Chúng tôi xử lý dữ liệu liên quan đến bạn như thế nào.

1Tóm tắt

Những điều cốt lõi, trước khi vào chi tiết:

• Trong bot, chúng tôi nhận diện bạn qua ID số Telegram và username; nếu bạn không có username, qua tên bạn đặt trên Telegram. Chúng tôi không hỏi và không đọc từ Telegram họ, số điện thoại, email hay ảnh hồ sơ của bạn
• Nội dung của bạn ở lại trong tổ chức của bạn: không bán dữ liệu, không quảng cáo, không lập hồ sơ thương mại
• Các trợ lý AI chỉ thấy tổ chức mà chúng làm việc, và nhà cung cấp mô hình không huấn luyện hệ thống của họ bằng dữ liệu của bạn
• Khi điều gì đó là «ẩn danh», chúng tôi nói chính xác nó nghĩa là gì — trước khi gửi, không phải sau (xem 5.6 và 5.7)
• Cơ sở dữ liệu trên máy chủ tại Liên minh châu Âu, bản sao lưu được mã hóa, bản xuất PDF có thể xác minh
• Nhiều thao tác xóa bạn tự làm ngay trong bot; mọi thứ còn lại chỉ cần một email (mục 13)

2Thông báo này áp dụng cho những gì

Thông báo này bao gồm hai thứ:

• Bot Tavora trên Telegram — nền tảng nơi bạn tạo tổ chức, kết nối các nhóm và dùng đề xuất, biểu quyết, nhiệm vụ, ca trực, sự kiện, biểu mẫu, Thư viện, Quầy tiếp nhận, không gian cá nhân và các trợ lý AI
• Trang tavora.net — trang giới thiệu, các hướng dẫn và biểu mẫu hỗ trợ (mục 15)

Tavora chạy bên trong Telegram nhưng không phải là Telegram: đây là dự án độc lập, không liên kết với Telegram. Những gì bạn gửi qua Telegram cũng được Telegram xử lý theo chính sách quyền riêng tư của riêng họ.

Đọc trang này không ràng buộc bạn điều gì: đây là thông báo, không phải hợp đồng. Các cơ sở pháp lý của việc xử lý được liệt kê ở mục 7.

3Bên kiểm soát dữ liệu

Tavora là dự án độc lập đang trong giai đoạn beta, do nhà phát triển của nó xây dựng và vận hành, người đóng vai trò bên kiểm soát dữ liệu theo Điều 4(7) GDPR. Hiện chưa có công ty: với mọi câu hỏi về dữ liệu của bạn, đầu mối liên hệ là địa chỉ này:

• tavorasystems@gmail.com

Chưa bổ nhiệm nhân viên bảo vệ dữ liệu (DPO): với tính chất và quy mô của việc xử lý này, Điều 37 GDPR không yêu cầu. Chúng tôi trả lời các yêu cầu về dữ liệu trong thời hạn của Điều 12 GDPR (thông thường trong vòng một tháng).

4Tavora và các tổ chức: ai chịu trách nhiệm về điều gì

Tavora là một nền tảng: các tổ chức chạy trên đó do những người khác tạo ra và điều hành. Để hiểu ai chịu trách nhiệm về điều gì, sự phân biệt như sau:

• Tavora là bên kiểm soát đối với việc xử lý cần thiết để nền tảng hoạt động: tài khoản, hạ tầng, bảo mật, sao lưu, giới hạn chống lạm dụng, vận hành kỹ thuật của các trợ lý AI
• Người quản lý của mỗi tổ chức (người sáng lập, admin, ban điều hành) quyết định cách dùng các công cụ với thành viên của mình: nhận ai, cấp vai trò và quyền gì, viết gì vào hồ sơ thành viên (ghi chú, cảnh cáo, khen thưởng, nhãn), đặt quy tắc gì cho AI. Với những quyết định đó, họ là bên kiểm soát dữ liệu độc lập của tổ chức mình, và Tavora xử lý dữ liệu thay mặt họ với tư cách nhà cung cấp nền tảng

Điều này nghĩa là gì với bạn, một thành viên: với nội dung mà ban điều hành tổ chức viết về bạn, nơi liên hệ đầu tiên là những người quản lý tổ chức. Nhưng bạn luôn có thể viết cho cả chúng tôi (mục 17): chúng tôi sẽ giúp bạn thực hiện quyền của mình trong mọi trường hợp.

Người quản lý có nghĩa vụ dùng công cụ của Tavora theo đúng luật bảo vệ dữ liệu. Nếu bạn cho rằng một tổ chức đang lạm dụng chúng, hãy báo cho chúng tôi.

