Chuyển đến nội dung

Chính Sách Bảo Mật

Last Updated: June 23, 2026

1. Chúng Tôi Là Ai

TonesFly được vận hành bởi Thang Pham ("TonesFly", "chúng tôi" hoặc "của chúng tôi"). Chính Sách Bảo Mật này giải thích cách chúng tôi thu thập, sử dụng và bảo vệ thông tin của bạn khi bạn sử dụng ứng dụng di động TonesFly ("Ứng dụng").

Vì mục đích GDPR, Thang Pham là bên kiểm soát dữ liệu. Liên hệ: [email protected]

2. Thông Tin Chúng Tôi Thu Thập

We collect the following types of information:

  • Account information — your email address, display name, authentication provider, and account/user ID when you create or link an account via Apple Sign-In, Google Sign-In, or email
  • Audio files — audio files you import into the App for listening practice (processed and stored on-device only; never sent to any server)
  • Transcripts and lesson data — generated entirely on your device from your imported audio; stored on-device and in iCloud (if enabled) only
  • Learning data — practice progress, accuracy scores, challenge completion, and streaks stored locally on your device
  • Device-linked identifiers — a persistent device_id stored in Keychain and sent to our server for account binding and free-tier limit enforcement
  • Preferences — your native language, stored locally on your device
  • Device information — device model, operating system version, and app version for diagnostics
  • Usage analytics — product interaction data used to improve the App; optional analytics are collected only with your consent
  • Campaign attribution — when you open the App from a marketing link, we may collect anonymous UTM parameters (source, medium, campaign name) to measure marketing effectiveness. These parameters do not contain personally identifiable information and are processed through PostHog subject to your analytics consent

3. Cơ Sở Pháp Lý cho Xử Lý (GDPR)

Chúng tôi xử lý dữ liệu cá nhân của bạn trên các cơ sở pháp lý sau:

  • Thực hiện hợp đồng (Điều 6(1)(b)) — Dữ liệu tài khoản, xử lý âm thanh và dữ liệu học tập là cần thiết để cung cấp dịch vụ bạn yêu cầu
  • Lợi ích hợp pháp (Điều 6(1)(f)) — Thông tin thiết bị và phân tích ẩn danh giúp chúng tôi duy trì và cải thiện Ứng dụng, ngăn chặn gian lận và đảm bảo an ninh
  • Sự đồng ý (Điều 6(1)(a)) — Phân tích không thiết yếu (PostHog) chỉ được xử lý khi có sự đồng ý của bạn, mà bạn có thể rút lại bất kỳ lúc nào qua Cài đặt Quyền riêng tư

Bạn có thể rút lại sự đồng ý cho phân tích bất kỳ lúc nào mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước khi rút lại.

4. Cách Chúng Tôi Sử Dụng Thông Tin Của Bạn

We use the information we collect to:

  • Provide, maintain, and improve TonesFly
  • Process imported audio entirely on your device to generate listening practice challenges
  • Authenticate your account and manage subscriptions
  • Enforce the free tier fairly and prevent abuse across multiple accounts on the same device
  • Process subscriptions and in-app purchases
  • Send important service updates via email
  • Respond to support requests
  • Measure marketing effectiveness using anonymous campaign attribution data from UTM parameters

5. Xử Lý Tệp Âm Thanh

Audio is processed entirely on your device and never leaves it.

When you import an audio file:

  • Speech recognition runs on your device using on-device models
  • All transcription, lesson generation, and practice content creation happen on your device
  • No audio, transcripts, or lesson content are sent to any server
  • Audio files are stored on-device and in iCloud (if enabled) only
  • Processed challenge data is stored locally on your device and in your iCloud account for offline practice

Automated processing: Speech recognition and challenge generation are fully automated and run entirely on your device. No human reviews your audio or transcripts.

5a. On-Device Processing

TonesFly uses on-device speech recognition to convert your imported audio into text for listening practice. All speech recognition and lesson generation run entirely on your device — no audio or transcript data is sent to any external service.

All lesson content is generated and stored on your device.

5b. Automated Processing (GDPR Art. 22)

TonesFly uses on-device automated processing to generate listening practice challenges from your audio. This includes speech recognition, challenge generation, and adaptive pacing. All of this processing runs entirely on your device.

