Chính sách này bao gồm cả ứng dụng Kardhaus cho iOS lẫn trang web này. Đó là hai văn bản rất khác nhau ghép lại, nên bên dưới chúng được tách riêng. Bên kiểm soát dữ liệu là nhà phát triển Kardhaus, liên hệ tại hello@kardhaus.com.

Ứng dụng iOS

Danh thiếp của bạn không bao giờ đến chỗ chúng tôi

Ứng dụng không gửi gì về danh thiếp của bạn cho chúng tôi: không tài khoản, không quảng cáo và không theo dõi. Không phải chúng tôi hứa sẽ không nhìn — mà là không tồn tại kênh nào để nhìn qua. Việc quét và nhận dạng văn bản diễn ra trên iPhone của bạn. Ngoài việc đồng bộ qua iCloud của chính bạn, dữ liệu danh thiếp chỉ được gửi tới Apple, không bao giờ tới chúng tôi, trong ba trường hợp: địa chỉ in trên thiếp, tới Bản đồ Apple; từ phiên bản 1.1 trên iOS 27, nhận dạng AI, tới Private Cloud Compute của Apple; và từ phiên bản 1.2 trên iOS 27, bản nháp tin nhắn theo dõi, chỉ khi bạn chạm để tạo, cũng tới Private Cloud Compute. Từ phiên bản 1.2 còn có thêm một việc khác: một giao dịch mua — không bao giờ là danh thiếp — có thể được ghi nhận ở RevenueCat, nếu bạn bật công tắc dành cho việc đó; với ai đã dùng Kardhaus từ trước, công tắc ấy đang tắt. Tất cả đều được trình bày bên dưới.

Ứng dụng lưu những gì. Ảnh danh thiếp, văn bản nhận dạng từ đó, ghi chú của bạn, thẻ nhãn, và — nếu bạn cho phép truy cập vị trí — nơi bạn đứng khi lưu một tấm thiếp. Tất cả nằm trong kho lưu trữ riêng của ứng dụng, trên iPhone của bạn.

Đồng bộ đi đâu. Nếu iCloud được bật cho Kardhaus, kho lưu trữ đó đồng bộ qua cơ sở dữ liệu iCloud riêng tư của chính bạn, dưới Tài khoản Apple của bạn. Đó là kênh giữa các thiết bị của bạn và Apple; chúng tôi không phải một bên trong đó và không thể đọc nó. Tắt iCloud cho Kardhaus trong Cài đặt iOS sẽ dừng đồng bộ và giữ dữ liệu lại trên máy.

Nhận dạng. Việc quét và nhận dạng văn bản — tức là đọc các ký tự trên danh thiếp — luôn diễn ra trên iPhone của bạn. Sau đó, nhận dạng AI sắp xếp văn bản vào các trường: họ tên, công ty, phòng ban, chi nhánh, chức danh, địa chỉ. Đến phiên bản 1.0.x, và trên iOS 26, bước này chạy trên máy bằng Apple Intelligence. Từ phiên bản 1.1, trên iOS 27 có Apple Intelligence, bước này trước tiên được gửi tới Private Cloud Compute của Apple, kèm theo ảnh của đúng tấm danh thiếp đó. Apple thiết kế Private Cloud Compute để dữ liệu gửi đi chỉ được dùng cho đúng yêu cầu đó, không được lưu lại, và ngay cả Apple cũng không thể truy cập. Khi Private Cloud Compute không dùng được (không có kết nối, thiết bị không đủ điều kiện, hoặc đã chạm giới hạn sử dụng Private Cloud Compute do Apple đặt ra), Apple Intelligence trên máy sẽ đảm nhận, nếu vẫn không được thì dùng nhận dạng có sẵn; danh thiếp vẫn được lưu như bình thường. Khi đã dùng hết lượt nhận dạng AI miễn phí mà không có Pro, nhận dạng AI hoàn toàn không chạy: nhận dạng có sẵn đọc danh thiếp ngay trên iPhone, và không có gì được gửi tới Private Cloud Compute. Phiên bản 1.1 không có tuỳ chọn nào để tắt Private Cloud Compute; từ phiên bản 1.1.1, ứng dụng có công tắc tại Cài đặt → Apple Intelligence, mặc định bật, để tắt nó — cho nhận dạng AI và, từ phiên bản 1.2, cho cả bản nháp tin nhắn theo dõi. “Tìm người chỉ bằng một câu” chạy hoàn toàn trên máy: những gì bạn gõ vào đó không rời khỏi iPhone của bạn.

