隐私政策

1. 应用用途与维护者

现有 Meta 功能：将 Coral 业务系统中的 Meta 广告账户与近期账单记录，同步至使用者事先配置的 Google 电子表格，并回读核验更新结果。桌面程序在使用者的电脑上运行；本网站用于公开介绍产品与隐私处理方式。

Google Ads 功能：通过 Google Ads API 读取经授权账户的每日广告花费，按日期、币种、账户时区和 Coral 平台金额精度整理为本机 XLSX，再导入 Coral 后端，用于内部归集、核对与对账。API 读取、离线刷新授权、实际导入和逐笔回读已完成实测，并已启用上述每日定时任务。实际执行依赖本机、Codex、网络及相关授权可用。

应用由珊瑚数据平台维护。产品支持、隐私咨询和数据删除请求均可发送至：cxc843092749@gmail.com。

2. Google 授权与访问范围

Meta 默认连接器与可选本机 OAuth

Meta 默认定时流程使用已连接的 Google Sheets 连接器，其授权由相应连接服务管理。本应用另提供由使用者主动启用的本机 Desktop OAuth／MCP 路径；以下 Sheets 范围及本机令牌说明适用于此可选路径。使用者在 Google 官方授权页面明确同意后，本机 Meta OAuth 代码申请以下权限：

此范围在 Google 授权层面允许查看、编辑、创建和删除您的 Google 电子表格。Google 的此项授权并非只针对一个文件。现有应用代码将自身操作限制在预先配置的一个工作簿、账户数据与日账单目标工作表，以及为这些更新创建的临时隐藏工作表。

可选本机路径使用 Desktop OAuth，通过系统浏览器和本机回调完成授权，并取得访问令牌及离线刷新令牌，以便在授权有效期间执行后续同步。它不申请 Gmail、Google 日历、联系人或 Google 账户资料权限。

Google Ads 接入

Google Ads 流程经使用者明确同意后，仅请求以下 Google Ads API 范围；使用独立于可选本机 Meta／Sheets 路径的凭据，不请求或写入 Google Sheets：

Google Ads 授权范围与应用实际用途应分别理解；此范围本身不是仅授予报表读取的权限。本应用当前仅通过此接入读取经授权账户的每日广告花费报表，不创建或修改广告活动、预算及出价。本机 Meta OAuth 代码仅请求 Google Sheets 范围。两条本机路径的令牌已迁移至独立的 macOS 登录钥匙串项目，均已在新进程中验证刷新和 API 读取。Google Ads 已启用每日定时任务；新增授权或权限范围变更仍由使用者控制。

品牌审核、Google Ads API 访问级别与 Google OAuth 权限范围验证是不同事项。已取得访问能力和完成实测不表示 OAuth 敏感范围验证已通过；本政策不作该项通过声明。

The default scheduled Meta workflow uses the connected Sheets connector. The optional local Meta OAuth path requests only the Sheets scope. The separate Google Ads workflow requests only adwords after explicit consent and uses independent credentials in the macOS login Keychain. Its actual use is reporting only; it does not create or modify campaigns, budgets or bids. The adwords scope itself is not read-only. Offline refresh has been tested. API access and brand review are distinct from OAuth scope verification.

3. 访问和处理哪些数据

现有 Meta 同步流程访问和处理：

• Google 工作簿与工作表信息：工作簿标识、工作表标识和名称、行列范围等，用于确认目标与控制写入范围。
• Google 电子表格内容：目标工作表中的单元格值，用于确认表头和完整回读；目标工作表前几行的格式、数据验证、备注、文本格式和 chip 信息，用于检查更新是否保留原有格式。
• Coral 业务数据：客户名称、开户主体、广告账户 ID、名称、状态、花费与余额、来源代理商、内部系统编号、开户时间、账户类型、归属 BM，以及账单日期、消耗金额、对接人和账单类型等同步字段。
• 授权及运行数据：OAuth 访问令牌和刷新令牌、运行标识、执行时间、行数、账单日期范围、数据校验摘要、API 调用次数、完成或失败状态。