5Dữ liệu chúng tôi xử lý

5.1 Dữ liệu Telegram

Khi bạn tương tác với bot, Telegram tự động cung cấp cho chúng tôi:

• User ID Telegram — mã định danh số duy nhất của bạn
• Username Telegram — tên người dùng công khai của bạn (tự cập nhật nếu bạn đổi)
• Mã ngôn ngữ — để hiển thị giao diện bằng ngôn ngữ của bạn (đổi được trong cài đặt)
• Ngày giờ của lần tương tác đầu tiên và cuối cùng
• Tên Telegram (không bao giờ là họ) — chúng tôi nhận được khi bạn tương tác với bot: trong chat riêng, khi viết trong một nhóm đã kết nối, khi vào một nhóm đã kết nối hoặc khi chạm vào thẻ của một cuộc hẹn hay một danh sách trong bất kỳ chat nào. Chúng tôi chỉ hiển thị nó nếu bạn không có username: để ghi bạn là tác giả của đề xuất, phiếu bầu, bình luận và câu trả lời có tên, trong các danh sách của tổ chức (thành viên, vai trò, ban điều hành, yêu cầu gia nhập, người bị cấm, phòng ban) và để cho biết ai đã chạm vào một danh sách hay cuộc hẹn trong chat. Nó bị xóa cùng dữ liệu tài khoản của bạn

Thêm vào đó là các tùy chọn bạn tự đặt: múi giờ (cho lời nhắc), cài đặt thông báo theo từng tổ chức. Nếu bạn chặn bot trên Telegram, chúng tôi ghi nhận việc đó để ngừng liên hệ; dấu hiệu tự xóa nếu bạn quay lại.

5.2 Tổ chức và tư cách thành viên

• Vai trò trong mỗi tổ chức (thành viên, admin, người sáng lập) và quyền tùy chỉnh
• Phòng ban và nhiệm vụ bạn thuộc về, cùng người quản lý của chúng
• Yêu cầu gia nhập, lời mời và các phê duyệt
• Cấm ở cấp tổ chức — kèm User ID, người ra lệnh cấm và ngày
• Yêu cầu chuyển giao quyền sở hữu tổ chức (hai User ID liên quan và trạng thái)
• Sự hiện diện trong các nhóm Telegram được kết nối — ID nhóm, tên nhóm và ai có mặt (chỉ ID và username), để xác minh tư cách thành viên
• Ngôn ngữ của tổ chức («🌐 Ngôn ngữ của tổ chức»): ngôn ngữ của tin nhắn trong nhóm và của tin nhắn riêng mà thành viên nhận từ tổ chức (cài đặt của tổ chức, không phải cá nhân: menu của bạn vẫn theo ngôn ngữ của bạn)

5.3 Nội dung bạn tạo ra

• Đề xuất và mục chương trình nghị sự: tiêu đề, nội dung, loại, tệp đính kèm, bình luận
• Phiếu bầu: phiếu của bạn gắn với User ID (ai thấy được: mục 8)
• Nhiệm vụ: tiêu đề, mô tả, checklist, phân công, ghi chú (công khai hoặc riêng tư), lời nhắc, lịch sử thay đổi
• Ca trực: khung giờ, phân công, yêu cầu đổi ca
• Sự kiện và lịch: sự kiện, đăng ký/RSVP, lời nhắc
• Biểu mẫu: câu trả lời của bạn (về ẩn danh: 5.7)
• Thư viện: tài liệu được tải lên (tài liệu, chương, trang) và ai tải lên
• Quầy tiếp nhận: đề xuất, yêu cầu và báo cáo gửi cho người quản lý (về ẩn danh: 5.6)

Để giữ nguyên định dạng bạn nhập (đậm, nghiêng, liên kết, emoji động Telegram Premium), chúng tôi cũng lưu một phiên bản «rich» dạng HTML của nội dung. Emoji Premium được lưu dưới dạng mã định danh số, không phải hình ảnh. Tệp đính kèm (ảnh, video, tài liệu) không được lưu trên máy chủ của chúng tôi: chúng tôi chỉ giữ tham chiếu (file_id) do Telegram cung cấp — tệp vẫn nằm trên máy chủ của Telegram. Ngoại lệ duy nhất: với các tệp PDF và tệp văn bản được tải lên Thư viện hoặc Chỉ dẫn AI khi AI đang bật, chúng tôi lưu thêm toàn bộ văn bản (chia thành nhiều phần để tìm kiếm), để AI dùng khi trả lời (mục 6). Điều này cũng áp dụng khi AI được bật sau cho một tài liệu đã tải lên. Văn bản được giữ chừng nào tài liệu còn tồn tại, kể cả khi sau đó AI bị tắt.

5.4 Hồ sơ thành viên — dữ liệu ban điều hành nhập về bạn

Ban điều hành tổ chức của bạn có thể giữ một hồ sơ cho mỗi thành viên. Nó có thể chứa:

• Ghi chú nội bộ của ban điều hành (bạn và các thành viên khác không thấy)
• Cảnh cáo và hình thức kỷ luật, kèm người viết và ngày
• Khen thưởng, nhãn được gán và các trường tùy chỉnh của hồ sơ: thông tin dạng văn bản tự do do ban điều hành ghi (ví dụ mã nhân viên, đội, một số điện thoại nội bộ). Ban điều hành quyết định từng trường xem bạn có được thấy hay không; trường mới chỉ ban điều hành thấy
• Lịch sử: vào/ra, các nhóm bạn từng xuất hiện, thống kê hoạt động (đề xuất, nhiệm vụ, sự kiện)
• Nhật ký hoạt động của ban điều hành trên hồ sơ của bạn: ai làm gì và khi nào. Khi một ghi chú, một kỷ luật hay một trường bị xóa (từng cái một hoặc bằng «🧹 Xóa hồ sơ», kể cả khi chúng được tạo qua AI), nội dung của chúng không còn lại trong nhật ký

Nội dung này do người quản lý tổ chức quyết định và viết ra; họ chịu trách nhiệm về nó với tư cách bên kiểm soát độc lập (mục 4). Ban điều hành có thể dọn dẹp hồ sơ bằng «🧹 Xóa hồ sơ», kể cả hồ sơ của người không còn là thành viên («👥 Thành viên» → «🧰 Công cụ» → «👤 Cựu thành viên»): với cựu thành viên, việc dọn dẹp còn xóa các trường tùy chỉnh và thu hồi lời mời đang chờ, còn khen thưởng thì được giữ lại. Việc xóa tài khoản của bạn sẽ xóa toàn bộ hồ sơ (mục 13).

