数据安全：我们做了什么，您能控制什么

传输中与存储中

• 所有连接均加密（HTTPS）并由服务器强制执行；没有未加密版本。
• 您的会话保存在浏览器脚本无法读取的加密 Cookie 中（HttpOnly、Secure）——只有一个必要的会话 Cookie，没有追踪或第三方分析 Cookie。
• 严格的内容安全策略：没有内联脚本；应用页面上唯一的外部脚本是登录与注册表单的防机器人检查。
• 收据图片与文件保存在封闭的云端对象存储中；查看链接经签名，只发给能打开该收据的人，并在一小时内自动失效。
• 数据库位于东南亚区域的云端；每日备份保存 14 天，每月备份保存 90 天，均已加密。
• 新密码以 k-匿名方式与公开泄露名单比对——您的密码从不发送；也可使用无密码的 Google 登录。

按团体隔离——由数据库强制执行

• 每行数据（收据、开销、报销、设置）都标记所属团体——家庭、公司、协会、事务所。您的请求带有您的身份，数据库按团体过滤每一行（行级安全）；需要更广访问权限的服务器任务会明确检查团体，并经过自动测试。
• 平台所有者在应用中只能看到汇总统计（团体数量、用量）——没有任何画面或下载可读取任何团体的收据，数据库也会拒绝。每日备份仅用于灾难恢复，无法通过应用打开。
• 报销中的职责分离（审核人 ≠ 审批人）与已报税年度的锁定由数据库触发器强制执行，而不只是应用中的按钮。
• 每次 API 调用都需要有效会话；来自其他网站的写入会被拒绝（多层 CSRF 防护），并按账户限速。

团体内谁能看到什么

• 您的收据：您、团体管理员，以及管理员授予「查看全部收据」权限的成员（配偶、司库或财务经理等职位的默认权限——管理员可关闭）。普通成员只看到自己的收据。
• 购物清单与家庭财务概览：共享；您的完整税务资料（收入、PCB、减免）对管理员与审计员关闭，除非您自己开放（默认：关闭）。
• 报销审核人、审批人与付款人：提交给他们决定的报销，包括该报销的收据图片（同时拥有「查看全部收据」权限的财务职位可看到团体全部收据）。
• 受邀的审计员与会计师：只读——已报税或已锁定的记录与已关闭的年度；他们不占方案名额，也不能扫描或更改。
• 在机构空间中，员工与理事的个人税务对任何人都不开放。成员通过电邮或 Telegram 发送的收据以发送者名义记录。

绝不离开您设备的内容

• 银行、信用卡与电子钱包对账单文件（CSV、Excel、PDF）在您的浏览器内解析——文件不会上传到服务器；只保存您确认导入的记录。
• 社交媒体分享卡片在设备上绘制，不含姓名、收入、商店或日期。
• 公开计算器、减免查找器与“X 可以申报吗？”页面不发送任何数据——计算在浏览器内完成。
• 您扫描的收据图片会发送给 AI 服务读取；根据供应商条款，提交的内容可能被用于改进供应商的产品。手动录入不会向 AI 发送任何内容——您随时可以停用 AI 功能。

导出、回收站与删除——由您掌控

• 随时可下载完整 JSON 备份与 ZIP 审计包（每张收据图片、HK-4、摘要）——更多 → 数据与恢复。
• 删除的收据在回收站保留 30 天（可恢复），之后永久删除；未处理的收据电邮在 30 天后删除。
• 删除我的数据：任何用户都可在应用内即时删除自己的数据与账户——无需电邮或表格。例外：已锁定年度（已向 LHDN 报税）的收据与已批准的报销会移交团体管理员，因为法律要求保存税务记录。
• 关闭团体：所有成员即时停用，团体全部数据在 30 天后永久删除；请先导出。
• 没有广告、不出售数据、不与广告商、数据经纪人或 LHDN 共享。只有在马来西亚法律要求时才披露数据。

报告安全漏洞

若您发现漏洞，请先以保密方式告知我们——通过应用内反馈表单（更多 → 反馈，勾选“允许所有者联系我”）或隐私政策“联系我们”下所列的支持电邮地址。我们会回复、修复并通知受影响的用户；公开披露前请给予合理时间。请勿使用他人数据进行测试。

完整文件

• 隐私政策（PDPA）——含“联系我们”与删除账户 — 收集什么、存在哪里、保存多久、您的 PDPA 权利。
• 服务条款 — 方案、付款、休眠账户、关闭团体。
• 服务状态 — 应用组件与来自您浏览器的实时检查。

文件档案：是否保留副本由您决定

• 您上传的 EA/EC 表格与工资单会被读取供您确认——数字 PDF 在设备上读取，无需 AI；确认后的数字保留在应用中，文件副本则按您在“更多 › 隐私与安全 › 文件档案”中的默认设置，保留作为证明或在确认后自动删除（上传时可为每个文件单独更改）。
• 诚实的默认值：EA/EC 表格保留（LHDN 可在记录保存期内要求出示证明），每月工资单在确认后删除；文件上的身份证号、银行账号、公积金／社险编号与工资编号绝不保存。
• 您的文件只有您本人可以查看和使用——团体管理员、审计员和平台拥有者都看不到；每个文件都会在服务器上检查真实内容，AI 读取程序不执行文件中写明的指令。

账户、理财规划与 MyInvois 凭证

• 账户与余额以及理财规划均为私密：群组管理员只能看到您标记“共享”的记录，且只读。
• 从不索取网上银行密码、OTP 或 TAC——余额来自您的记录及您自行下载的账单文件。
• 您的 MyInvois Client Secret 在服务器加密，不会再次显示，也不会返回浏览器。
• 离线时的快速记账只保存在您的设备上，直到发送为止。

我的数据：您能看到保存了什么

• “我的数据”列出每类数据，说明谁能查看、保存多久
• 以一个机器可读的 JSON 文件下载您的全部数据
• 立即自行删除数据与账户，无需表格
• 设备锁不涉及生物特征数据——面容或指纹由您的设备验证

每条记录的变更记录

• 谁在何时更改了什么——仅针对已更改细节的旧值 → 新值
• 只有可查看该记录的人才能查看（相同的数据库权限）；审计员只读
• 通过普通保存恢复旧值——遵守年度锁定与角色权限
• 不保存 AI 识别文本、文件与 MyInvois 凭证；在“我的数据”所示期限后自动删除

设备内加密的文件保险箱

• 护照、保单、地契与保修在设备内用您自己的密码短语加密
• 服务器只保存加密数据——密码短语从不发送
• 只显示一次的恢复码；没有后门
• 理财日历中到期前提醒

备份恢复与两步验证

• 从“我的数据”下载的备份文件可以恢复：应用先显示将添加的内容，只以原始标识插入缺失记录；若收据照片文件仍在您的账户中，会重新关联。
• 开启两步验证：输入密码后，应用会要求输入手机上身份验证器应用的 6 位代码。十个一次性恢复代码只显示一次——我们只保存其加盐哈希。