Chính sách quyền riêng tư
Cập nhật lần cuối: 25/09/2026
Chính sách này giải thích Broma (“chúng tôi”) thu thập gì khi bạn dùng bromaapp.com, app desktop Broma và các dịch vụ cloud của Broma, dùng vào việc gì, và bạn có những lựa chọn nào. Nội dung mô tả đúng những gì phần mềm của chúng tôi đang làm — khi phần mềm thay đổi, trang này thay đổi theo.
Tài khoản của bạn
Bạn cần một tài khoản để dùng Broma. Khi đăng ký bằng email, chúng tôi thu thập địa chỉ email, tên (không bắt buộc) và mật khẩu — mật khẩu chỉ được lưu dưới dạng hash một chiều. Cho tới khi bạn nhập mã 6 số gửi qua email, thông tin đăng ký được giữ tạm 10 phút rồi bị huỷ.
Nếu bạn tiếp tục bằng Google, Google chia sẻ với chúng tôi tên, địa chỉ email và ID tài khoản Google của bạn. Chúng tôi không lưu ảnh đại diện Google của bạn.
Chúng tôi cũng lưu gói bạn đang dùng, ngày bắt đầu, ngày hết hạn và lịch sử thay đổi gói.
App desktop
Khi bạn đăng nhập, app đăng ký máy tính của bạn bằng một device ID ngẫu nhiên do app tự tạo (không bao giờ suy ra từ phần cứng), kèm tên máy (mặc định là hostname), hệ điều hành và phiên bản app; chúng tôi ghi lại lần cuối thiết bị hoạt động. Chúng tôi cũng ghi lần đầu và lần gần nhất bạn dùng app desktop, và số khung giờ khác nhau mà bạn đã dùng app.
Flow, lịch sử chạy, cài đặt và mọi profile bạn không đồng bộ đều nằm trên máy bạn.
Nếu bạn dùng AI agent, app gửi prompt và những gì agent làm việc cùng — ảnh chụp màn hình, nội dung chữ và cấu trúc của trang đang được tự động hoá — thẳng tới AI provider mà bạn cấu hình bằng API key của mình. Dữ liệu này không đi qua server của Broma, và chính sách quyền riêng tư của provider đó được áp dụng. API key được lưu mã hoá trên máy bạn.
Proxy
Proxy bạn thêm vào proxy pool — host, port, username và mật khẩu — được đồng bộ lên server của chúng tôi để dùng được trên mọi máy bạn đăng nhập. Việc này áp dụng cho mọi tài khoản đã đăng nhập, ở mọi gói kể cả Free. Proxy bạn nhập thẳng vào một profile cũng được lưu lên server sau khi kiểm tra proxy thành công.
Username và mật khẩu proxy được lưu trên server đúng như bạn nhập, không mã hoá thêm. Xoá một proxy sẽ gỡ nó khỏi tài khoản của bạn, nhưng hiện tại bản ghi — gồm cả thông tin đăng nhập — vẫn được giữ trên server.
Khi bạn kiểm tra proxy, app gọi tới ipwho.is qua chính proxy đó để biết IP và vị trí đầu ra của proxy.
Cloud sync và team
Cloud sync có ở các gói trả phí và được bật riêng cho từng profile. Với mỗi profile bạn đồng bộ, app tải lên một bản nén dữ liệu trình duyệt của profile đó: cookie, thông tin đăng nhập đã lưu (username và mật khẩu lưu trong profile), dữ liệu tự điền, lịch sử, bookmark, local storage, IndexedDB, dữ liệu extension và tuỳ chọn trình duyệt, cùng ID, tên, hệ điều hành và phiên bản trình duyệt của profile.
Bản nén được truyền qua HTTPS và lưu dưới dạng file zip trên Cloudflare R2. App không mã hoá chúng trước khi tải lên, nên ai truy cập được kho lưu trữ đó đều đọc được — chỉ đồng bộ những profile bạn chấp nhận để trên cloud.
Trong một team, chủ team và admin truy cập được mọi profile đã đồng bộ vào team; member và viewer truy cập được những profile được chia sẻ cho họ. Khi bạn mời ai đó, chúng tôi lưu địa chỉ email được mời; lời mời hết hạn sau 14 ngày.