5.5 Không gian cá nhân

Ngoài các tổ chức, bạn có một không gian chỉ của riêng mình: lịch cá nhân (kể cả địa điểm của một lịch hẹn, nếu bạn gửi vị trí), việc cần làm, thói quen cùng nhật ký của chúng, hạn chót (kèm ảnh giấy tờ nếu bạn thêm: ảnh vẫn nằm trên Telegram như các tệp đính kèm khác), ghi chú, lời nhắc (kể cả lặp lại), biểu mẫu cá nhân, cuộc hẹn và danh sách trong chat. Những dữ liệu này chỉ mình bạn thấy: chúng không xuất hiện trong tổ chức nào, không vào Thư viện nào và không người quản lý nào thấy được. Ngoại lệ duy nhất là những gì chính bạn chia sẻ: thẻ cuộc hẹn hay danh sách gửi vào một chat thì người trong chat đó thấy, còn ghi chú hay biểu mẫu chia sẻ bằng liên kết thì ai có liên kết cũng mở được. Bất kỳ ai chạm vào một thẻ như vậy, kể cả khi không dùng Tavora, đều gửi cho chúng tôi User ID và username của họ (hoặc tên, nếu không có username): chúng tôi lưu lại để ghi lên thẻ và để cuộc hẹn hay danh sách hoạt động. Nếu một thói quen liên quan đến dữ liệu nhạy cảm (thuốc lá, rượu bia, ma túy, cờ bạc), chúng tôi chỉ lưu vì chính bạn yêu cầu rõ ràng: trong bảng thói quen, bot hiện trước một thông báo và chờ bạn đồng ý, còn với trợ lý cá nhân thì bạn tự yêu cầu bằng lời của mình; bạn xóa nó bất cứ lúc nào. Trợ lý AI cá nhân chỉ truy cập khi bạn yêu cầu (mục 6.4).

5.6 Quầy tiếp nhận và ẩn danh — nói thẳng thắn

Từ Quầy tiếp nhận, thành viên có thể gửi cho người quản lý một báo cáo ẩn danh. Đây chính xác là ý nghĩa của nó:

• Với người quản lý, nó thật sự ẩn danh: họ không thấy tên, username hay ID — kể cả khi tìm kiếm. Trong bản xuất CSV, cột người gửi trống
• Với hệ thống thì không: cơ sở dữ liệu vẫn ghi nhận ai đã gửi báo cáo. Điều này ngăn lạm dụng và cho phép bạn theo dõi hồ sơ của mình
• Bot nói rõ điều này với bạn ngay lúc gửi, trước khi bạn chọn

Danh tính người gửi báo cáo ẩn danh không bao giờ được tiết lộ cho người quản lý ở bất kỳ màn hình nào của bot. Nó chỉ có thể bị tiết lộ nếu một nghĩa vụ pháp lý buộc chúng tôi làm vậy (mục 7).

5.7 Biểu mẫu và ẩn danh

Người tạo biểu mẫu chọn nó là ghi danh hay ẩn danh, và sau khi công bố thì không đổi được nữa. Trong biểu mẫu ẩn danh:

• Khi bạn đang điền, hệ thống giữ một liên kết tạm thời giữa bạn và bản nháp (để bạn có thể điền tiếp); khi gửi, liên kết đó bị xóa: các câu trả lời đã gửi không còn truy ngược được về bạn trong cơ sở dữ liệu
• Vẫn ghi nhận rằng bạn đã trả lời (để chặn trả lời trùng), nhưng không phải bạn trả lời gì
• Vì vậy biểu mẫu ẩn danh không cho phép sửa câu trả lời sau khi gửi

5.8 Quyên góp (Telegram Stars)

Nếu bạn ủng hộ dự án bằng một khoản quyên góp Telegram Stars, chúng tôi ghi nhận: User ID và username, số tiền, mã giao dịch (charge_id, hữu ích khi hoàn tiền), ngày giờ, và tên (first name) Telegram của bạn, ở đây chỉ dùng để cảm ơn bạn công khai nếu bạn đồng ý, hoặc cho huy hiệu người quyên góp. Chúng tôi không nhận và không lưu bất kỳ thông tin thanh toán nào (thẻ, tài khoản): giao dịch diễn ra hoàn toàn bên trong Telegram.