These automated processes help create your learning content but do not produce legal effects. Under GDPR Article 22, you have the right to request human review of any automated processing decision that significantly affects you by contacting [email protected].

For users under the applicable age threshold (13–18 depending on region), optional data collection is disabled entirely.

6. Dịch Vụ Bên Thứ Ba

We use the following third-party services to operate and improve the App:

  • RevenueCat — subscription and purchase management
  • PostHog — product analytics (consent-based)
  • Firebase — authentication and crash reporting
  • Cloudflare — cloud hosting and edge network services (Workers, D1, KV)
  • Resend — transactional email delivery

These providers process data under data processing agreements with appropriate safeguards. Our Data Processing Agreement is available at https://tonesfly.com/dpa. Apple handles all subscription billing directly.

7. Chia Sẻ Dữ Liệu

We do not sell, rent, or trade your personal data to third parties. This applies to all users, including California residents.

We may share data with:

  • Cloud hosting and infrastructure providers (for authentication and account management only)
  • Analytics services (product interaction data, with your consent where required)
  • Payment processors (Apple handles all subscription billing)
  • Legal authorities when required by law or to protect our legal rights

Audio, transcripts, and lesson content are processed entirely on your device and are not shared with any third party.

For California residents (CCPA/CPRA): We do not sell personal information. We do not share personal information for cross-context behavioral advertising. We do not collect or process sensitive personal information as defined by the CPRA, including precise geolocation, racial or ethnic origin, religious beliefs, genetic data, biometric information, or health information. You have the right to know what personal information we collect, request deletion, and opt out of any future sale. Contact [email protected] to exercise these rights.

8. Bảo Mật Dữ Liệu

We implement industry-standard security measures to protect your data, including encryption in transit (TLS/HTTPS). Our server infrastructure is hosted on Cloudflare's global network (Workers, D1, KV) and handles only authentication and subscription management. Audio, transcripts, and lesson content are processed and stored entirely on your device and in your iCloud account — they are never sent to our servers.

In the event of a data breach that poses a risk to your rights and freedoms, we will notify the relevant supervisory authority within 72 hours and affected users without undue delay, as required by GDPR Article 33-34.

However, no method of transmission over the internet is 100% secure.

9. Lưu Giữ Dữ Liệu

We retain your data for as long as your account is active or as needed to provide services.

  • Audio, transcripts, and lesson content: stored on-device and iCloud only. Never sent to our servers.
  • Account data (email, display name, device_id, subscription status): retained on our servers until account deletion.
  • Practice data: stored locally on your device; deleted when you remove the app, delete individual lessons, or choose to remove local data.
  • Analytics data: retained for up to 12 months, subject to your consent settings.

You may request account deletion at any time from Settings > Delete Account. When you request deletion, your account enters a 7-day grace period during which you may cancel by signing in. After the grace period expires, all your data is permanently deleted from our servers. We send email confirmation when deletion is scheduled, a reminder 24 hours before, and confirmation after deletion.

TonesFly cannot delete data stored in your iCloud account. To manage iCloud data, visit Settings > [Your Name] > iCloud on your device.

10. Chuyển Giao Dữ Liệu Quốc Tế

Our server infrastructure is hosted on Cloudflare's global edge network, handling only authentication and subscription management. Audio, transcripts, and lesson content are processed and stored entirely on your device and never leave it. Third-party services including Firebase, RevenueCat, and PostHog process account and analytics data in the United States.

Your information may also be accessed from Viet Nam (where the data controller is located) for administrative and development purposes.

For transfers outside the EU/EEA, we rely on:

  • Standard Contractual Clauses (SCCs) approved by the European Commission
  • Data processing agreements with all third-party service providers
  • Where applicable, adequacy decisions by the European Commission

You may request a copy of the safeguards in place by contacting [email protected]

Japanese residents (APPI): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. Audio and lesson content remain on your device. We ensure appropriate data protection through contractual obligations with all service providers.

Chinese mainland residents (PIPL): Your account information may be transferred outside the People's Republic of China to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). Audio, transcripts, and lesson content remain on your device and are not transferred. By using TonesFly, you consent to this cross-border transfer for the purposes described in Section 4. You may withdraw consent at any time by contacting [email protected], which may affect our ability to provide the service. We conduct personal information protection impact assessments for cross-border transfers as required by PIPL.

