Chính sách quyền riêng tư

Cập nhật lần cuối: 25 tháng 9, 2026

Đây là chính sách quyền riêng tư của tiện ích TabOasis và của máy chủ TabOasis tại app.taboasis.minhdevtree.tech.

Nếu bạn muốn phần chi tiết kỹ thuật thay vì văn bản pháp lý, hãy đọc Chúng tôi lưu gì và vì sao: cùng những sự thật đó, kèm code đứng sau.

Bản ngắn

Bảng của bạn (dấu trang, công việc, ghi chú, thư mục, nhãn, dữ liệu tập trung, thiết lập) nằm trong chính trình duyệt của bạn. TabOasis chạy được mà không cần tài khoản, và không có bản sao nào của bảng đó tới máy chủ TabOasis trừ khi bạn đăng nhập và tự tay tải nó lên.

Tài khoản là tuỳ chọn. Nó là thứ mở khoá đồng bộ đám mây, giấy phép Pro và bảng đề xuất tính năng. Mục Khi có tài khoản bên dưới chỉ áp dụng từ lúc bạn tạo tài khoản trở đi, trừ ba ngoại lệ được ghi rõ ngay tại chỗ. Ba ngoại lệ đó (bản ghi bản cài, dòng hoạt động theo ngày và số đếm theo ngày cho từng tên sự kiện) được ghi cho mọi bản cài, dù nó có bao giờ đăng nhập hay không.

Chúng tôi không bán dữ liệu của bạn, không chia sẻ cho bên quảng cáo, và không dùng nó để dựng hồ sơ về bạn. Trong tiện ích không có sản phẩm phân tích của bên thứ ba, không có SDK quảng cáo, không có pixel theo dõi nào.

Có ba điều nên biết trước khi đọc phần chi tiết:

• Thống kê sử dụng bật sẵn, dù bạn có tài khoản hay không, và trong lúc bạn đang đăng nhập thì các sự kiện được gắn với tài khoản của bạn. Các sự kiện bị xoá sau 90 ngày, nhưng ba bản tổng hợp dựng từ chúng (một trong đó là một bản ghi về chính bản cài này) thì được giữ vô thời hạn, cũng dù bạn có tài khoản hay không. Một công tắc tắt toàn bộ chuyện đó: bánh răng → Quản lý dữ liệu → Chia sẻ thống kê sử dụng.
• Vẫn có những thứ rời khỏi trình duyệt của bạn kể cả khi không có tài khoản. Một trong số đó, icon website, không có công tắc nào tắt được. Mục ngay sau đây là danh sách đầy đủ.
• Xoá tài khoản không xoá hết mọi thứ. Những gì bạn đã đăng trên bảng đề xuất tính năng vẫn ở lại, chỉ bị gỡ tên bạn ra. Báo cáo lỗi chỉ còn lại một mẩu có ngày tháng, còn mọi thứ bạn đã gõ vào đó thì bị xoá. Bên dưới có một mục nói rõ cái gì đi và cái gì ở lại.

Khi không có tài khoản

Bảng của bạn do trình duyệt lưu, ngay trên máy bạn, và cũng đọc lại từ đó. Tiện ích chạy được hoàn toàn khi ngoại tuyến, và không có thứ gì bạn lưu được tải lên chỗ chúng tôi.

Nhưng nói “không thu thập gì hết” thì không đúng. Đây là toàn bộ những gì rời khỏi trình duyệt của bạn trước cả khi bạn đăng nhập.

Thống kê sử dụng: đang bật, trừ khi bạn tắt

Tiện ích gửi tới máy chủ của chúng tôi một nhóm nhỏ, cố định, các sự kiện có tên sẵn: đã đổi chế độ xem, đã có một lần tìm kiếm, một phiên tập trung đã kết thúc và chạy bao nhiêu phút, bạn chọn chủ đề màu nào, đồng bộ thành công hay thất bại, tên lớp của một lỗi. Mỗi ngày một lần nó cũng gửi một tín hiệu định kỳ gồm phiên bản tiện ích, tên hãng trình duyệt, hệ điều hành, ngôn ngữ giao diện và chủ đề màu của bạn, kèm số dấu trang, ghi chú, công việc và hồ sơ bạn có dưới dạng khoảng (0, 1-10, 11-50, 51-200, 200+) chứ không phải con số chính xác. Đó là tên hãng và nền tảng, không phải chuỗi nhận dạng trình duyệt đầy đủ như một báo cáo lỗi gửi đi.

Mỗi lô đều mang theo một mã cài đặt: một chuỗi ngẫu nhiên được tạo trên máy này trong lúc công tắc đang bật, và không suy ra từ bất cứ thông tin nào về bạn. Đó là thứ nối các sự kiện của ngày này với ngày khác. Tắt Chia sẻ thống kê sử dụng là xoá mã đó; bật lại thì một mã mới được tạo, nên sự kiện trước và sau không nối được với nhau. Nếu lúc một lô được gửi đi mà bạn đang đăng nhập, lô đó cũng được nối với tài khoản của bạn. Lần đầu tiên chuyện đó xảy ra, bản ghi bản cài vĩnh viễn nói ở dưới sẽ giữ lại đó là tài khoản nào và ngày nào, ghi đúng một lần và không bao giờ đổi về sau.

