隐私政策

P-1简要说明

• FridgeMath 保存您输入、导入或授权获取的金融信息，以及运营和保护账户所需的信息。
• 我们不出售个人信息，不在应用内展示广告，也不将预算信息用于训练人工智能模型。应用不使用第三方广告跟踪器或分析工具。公开网站仅在您选择同意后使用 Google Analytics 4，详见 P-10。
• 我们的主要应用数据库、上传文件、备份及相关加密密钥存储于 AWS ca-central-1（加拿大蒙特利尔）。外部服务提供商、网络基础设施以及授权访问可能涉及其他国家；详见 P-5、P-6。我们不保证所有个人信息都留在加拿大境内。
• 在遵守共享预算相关权利、安全要求和有限的法定保存义务的前提下，您可以访问、更正、导出信息或请求删除。

P-2我们收集的信息

您提供的信息。 邮箱、显示名称、安全存储的密码验证值（而非明文密码）、可选的多因素身份验证信息，以及语言、主题、通知等偏好。在预算中，您可以填写账户名称、余额、交易、商户和收款人、说明、类别、规则、定期付款、预测、备注、收据、账单及其他附件。请勿在没有权限的情况下填写其他人的敏感信息。

银行连接信息。 如果您通过 Plaid 选择可用的银行连接，我们会收到您通过 Plaid 授权的账户、余额、交易信息及允许后续授权读取的连接令牌。该令牌以加密方式保存。银行登录信息由 Plaid 和／或金融机构在身份验证过程中处理，而非由 FridgeMath 收集。根据银行及连接方式，Plaid 可能按照其自身条款接收银行凭据或其他身份验证信息。详见 P-4。

技术及运营信息。 登录与会话信息、设备及浏览器特征、访问时间戳、安全事件、服务诊断信息，以及为运行、故障排除和防止滥用所需的服务器访问日志。登录会话在连续七天不活动或创建后30天时失效，以较早者为准。 您联系支持、安全或账单部门时，我们可能接收相关消息和记录。

付费计划推出后的付款信息。 付费订阅将通过 Stripe 的 Link 登记商户（merchant of record）安排使用 Stripe Managed Payments。Stripe/Link 根据其独立条款和隐私通知收集付款详情、账单地址，以及税务、防欺诈、订单管理、收据所需信息。我们计划的 FridgeMath 集成仅保存 Stripe 客户与订阅标识、已购计划、订阅状态、账单周期、收取金额、币种及账单国家／地区，以管理付费权限和支持。我们不打算收集或保留完整账单地址、完整银行卡号、银行卡安全码，甚至卡号末四位等部分银行卡资料。 Stripe/Link 可为其自身合法目的保留额外的购买及付款信息。

来自其他人的信息。 若另一用户邀请您加入共享预算，我们可能收到您的邮箱、邀请及成员资格详情。共享预算中的信息可能包含其他家庭成员或商户的个人信息。

P-3处理目的及法律依据

对于适用欧盟或英国《通用数据保护条例》（GDPR）的人士，以下是我们拟采用的处理依据。其他地区的隐私法律可能要求同意或提供不同权利。

我们的合法利益包括账户安全、防欺诈和防滥用、服务可靠性以及客服支持。在遵守法定例外的情况下，您可反对基于合法利益的处理。我们不利用预算画像作出完全自动化且产生法律或类似重大影响的决定。

P-4可选银行连接

银行连接是可选功能。在支持的地区，Plaid 为您选定的账户和数据提供只读访问。FridgeMath 无法利用此功能发起转账或持有资金。可用的金融机构和数据字段各有不同。有些金融机构使用自身登录或同意页面，另一些使用 Plaid 的连接界面。请勿假定所有流程均在您的银行网站上完成。

连接前请阅读 Plaid 最终用户隐私政策、Plaid Link 中提供的其他披露以及金融机构的相关条件。Plaid 有独立的处理方式、保存规定和权利请求流程。当您在 FridgeMath 中断开银行连接时，我们会停止同步，并使用 Plaid 的 /item/remove API 撤销连接及令其访问令牌失效。 一项 Plaid 连接可能覆盖多个银行账户，断开会停止读取与该连接关联的所有账户。已导入 FridgeMath 预算的记录，包括历史交易和余额，不会自动删除。在有权限的用户将其删除、预算被删除或合法保存规则另有要求之前，这些信息将按预算共享权限继续可用。重新连接时，必须通过 Plaid 重新授权。Plaid 可根据其自身隐私通知和法律义务独立保存信息。部分金融机构可能仍显示先前连接，直到另外更新为止。

