隐私政策

网址中 # 后面的部分称为片段，浏览器请求页面时不会带上它，所以 Settlo 把邀请密钥放在这里。服务器能看到群组和同步的元数据，却无法解密群组名称、金额或备注。链接能授予访问权限，请谨慎分享。

浏览器演示版将数据保存在浏览器存储中，不共享群组、不与设备同步、不注册通知，也不调用 Settlo API。清除此网站的数据即可删除该本地副本。

在 Android 和 iOS 上，共享会向同步服务发送加密事件、设备公钥、不透明的群组标识符、角色和大小。提交反馈表单时，会发送您的留言和应用版本。

服务日志包含请求标识符、路由模式、概括性结果和持续时间，不包含群组标识符、内容、金额或邀请令牌。

本地数据库中的记录使用设备安全存储中的密钥加密。删除本地副本、退出群组以及由所有者删除云端副本是不同操作。设置 → 删除此设备上的所有内容会删除本地数据库和设备身份。

无需账号

不需要邮箱、手机号、社交登录或账号密码。没有线上账号要管理，但邀请链接仍需保密。

银行账户持有人姓名和账户信息会留在你的设备上，直到你批准付款请求。回复只发给提出请求的设备，不发到群组。三天后会从 Settlo 移除；若已记录结算、归档或退出群组，则会提前移除。付款码不包含在导出和备份中。

群组内容在你的设备上用 AES-256-GCM 加密。群组密钥只分享给受邀成员，不交给服务器；服务器只保存加密后的群组内容。

没有分析或归因 SDK、第三方崩溃报告、广告标识符，也没有功能使用次数统计。仅保存在本地的群组不会上传用于共享。

通用群组邀请三天后过期，个人邀请一天后过期，随后从服务器删除，也可以提前撤销。每份邀请都使用256位秘密值，以抵御猜测。

不活跃且已完全结清的群组，30天后从服务器删除。不活跃但仍有欠款的群组先保留三个月，再发出警告并给予最后一周。没有成员的群组七天后删除。

删除服务器副本不会删除设备上的支出、备注或清单，仍可查看和导出。退出群组也不会抹去其他成员的历史。移除自己的已归档副本需另行操作。

导出群组，或创建由自己的口令保护的备份。文件由你保管，存在哪里也由你决定。