现有业务字段由使用者已有的 Coral 访问权限取得；Google 电子表格读取用于同步的目标确认与结果核验。

Google Ads 接入处理：经授权 Google Ads 账户的客户 ID、账户名称、报表日期、每日广告花费（API 的 cost_micros 及按相应币种单位整理的金额）、币种和账户时区。账户标识用于匹配 Coral 归属，日期、币种和时区用于核对统计口径；导入金额按 Coral 平台金额精度整理。原始 micros 数据保存在本机审计资料中。

4. 如何使用数据

现有流程使用数据完成授权、读取与整理同步记录、校验字段和日期、向指定 Google 工作表写入值、清理旧值尾部、回读核验，以及诊断和恢复失败的同步任务。更新过程中可能临时创建隐藏工作表，分批写入后将值复制至目标工作表，再尝试清理临时表。

Google Ads 流程读取日花费报表，在本机核验账户、日期、金额、币种与时区后，按 Coral 模板及平台金额精度生成 XLSX，并导入 Coral 后端、逐笔回读核验，用于内部归集与对账。此流程不经 Google Sheets 中转。广告花费属于媒体投放统计，不等于包含税费、抵扣及调整的最终发票结算金额。

Google 用户数据仅用于本政策所描述的报表、同步、验证、对账与运行维护功能。本应用不出售 Google 用户数据，也不将其用于广告投放或广告画像。

5. 本机存储与访问保护

可选本机 Meta／Sheets Desktop OAuth 与 Google Ads Desktop OAuth 的访问令牌、刷新令牌，分别保存在使用者电脑的 macOS 登录钥匙串独立通用密码项目中。配套令牌指针 JSON 只含非敏感引用，不含访问令牌或刷新令牌；配置目录权限为 0700，文件权限为 0600，并检查符号链接。上述令牌存储说明不代表默认 Sheets 连接器自身的授权存储方式。

本机令牌助手通过私有管道向需要令牌的进程交付数据，不把令牌放入命令行参数或日志。钥匙串锁定或无法读取时，流程停止并由使用者处理解锁或重新授权，不会自动回退为明文令牌文件。两条本机路径的迁移均已通过新进程中的实际刷新及 API 读取验证。

并非所有本机资料都由本应用加密。本应用不对报表、TSV、XLSX、运行及核验记录、Coral 密码和会话、OAuth 客户端配置等其他本机资料额外加密。文件权限、登录钥匙串与设备级磁盘加密是不同保护措施；设备级磁盘加密须由使用者另行配置，本应用不作已启用声明。

Meta 本机路径可保留最新账户及账单 TSV、同步清单、校验摘要、任务状态和恢复用临时请求或响应；电子表格副本保存在使用者选择并有权访问的 Google 工作簿中。Ads 流程保留原始 API 数据、金额整理记录、XLSX、导入状态和回读核验资料，导入后的副本存于 Coral；Ads 花费不写入 Google Sheets。与 Google 和 Coral API 的数据传输使用 HTTPS。

6. Google、Coral 与 Codex 的数据流

Meta 流程：从 Coral 业务系统读取同步源数据，默认定时流程通过已连接的 Sheets 连接器更新指定工作簿；使用者主动启用的本机 OAuth 路径则由桌面程序向 Google Sheets API 读写。Google Ads 流程：从 Google Ads API 取得授权账户的每日广告花费报表，经本机 XLSX 整理后，将核验后的花费记录导入 Coral 后端并回读。Google 和 Coral 分别依据其服务条款及隐私规则处理各自服务内的数据。

使用者通过 Codex 发起 Meta 同步或查询状态时，Codex 可以接收运行标识、完成状态、行数、账单日期范围、耗时、API 调用次数或受限错误信息。可选本机 Meta OAuth 工具返回受限状态，不返回完整账户或账单单元格行，也不返回 OAuth 凭据。默认连接器流程中，完成任务所需的工作表内容可能通过连接器工具进入 Codex 会话或工具结果，其数据处理还受相应服务规则约束。

