Chính sách quyền riêng tư

Cập nhật lần cuối: 14 tháng 10 năm 2026

Tóm tắt nhanh

• Không tài khoản, không có nội dung từ chúng tôi. Tunvio là một trình phát. Các luồng của bạn đến trực tiếp từ nhà cung cấp mà chính bạn đã nhập.
• Chúng tôi không yêu cầu thông tin đăng nhập của bạn. Chúng tôi không yêu cầu và không cố ý nhận mật khẩu, địa chỉ nhà cung cấp hay tên kênh; văn bản lỗi được lọc tự động để loại bỏ địa chỉ web và thông tin đăng nhập, nhưng việc lọc này không thể hoàn hảo (Mục 7). Với thông tin phim và phụ đề, proxy của chúng tôi chỉ thấy một mã id hoặc tiêu đề đã được làm sạch (Mục 8); bản thân hình ảnh được tải trực tiếp từ máy chủ hình ảnh của TMDB (Mục 8). Nếu bạn dùng đồng bộ thiết bị, các danh sách phát của bạn sẽ được chuyển đến nơi lưu trữ riêng của bạn (Mục 10).
• Mọi thứ bạn chia sẻ tự nguyện đều tắt theo mặc định: dữ liệu sử dụng và báo cáo lỗi, mốc bỏ qua được chia sẻ, đồng bộ thiết bị và ghép nối thiết bị chỉ được bật khi chính bạn bật – và có thể tắt lại bất cứ lúc nào.
• Các dịch vụ do chúng tôi tự vận hành không lưu địa chỉ IP và không ghi nhật ký truy cập (về máy chủ web tunv.io, xem Mục 3).
• Thanh toán được xử lý qua cửa hàng ứng dụng hoặc RevenueCat – chúng tôi không bao giờ thấy dữ liệu thanh toán.

Chi tiết xin xem bên dưới.

1. Bên kiểm soát dữ liệu và bản chất của dịch vụ

Bên kiểm soát dữ liệu đối với ứng dụng "Tunvio" theo nghĩa của Quy định chung về bảo vệ dữ liệu (GDPR) là người vận hành Dự án Tunvio được nêu trong thông tin pháp lý (https://tunv.io/impressum) ("chúng tôi"). Liên hệ về các vấn đề bảo vệ dữ liệu: support@tunv.io

Tunvio chỉ là một ứng dụng phát lại. Chúng tôi không cung cấp nội dung, không lưu trữ luồng nào và không vận hành dịch vụ phương tiện nào. Mọi kết nối IPTV đều đi thẳng tới máy chủ mà bạn đã tự nhập dưới dạng một danh sách phát (Xtream Codes, danh sách phát M3U, một URL luồng trực tiếp hoặc một cổng Stalker). Về trách nhiệm của bạn khi chọn nguồn, xem Điều khoản sử dụng (https://tunv.io/terms-of-use).

2. Dữ liệu trên thiết bị của bạn

Tunvio lưu những thứ sau trên thiết bị của bạn:

• các danh sách phát cùng URL máy chủ, tên người dùng và mật khẩu của nhà cung cấp, cộng với tên danh sách phát tùy chọn
• lịch sử xem, mục yêu thích, cài đặt và mã PIN kiểm soát của phụ huynh tùy chọn cho từng danh sách phát
• ảnh thu nhỏ và siêu dữ liệu TMDB dưới dạng bộ nhớ đệm (Mục 8)
• các bản tải xuống và bản ghi, nếu bạn tạo chúng
• với từng danh sách phát, vị trí trong một phim bộ mà bạn đã bỏ qua phần mở đầu hoặc danh đề cuối, để ứng dụng có thể đưa ra "Bỏ qua mở đầu" hoặc "Tập tiếp theo" tại đó – và, nếu bạn đã bật chia sẻ, các đóng góp chưa được gửi (Mục 8)
• một mã định danh mua hàng ẩn danh cho các giao dịch mua qua trình duyệt (Mục 5), và một mã định danh hộ gia đình và thiết bị sau khi bạn ghép nối các thiết bị (Mục 5.1)

Thông tin đăng nhập, mã PIN kiểm soát của phụ huynh, dữ liệu đăng nhập cho đồng bộ thiết bị và các mã định danh ghép nối được lưu trong kho lưu trữ mã hóa của hệ điều hành; trên TV Samsung (Tizen), vốn không có kho lưu trữ như vậy, chúng được lưu trong bộ nhớ nội bộ của ứng dụng. Bạn có thể xóa lịch sử và mục yêu thích trong Cài đặt; gỡ cài đặt ứng dụng sẽ xóa mọi thứ.

Ngoại lệ: thư mục do chính bạn chọn. Nếu bạn chọn thư mục riêng cho các bản ghi và bản tải xuống (ví dụ trên thẻ SD), các tệp thuộc về thư mục đó: chúng vẫn còn sau khi gỡ cài đặt, và tùy thư mục cũng như nền tảng mà các ứng dụng khác có thể đọc được chúng. Khi đó bạn phải tự xóa chúng. Trong mọi trường hợp, chúng tôi không có quyền truy cập vào các tệp này.

Chúng tôi không nhận dữ liệu này. Chỉ có hai ngoại lệ, cả hai đều do bạn bật: nếu bạn ghép nối các thiết bị, dịch vụ ghép nối của chúng tôi lưu mã định danh hộ gia đình và thiết bị (Mục 5.1); nếu bạn chia sẻ mốc bỏ qua, các đóng góp thu thập được sẽ được gửi đến dịch vụ mốc bỏ qua của chúng tôi mà không liên kết với danh sách phát hay nhà cung cấp nào (Mục 8). Nếu bạn dùng đồng bộ thiết bị, các danh sách phát, lịch sử, mục yêu thích và cài đặt sẽ đi tới nơi lưu trữ riêng của bạn, không đến chỗ chúng tôi (Mục 10).

