AutoVideo Về trang chủ
Văn Bản Pháp Lý & Bảo Mật / Legal & Privacy

Chính Sách Quyền Riêng Tư (Privacy Policy)

Áp dụng cho ứng dụng AutoVideo và ứng dụng web đồng hành AutoVideo Connect (Sam Nguyễn Media). Cập nhật lần cuối: 14/10/2026.

I. BẢN TIẾNG VIỆT

1. Giới thiệu ứng dụng AutoVideo

AutoVideo là phần mềm hỗ trợ nhà sáng tạo nội dung, chủ shop và học viên tự động hoá việc dựng video ngắn và đặt lịch đăng tải video lên kênh chính thức của chính người dùng (YouTube, TikTok, Facebook Reels) một cách an toàn và có kiểm soát.

2. Dữ liệu ứng dụng thu thập và quyền truy cập (Scopes)

Khi người dùng chủ động bấm kết nối tài khoản Google trong AutoVideo hoặc ứng dụng web AutoVideo Connect (https://connect.samnguyenphoto.com), hệ thống chỉ yêu cầu các quyền truy cập tối thiểu phục vụ các tính năng mà người dùng kích hoạt:

2.1. Ứng dụng máy tính AutoVideo (Desktop App)

YouTube Data API v3
Quyền tải video lên kênh YouTube (https://www.googleapis.com/auth/youtube.upload) và đọc thông tin kênh cơ bản (https://www.googleapis.com/auth/youtube.readonly): Dùng để tải video đã hoàn thiện lên kênh YouTube của chính bạn theo đúng lịch hẹn giờ bạn thiết lập, đọc tên và ảnh đại diện kênh để hiển thị trên giao diện quản trị.
Google Drive API
Quyền lưu trữ Google Drive (https://www.googleapis.com/auth/drive.file): Dùng để lưu trữ video thành phẩm, kịch bản và tệp tạm trực tiếp vào thư mục riêng do ứng dụng tạo trên Google Drive của chính khách hàng.
Google Profile
Thông tin tài khoản cơ bản: Email và tên tài khoản Google để xác định phiên đăng nhập của người dùng.

2.2. Ứng dụng web AutoVideo Connect (Web App)

Dành cho phiên bản web tại https://connect.samnguyenphoto.com nhằm quản lý kênh, tương tác và báo cáo tập trung:

YouTube Interaction
Tương tác bình luận YouTube (https://www.googleapis.com/auth/youtube.force-ssl): Đọc bình luận trên các video thuộc kênh của chính người dùng (commentThreads.list theo allThreadsRelatedToChannelId) và gửi câu trả lời do chính người dùng tự soạn thảo (comments.insert). Ứng dụng tuyệt đối không tự động đăng bình luận hoặc trả lời khi chưa có thao tác chủ động của người dùng.
YouTube Analytics
Xem báo cáo thống kê kênh (https://www.googleapis.com/auth/yt-analytics.readonly): Truy cập chỉ đọc (read-only) báo cáo hiệu suất kênh của chính bạn (lượt xem, thời lượng xem, tăng trưởng người đăng ký) để hiển thị biểu đồ phân tích trên bảng điều khiển.
Google Business
Quản lý Trang doanh nghiệp Google (https://www.googleapis.com/auth/business.manage): Liệt kê danh sách địa điểm Business Profile của người dùng, đọc các đánh giá của khách hàng, gửi câu trả lời đánh giá và đăng bài viết cập nhật địa phương do chính người dùng soạn thảo.
Google Ads
Báo cáo hiệu quả chiến dịch Google Ads (https://www.googleapis.com/auth/adwords): Truy cập chỉ đọc (read-only) danh sách tài khoản quảng cáo và số liệu hiệu suất chiến dịch của người dùng để tổng hợp báo cáo trên bảng điều khiển.
Đăng nhập tài khoản
Xác thực và hồ sơ người dùng (openid, https://www.googleapis.com/auth/userinfo.email, https://www.googleapis.com/auth/userinfo.profile): Dùng để xác thực đăng nhập an toàn, hiển thị email, tên và ảnh đại diện của người dùng trong phiên làm việc.

3. Mục đích sử dụng dữ liệu

  • Tải video lên kênh YouTube và lưu video vào Google Drive theo lệnh chủ động của bạn.
  • Hiển thị trạng thái kênh, danh sách video đã tải lên và báo cáo tiến độ đặt lịch.
  • Tuyệt đối không sử dụng dữ liệu cho mục đích quảng cáo bên thứ ba, theo dõi hành vi ngoài phạm vi ứng dụng hoặc tiếp thị lại.

