🔒 Chính Sách Bảo Mật AMBA
Cập nhật lần cuối: 13/10/2026
Liên hệ: [email protected]
AMBA là ứng dụng desktop ưu tiên cục bộ (local-first): dự án, file và các phép phân tích của bạn chạy ngay trên máy tính của bạn. Tuy nhiên, AMBA không phải là ứng dụng hoàn toàn không kết nối mạng. Một số tính năng gửi dữ liệu qua Internet — đến nhà cung cấp AI mà bạn chọn, và đến một số dịch vụ đám mây do AMBA vận hành (trên Cloudflare) cho bản dùng thử miễn phí, góp ý, báo cáo sự cố, kiểm tra cập nhật và danh mục agent.
Trang này liệt kê đầy đủ các luồng dữ liệu đó: mỗi luồng gửi gì và gửi đến đâu.
1. Dữ liệu nằm trên máy của bạn
- File dự án: file nguồn trong Nguồn (
sources/), file làm việc và thành phẩm trong phần còn lại của thư mục dự án (ví dụworkings/vàreports/) được đọc và ghi trên máy tính của bạn. AMBA không tải nguyên file lên máy chủ của AMBA. - Cơ sở dữ liệu ứng dụng: dự án, hội thoại, lịch sử chạy, cài đặt và bản sao cục bộ của các góp ý bạn đã gửi được lưu trong cơ sở dữ liệu SQLite cục bộ. Các bảng phân tích tạo ra trong quá trình xử lý nằm trong thư mục dự án (ví dụ
workings/.analytics.db). Bạn có thể xem hoặc xóa chúng bất cứ lúc nào. - Bộ nhớ: cơ sở dữ liệu ứng dụng còn lưu các ghi chú tri thức bạn lưu (hoặc Agent lưu trong lúc làm việc) và các đoạn trích có thể tìm kiếm của tài liệu do kết nối đưa vào dự án. Mỗi mục thuộc về một dự án — và thuộc về một Agent, trừ khi được chia sẻ cho cả dự án — và Agent không bao giờ thấy bộ nhớ của dự án khác. Hội thoại của bạn không được sao chép vào bộ nhớ. Khi nâng cấp từ phiên bản cũ, các hội thoại mà phiên bản trước đã sao chép vào bộ nhớ được xuất một lần ra thư mục
~/.amba/exports/memory-<ngày>/(đã loại bỏ API key, token và số thẻ) rồi xóa khỏi bộ nhớ; thư mục này nằm trên máy của bạn và bạn có thể xóa nó. - Khóa API và thông tin đăng nhập kết nối: được lưu trong kho thông tin bảo mật của hệ điều hành (macOS Keychain, Windows Credential Manager, hoặc Secret Service API /
libsecrettrên Linux). Bản phát hành chính thức không lưu dự phòng dưới dạng văn bản thô hay trong cơ sở dữ liệu: nếu không có keychain, khóa sẽ không được lưu. Ngoài ra, các bản sao lưu do AMBA tạo ra không chứa khóa bí mật. Mỗi khóa chỉ được gửi đến đúng nhà cung cấp sở hữu khóa đó. - File sự cố: nếu AMBA gặp sự cố, một báo cáo sự cố đã được ẩn thông tin nhạy cảm sẽ được ghi cục bộ vào
~/.amba/last_crash.json. File này chỉ nằm trên máy bạn, trừ khi bạn đồng ý gửi (xem mục 2). - File scan và hình ảnh: chữ trong file PDF scan và trong hình ảnh (PNG, JPG, TIFF …) được nhận dạng ngay trên máy bạn bằng Apple Vision trên macOS, kết quả được lưu đệm trong thư mục
workings/.cache/ocr/của dự án. Bản thân hình ảnh không bao giờ được gửi tới nhà cung cấp AI hay tới AMBA; chỉ phần chữ đã nhận dạng có thể tới mô hình, như một phần của đoạn trích file ở mục 2, và chế độ che thông tin định danh áp dụng cho phần chữ đó. Trên Windows và Linux, AMBA chưa có tính năng nhận dạng chữ tích hợp: trang scan không có lớp chữ sẽ được báo cho tác tử là không đọc được, thay vì được gửi đi bất cứ đâu. - Không phân tích hành vi hay theo dõi quảng cáo: AMBA không dùng mã định danh quảng cáo, pixel theo dõi hay công cụ phân tích sử dụng để ghi lại bạn mở file nào hoặc chạy câu lệnh nào.
