1. Giới Thiệu
Chính sách này áp dụng cho Prompt to Image GPT Automation của Extension Việt Nam. Chính sách mô tả dữ liệu cục bộ, cách tác vụ tương tác với ChatGPT và Google Drive, cùng thông tin cần thiết cho tài khoản, gói cước và hạn mức trên máy chủ Extension Việt Nam.
2. Dữ Liệu Chúng Tôi Thu Thập và Lưu Trữ Tại Máy Chủ
Để quản lý tài khoản, cấp phép bản quyền và kiểm soát hạn mức lượt chạy tuân thủ chuẩn xác biểu mẫu Data Privacy Practices của Chrome Web Store Developer Dashboard, Backend API tại api.extensionvie.com xử lý các nhóm dữ liệu sau:
- Địa chỉ Email: Được sử dụng làm định danh tài khoản để đăng nhập, gửi mã xác thực hoặc hỗ trợ kích hoạt bản quyền.
- Mật khẩu Extension: API nhận mật khẩu qua HTTPS khi xác thực và lưu giá trị đã băm PBKDF2-SHA256 với salt ngẫu nhiên. Máy chủ dùng pepper nếu được cấu hình.
- Mã định danh cài đặt (Install ID): Mã ngẫu nhiên dùng để theo dõi hạn mức lượt chạy theo thiết bị.
- Phiên bản tiện ích (
clientVersion): Chuỗi phiên bản tiện ích đang chạy trên trình duyệt được gửi kèm trong các yêu cầu API để đảm bảo tính tương thích của hệ thống, an toàn bảo mật và hỗ trợ kỹ thuật. - Hash địa chỉ IP tạm thời: Địa chỉ IP của yêu cầu mạng được băm một chiều (hash) tạm thời trong bộ nhớ đệm phục vụ cơ chế giới hạn tần suất (rate-limiting) và ngăn chặn hành vi gian lận hoặc lạm dụng đăng ký/cài đặt; hệ thống không lưu trữ địa chỉ IP thô vĩnh viễn.
- Số lượt chạy hàng ngày (Daily Usage Count): Chỉ số đếm lượt chạy tự động của Extension để thực thi hạn mức Free mặc định 10 lượt/ngày. Hạn mức tạo ảnh của tài khoản ChatGPT là riêng biệt.
- Lịch sử đơn hàng thanh toán VietQR (Orders): Mã đơn hàng (EVxxxxxx), gói cước đã chọn (PRO_1M, PRO_3M, PRO_6M, PRO_12M), số tiền giao dịch, mã tham chiếu ngân hàng, trạng thái thanh toán và ngày hết hạn bản quyền Pro.
- Vòng đời mã xác thực OTP trong hàng đợi Outbox: Khi người dùng đăng ký hoặc xác minh email, mã OTP chỉ được lưu dưới dạng giá trị băm mật mã (hash) trong bảng xác thực (
email_verifications) với thời gian hiệu lực giới hạn. Bản tin email chứa mã gửi đi được đưa tạm thời vào hàng đợi Outbox và sẽ tự động bị xóa sạch hoàn toàn ngay sau khi gửi thành công qua nhà cung cấp dịch vụ gửi thư (Resend hoặc Notifier/SMTP), đảm bảo không lưu trữ nội dung email hay mã OTP thô lâu dài trên máy chủ.
Đối soát thanh toán có thể xử lý chứng cứ tối thiểu được rút trích từ email ngân hàng của người bán: mã đơn, số tiền, thời gian và định danh chứng cứ. Extension không xin quyền đọc Gmail của khách. Không lưu toàn bộ thư, số dư hoặc nội dung giao dịch cá nhân không liên quan. Chứng cứ chi tiết của các sự kiện đã xử lý được xóa sau 90 ngày theo lịch dọn dữ liệu; giữ định danh tối thiểu, mã băm và liên kết đơn/quyền để chống xử lý lặp. Sự kiện còn chờ xử lý được giữ để đối soát.
3. Nội Dung Sáng Tạo & Dịch Vụ Bên Thứ Ba
- Prompt và kịch bản: Prompt, danh sách task và Skill.md có thể được lưu cục bộ trong trình duyệt (bao gồm IndexedDB). Khi chạy task, prompt được đưa vào giao diện ChatGPT trên tab của bạn. Máy chủ Extension Việt Nam không nhận nội dung này.
- Ảnh kết quả & xuất tệp: Tiện ích thu thập ảnh từ ChatGPT và lưu bản sao cục bộ trong IndexedDB. Bạn có thể bấm tải từng ảnh, tải trọn bộ lô ảnh hoặc tải file nén ZIP và xuất bảng tính kết quả CSV (RESULTS.csv) qua Chrome Downloads API. Máy chủ Extension Việt Nam không làm trung gian tải hoặc lưu ảnh.
