本机优先，登录后保存到账户

Bullion Note 是贵金属账本与生活账本工具。未登录时，记录只保存在这台设备的应用沙盒内。记账与估值不需要注册或登录。

本机数据包括：贵金属持仓中的品类、金属、克重、纯度、成本与备注；生活账本中的账本名称、收支金额、分类、日期、时区与备注；目标与预算；以及显示、市场、币种、单位和其他应用设置。生活账本显示的黄金克重按行情重新计算，每笔收支的原始金额照原样保存。

账户数据

登录后，持仓、账本、生活流水、分类、目标与预算、部分设置，以及附在记录上的照片，保存在你的 Bullion Note 账户中。传输全程使用 HTTPS 加密；存储时由云基础设施服务提供商进行静态加密，密钥由该提供商管理。服务器按账户隔离数据。未登录时，这些记录只在本机。

这些账户数据由运营方 InCosmos KK 委托云基础设施服务提供商处理。该提供商是受托处理方，这些数据可能在你所在国家或地区以外的服务器上处理（跨境传输）。处理这些数据是为了履行向你提供的账户与多设备同步服务（合同履行）。

账户存续期间，这些记录会保存。你删除一条记录后，账户中保留一条删除标记（墓碑），以便其他已登录设备同步这次删除。删除标记会保留，不按短期期限清除。

另有仅供支持使用的内部安全副本，应用中不显示。账户有新的同步写入时，按日保存一份完整副本。最近 14 天内的完整副本会保留，并始终保留最新一份完整副本。

在应用内删除账号后，账户中的同步记录与照片会被清除；全部副本在账号删除后 30 天内清除。退出登录不会删除账户中的数据。这台设备上的记录会保留，并停止继续同步。路径见删除账号说明。

可选账号与提醒

你可以选择使用 Google 或 Apple 登录。登录后，我们的服务器会保存运行账号所需的信息，包括邮箱、显示名称、登录提供方用户 ID、会话记录，以及你启用提醒时产生的设备令牌、提醒规则与偏好。名为 bullionnote_session 的会话 Cookie 有效期约 30 天。完成网络请求所需的网络信息也会被处理。

你也可以使用邮箱验证码登录，或在登录后绑定邮箱。邮件服务商会处理收件邮箱和验证码邮件，以完成投递。我们的服务器仅保存验证码的校验值，并临时保存邮箱、请求时间、验证次数，以及用于防滥用的邮箱和网络地址哈希。验证码有效期为 10 分钟。过期相关记录会在一天内删除。已验证并绑定的邮箱作为账号信息保留至账号删除。验证码邮件仅用于账号验证。

退出登录不会清除设备本地账本。账号删除会移除服务器端账号标识、会话、设备令牌、提醒规则与偏好；关联安全审计记录会去标识化。出于安全、防滥用和数据完整性目的，可能保留匿名删除事件与账号删除占位记录。详情见删除账号说明。

AI 识别

AI 记账可以根据你输入的文字、语音或图片（小票、账单截屏、贵金属购买凭证）生成记账草稿。使用前需要登录。

文字、录音和图片会经我们的服务器发送给第三方 AI 服务提供商，只用于识别并生成记账草稿。语音会先转成文字，再生成草稿。我们不保存图片、音频和转写文字。识别出的草稿暂存在我们的服务器上，以便网络中断后找回；你确认或取消后即删除，一直未处理的草稿在 7 天后自动删除。草稿经你核对后写入账本，并随账户同步。

首次使用图片或语音识别前，应用会征求你的同意。同意状态按账号记录在我们的服务器上，你可以在「设置 · 隐私与安全 · AI 识别」中撤回。撤回后，在你再次同意之前，图片和语音不会被发送。使用打字识别时，文字同样会发送给第三方 AI 服务，但不单独征求同意。你也可以不使用 AI 识别，直接手动记账。

这些内容可能在你所在国家或地区以外的服务器上处理（跨境传输）。我们使用这些服务只为完成识别，不将你的内容用于训练模型。

为计算额度和防止滥用，我们保留识别用量记录，例如识别类型、状态、草稿条数和时间，以及语音的时长、状态和语言。这些记录不含图片、音频或文字内容，保留 90 天；按周汇总的使用次数最长保留约 13 个月。删除账号时，这些记录一并删除。

行情与导出文件

行情由 Bullion Note 的服务器获取。报价请求会包含完成请求所需的市场、币种、单位与网络信息，但不会附带你的贵金属持仓或生活收支明细。桌面小组件通过公开接口获取行情，请求不带账号信息，也不包含持仓数据。