3. Máy chủ của chúng tôi

Một số tính năng dùng các máy chủ do chính chúng tôi vận hành: ghép nối thiết bị (pair.tunv.io), báo cáo lỗi (diag.tunv.io), siêu dữ liệu và mốc bỏ qua (tmdb.tunv.io), phụ đề (subs.tunv.io), cùng việc kiểm tra bản cập nhật và các tài liệu pháp lý (tunv.io).

• Vị trí: ghép nối, báo cáo lỗi, proxy siêu dữ liệu và mốc bỏ qua chạy trên các máy chủ của chúng tôi tại Đức. Với ghép nối, báo cáo lỗi và mốc bỏ qua, không có bên xử lý dữ liệu nào tham gia và không có việc chuyển dữ liệu sang nước thứ ba.
• Không lưu IP: các dịch vụ ghép nối, báo cáo lỗi, siêu dữ liệu, mốc bỏ qua và phụ đề không ghi nhật ký truy cập. Địa chỉ IP của bạn chỉ cần để vận chuyển yêu cầu; nó không được lưu, không được liên kết với bất kỳ mã định danh nào và không được chuyển cho ai.
• Máy chủ web tunv.io (kiểm tra cập nhật, tài liệu pháp lý) là máy chủ web thông thường của trang web; nó có thể giữ các bản ghi truy cập ngắn hạn thông thường (địa chỉ IP, thời gian, tệp được yêu cầu). Ứng dụng không gửi mã định danh hay dữ liệu danh sách phát nào cùng các yêu cầu này.
• Chống lạm dụng: để hạn chế tần suất yêu cầu và chặn việc dò quét tự động, địa chỉ IP của bạn được chuyển ngay khi đến thành một bí danh ngắn hạn đối với ghép nối, siêu dữ liệu, mốc bỏ qua và phụ đề. Khóa của nó chỉ tồn tại trong bộ nhớ và được thay định kỳ; sau đó bí danh không còn có thể liên kết với bất kỳ địa chỉ nào. Máy chủ chẩn đoán chỉ giữ địa chỉ tạm thời trong bộ nhớ cho mục đích này. Cơ sở pháp lý là lợi ích hợp pháp của chúng tôi trong việc vận hành an toàn (Điều 6(1)(f) GDPR, Lời dẫn 49).

4. Kết nối tới nhà cung cấp IPTV của bạn

Tunvio kết nối trực tiếp tới máy chủ bạn đã nhập. Cách máy chủ đó xử lý dữ liệu là trách nhiệm của nhà cung cấp của bạn, không phải của chúng tôi. Vui lòng xem chính sách quyền riêng tư của nhà cung cấp.

Truyền (Cast). Nếu bạn truyền tới một thiết bị Chromecast hoặc DLNA (ở nơi có cung cấp), ứng dụng sẽ chuyển địa chỉ luồng – chứa địa chỉ nhà cung cấp của bạn và, với Xtream, dữ liệu truy cập của bạn – tới thiết bị đó qua mạng cục bộ của bạn; sau đó thiết bị tự tải luồng từ nhà cung cấp của bạn. Nếu một áp phích được hiển thị trên thiết bị, địa chỉ của hình ảnh TMDB cũng có thể được chuyển đi, và khi đó thiết bị tải nó trực tiếp từ image.tmdb.org (Mục 8). Không có gì trong số này đi qua máy chủ của chúng tôi.

4.1 Chẩn đoán phát lại ("Có vấn đề gì?")

Khi quá trình phát bị đứng hoặc thất bại, Tunvio tự động kiểm tra nguyên nhân: bằng một vài yêu cầu thử ngắn tới máy chủ của nhà cung cấp (phân giải tên miền, thiết lập kết nối, kết nối mã hóa, tải thử một đoạn ngắn của luồng và, với Xtream và Stalker, một lệnh gọi tới giao diện tài khoản bằng thông tin đăng nhập đã lưu của bạn) – cũng là những kết nối như khi phát. Ứng dụng cũng đọc trên thiết bị của bạn xem có ứng dụng VPN hoặc ứng dụng lọc nào đang hoạt động không, mạng có báo là có truy cập internet không và có đặt DNS riêng hay không. Kết quả ở lại trên thiết bị của bạn trừ khi bạn gửi nó kèm một báo cáo sự cố (Mục 7.1).

"Kiểm tra kỹ hơn". Chỉ khi bạn chạm vào nút này (và không có DNS riêng nào đang hoạt động), Tunvio mới hỏi Cloudflare, hoặc Google Public DNS làm phương án dự phòng, qua kết nối mã hóa xem tên máy chủ của nhà cung cấp bạn có được biết đến hay không. Chỉ tên máy chủ này được gửi – không có thông tin đăng nhập, không có đường dẫn, không có mã định danh thiết bị; như với mọi kết nối, dịch vụ thấy địa chỉ IP của bạn. Kết quả ở lại trên thiết bị của bạn trừ khi bạn gửi nó kèm một báo cáo sự cố (Mục 7.1). Cơ sở pháp lý là yêu cầu của bạn (Điều 6(1)(b) hoặc (f) GDPR). Áp dụng các thông báo về quyền riêng tư của Cloudflare (cloudflare.com/privacypolicy) hoặc của Google (policies.google.com/privacy); có thể xảy ra việc chuyển dữ liệu sang Hoa Kỳ.

5. Giao dịch mua và gói đăng ký

Các tính năng Premium là tùy chọn. Ở nơi không bán gì (ví dụ trên TV Samsung), không có dữ liệu nào được truyền cho mục đích này.

