Nhà Ơi

Chính sách quyền riêng tư

Phiên bản 2026-10-20 · Áp dụng cho ứng dụng Nhà Ơi trên Android, iOS và web

Nhà Ơi là bảng việc của một gia đình: máy tính bảng để ngang cho các con, điện thoại cho bố mẹ, và cuộc gọi trong nhà. Chính sách này nói chúng tôi thu thập gì, dùng làm gì, giữ bao lâu, và bạn có những quyền gì. Chúng tôi viết ngắn và cụ thể; nếu có chỗ chưa rõ, hãy hỏi chúng tôi.

1. Chúng tôi là ai

Bên chịu trách nhiệm về dữ liệu: Nhóm phát triển Nhà Ơi. Liên hệ về quyền riêng tư và bảo vệ dữ liệu: [email protected].

2. Ai dùng Nhà Ơi

• Bố mẹ hoặc người giám hộ (người lớn) đăng nhập bằng Google hoặc Apple, tạo sổ của gia đình và nhập thông tin của các con.
• Các con dùng máy tính bảng của gia đình. Các con không có tài khoản, không đăng nhập và không có email.
• Người thân được mời: bố hoặc mẹ còn lại, và ông bà. Ông bà chỉ thấy tên, hình đại diện, màu của các con và nút gọi.

3. Dữ liệu chúng tôi lưu

Loại	Gồm
Người lớn	Tên, email và mã định danh do Google hoặc Apple cung cấp khi đăng nhập; vai trò trong nhà
Các con (bố mẹ nhập)	Tên hoặc tên gọi, tuổi, lớp (tùy chọn), một sở thích (tùy chọn), hình đại diện và màu, con có được gọi ra không, ngày con đồng ý (với trẻ ở Việt Nam từ 7 tuổi)
Lịch và việc	Thời khóa biểu, lớp học thêm, ngày đặc biệt như sinh nhật, việc nhà, điều ước. Địa điểm lớp học thêm chỉ nằm trong cấu hình hiện tại, không giữ trong lịch sử
Việc chung của nhà	Tên nhà, danh sách đi chợ, thực đơn tuần, và địa chỉ lịch iCal (Google, Outlook) bố mẹ dán vào. Máy chủ chỉ giữ địa chỉ; nội dung lịch do các máy trong nhà tự tải
Mời và vào nhà	Mã mời (lưu dạng băm, hết hạn sau 48 giờ), và tên, biểu tượng của người dùng mã trong lúc chờ bố mẹ duyệt
Thư thông báo	Email gửi thư thông báo cho phụ huynh, thời điểm gửi và thời điểm bạn bấm Xác nhận
Mã nhận thông báo đẩy	Mã Firebase của điện thoại bố mẹ (khi bố mẹ bật thông báo) và của máy bảng, cùng nền tảng và ngôn ngữ của máy. Xóa khi tắt thông báo, đăng xuất, gỡ máy hoặc xóa sổ
Lỗi ứng dụng	Phiên bản, nền tảng, câu báo lỗi và vài dòng mã nơi lỗi xảy ra. Không kèm tên, gia đình hay mã thiết bị. Giữ 30 ngày
Hoạt động trên bảng	Việc đã xong hoặc bỏ qua, lúc xin giúp, sao, “hũ tiền chơi” (không phải tiền thật), nhận xét của bố mẹ
Bảo mật	Mã 4 số của bố mẹ và mật khẩu hình của con, lưu dạng băm; số lần nhập sai
Thiết bị và phiên	Mã thiết bị và phiên đăng nhập, lưu dạng băm; cài đặt của máy bảng
Đồng ý	Phiên bản chính sách bạn đồng ý, thời điểm, cách đồng ý
Nhật ký máy chủ	Đường dẫn, mã trạng thái, thời gian xử lý và mã băm của người gọi. Không ghi địa chỉ IP vào nhật ký

Chúng tôi không thu thập vị trí, danh bạ, mã quảng cáo hay dữ liệu sinh trắc học. Nhà Ơi không có quảng cáo, không có công cụ phân tích hành vi, không mua bán trong ứng dụng, và không bán dữ liệu.