Bản nháp tin nhắn theo dõi, từ phiên bản 1.2. Kardhaus có thể soạn nháp một tin nhắn gửi người mà bạn đã lưu danh thiếp. Không có gì được gửi đi cho tới khi bạn chạm Viết bản nháp, và trước bản nháp đầu tiên, ứng dụng cho bạn thấy thứ gì được gửi tới đâu. Trên iOS 27, bản nháp được Private Cloud Compute của Apple viết trước; nếu dịch vụ này không khả dụng, hoặc bạn đã tắt nó, Apple Intelligence trên máy sẽ viết, và nếu vẫn không được thì dùng các mẫu có sẵn. Cho một bản nháp, Private Cloud Compute chỉ nhận: tên, chức danh, phòng ban và công ty trên tấm thiếp đó; tên địa điểm (không bao giờ là địa chỉ đường phố), ngày, loại và ghi chú của buổi gặp gần nhất; tối đa sáu nhãn của thiếp; ấn tượng của bạn về người đó (tối đa 400 ký tự); đoạn trích ngắn từ tối đa hai bản nháp trước mà bạn đã đánh dấu là đã gửi; gợi ý bạn gõ vào; và tên, chức danh, công ty của chính bạn. Nó không bao giờ nhận số điện thoại, địa chỉ email, địa chỉ bưu chính, mã số thuế, trang web hay ảnh — những thứ như vậy trong nội dung bạn gõ sẽ bị gỡ bỏ trước khi gửi — và lời ký tên của bạn được thêm vào trên máy sau khi bản nháp trả về. Cũng như với nhận dạng, Apple thiết kế Private Cloud Compute để dữ liệu chỉ được dùng cho đúng yêu cầu đó, không được lưu lại và không ai truy cập được, kể cả Apple. Không có gì trong số đó được gửi tới chúng tôi. Bản nháp được lưu cùng danh thiếp, trên thiết bị của bạn và, nếu đồng bộ đang bật, trong iCloud của chính bạn. Từ phiên bản 1.1.1, công tắc “Dùng Private Cloud Compute cho tính năng AI” trong ứng dụng, tại Cài đặt → Apple Intelligence, tắt Private Cloud Compute cho cả nhận dạng AI lẫn bản nháp.

Các quyền, và mỗi quyền thực sự dùng để làm gì. Máy ảnh — chụp danh thiếp. Vị trí, tuỳ chọn — ghi lại nơi bạn được đưa danh thiếp. Micrô và nhận dạng giọng nói — ghi chú thoại và tìm kiếm bằng giọng nói; bản ghi âm được chuyển thành văn bản trên máy, không bao giờ được lưu lại và không bao giờ được tải lên. Danh bạ — chỉ ghi, và chỉ khi bạn yêu cầu lưu một tấm thiếp. Ảnh — chỉ ghi, và chỉ khi bạn yêu cầu lưu một hình. Quyền nào cũng có thể từ chối, và ứng dụng vẫn chạy tiếp mà không cần đến nó.

Mua hàng. Bản thân việc thanh toán do Apple xử lý qua StoreKit; thông tin thanh toán của bạn chúng tôi không bao giờ thấy. Từ phiên bản 1.2, một công tắc quyết định việc này: trong ứng dụng, tại Cài đặt → Quyền riêng tư → “Gửi hồ sơ mua hàng cho RevenueCat”. Khi tắt, SDK của RevenueCat không hề được khởi động: không một yêu cầu nào đi tới đó, và việc mua cùng việc khôi phục giao dịch chạy hoàn toàn trên StoreKit của Apple, đúng như ở 1.1.1. Khi bật, việc mua và khôi phục đi qua RevenueCat, và RevenueCat nhận được giao dịch mua; đoạn tiếp theo nói chính xác là những gì. Bản cài mới khởi đầu với công tắc bật; ai đã dùng Kardhaus trước 1.2 thì công tắc đang tắt — và nó tắt cho tới khi chính người đó bật lên. Thay đổi có hiệu lực từ lần mở ứng dụng kế tiếp. Trong cả hai trường hợp, việc Pro có được mở hay không vẫn do bản ghi giao dịch có chữ ký của Apple trên máy quyết định: vẫn chạy khi không có mạng, và Chia sẻ Trong gia đình không bị ảnh hưởng. Và nếu không kết nối được tới RevenueCat, giao dịch vẫn hoàn tất.

