Toàn bộ dữ liệu của bạn nằm trên thiết bị, được mã hoá; ứng dụng không TỰ ĐỘNG gửi dữ liệu đi đâu, không quảng cáo, không phân tích hành vi, không tài khoản đăng nhập. Dữ liệu chỉ rời máy khi CHÍNH BẠN chủ động chia sẻ / xuất bản nháp (Excel, hồ sơ thuế nháp, ảnh tổng kết, ảnh chứng từ — ra Zalo/email…; mục 6b), tạo bản sao lưu (mục 6), hoặc đồng bộ (mã hoá) giữa các máy của chính bạn (mục 6c).
Ứng dụng do tatalulu phát triển. Liên hệ: lnpquang@gmail.com.
Người dùng tự nhập và lưu trên máy:
Tính năng quét ảnh dùng thư viện Google ML Kit; mô hình nhận dạng chữ chạy ngay trên máy nên ảnh và văn bản của bạn không được gửi đi. Tuy nhiên, theo công bố của Google, thư viện này gửi dữ liệu chẩn đoán về Google — gồm thông tin thiết bị/ứng dụng, định danh per‑install dùng cho chẩn đoán, số liệu hiệu năng và mã lỗi; dữ liệu được mã hoá khi truyền (HTTPS) và Google cho biết không chuyển tiếp cho bên thứ ba khác. Chúng tôi không kiểm soát và không sử dụng dữ liệu này. Vì vậy ML Kit tự thêm quyền INTERNET vào ứng dụng. Chúng tôi đã đặt cờ tắt thu thập dữ liệu mặc định của Firebase (best‑effort) nhưng không bảo đảm chặn hoàn toàn telemetry của Google. Nếu bạn không muốn điều này, có thể không dùng tính năng quét ảnh.
Khi tính năng này được bật (mặc định TẮT cho tới khi nhà phát triển cấu hình máy chủ cập nhật), ứng dụng định kỳ tải xuống bản cập nhật “quy định thuế” đã được ký số từ máy chủ của chúng tôi (chỉ khi có mạng). Đây là tải một chiều: không có dữ liệu thu/chi hay thông tin cá nhân nào của bạn được gửi đi. Như mọi lượt tải tập tin, máy chủ có thể thấy địa chỉ IP của thiết bị. Ứng dụng kiểm tra chữ ký số trước khi áp dụng (bỏ qua nếu sai/cũ hơn). Bản cập nhật chỉ ảnh hưởng tới ước tính mới, không sửa số liệu bạn đã lưu.
Tính năng nhập bằng giọng nói (tuỳ chọn) chuyển lời nói thành chữ NGAY TRÊN MÁY bằng bộ nhận dạng on‑device của Android (Google) — âm thanh KHÔNG gửi tới máy chủ nào, KHÔNG ghi lưu lại; chỉ phần chữ nhận ra được dùng để điền sẵn form cho bạn xác nhận. Nếu máy chưa có gói tiếng Việt của hệ thống, ứng dụng có thể mời bạn tải gói giọng nói của hệ thống (do Android/Google cung cấp) — đây chỉ là tải MODEL một lần, việc nhận dạng vẫn chạy trên máy. Máy không hỗ trợ nhận dạng on‑device (Android cũ / không có dịch vụ Google) thì dùng nhập nhanh hoặc chụp ảnh thay. Ứng dụng KHÔNG dùng bộ nhận dạng đám mây.
Các tính năng AI — Hỏi sổ (hỏi đáp/tóm tắt về sổ), nhập nhiều khoản bằng câu, giải thích thuế, đọc to — đều dùng mô hình AI (Gemma 4 qua LiteRT‑LM) chạy HOÀN TOÀN TRÊN MÁY: câu hỏi/câu bạn nhập và mọi số liệu không rời thiết bị, không gửi tới máy chủ nào. Mọi con số trong câu trả lời do bộ tính tất định tính từ giao dịch THẬT của bạn (AI chỉ hiểu câu hỏi & diễn đạt). Lần DUY NHẤT có mạng là khi bạn chủ động bấm tải mô hình (~2,5 GB) từ kho mở Hugging Face: đây là tải một chiều một tệp, không gửi dữ liệu của bạn; như mọi lượt tải, máy chủ có thể thấy địa chỉ IP của thiết bị. Mô hình là tuỳ chọn — không tải thì “Hỏi sổ” vẫn trả lời các câu thường gặp mà không cần AI.