Quét mã QR trên Android. Khi bố mẹ quét mã QR để ghép máy, ứng dụng dùng thư viện Google ML Kit chạy ngay trên điện thoại. Ảnh camera không rời máy. ML Kit có gửi cho Google số liệu chẩn đoán và mức sử dụng của chính thư viện (phiên bản, thiết bị, thời gian xử lý, lỗi), không kèm ảnh hay nội dung mã. Bạn có thể gõ mã thay vì quét.

4. Những thứ không lưu trên máy chủ của chúng tôi

• Cuộc gọi. Hình và tiếng đi trực tiếp giữa hai thiết bị, được mã hóa. Khi hai thiết bị không nối thẳng được, dữ liệu đi qua máy chủ chuyển tiếp của Cloudflare. Không ghi âm, không ghi hình, không lưu. Máy chủ của chúng tôi chỉ giúp hai máy tìm thấy nhau.
• Lời nhắn thoại. Ông bà và bố mẹ có thể ghi một lời nhắn tối đa 60 giây cho một con hoặc cả nhà. Đoạn ghi được lưu trên ổ đĩa mã hóa của máy chủ, không nằm trong bản sao lưu, và tự xóa sau 7 ngày (hoặc sớm hơn khi người gửi hay bố mẹ xóa). Chúng tôi ghi lại ai gửi, gửi cho con nào và lúc nào lời nhắn được nghe. Trẻ em không ghi âm trong Nhà Ơi.
• Đọc tin của trường bằng AI. Tính năng này là tùy chọn. Khi bạn bấm Đọc, ảnh, tệp PDF, email hoặc chữ bạn chọn đi qua máy chủ của chúng tôi tới mô hình AI để soạn bản nháp bài ở nhà. Mô hình có thể là mô hình nhà Nhà Ơi cung cấp (tên nhà cung cấp hiện trước lần gửi đầu tiên), mô hình chúng tôi tự vận hành, hoặc nhà cung cấp bạn tự chọn bằng khóa API của bạn (Anthropic, OpenAI, Google, xAI, DeepSeek, OpenRouter hoặc máy chủ tương thích OpenAI). DeepSeek xử lý dữ liệu tại Trung Quốc. Máy chủ của chúng tôi chỉ giữ những gì bạn gửi trong bộ nhớ trong lúc đọc (tối đa vài phút), không ghi vào ổ đĩa, sổ của nhà, nhật ký hay bản sao lưu; khóa API của bạn chỉ đi kèm từng lần đọc và không được lưu. Chúng tôi không gửi tên con cho mô hình; nhưng ảnh bạn chọn có thể chứa tên con hoặc tên người khác, vì vậy hãy che những gì không cần. Nhà cung cấp AI xử lý theo điều khoản của họ; với mô hình do Nhà Ơi cung cấp, chúng tôi chọn chế độ không dùng dữ liệu để huấn luyện. Chỉ những dòng bạn giữ lại và bấm lưu mới vào sổ của nhà. Khi bạn thêm một việc nhà mà ứng dụng không tự đoán được buổi, chỉ tên việc bạn gõ được gửi tới mô hình AI do Nhà Ơi cung cấp để gợi ý buổi, giờ và hình; không lưu lại.
• Trợ lý AI của bạn (MCP). Tính năng này là tùy chọn và chỉ dành cho bố mẹ. Bạn có thể tạo một khóa để trợ lý AI của chính bạn (ví dụ Claude, Cursor) xem tên, tuổi, lớp, lịch bài của các con và thêm bài, kế hoạch học, ngày quan trọng. Dữ liệu này đi tới nhà cung cấp trợ lý bạn chọn, dưới tài khoản và điều khoản của bạn với họ; chúng tôi không chọn và không kiểm soát nhà cung cấp đó. Chúng tôi chỉ lưu khóa dạng băm, tên khóa, người tạo và lần dùng cuối. Khóa chỉ dùng được cho nhà của bạn, chỉ bố mẹ tạo được, và bạn có thể thu hồi bất cứ lúc nào; khóa mất khi bạn rời nhà, xóa tài khoản hoặc xóa sổ.
• Camera phát hiện người (tùy chọn, chỉ trên Android). Khi màn hình máy bảng tối, máy có thể dùng camera trước để biết có người đi qua và bật sáng màn hình. Ảnh độ phân giải thấp được so sánh trong bộ nhớ rồi bỏ ngay: không lưu, không gửi đi, không nhận diện khuôn mặt. Nếu không cấp quyền camera, máy dùng cảm biến ánh sáng.
• Giọng đọc. Câu nhắc việc được đọc bằng bộ chuyển văn bản thành giọng nói của hệ điều hành. Tùy cài đặt của máy, bộ này có thể do nhà sản xuất hoặc Google cung cấp và xử lý theo chính sách của họ.
• Khung ảnh gia đình. Ảnh bố mẹ chọn cho khung ảnh nằm trong ứng dụng trên chính máy bảng đó, không gửi lên máy chủ.
• Nội dung lịch. Sự kiện trong lịch Google, Outlook do các máy trong nhà tự tải từ địa chỉ bạn dán và chỉ hiển thị, không gửi lên máy chủ của chúng tôi.
• Thông báo và cuộc gọi đến. Khi bố mẹ bật thông báo, máy chủ báo cho điện thoại qua Firebase Cloud Messaging của Google, và máy bảng nhận báo khi bố mẹ gọi về nhà. Tin đẩy chỉ có loại tin ("có tin mới" hoặc "có cuộc gọi") và mã cuộc gọi, không có tên, việc hay nội dung. Trên Android, ứng dụng tự lấy chi tiết từ máy chủ của chúng tôi rồi hiện thông báo; trên iPhone, máy hiện một dòng chung.
• Trên thiết bị. Ứng dụng giữ một bản sao để dùng khi mất mạng, trong vùng lưu trữ an toàn của thiết bị; trên Android, bản này không nằm trong bản sao lưu của máy. Bấm Thoát là xóa.