5.9 Dữ liệu kỹ thuật

• Nhật ký kiểm tra: với nhiệm vụ và các thao tác quản lý, chúng tôi ghi lại ai làm gì và khi nào
• Phiên tạm của trình hướng dẫn (tạo đề xuất/nhiệm vụ…): tự xóa sau 48 giờ không hoạt động
• Tệp đính kèm của báo lỗi/góp ý gửi từ bot: giữ dưới dạng tham chiếu Telegram và xóa sau khoảng 30 ngày
• Xác minh PDF đã xuất: mỗi PDF xuất ra có một mã xác minh, và khi tạo PDF chúng tôi lưu dấu vân tay (SHA-256) của toàn bộ tệp, không kèm thêm dữ liệu cá nhân nào. Người nhận PDF có thể gửi nó cho bot trong chat riêng để biết nó là thật hay đã bị sửa
• Nhật ký kỹ thuật: log của bot không chứa token hay nội dung nhạy cảm
• Thống kê sản phẩm nội bộ (giai đoạn beta): các sự kiện kích hoạt tổng hợp (ví dụ: tạo tổ chức đầu tiên của bạn) và bộ đếm sử dụng một số màn hình, gắn với User ID và dấu thời gian. Chúng ở lại nội bộ, không nuôi việc lập hồ sơ hay quảng cáo, và sẽ bị xóa hoặc ẩn danh hóa khi beta kết thúc. Bạn có thể yêu cầu xóa sớm

5.10 Dữ liệu chúng tôi KHÔNG thu thập

Bot không hỏi và không tự ý thu thập:

• Họ, email, số điện thoại: chúng tôi không hỏi và cũng không đọc chúng từ Telegram. Nếu chính bạn viết chúng trong một nội dung, hoặc ban điều hành ghi vào một trường trong hồ sơ của bạn (5.4), chúng tôi lưu như các nội dung khác
• Ảnh hồ sơ hay dữ liệu tiểu sử
• Vị trí hay dữ liệu GPS: chúng tôi không bao giờ tự xác định. Nếu chính bạn gửi một vị trí làm địa điểm cho một lịch hẹn trong lịch, chúng tôi lưu tọa độ cùng với lịch hẹn đó
• Tin nhắn riêng ngoài cuộc trò chuyện với bot
• Dữ liệu từ ứng dụng hay dịch vụ khác, lịch sử duyệt web, cookie, dữ liệu thiết bị
• Thông tin thanh toán (thẻ, tài khoản, IBAN)

6Trợ lý AI

Tavora có nhiều trợ lý AI. Tất cả đều theo cùng những quy tắc nền: câu trả lời do mô hình Claude của Anthropic tạo ra (mục 10), dữ liệu gửi cho nhà cung cấp không được dùng để huấn luyện mô hình của họ, mỗi trợ lý chỉ thấy tổ chức (hoặc không gian cá nhân) nơi nó làm việc, và chúng chỉ hành động khi có người yêu cầu. Ngoại lệ duy nhất là các chỉ dẫn định kỳ của AI Quản lý Thành viên, tự chạy vào những ngày và giờ do ban điều hành chọn (6.2).

6.1 Tavora AI (cho thành viên)

Trả lời câu hỏi dựa trên tài liệu Thư viện được ban điều hành đánh dấu «AI = Có» và kiến thức nền của Tavora. Chúng tôi lưu:

• Bộ nhớ hội thoại trong chat riêng: mỗi lượt trao đổi tự xóa 30 ngày sau khi được viết, kể cả khi bạn vẫn dùng trợ lý, hoặc sớm hơn nếu bạn xóa; trong nhóm (/ask) bộ nhớ tách riêng theo người dùng và mỗi lượt trao đổi hết hạn sau 7 ngày
• Tóm tắt tự động các lượt cũ khi hội thoại dài ra (10 lượt gần nhất giữ nguyên)
• Hồ sơ tổng hợp về phong cách tương tác của bạn (tối đa 300 ký tự), cập nhật mỗi tuần một lần nếu tuần qua bạn dùng trợ lý thường xuyên, chỉ để hiệu chỉnh giọng điệu
• Bộ đếm sử dụng để áp dụng giới hạn (không chứa nội dung câu hỏi)
• Bộ nhớ đệm câu trả lời cho các câu hỏi công khai với Tavora AI toàn cục, để trả lời ngay các câu hỏi tương tự

Những gì gửi cho nhà cung cấp AI: câu hỏi, các lượt trước của hội thoại, trích đoạn liên quan từ Thư viện và Chỉ dẫn AI của ban điều hành. User ID và username của bạn không được gửi: với nhà cung cấp, người dùng Tavora AI không thể bị nhận diện.

6.2 AI Quản lý Thành viên (cho ban điều hành)

Trợ lý dành riêng cho người sáng lập và admin. Khi ban điều hành dùng nó, dữ liệu thành viên cần cho yêu cầu được xử lý — và một phần gửi cho nhà cung cấp AI: username, vai trò, nhãn, trường tùy chỉnh, thống kê hoạt động, kỷ luật, giới hạn trong duy nhất tổ chức đó. Bộ nhớ hội thoại của ban điều hành kéo dài tối đa 32 lượt trao đổi / 14 ngày, tách riêng theo tổ chức và theo admin. Với một yêu cầu rõ ràng về một người, nó làm ngay; với nhiều người, và với tin nhắn riêng và thông báo, nó hỏi xác nhận bằng văn bản trước. Tối đa 20 người nhận mỗi hành động, và mọi hành động đều được ghi vào lịch sử quản lý. Các chỉ dẫn định kỳ do ban điều hành lưu chỉ tự áp dụng nhãn, vai trò, tin nhắn riêng mà quy tắc đã định, gỡ cấm, lời mời vào nhóm và ghi chú nội bộ: trục xuất, cấm, cảnh cáo, khen thưởng và trường hồ sơ vẫn chỉ là gợi ý để ban điều hành xác nhận.