- Nhập Skill từ Google Drive (Không dùng OAuth): Tiện ích không yêu cầu quyền Google OAuth của người dùng và không hỗ trợ đồng bộ hai chiều lên Google Sheets hay Google Drive. Khi bạn chọn nhập Skill từ Drive, trình duyệt chỉ gửi yêu cầu tải ẩn danh (
credentials: 'omit') tới liên kết tệp chia sẻ công khai do bạn cung cấp. Thư viện Skill được sao lưu và phục hồi thông qua tệp JSON cục bộ trên máy. - Tài khoản ChatGPT: Tiện ích dùng phiên ChatGPT đã đăng nhập trong trình duyệt; máy chủ Extension Việt Nam không nhận mật khẩu hoặc cookie phiên ChatGPT của bạn.
Tiện ích miễn phí trên website
Công cụ nâng ảnh và tạo giọng đọc xử lý ảnh và văn bản trong trình duyệt. Dữ liệu nhập và kết quả ở trong phiên đang mở. Bạn có thể tải một bản kết quả về máy. Khi bạn chạy công cụ tạo giọng đọc, trình duyệt tải bộ máy eSpeak NG từ jsDelivr. Yêu cầu tải này chỉ lấy tài nguyên, không gửi văn bản hay âm thanh.
4. Quyền Truy Cập Của Tiện Ích Chrome
Gói Extension hiện tại khai báo các quyền trình duyệt sau:
storage: Lưu trữ cài đặt của bạn, hàng đợi prompt hiện tại và token xác thực phiên cục bộ.tabs: Nhận diện và điều phối tab ChatGPT để thực hiện task.scripting: Cho phép tiện ích chèn đoạn mã điều khiển (Content Script) trên giao diện web ChatGPT theo lệnh bạn ấn khởi chạy. Đoạn mã này chỉ tương tác cục bộ trên phiên trình duyệt của bạn nhằm hỗ trợ tự động hóa các thao tác giao diện cá nhân, tuyệt đối không trích xuất dữ liệu trái phép và tuân thủ các quy định bảo vệ người dùng của Chrome Web Store.downloads: Lưu ảnh về máy theo tùy chọn tải tự động hoặc khi bạn yêu cầu tải ảnh.sidePanel: Hiển thị giao diện điều khiển nằm bên cạnh tab trình duyệt giúp bạn theo dõi tiến trình trực quan.clipboardWrite: Cho phép sao chép nội dung bằng thao tác của bạn trong Side Panel.
Các host được khai báo trong manifest gồm chatgpt.com (phục vụ Content Script tương tác cục bộ với giao diện ChatGPT Web theo tác vụ do người dùng chủ động khởi chạy), files.oaiusercontent.com (lấy bản sao ảnh kết quả do chính phiên người dùng tạo ra để lưu trên máy), api.extensionvie.com (xác thực và cấp phép bản quyền Pro), drive.google.com và drive.usercontent.google.com (tải tệp Skill công khai ở chế độ không kèm định danh credentials: 'omit', không dùng tài khoản OAuth và không đồng bộ Google Sheets hay Google Drive).
5. Bảo Mật Thông Tin & Ký Số Bản Quyền
Mọi kết nối giữa trình duyệt và máy chủ Backend API của chúng tôi đều được mã hóa bằng giao thức HTTPS/TLS hiện đại. Giấy phép bản quyền gói Pro được cấp phát dưới dạng chứng chỉ ký số mật mã học ECDSA P-256 (SHA-256). Nhờ đó, tiện ích có thể xác minh bản quyền ngoại tuyến an toàn mà không cần gửi dữ liệu liên tục về máy chủ.
6. Quyền Của Người Dùng & Xóa Dữ Liệu
Bạn có toàn quyền kiểm soát dữ liệu cá nhân của mình:
- Đổi mật khẩu: Thực hiện bất kỳ lúc nào ngay trong phần cài đặt của tiện ích.
- Xóa tài khoản: Liên hệ hỗ trợ qua email bên dưới để được hướng dẫn xác minh yêu cầu. API
DELETE /v1/meyêu cầu phiên Extension hợp lệ và xác nhận bằng mật khẩu. Hồ sơ tài khoản được xóa, còn bản ghi đơn hàng được giữ với liên kết tài khoản đã ẩn danh.
7. Thông Tin Liên Hệ Về Quyền Riêng Tư
Nếu bạn có bất kỳ câu hỏi, thắc mắc hoặc khiếu nại nào liên quan đến Chính sách Quyền riêng tư hoặc quy trình bảo mật dữ liệu, xin vui lòng gửi email cho đội ngũ bảo mật của chúng tôi tại:
Email: [email protected]
1. Introduction
This policy applies to Prompt to Image GPT Automation by Extension Vietnam. It explains local data, how tasks interact with ChatGPT and Google Drive, and the information our servers process for accounts, plans, and run allowances.
2. Data We Collect and Store on Our Servers
To manage accounts, license entitlements, and Extension run allowances in full compliance with Chrome Web Store Data Privacy Practices, our backend API at api.extensionvie.com processes these specific categories of data:
- Email address: A Gmail address identifies your account and is used for sign-in, verification, and license support.
