Chính sách bảo mật — Aoi Chat

Ngày hiệu lực:2026-10-20

1. Giới thiệu

Aoi Chat (định danh gói Android vn.aoisora.chat, iOS vn.aoisora.chatapp; sau đây gọi là "Ứng dụng") là ứng dụng nhắn tin nội bộ doanh nghiệp, do Công ty TNHH Aura Orientalis ("Chúng tôi", "Nhà phát triển") phát triển và vận hành.

Ứng dụng không dành cho công chúng đăng ký tự do. Tài khoản do tổ chức sử dụng Ứng dụng cấp phát cho nhân viên; Ứng dụng không có chức năng tự đăng ký, không có chức năng tìm kiếm hay kết bạn với người ngoài tổ chức.

Chính sách này áp dụng cho:

Ứng dụng Android — phát hành trên Google Play
Ứng dụng iOS — phát hành qua App Store / TestFlight

Hai phiên bản dùng chung một mã nguồn và kết nối tới cùng một máy chủ. Chỗ khác nhau giữa hai nền tảng được ghi rõ ở Mục 3 và Mục 11.

Bản chat trên trình duyệt và ứng dụng quản lý công việc Aoi Sora có chính sách riêng tại aoisora.vn/privacy.

Bằng việc sử dụng Ứng dụng, bạn đồng ý với các điều khoản trong Chính sách bảo mật này.

2. Ứng dụng làm được những gì

Liệt kê đầy đủ các chức năng hiện có, để bạn biết dữ liệu nào phát sinh khi dùng:

2.1. Nhắn tin

Gửi và nhận tin nhắn văn bản trong hội thoại riêng (1-1), nhóm, kênh thông báo và kênh phòng ban
Nhắc tên đồng nghiệp trong nhóm bằng ký hiệu a-còng
Trả lời trích dẫn một tin nhắn cụ thể, và luồng trả lời (thread) tách riêng theo từng tin gốc
Thả cảm xúc lên tin nhắn; ghim tin quan trọng lên đầu hội thoại
Sửa tin đã gửi; thu hồi tin đã gửi
Sao chép nội dung tin nhắn vào bộ nhớ tạm của thiết bị
Chỉ báo "đang soạn tin" và số tin chưa đọc

2.2. Tệp và hình ảnh

Gửi ảnh chụp từ máy ảnh, hoặc ảnh và video có sẵn trong thư viện thiết bị
Gửi tệp tài liệu chọn từ trình quản lý tệp của thiết bị
Xem lại toàn bộ ảnh, video, tệp và liên kết đã trao đổi trong một hội thoại
Lưu ảnh nhận được vào thư viện ảnh của thiết bị
Tải tệp đính kèm về máy và mở bằng ứng dụng khác
Đặt ảnh đại diện cá nhân và ảnh đại diện nhóm

2.3. Quản lý hội thoại

Tạo nhóm, thêm và bớt thành viên, xem danh sách thành viên
Rời nhóm; giải tán nhóm; xoá hội thoại (chỉ tài khoản có quyền quản trị)
Ẩn một hội thoại khỏi danh sách — thao tác này chỉ lưu trên máy của bạn, không gửi lên máy chủ và không ảnh hưởng người khác
Tìm kiếm tin nhắn trong một hội thoại hoặc trên toàn bộ hội thoại bạn tham gia
Chuông thông báo cho các luồng trả lời bạn đang theo dõi

2.4. Trợ lý AI Sora-chan

Một hội thoại riêng với trợ lý ảo nội bộ để hỏi đáp về quy trình và công việc
Nội dung bạn gửi trong hội thoại này được xử lý bởi một mô hình ngôn ngữ của bên thứ ba — xem Mục 8, đây là điểm khác biệt quan trọng nhất so với hội thoại thường

2.5. Tiện ích trên thiết bị

Bong bóng chat nổi (chỉ Android, mặc định TẮT) — một bong bóng nhỏ nổi trên các ứng dụng khác, hiện số tin chưa đọc, chạm vào để mở Ứng dụng
Thông báo khi có tin nhắn mới, kèm rung theo cài đặt hệ thống
Gọi điện thoại cho đồng nghiệp — Ứng dụng chỉ chuyển số sang trình gọi điện của thiết bị, không tự thực hiện cuộc gọi và không có chức năng gọi thoại hay gọi video trong Ứng dụng
Mở liên kết trong tin nhắn bằng trình duyệt của thiết bị
Chọn màu giao diện trong 8 bảng màu; lựa chọn này chỉ lưu trên máy

3. Ứng dụng thao tác gì với thiết bị của bạn

Đây là danh sách đầy đủ các quyền có trong gói cài đặt Android, bao gồm cả những quyền do thư viện lập trình tự khai báo. Không có quyền nào ngoài bảng này.

3.1. Quyền Ứng dụng thực sự sử dụng

Quyền	Dùng để làm gì	Bắt buộc?	Rút lại ở đâu
`INTERNET`	Kết nối tới máy chủ để gửi và nhận tin nhắn	Bắt buộc	Không rút lại được (Ứng dụng không hoạt động ngoại tuyến)
`ACCESS_NETWORK_STATE` · `ACCESS_WIFI_STATE`	Biết thiết bị còn mạng hay không, để nối lại kết nối thời gian thực sau khi mất sóng. Ứng dụng chỉ đọc tên mạng Wi-Fi trong trường hợp nêu ở mục 16	Bắt buộc	Không áp dụng (quyền thường, không có hộp xin quyền)
`CAMERA`	Chụp ảnh để gửi trong tin nhắn hoặc đặt làm ảnh đại diện — chỉ chạy khi bạn tự bấm nút chụp	Tuỳ chọn	Cài đặt hệ điều hành → Ứng dụng → Quyền
`ACCESS_COARSE_LOCATION` · `ACCESS_FINE_LOCATION`	Chỉ trong trường hợp nêu ở mục 16: lấy toạ độ lúc bạn xác nhận vào/ra ca và để máy đọc được tên mạng Wi-Fi đang nối. Tài khoản không được công ty bật thì Ứng dụng không bao giờ xin quyền này. Ứng dụng không lấy vị trí khi chạy nền	Tuỳ chọn	Cài đặt hệ điều hành → Ứng dụng → Quyền, hoặc rút lại đồng ý ngay trong Ứng dụng (mục 16)
Không cần quyền — trình chọn ảnh của Android	Chọn ảnh hoặc video có sẵn trong máy để gửi. Ứng dụng mở trình chọn ảnh của hệ điều hành và chỉ nhận đúng tệp bạn chọn; Ứng dụng không có quyền đọc thư viện ảnh	Không áp dụng	Không có quyền để rút — mỗi lần chọn là bạn tự quyết
`WRITE_EXTERNAL_STORAGE` · `READ_EXTERNAL_STORAGE` (Android 12 trở xuống)	Chỉ trên máy Android 12 trở xuống: lưu ảnh nhận được vào thư viện ảnh khi bạn chọn "Lưu ảnh". Ứng dụng không dùng quyền này để duyệt thư viện	Tuỳ chọn	Cài đặt hệ điều hành → Ứng dụng → Quyền
`POST_NOTIFICATIONS`	Hiện thông báo khi có tin nhắn mới	Tuỳ chọn	Cài đặt hệ điều hành → Ứng dụng → Thông báo
`VIBRATE`	Rung khi có thông báo, theo cài đặt của hệ điều hành	Tuỳ chọn	Tắt cùng với thông báo
`SYSTEM_ALERT_WINDOW`	Vẽ bong bóng chat nổi lên trên ứng dụng khác. Mặc định TẮT. Chỉ bật khi bạn tự gạt công tắc trong phần Cài đặt của Ứng dụng và tự cấp quyền trong Cài đặt hệ điều hành. Bong bóng không đọc, không chụp, không ghi lại nội dung màn hình hay nội dung của ứng dụng nào khác	Tuỳ chọn	Gạt tắt công tắc trong Ứng dụng, hoặc Cài đặt hệ điều hành → Hiển thị trên ứng dụng khác
`FOREGROUND_SERVICE` · `FOREGROUND_SERVICE_SPECIAL_USE`	Giữ cho bong bóng nổi không bị hệ điều hành tắt. Chỉ chạy khi bạn đã bật bong bóng, và khi chạy thì Android bắt buộc hiện một thông báo im lặng thường trực để bạn luôn biết nó đang bật	Tuỳ chọn	Tắt cùng với bong bóng nổi
Nhóm quyền huy hiệu của hãng máy (`com.sec…`, `com.huawei…`, `com.oppo…`, `com.sonyericsson…`, `com.htc…`, `com.anddoes…`, `com.majeur…`, `me.everything.badger…`, `READ_APP_BADGE`)	Hiện số tin chưa đọc lên biểu tượng Ứng dụng ngoài màn hình chính. Mỗi hãng điện thoại dùng một cơ chế riêng nên thư viện khai báo sẵn tất cả. Chỉ ghi một con số, không đọc dữ liệu của trình khởi chạy	Tuỳ chọn	Tắt huy hiệu trong cài đặt màn hình chính của máy