RevenueCat, khi công tắc đang bật. RevenueCat là nhà cung cấp hạ tầng mua hàng và hoạt động như đơn vị xử lý dữ liệu cho chúng tôi, theo hợp đồng xử lý dữ liệu (GDPR, UK GDPR, CCPA). Mỗi yêu cầu, RevenueCat nhận được: bản thân giao dịch mua (mã sản phẩm và giao dịch App Store), một ID ẩn danh do chính RevenueCat sinh ra cho bản cài này, phiên bản và bản dựng của ứng dụng, phiên bản iOS, model máy, các ngôn ngữ đầu tiên của bạn, quốc gia của tài khoản App Store, và việc giao dịch có phải bản thử sandbox hay không. Bản ghi giao dịch nằm lại trên máy chủ của RevenueCat (Amazon Web Services, Hoa Kỳ). Những gì RevenueCat không bao giờ nhận: không tên, không địa chỉ email, không tài khoản — vốn không có tài khoản —, không mã người dùng nào từ chúng tôi, không mã định danh quảng cáo, không mã định danh thiết bị (SDK RevenueCat trong Kardhaus đã được sửa để không bao giờ đọc mã này), không dữ liệu phân bổ, và không gì lấy từ danh thiếp: không dữ liệu danh thiếp, không ảnh danh thiếp, không danh bạ. Chúng tôi không gọi `logIn` của RevenueCat, không gọi việc thu thập mã định danh thiết bị, cũng không dùng API phân bổ nào; chẩn đoán vẫn tắt; và trong tài khoản RevenueCat của chúng tôi không có tích hợp nào tới dịch vụ khác được bật, nên ID ẩn danh đó không đến tay bất kỳ ai khác. Cách tắt: tắt “Gửi hồ sơ mua hàng cho RevenueCat” trong cài đặt của ứng dụng; từ lần khởi động sau, SDK không được khởi động nữa.

Các SDK — và một ngoại lệ duy nhất từ phiên bản 1.2. Không có SDK phân tích, quảng cáo, phân bổ hay báo lỗi sập nào được nhúng vào ứng dụng, và không có gì bị theo dõi: không mã định danh quảng cáo, không hộp thoại App Tracking Transparency, không dấu vân tay thiết bị, không tài khoản. Từ phiên bản 1.2, đúng một SDK của bên thứ ba có thể chạy, và chỉ khi bạn tự bật: RevenueCat, cho việc mua hàng — đã nêu ở trên. Vì nó mà nhãn quyền riêng tư trên App Store thay đổi: tới phiên bản 1.1.x, nhãn ghi Không thu thập dữ liệu; từ 1.2, nhãn chỉ khai báo Giao dịch mua — lịch sử mua hàng —, dùng cho chức năng ứng dụng và cho phân tích, không liên kết với danh tính của bạn và không dùng để theo dõi bạn. Apple yêu cầu khai báo ngay cả khi công tắc đang tắt với người dùng cũ: nhãn nói về ứng dụng, không nói về bản của riêng bạn.

Dữ liệu danh thiếp đi đâu — và nếu điều này thay đổi. Tới chúng tôi thì không bao giờ: ứng dụng không gửi dữ liệu danh thiếp cho Kardhaus. Tới Apple thì trong ba trường hợp. Thứ nhất, sau mỗi lần quét, nhập hoặc chỉnh sửa, Kardhaus tự động tra địa chỉ in trên danh thiếp trong Bản đồ Apple để đặt danh thiếp lên bản đồ; chỉ phần chữ của địa chỉ được gửi đi. Thứ hai, từ phiên bản 1.1 trên iOS 27, nhận dạng AI gửi ảnh của đúng tấm thiếp đó tới Private Cloud Compute của Apple, như đã nêu ở mục Nhận dạng phía trên. Thứ ba, từ phiên bản 1.2 trên iOS 27, bản nháp tin nhắn theo dõi gửi tới Private Cloud Compute của Apple những thông tin về danh thiếp và buổi gặp đã liệt kê ở mục Bản nháp tin nhắn theo dõi phía trên — chỉ khi bạn chạm để tạo bản nháp, và không bao giờ gửi số điện thoại, email, địa chỉ hay ảnh. Từ phiên bản 1.1.1, công tắc tại Cài đặt → Apple Intelligence dừng cả hai việc gửi tới Private Cloud Compute. RevenueCat không bao giờ nhận dữ liệu danh thiếp: từ phiên bản 1.2, và chỉ khi công tắc đang bật, họ nhận giao dịch mua và không nhận gì từ tấm thiếp. Danh sách nơi nhận dừng ở đó. Nếu có ngày Kardhaus gửi dữ liệu danh thiếp cho bất kỳ ai khác ngoài Apple, hoặc gửi dữ liệu mua hàng cho bất kỳ ai khác ngoài Apple và RevenueCat, trang này sẽ nêu tên bên nhận trước khi bản cập nhật đó được phát hành.

