Dữ liệu gia đình thuộc về gia đình bạn.

Ai vận hành và liên hệ ở đâu

Người Nhà (nguoinha.com) là một sản phẩm của Kaifuz Studio. Mọi câu hỏi hoặc yêu cầu về dữ liệu cá nhân (xem, sửa, xuất, xóa, phản đối), xin gửi email tới [email protected]. Hiện chưa có kênh nào khác cho các yêu cầu này.

Dữ liệu được xử lý

Tùy tính năng bạn dùng, Người Nhà có thể lưu những loại dữ liệu sau.

• Tài khoản: tên hiển thị, email đăng nhập (lưu dạng mã hóa), cách đăng nhập (mật khẩu, Google, Apple hoặc Zalo), tên thiết bị đang đăng nhập và nguồn đăng ký (ví dụ link mời).
• Hồ sơ người thân: tên, tên phụ, giới tính, ngày hoặc năm sinh (từ đó tính tuổi), ngày mất, quan hệ, nguồn xác minh, ảnh và tài liệu. Người thân có thể còn sống hoặc đã mất, có thể là trẻ em, và có thể không dùng Người Nhà.
• Kỷ niệm bằng chữ và bản ghi âm giọng nói (bản ghi âm mặc định chỉ nằm trên điện thoại của bạn).
• Mộ phần: vị trí GPS, hướng mộ, tên nghĩa trang, ảnh mộ.
• Tôn giáo hoặc tín ngưỡng của dòng họ, nếu chủ họ chọn.
• Số điện thoại, nếu bạn tự nhập: liên hệ khẩn cấp trong Sổ gia đình, người chủ trì buổi họp mặt (chỉ hiện ra nếu bạn bật), yêu cầu dịch vụ.
• Số tài khoản ngân hàng, nếu bạn nhập: tài khoản cá nhân và quỹ họ (lưu dạng mã hóa), số tài khoản mừng cưới (nằm trong nội dung thiệp mà ai có link đều xem được).
• Số giấy tờ (căn cước, giấy khai sinh, bảo hiểm) và ảnh giấy tờ, nếu bạn ghi vào Sổ gia đình.
• Sổ quỹ họ, khuyến học, chơi họ và sổ đi lại: tên người đóng góp hoặc người nhận, số tiền, ghi chú.
• Email nhắc lịch: địa chỉ email nhận nhắc (lưu dạng mã hóa). Nội dung email có tên người thân, ngày giỗ, sinh nhật và tên cây gia phả.
• Quyền thành viên, đề xuất chỉnh sửa, nhật ký hoạt động, lịch sử phiên bản và audit. Nhật ký có thể ghi tên người đã thao tác.
• Thanh toán gói trả phí: gói, kỳ hạn, số tiền, mã đơn và trạng thái.
• Telemetry vận hành tổng hợp: số yêu cầu API, byte đồng bộ, dung lượng, email giao dịch, quota và trạng thái thanh toán.
• Nhật ký của hạ tầng: Cloudflare ghi lại các yêu cầu gửi tới máy chủ của chúng tôi (địa chỉ IP, đường dẫn trang, thời gian, lỗi). Một số đường dẫn có chứa mã thiệp hoặc mã link.

Nhiều dữ liệu trong danh sách này là của người thân bạn, không phải của riêng bạn. Hãy chỉ nhập thông tin khi bạn có quyền làm vậy.

Mục đích và phạm vi truy cập

Dữ liệu chỉ được dùng để cung cấp tính năng, đồng bộ offline, bảo vệ tài khoản, vận hành quota và xử lý thanh toán. Quyền xem được kiểm tra theo workspace, bản đồ cá nhân và từng trường dữ liệu.