ACTION_IMAGE_CAPTURE — KHÔNG xin quyền CAMERA; việc chụp do app máy ảnh hệ thống thực hiện) hoặc chọn từ thư viện bằng bộ chọn ảnh của hệ thống (photo picker — KHÔNG xin quyền đọc thư viện READ_MEDIA_IMAGES; bạn chọn ảnh nào thì app chỉ nhận đúng ảnh đó). Ảnh đính kèm được lưu MÃ HOÁ trên máy; ảnh chụp tạm nằm trong vùng riêng của app rồi bị thay khi chụp ảnh mới — không gửi đi đâu.RECORD_AUDIO): chỉ khi bạn bấm nút nhập bằng giọng nói; âm thanh chuyển thành chữ ngay trên máy rồi bỏ — không ghi âm lưu lại, không gửi đi (xem mục 4d).POST_NOTIFICATIONS, Android 13+): chỉ để hiện nhắc hạn “Thông báo doanh thu năm” (tuỳ chọn, tắt được). Thông báo được tạo cục bộ trên máy — không gửi dữ liệu đi đâu.RECEIVE_BOOT_COMPLETED, WAKE_LOCK, FOREGROUND_SERVICE): do thư viện lập lịch của Android (AndroidX WorkManager) khai — để chạy các lượt nhắc hạn cục bộ đúng giờ và đặt lại lịch nhắc sau khi bạn khởi động lại máy. Các quyền này không đọc dữ liệu của bạn và không gửi gì đi; nếu bạn tắt nhắc trong Cài đặt thì các lượt chạy này không tạo thông báo nào.USE_BIOMETRIC/USE_FINGERPRINT): chỉ để mở khoá ứng dụng (tuỳ chọn); không lưu/gửi dữ liệu sinh trắc.INTERNET/ACCESS_NETWORK_STATE: dùng để (a) tải bản cập nhật quy định thuế đã ký (mục 4c); (b) tải mô hình AI khi bạn chủ động bật “Hỏi sổ” (mục 4e) — và đọc trạng thái mạng Wi‑Fi/đo‑dung‑lượng để cảnh báo trước khi tải tệp lớn; (c) do thư viện Google ML Kit tự thêm (mục 4b); (d) đồng bộ máy‑sang‑máy qua Wi‑Fi nội bộ khi bạn chủ động dùng (mục 6c) — chỉ trong mạng nội bộ, KHÔNG qua máy chủ của chúng tôi và KHÔNG ra internet. Việc tải gói giọng nói tiếng Việt của hệ thống (mục 4d) do Android/Google tự thực hiện, không phải ứng dụng tải. Ứng dụng không gửi dữ liệu thu/chi hay cá nhân của bạn lên mạng.CAMERA (chụp ảnh là do app máy ảnh hệ thống làm, chỉ khi bạn chủ động — xem trên), không dùng máy ảnh nền.Ứng dụng có một khoản mua một lần (không thuê bao) để mở khoá tiện ích cá nhân (quản lý nhiều cơ sở của chính bạn + bảng điều khiển hợp nhất + “Hỏi sổ” — AI trên máy). Việc thanh toán do Google Play xử lý — ứng dụng không nhìn thấy thẻ hay thông tin thanh toán của bạn và không lưu lịch sử mua; ứng dụng chỉ lưu một dấu hiệu cục bộ “đã mở khoá” để bật tính năng (kể cả khi ngoại tuyến). Trạng thái sở hữu được truy vấn lại từ Google Play để khôi phục khi bạn cài lại/đổi máy. Hồ sơ giao dịch do Google Play lưu giữ theo chính sách của Google. Bản miễn phí không bị chặn bất kỳ chức năng ghi sổ, tính thuế hay tạo bản nháp báo cáo nào. Quyền com.android.vending.BILLING (do thư viện Google Play Billing khai) chỉ để hỏi Google Play về gói bạn đã mua — không đọc dữ liệu nào khác trên máy.
Bản sao lưu (nếu bạn tạo) được mã hoá bằng mật khẩu của bạn và lưu ở nơi bạn chọn. Ứng dụng không giữ bản sao và không gửi đi đâu. Quên mật khẩu sao lưu thì không thể khôi phục.
Bạn có thể bấm nút Chia sẻ rồi tự chọn ứng dụng nhận (Zalo, email…). Tệp được chọn — file Excel sổ thu chi, hồ sơ thuế nháp (.xlsx), PDF tổng kết (.pdf), ảnh tổng kết / chốt ngày / biên nhận (.png), tất cả đều đóng dấu BẢN NHÁP — được trao cho ứng dụng đó qua một liên kết content:// an toàn. Ứng dụng không bao giờ tự gửi và không giữ bản sao nào ngoài một tệp tạm trong bộ nhớ đệm (được xoá khi mở lại ứng dụng). Sau khi chia sẻ, dữ liệu do ứng dụng bạn gửi tới quản lý — chúng tôi không kiểm soát nơi nhận, và bạn tự chịu trách nhiệm khi gửi/nộp.
Nếu bạn dùng nhiều điện thoại cho việc kinh doanh, có thể gộp Thu/Chi giữa các máy của CHÍNH BẠN. Dữ liệu được mã hoá bằng mật khẩu của bạn (đặt giống nhau ở 2 máy) rồi truyền TRỰC TIẾP máy‑sang‑máy — qua một tệp mã hoá bạn tự chia sẻ (Zalo / Bluetooth / Nearby Share / email…), hoặc trực tiếp qua Wi‑Fi nội bộ khi hai máy ở cùng mạng. KHÔNG có dữ liệu nào đi qua máy chủ của chúng tôi hay ra internet; chúng tôi không thấy và không giữ bản sao nào. Chỉ số tiền thu/chi + tên cơ sở (và tên máy gửi — vd "Pixel 9 Pro" — để máy nhận phân biệt cơ sở trùng tên) được truyền — KHÔNG gồm ảnh chứng từ, KHÔNG gồm mã số thuế / CCCD / số tài khoản ngân hàng. Máy nhận xem trước rồi mới gộp; gộp lại cùng dữ liệu không tạo khoản trùng. Nên chọn mật khẩu đủ mạnh (chữ kết hợp số) vì khi truyền qua Wi‑Fi, người khác trong cùng mạng về lý thuyết có thể bắt được gói mã hoá; mật khẩu mạnh khiến họ không giải mã được. Bạn tự đặt mật khẩu và tự chịu trách nhiệm khi truyền cho máy khác.
Ứng dụng không hướng tới trẻ em và không cố ý thu thập dữ liệu của trẻ em.
Đây là công cụ ghi chép cá nhân tạo bản nháp — không phải phần mềm kế toán hay tư vấn thuế. Số liệu do bạn nhập và bạn tự chịu trách nhiệm (xem Điều khoản sử dụng).
Khi cập nhật, chúng tôi sẽ đổi ngày ở đầu trang và (nếu thay đổi lớn) yêu cầu bạn đồng ý lại trong ứng dụng.
Mọi thắc mắc về quyền riêng tư: lnpquang@gmail.com.