Chính sách bảo mật

Mupl vận hành theo 4 nguyên tắc bất biến:

1. Thu thập tối thiểu: chỉ thu thập dữ liệu thực sự cần để app hoạt động.
2. Local-first: dữ liệu mặc định nằm trên thiết bị của bạn. Cloud chỉ là backup tùy chọn.
3. Zero-knowledge: server lưu ciphertext không decrypt được. Mất khoá = mất khả năng đọc, kể cả từ phía Mupl.
4. Không bán dữ liệu: chúng tôi không bao giờ bán, cho thuê, hay trao đổi dữ liệu của bạn — kể cả dạng anonymous.

Mupl tuân thủ Nghị định 13/2023/NĐ-CP của Việt Nam về Bảo vệ dữ liệu cá nhân. Với người dùng EU, chúng tôi tuân thủ tinh thần của GDPR (cùng quyền: truy cập, chỉnh sửa, xoá, di chuyển dữ liệu).

Mupl thu thập 3 nhóm dữ liệu, mỗi nhóm có mục đích cụ thể:

2.1. Tài khoản

• Email + provider OAuth (Apple Sign-In, Google, hoặc email/password). Cần để xác thực và liên hệ về vấn đề tài khoản.
• Mupl ID (UUID server-generated). Dùng để liên kết dữ liệu của bạn nội bộ.
• Ngày tạo tài khoản + lần đăng nhập gần nhất. Dùng để hiển thị trên màn hình Hồ sơ và phát hiện bất thường.

2.2. Thiết bị

• Device ID (UUID stable per install). Cho phép bạn quản lý danh sách thiết bị đã đăng nhập trong Settings.
• Tên thiết bị + model + OS version (ví dụ: "iPhone 15 Pro, iOS 18.2"). Hiển thị trong danh sách thiết bị để bạn nhận ra.
• App version. Cần cho hỗ trợ kỹ thuật và migration data.

2.3. Nhạc + metadata (đã mã hoá)

• Audio blobs: file mp3/flac/m4a bạn upload. Hiện lưu plaintext trên S3 (sẽ chuyển sang ciphertext trong bản tới — xem mục 5).
• Metadata ciphertext: tên bài, nghệ sĩ, album, playlist, thời lượng — TẤT CẢ đã được mã hoá XSalsa20-Poly1305 trên thiết bị bạn trước khi rời thiết bị. Server thấy ciphertext + nonce, không decrypt được.
• Storage usage: tổng số bytes bạn đã dùng / tổng quota. Số tổng, không phải nội dung.

Để rõ ràng, đây là những thứ Mupl không bao giờ thu thập:

• Lịch sử nghe nhạc — bài nào, khi nào, nghe bao lâu, nghe xong hay skip giữa chừng. Không có cái gì như "Wrapped Year-in-Review".
• Thói quen mở app — giờ nào, ngày nào, từ đâu (location).
• Location — Mupl không xin quyền GPS. IP địa chỉ chỉ dùng tạm thời cho rate-limiting, không log lâu dài.
• Contacts, Photo Library, Calendar, Microphone — Mupl không xin quyền truy cập các tính năng này.
• Tin nhắn, voice command, biometric data.
• Recommendation history: Mupl không có recommendation engine. Nếu một ngày có "đề xuất bài hát", nó sẽ chạy 100% local trên thiết bị — server không nhận signal.

Dữ liệu được dùng cho chỉ các mục đích sau:

• Xác thực bạn khi đăng nhập (email + OAuth provider).
• Đồng bộ thư viện nhạc giữa các thiết bị của bạn (ciphertext + metadata).
• Hiển thị danh sách thiết bị + cho phép thu hồi từ xa.
• Tính storage usage và áp dụng quota theo gói (Free/Pro/Lifetime).
• Liên hệ về vấn đề tài khoản hoặc sự cố bảo mật (qua email đã đăng ký).
• Tuân thủ pháp luật khi có yêu cầu hợp pháp từ cơ quan chức năng.

Chúng tôi không dùng dữ liệu để:

• Quảng cáo (Mupl không có quảng cáo).
• Train AI model.
• Tạo profile hành vi, khuyến nghị, hoặc personalized content.
• Bán hoặc trao đổi với bên thứ ba.

Khi bạn tạo mật khẩu mã hoá, Mupl derive master key từ mật khẩu qua Argon2id — KDF tốn nhiều bộ nhớ, chống brute-force kể cả với GPU farm. Master key chỉ tồn tại trên thiết bị của bạn (iOS Keychain với Secure Enclave nếu có).

Mọi metadata (tên bài, nghệ sĩ, playlist) được mã hoá XSalsa20-Poly1305 với master key TRƯỚC khi rời thiết bị. Mỗi entry có nonce 24 bytes random. Server lưu ciphertext + nonce, không thể đọc.

