1. Who we are1. Chúng tôi là ai
The controller of your personal data under this policy is HỘ KINH DOANH ALL THE BEST (English: All The Best Business Household), a registered household business in Vietnam. Business registration code 091302007628, first registered on 28/07/2026. Registered address: Group 15, Hamlet Ban A, Tan Thanh Commune, An Giang Province, Vietnam. Contact for personal-data questions and other legal matters: godalliw@icloud.com.Bên kiểm soát dữ liệu cá nhân theo chính sách này là HỘ KINH DOANH ALL THE BEST (tiếng Anh: All The Best Business Household), hộ kinh doanh đã đăng ký tại Việt Nam. Mã số hộ kinh doanh 091302007628, đăng ký lần đầu ngày 28/07/2026. Địa chỉ đăng ký: Tổ 15, Ấp Bần A, Xã Tân Thạnh, Tỉnh An Giang, Việt Nam. Liên hệ về dữ liệu cá nhân và các vấn đề pháp lý khác: godalliw@icloud.com.
2. The data we collect2. Dữ liệu chúng tôi thu thập
We collect only what is needed to run the service for you.Chúng tôi chỉ thu thập những gì cần để phục vụ bạn.
| CategoryLoại dữ liệu | Specific dataDữ liệu cụ thể | PurposeMục đích | Legal basisCăn cứ | RetentionThời gian lưu |
|---|---|---|---|---|
| AccountTài khoản | Email, display nameEmail, tên hiển thị | Create and identify your accountTạo và nhận diện tài khoản | Contract; consent where requiredHợp đồng; sự đồng ý khi luật yêu cầu | Until you delete your account (then deleted or anonymised)Đến khi bạn xoá tài khoản (sau đó xoá hoặc ẩn danh) |
| AuthenticationXác thực | Password hash (scrypt), 2FA secret (encrypted), recovery-code HMAC, WebAuthn public keyBăm mật khẩu (scrypt), bí mật 2FA (mã hoá), HMAC mã khôi phục, khoá công khai WebAuthn | Protect sign-inBảo vệ đăng nhập | Contract; security obligationHợp đồng; nghĩa vụ bảo mật | Until you disable the factor or delete the accountĐến khi bạn tắt yếu tố đó hoặc xoá tài khoản |
| SessionPhiên | IP address, browser / device, timestampsĐịa chỉ IP, trình duyệt / thiết bị, thời điểm | Keep you signed in; detect unusual accessGiữ bạn đăng nhập; phát hiện truy cập bất thường | Contract; legitimate interest in securityHợp đồng; lợi ích hợp pháp về an ninh | Up to 14 days per session (ends after 3 days of inactivity)Tối đa 14 ngày mỗi phiên (kết thúc sau 3 ngày không dùng) |
| Conversations and app stateHội thoại và trạng thái ứng dụng | Messages and files you send to the council, the replies, and your app settings — synchronised to our servers so they follow you across devicesTin nhắn, tệp bạn gửi cho hội đồng, câu trả lời và cài đặt ứng dụng — đồng bộ về máy chủ của chúng tôi để theo bạn qua các thiết bị | Deliver the replies; let you review them on any deviceTrả lời bạn; cho bạn xem lại trên mọi thiết bị | Contract; consent where requiredHợp đồng; sự đồng ý khi luật yêu cầu | Until you delete them or your accountĐến khi bạn xoá chúng hoặc xoá tài khoản |
| Semantic vectorsVectơ nghĩa | Embeddings derived from your conversationsVectơ nhúng tạo từ hội thoại của bạn | Search your past conversations by meaningTìm lại hội thoại theo nghĩa | Consent (can be turned off at any time)Sự đồng ý (tắt được bất cứ lúc nào) | Until you turn it off or deleteĐến khi bạn tắt hoặc xoá |
| GPU profileThông số GPU | Browser GPU vendor, architecture, measured speedHãng, kiến trúc, tốc độ đo của GPU trình duyệt | Pick the right compute path for your deviceChọn đường tính phù hợp với máy | ContractHợp đồng | Until deletionĐến khi xoá |