Nó không bao giờ gửi URL, tiêu đề trang, tiêu đề dấu trang, nội dung ghi chú, từ khoá tìm kiếm, lời nhắc AI, hay bất cứ thứ gì từ trang bạn ghé thăm. Đó là chuyện cấu trúc chứ không phải một lời hứa: máy chủ không có trường nào để chứa những thứ đó, và nó bỏ đi mọi sự kiện hay thuộc tính mà nó không nhận ra. Sự kiện ghi lại một lần tìm kiếm chỉ ghi rằng có một lần tìm kiếm, không ghi bạn đã tìm gì. Sự kiện thô bị xoá sau 90 ngày.

90 ngày là nói về sự kiện thô, không phải về mọi thứ chúng để lại. Mỗi lô được chấp nhận, dù bạn đang đăng nhập hay không, cũng nuôi ba bản tổng hợp được giữ vô thời hạn: một bản ghi về chính bản cài này; mỗi ngày một dòng nói rằng bản cài này có gửi gì đó và gửi bao nhiêu sự kiện; và số tổng theo ngày cho từng tên sự kiện, cộng gộp của tất cả mọi người. Nghĩa là ghi nhận lâu dài bắt đầu từ lúc bạn cài, chứ không phải từ lúc bạn tạo tài khoản. Chúng là ba dòng một bản ghi về chính bản cài, một dòng hoạt động theo ngày và số đếm theo ngày cho từng tên sự kiện trong mục Chúng tôi lưu gì bên dưới, những dòng áp dụng cho bạn dù bạn có bao giờ tạo tài khoản hay không. Còn Chúng tôi lưu gì và vì sao thì kể từng cái một, từng trường một.

Khi không có tài khoản, không cái nào trong ba cái đó từng mang một tài khoản: liên kết tới tài khoản trên bản ghi bản cài vẫn để trống, các dòng theo ngày không mang tài khoản, và số tổng theo từng sự kiện không mang cả tài khoản lẫn mã cài đặt. Thứ mà bản ghi bản cài giữ mãi là chính mã cài đặt, ngày đầu tiên nhìn thấy nó, lần cuối nhìn thấy nó, và một bản sao của phiên bản tiện ích, trình duyệt, hệ điều hành, ngôn ngữ và chủ đề màu lấy từ tín hiệu định kỳ gần nhất của bạn. Tắt công tắc đi là dừng toàn bộ chuyện đó: một lô không bao giờ được gửi thì không ghi ra thứ gì.

Cái này bật sẵn. Để tắt: bánh răng → Quản lý dữ liệu → Chia sẻ thống kê sử dụng. Tắt là dừng thu thập ngay, và bỏ luôn những gì đang xếp hàng chờ gửi trên máy bạn.

Icon website: luôn luôn, và không có cách tắt

Mấy cái icon nhỏ trên thẻ của bạn được lấy từ dịch vụ favicon công khai của Google (google.com/s2/favicons). Mỗi lần vẽ một icon là Google biết tên miền của dấu trang đó, không phải URL đầy đủ, không phải tiêu đề, và không kèm định danh nào.

Chuyện này xảy ra với mọi người dùng, không cần tài khoản, không cần Pro, và không có thiết lập nào tắt được. Nó chỉ giới hạn ở những dấu trang bạn đã lưu, hoặc sắp lưu: cửa sổ popup trên thanh công cụ và danh sách Chọn một tab trong hộp thoại thêm mục lấy icon của tab đang mở từ bộ nhớ đệm của chính Chrome, không gửi gì đi đâu cả. Chỗ tra cứu còn lại là ô URL trong biểu mẫu thêm mục: khi thứ bạn gõ đã trông giống một tên miền và bạn dừng tay một lát, icon của nó được tải về, nên một tên miền bạn gõ rồi không lưu vẫn tới Google. Chặn host đó trong trình duyệt thì bạn mất mấy cái icon, và không mất gì khác.

Thời tiết: bật sẵn, và nó chỉ hỏi khi bạn bảo nó hỏi

Chỉ báo thời tiết đang bật ngay từ lúc bạn cài tiện ích, nhưng nó không tự đi lấy vị trí của bạn. Nó nằm chờ ở một nút Đặt vị trí, và hộp xin quyền vị trí của chính Chrome chỉ hiện ra khi bạn bấm nút đó. Vì vậy một bản cài mới không dí hộp xin quyền nào vào mặt bạn cả, và không có gì được gửi đi cho tới khi chính bạn chọn để bị hỏi. Bạn từ chối hoặc bỏ qua sau đó thì cũng không có gì được gửi. Thẻ thời tiết trên bảng Widget cũng hoạt động y như vậy, và bên cạnh còn có Tìm thành phố, thứ chẳng cần quyền gì.

Nếu bạn đồng ý, kinh độ và vĩ độ của bạn (đã làm tròn tới hai chữ số thập phân trước, tức khoảng một cây số) được gửi tới hai dịch vụ: open-meteo.com để lấy dự báo, và bigdatacloud.net để đổi toạ độ thành tên thành phố. Trong lúc widget còn bật, cứ mười phút nó kiểm tra một lần và lấy dữ liệu mới khi bộ nhớ đệm nửa tiếng đã cũ, nên chuyện này lặp lại âm thầm ở nền. Còn nếu bạn tự tìm thành phố theo tên, đoạn chữ bạn gõ sẽ được gửi tới dịch vụ tra cứu địa danh của Open-Meteo, và từ đó trở đi toạ độ được dùng là của thành phố ấy, không phải của bạn.