你可以主动导出文件。应用会生成 bullion-note-backup.zip，其中可包含贵金属账本、生活账本、分类、提醒和设置，并交给系统分享面板，由你选择保存或发送位置。导出后，文件的保管与接收方处理受你所选位置或服务的规则约束。

用途、保留与选择

我们使用上述数据来提供登录、会话、AI 识别、行情、提醒、账户同步、导出和支持功能，维护服务安全，并解决故障。Bullion Note 不出售个人数据，也不将个人数据用于跨服务广告跟踪。

设备本地数据保留到你在应用或系统中清除数据、或卸载应用为止。账号运营数据保留到账号删除或不再为上述用途所需为止，但法律、安全与防滥用所需的去标识化记录可能继续保留。

你可以在应用内查看账号状态、导出文件、退出登录或删除账号。无法使用应用时，可发送邮件至 hi@incosmos.art 请求访问、更正或删除账号数据。

为完成第三方登录授权的撤销，必要的加密授权凭证及关联标识可能暂时保留，用于失败后的重试；撤销处理完成后会删除。这些凭证不会用于恢复已删除的账号。

政策更新与联系

我们可能随产品与法律要求更新本政策，并在此页面标注更新时间；重大变更会通过适当的产品内方式提示。

运营方：InCosmos KK（在宇株式会社，日本）。隐私问题请联系 hi@incosmos.art。

On this device first; saved to your account after sign-in

Bullion Note is a precious-metal ledger and everyday-money ledger. When you are not signed in, records stay in the app sandbox on this device. You do not need an account to record or view valuations.

On-device data includes the category, metal, weight, purity, cost, and note for a holding; ledger name, income or expense amount, category, date, time zone, and note in your life ledger; goals and budgets; and display, market, currency, unit, and other app settings. Gold-gram values shown for life-ledger entries are recalculated from market prices, and the original cash amounts are kept as entered.

Account data

After you sign in, holdings, ledgers, everyday entries, categories, goals and budgets, some settings, and photos attached to records are stored in your Bullion Note account. Data is encrypted in transit with HTTPS. At rest, it is encrypted by our cloud infrastructure provider, which manages the keys. Our servers keep each account's data separate. When you are not signed in, these records stay on this device only.

InCosmos KK entrusts this account data to a cloud infrastructure provider for processing. The provider acts as a processor. This data may be processed on servers outside your country or region (cross-border transfer). This processing is necessary to perform the account and multi-device sync service (performance of a contract).

These records are kept for as long as the account exists. When you delete a record, the account keeps a deletion marker (tombstone) so other signed-in devices can apply the same deletion. Deletion markers are retained and are not cleared on a short fixed schedule.

Separate internal safety copies are kept for support only and are not shown in the app. When the account receives new sync writes, one complete copy is saved per day. Complete copies from the last 14 days are kept, and the latest complete copy is always kept.

Deleting the account in the app clears synced records and photos in the account. All copies are removed within 30 days after account deletion. Signing out does not delete data in the account. Records on this device remain, and syncing stops. See Delete Account.

Optional account and alerts

You may choose Google or Apple sign-in. After sign-in, our servers store data needed to run the account: email address, display name, sign-in provider user ID, session records, and—if you enable alerts—device tokens, alert rules, and preferences. The bullionnote_session cookie lasts about 30 days. Network information needed to complete requests is also processed.

You can also sign in with an email code or link an email after signing in. Our email provider processes the recipient address and verification message to deliver the email. Our servers store only a check value for the code, along with temporary records of the email address, request time, verification attempts, and email and network-address hashes used to prevent abuse. Codes expire after 10 minutes. Related request records are removed within a day after they expire. A verified, linked email remains part of the account until account deletion. Verification emails are used only for account authentication.

Signing out does not clear local ledgers. Deleting an account removes server-side account identifiers, sessions, device tokens, alert rules, and preferences; related security audit records are de-identified. An anonymous deletion event and account deletion tombstone may be retained for security, abuse prevention, and data integrity. See Delete Account for details.

AI recognition

AI entry can turn typed text, voice, or an image (a receipt, bill screenshot, or precious-metal purchase document) into an entry draft. Sign-in is required.

Text, audio, and images are sent through our servers to third-party AI service providers and used only to recognize them and create entry drafts. Voice is first converted to text, then turned into a draft. We do not keep images, audio, or transcripts. A recognized draft is held on our servers so it can be recovered if the connection drops. It is deleted once you confirm or cancel it; a draft left unhandled is deleted automatically after 7 days. After you review a draft, it is added to your ledger and synced with your account.