3.2. Quyền do thư viện khai báo mà Ứng dụng KHÔNG dùng

Chúng tôi liệt kê cả nhóm này để bạn đối chiếu được với danh sách quyền mà Google Play hiển thị, và biết rằng chúng không tương ứng với chức năng nào trong Ứng dụng:

Quyền	Vì sao có mặt	Thực tế
`USE_BIOMETRIC` · `USE_FINGERPRINT`	Thư viện lưu trữ an toàn khai báo kèm	Dùng để xác nhận đúng là bạn khi duyệt thiết bị mới đọc tin mã hoá, và khi xác nhận vào/ra ca (mục 16). Hệ điều hành chỉ trả lời “khớp / không khớp” — Ứng dụng không bao giờ nhận được dữ liệu vân tay hay khuôn mặt
`RECEIVE_BOOT_COMPLETED` · `WAKE_LOCK` · `com.google.android.c2dm.permission.RECEIVE`	Thư viện thông báo khai báo kèm	Bản Android hiện chưa bật thông báo đẩy từ máy chủ. Ứng dụng không tự khởi động cùng máy và không nhận tin đẩy khi đã bị tắt hẳn
`BIND_GET_INSTALL_REFERRER_SERVICE`	Thư viện của Google Play khai báo kèm	Chúng tôi không thu thập, không đọc và không sử dụng thông tin nguồn cài đặt

3.3. Những gì Ứng dụng KHÔNG bao giờ chạm tới

⚠️ Vị trí GPS — chỉ khi công ty bật cho tài khoản của bạn và bạn đã đồng ý. Tài khoản không được bật thì Ứng dụng không xin quyền vị trí lần nào. Xem mục 16
❌ Danh bạ điện thoại, nhật ký cuộc gọi, tin nhắn SMS
❌ Lịch, sức khoẻ, cảm biến cơ thể
❌ Micrô, ghi âm
❌ Danh sách ứng dụng đã cài trên máy
❌ Nội dung màn hình hoặc nội dung của ứng dụng khác — bong bóng nổi chỉ vẽ ra, không đọc vào
❌ Dịch vụ trợ năng (Accessibility Service)

4. Dữ liệu chúng tôi thu thập

4.1. Thông tin tài khoản (bắt buộc)

Tên đăng nhập do tổ chức cấp
Mật khẩu — chỉ truyền qua kết nối mã hoá HTTPS, không lưu trên thiết bị dưới dạng đọc được
Hồ sơ nhân viên: mã nhân viên, họ tên, email, vai trò, phòng ban, ảnh đại diện
Số điện thoại (nếu tổ chức hoặc bạn đã điền) — hiển thị cho đồng nghiệp trong hội thoại riêng để bấm gọi

4.2. Nội dung trao đổi (bắt buộc để Ứng dụng hoạt động)

Nội dung tin nhắn bạn gửi, kể cả tin đã sửa và tin đã thu hồi (lưu lại phục vụ kiểm tra nội bộ)
Ảnh, video, tệp đính kèm bạn gửi
Cảm xúc, ghim, trạng thái đã đọc, thời điểm gửi
Danh sách hội thoại và thành viên trong đó

4.3. Ảnh và tệp — chi tiết kỹ thuật

Nguồn: chỉ từ thao tác chủ động của bạn — chụp mới, chọn từ thư viện, hoặc chọn từ trình quản lý tệp
Giới hạn: ảnh tối đa 5 MB (jpg, jpeg, png, gif, webp) · video tối đa 50 MB (mp4, mov, webm) · tệp tối đa 20 MB (pdf, doc, docx, xls, xlsx, ppt, pptx, txt, csv, zip, rar, html, htm)
Metadata EXIF và vị trí trong ảnh — xin nói rõ để bạn nắm được: khi ảnh cần đổi định dạng hoặc thu nhỏ trước khi gửi, Ứng dụng mã hoá lại ảnh và toàn bộ metadata EXIF, gồm cả toạ độ GPS, bị loại bỏ. Nhưng nếu ảnh đã đúng định dạng và đủ nhẹ, Ứng dụng gửi nguyên bản, nghĩa là metadata EXIF sẵn có trong ảnh vẫn được giữ nguyên và đi kèm lên máy chủ. Nếu bạn không muốn chia sẻ toạ độ chụp ảnh, hãy tắt lưu vị trí trong cài đặt máy ảnh của thiết bị
Tệp .html được lưu trên máy chủ với đuôi trơ để trình duyệt không thực thi — biện pháp chống mã độc chèn qua tệp đính kèm

4.4. Thông báo đẩy

iOS: Ứng dụng lấy mã định danh thiết bị của Apple (APNs device token) và gửi lên máy chủ để báo tin mới khi Ứng dụng đã đóng. Mã này bị thu hồi khi bạn đăng xuất
Android: bản hiện tại chưa bật thông báo đẩy từ máy chủ — không thu thập mã thông báo đẩy (device token) nào. Thông báo chỉ do chính Ứng dụng phát ra khi nó đang chạy

4.5. Mã thiết bị cho tin nhắn mã hoá

Khi một thiết bị được thiết lập để đọc tin nhắn mã hoá, Ứng dụng tự sinh một mã ngẫu nhiên cho bản cài trên thiết bị đó cùng một cặp khoá, rồi gửi mã ấy, khoá công khai, loại máy (Android hoặc iOS) và phiên bản hệ điều hành lên máy chủ
Mã này chỉ dùng để mã hoá tin nhắn cho đúng thiết bị của bạn và để bạn xem, thu hồi các thiết bị của mình. Nó không phải số IMEI, không phải mã quảng cáo, và không dùng để nhận ra bạn ở ứng dụng khác