Quản trị nền tảng không mặc nhiên được xem graph riêng tư. Trong màn hình quản trị, nhân sự được cấp quyền có thể: xem các số đếm tổng hợp; tìm một tài khoản theo email; xem tên hiển thị, ngày tạo, lần hoạt động cuối, số phiên đăng nhập và danh sách cây (tên cây và vai trò) của tài khoản đó; và xem email đăng nhập đã giải mã. Mỗi lần xem email đăng nhập đều được ghi vào nhật ký kiểm toán. Màn hình này không hiện nội dung gia phả bên trong cây.

Người vận hành hạ tầng vẫn có quyền kỹ thuật với cơ sở dữ liệu để bảo trì và xử lý sự cố.

Danh bạ trên điện thoại (tùy chọn)

Tính năng "Thêm từ Danh bạ" trên app di động chỉ xin quyền khi bạn bấm vào nó, không xin lúc mở app. Để lấy tên, app đọc danh bạ vào bộ nhớ của điện thoại, rồi chỉ giữ lại tên. Số điện thoại, email, địa chỉ và ảnh trong danh bạ không được lưu và không được gửi đi. Việc này xảy ra ngay trên máy. Toàn bộ danh bạ không bao giờ được tải lên. Chỉ những tên bạn tự chọn và bấm Thêm mới trở thành một người trong danh sách của bạn và được đồng bộ vào tài khoản của bạn, giống như khi bạn tự gõ tên đó. Chúng tôi không chia sẻ tên này cho bên thứ ba hay dùng cho quảng cáo. Bạn có thể dùng app đầy đủ mà không cấp quyền Danh bạ và thu hồi quyền bất cứ lúc nào trong Cài đặt của máy.

Thiệp mời cưới và link gửi khách

Khi bạn bấm “Tạo link gửi”, nội dung thiệp (tên, ngày giờ, địa điểm, lời mời, ảnh bạn chọn, số tài khoản mừng cưới nếu bạn nhập) được lưu trên máy chủ Người Nhà để khách mở bằng link. Với link riêng cho từng khách, chúng tôi lưu thêm tên hiển thị, lời mời và nhóm do bạn nhập. Khi khách trả lời, chúng tôi lưu: sẽ đến hay không, số người, buổi tham dự, lời chúc, và ghi chú ăn chay hoặc kiêng cữ nếu khách điền. Chúng tôi không có ô nhập số điện thoại hay email của khách và không đưa dữ liệu này vào thống kê.

Link là một mã dài khó đoán, không được Google lập chỉ mục. Mặc định link hết hạn 30 ngày sau ngày cưới, hoặc vào ngày bạn chọn. Hết hạn chỉ có nghĩa là link không mở được nữa. Tên khách và câu trả lời vẫn nằm trong tài khoản của bạn cho tới khi bạn tắt link, xóa thiệp hoặc xóa tài khoản.

Khi bạn tắt link, nội dung đã công khai, các link riêng và mọi câu trả lời bị xóa ngay; bản nháp vẫn còn trong tài khoản của bạn. Khi bạn xóa thiệp hoặc xóa tài khoản (sau thời gian chờ 7 ngày), thiệp, các link riêng và mọi câu trả lời cũng bị xóa. Khách không thấy dòng thông báo này trên trang trả lời, nên bạn hãy cho khách biết khi cần.

Khi bạn gửi link qua Zalo hoặc Facebook, các ứng dụng đó sẽ lấy tên cô dâu, chú rể, ngày và ảnh chia sẻ của thiệp để hiện bản xem trước.

Link họp mặt và giỗ (Việc họ)

Khi bạn tạo link mời một buổi họp mặt hoặc giỗ, trang mời hiện tiêu đề, người được vinh danh, ngày giờ, địa chỉ, bản đồ, ghi chú, tên người chủ trì và danh sách việc cần làm. Số điện thoại người chủ trì chỉ hiện nếu bạn bật. Khách trả lời có thể để lại tên, số người, món mang theo và ghi chú; chúng tôi lưu những thông tin đó. Hệ thống chưa tự xóa các câu trả lời này sau khi buổi họp kết thúc.

