（已向 LHDN 报税）的收据与已批准的报销会移交团体管理员，因为法律要求保存税务记录。
• 关闭团体：所有成员即时停用，团体全部数据在 30 天后永久删除；请先导出。
• 没有广告、不出售数据、不与广告商、数据经纪人或 LHDN 共享。只有在马来西亚法律要求时才披露数据。

报告安全漏洞

若您发现漏洞，请先以保密方式告知我们——通过应用内反馈表单（更多 → 反馈，勾选“允许所有者联系我”）或隐私政策“联系我们”下所列的支持电邮地址。我们会回复、修复并通知受影响的用户；公开披露前请给予合理时间。请勿使用他人数据进行测试。

完整文件

• 隐私政策（PDPA）——含“联系我们”与删除账户 — 收集什么、存在哪里、保存多久、您的 PDPA 权利。
• 服务条款 — 方案、付款、休眠账户、关闭团体。
• 服务状态 — 应用组件与来自您浏览器的实时检查。