Để dừng toàn bộ: bánh răng → Tùy chọn → Hiển thị thời tiết. Tắt rồi thì không một yêu cầu thời tiết nào được gửi đi nữa. Khung trên bảng Widget cũng tắt theo.

Báo cáo lỗi: chỉ khi bạn gửi

Không có gì được gửi trừ khi bạn mở Báo lỗi và bấm gửi. Những gì đi kèm được liệt kê ở mục Báo cáo lỗi bên dưới. Tắt Chia sẻ thống kê sử dụng không chặn một báo cáo do chính bạn chọn gửi (đó là quyết định của bạn chứ không phải của công tắc), nhưng nó giữ cho mã cài đặt không đi kèm báo cáo đó. Nếu bạn đang đăng nhập thì báo cáo vẫn gắn với tài khoản của bạn, bất kể công tắc thế nào; đó là cách chúng tôi trả lời được bạn.

Tính năng AI: chỉ khi bạn dùng khoá của mình

Có một hành động AI dùng được mà không cần Pro. Nếu bạn đã nhập khoá OpenAI hoặc Google Gemini của mình, dùng nó nghĩa là lời nhắc của bạn (có thể gồm tiêu đề và URL dấu trang, nội dung ghi chú, hay một câu tìm kiếm) được gửi thẳng từ trình duyệt của bạn tới nhà cung cấp đó. Xem mục Khoá AI bên dưới.

Những gì không thể xảy ra khi chưa có tài khoản

Âm thanh nền của chế độ tập trung (từ jsDelivr), ảnh nền của nó (từ Unsplash) và nhạc của nó (từ YouTube), các yêu cầu mà Kiểm tra dấu trang gửi tới mọi website bạn đã lưu, Đồng bộ máy chủ và Đồng bộ Chrome: tất cả đều là tính năng Pro, mà giấy phép Pro thì cần tài khoản. Không cái nào trong số đó chạy được với người dùng chưa đăng nhập.

