Chính sách quyền riêng tư

Sổ Chi · iOS · Cập nhật lần cuối: 26/10/2026

Chính sách này giải thích Sổ Chi thu thập, dùng, chia sẻ và lưu dữ liệu gì khi bạn dùng ứng dụng iOS và trang pháp lý này.

1. Ai kiểm soát dữ liệu

Bên kiểm soát dữ liệu là Thanh DAO, nhà phát triển cá nhân, địa chỉ Hà Nội, Việt Nam. Mọi câu hỏi hoặc yêu cầu về dữ liệu: customer-support@quietfleet.dev.

2. Dữ liệu chúng tôi thu thập

Tài khoản và hộ

Mã người dùng, nhà cung cấp đăng nhập (Apple hoặc Google), email và tên nếu Apple/Google chia sẻ (Apple có thể dùng địa chỉ email ẩn), tên hiển thị và ngôn ngữ.
Nếu bạn đăng nhập bằng Apple: refresh token của Apple, chỉ dùng để thu hồi quyền truy cập khi bạn xoá tài khoản.
Tên hộ, đơn vị tiền tệ, múi giờ, thành viên, mã mời, thời điểm tham gia và lịch sử thử mã mời để chống lạm dụng.

Sổ chi tiêu

Tin nhắn bạn gửi và câu trả lời của ứng dụng.
Khoản chi/thu: số tiền, ghi chú, danh mục, ngày, người tạo và trạng thái xoá mềm.
Danh mục của hộ và bộ nhớ đệm phân loại (cách ghi chú đã được gán vào danh mục nào).

Gói Sổ Chi Plus

Gói, mã sản phẩm, trạng thái, ngày hết hạn và môi trường giao dịch (thật hoặc thử nghiệm).
Mã hộ được dùng làm App User ID của RevenueCat và sự kiện webhook về trạng thái gói. Apple xử lý thanh toán; chúng tôi không nhận số thẻ hay thông tin thanh toán đầy đủ.

Xử lý bằng AI

Nội dung tin nhắn (và tin nhắn gốc khi bạn trả lời câu hỏi làm rõ), danh mục của hộ, ngôn ngữ và ngày hiện tại được gửi tới OpenRouter để bóc tách khoản chi/thu.
Số token, chi phí, trạng thái và thời gian xử lý được lưu trong bảng ai_usage để áp giới hạn sử dụng.

Phân tích

Sự kiện như đăng nhập, tạo/tham gia hộ, gửi tin nhắn, bóc tách, thêm/sửa/xoá khoản chi, xem báo cáo, đổi ngôn ngữ hoặc giao diện, chạm giới hạn AI và xoá tài khoản.
Thuộc tính sự kiện chỉ gồm số đếm, độ dài, trạng thái, tên trường đã sửa, mã lỗi và mã định danh. Chúng tôi không gửi nội dung tin nhắn, số tiền, ghi chú, tên hộ hay email trong thuộc tính sự kiện.
PostHog nhận mã người dùng giả danh (mã tài khoản), mã hộ làm nhóm phân tích, ngôn ngữ, nhà cung cấp đăng nhập, đơn vị tiền tệ, gói, cùng thông tin kỹ thuật tiêu chuẩn do SDK gửi kèm.
Ghi lại phiên màn hình (session replay) hiện đang tắt. Các cờ che văn bản và ảnh được đặt sẵn để nếu sau này bật thì mặc định đã che.

Trên thiết bị

Ứng dụng lưu phiên đăng nhập và bản sao dữ liệu (tin nhắn, khoản chi, danh mục, trạng thái gói) trong bộ nhớ đệm để mở nhanh. Bộ nhớ đệm bị xoá khi bạn đăng xuất, rời hộ hoặc xoá tài khoản.

Chúng tôi không yêu cầu quyền truy cập ảnh, camera, micro, danh bạ hay vị trí. Chúng tôi không hiển thị quảng cáo và không dùng dữ liệu để theo dõi bạn trên ứng dụng hay trang web khác.