Sổ gia đình: sức khoẻ của bé và người thân

Sổ gia đình lưu những gì bạn chủ động ghi cho một người trong cây: số đo và cột mốc của bé, mũi tiêm, huyết áp, đường huyết, thuốc đang dùng, lịch khám, giấy tờ (kể cả số giấy tờ), dị ứng, nhóm máu, số điện thoại liên hệ khẩn cấp và ghi chú (kèm ảnh hoặc PDF nếu bạn đính kèm; lưu tệp đính kèm trên cloud cần gói Dòng họ, gói miễn phí chỉ ghi chữ). Bạn cũng có thể dán link video YouTube hoặc Google Drive; chúng tôi chỉ lưu mã video, không lưu video.

Đây là dữ liệu nhạy cảm theo Nghị định 13/2023/NĐ-CP và các quy định pháp luật hiện hành về bảo vệ dữ liệu cá nhân. Mỗi ghi chép mặc định chỉ hiện với người được sửa cây (chủ sở hữu, quản trị và người chỉnh sửa); bạn có thể thu hẹp còn "chỉ mình tôi" hoặc mở cho cả nhà xem. Khách mời không bao giờ thấy. Sổ không xuất hiện ở trang công khai, thiệp mời, email nhắc, lịch hay bản in. Quản trị nền tảng chỉ thấy số lượng ghi chép (tổng số, theo ngày, theo workspace), không thấy nội dung.

Sổ không được dùng cho quảng cáo và không được bán hay chia sẻ cho bên thứ ba vì mục đích riêng của họ. Dữ liệu vẫn nằm trên hạ tầng của các nhà cung cấp nêu ở mục "Nhà cung cấp và nơi đặt máy chủ". Video chỉ tải từ YouTube hoặc Google Drive khi bạn chạm vào.

Xem và tải (CSV/JSON) ghi chép là quyền của mọi tài khoản đọc được chúng, không phụ thuộc gói. Sửa và xóa ghi chép dành cho người đã ghi và những người được sửa cây (chủ sở hữu, quản trị, người chỉnh sửa); quyền này cũng không phụ thuộc gói.

Xóa một ghi chép nghĩa là ẩn nó khỏi mọi màn hình. Nội dung vẫn được giữ lại trong hệ thống, kể cả tệp ảnh hoặc PDF đính kèm, cho tới khi hoàn tất xóa theo yêu cầu bạn gửi tới [email protected]. Hiện chưa có nút xóa hẳn trong ứng dụng.

Xóa hẳn theo yêu cầu: khi nhận được yêu cầu, chúng tôi xử lý thủ công bằng công cụ quản trị, xóa hẳn ghi chép (kể cả bản đã ẩn) khỏi cơ sở dữ liệu, rồi xóa tệp đính kèm của chúng khỏi kho lưu trữ nếu không còn nơi nào khác dùng đến tệp đó. Việc này được ghi vào nhật ký quản trị chỉ bằng mã và số lượng, không ghi nội dung. Chúng tôi chưa có thời hạn xử lý cố định.

Nếu bạn gỡ tệp khỏi một ghi chép (bỏ tệp hoặc thay bằng tệp khác), tệp cũ được xóa khỏi kho lưu trữ khi không còn ghi chép, tài liệu, ảnh mộ, biên lai, ảnh đại diện hay logo nào khác dùng đến nó. Nếu bước xóa tệp gặp lỗi, thao tác của bạn vẫn thành công và tệp có thể còn lại trong kho; chúng tôi chưa có tác vụ tự dọn lại các tệp này.

Khi xóa tài khoản, những ghi chép bạn đặt "chỉ mình tôi" bị xóa khỏi cơ sở dữ liệu, và tệp đính kèm của chúng được xóa khỏi kho lưu trữ nếu không còn nơi nào khác dùng (việc dọn tệp chạy hằng ngày, sau khi xóa tài khoản hoàn tất). Ghi chép đã chia sẻ ở lại với gia đình, cùng tệp đính kèm của chúng, nhưng tên người ghi được ẩn danh.