South Korean residents (K-PIPA): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We provide notice of the recipient, purpose, and items of personal information transferred. These transfers are protected by data processing agreements with all service providers.

Brazilian residents (LGPD): Your account data is transferred internationally to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. These transfers are protected by contractual clauses that ensure an adequate level of data protection as required by the LGPD.

Vietnamese residents (PDPD): As the data controller is located in Viet Nam, your personal data is subject to Decree 13/2023/NĐ-CP on personal data protection. Account data may be transferred to the United States for processing by third-party services (Firebase, RevenueCat, PostHog). We conduct data processing impact assessments for cross-border transfers as required by Vietnamese law.

United Kingdom residents (UK GDPR): Your account data is transferred to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). For transfers from the UK, we rely on the International Data Transfer Agreement (IDTA) or the UK Addendum to EU Standard Contractual Clauses, as approved by the UK Information Commissioner's Office (ICO).

Indian residents (DPDP Act 2023): Your account data may be transferred outside India to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). Audio and lesson content remain on your device. We ensure appropriate data protection through contractual obligations with all service providers. Note: Under the DPDP Act, children are defined as individuals under 18 years of age, and verifiable parental consent is required before processing their data.

Indonesian residents (PDP Law 27/2022): Your account data may be transferred outside Indonesia to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller) for the purposes described in this policy. These transfers are protected by data processing agreements ensuring an equivalent level of data protection.

Thai residents (PDPA 2019): Your account data may be transferred outside Thailand to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We ensure that adequate safeguards are in place as required by the Personal Data Protection Act, including contractual obligations with all service providers.

Turkish residents (KVKK): Your account data may be transferred outside Turkey to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We rely on your explicit consent or contractual necessity as the legal basis for these cross-border transfers, in accordance with the Law on the Protection of Personal Data (Law No. 6698).

Filipino residents (Data Privacy Act 2012): Your account data may be transferred outside the Philippines to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). These transfers are protected by contractual safeguards ensuring compliance with the Data Privacy Act of 2012 and regulations of the National Privacy Commission (NPC).

Saudi Arabian residents (PDPL 2023): Your account data may be transferred outside the Kingdom of Saudi Arabia to the United States (Firebase, RevenueCat, PostHog) and Viet Nam (data controller). We ensure an adequate level of data protection for cross-border transfers as required by the Personal Data Protection Law.

11. Quyền Riêng Tư Trẻ Em

TonesFly sử dụng quy trình xác minh độ tuổi để tuân thủ các luật bảo mật trẻ em bao gồm COPPA (Hoa Kỳ) và GDPR (EU/EEA). Nếu bạn chưa hoàn thành quy trình này, ứng dụng sẽ hỏi ngày sinh của bạn trước khi cho phép thu thập dữ liệu tùy chọn. Ngày sinh chính xác của bạn được xử lý cục bộ trên thiết bị để xác định ngưỡng tuổi phù hợp; chúng tôi chỉ lưu trữ khoảng tuổi (dưới 13, 13–15, 16–17 hoặc 18+) cục bộ trên thiết bị, không phải trên máy chủ.

Nếu bạn xác định mình dưới ngưỡng tuổi áp dụng (13 tại Hoa Kỳ và hầu hết các quốc gia, 13–16 tại EU/EEA tùy theo quốc gia, 14 tại Trung Quốc và Hàn Quốc, và 18 tại Ấn Độ), việc thu thập dữ liệu tùy chọn — bao gồm phân tích, báo cáo sự cố và chẩn đoán — sẽ tự động bị tắt và không thể bật lại trong Cài đặt.

Nếu bạn tin rằng dữ liệu của trẻ em đã bị thu thập nhầm, vui lòng liên hệ [email protected] và chúng tôi sẽ xóa ngay.