5. Dữ liệu chúng tôi KHÔNG thu thập

⚠️ Vị trí GPS của thiết bị — chỉ trong trường hợp nêu ở mục 16
❌ Danh bạ, lịch, SMS, nhật ký cuộc gọi
❌ Thông tin sức khoẻ, tài chính, thanh toán — Ứng dụng không có mua bán trong ứng dụng
❌ Ghi âm, dữ liệu micrô
❌ Dữ liệu phân tích hành vi người dùng — Ứng dụng không nhúng công cụ thống kê nào
❌ Báo cáo lỗi tự động — không dùng Crashlytics hay dịch vụ tương đương
❌ Mã quảng cáo định danh (GAID, IDFA) — Ứng dụng không có quảng cáo
❌ Chúng tôi không bán, không cho thuê, không chia sẻ dữ liệu của bạn cho mục đích quảng cáo hay tiếp thị

6. Dữ liệu lưu trên thiết bị của bạn

Dữ liệu	Lưu ở đâu	Xoá khi nào
Mã phiên đăng nhập, tên đăng nhập gần nhất	Vùng lưu trữ mã hoá cấp hệ điều hành — Android Keystore / iOS Keychain	Khi bạn đăng xuất hoặc gỡ Ứng dụng
Bộ nhớ đệm tin nhắn và ảnh (để mở hội thoại nhanh và xem lại khi mạng chập chờn)	Thư mục riêng của Ứng dụng, các ứng dụng khác không đọc được	Khi bạn đăng xuất, xoá dữ liệu Ứng dụng, hoặc gỡ Ứng dụng
Cài đặt cá nhân: màu giao diện, bật/tắt bong bóng nổi, danh sách hội thoại bạn đã ẩn	Thư mục riêng của Ứng dụng. Không gửi lên máy chủ	Khi bạn xoá dữ liệu Ứng dụng hoặc gỡ Ứng dụng
Tệp bạn bấm tải về, ảnh chờ lưu vào thư viện	Bộ nhớ đệm của Ứng dụng	Hệ điều hành tự dọn, hoặc khi bạn xoá bộ nhớ đệm

7. Dữ liệu lưu trên máy chủ

Đường truyền: mọi trao đổi giữa Ứng dụng và máy chủ đều qua HTTPS (mã hoá TLS), kể cả kênh thời gian thực
Nơi lưu: hạ tầng Amazon Web Services, khu vực Singapore (ap-southeast-1) — tin nhắn và dữ liệu hội thoại nằm trong cơ sở dữ liệu, còn ảnh, video và tệp đính kèm nằm trong kho lưu trữ đối tượng Amazon S3. Việc chuyển dữ liệu qua biên giới này tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 và Nghị định số 356/2025/NĐ-CP
Phân quyền: bạn chỉ đọc được các hội thoại mà bạn là thành viên; máy chủ kiểm tra quyền ở từng yêu cầu
Thời gian lưu: dữ liệu được giữ trong thời gian cần thiết phục vụ hoạt động nghiệp vụ và nghĩa vụ pháp lý của tổ chức sử dụng Ứng dụng. Khi không còn cần thiết, hoặc khi có yêu cầu xoá hợp lệ và không vướng nghĩa vụ lưu trữ, chúng tôi xoá hoặc ẩn danh hoá dữ liệu

8. Trợ lý AI Sora-chan

Mục này tách riêng vì đây là trường hợp duy nhất nội dung bạn viết được gửi ra ngoài hệ thống của chúng tôi.

Khi bạn nhắn tin trong hội thoại với Sora-chan, nội dung tin nhắn đó cùng một phần ngữ cảnh hội thoại được gửi tới mô hình ngôn ngữ của Anthropic để sinh câu trả lời
Câu trả lời được ghi ngược lại vào hội thoại và lưu như một tin nhắn bình thường
Điều này chỉ xảy ra trong hội thoại với Sora-chan. Tin nhắn giữa bạn và đồng nghiệp, trong hội thoại riêng hay nhóm, không được gửi tới bất kỳ mô hình AI nào
Chúng tôi không dùng nội dung hội thoại của bạn để huấn luyện mô hình AI
Nếu bạn không muốn nội dung nào đó rời hệ thống, đừng gõ nội dung đó trong hội thoại với Sora-chan

9. Bên thứ ba

Bên thứ ba	Phạm vi	Dữ liệu chia sẻ	Mục đích
Amazon Web Services	Android + iOS	Toàn bộ tài khoản, tin nhắn, tệp đính kèm	Hạ tầng máy chủ và lưu trữ
Anthropic	Chỉ hội thoại với Sora-chan	Nội dung tin nhắn trong hội thoại đó	Sinh câu trả lời của trợ lý AI
Apple (APNs)	Chỉ iOS	Mã thiết bị, nội dung thông báo	Gửi thông báo đẩy
Google Play	Chỉ Android	Thông tin phát hành và cập nhật ứng dụng	Phân phối và cập nhật

Chính sách của các bên: AWS · Anthropic · Apple · Google

Ngoài bảng trên, Ứng dụng không gửi dữ liệu tới bất kỳ dịch vụ quảng cáo, thống kê hành vi hay đối tác thương mại nào.

10. Bảo mật — và một giới hạn bạn nên biết

Mã phiên đăng nhập được lưu trong vùng mã hoá của hệ điều hành và tự động xoay vòng; đăng xuất là thu hồi ngay
Mọi yêu cầu tới máy chủ đều phải kèm mã phiên hợp lệ; thiếu mã thì máy chủ từ chối
Tệp .html đính kèm được vô hiệu hoá khả năng thực thi trong trình duyệt
Giới hạn cần nói rõ: ảnh và tệp đính kèm trong tin nhắn được mở qua đường dẫn có chữ ký, tự hết hạn trong vòng 24 giờ. Trong thời gian còn hạn, người nào có được chính xác đường dẫn đó — ví dụ do bạn sao chép và chuyển cho họ — vẫn tải được tệp mà không cần tài khoản. Ảnh đại diện cá nhân và ảnh đại diện nhóm dùng đường dẫn dài, ngẫu nhiên, khó đoán nhưng không kèm bước kiểm tra đăng nhập và không hết hạn. Vì vậy xin đừng chuyển đường dẫn tệp đính kèm ra ngoài tổ chức
Không hệ thống nào an toàn tuyệt đối; chúng tôi không thể cam kết bảo mật ở mức tuyệt đối, nhưng sẽ thông báo cho tổ chức sử dụng Ứng dụng khi phát hiện sự cố ảnh hưởng tới dữ liệu cá nhân

11. Khác biệt giữa Android và iOS

Nội dung	Android	iOS
Bong bóng chat nổi	Có, mặc định tắt	Không có — hệ điều hành Apple không cho phép vẽ đè lên ứng dụng khác
Thông báo khi Ứng dụng đã đóng hẳn	Chưa có	Có, qua APNs của Apple
Gọi điện	Chuyển số sang trình gọi điện của máy	Chuyển số sang trình gọi điện hoặc FaceTime
Phiên bản tối thiểu	Android 7.0 trở lên	iOS 15.1 trở lên

12. Quyền của bạn

Quyền truy cập — xem dữ liệu cá nhân của bạn trong Ứng dụng
Quyền chỉnh sửa — yêu cầu sửa thông tin không chính xác
Quyền xoá — yêu cầu xoá tài khoản và dữ liệu liên quan
Quyền rút lại đồng ý — tắt quyền máy ảnh, thư viện ảnh, thông báo, bong bóng nổi bất cứ lúc nào trong Cài đặt thiết bị
Quyền khiếu nại — liên hệ chúng tôi hoặc cơ quan có thẩm quyền nếu cho rằng dữ liệu bị xử lý sai

Vì tài khoản do tổ chức của bạn cấp, một số yêu cầu (đặc biệt là xoá tài khoản) chúng tôi sẽ phối hợp với bộ phận quản trị của tổ chức đó để xử lý. Gửi yêu cầu tới auraorientalis.dev@gmail.com; chúng tôi phản hồi trong vòng 30 ngày làm việc.