4. Cơ chế bảo vệ dữ liệu (Data Protection), nơi lưu trữ và thời gian lưu trữ

  • Bảo vệ dữ liệu khi truyền tải (Encryption in Transit): Kết nối công khai đến ứng dụng web AutoVideo Connect (https://connect.samnguyenphoto.com) và kết nối đến các điểm cuối Google OAuth/API (https://accounts.google.com/o/oauth2/v2/auth, https://oauth2.googleapis.com/token, https://oauth2.googleapis.com/revoke và các API tại https://*.googleapis.com/*) sử dụng HTTPS (TLS). Ứng dụng máy tính nhận mã uỷ quyền qua địa chỉ loopback cục bộ http://127.0.0.1 trên chính máy của người dùng theo RFC 8252; bước đổi mã lấy token với Google vẫn dùng HTTPS.
  • Đối với ứng dụng máy tính AutoVideo (Desktop):
    • Lưu trữ trên Google Drive của khách hàng: Toàn bộ video thành phẩm nằm hoàn toàn trên tài khoản Google Drive của chính khách hàng; nhà phát triển không giữ bản sao riêng tư của bạn.
    • Kho lưu trữ bảo mật của hệ điều hành (OS Secure Storage): Đối với các luồng ứng dụng máy tính trực tiếp giữ vé uỷ quyền Google (OAuth Access Token và Refresh Token), dữ liệu uỷ quyền được mã hoá thông qua cơ chế lưu trữ bảo mật của hệ điều hành (Electron safeStorage — DPAPI trên Windows / Keychain trên macOS) và lưu cục bộ trên thiết bị của người dùng (*.enc). Bản cài không đóng gói kèm thông tin đăng nhập tài khoản Google của nhà phát triển/chủ sở hữu, và vé uỷ quyền của ứng dụng máy tính không gửi lên máy chủ trung gian.
  • Đối với ứng dụng web AutoVideo Connect (Web App):
    • Mã hoá vé uỷ quyền ở trạng thái lưu trữ (Token Encryption at Rest): Mã truy cập, mã làm mới và ID token OAuth (accessToken, refreshToken, idToken) được mã hoá ở trạng thái lưu trữ trên máy chủ ứng dụng bằng thuật toán xác thực AES-256-GCM kèm vector khởi tạo ngẫu nhiên 12-byte (IV) và thẻ xác thực toàn vẹn (authTag), sử dụng khoá 32-byte dẫn xuất qua HKDF-SHA256 từ khoá cấu hình máy chủ. Tệp người dùng được cô lập riêng biệt theo mã băm SHA-256(sub) của định danh tài khoản Google.
    • Bảo mật phiên làm việc và kiểm soát truy cập (Session & OAuth Security): Luồng uỷ quyền OAuth 2.0 bắt buộc sử dụng PKCE (S256) và tham số state dùng một lần (tự động huỷ ngay khi đối chiếu và hết hạn sau 10 phút). Phiên đăng nhập web được quản lý bằng cookie có chữ ký (av_sid) với các cờ Secure (trên HTTPS), HttpOnly, SameSite=Lax (thời hạn tối đa 7 ngày), tự động xoay vòng mã phiên (session regeneration) sau khi xác thực OAuth, kèm kiểm tra mã CSRF token cho các yêu cầu POST thay đổi dữ liệu/trạng thái và chỉ cho phép truy cập dữ liệu theo đúng định danh sub và phạm vi quyền (grantedScopes) của phiên đang đăng nhập.
    • Thông tin hồ sơ lưu trữ: Chỉ lưu tập thông tin định danh tối thiểu ở dạng cấu trúc JSON gồm mã tài khoản Google (sub), email, họ tên, URL ảnh đại diện, mốc thời gian và danh sách các quyền (grantedScopes) đã được cấp để vận hành phiên làm việc (các trường siêu dữ liệu hồ sơ này được lưu tách biệt với khối vé uỷ quyền encryptedTokens đã mã hoá AES-256-GCM).
    • Dữ liệu nội dung không lưu trữ: Toàn bộ bình luận kênh, số liệu thống kê phân tích (Analytics), đánh giá doanh nghiệp và số liệu chiến dịch quảng cáo được truy vấn trực tiếp theo thời gian thực (live fetch) từ Google API khi hiển thị và không lưu trữ trên đĩa máy chủ của chúng tôi.
  • Thời gian lưu trữ và xoá dữ liệu: Dữ liệu kết nối chỉ tồn tại trong thời gian bạn duy trì liên kết. Bạn có thể chủ động xoá toàn bộ dữ liệu máy chủ và ngắt kết nối ngay lập tức bằng nút "Ngắt kết nối" (sẽ đồng thời thu hồi quyền tại Google) hoặc nút "Xoá toàn bộ dữ liệu của tôi" tại trang quản lý tài khoản https://connect.samnguyenphoto.com/app/account. Ngoài ra, bạn luôn có thể huỷ quyền truy cập bất kỳ lúc nào tại https://myaccount.google.com/permissions.