5. Chúng tôi dùng dữ liệu để làm gì

• Hiện việc của từng con theo buổi và đồng bộ giữa máy bảng và điện thoại.
• Cho phép gọi trong nhà.
• Giữ an toàn: mã bố mẹ, chống đăng nhập sai và lạm dụng.
• Hỗ trợ khi bạn liên hệ, và tuân thủ pháp luật.

Chúng tôi không dùng dữ liệu cho quảng cáo, không lập hồ sơ hành vi, và không dùng dữ liệu của gia đình để huấn luyện mô hình AI.

6. Đồng ý

Bố mẹ hoặc người giám hộ phải đồng ý với chính sách này trước khi tạo sổ. Với trẻ ở Việt Nam từ 7 tuổi, bố mẹ giải thích cho con và xác nhận con đồng ý trước khi lưu thông tin của con. Chúng tôi lưu phiên bản chính sách và thời điểm đồng ý. Ngoài sự đồng ý, chúng tôi xử lý dữ liệu khi cần để cung cấp dịch vụ theo điều khoản sử dụng, để giữ an toàn cho dịch vụ, và khi pháp luật yêu cầu.

7. Ai có thể xem dữ liệu

• Trong nhà: bố mẹ và người lớn được mời với vai trò bố mẹ thấy toàn bộ sổ. Ông bà chỉ thấy tên, hình đại diện, màu của các con và nút gọi. Trên máy bảng, các con thấy tiến độ của nhau, trừ khi bố mẹ tắt.
• Bên xử lý giúp chúng tôi: nhà cung cấp hạ tầng máy chủ tại Việt Nam (máy chủ và lưu trữ), Cloudflare (mạng, bảo mật, chuyển tiếp cuộc gọi, chuyển tiếp email liên hệ, kho bản sao lưu đã mã hóa), Google (đăng nhập, hộp thư nhận email liên hệ, ML Kit khi quét mã QR trên Android, và Firebase Cloud Messaging để gửi thông báo đẩy), Apple (đăng nhập), và đơn vị chuyển tiếp email tại Việt Nam (gửi thư thông báo cho phụ huynh). Họ chỉ được xử lý dữ liệu để cung cấp dịch vụ cho chúng tôi.
• Cơ quan nhà nước khi pháp luật bắt buộc.