Trước khi mở Sổ, ứng dụng có màn nhắc "Tôi hiểu": chỉ ghi khi người thân đồng ý hoặc là con nhỏ do bạn chăm sóc. Việc bấm "Tôi hiểu" chỉ được nhớ trên thiết bị của bạn. Chúng tôi không lưu sự đồng ý của người thân trên máy chủ. Lịch tiêm chủng và sổ sức khoẻ chỉ để ghi lại và tham khảo, không phải tư vấn y tế.

Nhà cung cấp và nơi đặt máy chủ

Người Nhà dùng các nhà cung cấp sau để vận hành. Phần lớn dữ liệu bạn nhập đi qua và được lưu ở họ, nên dữ liệu của bạn có thể nằm ngoài Việt Nam.

• Neon: cơ sở dữ liệu PostgreSQL, nơi lưu hầu hết dữ liệu ở trên. Máy chủ cơ sở dữ liệu được cấu hình ở khu vực Singapore.
• Cloudflare: chạy máy chủ API của Người Nhà, phân phối trang web, lưu ảnh, PDF và ghi âm (Cloudflare R2), ghi nhật ký hạ tầng, và có thể gửi email. Cloudflare là mạng lưới toàn cầu nên dữ liệu có thể được xử lý ở nhiều nước. Vị trí chính xác của kho tệp do Cloudflare quyết định và có thể nằm ngoài Việt Nam.
• Email: email giao dịch (khôi phục mật khẩu, thông báo của họ, nhắc giỗ và sinh nhật) được gửi qua Resend hoặc qua dịch vụ gửi email của Cloudflare. Nơi đặt máy chủ của họ có thể nằm ngoài Việt Nam.
• Đăng nhập: Google, Apple và Zalo nhận thông tin cần để bạn đăng nhập và gửi lại mã tài khoản, email và tên. Với Zalo, mã truy cập có thể đi qua một máy trung chuyển do chúng tôi vận hành.
• Thanh toán gói trả phí trên web (khi được bật): payOS, tại Việt Nam. Họ nhận số tiền, mô tả đơn hàng và mã đơn.
• Cửa hàng ứng dụng (Apple App Store, Google Play) và các ứng dụng nhắn tin bạn dùng để chia sẻ link có chính sách riêng của họ.

Chúng tôi chưa thể nói các nhà cung cấp này chỉ nhận "dữ liệu tối thiểu": để dịch vụ chạy được, toàn bộ dữ liệu bạn lưu đều đi qua Neon và Cloudflare. Người Nhà dùng lớp kết nối độc lập để có thể chuyển nhà cung cấp và kiểm tra bản sao bằng checksum.

Các yêu cầu từ trình duyệt tới bên thứ ba

Khi bạn mở một số trang, trình duyệt hoặc app của bạn tự kết nối tới các bên dưới đây, và họ nhìn thấy địa chỉ IP và loại thiết bị của bạn.

• OpenFreeMap: tải ô bản đồ khi bạn xem trang Mộ phần; họ biết khu vực bản đồ bạn đang xem. App di động còn tải thư viện bản đồ từ unpkg.com.
• YouTube và Google Drive: chỉ khi bạn chạm vào một video trong Sổ gia đình thì trình phát mới được tải.

Người Nhà không đặt cookie quảng cáo hay cookie theo dõi và không cài công cụ phân tích của bên thứ ba trong mã ứng dụng (riêng Cloudflare, đơn vị phân phối trang web, vẫn ghi lại lưu lượng truy cập như đã nói ở trên). Trang web lưu phiên đăng nhập và một số lựa chọn của bạn trong bộ nhớ của trình duyệt.

Lưu tệp: gói miễn phí và gói trả phí

Gói miễn phí có 50 MB lưu trên cloud, chỉ dành cho ảnh đại diện (ảnh không quá 2 MB). Giấy tờ, tài liệu, ảnh mộ, biên lai, ghi âm và các tệp khác cần gói Dòng họ. Xem, xuất dữ liệu và xóa tài khoản không bao giờ cần trả phí. Tệp đã tải lên trước đây không bị xóa vì quy tắc này.

