Chúng tôi lưu gì và vì sao

Bản ngắn: bảng của bạn nằm trên máy của bạn, và cách duy nhất để một bản sao của nó tới được máy chủ TabOasis là chính bạn nhấn Tải lên. Bản dài hơn nằm ở dưới, vì “chúng tôi coi trọng quyền riêng tư của bạn” không phải là một bản kiểm kê, còn trang này thì được viết ra để làm đúng việc đó.

Trên thiết bị của bạn

TabOasis dùng bộ nhớ tiện ích của chính trình duyệt. Không thứ nào trong đó được gửi đi đâu chỉ vì nó nằm ở đó.

Cái gì	Chứa gì
Bảng của bạn	mọi dấu trang, công việc, ghi chú và nhóm dấu trang — tiêu đề, URL, nội dung ghi chú, nhãn, ngày đến hạn
Các hồ sơ của bạn	vẫn từng ấy thứ, mỗi hồ sơ một bộ, cộng thêm ảnh đại diện
Dữ liệu Tập trung	ghi chú dán, lịch sử phiên, ảnh nền, danh sách phát nhạc
Cài đặt	mọi tùy chọn, gồm cả độ dài Pomodoro
Tài khoản	các token đăng nhập của bạn, và `{ id, email, name }` khi bạn đã đăng nhập
Giấy phép	gói, trạng thái, hạn dùng, và lần kiểm tra gần nhất
Cài đặt AI	khóa API của bạn, đã được làm rối; nhà cung cấp và mô hình
Mã cài đặt	một mã định danh ngẫu nhiên được tạo ra trên thiết bị này lần đầu tiên nó cần đến

Hai thứ nữa, nằm ngoài bộ nhớ tiện ích:

Một bộ nhớ đệm thời tiết — vĩ độ, kinh độ, thành phố và quốc gia — được giữ trong bộ nhớ trình duyệt thông thường chừng nào tiện ích thời tiết còn bật.
Một chỉ mục tìm kiếm — mỗi mục một vector, nếu bạn đã tạo chỉ mục cho tìm kiếm AI. Vector không phải là văn bản đọc được, nhưng chúng được suy ra từ tiêu đề, URL, nội dung và tên nhãn của bạn, nên hãy coi chúng là một phần thư viện của bạn chứ đừng coi là dữ liệu vô danh.

Gỡ tiện ích sẽ xóa toàn bộ số đó khỏi trình duyệt ấy. Không có bước dọn dẹp riêng nào. Một bản sao bạn đã tải lên bằng Đồng bộ đám mây lại là chuyện khác — xem Gỡ bản sao trên máy chủ đi ở dưới.

Những gì tới được máy chủ TabOasis

Bốn thứ, và chỉ bốn thứ này.

1. Tài khoản của bạn

Email, mật khẩu và một cái tên tùy chọn khi đăng ký. Mỗi lần đăng nhập cũng ghi lại phiên mà nó tạo ra: địa chỉ IP, chuỗi user-agent của trình duyệt, cùng quốc gia và thành phố mà IP đó phân giải ra. Đó là thứ giúp trang Devices & sessions trên bảng điều khiển hiện cho bạn một danh sách mà bạn nhận ra được và kết thúc được.

2. Giấy phép của bạn

Gói, trạng thái, các mốc ngày, và các mã định danh Stripe nối chúng với khoản thanh toán của bạn. Thông tin thẻ không bao giờ chạm tới TabOasis — việc thanh toán diễn ra trên Stripe.

3. Bảng của bạn — chỉ khi bạn đồng bộ

Đồng bộ máy chủ tải lên toàn bộ thư viện: mọi hồ sơ, mọi mục, nội dung ghi chú, nhãn, thư mục, ảnh đại diện, dữ liệu Tập trung và cài đặt. Đây là thứ lớn nhất mà tiện ích từng gửi đi, lớn hơn hẳn mọi thứ khác.

Nó thủ công, và chỉ dành cho Pro. Không có lần tải lên chạy nền, không có lần tải lên khi đăng nhập, và không có lần tải lên theo giờ. Chừng nào bạn chưa nhấn Tải lên, máy chủ không giữ gì cả.

