Chính sách quyền riêng tư

Có hiệu lực từ ngày 24 tháng 10 năm 2026 · Bản tiếng Việt là bản gốc có hiệu lực

Bạn đang cân nhắc đưa một ứng dụng vào tay con mình, nên bạn xứng đáng biết rõ nó làm gì với dữ liệu của gia đình. Trang này mô tả đúng những gì phần mềm thật sự làm — không dài dòng, không giấu điều bất lợi ở cuối trang.

1. Ai chịu trách nhiệm

Công ty Cổ phần Digi Dinos là bên quyết định dữ liệu trong Dino Kids được xử lý thế nào. Mọi câu hỏi hoặc yêu cầu liên quan tới dữ liệu xin gửi tới dinokids@digidinos.com.

2. Chúng tôi giữ những gì

2.1 Khi bạn tạo tài khoản

Mã thiết bị nói trên không phải mã quảng cáo. Ứng dụng không đọc IDFA hay IDFV của Apple, không hỏi quyền theo dõi, và không đọc định danh quảng cáo của hệ điều hành nào cả — mã do chính ứng dụng sinh ngẫu nhiên.

Từ tháng 9 năm 2026, mã ấy sống qua cả lần bạn gỡ ứng dụng: trên iPhone và iPad nó nằm trong Keychain, trên Android nó được suy ra từ một giá trị riêng của máy. Trước đó mã mất theo ứng dụng, và điều đó hỏng theo hướng ít ai ngờ — mỗi lần bạn cài lại, danh sách thiết bị dài thêm một dòng cho cùng một chiếc máy, tới lúc không ai gỡ đúng dòng nào được nữa. Nút “Gỡ máy” trong khu tài khoản xoá máy đó khỏi tài khoản của bạn và đăng xuất nó ngay lập tức.

Cùng với mã này, lúc đăng nhập ứng dụng gửi đúng hai thứ nữa để bạn nhận ra máy nào là máy nào trong danh sách thiết bị: họ hệ điều hành — chính chuỗi mà hệ điều hành tự khai, “ios” trên iPhone và iPad, “android” hay “macos” ở nơi khác — và một nhãn cố định ghép từ chuỗi ấy (“Dino Kids · ios”). Ứng dụng không gửi đời máy hay phiên bản hệ điều hành.

2.1b Khi bạn đăng nhập bằng Apple hoặc Google

Ngoài email và mật khẩu, bạn tạo tài khoản được bằng Đăng nhập với Apple hoặc bằng tài khoản Google. Mỗi hệ điều hành chỉ bày đúng một trong hai, và trên iPhone với iPad đó là Apple. Chọn cách này thì thứ đi từ máy bạn lên máy chủ của chúng tôi là đúng một phiếu định danh do Apple hoặc Google ký — không có gì khác.

Máy chủ của chúng tôi tự kiểm chữ ký của phiếu ấy rồi chỉ lấy ra đúng những thứ trên. Chúng tôi không nhận danh bạ, ảnh, danh sách bạn bè, lịch sử hay bất cứ thứ gì khác từ Apple hay Google, và cũng không gửi gì về phía họ ngoài chính phiếu ấy để kiểm.

Nếu bạn chọn “Ẩn địa chỉ email của tôi” của Apple, chúng tôi chỉ thấy địa chỉ chuyển tiếp dạng …@privaterelay.appleid.com. Địa chỉ đó nhận thư được nên tài khoản chạy bình thường, còn địa chỉ thật của bạn thì chúng tôi không bao giờ biết.

Tài khoản tạo theo cách này không có mật khẩu — không có gì để chúng tôi lưu, kể cả bản băm. Khi cần chứng minh lại danh tính, ví dụ lúc xoá tài khoản, bạn bấm lại đúng nút của nhà cung cấp đó.

2.1c Khi bạn mở ứng dụng — lượt hỏi bản mới

Mỗi lần mở, ứng dụng hỏi máy chủ đúng một câu: “trên store đã có bản nào mới hơn bản tôi đang chạy chưa?”. Lượt hỏi này không cần đăng nhập, và đó là điều kiện chứ không phải sự tiện tay: máy chạy bản quá cũ thường chính là máy chưa ai lập tài khoản bao giờ.

Đi kèm câu hỏi có ba thứ: mã thiết bị nói ở mục 2.1, họ hệ điều hành, và phiên bản ứng dụng bạn đang chạy. Chúng tôi giữ chúng trong một bảng riêng để trả lời được câu “còn bao nhiêu máy chạy bản cũ” — tức để biết một bản sửa lỗi đã tới tay mọi người hay chưa.