12. Quyền Của Bạn

Tùy thuộc vào khu vực tài phán của bạn, bạn có các quyền sau:

Tất cả người dùng:

  • Truy cập dữ liệu cá nhân mà chúng tôi lưu giữ về bạn
  • Yêu cầu sửa dữ liệu không chính xác
  • Yêu cầu xóa dữ liệu của bạn
  • Xuất dữ liệu của bạn ở định dạng di động
  • Từ chối thu thập dữ liệu phân tích

Cư dân EU/EEA (GDPR):

  • Quyền hạn chế xử lý dữ liệu của bạn
  • Quyền phản đối xử lý dựa trên lợi ích hợp pháp
  • Quyền rút lại sự đồng ý bất kỳ lúc nào
  • Quyền không bị phụ thuộc vào các quyết định hoàn toàn tự động
  • Quyền khiếu nại với cơ quan bảo vệ dữ liệu địa phương (cơ quan giám sát)

Cư dân California (CCPA/CPRA):

  • Quyền biết thông tin cá nhân nào được thu thập
  • Quyền xóa thông tin cá nhân
  • Quyền từ chối bán thông tin cá nhân (chúng tôi không bán dữ liệu của bạn)
  • Quyền không bị phân biệt đối xử khi thực hiện quyền của mình

Cư dân Nhật Bản (APPI):

  • Quyền yêu cầu công bố dữ liệu cá nhân được lưu giữ
  • Quyền yêu cầu sửa, bổ sung hoặc xóa
  • Quyền yêu cầu ngừng sử dụng hoặc xóa
  • Quyền yêu cầu ngừng cung cấp cho bên thứ ba

Cư dân Trung Quốc đại lục (PIPL):

  • Quyền biết và quyết định về việc xử lý thông tin cá nhân của bạn
  • Quyền truy cập và sao chép thông tin cá nhân
  • Quyền sửa hoặc bổ sung thông tin không chính xác hoặc không đầy đủ
  • Quyền yêu cầu xóa thông tin cá nhân
  • Quyền rút lại sự đồng ý bất kỳ lúc nào
  • Quyền yêu cầu giải thích quy tắc xử lý
  • Quyền di chuyển dữ liệu

Cư dân Hàn Quốc (K-PIPA):

  • Quyền truy cập thông tin cá nhân
  • Quyền yêu cầu sửa hoặc xóa
  • Quyền yêu cầu tạm ngưng xử lý
  • Quyền rút lại sự đồng ý bất kỳ lúc nào

Cư dân Brazil (LGPD):

  • Quyền xác nhận xử lý dữ liệu
  • Quyền truy cập dữ liệu cá nhân
  • Quyền sửa dữ liệu không đầy đủ, không chính xác hoặc lỗi thời
  • Quyền ẩn danh, chặn hoặc xóa dữ liệu không cần thiết
  • Quyền di chuyển dữ liệu
  • Quyền được thông tin về các tổ chức đã được chia sẻ dữ liệu
  • Quyền thu hồi sự đồng ý bất kỳ lúc nào

Cư dân Việt Nam (PDPD):

  • Quyền biết về hoạt động xử lý dữ liệu cá nhân
  • Quyền đồng ý và rút lại sự đồng ý
  • Quyền truy cập dữ liệu cá nhân
  • Quyền yêu cầu sửa dữ liệu cá nhân
  • Quyền yêu cầu xóa dữ liệu cá nhân
  • Quyền hạn chế xử lý dữ liệu
  • Quyền di chuyển dữ liệu

Cư dân Vương quốc Anh (UK GDPR):

  • Quyền truy cập dữ liệu cá nhân
  • Quyền chỉnh sửa dữ liệu không chính xác
  • Quyền xóa dữ liệu
  • Quyền hạn chế xử lý
  • Quyền di chuyển dữ liệu
  • Quyền phản đối xử lý
  • Quyền rút lại sự đồng ý bất kỳ lúc nào
  • Quyền không bị phụ thuộc vào các quyết định hoàn toàn tự động
  • Quyền khiếu nại với Văn phòng Ủy viên Thông tin (ICO)

Cư dân Ấn Độ (DPDP Act 2023):

  • Quyền truy cập thông tin về dữ liệu cá nhân
  • Quyền sửa và xóa dữ liệu cá nhân
  • Quyền giải quyết khiếu nại
  • Quyền chỉ định người đại diện thực hiện quyền thay mặt bạn

Cư dân Indonesia (PDP Law 27/2022):