Khóa API của bạn không nằm trong đó. Xem Khóa API nằm ở đâu.

4. Thống kê sử dụng, và báo cáo lỗi

Được nói ở hai mục tiếp theo, vì đó là hai thứ đáng được nói chi tiết.

Thống kê sử dụng

Công tắc nằm ở bánh răng → Quản lý dữ liệu: Chia sẻ thống kê sử dụng ẩn danh, được ứng dụng mô tả là Giúp cải thiện TabOasis. Không bao giờ bao gồm dấu trang, ghi chú hay lịch sử duyệt web của bạn.

Nó bật sẵn. Tắt nó đi sẽ dừng việc thu thập và bỏ luôn những gì đang xếp hàng chờ gửi.

Thứ được gửi đi khi nó đang bật là một danh sách cố định các tên sự kiện kèm một danh sách cố định các thuộc tính: bạn chuyển sang chế độ xem nào, rằng đã có một lần tìm kiếm xảy ra, rằng một phiên tập trung đã kết thúc và nó chạy bao nhiêu phút, bạn chọn chủ đề màu nào, tên của một lớp lỗi. Mỗi ngày một lần nó cũng gửi một tín hiệu định kỳ gồm phiên bản tiện ích, tên hãng trình duyệt của bạn, hệ điều hành, ngôn ngữ và chủ đề màu của bạn.

Các con số đếm được xếp vào khoảng — 0, 1-10, 11-50, 51-200, 200+ — nên kích thước chính xác của thư viện không bao giờ rời khỏi thiết bị.

Tính chất quan trọng ở đây là chuyện cấu trúc chứ không phải một lời hứa: máy chủ không có trường nào cho một URL, cho tiêu đề trang hay tiêu đề dấu trang, cho nội dung ghi chú, cho câu truy vấn tìm kiếm hay cho một lời nhắc AI, và bất cứ thứ gì nó không nhận ra đều bị bỏ đi ngay khi tới nơi. Sự kiện ghi lại một lần tìm kiếm ghi rằng có một lần tìm kiếm, chứ không ghi bạn đã tìm gì.

Các sự kiện được gắn mã cài đặt nói ở trên, vốn riêng cho từng bản cài và không bao giờ được đổi. Nếu bạn đang đăng nhập lúc một lô sự kiện được gửi đi, lô đó cũng được nối với tài khoản của bạn — nên xét từng sự kiện thì nó là giả danh, còn xét gộp lại thì nó truy ngược về bạn được. Nó bị xóa sau 90 ngày.

Báo cáo lỗi

Báo lỗi, ở cùng mục cài đặt đó. Đây là chỗ duy nhất bạn có thể trao đi bất cứ thứ gì bạn muốn, nên nó cũng là chỗ duy nhất cần cẩn thận.

Ba trường đi kèm nó, và đây là dữ liệu cá nhân thật sự trong toàn bộ sản phẩm:

Trường	Nó là gì
Mô tả của bạn	văn bản tự do, được lưu đúng như bạn gõ. Bạn đặt gì vào đó — một URL, một cái tên, chi tiết nhiều bằng cả một ảnh chụp màn hình — thì chúng tôi nhận đúng thứ đó.
Email của bạn	tùy chọn, và chỉ dùng để trả lời. Trên biểu mẫu ở bảng điều khiển web, ô này được điền sẵn địa chỉ tài khoản của bạn, nên nó sẽ được gửi đi trừ khi bạn xóa nó.
Trình duyệt của bạn	toàn bộ chuỗi user-agent, được ghi lại tự động cùng phiên bản tiện ích, ngôn ngữ của bạn và chế độ xem bạn đang ở.

Báo cáo lỗi cũng được gắn mã cài đặt, đó là cách một báo cáo được ghép với các sự kiện quanh nó — và, khác với các sự kiện đó, báo cáo lỗi không bị xóa theo lịch. Hãy cứ cho rằng một báo cáo được giữ lại.

Không thứ nào trong số này được thu thập trừ khi bạn mở hộp thoại và nhấn Gửi báo cáo.

Bên thứ ba

Một số việc tiện ích làm là những yêu cầu gửi tới máy chủ của người khác. Liệt kê chúng ra chính là mục đích của trang này.