Lưu giữ, xóa và khôi phục

Yêu cầu xóa tài khoản có thời gian chờ 7 ngày và có thể hủy trong thời gian đó. Chủ sở hữu hoặc người thanh toán workspace phải chuyển trách nhiệm trước khi xóa. Khi hoàn tất, điều gì xảy ra:

• Bị xóa: liên kết đăng nhập, mật khẩu, email đăng nhập, email và giờ nhận nhắc, tài khoản ngân hàng đã lưu, sổ đi lại cá nhân, thiệp cưới cùng khách và câu trả lời, yêu cầu dịch vụ (tên và số điện thoại liên hệ) bạn đã gửi, ghi chép Sổ gia đình đặt "chỉ mình tôi".
• Bị ẩn danh hoặc thu hồi: tên tài khoản đổi thành "Tài khoản đã xóa", ảnh đại diện bị gỡ khỏi tài khoản, phiên đăng nhập bị thu hồi, tên người ghi trong nhật ký, kỷ niệm và sổ quỹ bị ẩn danh.
• Bản đồ cá nhân chỉ bị đóng, không bị xóa: người, quan hệ và sự kiện trong đó vẫn còn trong hệ thống. Riêng tệp đã tải lên trong bản đồ cá nhân thì bị xóa khỏi kho lưu trữ.
• Vẫn được giữ: dữ liệu chung của workspace, bằng chứng và audit; ghi chép Sổ gia đình đã chia sẻ; dòng nhật ký không sửa được; lịch sử đơn thanh toán; dòng ghi tên thiết bị của các phiên cũ.
• Tệp ảnh, PDF và ghi âm: bị xóa khỏi kho lưu trữ khi bạn gỡ hoặc thay tệp trên ghi chép, tài liệu, ảnh mộ, biên lai, ảnh đại diện hay logo mà không còn nơi nào khác dùng đến nó; khi xóa tài khoản, tệp trong bản đồ cá nhân và tệp bạn đã tải lên mà không còn gắn với nội dung nào cũng bị xóa. Tệp vẫn được giữ cùng nội dung khi nội dung chỉ bị ẩn (xóa một ghi chép, tài liệu hay mộ phần) và khi nó thuộc nội dung chung của dòng họ.
• Đăng ký dùng thử (tên và số điện thoại ở form xin dùng thử) không gắn với tài khoản nên không tự bị xóa khi bạn xóa tài khoản; gửi email nếu bạn muốn xóa.

Phần lớn việc "xóa" trong ứng dụng (người trong cây, ghi chép, tài liệu, mộ phần) là ẩn khỏi màn hình, nội dung vẫn được giữ trong hệ thống. Chúng tôi chưa có thời hạn lưu cố định và chưa tự động xóa hẳn dữ liệu đã ẩn. Muốn xóa hẳn một nội dung, gửi yêu cầu tới [email protected]. Với ghi chép Sổ gia đình, chúng tôi có công cụ xóa hẳn và xử lý thủ công, chưa có thời hạn cố định. Với người trong cây, tài liệu, mộ phần và nội dung khác, chúng tôi chưa có công cụ tương tự và sẽ xem xét từng yêu cầu.

Nhà cung cấp cơ sở dữ liệu có thể có cơ chế sao lưu riêng. Người Nhà chưa có quy trình sao lưu và thử khôi phục của riêng mình và không cam kết khôi phục được dữ liệu đã mất hoặc đã xóa. Dữ liệu đã xóa có thể còn trong bản sao lưu của nhà cung cấp một thời gian; chúng tôi chưa thể nói chính xác bao lâu. Bạn nên tự giữ bản xuất dữ liệu quan trọng.