13. Quyền trẻ em

Ứng dụng dành cho người từ 18 tuổi trở lên là nhân viên của tổ chức sử dụng Ứng dụng. Chúng tôi không cố ý thu thập dữ liệu từ trẻ em. Nếu phát hiện, dữ liệu sẽ bị xoá ngay.

14. Tuân thủ pháp lý

Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) và Nghị định số 356/2025/NĐ-CP hướng dẫn Luật
Luật An ninh mạng 2025 (Luật số 116/2025/QH15)
Google Play Developer Program Policies — mục An toàn dữ liệu
Apple App Store Review Guidelines — mục Quyền riêng tư

15. Thay đổi chính sách

Chúng tôi cập nhật Chính sách này khi Ứng dụng thay đổi chức năng hoặc khi quy định pháp luật thay đổi. Bản mới được đăng tại chính URL này kèm ngày hiệu lực mới. Tiếp tục sử dụng Ứng dụng sau khi có thay đổi đồng nghĩa với việc bạn chấp nhận chính sách mới.

16. Xác nhận vào/ra ca (chỉ khi công ty bạn bật)

Một số công ty dùng Ứng dụng để nhân viên xác nhận giờ vào/ra ca. Tính năng này tắt sẵn và chỉ hiện với tài khoản được công ty bật riêng; tài khoản khác không bao giờ bị hỏi quyền camera hay vị trí vì lý do này.

Khi được bật và chỉ sau khi bạn bấm đồng ý, mỗi lần xác nhận vào/ra ca Ứng dụng ghi: thời điểm, một ảnh chụp xác nhận, toạ độ GPS, tên mạng Wi-Fi (nếu máy đọc được), kiểu máy và số hiệu bản Ứng dụng. Nếu công ty bật thêm, trong thời gian ca làm việc Ứng dụng ghi thêm một mốc vị trí mỗi khi thiết bị chuyển sang mạng Wi-Fi khác lúc Ứng dụng đang mở; Ứng dụng không ghi vị trí khi chạy nền. Hết ca là ngừng ghi, và máy chủ từ chối dữ liệu vị trí khi bạn không có ca nào đang mở. Ảnh xác nhận là ảnh thường, không qua hệ thống nhận dạng khuôn mặt nào, tự xoá sau 90 ngày. Chỉ bạn và người được công ty cấp quyền quản lý xem được dữ liệu này; dữ liệu được lưu theo thời hạn chứng từ tiền lương và không chuyển cho bên thứ ba. Bạn rút lại đồng ý bất cứ lúc nào ngay trong Ứng dụng. Cơ sở pháp lý: sự đồng ý của bạn theo Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15.

17. Liên hệ

CÔNG TY TNHH AURA ORIENTALIS (Aura Orientalis Co., Ltd.)

🆔 Mã số thuế: 0319082705
📧 Email: auraorientalis.dev@gmail.com
🌐 Website: https://aoisora.vn
📞 Điện thoại: +84 359 870 356
🏢 Địa chỉ trụ sở: 77/4A Đường Võ Thị Hồi, Ấp 20, Xã Xuân Thới Sơn, TP. Hồ Chí Minh, Việt Nam

Ngày hiệu lực: 2026-10-20

1. Introduction

Aoi Chat (Android package vn.aoisora.chat, iOS vn.aoisora.chatapp; the "App") is an internal workplace messaging app developed and operated by Aura Orientalis Co., Ltd. ("We", "the Developer").

The App is not open to public sign-up. Accounts are issued by the organisation that uses the App to its own staff. There is no self-registration, and no way to find or add people outside the organisation.

This policy covers:

Android app — distributed on Google Play
iOS app — distributed via the App Store / TestFlight

Both versions share one codebase and connect to the same server. Platform differences are listed in Section 3 and Section 11.

The browser-based chat and the Aoi Sora task-management app are covered by a separate policy at aoisora.vn/privacy.

By using the App, you agree to this Privacy Policy.

2. What the App can do

A complete list of current features, so you know what data using the App produces:

2.1. Messaging

Send and receive text messages in direct conversations, groups, broadcast channels and department channels
Mention colleagues in a group
Quote-reply to a specific message, plus separate reply threads under a root message
React to messages; pin important messages to the top of a conversation
Edit a sent message; recall a sent message
Copy message text to the device clipboard
Typing indicator and unread counts

2.2. Files and images

Send photos taken with the camera, or photos and videos already in the device library
Send documents picked from the device file manager
Browse every image, video, file and link shared in a conversation
Save received images to the device photo library
Download attachments and open them in another app
Set your own avatar and a group avatar

2.3. Managing conversations

Create groups, add and remove members, view the member list
Leave a group; dissolve a group; delete a conversation (administrator accounts only)
Hide a conversation from your list — this is stored only on your device, never sent to the server and invisible to others
Search messages within one conversation or across all conversations you belong to
A notification bell for reply threads you follow

2.4. Sora-chan AI assistant

A dedicated conversation with an internal AI assistant for questions about processes and work
What you write there is processed by a third-party language model — see Section 8, the single most important difference from ordinary conversations

2.5. Device-side conveniences

Floating chat bubble (Android only, OFF by default) — a small bubble that floats over other apps showing the unread count; tap it to open the App
Notifications for new messages, with vibration according to your system settings
Phone calls to colleagues — the App only hands the number to the device dialer. It never places a call by itself and has no in-app voice or video calling
Opening links from messages in the device browser
Colour themes — eight palettes, stored on the device only

3. What the App does with your device

This is the complete list of permissions present in the Android package, including those declared by third-party libraries. There are no permissions outside this table.