Khi có tài khoản

Chúng tôi lưu gì

Dữ liệu	Để làm gì	Giữ bao lâu
Địa chỉ email	Định danh tài khoản; dùng để đặt lại mật khẩu. Nếu tài khoản được tạo bằng đăng nhập Google, đó là địa chỉ Google đã xác minh	Tới khi bạn xoá tài khoản
Tên	Tuỳ chọn, hiển thị trong bảng điều khiển và cạnh những gì bạn đăng trên bảng đề xuất tính năng. Nếu tài khoản được tạo bằng đăng nhập Google, ban đầu nó là tên trên hồ sơ Google của bạn	Tới khi bạn xoá tài khoản
Mật khẩu	Đăng nhập. Chỉ lưu dưới dạng hash bcrypt (cost 12), không bao giờ ở dạng đọc được, và chúng tôi không khôi phục lại được. Tài khoản tạo bằng đăng nhập Google thì không có	Tới khi bạn xoá tài khoản
Mối nối tài khoản Google, nếu bạn đăng nhập bằng Google: mã định danh Google của tài khoản Google của bạn, và thời điểm nối	Để nhận ra tài khoản Google của bạn khi bạn đăng nhập lại bằng nó. Khoá là mã định danh chứ không phải địa chỉ email, vì một tài khoản Google có thể đổi địa chỉ	Tới khi bạn xoá tài khoản
Một lượt đăng nhập Google đang dở: một mã dùng một lần (chỉ lưu dưới dạng hash) kèm mã định danh Google, địa chỉ email và tên của bạn	Để hoàn tất đúng lượt đăng nhập đó	Mã chỉ dùng được một lần, trong 60 giây (5 phút nếu nó đang chờ mật khẩu của một tài khoản có sẵn). Sau đó lượt dọn dẹp hằng ngày xoá bản ghi; xoá tài khoản thì bản ghi bị xoá ngay
Bản ghi phiên: địa chỉ IP, user-agent của trình duyệt, cùng quốc gia và thành phố suy ra từ IP đó	Dựng danh sách “thiết bị của bạn”, để bạn thấy và thu hồi phiên lạ. Thực thi giới hạn ba tiện ích cùng đăng nhập	Bị ghi đè mỗi lần phiên gia hạn, nên không bao giờ cũ quá 30 ngày (xem bên dưới)
Lịch sử đăng nhập: IP, quốc gia, thành phố và thời điểm của từng lần đăng nhập	Để bạn và chúng tôi nhận ra tài khoản bị truy cập từ nơi lẽ ra không nên	90 ngày
Bảng của bạn, nếu bạn dùng đồng bộ đám mây	Chính việc đồng bộ	Tới khi bạn xoá nó hoặc xoá tài khoản
Bản ghi giấy phép: gói, trạng thái, các mốc thời gian, và mã khách hàng cùng mã thuê bao bên Polar	Khôi phục Pro trên máy mới; mở được cổng thanh toán	Tới khi bạn xoá tài khoản
Bản ghi thanh toán: mã đơn hàng Polar, số tiền, đơn vị tiền, trạng thái	Bằng chứng rằng một lần thu tiền đã thành công	Tới khi bạn xoá tài khoản
Sự kiện sử dụng	Xem bên trên	90 ngày. Những sự kiện gửi khi bạn đang đăng nhập bị xoá cùng tài khoản; những sự kiện gửi khi chưa đăng nhập không gắn với tài khoản nên vẫn ở lại
Một bản ghi về chính bản cài: mã cài đặt, ngày đầu tiên nhìn thấy nó, lần cuối nhìn thấy nó, tài khoản nào đăng nhập đầu tiên trên nó và vào lúc nào (ghi một lần và không bao giờ chuyển sang tài khoản sau), và, chép lại từ tín hiệu định kỳ gần nhất, phiên bản tiện ích, tên trình duyệt, hệ điều hành, ngôn ngữ và chủ đề màu	Để biết người dùng có tiếp tục dùng TabOasis sau khi cài hay không, một bản cài có bao giờ thành tài khoản hay không, và họ đang chạy nó trên nền nào. Sự kiện thô bị xoá sau 90 ngày không trả lời được câu nào trong số đó	Giữ vô thời hạn. Năm trường môi trường đó là một bản sao của giá trị mới nhất, không phải con số đếm, và được giữ chừng nào bản ghi này còn. Xoá tài khoản sẽ xoá liên kết tới tài khoản, thời điểm liên kết đó và cả năm trường môi trường khỏi những bản ghi bản cài mà tài khoản của bạn là tài khoản đăng nhập đầu tiên. Vì liên kết đó không bao giờ dời đi, một trình duyệt đã có người khác đăng nhập trước bạn sẽ mang liên kết của họ chứ không phải của bạn, và việc bạn xoá tài khoản không chạm tới bản ghi ấy; thứ còn lại ở đó là liên kết của họ và một ảnh chụp về trình duyệt, thứ sẽ bị tín hiệu định kỳ kế tiếp của nó ghi đè
Một dòng hoạt động theo ngày cho mỗi bản cài: những ngày nào nó có gửi gì đó, mỗi ngày bao nhiêu sự kiện, và, với ngày mà bản cài đang đăng nhập, nó đang đăng nhập bằng tài khoản nào	Vẫn là câu hỏi đó: bản cài có quay lại hay không, và những người ở lại có phải là những người đã đăng ký hay không	Giữ vô thời hạn, trừ một ngoại lệ: những ngày bạn đang đăng nhập sẽ bị xoá cùng tài khoản. Với ba ngày gần nhất, tác vụ hằng đêm có thể dựng lại chính dòng đó từ các sự kiện còn sống sót sau khi đã bị gỡ liên kết, nên một ngày như vậy có thể quay lại dưới dạng một con số trần không mang tài khoản nào; cái không quay lại là tài khoản. Những ngày bản cài hoạt động lúc chưa đăng nhập không mang gì có thể ghép với bạn, nên vẫn ở lại
Số đếm theo ngày cho từng tên sự kiện, cộng gộp của tất cả mọi người: mỗi ngày và mỗi tên sự kiện có bao nhiêu lượt, bao nhiêu bản cài khác nhau đã gửi, và một thuộc tính cho mỗi tên sự kiện (chủ đề màu nào, phiên bản tiện ích nào, tên lớp của một lỗi JavaScript, mã của một lần đồng bộ thất bại, chế độ xem nào, định dạng nhập/xuất nào, nguồn lưu dấu trang nào, hành động AI nào)	Để thấy tính năng nào được dùng và cái gì đang hỏng	Giữ vô thời hạn. Những dòng này không mang mã cài đặt và không mang tài khoản. Chúng là số tổng, không phải bản ghi của từng người. Một thuộc tính, không phải một giá trị: với mỗi ngày và mỗi tên sự kiện, hai mươi giá trị phổ biến nhất của thuộc tính đó mỗi giá trị một dòng, mọi giá trị hiếm hơn được gộp vào một dòng (other) duy nhất, và bên cạnh còn một dòng tổng. Đó là những giá trị ngắn do chính tiện ích chọn và giới hạn độ dài. Ở đây vẫn không có trường nào cho một URL, tiêu đề trang hay dấu trang, nội dung ghi chú, câu truy vấn tìm kiếm hay lời nhắc AI
Báo cáo lỗi bạn gửi	Để sửa lỗi	180 ngày. Xoá tài khoản thì không phải đợi tới đó: phần mô tả, email, thông tin trình duyệt và mã cài đặt trong báo cáo bị xoá ngay
Bài đăng, bình luận, phiếu bầu và biểu cảm trên bảng đề xuất tính năng	Vận hành bảng đề xuất	Bài đăng và bình luận sống lâu hơn tài khoản, sau khi bị gỡ liên kết; phiếu bầu và biểu cảm bị xoá cùng tài khoản
Thông báo chúng tôi tạo cho bạn (sự kiện thanh toán, phản hồi trên bài của bạn)	Danh sách thông báo trong bảng điều khiển	Tới khi bạn xoá tài khoản
Yêu cầu đặt lại mật khẩu: một hash dùng-một-lần của liên kết đã gửi, và IP đã yêu cầu	Để liên kết chỉ dùng được một lần; để phát hiện lạm dụng	Bị dọn dẹp hằng ngày gỡ đi sau khi liên kết hết hạn (một giờ)
Số đếm theo ngày: mỗi endpoint nhận bao nhiêu yêu cầu từ mỗi quốc gia	Biết dịch vụ có được dùng không, và từ đâu	365 ngày. Nó là một con số đếm: trong đó không có dòng nào là của riêng bạn

Về bản ghi phiên. Bản ghi của một phiên bị xoá khi bạn đăng xuất phiên đó, khi bạn xoá tài khoản, khi lần đăng nhập tiện ích thứ tư đẩy phiên lâu không dùng nhất ra, hoặc 30 ngày sau lần dùng cuối.

