Chính sách quyền riêng tư
Tony Jarvis là ứng dụng trợ lý đang được phân phối cho nhóm thử nghiệm nội bộ từ 18 tuổi trở lên. Ứng dụng không có quảng cáo, không bán dữ liệu và không theo dõi người dùng giữa các ứng dụng.
Đơn vị vận hành và liên hệ
Tony Jarvis là nhà phát triển và đơn vị vận hành dịch vụ. Gửi câu hỏi, yêu cầu truy cập, sửa hoặc xóa dữ liệu tới tony.agentbuilder@gmail.com. Không gửi mật khẩu, PIN, OTP, khóa API hoặc nội dung hội thoại nhạy cảm qua email.
Dữ liệu được xử lý
- Nội dung yêu cầu do người dùng nhập và bản chép lời được tạo khi người dùng chủ động dùng nhận dạng giọng nói. Gateway của Tony Jarvis nhận văn bản, không nhận tệp ghi âm microphone.
- Mã thiết bị ngẫu nhiên, nhãn thiết bị chung, nền tảng Android, khóa công khai và fingerprint dùng để đăng ký, xác thực và ngăn giả mạo. Khóa riêng được tạo trong WebView và nằm trên thiết bị cho đến khi người dùng xóa dữ liệu ứng dụng hoặc gỡ ứng dụng.
- Trạng thái quyền, xác nhận hoặc hủy hành động, receipt kết quả, sự kiện dừng khẩn cấp và nhật ký bảo mật tối thiểu.
- Nội dung sửa lỗi hoặc sở thích chỉ khi người dùng chủ động lưu. Các giá trị này được mã hóa trong cơ sở dữ liệu; lịch sử hội thoại dùng hash và bản tóm tắt mã hóa.
- Địa chỉ IP, thời gian, đường dẫn truy cập, user agent, lỗi và metadata kết nối do máy chủ, Nginx, Android System WebView hoặc nhà cung cấp hạ tầng xử lý để vận hành và bảo mật.
- Trên Android, nếu người dùng cấp quyền Lịch (WRITE_CALENDAR/READ_CALENDAR), ứng dụng lưu sự kiện (tiêu đề, thời gian bắt đầu/kết thúc, múi giờ) trực tiếp vào lịch trên thiết bị; quyền READ_CALENDAR chỉ dùng để tìm một lịch có thể ghi. Nội dung lịch nằm trên thiết bị và KHÔNG được gửi về máy chủ — chỉ trạng thái quyền “calendar: granted/denied” được đồng bộ để áp dụng chính sách an toàn. Nếu người dùng từ chối quyền, ứng dụng chuyển sang mở màn hình thêm sự kiện của app Lịch (ACTION_INSERT) để người dùng tự lưu, không tự ghi.
- Địa chỉ nhà (khi người dùng chọn lưu để dùng lệnh “về nhà”) chỉ được lưu trên thiết bị trong bộ nhớ riêng của ứng dụng (SecureLocalStore) và KHÔNG bao giờ được gửi về máy chủ. Khi người dùng nói “về nhà”, máy chủ chỉ nhận dấu hiệu “điểm đến là nhà” chứ không nhận địa chỉ; thiết bị tự thay địa chỉ đã lưu để mở chỉ đường. Người dùng có thể xem, sửa hoặc xóa địa chỉ nhà ngay trong ứng dụng bất cứ lúc nào.
Mục đích sử dụng
Dữ liệu được dùng để trả lời yêu cầu, xác thực thiết bị, áp dụng chính sách an toàn, xin xác nhận trước hành động được hỗ trợ, phát giọng nói, phát hiện lạm dụng, chẩn đoán lỗi và bảo vệ dịch vụ. Tony Jarvis không dùng dữ liệu cho quảng cáo hoặc profiling quảng cáo.
Nhà cung cấp dịch vụ
- Hostinger lưu trữ VPS và có thể xử lý metadata mạng, log và dữ liệu được lưu trên máy chủ. Xem chính sách của Hostinger.
- Anthropic xử lý nội dung yêu cầu đã được giảm thiểu/redact và một bản ngữ cảnh ngắn để tạo câu trả lời. Tony Jarvis không gửi khóa thiết bị hoặc giá trị memory thô cho provider này. Xem chính sách của Anthropic.
- ElevenLabs nhận văn bản câu trả lời để tạo âm thanh đọc. Dịch vụ này không nhận âm thanh microphone từ Tony Jarvis. Xem chính sách của ElevenLabs.
- Dịch vụ nhận dạng giọng nói trên thiết bị có thể xử lý âm thanh theo cấu hình Android, WebView và tài khoản của người dùng. Nhà cung cấp cụ thể phụ thuộc thiết bị. Người dùng có thể từ chối microphone và nhập văn bản thay thế.
Lưu giữ và xóa dữ liệu
- Dữ liệu đăng ký thiết bị, hash hội thoại, bản tóm tắt mã hóa, memory, correction, receipt và audit được giữ trong thời gian thiết bị tham gia thử nghiệm hoặc cho đến khi có yêu cầu xóa hợp lệ.
- Nginx access/error log được xoay hằng ngày và giữ tối đa 14 bản xoay; system journal được giới hạn tối đa 7 ngày và 1 GB.
- Bản sao lưu phục vụ khôi phục sự cố có thể tồn tại cho đến khi được xóa trong quy trình bảo trì. Khi xử lý yêu cầu xóa, operator sẽ xóa dữ liệu hoạt động và bản sao lưu liên quan trong phạm vi kỹ thuật hợp lý, trừ phần phải giữ để tuân thủ pháp luật hoặc điều tra sự cố bảo mật.
Để yêu cầu xóa, gửi email với tiêu đề “Yêu cầu quyền riêng tư Tony Jarvis”, mô tả thiết bị và khoảng thời gian đăng ký. Operator có thể yêu cầu một bước xác minh quyền kiểm soát thiết bị, sẽ xác nhận tiếp nhận và xử lý trong vòng 30 ngày. Việc xóa sẽ thu hồi đăng ký và có thể làm ứng dụng ngừng kết nối cho đến khi đăng ký lại.
Lựa chọn và bảo mật
Microphone và quyền Lịch là tùy chọn và có thể bị thu hồi trong Android Settings; khi thiếu quyền Lịch, ứng dụng fail-closed về màn hình thêm sự kiện của app Lịch thay vì tự ghi. Nút Dừng ngắt nghe/phát cục bộ nhưng không thay thế yêu cầu xóa phía máy chủ. Dữ liệu truyền qua HTTPS; hệ thống dùng proof khóa thiết bị, session ngắn hạn, hash, mã hóa và nhật ký chống sửa đổi. Không hệ thống nào có thể bảo đảm an toàn tuyệt đối.
Trẻ em, xử lý quốc tế và thay đổi
Tony Jarvis không dành cho trẻ em và nhóm thử nghiệm hiện tại chỉ dành cho người từ 18 tuổi. Dữ liệu có thể được xử lý tại nơi Hostinger, Anthropic, ElevenLabs và dịch vụ hệ thống trên thiết bị vận hành. Nếu chính sách hoặc nhà cung cấp thay đổi đáng kể, trang này sẽ cập nhật ngày hiệu lực và xin đồng ý khi pháp luật yêu cầu.