P-5信息接收方

• 其他预算成员： 受邀用户依据分配角色访问预算数据。角色可能限制编辑或管理，却不一定阻止查看共享的详细财务信息。邀请前请检查权限。
• Amazon Web Services： 基础设施、数据库、存储、加密服务和相关运营。
• Plaid： 当您启用银行连接时处理相关连接及数据。
• Stripe Managed Payments / Link： 以登记商户身份结账、收款、订阅管理（包括在网页和移动应用中从设置 > 账单 > 管理订阅打开的 Stripe/Link 界面）、交易收据和发票、防欺诈、付款争议及交易支持（在付费计划启用时）。Stripe 负责其间接税计划覆盖地区中符合条件的交易，但税务责任覆盖并非全球。我们可能共享已购计划、结账所需的账户联系方式及开通付费访问所需的标识。计划保留的数据仅限 Stripe 客户／订阅标识、计划、状态、账单周期、金额、币种及账单国家／地区；FridgeMath 不保留完整账单地址或支付卡资料。 Stripe/Link 根据自身政策独立处理购买和付款信息。我们不打算为处理 FridgeMath 订阅而向 Stripe 发送您的预算、银行交易、收据文件或银行连接凭据。 Stripe/Link 也可能依照 Link 隐私政策，包括作为独立数据控制者时，为其自身目的处理信息。
• Google： Google Analytics 4 仅在公开网站上经同意后使用；详见 P-10。
• Amazon Simple Email Service（Amazon SES）： 发送 FridgeMath 的交易及服务消息，包括账户验证、邀请、安全通知和可选通知摘要。我们的 Amazon SES 发送服务配置于 AWS 加拿大（中部）区域（ca-central-1，加拿大蒙特利尔）。 为投递邮件，AWS 处理收件人邮箱、邮件内容及相关投递、退信或投诉资料。我们不会有意在邮件中包含银行登录凭据或交易历史。所配置的发送区域并非保证邮件绝不经过加拿大以外的地方；向全球收件人投递、收件方邮件服务、传输路径和其他系统可能涉及其他司法辖区的处理。
• Amazon CloudFront（AWS）： 通过全球内容分发网络提供公开网站和网页应用。CloudFront 处理 IP 地址、请求路径、浏览器标头等请求信息。我们的缓存仅限公开页面和静态资源；已验证身份的 API 响应、私人金融记录及私人收据附件不会被缓存。 CloudFront 仍可能在全球边缘节点处理请求及元数据；限制缓存不代表每项请求只在加拿大处理。在当前部署中，CloudFront 访问日志已关闭。 当前部署不使用 CloudFront Functions 或 Lambda@Edge。 其他 AWS 服务、安全工具及源站应用可独立于 CloudFront 访问日志生成运营或安全日志。
• 主管机关及其他必要接收方： 法律要求时，或在适用法律下合理必要地提出、行使或抗辩法律请求时。

我们不出售或出租个人信息，也不向广告商共享财务记录。对按照我们指示处理信息的服务提供商，我们要求其保护信息且仅用于约定服务。部分供应商以自身身份处理个人信息；适用时请查阅其通知。

P-6存储位置及跨境数据传输

FridgeMath 在 AWS 加拿大（中部）区域（ca-central-1，加拿大魁北克省蒙特利尔）存储主要应用数据库、上传文件、备份和加密密钥。上述说明针对四类存储组件，并不保证您所有的信息均留在加拿大。Amazon SES 交易邮件从我们配置的 AWS 加拿大（中部）（ca-central-1）发送。但是向收件人及其邮件服务提供商投递邮件，或使用其他服务，可能在加拿大境外处理信息。依提供商及功能使用方式，网站与 API 流量、支持请求、订阅账单、银行连接、可选网站分析、CDN 分发以及账户或基础设施管理，可能涉及个人信息在加拿大境外被访问或处理。涉及的国家和提供商取决于所用服务、接收方和信息类型。我们的 CDN 是 Amazon CloudFront，通过全球边缘节点处理访客请求；在已确认配置中仅缓存公开页面和静态资源。已验证身份的 API 响应、私人金融记录和私人收据附件不会被缓存。即便如此，访客 IP、请求路径和元数据仍可能在全球 CloudFront 边缘节点处理。CloudFront 访问日志在已确认配置中关闭，我们不利用它保存日常访客请求访问记录。我们不使用 CloudFront Functions 或 Lambda@Edge。其他 AWS 服务与源站应用仍可能产生各自的安全或运营日志。