• Mua qua cửa hàng ứng dụng: nếu ứng dụng của bạn đến từ Apple App Store, Google Play hoặc Amazon Appstore, cửa hàng đó xử lý thanh toán.
• Mua trong trình duyệt: với các phiên bản ngoài cửa hàng ứng dụng (ví dụ trên máy tính), ứng dụng mở một trang thanh toán của RevenueCat, Inc.; mọi thứ bạn nhập ở đó đều đến RevenueCat và nhà cung cấp dịch vụ thanh toán của họ, bên xử lý khoản thanh toán.
• Trong cả hai trường hợp, chúng tôi không nhận và không lưu dữ liệu thanh toán.
• Quản lý gói đăng ký: để kiểm tra một giao dịch mua còn hiệu lực hay không, chúng tôi dùng RevenueCat, Inc. (Hoa Kỳ). Từ ứng dụng, RevenueCat nhận một ID người dùng ẩn danh, được tạo ngẫu nhiên và các biên nhận mua hàng của kênh bạn đã dùng – không có tên và không có dữ liệu thanh toán; địa chỉ email của bạn chỉ được nhận để điền sẵn vào trang thanh toán (xem bên dưới). Thông báo về quyền riêng tư: https://www.revenuecat.com/privacy
• Khôi phục giao dịch mua qua trình duyệt: vì không có tài khoản, bạn khôi phục một giao dịch mua qua trình duyệt trên thiết bị khác bằng địa chỉ email đã dùng khi thanh toán. Ứng dụng chuyển nó trên thiết bị của bạn thành một mã định danh phái sinh (một mã băm); chỉ mã định danh đó được dùng để tra cứu và được giữ trên thiết bị. Bản thân địa chỉ email không được lưu lâu dài. Nếu sau đó bạn mở lại trang thanh toán, nó sẽ được điền sẵn ở đó.

Cơ sở pháp lý là thực hiện hợp đồng (Điều 6(1)(b) GDPR).

5.1 Premium trên nhiều thiết bị (ghép nối thiết bị)

Nếu bạn đã mua Premium, bạn có thể dùng nó trên các thiết bị khác: thiết bị đã thanh toán hiển thị một mã gồm tám chữ số mà bạn nhập trên thiết bị còn lại. Sau đó cả hai thuộc về cùng một hộ gia đình (tối đa bảy thiết bị) với một danh tính mua hàng chung, được tạo ngẫu nhiên. Việc này chạy qua dịch vụ pair.tunv.io của chúng tôi (Mục 3). Ứng dụng liên hệ với nó chỉ khi bạn cho hiển thị một mã hoặc nhập một mã – không bao giờ tự động hay chạy nền.

Chỉ những thứ sau được lưu cho mỗi hộ gia đình: một mã định danh thiết bị ngẫu nhiên do ứng dụng tạo cho từng thiết bị (không phải mã định danh của hệ điều hành, ID quảng cáo, số sê-ri hay địa chỉ MAC), kiểu máy của thiết bị làm tên hiển thị (ví dụ "Pixel 8", nếu không thì là loại thiết bị như "Samsung TV"), thời điểm ghép nối, một mã định danh hộ gia đình ngẫu nhiên, thời điểm hộ gia đình được tạo, việc một mã đã từng được sử dụng hay chưa, và bộ đếm hằng ngày của các mã được yêu cầu. Bản thân mã có hiệu lực trong 10 phút và bị xóa sau đó; khi đã được sử dụng, nó hết hiệu lực ngay lập tức.

Đây là máy chủ duy nhất trong số các máy chủ của chúng tôi lưu một mã định danh thiết bị lâu dài – nếu không thì không thể có một danh sách thiết bị mà bạn có thể gỡ thiết bị khỏi đó.

Không được lưu: địa chỉ IP, địa chỉ email, tên hay tài khoản; không có gì về các giao dịch mua của bạn (khi yêu cầu mã, ứng dụng gửi danh tính mua hàng của mình để có thể nhận ra một hộ gia đình đã có; mã định danh ẩn danh của một lần cài đặt riêng lẻ bị loại bỏ, và không có quyền lợi nào được kiểm tra); không có gì về danh sách phát, nhà cung cấp, kênh hay tiêu đề. Nhật ký của dịch vụ không chứa mã nào và không chứa mã định danh nào.

RevenueCat sau khi ghép nối: khi đó ID người dùng ở Mục 5 là như nhau cho mọi thiết bị trong hộ gia đình, cụ thể là mã định danh hộ gia đình ngẫu nhiên.

Lưu giữ và xóa: một thiết bị đã ghép nối vẫn được lưu cho đến khi bạn gỡ nó – không có thời hạn tự động hết hiệu lực. Trong Cài đặt → Premium, bạn thấy mọi thiết bị trong hộ gia đình của mình và có thể gỡ bất kỳ thiết bị nào; mục đó bị xóa ngay lập tức, và khi gỡ thiết bị cuối cùng thì hộ gia đình cũng bị xóa. Nếu bạn gỡ thiết bị của chính mình, nó lại có một danh tính mua hàng riêng. Ngoại lệ duy nhất cho việc "không hết hiệu lực": một lần thử ghép nối mà chưa có mã nào được sử dụng sẽ bị xóa sau 30 ngày.

Cơ sở pháp lý là sự đồng ý của bạn (Điều 6(1)(a) GDPR), được đưa ra khi cho hiển thị một mã hoặc nhập một mã, và được rút lại bằng cách gỡ thiết bị.

6. Firebase (Google) – Phân tích và báo cáo lỗi

Chỉ trên Android và iOS, Tunvio mới dùng Firebase của Google Ireland Ltd. / Google LLC – và chỉ khi có sự đồng ý của bạn. Cả hai đều tắt theo mặc định; chúng tôi hỏi bạn ở lần khởi chạy đầu tiên và, nếu bạn từ chối, tối đa thêm một lần nữa.

