← Quay lại Chatterbox

Chính sách quyền riêng tư

Cập nhật lần cuối: 2026-09-24

0. Nói ngắn gọn

Nội dung tin nhắn của bạn được mã hoá ngay trên thiết bị và chỉ những người bạn gửi tới mới đọc được. Chúng tôi không đọc được, và Google — bên cho chúng tôi thuê máy chủ — cũng vậy.

Thứ chúng tôi thấy được là đã có một cuộc trò chuyện: những tài khoản nào tham gia và họ hoạt động khi nào. Bỏ luôn phần đó khó hơn nhiều so với mã hoá nội dung, và chúng tôi chưa làm xong. Chính sách này nói rõ ranh giới hiện đang nằm ở đâu.

1. Những gì được mã hoá đầu cuối

Được mã hoá trên thiết bị của bạn, chúng tôi và Google đều không đọc được:

Phần lớn tin nhắn một-một và nhóm còn dùng thêm cơ chế ratchet: mỗi tin nhắn có khoá riêng, nên thiết bị bị xâm nhập cũng không làm lộ những tin nhắn trước đó. Những cuộc trò chuyện mà máy của ai đó chưa công bố vật liệu khoá mới hơn sẽ quay về dùng một khoá dài hạn duy nhất, vốn không có tính chất đó. Nhãn dưới mỗi tin nhắn cho bạn biết nó thực sự đi theo đường nào.

Chỉ một thứ vượt qua ranh giới này, và chỉ khi bạn yêu cầu: tra một cái tên trên Wikipedia sẽ gửi đi cái tên đó, không phải tin nhắn chứa nó. Mục 6 nói ai nhận nó; yêu cầu xảy ra đúng lúc bạn chạm, không lúc nào khác, nên chẳng có gì để tắt. Tóm tắt, dịch và chép lại cũng sẽ vượt qua ranh giới ấy — trong bản này chúng đã tắt, và trong ứng dụng không có nút nào bật chúng lên.

2. Những gì không được mã hoá, và chúng tôi thấy gì

Mã hoá bảo vệ nội dung, không bảo vệ việc một cuộc trò chuyện có tồn tại. Những thứ sau nằm ở dạng rõ trên máy chủ của chúng tôi:

Báo đang nhập và báo đã đọc đều tắt trừ khi bạn bật, và khi tắt thì không có gì được ghi lại.

Những gì không còn ở đây nữa: địa chỉ email và tên của bạn. Từ tháng 9 năm 2026, bản ghi tài khoản chỉ còn một mã định danh tài khoản — và từ đó tới nay không còn địa chỉ nào ở bất cứ đâu. Việc đăng ký không hỏi gì về bạn: tài khoản của bạn là một cụm từ khôi phục gồm 24 từ, và thông tin đăng nhập mà Firebase Authentication kiểm tra được suy ra từ nó. Thứ được lưu ở đó là một nhãn ngẫu nhiên dưới một tên miền không thể nhận thư.

Một điều riêng: vì ứng dụng chạy trên Google Firebase, Google thấy được địa chỉ IP và thời điểm của mọi kết nối mà thiết bị của bạn mở tới đó. Đó là đặc tính của hạ tầng lưu trữ, không phải của ứng dụng, và chúng tôi không thể mã hoá để nó biến mất.

3. Người khác tìm bạn bằng cách nào

Họ không thể tìm kiếm bạn. Không có danh bạ — không tra theo email, số điện thoại hay tên — và máy chủ từ chối mọi truy vấn cố làm điều đó.

Bạn liên hệ với ai đó bằng cách gửi cho họ một liên kết mời qua kênh bên ngoài, dùng bất cứ thứ gì bạn vốn đã dùng. Liên kết chỉ dùng được một lần, hết hạn sau 24 giờ, và bạn có thể thu hồi. Bạn gọi ai đó là gì thì đó là nhãn riêng của bạn dành cho họ, và nó thuộc về bạn; nếu họ tự giới thiệu, cái tên ấy đã đến với bạn ở dạng mã hoá.

4. Chúng tôi thu thập gì

Danh sách chỉ có vậy. Không có phân tích sử dụng và không có báo cáo sự cố. Trước đây ứng dụng gửi lượt xem màn hình tới Firebase Analytics và báo cáo sự cố tới Firebase Crashlytics, cả hai đều mang định danh tài khoản của bạn nên không cái nào ẩn danh; cả hai đã bị gỡ bỏ, cùng với những thư viện gửi chúng. Lỗi chỉ được in ra trên máy của người phát triển trong lúc phát triển, và không đi đâu khác.

5. Dữ liệu được lưu ở đâu

Trên Google Firebase — Firestore, Storage và Authentication — dưới các quy tắc bảo mật quyết định ai được đọc và ghi từng tài liệu.

Trên thiết bị của bạn, tin nhắn trong bộ nhớ đệm, các thiết lập và mã PIN khoá ứng dụng được mã hoá bằng một khoá riêng của thiết bị, giữ trong kho khoá của hệ điều hành (Keychain trên iOS, Keystore trên Android) chứ không phải trong bộ nhớ thông thường của ứng dụng.

Khoá riêng dùng để giải mã tin nhắn của bạn không bao giờ rời khỏi thiết bị, trừ khi ở dạng cụm từ khôi phục mà bạn tự chọn ghi lại. Chúng tôi không giữ nó và không thể khôi phục thay bạn. Mất nó thì những tin nhắn đã gửi tới thiết bị đó sẽ không bao giờ đọc được nữa — không ai đọc được, kể cả chúng tôi.