当欧盟／欧洲经济区或英国的数据传输规定适用时，我们采用适合接收方及传输活动的合法机制，包括可能适用的充分性认定（欧盟对加拿大的认定适用于符合条件的商业组织）、欧盟委员会标准合同条款、英国国际数据传输附录或协议，以及必要的补充措施。您可以通过 显示地址privacy@fridgemath.com 请求相关保障措施的更多信息。

对于受魁北克省法律保护的个人信息，我们按规定评估向魁北克省外披露及服务商处理，包括保障措施和书面协议。仅使用加拿大 AWS 区域并不能在处理发生于魁北克省外时免除这些义务。

P-7如何保护信息

我们采取旨在保护机密财务信息的措施，包括加密连接、访问控制、加密备份，以及通过托管密钥服务保护的密钥对已存储的 Plaid 连接令牌加密。我们将员工和服务提供商的访问限制在授权目的内。任何在线服务均无法承诺绝对安全。我们依据适用法律评估隐私或安全事件，并在需要时通知受影响人员及监管机构。

P-8保存期限

• 活跃账户和预算： 在相关账户或预算使用期间保存，除非您提前删除。断开 Plaid 银行连接不会自动抹除以前导入的银行交易、账户历史或其他预算记录；这些仍受预算共享权限与用户主导删除行为约束。
• 共享预算： 一位成员离开或删除账户后，信息仍可能按 P-9 向其他成员开放。
• 登录会话记录： 仅在会话有效期间保存。会话到期或被撤销时，其记录立即删除，不另行保留。独立的安全及管理事件日志可记录登录或撤销事件而不保存有效会话；在遵守所述法律例外的情况下，其日常保存上限为下文所述90天。
• 日常安全、管理、应用及访问日志： 最多保存 90天，之后按照正常周期删除或匿名化。对于有记录的安全事件、调查、争议或法律义务，只有在合理必要且合法的情况下，才会延长保存特定相关记录；理由终止后予以删除或匿名化。本规定适用于 FridgeMath 及其运营系统产生的日志；CloudFront 访问日志已关闭。日常应用日志设计上不应包含交易内容或附件；详见 P-7。
• 支持消息、订阅权益及有限账单记录： 在回应请求、履行适用法律或合同记录保存义务所需期间保留。Stripe/Link 对付款、登记商户税务、收据和防欺诈资料有独立保存规则。
• 已删除内容及备份： 有权限的用户确认删除账户或金融记录后，涉及的数据将根据 P-9 共享预算规则和下述有限合法保存例外，立即从运行中的生产数据库和文件存储中删除。这并不意味着所有副本同时消失：加密 AWS 滚动备份最长保留 30天，随后在正常生命周期中到期并删除。通常无法立即从备份中删除单条记录。如果恢复备份，我们将在可行范围内重新执行删除请求。应用提供最长 30天的更改历史以撤销某些日常编辑，但金融记录一旦确认永久删除，不能通过更改历史恢复。确认永久删除后，活跃更改历史不会保留该记录可恢复的副本。
• 同意、政策版本及条款接受记录： 为证明通知、接受的条款版本、接受日期和时间、账户同意偏好以及法律合规，在合理必要的时间内保存。

我们仅在合法且必要的范围内，因法律义务、争议、防欺诈或安全事件保留特定信息。相关期限结束后即删除或匿名化。

P-9您的选择和隐私权利

导出及访问。 您可以在“设置 > 您的数据”中导出账户可访问的信息。目前导出被描述为包含 CSV 文件和相关数据的 ZIP 文件。您还可以请求我们保存的其他有关您的个人信息副本。

更正及删除。 您可以修改预算数据并要求更正其他信息。您可在“设置 > 您的账户”中删除账户，但需接受安全验证，并考虑共享预算的影响。只有您一位成员的预算预计随账户一并删除。如果还有其他成员，预算可能在您离开后继续存在；您可能需要转移所有权或单独删除预算。确认永久删除的记录无法通过30天更改历史恢复。删除受 P-8 的有限例外及备份时限约束。