• Firebase Analytics: thống kê sử dụng dưới dạng bí danh (ví dụ các màn hình đã xem, thiết bị và phiên bản ứng dụng, khu vực gần đúng), được phân tích qua một mã định danh bí danh, nhằm cải thiện ứng dụng.
• Firebase Crashlytics: báo cáo sập ứng dụng và báo cáo lỗi (chi tiết kỹ thuật về vị trí trong chương trình nơi lỗi xảy ra, thiết bị và phiên bản ứng dụng) nhằm sửa các lỗi sập.

Chúng tôi không thêm thông tin đăng nhập, mật khẩu, tên danh sách phát hay địa chỉ phát lại vào các báo cáo này. Các văn bản lỗi do hệ thống hoặc do các gói phần mềm được dùng tạo ra được chuyển nguyên trạng tới Crashlytics và chúng tôi không lọc; chúng có thể chứa địa chỉ máy chủ hoặc địa chỉ web. Một báo cáo sập ứng dụng cũng kèm theo một mô tả trạng thái ngắn: giai đoạn đồng bộ, mức dùng bộ nhớ và lần treo lâu nhất, loại danh sách phát, các nhóm kích thước của thư viện và tiến độ tra cứu siêu dữ liệu theo từng bước 10 %. Có thể xảy ra việc chuyển dữ liệu sang Hoa Kỳ; Google dựa vào Điều khoản hợp đồng tiêu chuẩn của EU cho việc này. Thông báo về quyền riêng tư: https://policies.google.com/privacy

Cơ sở pháp lý là sự đồng ý của bạn (Điều 6(1)(a) GDPR, § 25(1) TDDDG). Bạn có thể rút lại bất cứ lúc nào trong Cài đặt → Dữ liệu và lưu trữ → "Dữ liệu sử dụng và báo cáo lỗi", có hiệu lực ngay lập tức.

7. Báo cáo lỗi của chính chúng tôi (diag.tunv.io)

Cùng công tắc "Dữ liệu sử dụng và báo cáo lỗi" đó điều khiển các báo cáo lỗi tự động gửi tới máy chủ chẩn đoán của chúng tôi (Mục 3). Chúng hoạt động trên mọi nền tảng, kể cả TV và máy tính. Nếu không có sự đồng ý của bạn, không có gì được gửi.

Mục đích chỉ là sửa lỗi: phát hiện lỗi, gom nhóm các lỗi tương tự, sửa chúng và kiểm tra bản sửa có hiệu quả hay không. Không phân tích mức sử dụng, không lập hồ sơ, không quảng cáo.

Chỉ những thứ sau được truyền đi:

• loại và nhóm lỗi (ví dụ lỗi phát lại, đăng nhập hoặc đồng bộ, sập ứng dụng, giao diện bị treo; hết thời gian chờ, lỗi bộ giải mã, giới hạn kết nối; mã trạng thái HTTP dưới dạng một con số, nếu có)
• hoàn cảnh kỹ thuật: công cụ phát lại và bước giải mã, loại nội dung hoặc phạm vi (TV trực tiếp, phim lẻ, phim bộ, lịch truyền hình, tải xuống; với lỗi đồng bộ, Cast và xuất, còn có loại đích hoặc nguyên nhân, ví dụ nơi lưu trữ đồng bộ đã chọn), loại danh sách phát (không phải nhà cung cấp) và, với các danh sách phát đã gộp, việc một, một vài hay tất cả các nguồn bị ảnh hưởng
• phiên bản ứng dụng và loại bản dựng, nền tảng, phiên bản chính của hệ điều hành, kiểu máy của thiết bị, cài đặt ngôn ngữ và khu vực, cùng bộ nhớ của thiết bị theo một bậc thô
• với các lần treo và một số lỗi phát lại: ứng dụng đã bận xử lý các lần nhấn phím nhiều đến mức nào trong vài giây trước đó (một mức thô: thấp, trung bình hoặc cao) và loại tác vụ nền nội bộ nào đang chạy (ví dụ đọc thư viện hoặc lịch truyền hình) – chỉ loại tác vụ, không bao giờ là một tệp, địa chỉ, danh sách phát hay con số
• sau khi phiên trước bị chấm dứt cưỡng bức: loại của nó theo cách hệ điều hành gọi tên (ví dụ "không phản hồi"); nếu hệ thống không gọi tên được, thì lý do (không có bản ghi, hoặc không có bản ghi nào phù hợp) và một nhóm thời gian thô (phút, giờ hoặc ngày) giữa dấu hiệu hoạt động cuối cùng và bản ghi hệ thống gần nhất
• với việc khởi động ứng dụng chậm hoặc thất bại: bước khởi động nào chậm nhất hoặc thất bại (một tên nội bộ cố định) và quá trình khởi động mất bao nhiêu mili giây; khi chế độ khởi động an toàn mở ra, nó được kích hoạt thế nào và các bộ đếm nhỏ về những lần khởi động gần đây chưa hoàn tất
• với các lần sập và treo do hệ thống chấm dứt: chi tiết kỹ thuật về vị trí trong chương trình nơi lỗi xảy ra, cùng thông báo lỗi đã được che và tên màn hình ứng dụng (ví dụ "player" – không bao giờ là một nội dung cụ thể). Với các lần sập do bộ nhớ và kết nối, thông báo còn kèm một dòng trạng thái ngắn: giai đoạn đồng bộ, mức dùng bộ nhớ của ứng dụng tính bằng megabyte, loại danh sách phát (không bao giờ là số lượng nguồn), lần treo lâu nhất tính bằng mili giây, tiến độ tra cứu siêu dữ liệu theo từng bước 10 % và chỉ các nhóm kích thước của thư viện và của lần tra cứu đó (ví dụ "3.000 đến 10.000 mục") – không bao giờ là số lượng chính xác
• thời điểm của sự kiện theo đồng hồ của thiết bị (dùng để sắp xếp các báo cáo xếp hàng; nó được lưu cùng báo cáo)
• một mã định danh theo ngày, được ngẫu nhiên hóa lại mỗi ngày. Nó liên kết các báo cáo trong cùng một ngày; không thể nhận ra thiết bị qua các ngày. Không có ID thiết bị hay ID cài đặt.