Chúng tôi không bán dữ liệu và không chia sẻ dữ liệu để quảng cáo.

8. Dữ liệu ra nước ngoài

Máy chủ đặt tại Việt Nam. Cloudflare xử lý lưu lượng trên mạng toàn cầu của họ. Google, Apple và các nhà cung cấp AI có thể xử lý dữ liệu ở Hoa Kỳ. Với gia đình ở Hoa Kỳ và Singapore, dữ liệu được chuyển tới máy chủ ở Việt Nam để cung cấp dịch vụ. Bản sao lưu được mã hóa trước khi rời máy chủ và chỉ chúng tôi giữ khóa giải mã. Chúng tôi chỉ dùng bên xử lý có cam kết bảo vệ dữ liệu, và lập hồ sơ chuyển dữ liệu ra nước ngoài theo pháp luật Việt Nam và Singapore khi pháp luật yêu cầu.

9. Giữ bao lâu

• Tài khoản, sổ, hoạt động và đồng ý: tới khi bạn xóa tài khoản hoặc xóa sổ.
• Kế hoạch theo ngày và các phiên bản cấu hình cũ: 90 ngày.
• Khi bạn bỏ một con khỏi sổ: tên, lớp, sở thích, hình đại diện và ngày đồng ý của con bị xóa khỏi cả lịch sử; chỉ còn một mã nội bộ.
• Phiên đăng nhập hết hạn sau 30 ngày không dùng (người lớn) hoặc 90 ngày (máy bảng). Mã ghép máy hết hạn sau 15 phút; mã mời người lớn sau 48 giờ.
• Nhật ký máy chủ: xoay vòng theo dung lượng (tối đa 100 MB); phần cũ nhất tự bị ghi đè.
• Bản sao lưu được mã hóa và tự xóa sau 30 ngày. Dữ liệu bạn đã xóa sẽ mất hẳn khỏi bản sao lưu sau thời hạn này.

10. Bảo mật

Kết nối dùng HTTPS. Bản sao lưu được mã hóa. Máy chủ chỉ nhận kết nối HTTPS từ Cloudflare, và quản trị viên đăng nhập bằng khóa, không bằng mật khẩu. Mã bố mẹ, mật khẩu hình, mã thiết bị và phiên đăng nhập được lưu dạng băm. Trên máy bảng dùng chung, quyền của bố mẹ chỉ mở sau khi nhập mã và tự khóa sau ít phút. Nhập sai nhiều lần sẽ bị khóa tạm. Chỉ người có nhiệm vụ mới truy cập được máy chủ. Chúng tôi có quy trình vận hành bằng văn bản: sao lưu mã hóa hằng ngày, kiểm tra khôi phục, sao lưu trước mỗi lần cập nhật, và giới hạn quyền truy cập máy chủ. Không hệ thống nào an toàn tuyệt đối; nếu có sự cố, xem mục 13.

11. Quyền của bạn

• Xem và lấy bản sao: Cài đặt gia đình → Xuất dữ liệu riêng (một file JSON).
• Sửa: trên bàn bố mẹ, sửa tên, tuổi, lớp, sở thích, hình và màu của từng con.
• Xóa: Cài đặt gia đình → Xóa tài khoản của tôi. Người tạo sổ xóa cả sổ. Không còn ứng dụng thì xem trang xóa dữ liệu.
• Rút lại đồng ý: bỏ một con khỏi sổ, xóa sổ, hoặc liên hệ chúng tôi. Rút lại đồng ý không ảnh hưởng việc xử lý trước đó.
• Hạn chế, phản đối, khiếu nại: liên hệ [email protected]. Chúng tôi phản hồi trong vòng 2 ngày kể từ khi nhận yêu cầu, và thực hiện yêu cầu trong thời hạn pháp luật quy định. Bạn cũng có thể khiếu nại tới cơ quan có thẩm quyền: ở Việt Nam là cơ quan chuyên trách bảo vệ dữ liệu cá nhân thuộc Bộ Công an; ở Singapore là Personal Data Protection Commission (PDPC); ở Hoa Kỳ là Federal Trade Commission (FTC).