Cùng bảng ấy còn giữ hai thứ nữa. Một là vùng và múi giờ trong cài đặt của máy — vùng bạn chọn ở phần Ngôn ngữ & Vùng (ví dụ Việt Nam) và độ lệch giờ của đồng hồ máy. Đó không phải vị trí: ứng dụng không xin quyền định vị, và chúng tôi không suy ra nơi bạn ở từ địa chỉ IP. Hai là lần đồng bộ gần nhất: mỗi khi một lượt đồng bộ chạy xong, ứng dụng báo thời điểm ấy, kèm việc máy đang dùng có tài khoản hay không. Chúng tôi dùng chúng để biết máy ở nước nào và để trả lời khi bạn báo “máy không nhận bài mới”.

Bảng ấy không giữ email, họ tên hay địa chỉ IP, và không có liên kết nào sẵn tới tài khoản. Nếu chiếc máy đó đã từng đăng nhập thì chúng tôi đối chiếu được mã thiết bị với tài khoản của bạn — vì chính bạn đã khai máy ấy lúc đăng nhập. Máy chưa đăng nhập bao giờ thì không có gì để đối chiếu, và nó ở lại đúng như vậy.

2.2 Hồ sơ của bé

Tên hiển thị, ảnh đại diện, tuổi tròn (có thể bỏ trống), màu yêu thích và các tuỳ chọn học. Không có ngày sinh. Ảnh đại diện mặc định là một hình con vật vẽ sẵn.

Bạn có thể dùng ảnh thật của bé làm ảnh đại diện — chụp mới hoặc chọn một tấm có sẵn, ngay trong biểu mẫu thêm/sửa bé dành cho người lớn. Ảnh ấy chỉ nằm trên chiếc máy này: ứng dụng cắt vuông, thu nhỏ, bỏ hết thông tin đi kèm ảnh (kể cả vị trí chụp), và không bao giờ gửi ảnh lên máy chủ hay sang máy khác — máy khác trong nhà vẫn thấy hình con vật. Xoá bé, hoặc đổi về hình con vật, là ảnh bị xoá khỏi máy. Như mọi dữ liệu khác của ứng dụng trên máy, ảnh có mặt trong bản sao lưu của chính máy (iCloud, Google) nếu bạn bật sao lưu thiết bị.

Ứng dụng chỉ mở máy ảnh khi người lớn chọn chụp: để làm ảnh đại diện cho bé, hoặc để thêm một bức tranh cho bé tô. Ảnh chọn từ thư viện đi qua trình chọn ảnh của hệ thống — ứng dụng chỉ nhận đúng tấm bạn chọn, không đọc cả thư viện ảnh của bạn.

Tên hiển thị là do bạn tự gõ. Bạn hoàn toàn có thể dùng biệt danh, và với trẻ nhỏ chúng tôi khuyến khích điều đó.

2.3 Việc học và tranh bé tô

Khi đã đăng nhập, ứng dụng đồng bộ lên máy chủ: hồ sơ bé, tranh bé tô (kèm tệp ảnh), tiến độ học theo từng bài, số sao, huy hiệu, chuỗi ngày học và hộp màu bé tự trộn. Mốc thời gian của mỗi lượt học được làm tròn xuống phút chứ không ghi chính xác tới giây.

Tranh đã đồng bộ chỉ tải về được sau khi xác thực, và chỉ trong phạm vi hộ gia đình của bạn: yêu cầu phải kèm phiếu đăng nhập còn hiệu lực, và khi ai đó hỏi tranh của hộ khác thì máy chủ trả lời “không tìm thấy” chứ không xác nhận rằng bức tranh ấy tồn tại. Các tệp ảnh không phục vụ qua đường công khai. Nhờ vậy bé tô trên iPad thì mở iPhone cùng tài khoản là xem lại được.

2.4 Bản thu giọng của người lớn

Nếu bạn dùng tính năng thu giọng, các tệp âm thanh giọng người lớn được tải lên máy chủ để dùng lại trên những máy khác cùng tài khoản. Đây là bản ghi giọng thật của bạn, và nó rời khỏi thiết bị — chúng tôi nói rõ điều này ngay tại chỗ xin quyền dùng micro.

Các tệp này chỉ tải về được sau khi xác thực: yêu cầu phải kèm phiếu đăng nhập còn hiệu lực, thiết bị và tài khoản còn hoạt động, và bản thu phải thuộc chính hộ gia đình đó. Chúng không phục vụ qua đường công khai.