Đi tới	Nó nhận được gì	Khi nào
Google, qua Đồng bộ Chrome	toàn bộ hồ sơ đang dùng — tiêu đề và URL của mọi mục, nội dung ghi chú, cùng các cột, thư mục và nhãn của hồ sơ đó, và dữ liệu Tập trung của bạn	chỉ khi bạn nhấn Đồng bộ với Chrome — xem bên dưới
Dịch vụ favicon của Google	tên miền của mỗi dấu trang đang được vẽ ra, và của các tab bạn đang mở	luôn luôn, với mọi người — xem bên dưới
Open-Meteo	tọa độ của bạn, hoặc tên một thành phố bạn gõ vào	tiện ích thời tiết
BigDataCloud	tọa độ của bạn	phân giải “vị trí của bạn” cho thời tiết
OpenAI hoặc Google Gemini	các lời nhắc của bạn — tiêu đề, URL, nội dung ghi chú, câu truy vấn tìm kiếm	chỉ các tính năng AI, bằng khóa của chính bạn
jsDelivr, Unsplash, YouTube	các yêu cầu tải tệp âm thanh, ảnh nền và những video bạn thêm vào	chế độ Tập trung
Mọi trang web bạn đã lưu dấu trang	một yêu cầu từ trình duyệt của bạn, để xem liên kết đó còn dẫn tới đâu không	Kiểm tra sức khỏe dấu trang, khi bạn chạy nó

Đồng bộ Chrome là nút đồng bộ thứ hai trong khung Đồng bộ đám mây, và rất dễ bị đọc thành một tiện ích chạy cục bộ. Nó không phải vậy. Nhấn Đồng bộ với Chrome sẽ ghi toàn bộ hồ sơ đang dùng — tiêu đề và URL của mọi dấu trang, công việc và ghi chú, nội dung ghi chú, các cột, thư mục và nhãn, cộng thêm dữ liệu Tập trung của bạn — vào chrome.storage.sync, và Chrome nhân bản chỗ đó qua tài khoản Google của bạn để tới được các trình duyệt khác của bạn.

Nghĩa là chính cái thư viện đi qua Google, chứ không phải chỉ mấy cái tên miền ở dưới. Đó là tài khoản Google của chính bạn và chuyện đó chỉ xảy ra khi bạn nhấn nút, nhưng đây là luồng dữ liệu ra bên thứ ba lớn nhất trên trang này, lớn hơn hẳn phần còn lại, và nó xứng đáng được đọc đúng như vậy. Ngược lại, Đồng bộ máy chủ chỉ đi tới TabOasis.

Để vẽ cái biểu tượng nhỏ của trang web lên một thẻ dấu trang, TabOasis hỏi xin nó từ dịch vụ favicon công khai của Google — nghĩa là Google nhìn thấy tên miền của mỗi dấu trang bạn hiển thị. Chuyện này xảy ra với mọi người dùng, không cần AI, không cần tài khoản và không cần Pro, và không có cài đặt nào tắt nó đi được.

Nó không giới hạn ở những thứ bạn đã lưu. Mở cửa sổ bật lên trên thanh công cụ là vẽ một biểu tượng cho chính trang bạn đang mở, còn danh sách Chọn một tab để điền sẵn… trong hộp thoại mục thì vẽ một biểu tượng cho mọi tab bạn đang mở — nên những tên miền đó cũng đi tới Google, không dính dáng gì tới dấu trang và không có gì được lưu lại.

Đó là tên miền (hostname), không phải URL đầy đủ, và không có mã định danh nào đi kèm — nhưng đó vẫn là một bên thứ ba nhìn thấy một phần thư viện của bạn và một phần các tab bạn đang mở, và nó thuộc về trang này chứ không phải một dòng chú thích cuối trang.

Gỡ bản sao trên máy chủ đi

Bảng điều khiển web có một trang Sync. Nó liệt kê những gì tài khoản của bạn đang thật sự lưu — mục dữ liệu đó, số phiên bản của nó và lần ghi gần nhất — và cho bạn một nút xóa nó. Xóa ở đó sẽ gỡ bản sao đang lưu; các bảng trên thiết bị của bạn không bị đụng tới, và lần Tải lên kế tiếp đơn giản là tạo ra một bản mới.

