Chính sách quyền riêng tư

Temmy do KhanhKom phát triển. Chính sách này có hiệu lực từ 2026-11-12. Nếu có câu hỏi về quyền riêng tư, hãy viết tới khanhgarbygarby@gmail.com.

Khi không đăng nhập, dữ liệu chỉ nằm trên máy bạn

Nếu bạn không đăng nhập, những dữ liệu sau nằm trên máy bạn và không được gửi cho chúng tôi: ảnh bữa ăn, sticker món, ghi chú, tên món, bộ sưu tập, giá món; calo và dinh dưỡng đã lưu, cân nặng, mục tiêu cân nặng, và thông tin dùng để tính mục tiêu calo (giới tính sinh học, năm sinh, chiều cao, mức vận động); vị trí nơi ăn khi bạn cho phép quyền vị trí và tên địa điểm.

Tài khoản là tuỳ chọn (xem mục bên dưới). Ứng dụng không có quảng cáo, không theo dõi người dùng để quảng cáo và không bán dữ liệu. App có đo số liệu sử dụng ẩn danh bằng Google Analytics for Firebase (tắt được, xem mục bên dưới). Trên Android, một số thành phần khác của Google mà app dùng tự gửi dữ liệu chẩn đoán cho Google.

Khi bạn đăng nhập: tài khoản, đồng bộ và bạn bè (tuỳ chọn)

Đăng nhập là tuỳ chọn. Bạn chỉ cần tài khoản để đồng bộ nhật ký giữa các máy và kết bạn.

Đăng nhập: bằng Apple hoặc Google. Chúng tôi nhận từ Apple / Google một mã định danh tài khoản, email (với Apple có thể là email ẩn danh dạng chuyển tiếp) và tên hiển thị nếu có. Chúng tôi không nhận mật khẩu.
Đồng bộ: khi đã đăng nhập, nhật ký được sao lưu lên máy chủ Temmy để dùng trên máy khác: khoảnh khắc, món (tên, giờ, đánh giá, ghi chú, calo và dinh dưỡng, giá), tên và toạ độ nơi ăn, nhãn, bộ sưu tập, người đi cùng, lịch sử cân nặng (chỉ số kg, không gồm ảnh cân), cùng một số tuỳ chọn (hồ sơ cơ thể, mục tiêu calo, bật/tắt Calo). Ảnh sticker món đã tách (không phải ảnh gốc) được lưu ở Cloudflare R2. Ảnh gốc và ảnh cân nặng không rời máy.
Nơi lưu: máy chủ API và cơ sở dữ liệu đặt tại Việt Nam; ảnh và bản sao lưu cơ sở dữ liệu (mã hoá) nằm trên Cloudflare R2 (khu vực châu Á – Thái Bình Dương). Kết nối luôn được mã hoá (HTTPS qua Cloudflare).
Bạn bè: bạn bè chỉ thấy những gì bạn chọn trong Bạn bè thấy gì. Mặc định chỉ thấy món và ảnh sticker; calo, địa điểm, giá, cảm nghĩ, cân nặng đều tắt trừ khi bạn bật. Khoảnh khắc đặt “Chỉ mình tôi” không bao giờ hiện. Ảnh cân nặng không bao giờ được chia sẻ. Bạn có thể huỷ kết bạn, chặn hoặc báo cáo người khác bất cứ lúc nào.
Chứng thực: khi đăng nhập, app gửi token Firebase App Check (như ở mục chống lạm dụng) để chặn tài khoản tạo tự động.

Calo và cân nặng là dữ liệu liên quan đến sức khoẻ. Chúng chỉ được dùng để đồng bộ cho chính bạn và hiển thị cho bạn bè theo đúng lựa chọn của bạn — không dùng cho quảng cáo, không bán, không chia sẻ cho bên thứ ba nào khác.

Khi bạn dùng tính năng AI đọc món

Temmy chỉ đọc món bằng AI sau khi bạn bấm đồng ý ở hộp thông báo trong app. Bạn cũng có thể bật “Tự đọc món” trong cài đặt.