3.1. Permissions the App actually uses

Permission	What it is used for	Required?	How to revoke
`INTERNET`	Connect to the server to send and receive messages	Required	Not revocable (the App has no offline mode)
`ACCESS_NETWORK_STATE` · `ACCESS_WIFI_STATE`	Detect whether the device is online so the realtime connection can be restored after a dropout. The App reads the Wi-Fi network name only in the case described in section 16	Required	Not applicable (normal permission, no prompt)
`CAMERA`	Take a photo to send or to use as an avatar — only when you press the shutter yourself	Optional	System Settings → Apps → Permissions
`ACCESS_COARSE_LOCATION` · `ACCESS_FINE_LOCATION`	Only in the case described in section 16: read the coordinates when you confirm the start or end of a shift, and let the device read the name of the connected Wi-Fi network. If your company has not enabled this for your account, the App never asks for this permission. The App does not read location in the background	Optional	System Settings → Apps → Permissions, or withdraw consent inside the App (section 16)
No permission — Android photo picker	Pick an existing photo or video to send. The App opens the system photo picker and receives only the item you select; the App has no permission to read your photo library	Not applicable	Nothing to revoke — you decide on every pick
`WRITE_EXTERNAL_STORAGE` · `READ_EXTERNAL_STORAGE` (Android 12 and below)	Only on Android 12 and below: save a received image into your photo library when you choose "Save image". The App does not use it to browse your library	Optional	System Settings → Apps → Permissions
`POST_NOTIFICATIONS`	Show a notification when a new message arrives	Optional	System Settings → Apps → Notifications
`VIBRATE`	Vibrate on notification, following your system settings	Optional	Turned off together with notifications
`SYSTEM_ALERT_WINDOW`	Draw the floating chat bubble over other apps. OFF by default. It is enabled only when you flip the switch inside the App and grant the permission yourself in system settings. The bubble does not read, capture or record your screen or anything in other apps	Optional	Turn the switch off in the App, or System Settings → Display over other apps
`FOREGROUND_SERVICE` · `FOREGROUND_SERVICE_SPECIAL_USE`	Keep the floating bubble alive. It runs only while you have the bubble enabled, and while it runs Android requires a permanent silent notification so you always know it is on	Optional	Turned off together with the bubble
Launcher badge permissions (`com.sec…`, `com.huawei…`, `com.oppo…`, `com.sonyericsson…`, `com.htc…`, `com.anddoes…`, `com.majeur…`, `me.everything.badger…`, `READ_APP_BADGE`)	Show the unread count on the home-screen icon. Every phone maker uses a different mechanism, so the library declares all of them. Only a number is written; nothing is read from your launcher	Optional	Disable badges in your home-screen settings

3.2. Permissions declared by libraries that the App does NOT use

We list these so you can reconcile our description with the permission list Google Play shows, and see that they do not correspond to any feature in the App:

Permission	Why it is present	Reality
`USE_BIOMETRIC` · `USE_FINGERPRINT`	Declared by the secure-storage library	Used to confirm it is you when approving a new device for encrypted messages, and when confirming the start or end of a shift (section 16). The operating system only answers “match / no match” — the App never receives your fingerprint or face data
`RECEIVE_BOOT_COMPLETED` · `WAKE_LOCK` · `com.google.android.c2dm.permission.RECEIVE`	Declared by the notifications library	The Android build currently has server push disabled. The App does not start with the device and receives nothing once it is fully closed
`BIND_GET_INSTALL_REFERRER_SERVICE`	Declared by a Google Play library	We do not collect, read or use install-referrer information

3.3. What the App never touches

⚠️ GPS location — only if your company enables it for your account and you have consented. Other accounts are never asked for location permission. See section 16
❌ Contacts, call logs, SMS
❌ Calendar, health data, body sensors
❌ Microphone, audio recording
❌ The list of apps installed on your device
❌ Screen contents or the contents of other apps — the floating bubble only draws out, it never reads in
❌ Accessibility Services

4. Data we collect

4.1. Account information (required)

Username issued by your organisation
Password — transmitted only over encrypted HTTPS and never stored in readable form on the device
Staff profile: staff ID, full name, email, role, department, avatar
Phone number (if you or your organisation provided one) — shown to colleagues in direct conversations so they can call you

4.2. Conversation content (required for the App to work)

The messages you send, including edited and recalled ones (retained for internal review)
Images, videos and files you attach
Reactions, pins, read state, timestamps
Your conversations and their member lists

4.3. Images and files — technical detail

Source: only from your deliberate action — take a photo, pick from the library, or pick from the file manager
Limits: images up to 5 MB (jpg, jpeg, png, gif, webp) · videos up to 50 MB (mp4, mov, webm) · files up to 20 MB (pdf, doc, docx, xls, xlsx, ppt, pptx, txt, csv, zip, rar, html, htm)
EXIF metadata and location in photos — stated plainly so you can judge it: when a photo needs format conversion or resizing before sending, the App re-encodes it and all EXIF metadata, including GPS coordinates, is stripped. But if the photo is already in an accepted format and small enough, the App sends it as-is, which means any EXIF metadata already in the photo is preserved and travels to the server. If you do not want to share where a photo was taken, turn off location tagging in your device camera settings
.html attachments are stored on the server with an inert extension so browsers cannot execute them — a safeguard against malicious attachments

4.4. Push notifications

iOS: the App obtains an Apple APNs device token and sends it to our server so you can be notified after the App is closed. The token is revoked when you log out
Android: the current build has server push disabled — no device token is collected. Notifications are raised by the App itself while it is running

4.5. Device identifier for encrypted messages

When a device is set up to read encrypted messages, the App generates a random identifier for that installation together with a key pair, and sends the identifier, the public keys, the platform (Android or iOS) and the OS version to our server
The identifier is used only to encrypt messages for your own devices and to let you see and revoke them. It is not an IMEI, not an advertising ID, and is not used to recognise you in other apps

5. Data we do NOT collect

⚠️ Device GPS location — only in the case described in section 16
❌ Contacts, calendar, SMS, call logs
❌ Health, financial or payment data — the App has no in-app purchases
❌ Audio recordings or microphone data
❌ Behavioural analytics — the App embeds no analytics SDK
❌ Automatic crash reporting — no Crashlytics or equivalent
❌ Advertising identifiers (GAID, IDFA) — the App carries no advertising
❌ We never sell, rent or share your data for advertising or marketing

6. Data stored on your device

Data	Where	Deleted when
Session tokens, most recent username	OS-level encrypted storage — Android Keystore / iOS Keychain	When you log out or uninstall the App
Message and image cache (so conversations open quickly and stay readable on a weak connection)	The App private directory, unreadable by other apps	When you log out, clear app data, or uninstall
Personal settings: colour theme, bubble on/off, conversations you hid	The App private directory. Never sent to the server	When you clear app data or uninstall
Files you downloaded, images waiting to be saved to your library	The App cache directory	Cleaned by the OS, or when you clear the cache

7. Data stored on our servers

In transit: everything between the App and the server goes over HTTPS (TLS), including the realtime channel
Where: Amazon Web Services infrastructure in the Singapore region (ap-southeast-1) — messages and conversation data in the database, images, videos and attachments in Amazon S3 object storage. This cross-border transfer follows Vietnam's Law on Personal Data Protection No. 91/2025/QH15 and Decree No. 356/2025/ND-CP
Access control: you can only read conversations you are a member of; the server checks this on every request
Retention: data is kept as long as needed for the business purposes and legal obligations of the organisation using the App. When it is no longer needed, or on a valid deletion request not blocked by a retention obligation, we delete or anonymise it

8. The Sora-chan AI assistant

This gets its own section because it is the only case where what you write leaves our systems.

When you write in the Sora-chan conversation, that message and part of the conversation context are sent to a language model operated by Anthropic to generate a reply
The reply is written back into the conversation and stored like any other message
This happens only in the Sora-chan conversation. Messages between you and your colleagues, in direct conversations or groups, are never sent to any AI model
We do not use your conversation content to train AI models
If you do not want something to leave our systems, do not type it in the Sora-chan conversation

9. Third parties

Third party	Scope	Data shared	Purpose
Amazon Web Services	Android + iOS	All accounts, messages and attachments	Server and storage infrastructure
Anthropic	Sora-chan conversation only	The message content in that conversation	Generating AI assistant replies
Apple (APNs)	iOS only	Device token, notification content	Delivering push notifications
Google Play	Android only	App release and update metadata	Distribution and updates

Their policies: AWS · Anthropic · Apple · Google

Beyond the table above, the App sends no data to any advertising service, behavioural analytics provider or commercial partner.