6.3 AI Nhiệm vụ, AI Ca trực và AI Biểu mẫu (cho người quản lý)

Cùng nguyên tắc của 6.2, áp dụng cho nhiệm vụ, ca trực và biểu mẫu: chúng chỉ đọc bảng công việc, khối lượng, lịch trực và biểu mẫu của khu vực mà người quản lý có quyền. AI Nhiệm vụ hỏi xác nhận bằng văn bản cho các hành động trên nhiều nhiệm vụ hoặc nhiều người và cho mọi thao tác xóa. Trước khi đăng, đóng, mở lại hoặc xóa một biểu mẫu (hoặc một câu hỏi đã có câu trả lời), xóa một ca trực đã có người hay gỡ một người khỏi ca trực, AI Biểu mẫu và AI Ca trực hỏi xác nhận trong cuộc trò chuyện: hành động chỉ chạy sau khi người dùng trả lời «có» trong một tin nhắn sau đó, do bot kiểm tra chứ không phải AI. Nhà cung cấp AI nhận dữ liệu nhiệm vụ, ca trực và biểu mẫu liên quan đến yêu cầu (tiêu đề, người phụ trách, hạn chót, câu hỏi, câu trả lời cần chấm), không bao giờ là toàn bộ cơ sở dữ liệu.

6.4 Trợ lý cá nhân (không gian cá nhân)

Chỉ làm việc với dữ liệu cá nhân của bạn: việc cần làm, thói quen, lịch, ghi chú, lời nhắc, hạn chót, cuộc hẹn, danh sách trong chat và biểu mẫu cá nhân. Nó có bộ nhớ tách biệt khỏi mọi thứ khác và không trò chuyện với AI của các tổ chức.

6.5 Kiểm duyệt tự động các Chỉ dẫn AI

Khi ban điều hành lưu một Chỉ dẫn AI (quy tắc hành vi cho trợ lý), văn bản của nó được gửi cho nhà cung cấp để kiểm tra an toàn tự động. Nếu vi phạm quy tắc sử dụng (xúc phạm, prompt injection, hoạt động phi pháp), nó bị đánh dấu «bị bỏ qua» và AI không áp dụng. Chỉ văn bản chỉ dẫn được gửi, không dữ liệu nào khác.

Embedding (biểu diễn số của văn bản dùng cho tìm kiếm trong Thư viện và bộ nhớ đệm) được tính cục bộ trên máy chủ của chúng tôi bằng mô hình mã nguồn mở: trong thao tác này không dữ liệu nào rời khỏi hạ tầng của chúng tôi.

7Cơ sở pháp lý và mục đích

Chúng tôi không xử lý dữ liệu «vì bạn dùng bot nên coi như đồng ý»: mỗi hoạt động xử lý đều có cơ sở pháp lý theo Điều 6 GDPR.

• Thực hiện dịch vụ bạn yêu cầu (Điều 6.1.b) — toàn bộ hoạt động của Tavora: tổ chức, đề xuất, biểu quyết, nhiệm vụ, ca trực, sự kiện, biểu mẫu, Thư viện, Quầy tiếp nhận, không gian cá nhân, trợ lý AI, thông báo và lời nhắc
• Lợi ích chính đáng (Điều 6.1.f) — bảo mật và phòng chống lạm dụng (giới hạn, cấm, nhật ký kiểm tra), sao lưu và tính liên tục của dịch vụ, thống kê nội bộ tổng hợp để cải thiện sản phẩm, bảo vệ quyền của chúng tôi. Bạn có thể phản đối các hoạt động này (mục 13)
• Sự đồng ý (Điều 6.1.a) — lời cảm ơn công khai người quyên góp và biểu mẫu hỗ trợ trên trang web; sự đồng ý rõ ràng (Điều 9.2.a) để lưu một thói quen trong không gian cá nhân có liên quan đến dữ liệu nhạy cảm (thuốc lá, rượu bia, ma túy, cờ bạc). Rút lại được bất cứ lúc nào: với một thói quen, chỉ cần xóa nó
• Nghĩa vụ pháp lý (Điều 6.1.c) — việc phản hồi các yêu cầu hợp pháp của cơ quan chức năng, nếu có

Không quyết định hoàn toàn tự động nào gây hiệu lực pháp lý hay ảnh hưởng đáng kể tương tự lên bạn (Điều 22 GDPR): trợ lý AI đề xuất, con người quyết định. Trục xuất và cấm không bao giờ do AI tự động thực hiện.

Dữ liệu không được dùng để lập hồ sơ thương mại hay quảng cáo, không bị bán, và không nuôi bất kỳ hoạt động tiếp thị nào.