Theo thiết kế, không thu thập: tiêu đề kênh, phim và phim bộ, từ khóa tìm kiếm, tên danh sách phát và tên người dùng, mật khẩu và thông tin đăng nhập khác, địa chỉ MAC và số sê-ri. Văn bản lỗi tự do chỉ được lọc để loại địa chỉ và thông tin đăng nhập. Địa chỉ: địa chỉ web, địa chỉ IP và chuỗi có dạng thông tin đăng nhập được che trên thiết bị trước khi gửi, và máy chủ của chúng tôi loại bỏ các tên máy chủ viết không kèm địa chỉ ở lượt xử lý thứ hai, vốn không thể nhận ra mọi tên máy chủ (Mục 7.1). Vì vậy, trong chừng mực nhận ra được, địa chỉ phát lại và địa chỉ máy chủ được che trên thiết bị và bị loại bỏ trên máy chủ.

Cơ sở pháp lý là sự đồng ý của bạn (Điều 6(1)(a) GDPR, § 25(1) TDDDG), có thể rút lại như ở Mục 6. Lưu giữ: từng báo cáo riêng lẻ bị xóa sau 90 ngày; chỉ còn lại các số liệu tổng hợp theo từng mẫu lỗi (số lượng, lần xuất hiện đầu tiên và cuối cùng, các phiên bản bị ảnh hưởng), không liên kết với một báo cáo hay một thiết bị nào. Về quyền truy cập và quyền xóa, xem Mục 12.

7.1 Báo cáo sự cố do chính bạn gửi

Trong Cài đặt → "Báo sự cố", hoặc trong trình phát qua "Có vấn đề gì?" → "Báo sự cố", bạn có thể tự gửi một báo cáo. Nó chỉ rời khỏi thiết bị của bạn khi bạn gửi – nó không được lưu đệm và không được gửi lại sau đó – và không phụ thuộc vào công tắc "Dữ liệu sử dụng và báo cáo lỗi". Hộp thoại gửi đề nghị bật các báo cáo tự động – tự nguyện và không được chọn sẵn.

Những gì được truyền đi: văn bản của bạn, nhật ký kỹ thuật của phiên của bạn gồm các lỗi chương trình gần nhất (bạn có thể xem trước trong "Những gì sẽ được gửi?"), loại sự cố, phiên bản ứng dụng, loại bản dựng, nền tảng, phiên bản chính của hệ điều hành, kiểu máy của thiết bị, cài đặt ngôn ngữ và khu vực, công cụ phát lại, loại danh sách phát, việc Premium có đang hoạt động hay không, thời điểm của báo cáo theo đồng hồ của thiết bị – và, với báo cáo gửi từ trình phát, kết quả chẩn đoán ở Mục 4.1 dưới dạng các giá trị ngắn, không có tên máy chủ, địa chỉ IP hay thông tin đăng nhập.

Văn bản và nhật ký được tự động che trên thiết bị trước khi gửi: địa chỉ web (mọi thứ có lược đồ như https://), địa chỉ IPv4, địa chỉ email và chuỗi có dạng thông tin đăng nhập (như password=… hoặc user:pass@host). Máy chủ của chúng tôi lặp lại việc này và còn loại bỏ các tên máy chủ viết không kèm địa chỉ – một lượt xử lý thứ hai không thể nhận ra mọi tên máy chủ. Dù vậy, đừng ghi mật khẩu vào văn bản của bạn – việc che không thể nhận ra chúng bên trong một câu thông thường.

Báo cáo không mang mã định danh nào liên kết nó với thiết bị của bạn, chỉ có một mã tham chiếu ngẫu nhiên được hiển thị cho bạn. Với mã đó, bạn có thể yêu cầu truy cập hoặc xóa tại support@tunv.io. Cơ sở pháp lý là sự đồng ý của bạn khi gửi (Điều 6(1)(a) GDPR). Lưu giữ: 90 ngày.

8. Siêu dữ liệu và hình ảnh (TMDB)

Tunvio bổ sung mô tả, xếp hạng, logo, áp phích và phân loại độ tuổi từ The Movie Database (TMDB) cho phim lẻ và phim bộ. Đây là một phần của cách thư viện được hiển thị và không có công tắc riêng; bạn có thể xóa siêu dữ liệu đã lưu đệm trong Cài đặt → Dữ liệu và lưu trữ.

Mô tả, xếp hạng và địa chỉ hình ảnh được yêu cầu qua proxy tmdb.tunv.io của chúng tôi (Mục 3), không trực tiếp từ TMDB. Chỉ những gì yêu cầu cần mới được truyền đi: với tìm kiếm, tiêu đề đã được làm sạch và, nếu phát hiện được, năm phát hành; ngoài ra là id TMDB và, với các mùa, số mùa; mọi yêu cầu còn kèm ngôn ngữ của ứng dụng và, với thông tin về nơi phát trực tuyến, khu vực của thiết bị của bạn. Tập nào bạn đang xem và nó dài bao lâu thì không được truyền đi, danh sách phát, thông tin đăng nhập hay dữ liệu phát lại cũng không. Kết quả được lưu đệm trên proxy và trên thiết bị của bạn.