可选本机 Meta OAuth 工具不把 Google 电子表格完整单元格行或 OAuth 凭据作为会话结果返回。使用者通过 Codex 发起和核验 Google Ads 导入时，所需的账户标识、日期、金额、币种、核验摘要及文件预览可能在会话或工具结果中呈现；OAuth 凭据不作为这些结果返回。使用者在其他服务中自行粘贴、上传或处理的数据，应同时遵守该服务的规则。

Meta: Coral → Google Sheets. Google Ads: authorized daily media spend → local XLSX → Coral backend import and readback. The optional local Meta OAuth tool returns compact status metadata rather than spreadsheet rows or OAuth credentials. The default connector workflow may expose relevant worksheet contents in Codex tool results. For Ads imports initiated and checked through Codex, relevant account identifiers, dates, amounts, currencies, verification summaries and file previews may appear in the conversation or tool results; OAuth credentials are not returned.

7. Google API 数据使用承诺

珊瑚数据平台对从 Google API 获得的信息的使用，以及向任何其他应用传输这些信息，均遵守 Google API Services User Data Policy，包括其中的 Limited Use 要求。

Coral Meta Automation's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

8. 保留与删除

两条本机 Desktop OAuth 路径的令牌会保留在各自的 macOS 登录钥匙串项目中，供授权期间的后续运行使用。删除本地指针 JSON 不等于删除钥匙串项目；令牌与指针须分别处理。最新的账户和账单整理文件会保留，后续运行可覆盖；运行状态与校验记录用于核对和恢复任务。目前未设置统一的自动保留天数。

现有 Meta 同步成功并完成核验后，程序会尝试清理原始接口数据文件、未筛选的原始账单文件及本次 RPC 临时数据；临时隐藏工作表也会尝试清理。失败或中断时，部分数据可能继续保留，以便核对未完成的操作。清理失败也可能导致临时数据残留。

如需删除本机令牌、缓存、整理文件或运行记录，请联系 cxc843092749@gmail.com，说明使用该工具的设备或运行任务及需要删除的数据范围。维护者会核实请求并协调删除。请勿通过邮件发送令牌、密码或完整业务数据。

写入 Google 电子表格的副本由其所有者控制；如需删除这些记录，所有者须在 Google 电子表格或 Google 云端硬盘中另行操作。Google 服务自身的回收站和保留规则可能继续适用。

Google Ads 已采集的原始报表、金额整理记录、本机 XLSX、导入状态及回读核验资料保留用于审计和恢复，尚未设置统一的自动保留天数。其独立钥匙串凭据、指针 JSON 及本机文件可通过上述渠道分别请求删除；已导入 Coral 的花费记录须由具有相应权限的维护者在 Coral 中另行处理。撤销 Google 授权不会自动清除这些副本。

9. 撤销 Google 授权

您可随时前往 Google 账户的第三方连接管理，检查“珊瑚数据平台”对应的应用及权限并移除访问。此方式适用于 Meta／Sheets 和 Google Ads 的相应 Google 授权；Google 账户端的撤销范围以该连接显示的应用授权为准，本机凭据分开保存在钥匙串不代表 Google 会逐个令牌单独撤销。撤销后，应用将无法继续通过被撤销的授权访问 Google 数据；再次使用需重新授权。

撤销授权不会自动删除本机钥匙串项目、指针文件及已保存的数据、已经写入 Google 电子表格的副本，或已导入 Coral 的记录。需要清理本机文件或协调删除时，请按上一节联系维护者；各系统副本由具有相应权限的所有者或维护者另行管理。

You can revoke access in your Google Account connections after checking the relevant app and permissions. The Google-side revocation applies to the authorization shown for that connection; separate local Keychain items do not guarantee token-by-token revocation. Revocation stops future access through that authorization but does not automatically remove local files, Google Sheets copies or imported Coral records.

10. 本网站与政策更新

本网站为静态产品说明与隐私页面，页面本身不设置注册表单、广告或第三方分析脚本。网站托管服务可能为交付网页和维护安全处理常规网络请求信息，例如 IP 地址、请求时间及浏览器信息。

若本应用的数据流程或用途发生变化，我们会在此页面更新政策及日期。有关本政策、访问权限或数据请求的问题，请联系 cxc843092749@gmail.com。