Trẻ em. Kardhaus là công cụ dành cho người trưởng thành đang đi làm và không hướng tới trẻ em. Qua ứng dụng, chúng tôi không thu thập dữ liệu của bất kỳ ai, ở bất kỳ độ tuổi nào.

Không có tài khoản, và cách xoá sạch mọi thứ

Không có tài khoản nào cả. Không có gì để đăng ký, không bắt buộc địa chỉ email, không mật khẩu, không hồ sơ. Đó cũng là lý do trong ứng dụng không có nút «xoá tài khoản của tôi» ở bất kỳ đâu: không có tài khoản nào của bạn để xoá, và phía chúng tôi cũng không có bản sao bộ sưu tập của bạn.

Ứng dụng giữ dữ liệu bao lâu. Bao lâu tuỳ bạn giữ. Không có hạn dùng và không có lịch lưu trữ, vì dữ liệu nằm trên máy bạn và quyết định là của bạn.

Xoá. Gỡ ứng dụng sẽ xoá bộ sưu tập mà nó giữ trên chiếc iPhone đó. Nếu đồng bộ iCloud đang bật, một bản sao vẫn nằm trong iCloud của chính bạn cho đến khi bạn xoá nốt: Cài đặt iOS → tên bạn → iCloud → Quản lý dung lượng tài khoản → Kardhaus → Xoá dữ liệu. Cả hai việc chúng tôi đều không thể làm thay bạn, và cả hai đều không thể hoàn tác sau đó.

Thống kê trang web

Cho đến khi bạn chấp nhận dải thông báo, trang này không tải bất cứ thứ gì từ bất kỳ công ty nào khác. Không phân tích, không phông chữ, không nhúng, không pixel. Có thể kiểm tra trong khoảng mười giây: mở tab mạng của trình duyệt rồi tải lại — mọi yêu cầu đều đi tới kardhaus.com và không đi đâu khác.

Google Analytics 4 — bật mặc định, tắt bằng một chạm

GA4 dùng cookie, nên đây vẫn là lựa chọn bạn có thể đổi bất cứ lúc nào. Ngoài EEA, Anh và Thụy Sĩ, nó bật ngay khi bạn tới; một thông báo ở lần ghé đầu tiên nói rõ điều đó và cho Tắt bằng một chạm. Trong EEA, Anh và Thụy Sĩ thì ngược lại: Google Consent Mode v2 khởi động với `analytics_storage` ở mức denied cho các vùng đó, và `gtag.js` thậm chí không được yêu cầu từ Google cho tới khi bạn chạm Cho phép. Trong cả hai trường hợp, `ad_storage`, `ad_user_data` và `ad_personalization` vẫn ở denied ở mọi nơi — kể cả sau khi bạn đồng ý. Việc từ chối được lưu trong trình duyệt của bạn dưới tên `kh-consent` và được tôn trọng ở mọi lần ghé sau.

Nếu bạn cho phép, GA4 nhận lượt xem trang, nguồn giới thiệu, vị trí gần đúng suy ra từ IP của bạn (bản thân IP thì GA4 không lưu), loại thiết bị và trình duyệt, cùng một sự kiện `waitlist_signup` nếu bạn ghi tên. Google Signals và cá nhân hoá quảng cáo đều tắt, nên dữ liệu không được dùng để dựng đối tượng quảng cáo. Lựa chọn của bạn nằm trong trình duyệt dưới khoá `kh-consent` và không bị hỏi lần thứ hai. Đo lường nâng cao đang bật và thêm vài sự kiện tự động: bạn cuộn được bao xa, các cú nhấp rời khỏi trang, lượt tải xuống, và việc bạn đã bắt đầu hay đã gửi biểu mẫu. Nó ghi lại việc đó đã xảy ra, chứ không phải nội dung bạn gõ — nội dung biểu mẫu đến với chúng tôi qua điểm nhận của chính chúng tôi và không bao giờ qua Google.