Chính các tệp hình ảnh đến trực tiếp từ TMDB. Áp phích, ảnh nền, logo tiêu đề, ảnh tập phim, logo dịch vụ phát trực tuyến và ảnh của diễn viên và đoàn làm phim được thiết bị của bạn tải từ máy chủ hình ảnh image.tmdb.org của TMDB, không qua proxy của chúng tôi. Vì vậy, TMDB nhận được địa chỉ IP của bạn, User-Agent mà thiết bị của bạn gửi (cái được đặt cho danh sách phát đang hoạt động của bạn – theo mặc định là một chuỗi trình phát đa phương tiện chung chung) và đường dẫn tệp của hình ảnh được yêu cầu, vốn xác định áp phích hay bức ảnh đó – từ đó cùng địa chỉ IP của bạn, TMDB có thể biết những tiêu đề nào đang được hiển thị – nhưng không có thông tin đăng nhập, danh sách phát hay dữ liệu phát lại. Điều này xảy ra mỗi khi một hình ảnh không (hoặc không còn) được lưu trên thiết bị của bạn (hình ảnh đã lưu đệm được giữ khoảng một tuần), ngay khi proxy đã trả về địa chỉ hình ảnh của một tiêu đề; cũng như siêu dữ liệu, nó không có công tắc riêng. Việc TMDB làm gì với dữ liệu này do chính sách quyền riêng tư của TMDB điều chỉnh, và chúng tôi không có ảnh hưởng nào đối với chính sách đó.

Trailer. Nếu bạn chạm vào một trailer (không có trên TV Samsung), ứng dụng mở ứng dụng YouTube hoặc trình duyệt. Đó là hành động của bạn bên ngoài Tunvio; từ lúc đó chính sách quyền riêng tư của YouTube (Google) được áp dụng, và địa chỉ của video được chuyển cho họ.

Tra cứu mốc bỏ qua được chia sẻ. Khi bạn phát một tập phim bộ, Tunvio hỏi qua cùng proxy đó xem những người xem khác có đóng góp mốc cho phần mở đầu và danh đề cuối của mùa đó hay không (xem bên dưới). Chỉ id TMDB và số mùa được truyền đi – không phải tập phim, thời lượng của nó hay tiêu đề; ứng dụng chọn tập phù hợp trên thiết bị của bạn. Nó đưa ra một nút bấm, không bao giờ tự động nhảy.

Cơ sở pháp lý cho tất cả những điều này là lợi ích hợp pháp của chúng tôi trong việc hiển thị và phát lại thuận tiện (Điều 6(1)(f) GDPR). Bạn có thể phản đối (Điều 21 GDPR): đối với các yêu cầu siêu dữ liệu và hình ảnh, qua support@tunv.io; đối với việc tra cứu mốc bỏ qua, bằng công tắc "Hiện mốc bỏ qua được chia sẻ" trong Cài đặt → Dữ liệu và lưu trữ. Bản thân TMDB do các điều khoản của chính TMDB điều chỉnh (https://www.themoviedb.org/privacy-policy); chúng tôi không có liên kết nào với TMDB.

Phụ đề trực tuyến qua proxy Tunvio (OpenSubtitles)

Nếu bạn tìm phụ đề trực tuyến (hoặc bật tải tự động – tắt theo mặc định), yêu cầu đi qua proxy subs.tunv.io của chúng tôi (Mục 3). Chỉ id TMDB hoặc IMDB của tiêu đề – hoặc, nếu không có, tiêu đề đã làm sạch, năm, số mùa và số tập – cùng các ngôn ngữ được yêu cầu được truyền đi; không có danh sách phát, thông tin đăng nhập hay dữ liệu phát lại. Proxy truy vấn OpenSubtitles bằng quyền truy cập của chúng tôi, nên bạn không cần tài khoản riêng; phụ đề được lưu đệm trên proxy và trên thiết bị của bạn. Cơ sở pháp lý là lợi ích hợp pháp của chúng tôi (Điều 6(1)(f) GDPR). OpenSubtitles do chính sách quyền riêng tư của chính họ điều chỉnh (https://www.opensubtitles.com); chúng tôi không có liên kết nào với OpenSubtitles.

Mốc bỏ qua được chia sẻ (tùy chọn)

Bạn có thể tự nguyện đóng góp cho các mốc bỏ qua được chia sẻ: khi bạn bỏ qua phần mở đầu hoặc chuyển sang tập tiếp theo trong lúc chạy danh đề cuối, Tunvio gửi điểm đó, không gắn với bất kỳ cá nhân nào, tới dịch vụ tmdb.tunv.io/skip do chính chúng tôi vận hành tại Đức.

Chỉ khi có sự đồng ý. Việc chia sẻ tắt theo mặc định và độc lập với công tắc "Dữ liệu sử dụng và báo cáo lỗi". Sau khi bạn bỏ qua phần mở đầu lần đầu tiên, ứng dụng hỏi bạn bằng một lời nhắc nhỏ; nếu bạn không trả lời, nó vẫn tắt, và sau ba lời nhắc không được trả lời thì ứng dụng ngừng hỏi. Sự đồng ý của bạn chỉ áp dụng cho thiết bị này và không được đồng bộ thiết bị mang sang.

Chỉ những thứ sau được truyền đi cho mỗi đóng góp: phần mở đầu hay danh đề cuối, id TMDB của phim bộ, số mùa và số tập, thời lượng của tập và điểm bỏ qua (với phần mở đầu, nơi bạn nhảy từ đâu và đến đâu; với danh đề cuối, nơi bạn chuyển tiếp), mỗi giá trị được làm tròn đến giây nguyên.

Không được truyền: tiêu đề, nhà cung cấp, danh sách phát, thời điểm bạn xem, và mọi mã định danh thiết bị, cài đặt hay theo ngày. Các lần bỏ qua thực hiện qua những mốc đã được chia sẻ sẽ không được gửi ngược lại.

Theo lô, không tức thời. Các đóng góp được thu thập trên thiết bị của bạn (chỉ cái mới nhất cho mỗi tập và mỗi loại) và được gửi tối đa một lần mỗi ngày.