8Ai thấy dữ liệu của bạn

Các thành viên khác trong tổ chức của bạn thấy

• Username của bạn (hoặc, nếu bạn không có, tên Telegram của bạn) với tư cách tác giả đề xuất và trong các bình luận đăng trong nhóm
• Các phân công của bạn trong nhiệm vụ, ca trực và ghi chú công khai
• Đăng ký sự kiện của bạn, ở nơi danh sách người tham gia hiển thị
• Ai là người sáng lập và admin của tổ chức (mọi thành viên đều thấy)
• Danh sách thành viên (chỉ tên hoặc username, không bao giờ là ID Telegram), nếu người sáng lập để mọi người cùng xem; nếu không, chỉ ban điều hành và người có quyền đối với thành viên mới xem được

Chỉ người quản lý thấy

• Phiếu bầu cá nhân (ví dụ qua /votes), ở nơi tổ chức quy định
• Hồ sơ thành viên (ghi chú nội bộ, cảnh cáo, khen thưởng, nhãn, lịch sử — mục 5.4)
• Hồ sơ của Quầy tiếp nhận — người gửi chỉ hiển thị nếu báo cáo không ẩn danh (5.6)
• Người trả lời của biểu mẫu ghi danh (không bao giờ thấy liên kết câu trả lời↔người trong loại ẩn danh, 5.7)

Không ai thấy

• Cuộc trò chuyện riêng của bạn với bot và các trợ lý AI
• Không gian cá nhân của bạn (lịch, việc cần làm, thói quen, hạn chót, ghi chú, lời nhắc), trừ những gì chính bạn chia sẻ (5.5)
• Các đề xuất bạn đã ẩn khỏi chế độ xem của mình

Ngoài ra, quyền truy cập kỹ thuật vào cơ sở dữ liệu chỉ giới hạn ở nhà phát triển (mục 12). Không dữ liệu nào được chia sẻ với bên thứ ba ngoài các nhà cung cấp ở mục 10.

9Thời hạn lưu trữ

Quy tắc chung: chúng tôi giữ dữ liệu chừng nào bạn còn dùng Tavora và tổ chức mà dữ liệu thuộc về còn tồn tại. Chi tiết:

• Xóa tổ chức: thành viên rời đi ngay; trong 10 ngày người sáng lập có thể khôi phục nó từ «Các tổ chức của tôi» (nội dung và cài đặt quay lại, thành viên vào lại bằng liên kết mời mới), sau đó dữ liệu (đề xuất, phiếu bầu, nhiệm vụ…) bị xóa vĩnh viễn và tự động
• Xóa không gian cá nhân («🗑 Xóa không gian»): trong 10 ngày bạn có thể khôi phục, nếu trong thời gian đó bạn không tạo không gian mới; sau đó nó bị xóa vĩnh viễn
• Phiên trình hướng dẫn: 48 giờ không hoạt động
• Tệp đính kèm báo lỗi và góp ý: ~30 ngày
• Bộ nhớ AI: Tavora AI: mỗi lượt trao đổi 30 ngày sau khi được viết (7 trong nhóm), AI quản lý 14 ngày — cộng thêm các lần đặt lại thủ công (mục 13)
• Hồ sơ AI tổng hợp: thay thế ở mỗi lần cập nhật hằng tuần; xóa khi đặt lại bộ nhớ, cùng tài khoản hoặc tự động khi bộ nhớ không còn lượt trao đổi riêng nào
• Bộ nhớ đệm câu trả lời AI: tự vô hiệu khi tài liệu nền thay đổi
• Đề xuất đang chờ: tự hoàn tất sau 7 ngày
• Cấm: lệnh cấm của một tổ chức chỉ giữ User ID (kèm người cấm và ngày) chừng nào còn hiệu lực; lệnh cấm toàn Tavora giữ cả username chừng nào còn áp dụng. Sau một yêu cầu xóa, chỉ còn ID, chừng nào lệnh cấm còn hiệu lực
• Chặn bot: dữ liệu vẫn còn nhưng chúng tôi không liên hệ nữa; bạn có thể yêu cầu xóa
• Thống kê beta: xóa hoặc ẩn danh hóa khi beta kết thúc
• Bản sao lưu: các bản mã hóa, tạo mỗi đêm và giữ trên máy chủ của chúng tôi tối đa 14 ngày, sau đó bị xóa theo vòng luân phiên; bản sao mã hóa của 5 đêm gần nhất còn được lưu trên Google Drive (mục 10). Vì vậy dữ liệu đã xóa có thể còn trong bản sao lưu đến 14 ngày

10Nhà cung cấp bên ngoài

Tavora dựa vào ít nhà cung cấp, mỗi bên cho một việc cụ thể. Không có dịch vụ phân tích bên thứ ba, pixel, SDK quảng cáo hay môi giới dữ liệu.