Mupl không có "forgot password" cho master key. Quên = mất khả năng decrypt metadata cloud. Đây là đánh đổi của zero-knowledge — chúng tôi không có cách reset vì không có khoá.

Mupl chỉ chia sẻ dữ liệu với 3 nhà cung cấp dịch vụ kỹ thuật, mỗi bên cho mục đích cụ thể:

• Firebase Authentication (Google) — xác thực Apple/Google OAuth + email/password. Firebase nhận email + provider ID. Không nhận metadata nhạc.
• S3-compatible storage (CleVai/Vcloud HCMC) — lưu blob audio + metadata ciphertext. Nhà cung cấp thấy bytes opaque, không decrypt được.
• Mixpanel (analytics) — chỉ UX events ẩn danh (screen view, button tap), không bao giờ kèm tên bài/nghệ sĩ. Bạn opt-out 1 click trong Settings.

Chúng tôi không chia sẻ với: nhà quảng cáo, data broker, social media, AI training company.

Yêu cầu pháp lý: Nếu cơ quan chức năng yêu cầu hợp pháp, chúng tôi sẽ giao dữ liệu theo phạm vi tối thiểu — và đó cũng là ciphertext. Mupl không thể decrypt metadata kể cả khi bị buộc.

Trang web mupl.notadi.app dùng:

• Session cookie (HttpOnly + Secure + SameSite=Lax) — giữ phiên đăng nhập. Hết hạn sau 72 giờ không hoạt động.
• localStorage — lưu Mupl JWT + Device ID. Dữ liệu chỉ tồn tại trên trình duyệt của bạn, không gửi tự động.

Chúng tôi không dùng:

• Google Analytics, Facebook Pixel, hay tracking pixel khác.
• Third-party advertising cookie.
• Cross-site fingerprinting hay browser fingerprinting.

App iOS không dùng IDFA (Apple advertising identifier). Mupl không xin quyền App Tracking Transparency.

Theo Nghị định 13/2023/NĐ-CP và GDPR, bạn có các quyền sau với dữ liệu cá nhân:

• Quyền truy cập: yêu cầu bản sao toàn bộ dữ liệu Mupl đang giữ về bạn. Chúng tôi gửi qua email trong 7 ngày làm việc.
• Quyền chỉnh sửa: cập nhật email, tên thiết bị bất kỳ lúc nào trong Settings.
• Quyền xoá: xoá vĩnh viễn tài khoản trong Profile → "Xoá tài khoản". Toàn bộ blob + metadata + user row bị xoá. Hành động không hoàn tác.
• Quyền di chuyển: xuất nhạc + metadata sang định dạng chuẩn (mp3/flac + JSON) bằng cách copy folder mupl/audio/ trên iPhone ra Files.app, AirDrop về Mac.
• Quyền rút lại đồng ý: opt-out Mixpanel analytics 1 click trong Settings → Quyền riêng tư.
• Quyền khiếu nại: liên hệ Cục An ninh mạng và Phòng chống tội phạm sử dụng công nghệ cao (A05) — Bộ Công an.

Dữ liệu của bạn được lưu tại datacenter Việt Nam (Vcloud HCMC) — không chuyển ra nước ngoài.

• Tài khoản active: dữ liệu giữ vô thời hạn, đến khi bạn xoá tài khoản hoặc inactive 24 tháng.
• Tài khoản inactive 24+ tháng: chúng tôi gửi email cảnh báo trước 30 ngày, sau đó xoá vĩnh viễn nếu không có phản hồi.
• Sau khi xoá tài khoản: blob audio + metadata ciphertext xoá ngay. Backup lifecycle 30 ngày trước khi xoá hoàn toàn — quy định kỹ thuật S3 versioning.
• Log truy cập: rotate sau 90 ngày.

Mupl không nhắm tới trẻ em dưới 13 tuổi và không cố tình thu thập dữ liệu của họ. Nếu bạn là phụ huynh phát hiện con mình đã đăng ký, hãy email privacy@mupl.notadi.app — chúng tôi sẽ xoá tài khoản và toàn bộ dữ liệu liên quan trong 7 ngày.

Khi chúng tôi sửa chính sách này, ngày "Cập nhật lần cuối" ở đầu trang sẽ thay đổi. Thay đổi quan trọng (vd thêm bên thứ ba mới, đổi cách dùng dữ liệu) sẽ được thông báo qua email 30 ngày trước khi có hiệu lực để bạn kịp xem và quyết định.

Lịch sử các phiên bản trước có sẵn theo yêu cầu — email privacy@mupl.notadi.app.

Câu hỏi, lo ngại, hoặc yêu cầu thực thi quyền theo mục 8:

• Email DPO (Data Protection Officer): privacy@mupl.notadi.app
• Câu hỏi chung: hello@mupl.notadi.app
• Báo lỗi bảo mật: security@mupl.notadi.app (PGP key có sẵn theo yêu cầu)

Phản hồi trong 7 ngày làm việc cho mọi yêu cầu.