Địa chỉ IP. Nó không được lưu (Mục 3). Để một thiết bị chỉ được tính một lần cho mỗi tập và mỗi ngày, một giá trị mã hóa suy ra từ bí danh và tập phim được giữ thêm cho đến lần xoay khóa tiếp theo rồi bị loại bỏ. Cả địa chỉ lẫn bí danh đều không được ghi vào đóng góp (lợi ích hợp pháp, Điều 6(1)(f) GDPR).

Lưu trữ và công bố. Các giá trị nêu trên và ngày nhận (không có giờ trong ngày) được lưu. Một mốc chỉ được hiển thị cho người khác khi nhiều đóng góp độc lập từ các ngày khác nhau trùng khớp – và khi đó chỉ ở dạng giá trị ở giữa (trung vị) kèm số đếm, không bao giờ là một đóng góp đơn lẻ. Từng đóng góp riêng lẻ bị xóa hoàn toàn sau 180 ngày. Chỉ một mốc đã được công bố vẫn còn, dưới dạng trung vị cùng số lượng đóng góp và số ngày nhận; nếu sau này có đủ đóng góp mới mâu thuẫn với nó, nó cũng bị xóa.

Cơ sở pháp lý là sự đồng ý của bạn (Điều 6(1)(a) GDPR, § 25(1) TDDDG). Bạn có thể rút lại bất cứ lúc nào trong Cài đặt → Dữ liệu và lưu trữ → "Chia sẻ mốc bỏ qua"; từ đó trở đi không có gì được gửi, và các đóng góp chưa gửi bị xóa. Việc tra cứu các mốc được chia sẻ không bị ảnh hưởng. Các đóng góp đã gửi không mang mã định danh nào, nên chúng tôi không thể liên kết chúng với bạn, cung cấp quyền truy cập vào chúng hay xóa riêng từng cái (Điều 11 GDPR, xem Mục 12).

9. Kiểm tra cập nhật (tunv.io)

Trên Android và iOS, Tunvio tải một tệp cấu hình từ https://tunv.io/app/config.json khi khởi động và khi kiểm tra thủ công (Mục 3). Nó chỉ chứa thông tin về ứng dụng: phiên bản hiện tại và phiên bản tối thiểu được hỗ trợ cùng các địa chỉ tải xuống hoặc địa chỉ cửa hàng. Không có thông tin nào về danh sách phát, nhà cung cấp hay nội dung của bạn được truyền đi; về địa chỉ IP, xem Mục 3. Cơ sở pháp lý là lợi ích hợp pháp của chúng tôi trong việc có một ứng dụng an toàn, được cập nhật (Điều 6(1)(f) GDPR).

Nếu bạn tự cài các bản cập nhật trên Android ngoài cửa hàng ứng dụng, ứng dụng có thể tải tệp cài đặt từ địa chỉ được nêu trong tệp cấu hình này; khi đó máy chủ đó nhận địa chỉ IP của bạn và dữ liệu yêu cầu thông thường.

Tài liệu pháp lý. Khi bạn mở chính sách quyền riêng tư, điều khoản sử dụng, thông tin pháp lý hoặc tuyên bố về hỗ trợ tiếp cận trong ứng dụng, Tunvio thử tải phiên bản hiện hành từ https://tunv.io/legal/ trên mọi nền tảng (giới hạn thời gian sáu giây); nếu không được, bản sao đi kèm ứng dụng sẽ được hiển thị. Chỉ yêu cầu tải tệp được thực hiện – không có thông tin nào về danh sách phát hay nội dung; về địa chỉ IP, xem Mục 3. Cơ sở pháp lý là lợi ích hợp pháp của chúng tôi trong việc hiển thị văn bản hiện hành (Điều 6(1)(f) GDPR).

10. Đồng bộ thiết bị (iCloud / Google Drive / OneDrive / WebDAV)

Tùy chọn, Tunvio giữ đồng bộ các danh sách phát, mục yêu thích, lịch sử và cài đặt giữa các thiết bị của bạn. Tính năng này tắt theo mặc định; bạn kết nối nó trong Cài đặt → Đồng bộ thiết bị và chọn những nhóm nào được đưa vào. Chúng tôi không vận hành máy chủ đồng bộ nào và không bao giờ nhận dữ liệu này – nó đi thẳng tới nơi lưu trữ bạn chọn:

• iCloud (iOS) hoặc Google Drive (Android): trong vùng riêng tư dành cho ứng dụng của tài khoản của chính bạn, nơi các ứng dụng khác không đọc được.
• Microsoft OneDrive: bạn đăng nhập trực tiếp với Microsoft qua mã thiết bị; bạn không nhập mật khẩu trong ứng dụng. Microsoft yêu cầu quyền truy cập vào các tệp OneDrive của bạn – Microsoft đòi hỏi điều này để ứng dụng tạo thư mục riêng của nó; chỉ thư mục đó được dùng. Bạn có thể rút lại quyền truy cập tại account.live.com/consent/Manage.
• WebDAV: một máy chủ do bạn chọn, chẳng hạn Nextcloud riêng của bạn hoặc một NAS. Địa chỉ và dữ liệu đăng nhập vẫn ở trên thiết bị của bạn (Mục 2).

Các danh sách phát của bạn (URL máy chủ, tên người dùng) và mã PIN kiểm soát của phụ huynh được đưa vào. Mật khẩu của các tài khoản IPTV của bạn không được tải lên; trên thiết bị mới, bạn nhập chúng một lần. Tuy nhiên, với các danh sách phát M3U, URL trực tiếp và Stalker, quyền truy cập là một phần của chính địa chỉ (URL danh sách phát hoặc địa chỉ MAC) và do đó đi theo.

Sau khi ngắt kết nối, tệp đồng bộ vẫn ở trong nơi lưu trữ của bạn cho đến khi bạn xóa nó (iCloud: Cài đặt → tên của bạn → iCloud → phần quản lý dung lượng tài khoản iCloud; Google Drive: trong phần cài đặt của Google Drive, mục quản lý ứng dụng, xóa dữ liệu ứng dụng ẩn; OneDrive: xóa thư mục của ứng dụng; WebDAV: xóa tệp trên máy chủ của bạn).