| BillingThanh toán | Plan, wallet, top-ups, usage counters, bank-transfer referenceGói, ví, khoản nạp, bộ đếm sử dụng, mã tham chiếu chuyển khoản | Quota, payment, reconciliation, taxHạn mức, thanh toán, đối soát, thuế | Contract; accounting and tax lawHợp đồng; luật kế toán và thuế | For the period accounting and tax law require, even after account deletionTheo thời hạn luật kế toán, thuế yêu cầu, kể cả sau khi xoá tài khoản |
| Security logsNhật ký bảo mật | Sign-in events, admin actions, with IPSự kiện đăng nhập, thao tác quản trị, kèm IP | Operational security and incident investigationAn ninh vận hành, điều tra sự cố | Legal obligation (cybersecurity); legitimate interest in securityNghĩa vụ pháp lý (an ninh mạng); lợi ích hợp pháp về an ninh | As long as cybersecurity law requires and as needed to establish or defend legal claims; then deleted or anonymisedTheo thời hạn luật an ninh mạng yêu cầu và khi cần để chứng minh hoặc bảo vệ quyền lợi hợp pháp; sau đó xoá hoặc ẩn danh |
| Compliance recordsHồ sơ tuân thủ | Consent records, data-subject requests, incident registerBản ghi đồng ý, yêu cầu của chủ thể dữ liệu, sổ sự cố | Prove lawful processingChứng minh xử lý đúng luật | Legal obligationNghĩa vụ pháp lý | As long as needed to demonstrate compliance; personal fields redacted on a valid erasure request where the law allowsTrong thời gian cần để chứng minh tuân thủ; bỏ các trường cá nhân khi có yêu cầu xoá hợp lệ và luật cho phép |
Sensitive data: we do not ask for sensitive personal data. If you type sensitive data (health, finance, biometrics…) into a conversation, it receives the same safeguards as the rest of your conversation; please share only what is strictly necessary.Dữ liệu nhạy cảm: chúng tôi không yêu cầu dữ liệu cá nhân nhạy cảm. Nếu bạn tự nhập dữ liệu nhạy cảm (sức khoẻ, tài chính, sinh trắc…) vào hội thoại, chúng được bảo vệ như phần còn lại của hội thoại; xin chỉ chia sẻ khi thật cần.
People mentioned in conversations: if a user shares personal data about someone else, we process it only to provide the Service to that user. That person can contact us at godalliw@icloud.com to exercise their rights.Người được nhắc tới trong hội thoại: nếu người dùng chia sẻ dữ liệu cá nhân của người khác, chúng tôi chỉ xử lý dữ liệu đó để cung cấp Dịch vụ cho người dùng ấy. Người được nhắc tới có thể liên hệ godalliw@icloud.com để thực hiện quyền của mình.
Backups: nightly backups of our store are kept for up to 90 days and are then deleted automatically; copies of the store taken before a system upgrade are kept for up to 90 days in the same way. Data you delete is removed from the live service at once and is gone from every backup within 90 days. Until then, backups can be reached only by authorised staff and are used only to restore the service; if a backup is ever restored, we re-apply the deletions made since it was taken.Sao lưu: bản sao lưu hằng đêm của kho dữ liệu được giữ tối đa 90 ngày rồi tự động xoá; bản chép kho dữ liệu trước mỗi lần nâng cấp hệ thống cũng được giữ tối đa 90 ngày và xoá theo cùng cách. Dữ liệu bạn xoá được gỡ khỏi dịch vụ ngay và không còn trong bản sao lưu nào sau tối đa 90 ngày. Trong thời gian đó, chỉ nhân sự được giao quyền mới tiếp cận được các bản sao lưu, và chỉ dùng chúng để khôi phục dịch vụ; nếu phải khôi phục từ một bản sao lưu, chúng tôi áp lại các lệnh xoá đã có kể từ khi bản đó được tạo.