12. Trẻ em

• Trẻ không có tài khoản. Chỉ bố mẹ hoặc người giám hộ tạo sổ và nhập thông tin của con, sau khi đồng ý.
• Chúng tôi chỉ thu thập thông tin cần để bảng việc chạy. Không quảng cáo, không mua bán trong ứng dụng, không trò chuyện với người lạ. Thông tin của trẻ không công khai.
• Trẻ chỉ gọi được người trong nhà đã được bố mẹ duyệt vào nhà (mã mời thôi chưa đủ). Bố mẹ tắt được quyền gọi ra của từng con. Trước khi gọi, bảng nhắc con chỉ gọi người nhà và báo ngay với bố mẹ khi thấy điều gì lạ.
• Khi tạo sổ, bố mẹ nhận thư thông báo trực tiếp về dữ liệu của con kèm nút Xác nhận. Với gia đình ở Hoa Kỳ, bảng của con không ghi gì cho tới khi bố mẹ xác nhận qua email; một ngày sau, chúng tôi gửi thư thứ hai báo bạn đã đồng ý và cách rút lại.
• Bố mẹ có quyền xem thông tin của con, yêu cầu xóa, và yêu cầu ngừng thu thập thêm, theo mục 11. Chúng tôi không chia sẻ thông tin của trẻ cho bên thứ ba ngoài các bên xử lý ở mục 7.

13. Khi có sự cố dữ liệu

Nếu có sự cố làm lộ dữ liệu cá nhân, chúng tôi sẽ thông báo cho cơ quan có thẩm quyền và cho gia đình bị ảnh hưởng trong thời hạn pháp luật quy định ở nơi áp dụng.

14. Thay đổi chính sách

Mỗi lần sửa chính sách, chúng tôi đổi số phiên bản ở đầu trang. Với thay đổi quan trọng, chúng tôi sẽ báo trước qua email tới địa chỉ đăng nhập của bố mẹ, ít nhất 15 ngày trước khi thay đổi có hiệu lực.

15. Liên hệ

Nhóm phát triển Nhà Ơi · [email protected]

Privacy policy

Version 2026-10-20 · Applies to the Nhà Ơi app on Android, iOS and the web

Nhà Ơi is a family job board: a landscape tablet for the children, phones for the parents, and calls within the family. This policy says what we collect, why, how long we keep it, and what your rights are. We keep it short and specific; if anything is unclear, ask us.

1. Who we are

Data controller: the Nhà Ơi development team. Privacy and data protection contact: [email protected].

2. Who uses Nhà Ơi

• Parents or guardians (adults) sign in with Google or Apple, create the family's board and enter their children's details.
• Children use the family tablet. Children have no account, do not sign in and have no email address.
• Invited relatives: the other parent, and grandparents. Grandparents see only the children's names, pictures and colours, and a call button.

3. Data we keep

Kind	What
Adults	Name, email and the identifier Google or Apple provides at sign-in; role in the family
Children (entered by a parent)	Name or nickname, age, school grade (optional), one interest (optional), picture and colour, whether the child may place calls, the date the child agreed (children in Vietnam aged 7 and over)
Schedules and jobs	Timetables, weekly classes, special days such as birthdays, chores, wishes. A weekly class's place is kept only in the current settings, not in history
Household	The family name, shopping list, weekly meals, and iCal calendar addresses (Google, Outlook) a parent pastes. The server keeps only the address; the family's devices fetch the calendar themselves
Invites and joining	Invite codes (stored as hashes, expire after 48 hours), and the name and picture of the person who used one while a parent decides
Notice email	The address the parent notice went to, when it was sent and when you tapped Confirm
Push token	The Firebase token of a parent's phone (once the parent turns notifications on) and of the family board, with the device's platform and language. Deleted when notifications are turned off, on sign-out, when the device is removed or the family is deleted
App errors	App version, platform, the error message and a few lines of code location. No name, family or device identifier. Kept 30 days
Board activity	Jobs finished or skipped, requests for help, stars, “play money” jars (not real money), parents' comments
Security	The parents' 4-digit code and children's picture passwords, stored as hashes; failed attempts
Devices and sessions	Device and sign-in session identifiers, stored as hashes; tablet settings
Consent	The policy version you agreed to, when, and how
Server logs	Path, status, processing time and a hash of the caller. IP addresses are not written to logs

We do not collect location, contacts, advertising identifiers or biometric data. Nhà Ơi has no ads, no behavioural analytics, no in-app purchases, and we do not sell data.