2. Dữ liệu nào được gửi đi và khi nào
| Luồng | Khi nào | Dữ liệu gửi đi | Nơi nhận | Thời gian lưu giữ |
|---|---|---|---|---|
| Yêu cầu AI (khóa của bạn, BYOK) | Bạn chạy tác vụ với nhà cung cấp bạn đã cấu hình | Câu lệnh, lịch sử hội thoại, và các đoạn trích file hoặc kết quả công cụ mà tác vụ cần, chỉ ở dạng văn bản (hình ảnh và ảnh chụp trang của file không bao giờ được gửi đi) | Gửi trực tiếp từ máy bạn đến nhà cung cấp bạn chọn (ví dụ OpenAI, Anthropic, Google, OpenRouter, một nền tảng đám mây, hoặc máy chủ cục bộ/tự vận hành) | Theo điều khoản API của nhà cung cấp đó; AMBA không nhận được gì |
| Dùng thử miễn phí (AMBA Cloud Trial) | Bạn chạy tác vụ với mô hình dùng thử tích hợp sẵn (dùng khi chưa cấu hình khóa API) | Câu lệnh, lịch sử hội thoại và các đoạn trích file mà tác vụ cần (chỉ văn bản, không có hình ảnh); một mã thiết bị ngẫu nhiên tạo ở lần dùng đầu tiên | Cloudflare Worker của AMBA (api.ambadesk.com), chuyển tiếp yêu cầu đến Google Gemini bằng khóa API của AMBA | AMBA không lưu nội dung câu lệnh hay phản hồi. Mã thiết bị được lưu cùng bộ đếm lượt chạy, bộ đếm token và thời điểm dùng đầu tiên/gần nhất, được tự động xóa sau 90 ngày không sử dụng. Giá trị băm (có salt) của địa chỉ IP được lưu để giới hạn tần suất và tự xóa sau khoảng 2 ngày. Google xử lý yêu cầu theo điều khoản Gemini API |
| Góp ý | Bạn nhấn Gửi trong hộp thoại Góp ý | Tiêu đề, nội dung và các bước tái hiện (sau khi tự động ẩn đường dẫn thư mục người dùng, địa chỉ email, số điện thoại, số CCCD/căn cước, cùng khóa API, token, mật khẩu và khóa riêng tư), phân loại, điểm đánh giá, địa chỉ liên hệ (không bắt buộc, gửi trong một trường riêng, không nằm trong nội dung), ngữ cảnh lần chạy (playbook, chế độ, mô hình, công cụ lỗi, nội dung lỗi — không bắt buộc), phiên bản ứng dụng, hệ điều hành và kiến trúc CPU, kích thước cửa sổ nếu bật chẩn đoán | Cloudflare Worker của AMBA → lưu trong Cloudflare D1; có thể tạo issue trong trình theo dõi lỗi GitHub của AMBA (gồm nội dung, các bước, chẩn đoán và stack trace — không bao giờ chứa địa chỉ liên hệ của bạn); một thông báo ngắn (tiêu đề, phân loại, hệ điều hành, phiên bản) được gửi vào kênh Telegram/Discord của nhóm. Địa chỉ liên hệ chỉ được lưu trong D1 | Tự động xóa sau 180 ngày kể từ khi vấn đề được đánh dấu đã giải quyết hoặc đã đóng, và trong mọi trường hợp sau 365 ngày kể từ khi gửi. Issue GitHub được giữ như một phần lịch sử công khai của dự án. Giá trị băm (có salt) của địa chỉ IP được dùng để giới hạn tần suất và tự xóa sau khoảng 2 ngày |
| Báo cáo sự cố | Chỉ khi bạn đồng ý. Ở lần khởi động kế tiếp sau sự cố, AMBA hiển thị nội dung sẽ gửi và hỏi: Gửi, Không gửi hoặc Luôn gửi. Bạn có thể thay đổi bất kỳ lúc nào trong Cài đặt → Bảo mật & Két khóa → Báo cáo sự cố (Hỏi mỗi lần / Luôn gửi / Không bao giờ gửi) | Thông điệp lỗi, vị trí trong mã nguồn và stack trace (sau cùng bước ẩn thông tin), phiên bản ứng dụng, hệ điều hành và kiến trúc CPU. Sau một lần thoát đột ngột không ghi lại lỗi (ví dụ trình hiển thị web của hệ thống bị lỗi), chỉ gồm phiên bản ứng dụng, hệ điều hành, kiến trúc CPU và thời điểm phiên bắt đầu. Không có thông tin liên hệ; nội dung file và câu lệnh không được chủ động đưa vào, tuy nhiên thông điệp lỗi đôi khi có thể trích giá trị gây ra sự cố | Giống Góp ý (D1, issue GitHub, thông báo Telegram/Discord) | Giống Góp ý. File last_crash.json cục bộ được xóa sau khi bạn gửi hoặc từ chối |