- Extension password: The API receives your password over HTTPS for authentication and stores a PBKDF2-SHA256 hash with a random salt. The server uses a pepper if configured.
- Installation Identifier (Install ID): A random identifier used to track the Extension run allowance for a device.
- Extension Client Version (
clientVersion): The version string of the installed extension sent with API requests to ensure compatibility, security integrity, and technical support. - Temporary IP Hash: Request IP addresses are temporarily one-way hashed in volatile cache to enforce rate limits and prevent automated registration/installation abuse; raw IP addresses are not permanently retained.
- Daily Run Count: A count of automated Extension runs used to enforce the default Free allowance of 10 runs/day. Your ChatGPT account's image limit is separate.
- VietQR Order & Subscription Records: Order reference code (EVxxxxxx), selected plan (PRO_1M, PRO_3M, PRO_6M, PRO_12M), transaction amount, bank payment reference, verification status, and Pro license expiration timestamps.
- OTP Verification Code Lifecycle in Outbox Queue: For email verification, OTP codes are stored strictly as cryptographic hashes in the verification table (
email_verifications) with a limited time-to-live. Email messages containing the OTP pass through a temporary Outbox dispatch queue and are automatically and permanently purged immediately upon successful delivery via email providers (Resend or Notifier/SMTP), ensuring no plaintext OTP codes or email bodies linger on our servers.
Payment reconciliation may process minimal evidence extracted from the seller's bank emails: order reference, amount, time and evidence identifiers. The Extension does not request access to customers' Gmail. Full emails, balances and unrelated personal transaction details are not stored. Detailed evidence for processed events is redacted after 90 days by scheduled cleanup. Minimal identifiers, hashes and order/grant links remain to prevent replay. Pending events remain for reconciliation.
3. Creative Content & Third-Party Services
- Prompts and scripts: Prompts, task lists, and Skill.md files may be stored locally in your browser, including IndexedDB. When you run a task, its prompt is entered into the ChatGPT interface in your tab. Extension Vietnam servers do not receive that content.
- Result images & file export: The Extension collects images from ChatGPT and stores a local copy in IndexedDB. You can select individual or bulk download, export a compressed ZIP archive of all result images, or export a CSV results report (RESULTS.csv) through Chrome's Downloads API. Extension Vietnam servers do not relay or store the images.
- Google Drive Skill import (No OAuth): The Extension does not request user Google OAuth access and does not perform two-way synchronization with Google Sheets or Google Drive. When you import a Skill from Drive, your browser sends an unauthenticated request (
credentials: 'omit') to the publicly shared link you provide. Skill libraries are backed up and restored via local JSON files. - ChatGPT account: The Extension uses your existing ChatGPT browser session; Extension Vietnam servers do not receive your ChatGPT password or session cookies.
Free tools on the website
The image upscaler and text-to-voice tool process your image and text in your browser. Your input and results stay in the open session. You can download a copy of your results to your device. When you run text to voice, your browser downloads the eSpeak NG engine from jsDelivr. That request retrieves engine resources and does not send your text or audio.
4. Browser Permissions Justification
The current Extension package declares these browser permissions:
storage: To save local configuration preferences, active prompt queues, and session authentication tokens.tabs: To identify and coordinate ChatGPT tabs for tasks.scripting: To inject automation helper routines (Content Script) into the ChatGPT web client strictly within your active browser session upon user request, facilitating local UI automation while preserving privacy and adhering to Chrome Web Store user data policies.downloads: To save result images according to your automatic download preference or when you request a download.sidePanel: To provide a clean, non-intrusive companion user interface beside your active browser tab.clipboardWrite: To copy content when you use a copy action in the Side Panel.
The manifest declares host access for chatgpt.com (for local Content Script interaction on ChatGPT Web per user-directed tasks), files.oaiusercontent.com (to retrieve and save local copies of generated images from your session to your device), api.extensionvie.com (authentication and Pro licensing), drive.google.com, and drive.usercontent.google.com (public Skill file downloads using uncredentialed requests credentials: 'omit' without OAuth, and without Google Sheets or Google Drive synchronization).
5. Data Security and Cryptographic Entitlements
All communications between your browser and our backend API are secured using modern HTTPS/TLS protocols. Pro license entitlements are cryptographically signed using WebCrypto ECDSA P-256 (SHA-256). This enables the extension to verify license validity autonomously and continue functioning even during intermittent offline periods.
6. User Rights & Data Deletion
You possess full authority over your personal information:
- Password Update: Modify your password at any time via the extension settings.
- Account deletion: Contact support at the email below for help verifying a deletion request. The
DELETE /v1/meAPI requires a valid Extension session and password confirmation. The account record is deleted. Order records are retained with an anonymized account link.
7. Contacting Us
For any inquiries, questions, or requests concerning this Privacy Policy or your data, please contact our dedicated privacy and security team at:
Email: [email protected]