QR scanning on Android. When a parent scans a QR code to pair a device, the app uses Google ML Kit running on the phone. Camera frames never leave the phone. ML Kit sends Google diagnostic and usage data about the library itself (version, device, processing time, errors), without the image or the code's content. You can type the code instead.

4. What is not kept on our servers

• Calls. Video and sound go directly between the two devices, encrypted. When the devices cannot connect directly, the data passes through Cloudflare's relay servers. Calls are not recorded or stored. Our server only helps the two devices find each other.
• Voice messages. Grandparents and parents can record a message of up to 60 seconds for one child or the whole house. The recording is kept on our server's encrypted disk, not in backups, and is deleted after 7 days (or sooner when the sender or a parent deletes it). We keep who sent it, to which child, and when it was heard. Children do not record anything in Oi! Home.
• Reading school messages with AI. This is optional. When you tap Read, the photos, PDF files, emails or text you pick pass through our server to an AI model that drafts the home work. The model may be one Oi! Home provides (the provider is named before your first send), one we run ourselves, or a provider you choose with your own API key (Anthropic, OpenAI, Google, xAI, DeepSeek, OpenRouter or an OpenAI-compatible server). DeepSeek processes data in China. Our server keeps what you send only in memory while it is read (a few minutes at most), never on disk, in the family ledger, in logs or in backups; your API key goes along with each read only and is not stored. We do not send your child's name to the model, but the pictures you pick may show your child's or other people's names, so cover what is not needed. The AI provider handles the content under its own terms; for models Oi! Home provides we choose settings that do not use it for training. Only the lines you keep and save go into the family ledger. When you add a chore the app cannot place in the day by itself, only the words you typed for the chore go to the AI model Oi! Home provides, to suggest the part of the day, a time and a picture; nothing is kept.
• Your own AI assistant (MCP). This is optional and for parents only. You can create a key that lets your own AI assistant (for example Claude or Cursor) see your children's names, ages, grades and homework schedule, and add homework, study plans and important dates. That data goes to the assistant provider you chose, under your account and your terms with them; we do not choose or control that provider. We keep only a hash of the key, its name, who made it and when it was last used. A key works only for your family, only parents can make one, and you can revoke it at any time; it stops working when you leave the family, delete your account or delete the family.
• Presence camera (optional, Android only). While the tablet screen is dark, it can use the front camera to notice someone walking by and light the screen. Low-resolution frames are compared in memory and discarded at once: not stored, not sent, no face recognition. Without camera permission the tablet uses the light sensor instead.
• Spoken reminders. Reminders are read aloud by the operating system's text-to-speech engine. Depending on the device's settings, that engine may be provided by the manufacturer or Google and handled under their policies.
• Family photo frame. Pictures a parent picks for the photo frame stay inside the app on that tablet and are never uploaded.
• Calendar content. Events in Google or Outlook calendars are fetched by the family's own devices from the address you pasted and only displayed, never sent to our servers.
• Notifications and incoming calls. When a parent turns notifications on, our server alerts the phone through Google's Firebase Cloud Messaging, and the family board is alerted when a parent calls home. A push carries only its kind ("news" or "a call") and a call id, never a name, a task or other content. On Android the app then fetches the details from our server and shows them; on iPhone the system shows a generic line.
• On the device. The app keeps a copy for offline use in the device's secure storage; on Android it is excluded from device backups. Signing out deletes it.

5. What we use data for

• Showing each child's jobs by part of the day, and syncing the tablet and phones.
• Calls within the family.
• Safety: the parents' code, and protection against wrong sign-ins and abuse.
• Support when you contact us, and legal compliance.

We do not use data for advertising, do not build behavioural profiles, and do not use family data to train AI models.