Việc gia hạn phiên (vẫn tự chạy trong lúc bạn còn dùng) đặt lại cái đồng hồ 30 ngày đó và thay IP, trình duyệt cùng vị trí đang lưu bằng thông tin của lần gia hạn đó. Nên thứ danh sách hiển thị là nơi phiên đang được dùng bây giờ, chứ không phải nơi nó bắt đầu, và không địa chỉ nào ở đây cũ quá 30 ngày. Đó chính là mục đích của danh sách: một phiên hiện lên thành phố bạn không nhận ra là phiên bạn nên thu hồi.

Khối dữ liệu đồng bộ chứa gì, và chúng tôi làm gì với nó

Nếu bạn bật đồng bộ đám mây, một bản sao bảng của bạn được tải lên: mọi hồ sơ cùng dấu trang, công việc, ghi chú, thư mục, nhãn và ảnh đại diện hồ sơ, gồm cả URL, tiêu đề bạn đã lưu và nội dung chữ trong ghi chú. Kèm theo đó là dữ liệu tập trung (ghi chú dán, lịch sử phiên, các bản nhạc YouTube bạn thêm vào, ảnh nền bạn chọn) và thiết lập của bạn: chế độ xem, chủ đề màu, phông chữ và Pomodoro. Những thiết lập mô tả thiết bị chứ không phải cái bảng thì ở lại trên máy: ngôn ngữ, Tìm kiếm Spotlight trên trang web, và các công tắc thông báo.

Khoá AI của bạn không nằm trong đó. Xem mục Khoá AI bên dưới.

Máy chủ coi đó là một khối dữ liệu mờ. Nó kiểm tra kích thước, kiểm tra đó có phải một object JSON không, lưu lại, rồi trả về khi được hỏi. Nó không phân tích, không đánh chỉ mục, không tìm kiếm, không đọc bên trong, và không có gì trên máy chủ hành động dựa trên nội dung đó.

Đồng bộ là thủ công và chỉ dành cho Pro. Bạn bấm nút. Không có việc tải lên chạy nền, không tải lên lúc đăng nhập, không tải lên theo hẹn giờ.

Bạn có thể xoá bản đã lưu trên máy chủ mà không cần xoá tài khoản, ở trang Sync của bảng điều khiển web. Việc đó làm được ngay cả khi không còn giấy phép, nên huỷ gói không bao giờ nhốt dữ liệu của bạn lại trên máy chủ chúng tôi.

Đồng bộ Chrome là chuyện khác, và nó đi tới Google

Cạnh nút Đồng bộ máy chủ còn một nút thứ hai, Đồng bộ với Chrome. Nó dễ bị đọc thành một tiện nghi cục bộ, nhưng nó không phải vậy.

Bấm nút đó là ghi toàn bộ hồ sơ đang hoạt động (tiêu đề và URL của từng thẻ, nội dung ghi chú, cột, thư mục và nhãn) cộng dữ liệu tập trung, thiết lập Pomodoro, và tên cùng số mục của từng hồ sơ khác của bạn, vào kho đồng bộ của chính Chrome, mà Chrome thì nhân bản nó qua tài khoản Google của bạn sang các trình duyệt khác. Nó không hề đi tới máy chủ TabOasis, và nó là thứ lớn nhất mà tiện ích có thể gửi đi bất cứ đâu.

Nó chỉ dành cho Pro và hoàn toàn thủ công: không có gì được ghi cho tới khi bạn bấm nút. Sau đó Google làm gì với nó là chuyện thuộc chính sách của Google, không phải chính sách này; và muốn gỡ nó đi thì phải xoá từ tài khoản Google của bạn, chứ không phải từ chỗ chúng tôi.

Đăng nhập bằng Google

Tiếp tục với Google là tuỳ chọn; email và mật khẩu vẫn dùng tốt như vậy. Nếu bạn dùng nó, Google xác nhận bạn là ai và gửi cho chúng tôi mã định danh tài khoản Google của bạn, địa chỉ email, việc Google đã xác minh địa chỉ đó hay chưa, tên của bạn và một liên kết tới ảnh hồ sơ. Chúng tôi từ chối địa chỉ mà Google chưa xác minh. Chúng tôi giữ mã định danh và ngày bạn nối nó, và, chỉ khi đăng nhập bằng Google tạo ra tài khoản, cả địa chỉ email và tên, như liệt kê ở mục Chúng tôi lưu gì phía trên. Cờ xác minh chỉ được kiểm tra chứ không được giữ, và chúng tôi không giữ liên kết ảnh.

Chúng tôi chỉ nhờ Google xác nhận bạn là ai (các phạm vi openid email profile). Chúng tôi không bao giờ thấy mật khẩu Google của bạn, không giữ access token nào của Google, và không bao giờ thay bạn gọi một dịch vụ nào của Google. Về phía Google, Google biết rằng bạn đã đăng nhập vào TabOasis; điều đó thuộc chính sách quyền riêng tư của Google.

Không có nút nào để ngắt Google khỏi một tài khoản; xoá tài khoản sẽ gỡ luôn mối nối. Gỡ TabOasis khỏi danh sách ứng dụng đã kết nối với tài khoản Google của bạn không xoá gì ở đây cả.