Cho bot

• Telegram — nền tảng nơi bot hoạt động: tin nhắn, tệp và tương tác đi qua máy chủ của họ theo chính sách quyền riêng tư của riêng họ. Telegram là bên kiểm soát độc lập với việc xử lý của mình
• Anthropic (Hoa Kỳ) — nhà cung cấp mô hình Claude đứng sau các trợ lý AI. Chỉ nhận dữ liệu mô tả ở mục 6, không dùng để huấn luyện (giữ trong thời gian giới hạn vì mục đích an toàn rồi xóa) và xử lý theo chính sách quyền riêng tư và Data Processing Addendum của họ
• Lưu trữ — bot và cơ sở dữ liệu PostgreSQL chạy trên máy chủ riêng ảo tại Liên minh châu Âu, do chúng tôi quản lý. Dữ liệu của bot chỉ nằm trên máy chủ này; ngoại lệ duy nhất là các bản sao lưu đã mã hóa được lưu trên Google Drive (xem ngay bên dưới)
• Google Drive (Google) — lưu một bản sao của các bản sao lưu đã mã hóa trong 5 đêm gần nhất. Mỗi bản sao lưu được mã hóa trên máy chủ của chúng tôi ngay khi tạo, bằng một khóa công khai (OpenPGP, AES-256), và phiên bản chưa mã hóa bị xóa: chỉ các tệp đã mã hóa được đưa lên Google Drive, và Google không thể đọc chúng vì không có khóa. Khóa riêng cần thiết cho việc khôi phục do Tavora giữ bên ngoài máy chủ và bên ngoài Google. Các bản sao cũ hơn bị xóa khỏi Drive tự động và vĩnh viễn (không vào thùng rác)

Cho trang web

• Vercel — lưu trữ tavora.net và biểu mẫu hỗ trợ
• Resend — gửi email của biểu mẫu hỗ trợ
• Cloudflare Turnstile — xác minh chống bot của biểu mẫu, không cookie bền vững, không theo dõi liên trang

11Chuyển ra ngoài EU

Cơ sở dữ liệu của bot nằm tại Liên minh châu Âu. Tuy nhiên một số nhà cung cấp hoạt động từ Hoa Kỳ:

• Anthropic — cho các yêu cầu tới trợ lý AI (mục 6)
• Vercel, Resend và Cloudflare — cho trang web và biểu mẫu hỗ trợ (mục 15)
• Google — cho các bản sao lưu đã mã hóa trên Google Drive, có thể được lưu cả ngoài EU (mục 10)

Các lần chuyển này dựa trên các bảo đảm của Chương V GDPR: chứng nhận EU-US Data Privacy Framework và/hoặc Điều khoản hợp đồng chuẩn (SCC), tùy nhà cung cấp. Telegram xử lý dữ liệu theo chính sách riêng, với tư cách bên kiểm soát độc lập.

12Bảo mật

Các biện pháp chính đang áp dụng:

• Mã hóa khi truyền — liên lạc với Telegram và giữa bot với cơ sở dữ liệu đi qua kênh mã hóa
• Sao lưu mã hóa — bằng AES-256 với khóa công khai (OpenPGP): máy chủ có thể mã hóa bản sao lưu nhưng không thể mở chúng; khóa để khôi phục không nằm trên máy chủ và cũng không nằm ở Google
• PDF có thể xác minh — mỗi PDF xuất ra có mã xác minh: gửi nó cho bot trong chat riêng là biết nó là thật hay đã bị sửa (chỉ cần một byte bị thay đổi)
• Truy cập giới hạn — chỉ nhà phát triển có quyền truy cập trực tiếp cơ sở dữ liệu
• Truy vấn tham số hóa — chống SQL injection
• Kiểm tra đầu vào và giới hạn độ dài với mọi thứ bạn nhập
• Giới hạn tần suất chống lạm dụng khi tạo và tương tác
• Ghi log tiết chế — không token, không nội dung nhạy cảm trong log

Không hệ thống nào an toàn 100%. Nếu xảy ra vi phạm gây rủi ro cho quyền của bạn, chúng tôi sẽ thông báo cho cơ quan chức năng và — trong các trường hợp Điều 34 GDPR quy định — cho cả bạn.

13Quyền của bạn

GDPR bảo đảm cho bạn những quyền này (Điều 15–21), tất cả miễn phí:

• Truy cập — biết chúng tôi có dữ liệu gì về bạn và nhận một bản sao
• Cải chính — sửa dữ liệu không chính xác (username tự cập nhật từ Telegram)
• Xóa — xóa hoàn toàn tài khoản của bạn: bạn yêu cầu qua email và chúng tôi thực hiện (chi tiết bên dưới)
• Hạn chế — yêu cầu chúng tôi «đóng băng» một hoạt động xử lý trong khi xem xét khiếu nại của bạn
• Chuyển dữ liệu — nhận dữ liệu của bạn ở định dạng có cấu trúc, thông dụng; từ bot bạn có thể tự tải PDF việc cần làm trong không gian cá nhân và ZIP các đề xuất của mình; để nhận bản sao đầy đủ mọi dữ liệu của bạn, hãy viết cho chúng tôi
• Phản đối — phản đối các hoạt động dựa trên lợi ích chính đáng (mục 7)
• Rút lại sự đồng ý — bất cứ lúc nào, không ảnh hưởng những gì đã diễn ra trước đó

Khiếu nại với cơ quan chức năng: bạn luôn có quyền liên hệ Cơ quan bảo vệ dữ liệu Ý (Garante) (Điều 77 GDPR) hoặc cơ quan giám sát của nước bạn, không cần báo trước cho chúng tôi.