5. Cam kết không chia sẻ dữ liệu

Chúng tôi cam kết không bán, không cho thuê, không chuyển nhượng và không chia sẻ bất kỳ dữ liệu người dùng nào cho bất kỳ bên thứ ba nào, tuân thủ nghiêm ngặt Chính sách Dữ liệu Người dùng của Dịch vụ API Google (Google API Services User Data Policy), bao gồm các yêu cầu về Sử dụng Hạn chế (Limited Use requirements).

5a. Dịch vụ API YouTube

AutoVideo dùng Dịch vụ API YouTube (YouTube API Services) để tải video lên kênh của chính bạn. Khi dùng AutoVideo, bạn đồng thời đồng ý với Điều khoản dịch vụ YouTube. Dữ liệu Google xử lý theo Chính sách quyền riêng tư của Google. Bạn có thể thu hồi quyền của AutoVideo bất cứ lúc nào tại trang quyền bảo mật của Google.

6. Quyền của người dùng và hướng dẫn xoá dữ liệu

Bạn có toàn quyền kiểm tra, ngắt kết nối và xoá dữ liệu bất cứ lúc nào. Xem chi tiết từng bước tại trang Hướng dẫn xoá dữ liệu (Data Deletion).

7. Thông tin liên hệ (Contact Us)

Đơn vị phát triển: Sam Nguyễn Media

Đại diện: Nhiếp ảnh gia Sam Nguyễn

Email liên hệ chính thức: tuvan@samnguyenphoto.com

Website: https://samnguyenphoto.com

Địa chỉ: TP. Hồ Chí Minh, Việt Nam

II. ENGLISH VERSION

1. Introduction

AutoVideo is an automation platform developed by Sam Nguyen Media, comprising the AutoVideo desktop software and the AutoVideo Connect companion web application (https://connect.samnguyenphoto.com). It is designed to help content creators, educators, and businesses render short-form videos, manage comments, track channel metrics, and schedule automated uploads to their official YouTube channels, Google Drive, and connected platforms safely and transparently.

2. Information We Collect & Google API Scopes

When you connect your Google Account with AutoVideo or AutoVideo Connect, we only request the minimum permissions necessary to deliver the features you activate:

2.1. AutoVideo Desktop Application

YouTube Scopes
Upload and manage videos (https://www.googleapis.com/auth/youtube.upload) and view basic channel info (https://www.googleapis.com/auth/youtube.readonly): Used exclusively to upload your approved videos to your YouTube channel on your set schedule, and display your channel name and avatar on the dashboard.
Google Drive Scope
Store files in Google Drive (https://www.googleapis.com/auth/drive.file): Used to save your rendered videos and assets into an application-created folder on your personal or organization's Google Drive.
Account Info
Basic Google Profile (email address and account name) to verify user identity within your local app session.

2.2. AutoVideo Connect (Companion Web App)

Requested by the companion web application at https://connect.samnguyenphoto.com to provide centralized channel management, community interaction, and performance analytics:

YouTube Interaction
Manage YouTube comments and replies (https://www.googleapis.com/auth/youtube.force-ssl): Used to read comments on videos of the user's own channel (commentThreads.list with allThreadsRelatedToChannelId) and post replies authored directly by the user (comments.insert). Nothing is ever posted automatically.
YouTube Analytics
View YouTube Analytics reports (https://www.googleapis.com/auth/yt-analytics.readonly): Read-only access to retrieve the user's own channel performance metrics (views, watch time, subscriber changes) and render analytics charts on the dashboard.
Google Business
Manage Google Business Profile (https://www.googleapis.com/auth/business.manage): Used to list the user's verified business locations, read customer reviews, post user-authored replies, and publish local updates created by the user.
Google Ads
Google Ads reporting (https://www.googleapis.com/auth/adwords): Read-only access to view the user's Google Ads accounts and campaign performance statistics on the unified dashboard.
User Sign-in
User authentication and profile (openid, https://www.googleapis.com/auth/userinfo.email, https://www.googleapis.com/auth/userinfo.profile): Used for secure single sign-on, identifying the account, and displaying your name, email, and avatar in the user session.