Nếu bạn đổi ý, hãy xoá dữ liệu của trang này trong cài đặt trình duyệt, dải thông báo sẽ hiện lại.

Trang này không có Google Fonts, không có vùng chứa Google Tag Manager, không có pixel quảng cáo và không có nội dung nhúng của bên thứ ba.

Danh sách chờ

Nếu bạn gửi biểu mẫu, chúng tôi lưu địa chỉ email bạn gõ, khu vực bạn tuỳ chọn chọn, mọi thứ bạn viết trong ô văn bản tự do không bắt buộc, trang bạn gửi đi từ đó, ngôn ngữ của bạn, quốc gia phát sinh yêu cầu, và một dấu thời gian. Chúng tôi cũng lưu một mã giới hạn tần suất dạng thô đã băm để biểu mẫu không bị làm ngập; mã đó không thể đảo ngược thành địa chỉ IP và được loại bỏ liên tục.

Ô văn bản tự do đúng là văn bản tự do, xin hãy đối xử với nó như vậy. Một con người sẽ đọc nó và nó được dùng để quyết định xây gì. Đừng viết vào đó bất cứ điều gì bảo mật, và cũng đừng ghi thông tin liên hệ của người khác.

Mục đích. Viết cho bạn khi bản TestFlight mở và khi ứng dụng phát hành, gắn hạn mức miễn phí của bạn với địa chỉ đó, và sắp thứ tự ưu tiên những gì sẽ làm.

Cơ sở pháp lý. Sự đồng ý của bạn, thể hiện qua việc gửi biểu mẫu.

Thời gian lưu. Đến khi phát hành cộng 90 ngày, hoặc đến khi bạn yêu cầu xoá — tuỳ mốc nào đến trước. Huỷ đăng ký sẽ xoá bản ghi chứ không đánh dấu nó.

Lưu ở đâu và ai xử lý. Biểu mẫu gửi thẳng tới chính kardhaus.com, không bao giờ tới dịch vụ biểu mẫu của bên thứ ba, nên không công ty nào khác nhìn thấy lượt gửi ngay lúc nó xảy ra. Bản ghi được ghi vào Cloudflare D1 trong tài khoản của chính chúng tôi và sao chiếu sang một bảng tính Google không công khai do chúng tôi quản lý, để danh sách có thể đọc được mà không cần trình khách cơ sở dữ liệu. Do đó Google xử lý địa chỉ và bình luận của bạn với tư cách nhà cung cấp lưu trữ. Google không nhận địa chỉ IP hay chuỗi trình duyệt của bạn: bản sao được gửi từ máy chủ của chúng tôi, không phải từ trình duyệt của bạn.

Ngoài ra không có bên nhận nào khác. Danh sách không được bán, không cho thuê, không chia sẻ và không dùng cho bất cứ việc gì ngoài hai email đã nêu.

Quyền của bạn. Truy cập, chỉnh sửa, xoá và rút lại sự đồng ý. Gửi email tới hello@kardhaus.com là xong, không có rào xác minh nào ngoài việc bạn trả lời từ chính địa chỉ đó. Việc xoá sẽ gỡ bản ghi khỏi cả cơ sở dữ liệu lẫn bảng tính.

Nếu bạn đăng ký đợt thử nghiệm Android. Địa chỉ bạn để lại ở trang Android sẽ được thêm vào danh sách người thử nghiệm Kardhaus trên Google Play, tức là Google nhận được nó — Play là bên gửi lời mời và quyết định ai được cài bản thử nghiệm. Địa chỉ chỉ dùng cho việc đó, giữ đến khi đợt thử nghiệm kết thúc hoặc đến khi bạn yêu cầu xoá, và được gỡ khỏi danh sách bất cứ khi nào bạn yêu cầu.

Liên hệ

hello@kardhaus.com — yêu cầu về quyền riêng tư, yêu cầu xoá, vấn đề trợ năng hoặc bất cứ điều gì khác. Đó là địa chỉ duy nhất chúng tôi dùng, và người thật trả lời.