3. Vì sao chúng tôi dùng dữ liệu

Cung cấp dịch vụ: xác thực, đồng bộ sổ của hộ, bóc tách tin nhắn và hiển thị báo cáo.
Quản lý gói Plus và quyền truy cập của hộ.
Bảo mật, chống lạm dụng, chống vượt giới hạn AI và xử lý lỗi.
Phân tích cách sử dụng để cải thiện ứng dụng.
Tuân thủ pháp luật, giải quyết tranh chấp và bảo vệ quyền của chúng tôi và người dùng.

Chúng tôi dựa vào việc thực hiện hợp đồng với bạn, sự đồng ý của bạn khi pháp luật yêu cầu, và lợi ích hợp pháp của chúng tôi trong việc vận hành, bảo mật và cải thiện dịch vụ.

4. Chia sẻ với ai

Supabase: Lưu trữ cơ sở dữ liệu, xác thực và các hàm máy chủ. Dữ liệu của ứng dụng được đặt tại khu vực Singapore.
OpenRouter: Xử lý nội dung tin nhắn, danh mục, ngôn ngữ và ngày để bóc tách khoản chi/thu. OpenRouter có thể chuyển yêu cầu cho nhà cung cấp mô hình.
RevenueCat: Quản lý trạng thái gói Plus; nhận mã hộ và thông tin sản phẩm/giao dịch.
Apple: Sign in with Apple, App Store và thanh toán; nhận yêu cầu thu hồi refresh token khi bạn xoá tài khoản.
Google: Sign in with Google khi bạn chọn cách đăng nhập này.
PostHog: Phân tích sự kiện, mã người dùng giả danh, mã hộ và thông tin kỹ thuật tiêu chuẩn của SDK. Máy chủ PostHog cấu hình là us.i.posthog.com.
Cloudflare: Lưu trữ trang pháp lý này và xử lý yêu cầu truy cập trang (bao gồm địa chỉ IP) theo chính sách của Cloudflare.

Chúng tôi không bán dữ liệu cá nhân và không chia sẻ dữ liệu cho quảng cáo. Chúng tôi có thể tiết lộ dữ liệu nếu pháp luật yêu cầu, hoặc để bảo vệ quyền, an toàn và hệ thống của chúng tôi và người dùng.

5. Dữ liệu được xử lý ở đâu

Dữ liệu có thể được chuyển ra ngoài Việt Nam tới các bên sau:

Supabase: dữ liệu ứng dụng lưu tại khu vực Singapore.
PostHog: đám mây Hoa Kỳ (us.i.posthog.com).
OpenRouter và nhà cung cấp mô hình mà OpenRouter chuyển yêu cầu tới: tại Hoa Kỳ hoặc nơi họ vận hành.
RevenueCat và Apple: tại Hoa Kỳ hoặc nơi họ vận hành.

Dữ liệu được truyền qua kết nối mã hoá. Mục này sẽ được cập nhật khi chúng tôi bổ sung thông tin về việc chuyển dữ liệu ra nước ngoài.

6. Lưu giữ

Dữ liệu tài khoản và sổ: trong khi tài khoản còn tồn tại, cho đến khi bạn xoá tài khoản hoặc dữ liệu bị xoá.
Sao lưu: chúng tôi dùng gói Free của Supabase, gói này không tạo bản sao lưu. Chúng tôi không giữ bản sao lưu nào, nên dữ liệu đã xoá không còn trong bản sao lưu.
Sự kiện PostHog: tối đa 1 năm theo gói Free của PostHog.
Nội dung tin nhắn gửi qua OpenRouter: tài khoản OpenRouter của chúng tôi bật chế độ Zero Data Retention (không lưu dữ liệu). Đây là thiết lập của tài khoản; việc lưu giữ thực tế ở từng nhà cung cấp mô hình theo chính sách của họ, chúng tôi không bảo đảm thay họ.
Hồ sơ mua và gói do Apple và RevenueCat giữ: thời gian lưu theo chính sách riêng của từng bên (Apple, RevenueCat).
Log API và database của Supabase: 1 ngày theo gói Free của Supabase.
Log máy chủ của Cloudflare và OpenRouter: thời gian lưu theo chính sách riêng của từng bên (Cloudflare, OpenRouter).