Before you use image or voice recognition for the first time, the app asks for your consent. Your choice is recorded with your account on our servers, and you can withdraw it in Settings › Privacy & security › AI recognition. After you withdraw, images and voice are not sent until you consent again. Typed text is also sent to third-party AI services, but the app does not ask for separate consent before typed recognition. You can always record entries by hand instead.

This content may be processed on servers outside your country or region (cross-border transfer). We use these services only to perform recognition and do not use your content to train models.

To manage quotas and prevent abuse, we keep usage records such as recognition type, status, number of drafts, and time, and for voice, the duration, status, and language. These records contain no image, audio, or text content and are kept for 90 days. Weekly usage totals are kept for up to about 13 months. These records are deleted when you delete your account.

Quotes and export files

Market quotes are fetched through Bullion Note's servers. Quote requests include the market, currency, unit, and network information needed to complete the request, but do not include your metal holdings or life-ledger entries. Home-screen widgets fetch quotes from a public endpoint; these requests carry no account information and no holdings data.

You can export a file when you choose to. The app creates bullion-note-backup.zip. An export may include metal ledgers, life ledgers, categories, alerts, and settings. It is handed to the system share sheet so you choose where to save or send it. After export, the selected destination or service governs how the file is kept and processed.

Use, retention, and your choices

We use the data above to provide sign-in, sessions, AI recognition, quotes, alerts, account sync, export, and support; to secure the service; and to troubleshoot issues. Bullion Note does not sell personal data or use personal data for cross-service advertising tracking.

Local data remains until you clear it in the app or system, or uninstall the app. Account-operation data remains until account deletion or until it is no longer needed for the purposes above. De-identified records may be retained where needed for legal, security, or abuse-prevention purposes.

In the app, you can review account status, export a file, sign out, or delete the account. If you cannot use the app, email hi@incosmos.art to request access, correction, or deletion of account data.

To complete revocation of third-party sign-in authorization, necessary encrypted credentials and associated identifiers may be temporarily retained for retries after a failure. They are deleted when revocation processing completes and are not used to restore a deleted account.

Updates and contact

We may update this policy as the product or legal requirements change. The revision date appears on this page, and material changes will be communicated through an appropriate in-product notice.

Operator: InCosmos KK, Japan. For privacy questions, contact hi@incosmos.art.

端末優先。ログイン後はアカウントに保存

Bullion Note は、貴金属台帳と暮らしのお金の台帳です。ログインしていないとき、記録はこの端末のアプリ領域にのみ保存されます。記録と評価にアカウントは必要ありません。

端末内データには、貴金属の保有のカテゴリ・金属・重量・純度・取得コスト・メモ、暮らしの台帳の台帳名・収支金額・カテゴリ・日付・タイムゾーン・メモ、目標と予算、表示・市場・通貨・単位などの設定が含まれます。暮らしの台帳に表示される金グラムは相場から再計算し、元の金額は入力したとおりに保存します。

アカウントデータ

ログイン後、保有、台帳、暮らしの収支、カテゴリ、目標と予算、一部の設定、および記録に添付した写真は、Bullion Note アカウントに保存されます。通信は HTTPS で暗号化します。保存時はクラウド基盤の事業者が暗号化し、鍵は同事業者が管理します。サーバーではアカウントごとにデータを分離しています。ログインしていないとき、これらの記録はこの端末にのみあります。

これらのアカウントデータは、運営者 InCosmos KK がクラウド基盤の事業者に委託して処理します。同事業者は委託先であり、これらのデータはお住まいの国・地域以外のサーバーで処理される場合があります（越境移転）。この処理は、アカウントと複数端末での同期サービスを履行するためです（契約の履行）。

アカウントが存続する間、これらの記録は保持されます。記録を削除すると、アカウントには削除マーカー（tombstone）が残り、他のログイン中の端末が同じ削除を同期できます。削除マーカーは保持され、短い固定期間では消去しません。

サポート専用の内部安全コピーはアプリに表示しません。アカウントに新しい同期の書き込みがあった日は、完全なコピーを 1 日 1 つ保存します。直近 14 日分の完全なコピーを保持し、最新の完全なコピーは常に残します。

アプリ内でアカウントを削除すると、アカウント内の同期された記録と写真は消去されます。すべてのコピーはアカウント削除後 30 日以内に消去します。ログアウトしてもアカウント内のデータは削除されません。この端末の記録は残り、同期は止まります。手順はアカウント削除をご覧ください。

任意のアカウントとアラート

Google または Apple でのログインは任意です。ログイン後、当社サーバーはアカウントの運用に必要な情報を保存します。対象はメールアドレス、表示名、ログイン提供元のユーザー ID、セッション、およびアラート利用時の端末トークン・規則・設定です。bullionnote_session Cookie の有効期間は約 30 日です。リクエストの完了に必要なネットワーク情報も処理します。