10. Security — and one limitation you should know

Session tokens live in OS-encrypted storage and rotate automatically; logging out revokes them immediately
Every server request must carry a valid token; without one the server refuses it
.html attachments are stored so that browsers cannot execute them
The limitation, stated plainly: images and attachments in messages are opened through signed URLs that expire within 24 hours. While a URL is still valid, anyone who obtains that exact URL — for example because you copied and forwarded it — can fetch the file without an account. Personal and group avatars use long, random, hard-to-guess URLs that carry no login check and do not expire. Please do not pass attachment URLs outside your organisation
No system is perfectly secure; we cannot promise absolute security, but we will inform the organisation using the App of any incident affecting personal data

11. Android and iOS differences

Item	Android	iOS
Floating chat bubble	Yes, off by default	Not available — Apple does not allow drawing over other apps
Notifications when the App is fully closed	Not yet	Yes, via Apple APNs
Calling	Hands the number to the device dialer	Hands the number to the dialer or FaceTime
Minimum version	Android 7.0 and above	iOS 15.1 and above

12. Your rights

Access — view your personal data in the App
Rectification — ask us to correct inaccurate information
Erasure — ask for your account and related data to be deleted
Withdraw consent — revoke camera, photo library, notification or bubble permissions at any time in device settings
Complain — contact us or the competent authority if you believe your data is mishandled

Because accounts are issued by your organisation, some requests (deletion in particular) are handled together with that organisation administrators. Send requests to auraorientalis.dev@gmail.com; we respond within 30 working days.

13. Children

The App is intended for people aged 18 and over who are staff of the organisation using it. We do not knowingly collect data from children. If we find any, it is deleted immediately.

14. Legal compliance

Vietnam's Law on Personal Data Protection (Law No. 91/2025/QH15) and its guiding Decree No. 356/2025/ND-CP
Vietnam Cybersecurity Law 2025 (Law No. 116/2025/QH15)
Google Play Developer Program Policies — Data Safety
Apple App Store Review Guidelines — Privacy

15. Changes to this policy

We update this policy when the App changes or when the law changes. New versions are published at this same URL with an updated effective date. Continued use after a change means you accept the new policy.

16. Shift check-in and check-out (only if your company enables it)

Some companies use the App to let employees confirm the start and end of their shifts. This is off by default and appears only for accounts your company enables; other accounts are never asked for camera or location permission for this reason.

When enabled, and only after you tap to consent, each check-in or check-out records: the time, one confirmation photo, GPS coordinates, the Wi-Fi network name (if the device can read it), the device model and the App build number. If your company also enables it, during your shift the App records one additional location point each time the device switches to a different Wi-Fi network while the App is open; the App does not record location in the background. Recording stops when the shift ends, and the server refuses location data when you have no open shift. The confirmation photo is an ordinary photo, is not run through any facial recognition system, and is deleted automatically after 90 days. Only you and people your company grants management permission can see this data; it is kept for the payroll record retention period and is not shared with third parties. You can withdraw consent at any time in the App. Legal basis: your consent under Vietnam's Law on Personal Data Protection (Law No. 91/2025/QH15).

17. Contact

AURA ORIENTALIS CO., LTD.

🆔 Tax code: 0319082705
📧 Email: auraorientalis.dev@gmail.com
🌐 Website: https://aoisora.vn
📞 Phone: +84 359 870 356
🏢 Registered address: 77/4A Vo Thi Hoi Street, Hamlet 20, Xuan Thoi Son Commune, Ho Chi Minh City, Vietnam

Effective date: 2026-10-20

1. はじめに

Aoi Chat（パッケージ名 Android vn.aoisora.chat、iOS vn.aoisora.chatapp。以下「本アプリ」）は、 Aura Orientalis Co., Ltd.（以下「当社」）が開発・運営する社内向けメッセージングアプリです。

本アプリは一般利用者の自由登録を受け付けていません。アカウントは本アプリを導入した組織が自社の従業員に発行します。新規登録機能はなく、組織外の人を検索・追加する機能もありません。

本ポリシーの対象：

Android 版 — Google Play で配信
iOS 版 — App Store / TestFlight で配信

両版は同一のソースコードを用い、同一のサーバーに接続します。プラットフォーム間の差異は第3項および第11項に記載します。

ブラウザ版チャットおよび Aoi Sora 業務管理アプリについては、 aoisora.vn/privacy の別ポリシーが適用されます。

本アプリをご利用いただくことで、本プライバシーポリシーに同意したものとみなします。

2. 本アプリでできること

どのような利用がどのデータを生むかをご理解いただくため、現行機能をすべて記載します。

2.1. メッセージ

個人間・グループ・お知らせチャンネル・部門チャンネルでのテキスト送受信
グループ内でのメンション
特定メッセージへの引用返信、および元メッセージごとに分かれたスレッド返信
メッセージへのリアクション、重要メッセージのピン留め
送信済みメッセージの編集および送信取消
メッセージ本文の端末クリップボードへのコピー
入力中表示と未読件数

2.2. ファイルと画像

カメラで撮影した写真、または端末ライブラリ内の写真・動画の送信
端末のファイル管理からの文書送信
会話内で共有された画像・動画・ファイル・リンクの一覧閲覧
受信画像の端末フォトライブラリへの保存
添付ファイルの端末保存および他アプリでの表示
個人プロフィール画像およびグループ画像の設定

2.3. 会話の管理

グループ作成、メンバーの追加・削除、メンバー一覧の閲覧
グループからの退出、グループの解散、会話の削除（管理者権限のアカウントのみ）
会話を一覧から非表示にする — この設定はお使いの端末にのみ保存され、サーバーには送信されず、他の利用者には影響しません
単一の会話内、または参加中の全会話を対象としたメッセージ検索
フォロー中の返信スレッドの通知ベル

2.4. AI アシスタント Sora-chan

業務や手順について質問できる社内 AI アシスタントとの専用会話
この会話で送信した内容は第三者の言語モデルで処理されます — 通常の会話との最も重要な相違点として第8項をご確認ください

2.5. 端末側の補助機能

フローティングチャットバブル（Android のみ、初期設定はオフ） — 他のアプリの上に浮かぶ小さなバブルに未読件数を表示し、タップで本アプリを開きます
新着メッセージの通知、および端末設定に従ったバイブレーション
同僚への電話発信 — 本アプリは端末の電話アプリに番号を渡すだけで、自ら発信することはありません。アプリ内音声通話・ビデオ通話機能はありません
メッセージ内リンクの端末ブラウザでの表示
8 種類の配色テーマの選択（端末内にのみ保存）