Chúng tôi không giữ dữ liệu lâu hơn cần thiết cho các mục đích trên, trừ khi pháp luật yêu cầu hoặc cho phép.

7. Xoá tài khoản trong ứng dụng

Bạn có thể xoá tài khoản ngay trong ứng dụng:

Mở Sổ Chi và vào Cài đặt.
Ở mục Tài khoản, chọn Xoá tài khoản.
Đọc cảnh báo và xác nhận.

Màn hình gói Plus cũng có lối vào Xoá tài khoản. Thao tác xoá không thể hoàn tác.

Khi bạn xác nhận:

Nếu bạn đăng nhập bằng Apple, chúng tôi thu hồi refresh token Apple trước khi xoá. Nếu không thu hồi được, tài khoản chưa bị xoá và bạn có thể thử lại.
Chúng tôi xoá tài khoản đăng nhập, hồ sơ, tư cách thành viên hộ và lịch sử thử mã mời của bạn; ứng dụng cũng xoá phiên đăng nhập và bộ nhớ đệm trên thiết bị.
Nếu hộ còn thành viên khác: tin nhắn và khoản chi bạn đã thêm vẫn ở trong sổ chung cho các thành viên còn lại. Dữ liệu đó không còn gắn với mã người dùng của bạn, nhưng nội dung vẫn hiển thị với họ.
Nếu bạn là thành viên cuối cùng: hộ và toàn bộ dữ liệu của hộ (tin nhắn, khoản chi, danh mục, mã mời, dữ liệu sử dụng AI và trạng thái gói) bị xoá.
Gói Plus không tự huỷ. Huỷ trong Cài đặt › [tên của bạn] › Đăng ký.
Sự kiện phân tích đã gửi trước đó có thể vẫn còn trong PostHog dưới mã giả danh; xem mục 6 về thời gian lưu.

8. Quyền của bạn

Tùy pháp luật áp dụng, bạn có quyền:

truy cập và nhận bản sao dữ liệu của mình;
sửa dữ liệu (nhiều dữ liệu sửa được trực tiếp trong ứng dụng);
xoá dữ liệu hoặc xoá tài khoản;
hạn chế hoặc phản đối việc xử lý;
rút lại sự đồng ý;
khiếu nại với cơ quan có thẩm quyền về bảo vệ dữ liệu.

Gửi yêu cầu tới customer-support@quietfleet.dev. Chúng tôi có thể yêu cầu xác minh danh tính và sẽ phản hồi theo pháp luật áp dụng. Một số dữ liệu do Apple hoặc RevenueCat kiểm soát có thể phải yêu cầu trực tiếp với họ.

9. Bảo mật

Dữ liệu được truyền qua HTTPS. Quyền đọc dữ liệu hộ được giới hạn cho thành viên hộ bằng chính sách bảo mật ở tầng cơ sở dữ liệu (RLS). Refresh token Apple được lưu ở cột mà ứng dụng không có quyền đọc và bị thu hồi khi xoá tài khoản. Không hệ thống nào an toàn tuyệt đối; hãy bảo vệ thiết bị và tài khoản đăng nhập của bạn.

10. Trẻ em

Sổ Chi không dành cho người dưới 13 tuổi. Nếu phát hiện đã thu thập dữ liệu của trẻ dưới độ tuổi này, chúng tôi sẽ xoá. Liên hệ customer-support@quietfleet.dev nếu bạn cho rằng điều đó đã xảy ra.

11. Thay đổi chính sách

Chúng tôi có thể cập nhật Chính sách này. Bản mới được đăng tại trang này kèm ngày cập nhật. Nếu thay đổi là trọng yếu, chúng tôi sẽ thông báo trong ứng dụng hoặc qua email khi phù hợp.

12. Liên hệ

Câu hỏi hoặc yêu cầu về quyền riêng tư: customer-support@quietfleet.dev.