Ứng dụng gửi tới máy chủ Temmy chạy trên Cloudflare Workers:

Ảnh từng món đã tách, dưới dạng JPEG khoảng 448px, nền trơn.
Nếu không tách được món, cả tấm ảnh được gửi sau khi thu nhỏ xuống khoảng 896px. Ảnh có thể chứa cả bàn ăn, kể cả người hoặc vật trong khung hình.
Tên món máy đoán sẵn nếu có; ngôn ngữ và mã quốc gia từ cài đặt máy, không phải GPS; và lựa chọn có cần ước tính dinh dưỡng hay không.

Máy chủ chuyển nội dung này tới Microsoft Azure OpenAI để nhận diện món và ước tính calo, rồi trả kết quả về máy. Máy chủ Temmy không lưu ảnh và gọi Azure với tuỳ chọn không lưu (store: false). Theo tài liệu của Microsoft, dữ liệu không được dùng để huấn luyện mô hình. Nội dung bị hệ thống chống lạm dụng gắn cờ có thể được Microsoft lưu và người của Microsoft xem xét.

Kết quả AI gồm tên món, loại món và calo ước tính được lưu trên máy bạn.

Chống lạm dụng và giới hạn lượt dùng AI

App gửi một mã thiết bị ngẫu nhiên do app tự tạo, không phải mã phần cứng; loại nền tảng iOS hoặc Android; và token chứng thực thiết bị từ Firebase App Check. Android dùng Google Play Integrity, iOS dùng Apple App Attest. Việc này giúp xác nhận yêu cầu đến từ app thật.

Máy chủ lưu số lượt AI đã dùng trong ngày theo mã thiết bị đó. Bộ đếm được ghi đè mỗi ngày, đặt lại lúc 0h UTC. Cloudflare xử lý địa chỉ IP và nhật ký kỹ thuật của yêu cầu để vận hành dịch vụ. Máy chủ chỉ ghi nhật ký lỗi, không ghi nội dung ảnh.

Số liệu sử dụng (Google Analytics for Firebase)

Để biết tính năng nào được dùng và chỗ nào cần sửa, app gửi số liệu sử dụng cho Google Analytics for Firebase:

Gửi gì: tên màn hình đã mở và các thao tác như mở camera, lưu món, đọc món bằng AI (thành công hay lỗi), chia sẻ, sao lưu, bật/tắt Calo, ghi một lần cân, đặt mục tiêu, nhánh bạn chọn khi bắt đầu (chỉ ghi nhật ký / có calo / có mục tiêu cân), kèm số lượng (ví dụ số món đã lưu). Firebase tự thêm mã cài đặt ngẫu nhiên của app (app instance ID), kiểu máy, phiên bản hệ điều hành và vùng ước chừng suy ra từ địa chỉ IP đã che bớt.
Không bao giờ gửi: ảnh, tên món, ghi chú, chữ bạn tìm, tên hay toạ độ nơi ăn, giá tiền, số calo, cân nặng, mục tiêu cân, chiều cao, năm sinh, giới tính.
Không quảng cáo: app không thu mã quảng cáo (Android Advertising ID, IDFA), tắt mọi quyền dùng dữ liệu cho quảng cáo, không bật Google signals và không liên kết Google Ads. Dữ liệu được lưu tối đa 2 tháng.
Tắt: vào Cài đặt → Gửi số liệu sử dụng ẩn danh. Khi tắt, app ngừng gửi và xoá dữ liệu Analytics còn lưu trên máy.

Xem thêm cách Firebase xử lý dữ liệu.