Các phiên bản 1.2.0 trở về trước còn lưu một bản sao cụm từ vào Google Block Store, bản sao lưu của chính Android, mỗi khi bạn đăng nhập. Nếu điện thoại có khoá màn hình, bản sao đó được đồng bộ lên tài khoản Google của bạn ở dạng mã hoá đầu cuối. Từ phiên bản 1.2.1, ứng dụng không làm vậy nữa và xoá bản sao đó mỗi lần khởi động.

6. Còn ai nhận được dữ liệu

Chúng tôi không bán, trao đổi hay cho thuê thông tin cá nhân của bạn. Dữ liệu đi tới:

Ba mục cuối đã tắt trong bản này. Trong ứng dụng không có nút nào bật chép lời, dịch hay tóm tắt lên, nên chẳng có gì đến được ba dịch vụ đó. Chúng được liệt kê thay vì xoá đi vì mã nguồn vẫn còn và các tính năng này dự kiến sẽ quay lại — và khi quay lại, chúng quay lại kèm phần công bố này và một lời hỏi trước lần dùng đầu tiên. Thứ sẽ được gửi khi đó là để tạo ra kết quả cho bạn, không phải để huấn luyện bất cứ thứ gì; cả bản chép lời lẫn bản dịch đều không được lưu trên máy chủ của chúng tôi.

Việc tra cứu này không có công tắc, vì không có gì thường trực để tắt: nó chạy đúng lúc bạn chạm và không lúc nào khác. Wikipedia nhận cái tên đó và địa chỉ IP của bạn, giống hệt như khi bạn tự gõ vào ô tìm kiếm của họ — không tài khoản, không tin nhắn, không cuộc trò chuyện. Thứ trả về được hiển thị chứ không lưu, và không có gì trong đó được ghi vào cuộc trò chuyện.

Cloudflare Realtime cũng không có công tắc. Hầu hết các cuộc gọi không cần đến nó: hai thiết bị có thể kết nối trực tiếp — hầu hết các cuộc gọi trong cùng mạng — kết nối mà không cần nó, và không có gì được chuyển tiếp. Khi không thể kết nối trực tiếp, thường là vì hai bạn đang ở các mạng di động khác nhau, cuộc gọi đã được mã hóa sẽ được chuyển tiếp thay vì không thể kết nối. Những gì Cloudflare thấy là địa chỉ IP của cả hai bên, thời gian cuộc gọi, và ước tính lượng dữ liệu đã truyền; âm thanh và video vẫn nằm dưới cùng lớp mã hóa DTLS-SRTP được mô tả ở mục 2, vì vậy việc chuyển tiếp không giải mã chúng.

Chúng tôi có thể tiết lộ những gì mình đang giữ nếu pháp luật yêu cầu. Những gì chúng tôi giữ chính là danh sách ở mục 2. Chúng tôi không thể đưa ra nội dung tin nhắn, vì chúng tôi không đọc được.

7. Thông báo đẩy

Firebase Cloud Messaging chuyển thông báo. Mã thiết bị của bạn được lưu ở một phần riêng tư trong tài khoản mà chỉ bạn đọc được.

Thông báo không mang theo nội dung tin nhắn. Chính thiết bị của bạn giải mã tin nhắn tại chỗ và dựng nên thứ bạn nhìn thấy; Google chỉ chuyển cái phong bì, không phải thứ bên trong.

8. Bạn có thể làm gì

Nếu bạn muốn chúng tôi xoá thứ gì đó thủ công, hãy viết cho chúng tôi.

9. Thời gian lưu giữ

Chúng tôi giữ dữ liệu của bạn trong thời gian tài khoản còn tồn tại. Xoá tài khoản sẽ xoá dữ liệu, trừ phần nội dung chung nêu ở trên. Thời hạn theo từng cuộc trò chuyện sẽ xoá tin nhắn theo lịch bạn đặt.

10. Những giới hạn bạn nên biết

Chúng tôi thà nói ra còn hơn để bạn tự phát hiện.

11. Trẻ em

Chatterbox không dành cho trẻ dưới 13 tuổi, và chúng tôi không cố ý thu thập thông tin của các em. Nếu bạn cho rằng một trẻ em đã cung cấp thông tin cá nhân cho chúng tôi, hãy liên hệ và chúng tôi sẽ xoá.

12. Thay đổi

Chúng tôi có thể cập nhật chính sách này. Những thay đổi đáng kể sẽ được thông báo trong ứng dụng, và ngày ở đầu trang là lần sửa gần nhất.

13. Liên hệ

Thắc mắc về chính sách này: [email protected]

14. Kiểm tra phiên bản ứng dụng mới hơn

Google Play không phải là cách ứng dụng này đến được điện thoại Android của bạn. Nó được tải xuống từ chatterbox.fans, và một cửa hàng không tham gia vào quá trình này thì không thể kiểm tra cập nhật thay bạn — vì vậy ứng dụng này có thể tự làm điều đó, nếu bạn yêu cầu.

Chạm vào "Kiểm tra ngay" sẽ gửi một yêu cầu duy nhất đến chatterbox.fans để hỏi phiên bản hiện tại là gì. Yêu cầu đó mang theo địa chỉ IP của bạn và không gì khác — không tài khoản, không mã định danh thiết bị, không tin nhắn. Những gì trả về là một số phiên bản, được so sánh trên điện thoại của bạn với phiên bản bạn đang chạy; không có gì được tự động tải xuống, và không có gì về việc kiểm tra này được ghi vào cuộc trò chuyện.

Điều này không có công tắc vì không có gì để tắt: nó chỉ chạy khi được chạm vào và không chạy theo cách nào khác.

Nếu bạn cài đặt bản cập nhật, nó sẽ thay thế ứng dụng tại chỗ bằng cùng một khóa ký, giống như cách một bản cập nhật từ Google Play sẽ làm.