2.5 Giọng của bé — không rời khỏi máy

Đây là nhóm dữ liệu nhạy cảm nhất, và nó được xử lý chặt nhất.

• Tính năng “nghe bé đọc” mặc định tắt. Khi tắt, nút micro không hiện ra.
• Việc nhận dạng chạy ngay trên thiết bị. Âm thanh không gửi đi đâu, kể cả tới chúng tôi.
• Mỗi lượt đọc lưu một tệp ngắn trong máy để bạn nghe lại. Không có đường nào đưa nó lên máy chủ — không có endpoint, không có bảng dữ liệu tương ứng.
• Máy chỉ giữ 400 lượt gần nhất cho mỗi bé, cũ hơn thì tự xoá cả tệp lẫn bản ghi.
• Bạn xoá từng lượt hoặc xoá hết bất cứ lúc nào, trong mục dành cho người lớn.

Vì các tệp này nằm trong vùng dữ liệu của ứng dụng, chúng đi vào bản sao lưu iCloud hoặc máy tính của bạn, giống mọi dữ liệu ứng dụng khác. Đó là bản sao lưu của bạn với Apple, không phải một luồng dữ liệu về phía chúng tôi.

2.6 Khi bạn viết thư qua form liên hệ

Trang Liên hệ có một biểu mẫu. Thứ bạn gõ vào đó — tên, địa chỉ email, loại liên hệ và nội dung thư — được gửi thẳng tới hộp thư của dự án dưới dạng một email, và không lưu vào cơ sở dữ liệu của chúng tôi: không bảng, không cột, không màn hình quản trị nào để xem lại. Nó nằm trong hộp thư, giống như khi bạn tự viết thư cho chúng tôi.

Chúng tôi dùng tên và email của bạn chỉ để trả lời thư đó. Không đưa vào danh sách gửi tin, không dùng cho quảng cáo, không chuyển cho ai.

Biểu mẫu không đặt cookie và không chạy JavaScript. Để chặn thư rác, máy chủ giới hạn số lượt gửi theo địa chỉ IP trong một phút; con số đếm đó nằm trong bộ nhớ tạm và tự hết hạn, không gắn với danh tính của bạn.

2.7 Khi bạn đọc trang web này

Trang web này có một đoạn mã nhỏ do chính chúng tôi viết để đếm lượt xem. Mỗi lần bạn mở một trang, nó gửi về máy chủ của dự án đúng hai thứ: địa chỉ trang bạn đang xem, và tên miền của trang đã dẫn bạn tới, ví dụ google.com. Chỉ tên miền, không phải cả địa chỉ — nên từ khoá bạn vừa tìm không đi theo.

Máy chủ chỉ cộng thêm một vào con số của ngày hôm đó, cho đúng trang và nguồn ấy. Bộ đếm không đặt cookie, không lưu gì trong trình duyệt của bạn, không lưu địa chỉ IP, và không có mã nào để nhận ra bạn hay nối lần xem này với lần sau. Chúng tôi biết "trang này được xem bao nhiêu lần, khách tới từ đâu", chứ không biết ai đã xem. Đây không phải Google Analytics hay dịch vụ đo lường của bên nào khác.

Bộ đếm không chạy trên trang Liên hệ (mục 2.6), và không có trong các trang hướng dẫn mở bên trong ứng dụng. Như ở form liên hệ, máy chủ giới hạn số lượt gửi theo địa chỉ IP trong một phút để chặn việc bơm số; con số đếm đó nằm trong bộ nhớ tạm và tự hết hạn.

3. Chúng tôi không làm gì

• Không bán, cho thuê hay trao đổi dữ liệu của bạn với bất kỳ ai.
• Không dùng dữ liệu của bạn để quảng cáo, và không hiển thị quảng cáo.
• Không dùng tranh, giọng nói hay bài làm của bạn để huấn luyện mô hình trí tuệ nhân tạo.
• Không theo dõi bạn giữa các ứng dụng hay trang web khác.
• Không dựng hồ sơ hành vi để đoán tính cách hay năng lực của trẻ.

4. Bên thứ ba

Trong ứng dụng: không có. Chúng tôi đã rà toàn bộ thư viện và thành phần được nạp — không có Firebase, Crashlytics, Sentry, hay bất kỳ bộ phân tích, báo lỗi, quảng cáo hoặc đo lường nào.