Những gì bạn tự làm được, ngay bây giờ, từ bot

• Đặt lại bộ nhớ AI — nút «🧹 Đặt lại bộ nhớ» xóa ngay các lượt hội thoại, hồ sơ tổng hợp và tóm tắt (thao tác không hoàn tác được và cần xác nhận)
• Rời một tổ chức bất cứ lúc nào
• Xóa lịch hẹn, ghi chú, việc cần làm, lời nhắc, hạn chót và thói quen trong không gian cá nhân
• Xóa toàn bộ không gian cá nhân bằng «🗑 Xóa không gian»: trong 10 ngày bạn vẫn có thể khôi phục, sau đó nó bị xóa vĩnh viễn (mục 9)
• Ẩn các đề xuất khỏi chế độ xem của bạn
• Chặn bot để ngừng mọi liên lạc

Xóa tài khoản kéo theo những gì

• Bị xóa: tài khoản, tư cách thành viên, vai trò, hồ sơ thành viên về bạn (kể cả trường hồ sơ và khen thưởng), yêu cầu gia nhập và chuyển giao, phản hồi sự kiện, chỗ trong ca trực, dấu vết việc bạn đã trả lời biểu mẫu, bộ nhớ và chỉ dẫn định kỳ của AI, thống kê beta; không gian cá nhân bị xóa ngay. Tên của bạn cũng được gỡ khỏi các cuộc hẹn và danh sách của người khác, kể cả các tiêu đề mà những cuộc hẹn đó đã đưa vào lịch của họ
• Được giữ lại: các lệnh cấm còn hiệu lực, chỉ với User ID, để ngăn việc quay lại
• Bị xóa: các tổ chức bạn sáng lập, với cửa sổ 10 ngày ở mục 9: trong thời gian đó Tavora chỉ có thể khôi phục chúng bằng cách giao cho một chủ sở hữu mới
• Được ẩn danh hóa: đề xuất, phiếu bầu, bình luận, nhiệm vụ và ghi chú bạn tạo trong tổ chức của người khác — nội dung ở lại (là di sản chung của tổ chức), nhưng không còn liên kết với bạn. Tổng phiếu bầu giữ nguyên, danh tính người bầu bị gỡ bỏ. Câu trả lời biểu mẫu và yêu cầu gửi Quầy tiếp nhận cũng không còn ID hay tên: người gửi hiển thị là «Người dùng đã bị xóa»

Để thực hiện các quyền cần chúng tôi can thiệp, hãy viết tới tavorasystems@gmail.com kèm Telegram User ID của bạn. Chúng tôi thường trả lời trong vòng một tháng (Điều 12 GDPR).

14Trẻ vị thành niên

Tavora không dành cho người dưới 16 tuổi và chúng tôi không cố ý thu thập dữ liệu của họ. Nếu cha mẹ hoặc người giám hộ cho rằng một trẻ vị thành niên đã cung cấp dữ liệu cá nhân cho chúng tôi, họ có thể viết thư để yêu cầu gỡ bỏ (mục 17).

15Trang web và biểu mẫu hỗ trợ

Trang tavora.net

Trang web không dùng cookie, không có banner vì không cần, và không nhúng trình theo dõi, phân tích bên thứ ba hay pixel. Bên lưu trữ (Vercel) tạo log kỹ thuật phục vụ việc phân phối, xử lý theo chính sách quyền riêng tư của họ.

Biểu mẫu hỗ trợ

Khi bạn gửi báo cáo từ biểu mẫu (/support/), chúng tôi thu thập những gì bạn viết: loại, tiêu đề (tối đa 120 ký tự), mô tả (tối đa 4000), email của bạn (để trả lời), tệp đính kèm tùy chọn (tối đa 3 tệp; loại cho phép: hình ảnh, video, PDF, TXT), ngôn ngữ trang và một hash của IP (SHA-256 kèm salt) chỉ dùng để giới hạn tần suất — không bao giờ là IP dạng rõ.

Cơ sở pháp lý: sự đồng ý rõ ràng của bạn (ô đánh dấu bắt buộc) và việc thực hiện yêu cầu của bạn (trả lời bạn). Email đi qua Resend và đến hộp thư của chúng tôi; xác minh chống bot do Cloudflare Turnstile đảm nhận, không cookie bền vững.

• Lưu email: thời gian cần để xử lý báo cáo, tối đa 24 tháng
• Log chẩn đoán của biểu mẫu: 7 ngày, không dữ liệu cá nhân dạng rõ
• Rút lại: bạn có thể rút lại sự đồng ý bất cứ lúc nào bằng cách viết cho chúng tôi; việc rút lại không ảnh hưởng tính hợp pháp của những gì đã diễn ra

16Thay đổi của thông báo này

Nếu Tavora thay đổi, trang này thay đổi theo. Với các thay đổi quan trọng, chúng tôi báo cho bạn bằng một tin nhắn trong bot; ngày cập nhật cuối luôn ở đầu trang. Các phiên bản trước có sẵn theo yêu cầu.

17Liên hệ

Cho các câu hỏi về thông báo này hoặc để thực hiện quyền của bạn:

• tavorasystems@gmail.com

Hãy ghi Telegram User ID của bạn trong yêu cầu: đó là cách duy nhất để chúng tôi xác định chắc chắn dữ liệu của bạn (chúng tôi không bao giờ hỏi tên hay giấy tờ, trừ khi có nghi ngờ chính đáng về danh tính người yêu cầu theo Điều 12.6 GDPR).