Trẻ em

Người Nhà không kiểm tra tuổi khi đăng ký và chưa đặt độ tuổi tối thiểu. Dữ liệu về trẻ em (tên, ngày sinh, quan hệ, số đo, tiêm chủng, ảnh, video) do người lớn trong gia đình nhập. Cha mẹ và người giám hộ chỉ nên nhập thông tin của trẻ em khi tự chịu trách nhiệm về việc đó, và nên đặt ghi chép ở mức "chỉ mình tôi" hoặc người được sửa cây. Nếu bạn là cha mẹ hoặc người giám hộ và muốn xem, sửa hay xóa thông tin về con mình, gửi email tới [email protected].

Bảo mật và quyền của bạn

Mobile mã hóa cache offline; secret không nằm trong client. Mật khẩu được băm một chiều, email đăng nhập, email nhắc và số tài khoản ngân hàng được mã hóa trước khi lưu. Các dữ liệu khác trong cơ sở dữ liệu được bảo vệ bằng phân quyền theo workspace, chưa được mã hóa riêng từng trường.

Bạn có thể xem và sửa dữ liệu mình có quyền truy cập, giới hạn phạm vi hiển thị, và yêu cầu xóa tài khoản. Trong Cài đặt trên web có nút "Tải dữ liệu của tôi": một tệp JSON gồm tài khoản (kể cả email, nếu có), tư cách thành viên, bản đồ cá nhân, ghi chép Sổ gia đình và kỷ niệm do bạn viết (cùng ghi chép về hồ sơ của chính bạn mà bạn được xem), Sổ đi lại cá nhân, thiệp cưới và tên khách bạn đã nhập, cài đặt nhắc và tài khoản ngân hàng của bạn. Tệp không gồm dữ liệu của người khác, cây gia phả và dữ liệu chung của dòng họ (quản trị viên xuất từng phần, ví dụ Sổ gia đình dạng CSV hoặc JSON và các bảng xuất của gia phả), nội dung ảnh, tệp và ghi âm, câu trả lời của khách mời, đơn thanh toán và nhật ký vận hành; cần những mục đó hãy gửi email. Tệp có thể chứa thông tin sức khỏe, hãy cất giữ cẩn thận. Ứng dụng điện thoại chưa có nút này.

Về việc rời workspace: thành viên thường chưa có nút tự rời. Chủ sở hữu hoặc quản trị viên có thể đổi trạng thái của bạn thành "Đã rời họ" trong màn Quản trị dòng họ, hoặc bạn gửi email để nhờ việc đó. Rời họ không xóa những gì bạn đã đóng góp vào cây. Chủ sở hữu cần chuyển quyền trước khi rời.

Nếu bạn là người thân được ghi trong cây của người khác và không dùng Người Nhà, bạn vẫn có thể gửi email tới [email protected] để hỏi, nhờ sửa hoặc nhờ gỡ thông tin về bạn. Xin ghi rõ tên cây (nếu biết) và thông tin cần xử lý. Đừng gửi ảnh giấy tờ hay mật khẩu trong email.

Thay đổi chính sách

25/10/2026: viết lại để khớp với cách dịch vụ thực sự hoạt động. Bổ sung các loại dữ liệu, nhà cung cấp và nơi đặt máy chủ, trẻ em, quy tắc lưu tệp, và nói rõ việc xóa ẩn, sao lưu và rời workspace.

25/10/2026 (cập nhật): tệp bị gỡ hoặc thay trên ghi chép, tài liệu, ảnh mộ, biên lai, ảnh đại diện và logo được xóa khỏi kho lưu trữ khi không còn nơi nào dùng; xóa tài khoản xóa cả tệp trong bản đồ cá nhân, tệp của ghi chép "chỉ mình tôi" và yêu cầu dịch vụ của bạn; ghi chép Sổ gia đình có thể được xóa hẳn theo yêu cầu.

27/10/2026: web không còn tải phông chữ từ Google, và có nút Tải dữ liệu của tôi (một tệp JSON) trong phần Cài đặt; bản điện thoại chưa có nút này.