| Kiểm tra cập nhật | Khi khởi động ứng dụng (nếu bật kiểm tra tự động) và khi bạn nhấn "Kiểm tra cập nhật" | Phiên bản hiện tại, nền tảng hệ điều hành và kiến trúc CPU; Cloudflare nhìn thấy địa chỉ IP của bạn như với mọi yêu cầu web | api.ambadesk.com/v1/update/… (Cloudflare); gói cập nhật được tải từ r2.ambadesk.com (Cloudflare R2) | AMBA không lưu các yêu cầu kiểm tra cập nhật. Cloudflare có thể lưu nhật ký truy cập tiêu chuẩn |
| Danh mục agent | Khi bạn mở hoặc làm mới danh mục mẫu và không dùng bản lưu đệm | Một yêu cầu tải xuống thông thường; không gửi dữ liệu dự án hay mã định danh | r2.ambadesk.com (Cloudflare R2) | AMBA không lưu. Cloudflare có thể lưu nhật ký truy cập tiêu chuẩn |
| Dịch vụ bạn kết nối | Chỉ khi bạn bật: tìm kiếm web, Google Drive, Telegram, Zalo, máy chủ MCP, định tuyến thử nghiệm | Truy vấn, file hoặc tin nhắn cần cho tích hợp đó, dùng tài khoản hoặc khóa của chính bạn | Gửi trực tiếp từ máy bạn đến dịch vụ đó | Theo điều khoản của dịch vụ đó |
Quy trình và "Gửi thử cho tôi". Tin nhắn của quy trình (lời nhắc, câu hỏi, báo cáo) đi qua bot Telegram của chính bạn, trực tiếp từ máy bạn tới Telegram, và chỉ tới các chat đã liệt kê khi bạn bật quy trình. Khi thử quy trình từng bước, không gì được gửi đi trừ khi bạn bấm Gửi thử cho tôi: khi đó một bản của tin nhắn, có nhãn [Thử], được gửi trực tiếp từ máy bạn tới Telegram qua bot của bạn và chỉ tới chat của chính bạn — không bao giờ tới nhóm của bạn. Lần gửi này được ghi trong Dữ liệu rời khỏi máy này với mục đích process_test và không được tính là một lần chạy.
AMBA không dùng tài liệu, câu lệnh hay góp ý của bạn để huấn luyện mô hình AI.
3. Bên xử lý dữ liệu thứ ba
| Bên xử lý | Vai trò |
|---|---|
| Cloudflare (Workers, D1, R2) | Vận hành api.ambadesk.com và r2.ambadesk.com; lưu góp ý, báo cáo sự cố, bộ đếm dùng thử và giới hạn tần suất theo IP đã băm; phân phối bản cập nhật và danh mục; nhìn thấy địa chỉ IP của bạn với các yêu cầu này |
| Google (Gemini API) | Tạo phản hồi cho bản dùng thử miễn phí, dùng khóa API của AMBA |
| GitHub | Lưu trữ trình theo dõi lỗi, nơi góp ý và báo cáo sự cố có thể được tạo thành issue |
| Telegram / Discord | Nhận thông báo nội bộ ngắn về báo cáo mới hoặc lặp lại |
| Nhà cung cấp AI bạn chọn | Xử lý yêu cầu khi bạn dùng khóa API của mình; AMBA không nằm trên đường truyền này |
4. Lựa chọn của bạn
- Dùng khóa API của riêng bạn (BYOK): khi đã cấu hình nhà cung cấp, yêu cầu được gửi trực tiếp từ máy bạn đến nhà cung cấp đó và không đi qua máy chủ của AMBA. Nếu không muốn yêu cầu dùng thử được chuyển tiếp qua AMBA và Google, hãy thêm khóa của bạn trước khi chạy tác vụ.
