隐私政策 · Depo

简而言之：

没有广告，没有追踪，没有分析工具，也没有崩溃报告工具；在 Android 上，Depo 不使用广告 ID、Firebase 或 Google Analytics。
账户是可选的。没有账户时，您输入的内容只保存在您的手机或平板电脑上。登录账户后，您企业的数据会通过 Depo 自己位于欧盟德国的服务器同步。
读取单据和 Ask Depo 完全在您的设备上运行。
您随时可以在应用中删除账户。
Depo Pro 在 iPhone 上通过 App Store 购买，在 Android 上通过 Google Play 购买，订阅状态由 RevenueCat 确认。

本政策涵盖的范围

本政策涵盖适用于 iPhone 和 Android 的 Depo 应用、应用用来同步的 depo-api.sayfa.app 上的 Depo 服务器，以及 depo.sayfa.app 网站。“我们”指 Depo 的开发者。

您在应用中输入的数据

您的商品（名称、SKU、条码、单位、价格、最低库存、备注、照片）、库位、库存变动、盘点和供应商（名称、电话、邮箱、备注）保存在您的手机或平板电脑上，使用 Depo 自己的存储。在 iPhone 上，Depo 的小组件在设备上读取同样的数据。

不使用账户的情况

您可以不登录就使用 Depo。此时您的数据只保存在您的设备上，您输入的任何内容都不会发送给我们，其他任何地方也没有副本：如果手机丢失或应用被删除，数据就没有了。您可以在“更多”→“导出数据（CSV）”中把数据导出为 CSV 文件，所有方案均免费。

您的账户

要在设备之间同步或与员工一起工作，您需要用姓名、邮箱地址和密码创建账户，入口是“更多”顶部的“登录或创建账户”卡片。我们会向该地址发送一个 6 位验证码以验证地址。之后您用邮箱地址和密码登录。如果忘记密码，我们会向该地址发送 6 位验证码以便设置新密码；密码或邮箱地址发生更改时，我们会给您发送邮件通知。密码只以 Argon2id 哈希（一种缓慢的单向哈希）的形式保存；我们从不保存或查看密码本身。验证码的有效期为 10 分钟，且只以哈希形式保存。

账户创建后，您可以在“更多”→“我的账户”→“通行密钥”中为其关联通行密钥，之后它们也能用来登录：在 iPhone 上用 Face ID 或 Touch ID 确认，在 Android 上用指纹、面部或屏幕锁确认。您可以在另一台设备、另一个密码管理器或安全密钥上添加通行密钥。通行密钥的私有部分保存在您存放它的地方，例如 Apple 的“密码”App 或 Google 密码管理器（或其他凭据提供方），绝不会传到我们这里。在新设备上，您还可以不用通行密钥，改用二维码登录：已登录的设备扫描新设备显示的二维码，您再用该设备的锁屏验证来批准。未获批准的二维码链接会在 2 分钟后失效。

对于每个通行密钥，我们只保存它的公钥和 ID、其提供方的标识符（AAGUID，可对应到“iCloud 钥匙串”这样的名称），以及添加和最近使用的日期。我们还会记录每个会话是由哪个通行密钥发起的，这样移除某个通行密钥时，由它发起的会话也会被退出登录。对于每台已登录的设备，我们保存它的名称（您给它起的名称或设备自己报告的名称）、平台、登录方式，以及首次和最近使用的日期；这些信息显示在“我的账户”的“已登录的设备”列表中。您的账户包含您的显示名称、已验证的邮箱地址和密码哈希。我们仅将这些信息用于运行您的账户、发送上述验证码和安全通知以及下述邮件、在“我的账户”中为您列出通行密钥和设备，以及向您工作区的其他成员显示您的名称。我们不会将您的邮箱地址用于营销。

邮件发送

验证码和安全通知通过 Amazon SES（Amazon Web Services）从 no-reply@sayfa.app 发出，Amazon SES 是我们的邮件处理方。SES 会接收您的邮箱地址和邮件正文，以便投递邮件。在您的邮箱地址通过验证后，我们还会发送一封欢迎邮件；在您购买 Depo Pro 后，会发送一封介绍如何使用产品的邮件：如何获得帮助、在电脑上使用 Depo，以及如何发送反馈。每封此类邮件都带有退订链接。这些邮件和您的支持消息通过我们自己运营的支持工具 Yuva（app.useyuva.com）发送。Yuva 会接收您已验证的邮箱地址、姓名、语言和套餐。Depo 不发送新闻通讯或广告邮件。

工作区与同步

登录后，您为您的企业创建一个工作区，或加入一个已有的工作区。该工作区的记录（商品、库位、供应商、库存变动和盘点）随后保存在 Depo 的服务器上，并在其成员的设备之间同步。商品照片不会同步；它们留在添加它们的设备上。