Phía máy chủ: chúng tôi dùng dịch vụ chuyển văn bản thành giọng nói của Google để tạo sẵn giọng đọc mẫu cho bài học. Thứ gửi đi chỉ là câu chữ của bài học do người lớn soạn — không có dữ liệu nào của bạn hay của bé đi qua đó. Ứng dụng trên máy bạn không bao giờ gọi tới dịch vụ này.

Khi bật “nghe bé đọc” lần đầu, thiết bị có thể tải gói ngôn ngữ nhận dạng từ Apple. Chỉ có yêu cầu tải gói đi ra; không có âm thanh nào đi kèm.

Thư điện tử đi qua Google. Hộp thư của dự án và máy chủ gửi thư đều là dịch vụ của Google. Nghĩa là thư bạn gửi qua form liên hệ, và thư chúng tôi gửi cho bạn — xác nhận email, đặt lại mật khẩu — đều đi qua hạ tầng của Google và nằm lại trong hộp thư đó. Chúng tôi nói rõ điều này vì mục trên khẳng định dữ liệu của bạn không đi qua dịch vụ Google nào; câu đó đúng với phần giọng đọc, và sẽ thành sai nếu không kể thêm chỗ này.

Kết nối đi qua Cloudflare. Mọi kết nối của ứng dụng tới máy chủ (dino-kids-api.digidinos.com) và mọi lượt mở trang web này (dino-kids.digidinos.com) đều đi qua Cloudflare trước khi tới máy chủ của chúng tôi. Lớp mã hoá HTTPS kết thúc ở Cloudflare, nên trên đoạn đường ấy họ xử lý được nội dung của từng lượt gọi: địa chỉ IP, đường dẫn được gọi, và dữ liệu gửi kèm — kể cả tranh của bé và bản thu giọng người lớn khi đồng bộ. Cloudflare chuyển tiếp chứ không giữ bản sao nội dung ấy trong bộ nhớ đệm: chúng tôi đã kiểm, mọi phản hồi đều đi thẳng từ máy chủ của dự án. Những gì Cloudflare tự ghi nhận trong lúc chuyển tiếp thì theo chính sách quyền riêng tư của Cloudflare. Chúng tôi nói rõ vì bản trước của trang này ghi "không CDN, không dịch vụ ngoài" — câu ấy sai, và đã được sửa.

5. Ai đọc được dữ liệu

Ranh giới giữa các hộ gia đình được kiểm ở tầng máy chủ: không có đường nào trả về dữ liệu của hộ khác.

6. Dữ liệu nằm ở đâu

Trên máy chủ do chúng tôi vận hành, đặt tại hạ tầng của Digi Dinos. Chúng tôi không dùng dịch vụ lưu trữ đám mây của bên thứ ba cho dữ liệu người dùng. Cloudflare (mục 4) chỉ chuyển tiếp kết nối, không phải nơi lưu dữ liệu.

7. Giữ bao lâu, và cách xoá

7.1 Xoá tài khoản

Bạn xoá được tài khoản ngay trong ứng dụng, trong mục dành cho người lớn. Tài khoản có mật khẩu thì xác nhận bằng mật khẩu; tài khoản tạo bằng Apple hoặc Google không có mật khẩu nên xác nhận bằng cách bấm lại đúng nút của nhà cung cấp ấy. Sau bước đó còn một hộp hỏi lại lần cuối. Bạn không cần viết thư nhờ chúng tôi làm hộ.

Khi bạn xoá tài khoản, chúng tôi xoá ngay và xoá vĩnh viễn, không có thời gian chờ:

• toàn bộ dữ liệu của hộ gia đình bạn trên máy chủ — tài khoản, hồ sơ các bé, tranh, tiến độ học, huy hiệu, hộp màu, bản thu giọng;
• cả các tệp trên đĩa: thư mục tranh và thư mục bản thu giọng;
• mọi phiếu đăng nhập trên mọi thiết bị của hộ, nên các máy đăng xuất ngay.

Sau khi xoá, địa chỉ email đó dùng lại được để tạo tài khoản mới.

7.2 Xoá một bé

Xoá hồ sơ một bé sẽ xoá vĩnh viễn hồ sơ đó cùng dữ liệu học của bé và tranh của bé, kể cả tệp ảnh. Trước khi xoá, ứng dụng cho bạn biết số tranh sẽ mất. Bản thu giọng không bị xoá theo, vì chúng thuộc về cả hộ gia đình và các bé dùng chung.

7.3 Đăng xuất

Đăng xuất bình thường giữ nguyên dữ liệu trên máy. Nếu bạn nhượng lại thiết bị cho người khác, hãy dùng mục “đăng xuất và xoá dữ liệu trên máy này”.