Đó là toàn bộ thư viện của bạn. Bản thân tài khoản, giấy phép và lịch sử thanh toán của bạn được gỡ bằng một thao tác riêng, nói ngay dưới đây.

Xóa chính tài khoản

Trang Overview trên bảng điều khiển có khung Delete account ở cuối. Nó hỏi lại mật khẩu của bạn — thao tác này không thể hoàn tác, không có bản lưu tạm, không có bước xuất dữ liệu, nên một trình duyệt đang đăng nhập bị người khác ngồi vào thì chưa đủ để làm việc đó.

Xác nhận xong sẽ xóa ngay và vĩnh viễn:

tài khoản của bạn — email, tên và mã băm mật khẩu;
mọi phiên đăng nhập, trên mọi thiết bị, cả tiện ích lẫn bảng điều khiển;
giấy phép của bạn và các thiết bị đã đăng ký với nó;
thư viện đã đồng bộ — toàn bộ bản sao trên máy chủ, mọi hồ sơ;
lịch sử thanh toán — ghi nhận những khoản bạn đã bị thu;
lịch sử đăng nhập và các thông báo của bạn.

Có hai thứ ở lại, nhưng bị gỡ tên bạn ra chứ không bị xóa: các báo cáo lỗi bạn đã gửi (phần nội dung ở lại, để một cuộc điều tra đang mở không biến mất giữa chừng) và mọi thứ bạn đã đăng trên bảng đề xuất tính năng — các đề xuất và bình luận vẫn đọc được, ghi là của một tài khoản đã bị gỡ, vì xóa chúng sẽ kéo theo cả phần trả lời của người khác. Dữ liệu đo đạc sản phẩm cũng mất liên kết tới bạn theo cách đó, và bị dọn theo lịch 90 ngày của riêng nó.

Hãy lưu lại những gì bạn cần trước khi bấm xác nhận. Luồng này không có bước xuất dữ liệu, không gửi email kèm bản sao, và sau đó không có cửa sổ khôi phục nào — nên hãy xuất bảng của bạn ra JSON hoặc Markdown từ tiện ích trước, và giữ lại biên nhận thanh toán: Stripe gửi email biên nhận cho mỗi lần thu tiền, còn trang Billing chỉ mở được chúng khi tài khoản vẫn còn. Một khi tài khoản biến mất, ghi nhận việc bạn đã từng trả tiền cũng biến mất khỏi TabOasis theo.

Không thứ gì trên máy của bạn bị đụng tới. Gỡ tiện ích là một bước riêng, và bảng dữ liệu cục bộ của bạn vẫn nguyên vẹn sau khi xóa tài khoản.

Những gì tiện ích cố tình không làm

Nó không đọc các trang bạn ghé thăm. Đoạn mã nó chèn vào trang chỉ tồn tại để vẽ lớp phủ Spotlight, và không đọc gì từ trang mà nó đang nằm trên đó.
Nó không theo dõi lịch sử duyệt web của bạn. Không quyền lịch sử nào được xin, không có gì ghi lại bạn đã đi đâu, và không URL của tab nào từng được lưu hay tải lên trừ khi chính bạn lưu tab đó thành một dấu trang. Nó nhìn thấy được các tab bạn đang mở — đó là thứ điền vào Dùng tab này và Dùng tất cả tab trong cửa sổ bật lên. Ngoại lệ duy nhất là dịch vụ favicon ở trên: vẽ biểu tượng của một tab là gửi tên miền của nó tới Google. Đó chỉ là tên miền, không phải URL, không phải tiêu đề, không phải bất cứ thứ gì trên trang — nhưng nó có rời khỏi trình duyệt, nên nói “không có gì về các tab đang mở của bạn đi đâu cả” sẽ là một tuyên bố quá mạnh.
Nó không bán hay chia sẻ dữ liệu với bên quảng cáo. Không thứ nào trong danh sách trên là một mạng quảng cáo.
Nó không tải bảng của bạn lên ở chế độ nền. Đồng bộ là một cái nút.