Thanh toán và giới thiệu
Khi bạn mua gói, chúng tôi lưu đơn hàng: gói, kỳ hạn, số tiền, mã đơn, trạng thái và thời điểm.
Bạn thanh toán bằng chuyển khoản qua VietQR. Ảnh QR do VietQR (img.vietqr.io) tạo và được trình duyệt của bạn tải về. Casso — dịch vụ đối soát ngân hàng — báo cho chúng tôi các giao dịch chuyển vào tài khoản ngân hàng của chúng tôi, và chúng tôi lưu chi tiết giao dịch mà Casso gửi, gồm tên, số tài khoản và ngân hàng của người chuyển. Casso báo mọi giao dịch vào tài khoản đó, nên các chi tiết này được lưu cả với giao dịch không liên quan tới đơn nào. Chúng tôi không bao giờ nhận thông tin thẻ.
Nếu bạn đăng ký qua link giới thiệu, chúng tôi ghi lại ai đã giới thiệu bạn và địa chỉ IP lúc bạn đăng ký, để chống gian lận; mã trong link được giữ trong cookie 30 ngày. Nếu bạn tham gia chương trình giới thiệu, chúng tôi lưu tên hiển thị, ảnh đại diện và thông tin ngân hàng bạn cung cấp để chi trả hoa hồng, cùng phiên bản và thời điểm bạn đồng ý điều khoản giới thiệu.
Nếu bạn mua hoặc bán trên store trong app, chúng tôi lưu giao dịch mua, thông tin ngân hàng nhận tiền của người bán, và nhật ký tải xuống (IP đã được hash, user agent và device ID) trong 180 ngày.
Báo cáo lỗi và chẩn đoán
App desktop gửi báo cáo crash và log chẩn đoán tới Sentry và Better Stack để chúng tôi tìm và sửa lỗi. Chúng gồm chi tiết lỗi, phiên bản và kênh cập nhật của app, device ID, cùng ID tài khoản và địa chỉ email của bạn. Log chẩn đoán mô tả app đang làm gì — ví dụ host và port của proxy mà một profile được mở kèm — và không được thiết kế để chứa nội dung profile, cookie hay mật khẩu.
Tính năng này bật sẵn và có thể tắt trong Settings của app. Crash xảy ra lúc app đang khởi động hoặc lúc bạn đang đăng nhập vẫn được gửi, vì khi đó lựa chọn của bạn chưa được tải.
Cookie và bộ nhớ trình duyệt trên website
bromaapp.com được phục vụ qua Cloudflare. Ở trang đăng nhập và đăng ký, nút “Tiếp tục với Google” tải Google Identity Services từ accounts.google.com, dịch vụ này có thể đặt cookie riêng của Google. Bản thân website dùng các cookie và bộ nhớ trình duyệt sau:
- broma_at — giữ phiên đăng nhập; hết hạn sau 15 phút.
- broma_rt — gia hạn phiên đăng nhập; hết hạn sau 30 ngày.
- broma_ref — mã giới thiệu từ link giới thiệu; hết hạn sau 30 ngày.
- i18n_redirected — ghi nhớ ngôn ngữ; hết hạn sau 1 năm.
- broma-theme (local storage) — ghi nhớ giao diện sáng hoặc tối.
- broma_order_key (session storage) — chống tạo trùng đơn lúc thanh toán; tự xoá khi bạn đóng tab.
- _ga và _ga_XXXXXXXXXX — cookie của Google Analytics, mô tả bên dưới; hết hạn sau 2 năm.
Google Analytics
Chúng tôi dùng Google Analytics 4 trên bromaapp.com để hiểu website được dùng thế nào: trang nào được xem, khách đến từ đâu, và các tương tác như cuộn trang, bấm link ra ngoài và tải file. Google thu thập thông tin thiết bị, trình duyệt và suy ra vị trí gần đúng từ địa chỉ IP; Google Analytics không ghi lại hay lưu địa chỉ IP.