3. How we use data3. Chúng tôi dùng dữ liệu ra sao
- To deliver the service: run the Dragon · Angel council on your prompts, keep your conversations and settings in sync across your devices.Để cung cấp dịch vụ: chạy hội đồng Dragon · Angel trên câu hỏi của bạn, đồng bộ hội thoại và cài đặt qua các thiết bị của bạn.
- To secure the service: detect credential stuffing, abuse, compromised accounts.Để bảo đảm an toàn: phát hiện dò mật khẩu, lạm dụng, tài khoản bị xâm nhập.
- To bill accurately and comply with Vietnamese accounting and tax law.Để thanh toán chính xác và tuân thủ pháp luật kế toán, thuế Việt Nam.
- To fulfil legal obligations (cybersecurity, personal data protection, artificial intelligence, tax).Để thực hiện nghĩa vụ pháp lý (an ninh mạng, bảo vệ dữ liệu cá nhân, trí tuệ nhân tạo, thuế).
- We do not sell or share personal data for advertising, and we do not use the content of your conversations for advertising.Chúng tôi không bán, không chia sẻ dữ liệu cá nhân cho quảng cáo, và không dùng nội dung hội thoại của bạn để quảng cáo.
- We do not make decisions that produce legal or similarly significant effects about you based solely on automated processing.Chúng tôi không đưa ra quyết định gây hệ quả pháp lý hoặc ảnh hưởng tương tự đáng kể tới bạn chỉ dựa trên xử lý tự động.
- Our admin console has no function to read the content of your conversations.Bảng quản trị của chúng tôi không có chức năng đọc nội dung hội thoại của bạn.
4. Using conversations to improve the models4. Dùng hội thoại để cải thiện mô hình
By default, your conversations are not used to train or fine-tune our models. If, in the future, we offer an opt-in programme to contribute conversations to improvement work, participation will be explicit, revocable, recorded in your account, and every sample will pass human review before any use. No draft enters a training set automatically.Mặc định, hội thoại của bạn không được dùng để huấn luyện hay tinh chỉnh mô hình. Nếu sau này chúng tôi có chương trình tự nguyện đóng góp hội thoại cho công việc cải thiện, việc tham gia sẽ là lựa chọn rõ ràng, rút lại được, ghi nhận trong tài khoản của bạn, và mỗi mẫu đều qua người duyệt trước khi dùng. Không bản nháp nào tự động vào tập huấn luyện.
5. Where data is held5. Dữ liệu nằm ở đâu
Your data (account, conversations, vectors, billing) is stored on ALLiw's own servers in Vietnam. Transport is encrypted with TLS. Nightly backups are integrity-verified. The Dragon · Angel council runs our own models on our own hardware in Vietnam and, when more capacity is needed, on rented GPU compute (below).Dữ liệu của bạn (tài khoản, hội thoại, vectơ, thanh toán) được lưu trên máy chủ của chính ALLiw tại Việt Nam. Vận chuyển được mã hoá TLS. Sao lưu hằng đêm có kiểm tính toàn vẹn. Hội đồng Dragon · Angel chạy mô hình của chính chúng tôi trên phần cứng của chúng tôi tại Việt Nam và, khi cần thêm năng lực, trên năng lực GPU thuê (xem dưới).