Dịch vụ của hệ điều hành và bên thứ ba khác

Bản đồ: Google Maps trên Android và Apple Maps trên iOS hiển thị những nơi đã ăn. Trên Android, Google Maps SDK tự gửi cho Google thông tin thiết bị (hãng, kiểu máy, phiên bản hệ điều hành), báo cáo lỗi, địa chỉ IP, một mã định danh riêng của SDK và thao tác trên bản đồ, để Google vận hành và cải thiện dịch vụ (chi tiết).
Tách món và đọc chữ trên máy (Android): Google ML Kit chạy ngay trên máy để tách món khỏi ảnh và đọc chữ trên hoá đơn; ảnh không được ML Kit gửi đi. ML Kit có gửi cho Google thông tin thiết bị và app, mã định danh, số liệu hiệu năng và mã lỗi để chẩn đoán (chi tiết). Trên iOS, việc này dùng thư viện có sẵn của Apple.
Tên địa điểm: Android Geocoder hoặc iOS CLGeocoder tìm tên địa điểm từ toạ độ. Toạ độ được gửi cho nhà cung cấp dịch vụ của hệ điều hành.
Font chữ tuỳ chọn: Khi bạn chọn bộ font chưa có sẵn, app tải font từ jsDelivr. jsDelivr thấy địa chỉ IP của bạn.
Sao lưu: Bản sao lưu là file trên máy. Nếu bật “Sao chép lên Google Drive” trên Android, app ghi file vào chỗ bạn tự chọn qua hộp thoại lưu file của hệ thống. Chúng tôi không truy cập Google Drive của bạn.
Chia sẻ: Ảnh hoặc poster chỉ rời máy khi bạn tự chia sẻ qua bảng chia sẻ của hệ thống.
Thông báo: Lời nhắc là thông báo cục bộ trên máy, không qua máy chủ.

Quyền của bạn, lưu giữ và xoá

Xoá tài khoản: vào Cài đặt → Tài khoản → Xoá tài khoản, hoặc làm theo hướng dẫn xoá tài khoản. Tài khoản, dữ liệu đồng bộ, ảnh trên Cloudflare R2, danh sách bạn bè và cảm xúc được xoá ngay; quyền đăng nhập bằng Apple được thu hồi. Bản sao lưu cơ sở dữ liệu tự hết hạn sau tối đa 35 ngày. Nhật ký trên máy bạn không bị xoá trừ khi bạn chọn xoá.

Xem / xuất dữ liệu: dữ liệu đồng bộ cũng chính là nhật ký trong app; bạn có thể xuất bản sao lưu trong Cài đặt → Sao lưu → Xuất, hoặc gửi email để nhận bản sao dữ liệu trên máy chủ.

Bạn có thể xoá dữ liệu trên máy trong Cài đặt → Xoá dữ liệu. Các bản sao lưu đã giữ cần xoá riêng trong Quản lý bản sao lưu. Gỡ app cũng xoá dữ liệu trên máy.

Máy chủ không giữ ảnh gửi cho AI. Bộ đếm lượt AI theo mã thiết bị chỉ tồn tại trong ngày và bị ghi đè hằng ngày. Bạn có thể gửi email tới khanhgarbygarby@gmail.com để yêu cầu xoá bộ đếm.

Ngừng dùng AI: tắt “Tự đọc món sau khi chụp” trong Cài đặt và không bấm đọc món. Khi đó app không gửi ảnh nào cho AI. Bạn cũng có thể liên hệ khanhgarbygarby@gmail.com.

Liên hệ: khanhgarbygarby@gmail.com.

Trẻ em: Temmy dành cho người từ 13 tuổi trở lên, không hướng tới trẻ em và không cố ý thu thập dữ liệu của trẻ dưới 13 tuổi. Nếu bạn biết một trẻ dưới 13 tuổi đã dùng tính năng AI, hãy liên hệ để chúng tôi xoá bộ đếm theo mã thiết bị.

Khi chính sách thay đổi, ngày hiệu lực trên trang này sẽ được cập nhật.

Lưu ý về sức khoẻ

Calo do AI ước tính có thể sai và không phải lời khuyên y tế. Hãy hỏi bác sĩ hoặc chuyên gia dinh dưỡng trước khi quyết định về sức khoẻ.