Báo cáo lỗi

Biểu mẫu báo lỗi là chỗ duy nhất bạn có thể trao đi bất cứ thứ gì bạn muốn, nên nó cũng là chỗ duy nhất cần cẩn thận. Những gì được lưu:

• Mô tả của bạn, văn bản tự do, đúng như bạn gõ. Bạn đặt gì vào đó thì chúng tôi nhận đúng thứ đó.
• Email của bạn, nếu bạn điền, chỉ dùng để trả lời. Trên biểu mẫu ở bảng điều khiển web, để trống ô này thì địa chỉ tài khoản của bạn được gửi thay.
• Chuỗi user-agent của trình duyệt (đã cắt bớt), ngôn ngữ giao diện, phiên bản tiện ích và chế độ xem bạn đang ở, tất cả được đính kèm tự động.
• Mã cài đặt nói ở trên, đó là cách một báo cáo được ghép với các sự kiện sử dụng quanh nó, và chỉ khi Chia sẻ thống kê sử dụng đang bật. Tắt công tắc đó thì báo cáo được gửi đi mà không kèm mã nào.

Gửi một báo cáo luôn là quyết định của chính bạn, nên công tắc thống kê sử dụng không chặn việc đó; thứ mà công tắc ấy quyết định ở đây là mã cài đặt. Một báo cáo được giữ 180 ngày, rồi bị tác vụ dọn dẹp hằng đêm xoá đi, dù có ai xử lý nó hay không. Dài hơn 90 ngày của sự kiện sử dụng, vì một báo cáo chưa được sửa vẫn là một việc còn phải làm.

Xoá tài khoản thì không phải đợi hết 180 ngày đó, với những báo cáo bạn gửi khi đang đăng nhập. Nó xoá khỏi những báo cáo đó: phần mô tả bạn đã gõ, địa chỉ email trên đó, thông tin trình duyệt, và mã cài đặt. Thứ còn lại là ngày tháng, báo cáo tới từ ứng dụng nào, và nó đã được đánh dấu đã xử lý hay chưa.

Báo cáo bạn gửi khi chưa đăng nhập thì không nằm trong đó. Tiện ích cho phép báo lỗi mà không cần tài khoản, và báo cáo như vậy không gắn với tài khoản nào, nên việc xoá tài khoản không có cách nào tìm ra nó, và nó giữ nguyên những gì bạn đã nhập cho tới khi hết 180 ngày. Nếu bạn muốn gỡ một báo cáo sớm hơn, hãy nói với chúng tôi.

Bảng đề xuất tính năng

Đăng một đề xuất, bình luận, bỏ phiếu hay thả biểu cảm đều được lưu gắn với tài khoản của bạn. Bài công khai và bình luận của nó ai đăng nhập cũng xem được, với tên của bạn (không phải email) hiện ra ở vai trò tác giả. Bài đánh dấu riêng tư thì chỉ bạn và quản trị viên thấy.

Bài đăng và bình luận sống lâu hơn tài khoản của bạn: xoá tài khoản sẽ gỡ tên bạn ra và để nguyên phần chữ, vì xoá cả luồng sẽ kéo theo phản hồi của người khác. Phiếu bầu và biểu cảm của bạn thì bị xoá. Bạn tự xoá được bài của mình trong lúc nó còn đang chờ xem xét, hoặc bất cứ lúc nào nếu nó là bài riêng tư.

Thông tin thẻ

Chúng tôi không bao giờ nhận được. TabOasis được bán qua Polar, bên đứng ra làm người bán chính thức (merchant of record): trong giao dịch, người bán là Polar chứ không phải TabOasis. Trang thanh toán của Polar thu tiền, Polar gửi biên nhận, tự tính và thu thuế bán hàng hay VAT nếu nơi bạn sống có áp dụng, và xử lý mọi tranh chấp về một khoản thu. Riêng số thẻ thì Polar chuyển cho Stripe, đơn vị xử lý thanh toán mà họ dùng. Tiện ích và máy chủ này không bao giờ thấy số thẻ.

Khi bạn bắt đầu thanh toán, chúng tôi gửi cho Polar hai thứ: mã nội bộ của tài khoản bạn, để khoản thanh toán khớp được về đúng tài khoản khi nó quay lại, và địa chỉ email tài khoản, để điền sẵn vào biểu mẫu. Các thông báo Polar gửi lại cho chúng tôi mô tả đơn hàng và gói thuê bao, và trong đó chúng tôi chỉ giữ: mã mà Polar gán cho mỗi đơn hàng, kèm số tiền, đơn vị tiền và trạng thái; và trên bản ghi giấy phép là gói, các mốc thời gian, trạng thái, cùng mã khách hàng và mã thuê bao bên Polar nối tài khoản của bạn với việc thanh toán.

Mọi thứ khác cần để thu tiền và tính thuế (tên, địa chỉ thanh toán, thẻ, và quốc gia bạn đang thanh toán từ đó) do Polar và Stripe tự thu thập, và thuộc chính sách quyền riêng tư của họ, không phải chính sách này.

Khoá AI

Nếu bạn dùng tính năng AI, bạn tự đưa khoá OpenAI hoặc Google Gemini của mình vào. Khoá được lưu trong trình duyệt của bạn và dùng để gọi thẳng tới nhà cung cấp đó từ máy bạn. Nó không bao giờ được gửi tới máy chủ của chúng tôi, và nó cũng không nằm trong khối dữ liệu đồng bộ, nên ở đây không có gì để rò rỉ.