3. How We Use Your Information

  • To upload videos directly to your YouTube channel and Google Drive upon your direct command.
  • To display upload status, schedule calendars, and channel metadata.
  • We do NOT use Google user data for advertising, behavioral tracking, data brokering, or training generalized AI models.

4. Data Protection, Storage Location & Data Retention

  • Data Protection in Transit (HTTPS/TLS): Public connections to AutoVideo Connect (https://connect.samnguyenphoto.com) and connections to Google OAuth/API endpoints (https://accounts.google.com/o/oauth2/v2/auth, https://oauth2.googleapis.com/token, https://oauth2.googleapis.com/revoke and APIs at https://*.googleapis.com/*) use HTTPS (TLS). The desktop application receives the authorization code through a local loopback listener at http://127.0.0.1 on the user's own device, following RFC 8252; exchanging the code for tokens with Google still uses HTTPS.
  • AutoVideo Desktop Application:
    • Stored on your own Google Drive: Rendered video files are stored directly on the user's own Google Drive. We do not store copies of your private videos on external servers.
    • OS Secure Local Storage: Where the desktop application backend directly holds Google OAuth tokens (access and refresh tokens), they are encrypted locally on the user's device using the operating system's native credential protection via Electron safeStorage (Windows DPAPI / macOS Keychain, stored as local *.enc files). No developer or owner Google account credentials are bundled, and desktop tokens are not sent to any central intermediary server.
  • AutoVideo Connect (Web App):
    • Server-side Token Encryption at Rest: OAuth accessToken, refreshToken, and idToken values are encrypted at rest on the application server using authenticated AES-256-GCM encryption with a unique 12-byte random initialization vector (IV) and integrity authentication tag (authTag), using a 32-byte encryption key derived via HKDF-SHA256 from a dedicated server configuration secret. Each user's record is stored in an isolated file indexed by the SHA-256 hash of their Google subject identifier (sub).
    • Session, OAuth & Access Controls: OAuth 2.0 authorization flows enforce PKCE (S256) and a single-use state parameter that is immediately unlinked upon redemption and expires after 10 minutes. Web sessions use signed cookies (av_sid) configured with Secure (over HTTPS), HttpOnly, and SameSite=Lax attributes (7-day maximum lifetime), with session ID regeneration upon OAuth login, per-session CSRF token verification on state-changing POST requests, and strict server-side scoping to the authenticated user's Google sub subject and granted scopes (grantedScopes).
    • Profile Information Retained: Outside the AES-256-GCM encryptedTokens payload, the user record retains only minimal plaintext JSON profile metadata required to operate the session: Google account ID (sub), email address, display name, avatar picture URL, timestamps, and the list of granted OAuth scopes.
    • Transient Content Data: Channel comments, analytics reports, business reviews, and Google Ads metrics are fetched live on demand via Google APIs and are not stored at rest on our servers.
  • Retention Period & Deletion: Data is retained only as long as you maintain an active connection. You can disconnect and permanently delete your server data at any time by clicking "Disconnect" (which also revokes tokens at Google) or "Delete all my data" on the Account page at https://connect.samnguyenphoto.com/app/account. Furthermore, you can revoke permissions at any time through the Google Security settings at https://myaccount.google.com/permissions.

5. Google API Services User Data Policy Compliance

AutoVideo's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

5a. YouTube API Services

AutoVideo uses YouTube API Services to upload videos to your own YouTube channel. By using AutoVideo, you agree to be bound by the YouTube Terms of Service. Google's handling of your data is governed by the Google Privacy Policy. You can revoke AutoVideo's access to your data at any time via the Google security settings page.

6. How to Delete Your Data & Revoke Access

You can delete your stored tokens and revoke access at any time through the app settings or via the Google Security permissions portal at https://myaccount.google.com/permissions. Full instructions are available on our Data Deletion Instructions page.

7. Contact Information

Developer: Sam Nguyen Media

Representative: Sam Nguyen

Official Contact Email: tuvan@samnguyenphoto.com

Website: https://samnguyenphoto.com

Address: Ho Chi Minh City, Vietnam