  • Quyền được thông báo về xử lý dữ liệu
  • Quyền truy cập dữ liệu cá nhân
  • Quyền sửa dữ liệu không chính xác
  • Quyền yêu cầu xóa dữ liệu cá nhân
  • Quyền rút lại sự đồng ý bất kỳ lúc nào
  • Quyền di chuyển dữ liệu

Cư dân Thái Lan (PDPA 2019):

  • Quyền truy cập dữ liệu cá nhân
  • Quyền sửa dữ liệu không chính xác
  • Quyền yêu cầu xóa hoặc ẩn danh
  • Quyền hạn chế xử lý
  • Quyền di chuyển dữ liệu
  • Quyền phản đối xử lý
  • Quyền rút lại sự đồng ý bất kỳ lúc nào
  • Quyền khiếu nại với Ủy ban Bảo vệ Dữ liệu Cá nhân (PDPC)

Cư dân Thổ Nhĩ Kỳ (KVKK):

  • Quyền biết dữ liệu cá nhân có đang được xử lý không
  • Quyền yêu cầu thông tin về việc xử lý
  • Quyền tìm hiểu mục đích xử lý
  • Quyền sửa dữ liệu không đầy đủ hoặc không chính xác
  • Quyền yêu cầu xóa hoặc hủy dữ liệu cá nhân
  • Quyền phản đối xử lý
  • Quyền di chuyển dữ liệu
  • Quyền khiếu nại với Cơ quan Bảo vệ Dữ liệu Cá nhân (Hội đồng KVKK)

Cư dân Philippines (Data Privacy Act 2012):

  • Quyền được thông báo về xử lý dữ liệu
  • Quyền truy cập dữ liệu cá nhân
  • Quyền sửa dữ liệu không chính xác
  • Quyền yêu cầu xóa hoặc chặn dữ liệu
  • Quyền phản đối xử lý
  • Quyền di chuyển dữ liệu
  • Quyền khiếu nại với Ủy ban Bảo mật Quốc gia (NPC)

Cư dân Ả Rập Xê Út (PDPL 2023):

  • Quyền được thông báo về xử lý dữ liệu
  • Quyền truy cập dữ liệu cá nhân
  • Quyền sửa dữ liệu không chính xác
  • Quyền yêu cầu xóa dữ liệu cá nhân
  • Quyền hạn chế xử lý
  • Quyền di chuyển dữ liệu

Để thực hiện bất kỳ quyền nào trong số này, hãy liên hệ chúng tôi tại [email protected], sử dụng Cài đặt Quyền riêng tư trong Ứng dụng hoặc xóa tài khoản trực tiếp trong Cài đặt > Xóa tài khoản. Chúng tôi sẽ phản hồi trong vòng 30 ngày cho yêu cầu GDPR, 45 ngày cho yêu cầu CCPA, hai tuần cho yêu cầu APPI, 15 ngày làm việc cho yêu cầu PIPL, 10 ngày cho yêu cầu K-PIPA, 15 ngày cho yêu cầu LGPD và PDPD, 30 ngày cho yêu cầu UK GDPR, 30 ngày cho yêu cầu DPDP, 14 ngày cho yêu cầu PDP Indonesia, 30 ngày cho yêu cầu PDPA, 30 ngày cho yêu cầu KVKK, 15 ngày cho yêu cầu DPA Philippines và 30 ngày cho yêu cầu PDPL (hoặc sớm hơn nếu luật yêu cầu).

13. Thay Đổi Chính Sách Này

Chúng tôi có thể cập nhật Chính Sách Bảo Mật này theo thời gian. Chúng tôi sẽ thông báo cho bạn về các thay đổi quan trọng thông qua Ứng dụng hoặc email. Việc tiếp tục sử dụng Ứng dụng sau các thay đổi đồng nghĩa với việc chấp nhận chính sách đã cập nhật.

14. Liên Hệ Chúng Tôi

Nếu bạn có câu hỏi về Chính Sách Bảo Mật này hoặc muốn thực hiện các quyền dữ liệu của mình, vui lòng liên hệ chúng tôi tại:

Thang Pham (TonesFly)
Email: [email protected]

Đối với người dùng EU/EEA: Nếu bạn không hài lòng với phản hồi của chúng tôi, bạn có quyền khiếu nại với cơ quan giám sát bảo vệ dữ liệu địa phương.