Thứ được gửi tới nhà cung cấp đó là lời nhắc của bạn, tuỳ hành động mà có thể gồm tiêu đề và URL dấu trang, nội dung một ghi chú, hay một câu tìm kiếm. Nếu bạn xây chỉ mục tìm kiếm, phần chữ trong thư viện của bạn được gửi đi để chuyển thành vector. Tất cả những thứ đó thuộc chính sách của nhà cung cấp ấy, không phải chính sách này.

Ai khác nhìn thấy được

Không ai, theo nghĩa quan trọng nhất: chúng tôi không bán, cho thuê, trao đổi hay chia sẻ dữ liệu của bạn cho bất kỳ ai phục vụ mục đích của họ.

Có những dịch vụ sau tham gia vận hành sản phẩm, mỗi bên chỉ thấy đúng phần của mình:

• Polar: bán TabOasis thay cho chúng tôi, với tư cách người bán chính thức. Nhận email tài khoản và một mã tài khoản nội bộ khi bạn bắt đầu thanh toán, và thu thập những gì cần để thu tiền và kê khai thuế. Là người bán, Polar giữ hồ sơ riêng về giao dịch, theo chính sách quyền riêng tư của họ.
• Stripe: đơn vị xử lý thanh toán đứng sau trang thanh toán của Polar. Thấy thông tin thẻ của bạn, thứ chúng tôi không bao giờ thấy. Đây cũng là đường Polar chuyển tiền cho người phát triển.
• Google, với vai trò bên đăng nhập: chỉ khi bạn dùng Tiếp tục với Google. Xác nhận bạn là ai, gửi cho chúng tôi những thông tin liệt kê ở mục Đăng nhập bằng Google, và biết rằng bạn đã đăng nhập vào TabOasis.
• Dịch vụ favicon của Google: thấy tên miền của từng dấu trang đã lưu đang được vẽ, và của URL bạn gõ vào biểu mẫu thêm mục. Với mọi người, luôn luôn.
• Google, qua Đồng bộ Chrome: nhận toàn bộ hồ sơ đang hoạt động của bạn nếu bạn bấm Đồng bộ với Chrome, thông qua chính tài khoản Google của bạn.
• Open-Meteo: nhận toạ độ của bạn, hoặc tên thành phố bạn gõ, cho widget thời tiết.
• BigDataCloud: nhận toạ độ của bạn, để đổi thành tên thành phố.
• jsDelivr, Unsplash và YouTube: nhận yêu cầu tải tệp âm thanh nền, ảnh nền và video bạn thêm vào, trong chế độ tập trung.
• OpenAI hoặc Google Gemini: nhận lời nhắc của bạn, bằng khoá của chính bạn.
• Mọi website bạn đã lưu dấu trang: nhận một yêu cầu từ trình duyệt của bạn hỏi xem liên kết còn sống không, trong lúc một lần Kiểm tra dấu trang do bạn khởi động đang chạy.
• Dịch vụ email được cấu hình cho bản cài này: chuyển thư đặt lại mật khẩu, trong thư chỉ có một liên kết dùng-một-lần và không gì khác về bạn.

Máy chủ được tự lưu trữ trên phần cứng do chính người phát triển vận hành. Nó không nằm trên nền tảng phân tích của bên thứ ba nào, và không có thoả thuận chia sẻ dữ liệu với bất kỳ ai.

Lựa chọn của bạn

• Dùng mà không cần tài khoản. Khi đó toàn bộ phần “khi có tài khoản” không áp dụng, nhưng hãy đọc mục Khi không có tài khoản, vì như thế không đồng nghĩa với việc không có gì rời khỏi trình duyệt của bạn.

• Tắt thống kê sử dụng. Bánh răng → Quản lý dữ liệu → Chia sẻ thống kê sử dụng. Có hiệu lực ngay, và bỏ luôn phần đang chờ gửi.

• Tắt widget thời tiết. Bánh răng → Tùy chọn → Hiển thị thời tiết. Thế là dừng mọi yêu cầu thời tiết. Đơn giản là không bao giờ bấm Đặt vị trí cũng có tác dụng tương tự: nó không tự hỏi bao giờ.

• Xuất toàn bộ. JSON hoặc Markdown, bất cứ lúc nào, ở bánh răng → Quản lý dữ liệu. Không cần tài khoản.

• Xoá bản đã đồng bộ mà không xoá tài khoản. Trang Sync của bảng điều khiển liệt kê những gì đang được lưu và xoá được nó. Không cần giấy phép.

• Thu hồi một phiên. Trang Devices của bảng điều khiển liệt kê mọi phiên đang đăng nhập và đăng xuất được từng phiên. Việc đó lập tức huỷ thông tin đăng nhập mà phiên ấy dùng để tự gia hạn, nên nó không bao giờ đăng nhập lại được. Nhưng cái token ngắn hạn nó đang cầm vẫn dùng được cho tới khi hết hạn, tức là tối đa 15 phút. Hãy coi một phiên đã thu hồi là biến mất trong vòng mười lăm phút, chứ không phải ngay tức khắc. Nếu thiết bị đó có thể đang trong tay người khác, hãy đổi cả mật khẩu.

• Xoá tài khoản. Ở trang Account của bảng điều khiển, cuối trang. Thao tác này cần mật khẩu của bạn (hoặc, với tài khoản tạo bằng Google vốn không có mật khẩu, một lượt đăng nhập Google mới), có hiệu lực ngay, và không hoàn tác được. (Trong tiện ích không có nút xoá tài khoản.)