7.4 Thời hạn lưu trữ

Máy chủ của chúng tôi không tự xoá dữ liệu theo thời gian. Không có tác vụ định kỳ nào dọn dữ liệu người dùng cũ. Dữ liệu ở lại cho tới khi bạn xoá tài khoản hoặc xoá hồ sơ bé. Nếu bạn muốn dữ liệu biến mất, cách chắc chắn và tức thì là dùng chức năng xoá trong ứng dụng.

Có một ngoại lệ theo chiều ngược lại: khi một hồ sơ hoặc một bản thu bị xoá, chúng tôi giữ lại một dấu vết trống ghi rằng mục đó đã bị xoá, để các máy khác cùng tài khoản biết mà xoá theo. Dấu vết này không chứa nội dung, chỉ chứa mã và mốc thời gian.

8. Trẻ em

Ứng dụng được thiết kế cho trẻ nhỏ dùng dưới sự trông nom của người lớn. Người lớn tạo tài khoản là người quyết định dữ liệu nào của con mình được nhập vào. Trẻ không thể tự tạo tài khoản, không tự mua gì, không nhắn tin được với người lạ, và không có tính năng xã hội nào trong ứng dụng. Các mục cài đặt, thống kê và quản lý bản thu đều nằm sau một cổng mà trẻ không tự qua được.

Nếu bạn cho rằng con mình đã cung cấp dữ liệu cho chúng tôi theo cách bạn không mong muốn, hãy viết thư cho chúng tôi và chúng tôi sẽ xoá.

9. Điều bạn nên biết về việc đăng nhập

Đăng nhập là đồng bộ, và bạn không bắt buộc phải đăng nhập. Ngay ở màn hình đầu tiên có nút “Dùng ngay, không cần tài khoản”. Chọn nó thì bé dùng được đủ mọi bài học. Ứng dụng vẫn tải bài học và giọng đọc từ máy chủ của chúng tôi về máy bạn — đó là cách phần Tiền tiểu học có đủ nội dung, vì phần này không đóng gói sẵn trong ứng dụng. Chiều ngược lại thì không có gì đi lên: hồ sơ bé, tranh, tiến độ, sao và huy hiệu đều nằm lại trong máy, và ứng dụng cũng không gửi tên hay mã nào để nhận ra máy bạn. Lượt tải ấy giống hệt việc mở một trang web: máy chủ thấy địa chỉ IP của lượt gọi, không thấy bé nào đang dùng.

Khi bạn đã đăng nhập, hồ sơ bé và tranh đồng bộ hai chiều với máy chủ, và trong ứng dụng chưa có nút tắt riêng cho việc ấy — đăng nhập và đồng bộ đi liền nhau. Nói cách khác, công tắc bật tắt việc gửi dữ liệu lên máy chủ chính là việc bạn có đăng nhập hay không.

Đổi ý lúc nào cũng được, và không mất gì: bé chơi một tháng không tài khoản rồi bố mẹ mới đăng nhập thì hồ sơ, tranh và tiến độ đã có được đẩy lên tài khoản ở lượt đồng bộ đầu tiên.

10. Quyền của bạn

Bạn có thể xem và sửa dữ liệu hộ gia đình ngay trong ứng dụng, và xoá tài khoản bất cứ lúc nào như mô tả ở mục 7. Nếu bạn muốn một bản sao dữ liệu của mình, muốn chúng tôi sửa một thông tin, hoặc có khiếu nại về cách chúng tôi xử lý dữ liệu, hãy viết tới dinokids@digidinos.com. Chúng tôi trả lời trong thời gian hợp lý.

11. Khi chính sách thay đổi

Chúng tôi cập nhật trang này và đổi ngày hiệu lực ở đầu trang. Nếu thay đổi ảnh hưởng thật sự tới bạn — chẳng hạn chúng tôi bắt đầu thu thập thứ trước đó không thu — chúng tôi báo thêm qua email đăng ký trước khi áp dụng.

Bản tiếng Việt là bản gốc có hiệu lực. Bản tiếng Nhật, tiếng Anh, tiếng Hàn và tiếng Trung chỉ để tham khảo; khi có khác biệt, bản tiếng Việt được áp dụng.

12. Liên hệ

dinokids@digidinos.com — đây là đầu mối duy nhất của dự án, cho cả câu hỏi lẫn yêu cầu về dữ liệu.

← Về trang giới thiệu