同意及银行访问。 您可以关闭可选消息、撤回网站分析同意并断开支持的银行连接。断开会撤销相应 Plaid 连接并停止新同步，但不会删除已导入的历史；您可以根据 P-8 和共享预算的权利，另行删除有权限的预算记录或相关预算／账户。撤回同意影响今后基于该同意的处理，并不一定影响此前合法处理的数据。

其他权利。 根据所在地，您可能有权反对或限制处理、请求数据可携带性、撤回同意、了解跨境传输保障或向监管机构投诉。我们会解释合法的拒绝理由或身份验证程序。请发邮件至 显示地址privacy@fridgemath.com 行使权利。欧盟／欧洲经济区可联系本国数据保护监管机关，英国可联系 Information Commissioner's Office，加拿大可联系 Office of the Privacy Commissioner of Canada 及／或主管省级监管机构，包括魁北克省的 Commission d'accès à l'information。

我们通常在适用于您所在地的期限内答复；依据欧盟／英国 GDPR 的请求一般需要在一个月内答复，但法律允许延期的情况除外。

P-10Cookie、本地存储及网站统计

应用。 网页应用使用当前名称为 cb_session 的身份验证 Cookie，并利用浏览器存储实现记住当前预算（fm.budgetId）等功能。这些技术用于支持服务，不用于广告。

公开网站，包括欧盟／欧洲经济区和英国访客。 fridgemath.com 在所有国家和地区，包括欧盟／欧洲经济区和英国，只有在访客明确作出同意选择后才使用 Google Analytics 4。使用 GA4 不是访问网站或 FridgeMath 的条件。同意前，不应加载或运行 GA4 库、分析 Cookie、Google Analytics 请求或可识别访客的分析技术，也不应通过它们传输信息。同意后，分析服务可能获取浏览页面、互动行为、通过 IP 推测的大致位置及浏览器／设备信息；可能设置 _ga Cookie 或其他 GA 标识。我们不会有意向 GA4 发送预算、支付卡或账户内容。计划关闭 Google Signals 和广告个性化。

同意提示必须让接受和拒绝同样显著、同样容易操作，不预先勾选接受。我们尊重拒绝与接受。您无需创建账户即可在每个公开页面的Cookie 设置中随时修改或撤回选择。拒绝或撤回将停止未来的可选分析请求，并在我们控制范围内移除可选第一方分析 Cookie；但无法自动删除 Google 已收到的数据。我们将您的选择保存在 fm-consent 或已确认的替代项中。

P-11儿童及账户资格

您必须年满18周岁方可创建账户或使用 FridgeMath。我们不会有意邀请未成年人注册。如果您认为低于最低年龄的人拥有账户，请联系 显示地址privacy@fridgemath.com；我们将调查并采取适当措施。

P-12政策变更、隐私负责人及联系方式

本政策自公布最终版本时所载明的生效日期起适用。每次修订将列明生效日期和最后更新日期。我们按照 P-8 的保存标准保留版本历史、必要的隐私同意及政策通知记录。

对于收集、使用、保存或披露个人信息方式的一般重大变更，我们会通过电子邮件及应用内通知，至少提前30天告知，法律要求更长时间的从其规定。我们会解释变更及可用选择或权利。为应对安全事件或履行有约束力的法律义务而迫切需要的变更，可在必要时提前生效；我们将在合理可行的最早时间通知，遵守相关限制。该例外不会用于一般的新营销或数据利用目的。新增目的、重大变更或处理活动如依法需要新的积极同意，我们会在开始新处理前获得同意。法律要求明确同意时，不会将沉默或继续使用视为同意。修订政策不会追溯授权缺乏适当法律依据的处理。

数据控制者： Orendasys Inc.，加拿大安大略省注册公司。 Orendasys Inc. 及隐私负责人的授权邮寄地址： Orendasys Inc., 显示地址7163 Yonge Street, Unit 103, Thornhill, Ontario L3T 0C8, Canada。这是通信地址；Orendasys Inc. 的注册办事处仍在安大略省 Vaughan，此邮寄地址不表示 FridgeMath 的日常业务在该地址开展。 隐私负责人／个人信息负责人员： Privacy Officer, Orendasys Inc. 隐私负责人邮箱： 显示地址privacy@fridgemath.com。 企业电话（共享通信线路，通话转交 Orendasys）： 显示号码+1 905-763-9696。 一般隐私请求： 显示地址privacy@fridgemath.com。