3. 本アプリが端末に対して行うこと

以下は、ライブラリが宣言するものを含め、Android パッケージに含まれる権限の完全な一覧です。この表にない権限は存在しません。

3.1. 本アプリが実際に使用する権限

権限	用途	必須か	取り消す方法
`INTERNET`	メッセージ送受信のためのサーバー接続	必須	取り消し不可（オフライン動作はありません）
`ACCESS_NETWORK_STATE` · `ACCESS_WIFI_STATE`	通信の有無を検知し、切断後にリアルタイム接続を復旧するため。Wi-Fi ネットワーク名は第16項の場合に限り読み取ります	必須	該当なし（通常権限のため確認ダイアログはありません）
`CAMERA`	送信用またはプロフィール画像用の撮影。利用者がシャッターを押したときのみ動作します	任意	端末の設定 → アプリ → 権限
`ACCESS_COARSE_LOCATION` · `ACCESS_FINE_LOCATION`	第16項の場合に限ります：勤務開始・終了の確認時に座標を取得し、接続中の Wi-Fi ネットワーク名を端末が読み取れるようにするためです。会社がお客様のアカウントで有効にしていない場合、本アプリがこの許可を求めることはありません。バックグラウンドで位置情報を取得することはありません	任意	端末の設定 → アプリ → 権限、または本アプリ内で同意を撤回（第16項）
権限不要 — Android の写真選択ツール	送信する写真・動画の選択。OS の写真選択ツールを開き、選択された項目のみを受け取ります。本アプリはフォトライブラリの読み取り権限を持ちません	該当なし	取り消す権限なし（選択のたびに利用者が判断）
`WRITE_EXTERNAL_STORAGE` · `READ_EXTERNAL_STORAGE`（Android 12 以下）	Android 12 以下の端末のみ：「画像を保存」選択時に受信画像をフォトライブラリへ保存するため。ライブラリの閲覧には使用しません	任意	端末の設定 → アプリ → 権限
`POST_NOTIFICATIONS`	新着メッセージの通知表示	任意	端末の設定 → アプリ → 通知
`VIBRATE`	端末設定に従った通知時のバイブレーション	任意	通知と同時に無効化されます
`SYSTEM_ALERT_WINDOW`	他アプリ上へのチャットバブル描画。初期設定はオフで、本アプリ内のスイッチを操作し、端末設定で自ら許可した場合にのみ有効になります。バブルが画面内容や他アプリの内容を読み取る・撮影する・記録することはありません	任意	アプリ内でスイッチをオフ、または端末の設定 → 他のアプリの上に重ねて表示
`FOREGROUND_SERVICE` · `FOREGROUND_SERVICE_SPECIAL_USE`	フローティングバブルを維持するため。バブルを有効にしている間のみ動作し、動作中は Android の仕様上、常駐のサイレント通知が必ず表示されます	任意	バブルと同時に無効化されます
各メーカーのバッジ権限（`com.sec…`、`com.huawei…`、`com.oppo…`、`com.sonyericsson…`、`com.htc…`、`com.anddoes…`、`com.majeur…`、`me.everything.badger…`、`READ_APP_BADGE`）	ホーム画面アイコンへの未読件数表示。メーカーごとに方式が異なるためライブラリが一括で宣言しています。数値を書き込むだけで、ランチャーからの読み取りは行いません	任意	ホーム画面設定でバッジを無効化

3.2. ライブラリが宣言し、本アプリが使用しない権限

Google Play に表示される権限一覧と照合できるよう、これらも記載します。いずれも本アプリのどの機能にも対応していません。

権限	含まれている理由	実際の状況
`USE_BIOMETRIC` · `USE_FINGERPRINT`	セキュアストレージライブラリによる宣言	暗号化メッセージを読む新しい端末の承認時、および勤務開始・終了の確認時（第16項）に本人確認として使用します。OS は「一致／不一致」のみを返し、本アプリが指紋や顔のデータを受け取ることはありません
`RECEIVE_BOOT_COMPLETED` · `WAKE_LOCK` · `com.google.android.c2dm.permission.RECEIVE`	通知ライブラリによる宣言	Android 版では現在サーバープッシュを無効にしています。端末起動時の自動起動はなく、完全に終了した状態では何も受信しません
`BIND_GET_INSTALL_REFERRER_SERVICE`	Google Play ライブラリによる宣言	インストール参照元情報の収集・読み取り・利用は行いません

3.3. 本アプリが決して扱わないもの

⚠️ GPS 位置情報 — 会社がお客様のアカウントで有効にし、お客様が同意した場合に限ります。有効でないアカウントには位置情報の許可を求めません。第16項をご覧ください
❌ 連絡先、通話履歴、SMS
❌ カレンダー、健康情報、身体センサー
❌ マイク、録音
❌ 端末にインストールされたアプリの一覧
❌ 画面内容や他アプリの内容 — バブルは描画するのみで読み取りは行いません
❌ ユーザー補助サービス（Accessibility Service）

4. 収集する情報

4.1. アカウント情報（必須）

組織が発行するログイン ID
パスワード — 暗号化された HTTPS 経由でのみ送信し、端末に可読な形で保存しません
従業員プロフィール：従業員番号、氏名、メールアドレス、役割、部署、プロフィール画像
電話番号（登録されている場合）— 個人間の会話で同僚が発信できるよう表示されます

4.2. 会話の内容（本アプリの動作に必須）

送信したメッセージ（編集済み・取消済みのものを含む。社内確認のため保持します）
添付した画像・動画・ファイル
リアクション、ピン留め、既読状態、送信日時
参加している会話とそのメンバー一覧

4.3. 画像とファイル — 技術的詳細

取得元：撮影、ライブラリからの選択、ファイル管理からの選択という、利用者の明示的な操作のみ
上限：画像 5 MB まで（jpg、jpeg、png、gif、webp）· 動画 50 MB まで（mp4、mov、webm）· ファイル 20 MB まで（pdf、doc、docx、xls、xlsx、ppt、pptx、txt、csv、zip、rar、html、htm）
EXIF メタデータと撮影位置 — 判断いただけるよう明記します。送信前に形式変換や縮小が必要な写真は再エンコードされ、GPS 座標を含む EXIF メタデータはすべて除去されます。一方、すでに対応形式で十分に軽い写真はそのまま送信されるため、写真に含まれる EXIF メタデータは保持されたまま サーバーへ送られます。撮影場所を共有したくない場合は、端末のカメラ設定で位置情報の記録を無効にしてください
.html 添付はブラウザで実行されないよう無害な拡張子でサーバーに保存されます（悪意ある添付への対策）

4.4. プッシュ通知

iOS：アプリ終了後も通知できるよう、Apple の APNs デバイストークンを取得しサーバーへ送信します。ログアウト時に失効します
Android：現行版はサーバープッシュを無効にしており、デバイストークンを収集しません。通知はアプリ動作中に本アプリ自身が発行します

4.5. 暗号化メッセージ用のデバイス識別子

端末を暗号化メッセージの閲覧用に設定すると、本アプリはそのインストール専用のランダムな識別子と鍵ペアを生成し、識別子・公開鍵・プラットフォーム（Android／iOS）・OS バージョンをサーバーへ送信します
この識別子は、メッセージをご自身の端末向けに暗号化するため、および登録済み端末の確認・失効のためにのみ使用します。IMEI や広告 ID ではなく、他のアプリでお客様を識別するために使うこともありません

5. 収集しない情報

⚠️ 端末の GPS 位置情報 — 第16項の場合に限ります
❌ 連絡先、カレンダー、SMS、通話履歴
❌ 健康・金融・決済情報（アプリ内課金はありません）
❌ 録音データ、マイク入力
❌ 行動分析データ — 解析 SDK を一切組み込んでいません
❌ 自動クラッシュレポート（Crashlytics 等は使用していません）
❌ 広告識別子（GAID、IDFA）— 広告は一切ありません
❌ 広告・マーケティング目的でのデータの販売・貸与・提供は行いません