Cơ sở pháp lý là sự đồng ý của bạn (Điều 6(1)(a) GDPR), được đưa ra bằng cách kết nối và rút lại bằng cách ngắt kết nối. Áp dụng các chính sách quyền riêng tư của Apple (https://www.apple.com/legal/privacy), Google (https://policies.google.com/privacy) và Microsoft (https://privacy.microsoft.com/privacystatement), hoặc các điều khoản của bên vận hành máy chủ WebDAV của bạn.

Đồng bộ trong mạng gia đình (LAN)

Bổ sung hoặc thay thế, các thiết bị đồng bộ trực tiếp trên mạng cục bộ của bạn – kể cả các TV không có đồng bộ đám mây. Tính năng này cũng tắt theo mặc định: bạn ghép nối các thiết bị một lần bằng mã PIN sáu chữ số, sau đó chúng trao đổi dữ liệu trực tiếp, mã hóa đầu cuối; khóa chỉ tồn tại trên các thiết bị của bạn. Vì không có nơi lưu trữ của bên thứ ba nào tham gia, mật khẩu được đưa vào ở đây. Không máy chủ, không kết nối internet, không bên thứ ba. Cơ sở pháp lý là sự đồng ý của bạn (Điều 6(1)(a) GDPR), được rút lại bằng cách hủy ghép nối hoặc tắt tính năng.

11. Tổng quan về các bên nhận dữ liệu

12. Quyền của bạn

Theo GDPR, bạn có quyền truy cập, chỉnh sửa, xóa, hạn chế xử lý, di chuyển dữ liệu và phản đối, cũng như quyền khiếu nại với một cơ quan giám sát về bảo vệ dữ liệu. Liên hệ support@tunv.io. Bạn có thể rút lại các sự đồng ý bất cứ lúc nào, có hiệu lực cho tương lai, trực tiếp trong phần cài đặt; bạn tự xóa dữ liệu cục bộ trong phần cài đặt hoặc bằng cách gỡ cài đặt.

Quyền phản đối (Điều 21 GDPR). Khi chúng tôi xử lý dữ liệu dựa trên lợi ích hợp pháp của mình (Mục 3, 4.1, 8 và 9), bạn có thể phản đối bất cứ lúc nào vì những lý do liên quan đến tình huống cụ thể của bạn – bằng email tới support@tunv.io. Với việc tra cứu mốc bỏ qua được chia sẻ, công tắc "Hiện mốc bỏ qua được chia sẻ" là đủ.

Dữ liệu chúng tôi không thể quy cho bạn (Điều 11 GDPR). Các báo cáo lỗi tự động (Mục 7) và các mốc bỏ qua được chia sẻ (Mục 8) cố ý không mang mã định danh nào cho phép chúng tôi quy chúng cho một người hay một thiết bị. Chúng tôi không thể xác định bạn ở đó, và trong chừng mực đó các quyền theo Điều 15 đến 20 GDPR không được áp dụng – trừ khi bạn cung cấp thông tin bổ sung cho phép quy gán (Điều 11(2) GDPR). Quyền rút lại sự đồng ý và quyền khiếu nại của bạn không bị ảnh hưởng. Khác với các trường hợp sau:

• báo cáo sự cố do chính bạn gửi: với mã tham chiếu, chúng tôi tìm và xóa báo cáo đó (Mục 7.1).
• ghép nối thiết bị: ở đó chúng tôi cũng không lưu tên và không lưu tài khoản, nhưng bạn thấy toàn bộ bản ghi về hộ gia đình của mình trong Cài đặt → Premium và tự xóa các mục ở đó (Mục 5.1).

13. Thay đổi

Chúng tôi cập nhật chính sách này khi ứng dụng thay đổi. Phiên bản hiện hành có tại https://tunv.io/privacy-policy và trong ứng dụng tại Cài đặt → Giới thiệu → Chính sách quyền riêng tư.

---

Trang web này: thống kê lượt truy cập

Phần này chỉ áp dụng cho trang web tunv.io, không áp dụng cho ứng dụng. Bản thân ứng dụng không chứa thống kê trang web; những gì ứng dụng xử lý được mô tả ở trên.

Chúng tôi đếm lượt truy cập trang web bằng Umami, một phần mềm thống kê do chính chúng tôi vận hành trên máy chủ riêng (stats.tunv.io). Không có nhà cung cấp dịch vụ nào nhận dữ liệu này.

• Những gì được đếm: trang được truy cập, trang dẫn bạn đến (referrer), trình duyệt, hệ điều hành, loại thiết bị, kích thước màn hình, ngôn ngữ, quốc gia (suy ra từ địa chỉ IP) và các lượt nhấp vào nút tải xuống (Google Play, APK).
• Những gì không xảy ra: không có cookie, không có mục nào trong bộ nhớ của thiết bị bạn, không lưu địa chỉ IP của bạn, không theo dõi trên nhiều trang web, không chuyển cho bên thứ ba. Chúng tôi tôn trọng cài đặt "Do Not Track" trong trình duyệt của bạn.
• Cơ sở pháp lý: lợi ích hợp pháp của chúng tôi (Điều 6(1)(f) GDPR) trong việc hiểu cách trang web được sử dụng và cải thiện trang web. Vì không liên quan đến cookie hay bộ nhớ của thiết bị, nên không cần sự đồng ý.
• Quyền phản đối của bạn: bạn có thể phản đối việc phân tích này bất cứ lúc nào – hãy viết cho chúng tôi theo thông tin liên hệ trong thông tin pháp lý, hoặc bật "Do Not Track" trong trình duyệt của bạn.
• Lưu giữ: dữ liệu bị xóa ngay khi không còn cần thiết cho mục đích này.