Secondary compute and cross-border transfer: secondary GPU compute is active. When our servers in Vietnam need more capacity, the content needed to compute a reply is processed on GPU compute rented from a provider in Vietnam and from a provider in the United States, and is used only to compute that reply (see the Sub-processors page). Our software holds that content only in the GPU's memory for as long as the computation takes; it does not write it to the rented machine's storage or logs, and nothing of it remains there once the reply is computed. Because the content still travels to that machine to be computed, sending it to the provider in the United States is a cross-border transfer: we maintain the cross-border transfer impact assessment required by Law 91/2025/QH15 and Decree 356/2025/NĐ-CP. Transactional emails (verification, security alerts) are also sent through Apple iCloud Mail (United States), so your email address and the message content pass through Apple for delivery.Tính toán phụ và chuyển dữ liệu xuyên biên giới: năng lực tính toán GPU phụ đang hoạt động. Khi máy chủ tại Việt Nam cần thêm năng lực, phần nội dung cần để tính câu trả lời được xử lý trên năng lực GPU thuê của một nhà cung cấp tại Việt Nam và một nhà cung cấp tại Hoa Kỳ, và chỉ được dùng để tính câu trả lời đó (xem trang Bên xử lý phụ). Phần mềm của chúng tôi chỉ giữ nội dung ấy trong bộ nhớ của GPU trong thời gian tính; không ghi xuống ổ lưu trữ hay nhật ký của máy thuê, và không để lại gì ở đó sau khi tính xong câu trả lời. Vì nội dung vẫn được gửi tới máy ấy để tính, việc gửi sang nhà cung cấp tại Hoa Kỳ là chuyển dữ liệu ra nước ngoài: chúng tôi duy trì hồ sơ đánh giá tác động chuyển dữ liệu ra nước ngoài theo Luật 91/2025/QH15 và Nghị định 356/2025/NĐ-CP. Email giao dịch (xác thực, cảnh báo bảo mật) cũng được gửi qua Apple iCloud Mail (Hoa Kỳ), nên địa chỉ email và nội dung thư đi qua Apple để chuyển phát.
6. Sharing6. Chia sẻ
We do not share your personal data with third parties for their own purposes. We rely on a short, published list of sub-processors on the Sub-processors page. When you pay by bank transfer, your bank and ours process the transfer under banking law. We may disclose data if we are compelled by a lawful order of a competent authority; where legally permitted we tell you first.Chúng tôi không chia sẻ dữ liệu cá nhân của bạn cho bên thứ ba để họ dùng vào mục đích riêng. Chúng tôi dùng một danh sách ngắn, công khai các bên xử lý phụ tại trang Bên xử lý phụ. Khi bạn thanh toán bằng chuyển khoản, ngân hàng của bạn và của chúng tôi xử lý giao dịch theo pháp luật ngân hàng. Chúng tôi có thể cung cấp dữ liệu nếu bị buộc theo lệnh hợp pháp của cơ quan có thẩm quyền; khi luật cho phép, chúng tôi báo bạn trước.
7. Your rights7. Quyền của bạn
Under Vietnam's Law on Personal Data Protection 91/2025/QH15 and Decree 356/2025/NĐ-CP, as well as the EU GDPR (2016/679), the UK GDPR and Data Protection Act 2018, and the California CCPA/CPRA where they apply to you, you have the right to be informed, to access, rectify and erase your personal data, to restrict or object to processing, to data portability, to withdraw consent at any time (without affecting processing before withdrawal), and to complain to a competent authority. California residents also have the right to know, delete and correct, and not to be discriminated against for exercising these rights; we do not sell or share personal information as those terms are defined in the CCPA. From the Account page you can download or delete your data at any time; email godalliw@icloud.com for anything you cannot do in the app. We respond without undue delay and within the time limits of the law that applies to you: within one month under the GDPR; in Vietnam within the limits of