Chính sách quyền riêng tư

Cập nhật lần cuối: 22 tháng 10 năm 2026

Phiên bản ngắn gọn. Các tài liệu, hình ảnh, video và tệp bạn tạo trong Lolly luôn ở lại trên thiết bị của bạn. Không có tài khoản cho việc sử dụng thông thường, không có cookie từ chính ứng dụng và không có bất kỳ phân tích hay trình theo dõi nào trong mã nguồn - không phải kiểu "chúng tôi không dùng dữ liệu đó," mà thực sự không tồn tại trong mã nguồn. Có một danh sách ngắn gọn, đầy đủ về các trường hợp ngoại lệ khi phần mềm có giao tiếp với mạng, và mỗi trường hợp đều được mô tả chi tiết bên dưới: những gì rời đi, đến ai và khi nào. Ngoại lệ duy nhất liên quan đến bất kỳ điều gì mang tính cá nhân là việc đăng nhập mà bạn phải chủ động bắt đầu. Nếu điều đó không có trong tài liệu này, nó sẽ không xảy ra.

Chính sách này bao gồm những gì

Lolly là phần mềm mã nguồn mở - một engine, nhiều lớp vỏ ứng dụng (web, desktop, mobile, CLI) và một tiện ích mở rộng trình duyệt - mà bất kỳ ai cũng có thể chạy. Chính sách này có hai phần:

• Bản thân phần mềm: nó làm gì và không làm gì với dữ liệu của bạn, dù chạy ở đâu. Đây là một đặc tính của mã nguồn, nên đúng với mọi bản triển khai Lolly, của chúng tôi hay của bất kỳ ai khác.
• lolly.tools, bản triển khai tham chiếu do SUSE vận hành: các lựa chọn cụ thể khi chạy các thành phần phía máy chủ tùy chọn của nó (ghi log những gì, trong bao lâu, bởi ai).

Nếu bạn đang dùng một thực thể Lolly tự lưu trữ hoặc dành cho doanh nghiệp, hành vi phần mềm bên dưới vẫn áp dụng, nhưng bên vận hành thực thể đó - không phải SUSE - chịu trách nhiệm về bất kỳ phần nào phía máy chủ: điểm cuối render của họ, máy chủ MCP của họ, cơ quan cấp chứng chỉ Content Credentials của họ, nếu họ vận hành một cơ quan như vậy. Hãy hỏi họ về chính sách riêng của họ. Xem Áp dụng & Quản trị để biết việc vận hành Lolly liên quan đến những gì.

Ứng dụng: những gì ở lại trên thiết bị của bạn

Các lớp vỏ web, desktop và mobile của Lolly chạy toàn bộ engine render phía khách. Mở một công cụ, điền dữ liệu đầu vào, xem trước và xuất tệp đều diễn ra trên thiết bị của bạn - không có máy chủ nào tham gia, và ứng dụng hoạt động ngoại tuyến sau khi đã tải xong.

Ứng dụng không đặt bất kỳ cookie nào. Để hoạt động, nó giữ một lượng nhỏ dữ liệu chỉ trên thiết bị của bạn, không bao giờ được truyền đi:

• Tùy chọn giao diện - chủ đề, ngôn ngữ, cài đặt âm thanh, kích cỡ thanh bên/thu phóng, lựa chọn sắp xếp và chế độ xem, các mẹo hướng dẫn bạn đã xem - trong localStorage, để có sẵn trước khi ứng dụng khởi động xong.
• Bộ nhớ đệm ngoại tuyến của danh mục công cụ và ảnh xem trước tài sản, để thư viện hoạt động mà không cần kết nối.
• Bộ đếm sử dụng cục bộ cho số liệu thống kê trên thẻ hồ sơ của bạn (bao nhiêu lượt xuất, công cụ nào) - một khối dữ liệu nhỏ có giới hạn trong localStorage, không bao giờ được chúng tôi đọc, không bao giờ được gửi đi đâu cả.
• Tài liệu của riêng bạn, các phiên đã lưu, tài sản và phông chữ đã tải lên - được lưu trong IndexedDB trên thiết bị của bạn, không bao giờ được tải lên, không bao giờ được ai đọc ngoài bạn.

Không cái nào trong số này được chia sẻ, bán hay dùng để nhận dạng hoặc theo dõi bạn. Không có gì cần đồng ý, vì không có việc thu thập nào diễn ra - chỉ có thông báo này, để bạn biết những gì được giữ lại và ở đâu. Việc xóa bộ nhớ của trang trong trình duyệt của bạn sẽ xóa toàn bộ những thứ đó bất cứ lúc nào, và Cài đặt → Bộ nhớ → Xóa toàn bộ dữ liệu của tôi cũng làm điều tương tự, đồng thời tắt Sync trước tiên. (Theo Chỉ thị ePrivacy Điều 5(3), việc lưu trữ thực sự cần thiết cho dịch vụ bạn yêu cầu không cần sự đồng ý - chỉ cần minh bạch, và đó chính là điều tài liệu này và thông báo trong ứng dụng cùng thể hiện.)

signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KBTự kiểm chứngTải tệp đã ký signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KBTự kiểm chứngTải tệp đã ký

Bản sao lưu dữ liệu của riêng bạn - gói lolly-backup được tạo bởi Xuất dữ liệu của tôi - là một tệp bạn giữ và kiểm soát. Nó không bao giờ chạm vào máy chủ của chúng tôi trừ khi bạn tự chọn gửi nó đi đâu đó. Xem Chuyển dữ liệu.

Tiện ích trên thiết bị

Một số công cụ - Strip Hidden Data, Compress PDF và những công cụ khác mang huy hiệu "Chạy trên thiết bị của bạn" - hoạt động trên một tệp do bạn cung cấp. Tệp được đọc vào bộ nhớ trong trình duyệt của bạn, biến đổi cục bộ và cung cấp lại dưới dạng tệp tải xuống. Nó không bao giờ được tải lên, vì không có máy chủ nào trong luồng xử lý để tải lên. Các tiện ích này hoạt động ngoại tuyến, và kết quả của chúng không mang bất kỳ hình mờ hay siêu dữ liệu nào của chúng tôi - mục đích của phần lớn các công cụ này là loại bỏ & bảo vệ dữ liệu, chứ không phải thêm rủi ro.

signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KBTự kiểm chứngTải tệp đã ký signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KBTự kiểm chứngTải tệp đã ký

Prepare for sharing giữ các đầu vào đang xử lý, các phát hiện riêng tư và bản đồ thay thế trong bộ nhớ, mà không tự động thêm chúng vào history, liên kết, bản sao lưu hay sync. Việc kiểm tra và thay thế không gửi nội dung file lên máy chủ hay xác thực thông tin đăng nhập trực tuyến. Người dùng chọn có sao chép, tải xuống, gửi hay chủ động lưu kết quả vào thư viện của mình hay không; một kết quả đã lưu sau đó tuân theo các thiết lập sao lưu và sync thông thường của thư viện. Các file recipe bỏ qua các payload trước đó và các ánh xạ nguyên văn. Các báo cáo tóm tắt chứa số lượng, scope ID và hash của file. CLI cũng có thể lưu một file review riêng tư chứa các giá trị gốc, chỉ khi được yêu cầu rõ ràng bằng --review-file. Việc xóa hoặc rời khỏi một khung xem chuẩn bị (preparation view) trên trình duyệt sẽ giải phóng trạng thái đang xử lý của nó; đây không phải là một lời hứa xóa dấu vết pháp y khỏi bộ nhớ trình duyệt hay hệ điều hành.

Mọi yêu cầu mạng mà ứng dụng có thể thực hiện

Bảng dưới đây là danh sách đầy đủ mọi thứ ứng dụng lấy về hoặc gửi đi qua mạng. Nếu không có ở đây, ứng dụng không làm điều đó.