- Không gửi góp ý: góp ý chỉ được gửi khi bạn nhấn Gửi. Bạn có thể để trống ô liên hệ và tắt chẩn đoán. Tránh dán nội dung mật vào góp ý — việc ẩn thông tin là tự động nhưng dựa trên mẫu, không bao quát mọi trường hợp. Sau khi gửi, AMBA hiển thị mã tham chiếu do máy chủ cấp (ví dụ
AMBA-FB-3F2A9C1B); nếu không kết nối được máy chủ, AMBA cho biết góp ý mới chỉ được lưu trên máy bạn. - Kiểm tra cập nhật tự động: bạn có thể tắt trong Cài đặt; vẫn có thể kiểm tra thủ công.
- Báo cáo sự cố: không có gì được gửi nếu bạn không đồng ý. Chọn Hỏi mỗi lần (mặc định), Luôn gửi hoặc Không bao giờ gửi trong Cài đặt → Bảo mật & Két khóa → Báo cáo sự cố.
- Xem lại dữ liệu đã rời khỏi máy: Cấu hình Dự án → Quyền hạn & Bảo mật của mỗi dự án có mục Dữ liệu rời khỏi máy này, liệt kê mọi yêu cầu gửi ra ngoài (gọi mô hình AI, tìm kiếm web, máy chủ MCP từ xa, gửi kết quả, góp ý, báo cáo sự cố, kiểm tra cập nhật) kèm điểm đến, khu vực, dung lượng và những gì đã được che — không bao giờ lưu nội dung — và có thể xuất thành file bằng chứng vào thư mục
reports/compliance/của dự án. Nhật ký này nằm trên máy bạn và được giữ trong 365 ngày. - Che thông tin định danh trước khi gửi AI: trong Cấu hình Dự án → Quyền hạn & Bảo mật, bạn có thể bật chế độ che, thay email, số điện thoại, số CCCD, mã số thuế, số tài khoản và các từ khoá bạn liệt kê (như tên khách hàng) bằng mã thay thế trước khi gửi tới mô hình AI, rồi khôi phục giá trị thật ngay trên máy bạn. Mặc định tắt, nhận diện theo mẫu nên không bao quát tuyệt đối, và có thể làm giảm chất lượng câu trả lời khi tác vụ cần đúng giá trị gốc. Chế độ che bao phủ mọi thứ AMBA gửi tới mô hình, vì file chỉ được gửi ở dạng văn bản (xem File scan và hình ảnh ở mục 1).
- Dữ liệu cục bộ: bạn có thể xóa dự án, cơ sở dữ liệu cục bộ và thư mục
~/.amba/bất cứ lúc nào.
5. Liên hệ và yêu cầu xóa dữ liệu
Để hỏi chúng tôi đang lưu gì về bạn, hoặc yêu cầu xóa góp ý, báo cáo sự cố hay dữ liệu dùng thử, hãy gửi email đến [email protected]. Vui lòng kèm mã tham chiếu hiển thị sau khi gửi (ví dụ AMBA-FB-3F2A9C1B), địa chỉ liên hệ bạn đã dùng, hoặc thời điểm gửi và tiêu đề góp ý, để chúng tôi tìm đúng bản ghi. Địa chỉ này cũng tiếp nhận báo cáo lỗ hổng bảo mật và các câu hỏi khác về quyền riêng tư.
6. Thay đổi chính sách
Chúng tôi sẽ cập nhật trang này khi luồng dữ liệu của AMBA thay đổi, và thay đổi ngày ở đầu trang.
Cập nhật lần cuối: 13/10/2026.