6. 端末内に保存される情報

情報	保存先	削除される時点
セッショントークン、直近のログイン ID	OS レベルで暗号化された領域 — Android Keystore / iOS Keychain	ログアウト時、またはアンインストール時
メッセージと画像のキャッシュ（会話の高速表示、通信不安定時の閲覧のため）	本アプリ専用領域（他アプリからは読み取れません）	ログアウト、アプリデータ消去、またはアンインストール時
個人設定：配色テーマ、バブルの有効・無効、非表示にした会話	本アプリ専用領域。サーバーへは送信しません	アプリデータ消去、またはアンインストール時
ダウンロードしたファイル、保存待ちの画像	本アプリのキャッシュ領域	OS による自動削除、またはキャッシュ消去時

7. サーバー上の情報

通信：本アプリとサーバー間の通信は、リアルタイム接続を含めすべて HTTPS（TLS 暗号化）です
保存場所：Amazon Web Services のシンガポールリージョン（ap-southeast-1）。メッセージと会話データはデータベースに、画像・動画・添付ファイルは Amazon S3 オブジェクトストレージに保存されます。この国外移転はベトナム個人データ保護法（法律第 91/2025/QH15 号）および政令第 356/2025/ND-CP 号に従います
アクセス制御：参加している会話のみ閲覧でき、サーバーはリクエストごとに権限を確認します
保存期間：本アプリを導入した組織の業務上の目的および法令上の義務に必要な期間保持します。不要になった場合、または保存義務のない有効な削除請求があった場合は、削除または匿名化します

8. AI アシスタント Sora-chan について

入力内容が当社のシステム外へ送信される唯一のケースであるため、独立した項目として記載します。

Sora-chan との会話でメッセージを送信すると、その内容と会話の一部の文脈が、応答生成のため Anthropic が運用する言語モデルへ送信されます
生成された応答は会話に書き戻され、通常のメッセージと同様に保存されます
これは Sora-chan との会話に限られます。同僚との個人間会話やグループの会話が AI モデルへ送信されることはありません
会話内容を AI モデルの学習に利用することはありません
システム外へ出したくない内容は、Sora-chan との会話に入力しないでください

9. 第三者

第三者	範囲	提供される情報	目的
Amazon Web Services	Android・iOS	アカウント、メッセージ、添付ファイルのすべて	サーバーおよびストレージ基盤
Anthropic	Sora-chan との会話のみ	当該会話のメッセージ内容	AI アシスタントの応答生成
Apple（APNs）	iOS のみ	デバイストークン、通知内容	プッシュ通知の配信
Google Play	Android のみ	アプリの配信・更新情報	配信および更新

各社のポリシー： AWS · Anthropic · Apple · Google

上記の表以外に、広告サービス、行動分析サービス、商業パートナーへデータを送信することはありません。

10. セキュリティ — および留意いただきたい制約

セッショントークンは OS の暗号化領域に保存され、自動的にローテーションされます。ログアウトで直ちに失効します
サーバーへのすべてのリクエストには有効なトークンが必要で、無い場合は拒否されます
.html 添付はブラウザで実行できない形で保存されます
明記すべき制約：メッセージ内の画像と添付ファイルは、署名付きで 24 時間以内に失効する URL で配信されます。有効期間内に、たとえばコピーして転送するなどして正確な URL を入手した人は、アカウントなしでもファイルを取得できます。個人のプロフィール画像とグループ画像は、長くランダムで推測困難ながら、ログイン確認を伴わず有効期限もない URL で配信されます。添付ファイルの URL を組織外へ渡さないようお願いいたします
完全に安全なシステムは存在しません。絶対的な安全性をお約束することはできませんが、個人データに影響する事象を検知した場合は、本アプリを導入した組織へ通知します

11. Android と iOS の違い

項目	Android	iOS
フローティングチャットバブル	あり（初期設定はオフ）	なし — Apple は他アプリ上への描画を許可していません
アプリ完全終了時の通知	未対応	対応（Apple APNs 経由）
通話	端末の電話アプリに番号を渡します	電話アプリまたは FaceTime に番号を渡します
対応バージョン	Android 7.0 以上	iOS 15.1 以上

12. 利用者の権利

アクセス権 — 本アプリ内の個人データの閲覧
訂正権 — 不正確な情報の訂正請求
削除権 — アカウントおよび関連データの削除請求
同意撤回権 — カメラ、フォトライブラリ、通知、バブルの権限をいつでも端末設定から取り消せます
苦情申立権 — 不適切な取扱いがあると考える場合、当社または監督機関へご連絡いただけます

アカウントは所属組織が発行するため、特に削除に関するご請求は当該組織の管理者と連携して対応します。ご請求は auraorientalis.dev@gmail.com までお送りください。30 営業日以内に回答します。

13. 児童のプライバシー

本アプリは、導入組織の従業員である18 歳以上の方を対象としています。児童からの情報を意図的に収集することはありません。判明した場合は直ちに削除します。

14. 法令遵守

ベトナム個人データ保護法（法律第 91/2025/QH15 号）および施行政令第 356/2025/ND-CP 号
ベトナムサイバーセキュリティ法 2025（法律第 116/2025/QH15 号）
Google Play デベロッパープログラムポリシー — データセーフティ
Apple App Store Review Guidelines — プライバシー

15. 本ポリシーの変更

本アプリの機能変更や法令改正に応じて本ポリシーを更新します。新しい版は同じ URL に、更新後の施行日とともに掲載します。変更後も継続してご利用いただいた場合、新しいポリシーに同意したものとみなします。

16. 勤務開始・終了の確認（会社が有効にした場合のみ）

一部の会社では、従業員が勤務の開始・終了を確認するために本アプリを利用します。この機能は既定で無効で、会社が個別に有効化したアカウントにのみ表示されます。それ以外のアカウントに、この目的でカメラや位置情報の許可を求めることはありません。

有効化され、お客様が同意した後に限り、開始・終了の確認ごとに次を記録します：時刻、確認用写真 1 枚、GPS 座標、接続中の Wi-Fi ネットワーク名（端末が読み取れる場合）、端末の機種と本アプリのビルド番号。会社が併せて有効にした場合、勤務時間中に本アプリを開いている状態で端末が別の Wi-Fi ネットワークに切り替わるたびに位置情報を 1 件追加で記録します。本アプリはバックグラウンドでは位置情報を記録しません。勤務終了で記録を停止し、開いている勤務がない場合はサーバー側でも位置情報を受け付けません。確認用写真は通常の写真で、顔認識システムにかけることはなく、90 日後に自動削除されます。閲覧できるのはご本人と会社から管理権限を付与された方のみで、給与関係書類の保存期間に従って保管し、第三者に提供しません。同意は本アプリ内でいつでも撤回できます。法的根拠：ベトナム個人データ保護法（法律第 91/2025/QH15 号）に基づくお客様の同意。

17. お問い合わせ

AURA ORIENTALIS CO., LTD.

🆔 納税者番号：0319082705
📧 メール：auraorientalis.dev@gmail.com
🌐 ウェブサイト：https://aoisora.vn
📞 電話：+84 359 870 356
🏢 本店所在地：77/4A Vo Thi Hoi Street, Hamlet 20, Xuan Thoi Son Commune, Ho Chi Minh City, Vietnam

施行日：2026-10-20