Chúng tôi gửi cho Google địa chỉ trang không kèm query string, trừ các tham số chiến dịch (thẻ utm_ và ID click quảng cáo), nên mã đăng nhập, mã đơn và mã giới thiệu trên URL không bị gửi đi. Google Analytics chỉ chạy trên bromaapp.com và www.bromaapp.com.
Bạn có thể chặn các cookie này trong trình duyệt hoặc dùng tiện ích chặn của Google:
Log máy chủ
Mỗi request tới API của chúng tôi được ghi log kèm địa chỉ IP của bạn, đường dẫn được gọi (không kèm query string), mã phản hồi và thời gian xử lý. Log này, cùng log chẩn đoán của app desktop, được lưu tại Better Stack. Chúng tôi dùng chúng để giữ dịch vụ chạy ổn định và điều tra hành vi lạm dụng.
Chúng tôi giữ dữ liệu bao lâu
- Đăng ký chưa xác nhận: 10 phút.
- Tài khoản, gói và thiết bị: trong suốt thời gian tài khoản tồn tại. Thiết bị bạn gỡ được đánh dấu là đã thu hồi, không bị xoá.
- Profile đã đồng bộ: số phiên bản mà gói của bạn cho phép. Khi bạn xoá một profile đã đồng bộ, file của nó bị xoá khỏi kho lưu trữ trong khoảng một giờ. Nếu gói trả phí kết thúc, chúng tôi giữ phiên bản mới nhất của mỗi profile đã đồng bộ để bạn tải lại được.
- Đơn hàng, thanh toán và chi trả: giữ cho mục đích kế toán; không tự động xoá.
- Lời mời vào team: hết hạn sau 14 ngày; bản ghi lời mời vẫn được giữ.
- Proxy: giữ cho tới khi bạn xoá — và như đã nói ở trên, bản ghi proxy đã xoá hiện vẫn được giữ.
- Nhật ký tải xuống của store trong app: 180 ngày.
- Log: giữ trong thời gian giới hạn để xử lý sự cố và bảo mật.
- Cookie: như liệt kê ở phần Cookie và bộ nhớ trình duyệt trên website.
Lựa chọn và quyền của bạn
Bạn có thể tắt cloud sync cho bất kỳ profile nào, tắt báo cáo lỗi trong Settings của app, và chặn hoặc xoá cookie trong trình duyệt.
Bạn có thể yêu cầu chúng tôi cung cấp bản sao dữ liệu của bạn, sửa dữ liệu, hoặc xoá tài khoản cùng dữ liệu của nó. Hiện chưa có chức năng tự xoá, nên hãy gửi email tới privacy@bromaapp.com và chúng tôi sẽ xử lý. Bạn cũng có thể rút lại sự đồng ý hoặc phản đối việc xử lý dữ liệu trong phạm vi pháp luật cho phép. Một số bản ghi, như bản ghi thanh toán, có thể phải được giữ lại để đáp ứng nghĩa vụ pháp lý.
Bảo mật
Mọi kết nối giữa app, website và máy chủ của chúng tôi đều dùng HTTPS. Token truy cập hết hạn sau 15 phút, và app desktop lưu phiên đăng nhập cùng API key AI ở dạng mã hoá trên máy bạn.
Bản nén profile đã đồng bộ và thông tin đăng nhập proxy không được app mã hoá trước khi tới kho lưu trữ của chúng tôi. Không hệ thống nào an toàn tuyệt đối; nếu phát hiện sự cố rò rỉ ảnh hưởng tới dữ liệu của bạn, chúng tôi sẽ thông báo cho bạn theo quy định của pháp luật.
Trẻ em
Broma không dành cho trẻ em dưới 16 tuổi, và chúng tôi không cố ý thu thập dữ liệu của trẻ em.
Thay đổi chính sách
Khi cách chúng tôi xử lý dữ liệu thay đổi, chúng tôi cập nhật trang này và ngày ở đầu trang. Với thay đổi quan trọng, chúng tôi sẽ thông báo thêm trên website hoặc trong app.
Liên hệ
Mọi câu hỏi hay yêu cầu về quyền riêng tư, hãy gửi email cho chúng tôi: