Quyền riêng tư · Cookie · Quảng cáo · Cập nhật ngày 23 tháng 10 năm 2026

Trang này thu thập những gì

Phiên bản ngắn: gần như không có gì, và bạn có thể tự kiểm chứng.

1. Ai vận hành trang này

SaveSaveSaveSave (savesavesavesave.xyz) do Stefan Tsezarov, Bulgaria, vận hành như một dự án độc lập. Anh quyết định trang này xử lý gì và vì sao, và là bên kiểm soát việc xử lý đó theo Quy định chung về bảo vệ dữ liệu của EU (GDPR). Liên hệ về bất cứ điều gì trong chính sách này: savesavesavesave@tuta.io.

2. Quét tin nhắn hoặc prompt

Khi bạn dán văn bản vào trình quét tin nhắn, việc phân tích chạy hoàn toàn bằng JavaScript trong chính trình duyệt của bạn. Văn bản không được tải lên, không được ghi nhật ký, không được lưu và không được cho ai xem. Khi bạn đóng tab, nó biến mất.

Bạn có thể tự kiểm tra phần này. Mở công cụ dành cho nhà phát triển của trình duyệt, chuyển sang tab Network, dán một tin nhắn và nhấn Quét. Văn bản của bạn không nằm trong bất kỳ yêu cầu nào. Yêu cầu duy nhất bạn sẽ thấy là bộ đếm lượt quét gửi đến Worker của chúng tôi (mục 5), và nó hoàn toàn không được gửi nếu trình duyệt của bạn dùng Global Privacy Control. Đó là kiểm tra một lượt truy cập, không phải bằng chứng cho mọi lượt truy cập có thể có.

Không có script của bên thứ ba nào chạy trên trang trình quét. Trang chứa tin nhắn của bạn và kết quả của nó không tải quảng cáo, công cụ xin đồng ý hay script phân tích nào. Content-Security-Policy của nó chỉ cho phép script từ chính trang này và chỉ cho phép trang kết nối đến các dịch vụ địa chỉ và gói ở mục 4 cùng Worker của chúng tôi; trình duyệt thực thi điều đó. Nếu không, mã từ các trang khác có thể đọc những gì có trên trang, nên giữ nó ngoài trang này là biện pháp kiểm soát, không phải một lời hứa về việc mã đó sẽ làm gì. Tiện ích trình duyệt có quyền truy cập trang này có thể đọc được thông tin nhập ở đây.

Spot the Trap. Trên các trang thử thách, câu trả lời bạn chọn ở lại trong trang khi trang còn mở. Nó không được gửi đi, không được ghi vào bộ nhớ trình duyệt, và không nằm trong liên kết hay thẻ chia sẻ; tải lại trang sẽ bắt đầu lại lượt chơi. Từng trang thử thách không tải quảng cáo, phân tích hay script của bên thứ ba. Danh sách thử thách tại /spot-the-trap có quảng cáo Google ở các cột bên trên màn hình rộng (mục 7); nó không chứa thử thách hay câu trả lời nào. Như mọi trang, chúng được Cloudflare phân phối, và Cloudflare nhận thông tin yêu cầu thông thường như địa chỉ IP của bạn.

2a. Bước kiểm tra spyware

Trên trang kiểm tra spyware, những gì bạn kiểm tra ở lại trong trình duyệt của bạn: một tin nhắn được dán, và một bản thu thập Android bạn chọn, chỉ được đọc và so sánh trong tab đó. Chúng không được tải lên, không được lưu trong trình duyệt và không được gửi đến chúng tôi hay ai khác. Kết quả chỉ được tải xuống khi bạn nhấn “Lưu kết quả này”. Trang không có phân tích, quảng cáo hay bộ đếm lượt quét.

Khi bạn nhấn “Tải danh sách”, trình duyệt của bạn tải các danh sách dấu hiệu đã công bố từ trang này. Yêu cầu đó đến Cloudflare, nhà cung cấp hosting của chúng tôi, kèm siêu dữ liệu kết nối của mọi yêu cầu trang (địa chỉ IP, user-agent của trình duyệt, thời gian và các tệp danh sách được yêu cầu), và được xử lý như mọi yêu cầu khác (mục 8). Nó không chứa gì bạn kiểm tra. Không trang nào khác được liên hệ, và không địa chỉ nào khớp với danh sách từng được mở.

Cloudflare cũng thêm một chỉ dẫn “Network Error Logging” tiêu chuẩn vào phản hồi của mình. Nếu kết nối đến trang này thất bại, trình duyệt của bạn có thể báo cáo lỗi đó (địa chỉ nó đã thử, lỗi, thời gian và địa chỉ IP của bạn) cho Cloudflare tại a.nel.cloudflare.com. Các yêu cầu thành công không được báo cáo. Đây là một phần của hosting, không phải của bước kiểm tra spyware, và không bao giờ chứa những gì bạn kiểm tra.

3. Quét một địa chỉ hoặc token crypto

Phần này có dùng mạng, vì dữ liệu bảo mật nằm ở nơi khác. Khi bạn kiểm tra một địa chỉ, chính địa chỉ đó và mã định danh chuỗi được gửi đến một nhà cung cấp dữ liệu bảo mật bên thứ ba, và với kiểm tra trừng phạt thì đến một node blockchain công khai qua proxy của chúng tôi.

Những gì được gửi là địa chỉ và chuỗi. Những gì không được gửi là tin nhắn chứa địa chỉ, bất kỳ văn bản nào khác trên trang, hay bất cứ thứ gì nhận dạng bạn ngoài thông tin thông thường mà mọi yêu cầu web mang theo (địa chỉ IP và user-agent của trình duyệt, thứ mà mọi trang web bạn truy cập đều nhận được).

Nếu một địa chỉ đến từ tin nhắn bạn đã dán, chỉ địa chỉ được gửi đi. Tin nhắn ở lại trong trình duyệt của bạn.

Kiểm tra một gói npm. Khi bạn kiểm tra một gói, tên của nó (và phiên bản, nếu bạn cung cấp) được gửi từ trình duyệt của bạn đến registry npm và bộ đếm lượt tải của npm (registry.npmjs.org, api.npmjs.org) và đến OSV.dev (api.osv.dev), cơ sở dữ liệu lỗ hổng mở của Google. Như mọi yêu cầu web, chúng mang theo địa chỉ IP và user-agent của bạn. Không gì khác được gửi, mã của gói không bao giờ được tải xuống hay chạy, và không gì về lần kiểm tra đến được nhà quảng cáo.

4. Các bên thứ ba nhận được dữ liệu

Ai chịu trách nhiệm về điều gì. Cloudflare (phân phối trang, Worker của chúng tôi, Web Analytics) xử lý dữ liệu yêu cầu cho trang này thay mặt đơn vị vận hành, theo điều khoản xử lý dữ liệu của Cloudflare; yêu cầu về dữ liệu đó gửi đến chúng tôi (mục 9). GoPlus, PublicNode, npm, OSV.dev và Google nhận yêu cầu trực tiếp từ trình duyệt của bạn, hoặc từ Worker của chúng tôi cho các bước kiểm tra bạn khởi động, và tự quyết định những gì họ lưu giữ; mỗi bên làm vậy theo chính sách quyền riêng tư riêng, mà trang này không kiểm soát.

Chuyển dữ liệu ra ngoài EU. Một số nhà cung cấp này được thành lập, hoặc xử lý dữ liệu, bên ngoài Khu vực Kinh tế Châu Âu, kể cả tại Hoa Kỳ. Khi đơn vị vận hành chuyển dữ liệu cho một nhà cung cấp hành động thay mặt mình, việc chuyển dựa trên điều khoản xử lý dữ liệu của nhà cung cấp đó, bao gồm các điều khoản hợp đồng tiêu chuẩn của Ủy ban Châu Âu, hoặc dựa trên Khung bảo mật dữ liệu EU–Hoa Kỳ nếu nhà cung cấp được chứng nhận theo khung đó.

5. Phân tích

Trang này dùng Cloudflare Web Analytics để đếm lượt xem trang trên mọi trang trừ trình quét. Cloudflare mô tả nó là không đặt cookie và không theo dõi bạn giữa các trang. Nó ghi lại URL trang, trang giới thiệu, quốc gia ước tính, loại trình duyệt và thiết bị, và thời gian tải trang.

Nó không được tải trên trang trình quét, nên không có mặt ở nơi hiển thị tin nhắn hoặc kết quả.

Bộ đếm lượt quét. Khi một lượt quét kết thúc, trang gửi một yêu cầu nhỏ đến Cloudflare Worker của chúng tôi, nêu loại quét (địa chỉ hay tin nhắn; với địa chỉ thì token hay ví và chuỗi) và kết luận đạt được. Worker cộng thêm một vào tổng số hằng ngày. Tổng số được lưu chỉ chứa những từ đó: không bao giờ có địa chỉ hay văn bản bạn đã quét, và không có cookie, ID hay địa chỉ IP. Trong thời gian nhật ký Worker được bật, chính yêu cầu đã được ghi lại cùng địa chỉ IP và các chi tiết yêu cầu khác của bạn. Việc ghi nhật ký yêu cầu thông thường của Worker đã được tắt ngày 20 tháng 10 năm 2026, bị phát hiện bật lại do một lần triển khai sau đó, và được tắt lại ngày 23 tháng 10 năm 2026. Cấu hình triển khai giờ giữ nó tắt, và một bài kiểm thử sẽ thất bại nếu nó bị thay đổi. Các bản ghi từ trước ngày 23 tháng 10 hết hạn theo thời gian lưu giữ của Cloudflare. Trình duyệt gửi Global Privacy Control sẽ không gửi yêu cầu đếm.

Các tổng số là công khai. Trang chủ hiển thị số lượt quét trong bảy ngày qua, và bất kỳ ai cũng có thể đọc cùng bản tóm tắt đó, chia theo loại và kết luận, tại địa chỉ thống kê công khai của Worker. Để hiển thị dòng đó, trang chủ hỏi Worker con số khi tải; yêu cầu đó không mang gì về các lượt quét của bạn. Lịch sử ghi nhật ký và cài đặt hiện tại được mô tả ở mục 8.

Thẻ cảnh báo. Sau kết quả FAIL hoặc CAUTION, bạn có thể tạo hình ảnh “Chia sẻ cảnh báo này”. Nó được vẽ trong trình duyệt của bạn từ kết quả đã có trên màn hình và không bao giờ được tải lên cho chúng tôi. Thẻ cho lượt quét tin nhắn không chứa văn bản tin nhắn, chỉ có các mô tả cố định về những gì đã tìm thấy. Hình ảnh đi đâu sau đó là tùy bạn.

6. Cookie và bộ nhớ trình duyệt

Mã của chính trang này không đặt cookie nào và không ghi gì vào localStorage, sessionStorage hay IndexedDB. Mã của chúng tôi không lưu dữ liệu quét bạn nhập vào bộ nhớ trình duyệt. Việc phân tích tin nhắn chạy cục bộ, và mã của chúng tôi không truyền hay lưu văn bản tin nhắn. Việc kiểm tra địa chỉ có thể liên quan đến lưu trữ bên ngoài trình duyệt của bạn, bao gồm bộ nhớ đệm biên ngắn hạn và nhật ký yêu cầu từ trước ngày 23 tháng 10 năm 2026, được mô tả ở mục 4 và 8.

Quảng cáo của Google là chuyện khác. Việc hiển thị quảng cáo, và hộp thoại xin đồng ý đi kèm, có thể đặt cookie trong trình duyệt của bạn. Chúng do Google kiểm soát, không phải chúng tôi. Không gì trên trang này đọc chúng.

Nếu bạn ở EU hoặc EEA, công cụ xin đồng ý của Google sẽ hiển thị thông báo trước khi quảng cáo cá nhân hóa chạy, và sẽ ghi lại câu trả lời của bạn. Bạn có thể thay đổi sau qua cùng hộp thoại.

Trình chặn quảng cáo sẽ loại bỏ tất cả. Chúng tôi không phát hiện nó, không yêu cầu bạn tắt nó, và trình quét hoạt động y hệt dù có hay không.

7. Quảng cáo

Một số trang hướng dẫn và danh sách thử thách Spot the Trap có quảng cáo. Trình quét thì không bao giờ. Nhà cung cấp là Google AdSense, ID nhà xuất bản ca-pub-7192453271158919, hiển thị trong hai cột có nhãn ở hai bên màn hình rộng. Nó hoàn toàn không hiển thị trên điện thoại hay cửa sổ hẹp.

Quảng cáo bị tắt hoàn toàn trên trình quét và trên những trang mà nó có thể gây hại, và trên các trang đó, các host quảng cáo bị loại khỏi cả Content-Security-Policy riêng của trang lẫn mã đánh dấu, nên không gì có thể tải dù là vô tình:

• Mười hai từ, Đọc từ bên phải, Chỉ thị không phải do bạn viết, Văn bản bạn không nhìn thấy và Địa chỉ bạn không được thanh toán — có người có thể đang đọc chúng trong lúc bị lừa, và một liên kết thương mại cạnh lời cảnh báo đó có thể bị nhầm là khuyến nghị của chúng tôi.
• Chính trình quét — mã quảng cáo chạy trên trang chứa tin nhắn của bạn có thể đọc được nó, nên nó hoàn toàn không có ở đó. Cho đến ngày 20 tháng 10 năm 2026, trình quét có quảng cáo ở các cột bên.
• Trang này và Điều khoản — một cam kết không nên bị quảng cáo bao quanh.

Từ ngày 18 đến 20 tháng 9 năm 2026, mọi trang đều có mã quảng cáo, kể cả bốn trang đó. Đó là một mặc định chứ không phải một quyết định, và đã được sửa. Danh sách đầy đủ những trang có quảng cáo và lý do nằm trong apply-ads.js ở kho mã công khai.

Vào thời điểm viết, trang vẫn đang được Google xem xét, nên các ô quảng cáo còn lại thường trống, và một ô không có gì để hiển thị giờ sẽ ẩn đi thay vì hiển thị một hộp có nhãn trống.

Những gì Google nhận là URL trang, địa chỉ IP, user-agent của bạn và bất cứ điều gì cookie riêng của Google cho nó biết — giống như trên hầu hết các trang sống nhờ quảng cáo. Google xử lý những dữ liệu đó theo chính sách riêng, mà trang này không kiểm soát.

Những cam kết sau là một phần của chính sách này:

• Không nhà quảng cáo nào có thể tác động đến một kết luận, và không khoản thanh toán nào có thể xóa hay hạ mức một phát hiện rủi ro.
• Quảng cáo được gắn nhãn là quảng cáo, nằm ngoài khu vực kết quả quét, và không có trên các hướng dẫn giải thích lừa đảo.
• Dữ liệu quét không bao giờ được bán, chia sẻ hay tổng hợp cho mục đích của người khác.
• Sẽ không chấp nhận tài trợ từ một dự án mà trình quét này có thể cần đánh giá một cách hợp lý.

8. Những gì được lưu, vì sao và trong bao lâu

Không có hệ thống tài khoản, không có lịch sử quét và không có danh sách e-mail. Những gì được lưu giữ, và bởi ai:

• Văn bản tin nhắn: không bao giờ được gửi, nên không bao giờ được lưu.
• Tổng số lượt quét hằng ngày (mục 5): chỉ loại, chuỗi và kết luận, được giữ dưới dạng tổng số công khai.
• Nhật ký yêu cầu Cloudflare cho Worker của chúng tôi. Việc ghi nhật ký yêu cầu thông thường của Worker đã được tắt ngày 20 tháng 10 năm 2026, bị phát hiện bật lại do một lần triển khai sau đó, và được tắt lại ngày 23 tháng 10 năm 2026. Cấu hình triển khai giờ giữ nó tắt, và một bài kiểm thử sẽ thất bại nếu nó bị thay đổi. Các bản ghi từ trước ngày 23 tháng 10 hết hạn theo thời gian lưu giữ của Cloudflare. Khi nó còn bật, các bản ghi bao gồm URL yêu cầu (có thể chứa địa chỉ được kiểm tra), địa chỉ IP, user-agent, trang giới thiệu, ngôn ngữ, ước tính vị trí do Cloudflare cung cấp và thời gian. Ước tính vị trí không phải bằng chứng truy cập GPS của thiết bị bạn. Nhật ký lỗi và truy vết của Worker cũng đã tắt. Điều này áp dụng cho Worker kiểm tra địa chỉ, không áp dụng cho việc ghi nhật ký riêng của khâu phân phối trang hay của nhà cung cấp thượng nguồn.
• Bộ nhớ đệm biên Cloudflare: câu trả lời GoPlus do Worker lấy về, theo khóa là địa chỉ, tối đa 15 phút.
• Các bên thứ ba ở mục 4 lưu giữ những gì họ nhận được theo chính sách riêng.

Vì sao mỗi loại xử lý diễn ra (cơ sở pháp lý theo Điều 6 GDPR):

• Phân phối trang và bảo vệ trang cùng Worker (dữ liệu yêu cầu tại Cloudflare, bao gồm địa chỉ IP của bạn): lợi ích chính đáng, Điều 6(1)(f). Một trang web không thể được phân phối hay bảo vệ khỏi lạm dụng nếu thiếu nó.
• Các bước kiểm tra địa chỉ, ví, token và gói do bạn khởi động: lợi ích chính đáng, Điều 6(1)(f), nhằm đưa cho bạn kết quả bạn yêu cầu. Không gì được gửi cho đến khi bạn nhấn kiểm tra.
• Bộ đếm lượt quét và Cloudflare Web Analytics: lợi ích chính đáng, Điều 6(1)(f), nhằm biết ở mức tổng hợp liệu trang có được sử dụng hay không. Trình duyệt gửi Global Privacy Control không gửi bộ đếm lượt quét.
• Cookie quảng cáo và quảng cáo cá nhân hóa trên các trang hướng dẫn: sự đồng ý của bạn, được công cụ xin đồng ý của Google thu thập khi luật yêu cầu. Bạn có thể rút lại bất cứ lúc nào qua cùng hộp thoại; việc rút lại không ảnh hưởng đến những gì trước đó.
• E-mail bạn gửi cho chúng tôi: lợi ích chính đáng trong việc trả lời bạn; với yêu cầu về bảo vệ dữ liệu, nghĩa vụ pháp lý phải phản hồi, Điều 6(1)(c). E-mail được xóa 12 tháng sau khi vụ việc khép lại, trừ khi cần để xác lập hoặc bảo vệ một yêu cầu pháp lý.

Không có quyết định nào có hiệu lực pháp lý hoặc ảnh hưởng đáng kể tương tự về bạn được đưa ra bằng phương tiện tự động. Một kết luận mô tả một địa chỉ, gói hoặc tin nhắn, không phải bạn.

9. Quyền của bạn

Theo GDPR, bạn có quyền yêu cầu truy cập dữ liệu cá nhân của mình, chỉnh sửa hoặc xóa nó, hạn chế việc xử lý nó, và nhận một bản sao có thể chuyển giao khi áp dụng. Bạn có thể phản đối bất cứ lúc nào việc xử lý dựa trên lợi ích chính đáng (mục 8), và rút lại sự đồng ý bất cứ lúc nào khi việc xử lý dựa trên nó.

Gửi yêu cầu đến savesavesavesave@tuta.io. Bạn sẽ nhận được câu trả lời không chậm trễ quá mức và trong vòng một tháng; nếu yêu cầu phức tạp và cần lâu hơn, bạn sẽ được cho biết lý do trong tháng đó. Chúng tôi chỉ hỏi thông tin cần để tìm dữ liệu liên quan, mặc định không bao giờ yêu cầu giấy tờ tùy thân. Vì trang không có tài khoản, chúng tôi có thể cần các chi tiết như địa chỉ bạn đã kiểm tra và thời gian gần đúng để tìm bất kỳ bản ghi nào. Đừng đưa cụm từ khôi phục, mật khẩu, khóa riêng hay mã xác thực vào yêu cầu của bạn.

Điều này bao gồm dữ liệu được Cloudflare xử lý cho trang này thay mặt chúng tôi, kể cả nhật ký yêu cầu Worker trước đây: chúng tôi xử lý yêu cầu và nhờ Cloudflare hỗ trợ khi cần. Dữ liệu mà một nhà cung cấp ở mục 4 nhận trực tiếp và nắm giữ với tư cách bên kiểm soát riêng nằm ngoài tầm truy cập của chúng tôi; chúng tôi sẽ cho bạn biết nhà cung cấp nào nắm giữ nó và cách liên hệ họ.

Bạn cũng có quyền khiếu nại với một cơ quan bảo vệ dữ liệu. Ở Bulgaria đó là Ủy ban Bảo vệ Dữ liệu Cá nhân (cpdp.bg); bạn cũng có thể khiếu nại tại quốc gia EU nơi bạn sống hoặc làm việc.

10. Trẻ em

Trang này không hướng đến trẻ em. Tuy vậy, siêu dữ liệu yêu cầu và việc lưu trữ được mô tả ở trên vẫn có thể bao gồm dữ liệu cá nhân, nên việc không có hệ thống tài khoản không có nghĩa là không có dữ liệu cá nhân nào được xử lý.

11. Bảo mật

Trang chỉ được phục vụ qua HTTPS, với Content-Security-Policy nghiêm ngặt, HTTP Strict Transport Security và tắt nhúng khung. Đừng bao giờ nhập cụm từ khôi phục, khóa riêng, mật khẩu hoặc mã xác thực vào trang này — hay vào bất kỳ hệ thống AI nào. Không dịch vụ chính đáng nào cần chúng, và trang này không có trường nào yêu cầu chúng.

12. Thay đổi chính sách này

Các thay đổi quan trọng sẽ được phản ánh ở đây cùng ngày mới ở đầu trang. Những thay đổi ảnh hưởng đến những gì rời khỏi trình duyệt của bạn sẽ được mô tả rõ ràng thay vì gộp vào cách diễn đạt chung chung.

13. Liên hệ

Câu hỏi, đính chính và yêu cầu về quyền riêng tư: savesavesavesave@tuta.io.

Bất cứ điều gì không liên quan đến dữ liệu của chính bạn — một đính chính thực tế, một lỗi, một đề xuất — cũng được hoan nghênh công khai tại trình theo dõi issue của dự án. Địa chỉ e-mail ở trên là cách không cần tài khoản GitHub, và là cách luôn hoạt động.

Trang này mô tả cách trang web hoạt động. Đây không phải tư vấn pháp lý, và không phải tuyên bố tuân thủ bất kỳ luật cụ thể nào. Nếu bạn cần sự bảo đảm đó cho việc sử dụng trang của riêng mình, hãy tìm tư vấn riêng.