服务器运行在欧盟德国的 Hetzner。应用通过加密连接与它通信。与任何网络请求一样，服务器会收到您的 IP 地址以及应用版本等技术信息，以便响应请求。作为运营方，我们可以访问服务器；我们只将其中的数据用于提供同步和团队功能，绝不出售，也不用于广告。

服务器的数据库会备份到加密的对象存储。备份保留 30 天，因此从服务器删除的数据会在 30 天内从备份中消失。

团队

工作区的所有者可以用邀请码邀请员工。工作区中的每个人都能看到其中的所有记录和成员的显示名称。所有者管理工作区、其成员和 Depo Pro 订阅；员工处理库存。

共享设备

所有者可以把车间或店面的平板电脑作为共享设备添加到工作区；工作人员随后在上面选择自己的名字并输入 PIN。为此，我们保存每个人的姓名、其 PIN 的慢速单向哈希（绝不保存 PIN 本身）、如有工牌则保存工牌的哈希、平板电脑的名称和平台、解锁和锁定事件（人员、平板电脑、时间），以及每笔库存变动或盘点是由哪位人员完成的。PIN 哈希只会发送到该工作区的共享平板电脑，这样平板电脑可以离线解锁。删除工作区会删除所有这些信息。

相机、照片和文件

相机用于扫描条码和二维码，以及拍摄单据。图像在设备上处理（在 Android 上使用 CameraX 和 Google 的 ML Kit），不会被存储，也不会发送到任何地方。当您为商品添加照片或读取单据时，Depo 只会打开您选取的照片或文件。商品的照片与商品一起保存在您的设备上；单据的图像不会被保存，只有您确认的行会被记录为入库。

读取单据和 Ask Depo

在 iPhone 上，单据上的文字由 Apple 的 Vision 框架识别；把它拆分成行并回答您的问题，则由 Apple 的设备端语言模型完成。在 Android 上，同样的工作由 Google 的 ML Kit 和设备端的 Gemini Nano 模型完成，需要手机支持。这一切都在您的设备上进行。您的单据、问题和答案不会发送给我们或任何其他服务。只有您确认的库存变动会像其他变动一样被同步。

通知

低库存通知是在您的设备上创建的本地通知。首次为某件商品设置最低库存时，会请求权限。您可以在 Depo 的“更多”标签页中关闭它们。

Siri、快捷指令和聚焦搜索

在 iPhone 上，您的商品会被添加到设备上的聚焦搜索索引，以便在搜索中显示。您通过 Siri 或快捷指令执行的操作在设备上运行，与在应用中相同。

购买

Depo Pro 在 iPhone 上通过 App Store 购买，在 Android 上通过 Google Play 购买。付款由 Apple 或 Google 处理；您的银行卡信息绝不会传到我们这里。为了确认订阅状态，Depo 使用 RevenueCat。登录后，订阅属于您的工作区，RevenueCat 只通过工作区的 ID 识别它；没有账户时，则通过随机生成的匿名 ID 识别。RevenueCat 还会收到商店的购买信息（哪个方案、何时购买、何时续订），以及与任何网络请求一样的 IP 地址和应用、操作系统版本等技术信息。您的姓名和库存数据不会发送给 RevenueCat。这些信息只用于识别订阅，绝不用于追踪或广告。

网站

depo.sayfa.app 不使用 Cookie，也不使用分析工具。它由 Cloudflare 提供服务；与任何网站一样，您的 IP 地址和浏览器信息会经过 Cloudflare 的网络，以便送达页面并防止滥用。

删除您的数据

您的账户。 在应用中的“更多”→“我的账户”→“删除账户”删除。这会从服务器上移除您的用户信息、邮箱地址、密码哈希、尚未使用的验证码、会话和成员身份，以及您作为唯一所有者的每个工作区及其全部数据，并对该工作区的所有成员一并删除。有其他所有者的工作区会保留。您的通行密钥记录也会从服务器上删除；通行密钥本身可以在“密码”App、Google 密码管理器或您使用的密码管理器中删除。设备上的数据会一直留在那里，直到您删除应用。具体步骤，以及无法打开应用时该怎么办，请参阅删除您的账户。
工作区。 所有者可以在“更多”→“工作区”→“删除工作区”中删除工作区。其成员、邀请和数据会从服务器上对所有人删除。
设备上。 从设备上删除 Depo 会删除其中的数据。
备份。 已删除的数据会在 30 天内从服务器的备份中消失。
购买。 您可以在 App Store 或 Google Play 中取消订阅，也可以书面要求我们删除 RevenueCat 上的购买记录。

变更

如果我们更改本政策，会更新本页及顶部的日期。

联系方式

有关隐私的问题：help@sayfa.app