6. Consent

A parent or guardian must agree to this policy before creating the family's board. For children in Vietnam aged 7 and over, the parent explains it to the child and confirms the child agrees before the child's details are saved. We record the policy version and the time of consent. Besides consent, we process data where needed to provide the service under the terms of use, to keep the service secure, and where the law requires it.

7. Who can see data

• In the family: parents, and adults invited as parents, see the whole board. Grandparents see only the children's names, pictures and colours, and a call button. On the tablet, children see each other's progress unless a parent turns that off.
• Our processors: a server hosting provider in Vietnam (servers and storage), Cloudflare (network, security, call relay, contact email forwarding, encrypted backup storage), Google (sign-in, the mailbox that receives contact email, ML Kit when scanning QR codes on Android, and Firebase Cloud Messaging for push notifications), Apple (sign-in), and an email relay in Vietnam (the parent notice email). They may process data only to provide their service to us.
• Authorities where the law requires it.

We do not sell data and do not share it for advertising.

8. International transfers

Our servers are in Vietnam. Cloudflare handles traffic across its global network. Google, Apple and AI providers may process data in the United States. For families in the United States and Singapore, data is transferred to our server in Vietnam to provide the service. Backups are encrypted before they leave the server, and only we hold the key. We use only processors that commit to protecting data, and we make the cross-border transfer filings that Vietnamese and Singapore law require.

9. How long we keep data

• Accounts, the family board, activity and consent: until you delete your account or the family.
• Daily plans and old versions of settings: 90 days.
• When you remove a child: the child's name, grade, interest, picture and consent date are erased from history as well; only an internal ID remains.
• Sessions expire after 30 days unused (adults) or 90 days (tablets). Pairing codes expire after 15 minutes, grown-up invite codes after 48 hours.
• Server logs: rotated by size (at most 100 MB); the oldest entries are overwritten.
• Backups are encrypted and deleted after 30 days. Data you deleted is gone from backups after that period.

10. Security

Connections use HTTPS. Backups are encrypted. The server accepts HTTPS only from Cloudflare, and administrators sign in with keys, not passwords. The parents' code, picture passwords, device identifiers and sessions are stored as hashes. On a shared tablet, parent access opens only after the code is entered and locks again after a few minutes. Repeated wrong entries lock temporarily. Only staff who need it can access the servers. We keep written operating procedures: daily encrypted backups, restore checks, a backup before every update, and limited server access. No system is perfectly secure; if something goes wrong, see section 13.

11. Your rights

• See and copy: Family settings → Export private data (a JSON file).
• Correct: on the parent desk, edit each child's name, age, grade, interest, picture and colour.
• Delete: Family settings → Delete my account. The family's creator deletes the whole family. Without the app, see the deletion page.
• Withdraw consent: remove a child, delete the family, or contact us. Withdrawal does not affect processing before it.
• Restrict, object, complain: contact [email protected]. We respond within 2 days of receiving a request and carry it out within the period the law sets. You can also complain to the authority: in Vietnam, the personal data protection authority under the Ministry of Public Security; in Singapore, the Personal Data Protection Commission (PDPC); in the United States, the Federal Trade Commission (FTC).

12. Children

• Children have no account. Only a parent or guardian creates the board and enters a child's details, after giving consent.
• We collect only what the board needs to work. No ads, no in-app purchases, no chat with strangers. Children's information is never made public.
• Children can call only family members a parent let into the family (an invite code alone is not enough). Parents can turn off calling out for each child. Before a call, the board reminds the child to call only family and to tell a parent at once if anything feels wrong.
• When a family is created, the parent gets a direct notice email about the children's data with a Confirm button. For families in the United States the children's board records nothing until a parent confirms by email; a day later we send a second email confirming the consent and how to withdraw it.
• Parents can review their child's information, have it deleted, and refuse further collection, as in section 11. We do not share children's information with third parties other than the processors in section 7.

13. Data incidents

If an incident exposes personal data, we will notify the competent authority and the affected families within the time the applicable law requires.

14. Changes

Each time this policy changes, the version at the top changes. For significant changes we will tell you in advance by email to the parents' sign-in address, at least 15 days before the change takes effect.

15. Contact

The Nhà Ơi development team · [email protected]