  Nó xoá: chính tài khoản (kể cả mối nối với tài khoản Google của bạn), mọi phiên trên mọi thiết bị, giấy phép của bạn cùng các thiết bị đăng ký theo nó, toàn bộ bảng đã đồng bộ, bản ghi thanh toán, lịch sử đăng nhập, thông báo, và phiếu bầu cùng biểu cảm của bạn trên bảng đề xuất tính năng. Khác với việc thu hồi một phiên, việc này có hiệu lực tức thì: mỗi yêu cầu đều kiểm tra lại xem tài khoản còn tồn tại không.

  Nó xoá khỏi các bản ghi hoạt động vĩnh viễn nói ở trên: mọi dòng hoạt động theo ngày của những ngày bản cài của bạn đang đăng nhập. Trên từng bản ghi bản cài mà tài khoản của bạn là tài khoản đăng nhập đầu tiên, nó còn xoá liên kết tới tài khoản, thời điểm liên kết đó, cùng các trường môi trường: phiên bản, trình duyệt, hệ điều hành, ngôn ngữ và chủ đề màu. Liên kết đầu tiên ấy được ghi một lần và không bao giờ dời sang tài khoản sau, nên một trình duyệt đã có người khác đăng nhập trước bạn sẽ mang liên kết của họ chứ không phải của bạn, và việc xoá không chạm tới bản ghi đó; thứ còn lại trên nó là liên kết của họ và một ảnh chụp về trình duyệt, thứ sẽ bị tín hiệu định kỳ kế tiếp của nó ghi đè. Và với ba ngày gần nhất, tác vụ hằng đêm có thể dựng lại một dòng hoạt động đã bị xoá từ các sự kiện sử dụng còn sống sót sau khi bị gỡ liên kết, nên một ngày như vậy có thể quay lại dưới dạng một con số trần, nhưng không bao giờ kèm tài khoản, và tài khoản mới là phần không quay lại.

  Nó để lại: bài đăng và bình luận bạn đã viết trên bảng đề xuất tính năng, vẫn đọc được nhưng đã gỡ tên bạn ra; sự kiện sử dụng, bị gỡ liên kết rồi bị xoá theo lịch 90 ngày của riêng chúng; chính bản ghi bản cài, sau khi phần xoá ở trên chạy thì chỉ còn một mã cài đặt và vài mốc thời gian, vì nó mô tả một trình duyệt chứ không phải một con người, và xoá nó đi sẽ khiến một bản cài vẫn đang chạy trông như vừa mới cài; các dòng hoạt động theo ngày của những ngày bản cài đó chưa đăng nhập, vốn không mang gì ghép được với bạn (đúng giới hạn mà sự kiện sử dụng lúc chưa đăng nhập cũng có); các số đếm theo ngày cho từng tên sự kiện, vốn là số tổng của tất cả mọi người và chưa bao giờ mang mã cài đặt hay tài khoản; và một mẩu của mỗi báo cáo lỗi (ngày tháng, báo cáo tới từ ứng dụng nào, và nó đã được xử lý hay chưa). Phần mô tả, địa chỉ email, thông tin trình duyệt và mã cài đặt bị xoá khỏi các báo cáo đó ngay trong lúc xoá tài khoản, còn cái mẩu còn lại đi theo lịch 180 ngày của riêng nó.

  Bài trên bảng đề xuất là ngoại lệ có chủ đích, vì người khác đã trả lời và bình chọn cho chúng, và xoá trắng một bài sẽ kéo theo cả luồng thảo luận của họ. Nếu bạn muốn gỡ một bài, hãy tự xoá nó trước khi xoá tài khoản, hoặc nói với chúng tôi.

  Hai cảnh báo. Hãy xuất bảng của bạn ra trước: trong luồng xoá không có bước xuất dữ liệu, và sau đó không có khoảng thời gian nào để lấy lại. Và hãy huỷ gói thuê bao đang chạy ở mục Billing trước khi xoá: xoá tài khoản không huỷ bất cứ thứ gì bên Polar, và lối vào cổng thanh toán từ bảng điều khiển mất theo tài khoản. Các email của Polar vẫn có đường dẫn tới cổng đó, nơi bạn đăng nhập bằng email, nên sau khi xoá vẫn huỷ được gói thuê bao và biên lai vẫn nằm ở đó. Bản ghi của chính chúng tôi rằng bạn từng trả tiền thì biến mất cùng tài khoản.

Trẻ em

TabOasis không hướng tới trẻ em dưới 13 tuổi và chúng tôi không cố ý thu thập dữ liệu từ các em.

Thay đổi

Nếu chính sách này thay đổi đáng kể, ngày ở đầu trang sẽ đổi và thay đổi đó được ghi trong ghi chú phát hành. Tiếp tục dùng tiện ích sau thời điểm đó nghĩa là bạn chấp nhận bản đã sửa.

Liên hệ

Có câu hỏi, hoặc muốn yêu cầu gì về dữ liệu của bạn (kể cả gỡ một báo cáo lỗi hay một bài đăng trên bảng đề xuất): mở một issue trên trình theo dõi lỗi của dự án, hoặc dùng chức năng báo lỗi ngay trong ứng dụng. Cả hai đều tới cùng một chỗ.