メール認証コードでのログイン、またはログイン後のメールアドレス登録も利用できます。メール配信事業者は、送信先メールアドレスと認証メールを処理して配信します。当社サーバーには認証コードの照合値のみを保存し、メールアドレス、リクエスト時刻、認証試行回数、不正利用防止に用いるメールアドレスとネットワークアドレスのハッシュを一時保存します。認証コードの有効期限は 10 分です。期限切れに伴う記録は 1 日以内に削除します。認証して登録したメールアドレスは、アカウント削除までアカウント情報として保持します。認証メールはアカウント認証のみに使用します。

ログアウトしても端末内の台帳は消えません。アカウント削除では、サーバー側の識別子、セッション、端末トークン、アラート規則と設定を削除し、関連するセキュリティ監査記録を匿名化します。セキュリティ、不正利用防止、データ整合性のため、匿名の削除イベントと削除済み記録（tombstone）が保持される場合があります。詳しくはアカウント削除をご覧ください。

AI 認識

AI 記帳では、入力した文字、音声、画像（レシート、明細のスクリーンショット、貴金属の購入控え）から記録の下書きを作成できます。利用にはログインが必要です。

文字、録音した音声、画像は、当社サーバーを経由して第三者の AI サービス事業者に送信され、読み取りと記録の下書き作成にのみ使われます。音声はまず文字に変換され、そのあと下書きになります。当社は画像、音声、文字起こしを保存しません。読み取った下書きは、通信が途切れても取り戻せるよう当社サーバーに一時保存します。確定または取り消しの後に削除し、未処理のままの下書きは 7 日後に自動で削除します。下書きは確認後に台帳へ追加され、アカウントと同期されます。

画像または音声の読み取りを初めて使う前に、アプリが同意を確認します。同意の状態はアカウントごとに当社サーバーに記録し、「設定 · プライバシーとセキュリティ · AI 読み取り」から取り消せます。取り消した後は、再び同意するまで画像と音声は送信されません。文字入力の読み取りでも文字は第三者の AI サービスに送信されますが、個別の同意確認は表示しません。AI を使わず手入力で記録することもできます。

これらの内容はお住まいの国・地域以外のサーバーで処理される場合があります（越境移転）。当社はこれらのサービスを読み取りのためにのみ利用し、お客様の内容をモデルの学習に使用しません。

上限の管理と不正利用の防止のため、読み取りの種類、状態、下書きの件数、時刻、音声の長さ・状態・言語などの利用記録を保持します。これらの記録には画像、音声、文字の内容は含まれず、保持期間は 90 日です。週ごとの利用回数の集計は最長で約 13 か月保持します。アカウントを削除すると、これらの記録も削除します。

相場と書き出しファイル

相場は Bullion Note のサーバーを通じて取得します。リクエストには必要な市場・通貨・単位・ネットワーク情報が含まれますが、貴金属の保有明細や暮らしの収支明細は含まれません。ホーム画面のウィジェットは公開の API から相場を取得し、そのリクエストにはアカウント情報も保有データも含まれません。

書き出しは、選んだときに行います。アプリは bullion-note-backup.zip を作成します。貴金属台帳、暮らしの台帳、カテゴリ、アラート、設定が含まれる場合があり、システム共有画面から保存・送信先を選びます。書き出し後は、選択した保存先またはサービスの規則に従って処理されます。

利用目的・保持・選択肢

上記データは、ログイン、セッション、AI 認識、相場、アラート、アカウント同期、書き出し、サポート、サービス保護、障害対応のために利用します。Bullion Note は個人データを販売せず、サービス横断の広告トラッキングに利用しません。

端末内データは、アプリやシステムで消去するか、アプリをアンインストールするまで残ります。アカウント運用データは、アカウント削除または上記目的に不要となるまで保持します。法令、セキュリティ、不正利用防止に必要な匿名化済み記録は保持される場合があります。

アプリ内でアカウント状態の確認、ファイルの書き出し、ログアウト、アカウント削除ができます。アプリを利用できない場合は、hi@incosmos.art へアクセス・訂正・削除を申請してください。

外部ログインの認可取消を完了するため、必要な暗号化済み認証情報と関連識別子を、失敗時の再試行用に一時保存する場合があります。取消処理の完了後に削除し、削除済みアカウントの復元には使用しません。

更新と連絡先

製品や法的要件の変更に応じて本ポリシーを更新する場合があります。更新日はこのページに表示し、重要な変更は適切なアプリ内方法でお知らせします。

運営者：InCosmos KK（在宇株式会社、日本）。お問い合わせ：hi@incosmos.art