Decree 356/2025/NĐ-CP — for example 10 days to give access to or correct your data and 20 days to delete it, longer where a sub-processor must act, with any extension explained to you.Theo Luật Bảo vệ dữ liệu cá nhân 91/2025/QH15 và Nghị định 356/2025/NĐ-CP của Việt Nam, cùng GDPR (2016/679) của EU, UK GDPR và Luật Bảo vệ dữ liệu 2018 của Anh, CCPA/CPRA California khi các luật này áp dụng với bạn, bạn có quyền được biết, truy cập, chỉnh sửa, xoá dữ liệu cá nhân, hạn chế hoặc phản đối việc xử lý, mang dữ liệu sang dịch vụ khác, rút lại sự đồng ý bất cứ lúc nào (không ảnh hưởng việc xử lý trước khi rút), và khiếu nại với cơ quan có thẩm quyền. Cư dân California còn có quyền được biết, xoá, chỉnh sửa và không bị phân biệt đối xử khi thực hiện các quyền này; chúng tôi không bán hay chia sẻ thông tin cá nhân theo định nghĩa của CCPA. Từ trang Tài khoản bạn có thể tải hoặc xoá dữ liệu bất cứ lúc nào; gửi godalliw@icloud.com với những việc không làm được trong ứng dụng. Chúng tôi phản hồi không chậm trễ và trong thời hạn của luật áp dụng với bạn: trong một tháng theo GDPR; tại Việt Nam trong thời hạn Nghị định 356/2025/NĐ-CP — ví dụ 10 ngày để cho bạn truy cập hoặc sửa dữ liệu và 20 ngày để xoá, dài hơn khi cần bên xử lý phụ thực hiện, và mọi lần gia hạn đều được giải thích cho bạn.
Competent authorities you may contact: in Vietnam, the specialised personal data protection agency of the Ministry of Public Security (Department of Cybersecurity and High-Tech Crime Prevention — A05); in the EU, your local data protection authority (list at edpb.europa.eu); in the UK, the Information Commissioner's Office (ico.org.uk); in California, the California Privacy Protection Agency (cppa.ca.gov).Cơ quan có thẩm quyền bạn có thể liên hệ: tại Việt Nam, cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an (Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao — A05); tại EU, cơ quan bảo vệ dữ liệu địa phương (danh sách tại edpb.europa.eu); tại Anh, Information Commissioner's Office (ico.org.uk); tại California, California Privacy Protection Agency (cppa.ca.gov).
8. Children8. Trẻ em
ALLiw is not directed to children under 16 and we do not knowingly collect their personal data. If you learn that a child has given us personal data, write to godalliw@icloud.com and we will delete it.ALLiw không hướng tới trẻ em dưới 16 tuổi và chúng tôi không cố ý thu thập dữ liệu cá nhân của các em. Nếu bạn biết một trẻ em đã gửi dữ liệu cá nhân cho chúng tôi, xin viết cho godalliw@icloud.com và chúng tôi sẽ xoá.
9. Security9. Bảo mật
A fuller description is on the Security Overview page. In short: TLS everywhere, scrypt-hashed passwords, 2FA with recovery codes and WebAuthn, an HMAC-chained audit log anchored to a second machine, nightly integrity-verified backups, two-person control for sensitive admin actions, and a strict Content Security Policy. If a personal data breach affects you, we notify you and the competent authority as the law requires.Mô tả đầy đủ ở trang Tổng quan Bảo mật. Tóm tắt: TLS mọi nơi, mật khẩu băm scrypt, 2FA kèm mã khôi phục và WebAuthn, nhật ký kiểm toán chuỗi HMAC neo sang máy thứ hai, sao lưu hằng đêm có kiểm toàn vẹn, hai người duyệt thao tác quản trị nhạy cảm, và CSP chặt. Nếu xảy ra vi phạm dữ liệu cá nhân ảnh hưởng tới bạn, chúng tôi thông báo cho bạn và cơ quan có thẩm quyền theo quy định.
10. Changes10. Thay đổi
If this policy changes materially we raise its version number, update the effective date, notify you in the app or by email, and — where the change needs your consent — ask for it before it applies to you.Nếu chính sách này thay đổi quan trọng, chúng tôi nâng số phiên bản, cập nhật ngày hiệu lực, báo cho bạn trong ứng dụng hoặc qua email, và — khi thay đổi cần sự đồng ý — xin đồng ý của bạn trước khi áp dụng.