Mọi máy chủ cố định trong bảng đó cũng là toàn bộ danh sách cho phép trong Content-Security-Policy của ứng dụng, thứ mà trình duyệt thực thi. Vì vậy danh sách này không chỉ là một mô tả về những gì mã nguồn làm hôm nay, nó là ranh giới mà trình duyệt buộc ứng dụng phải tuân theo: một thay đổi trong tương lai cố liên hệ với một máy chủ khác sẽ bị chặn, chứ không được âm thầm cho qua. Một hàng là ngoại lệ có chủ đích, và chính ô của nó đã nói rõ điều đó: Send to LinkedIn chỉ tồn tại trong các ứng dụng desktop, nên chính sách của ứng dụng web không nêu tên bất kỳ máy chủ nào trong hai máy chủ đó - ứng dụng web sẽ không thể liên hệ được chúng dù mã nguồn của nó có cố thử. Hai hàng khác, Bluesky và Discord, cũng chỉ dành cho desktop theo cách tương tự, và máy chủ của chúng bị loại khỏi chính sách web vì cùng lý do đó. Năm hàng không có máy chủ cố định, vì bạn chọn địa chỉ ngay tại thời điểm sử dụng: một URL bạn yêu cầu công cụ chụp lại, một instance từ xa bạn trỏ shell đến, và máy chủ Mastodon, máy chủ WebDAV hay bucket S3 của riêng bạn (hai loại sau cũng dùng làm nơi lưu đồng bộ). Không cái nào trong số đó có trong chính sách, và mỗi trường hợp chỉ xảy ra khi bạn gõ một địa chỉ và thực hiện hành động với nó. Hàng Penpot tiếp cận Penpot qua chính origin của ứng dụng, nên nó được bao phủ bởi 'self'. Một triển khai không muốn dùng bất kỳ tùy chọn nào trong số đó (chẳng hạn một instance doanh nghiệp với phông chữ riêng) sẽ loại các máy chủ đó khỏi chính sách của mình, và các tính năng tương ứng sẽ ngừng hoạt động thay vì cố liên hệ ra ngoài.

Ngoại trừ hai loại hàng, không cái nào trong số này gửi tài liệu, dự án, phiên làm việc hay tệp đã tải lên của bạn đi đâu cả: chúng tồn tại để mang mọi thứ đến thiết bị của bạn (công cụ, phông chữ, mô hình). Hai loại đó là các hàng Gửi (Send), gửi đi tệp duy nhất bạn đã chọn, và hàng đồng bộ, gửi một bản sao công việc của bạn đến nơi lưu trữ bạn chọn và không đến bất kỳ máy chủ Lolly nào. Mọi ngoại lệ khác đều được nêu rõ ràng trong các phần bên dưới.

Một lưu ý về những gì chúng tôi đã loại bỏ. Verify có thể kiểm tra chữ ký SEAL, một cơ chế mà khóa ký của tệp được công bố trong DNS. Trình duyệt không thể thực hiện truy vấn DNS, nên bất kỳ triển khai web nào cũng phải định tuyến việc tra cứu qua một trình phân giải DNS-over-HTTPS của bên thứ ba - điều này sẽ cho bên vận hành đó thấy tên miền đang được kiểm tra cộng với địa chỉ IP của bạn. Trước đây chúng tôi từng dùng của Cloudflare. Chúng tôi không dùng nữa, và không có sự thay thế nào: Verify giờ không truyền bất kỳ trình phân giải nào cả, nên xác minh SEAL không tạo ra bất kỳ yêu cầu mạng nào. Hiện không ứng dụng Lolly nào tra cứu khóa SEAL trong DNS: ứng dụng desktop và di động chạy cùng màn hình Verify, còn lệnh lolly validate trên dòng lệnh không kiểm tra SEAL. Một tệp có bản ghi SEAL mang khóa nội tuyến được kiểm tra ngoại tuyến, và Verify gọi chữ ký là nhất quán nội bộ mà không xác nhận tên miền. Một tệp có khóa chỉ nằm trong DNS sẽ hiện SEAL signature did not verify, kèm lý do "no key resolver and no inline key".

signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KBTự kiểm chứngTải tệp đã ký signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KBTự kiểm chứngTải tệp đã ký Bạn có thể tự xác nhận điều này: các kiểm tra có thể grep được cho tuyên bố này và mọi tuyên bố khác trên trang này, cùng các lệnh chính xác và kết quả mong đợi, có tại Tự Xác Minh.

URL render liên kết trực tiếp

Đang hoạt động trên lolly.tools. Mọi URL https://lolly.tools/tool/<tool-id>.<ext>?<inputs> đều render thật sự, và các dữ liệu đầu vào đi cùng ngay trong URL đó. Phần bên dưới nói rõ điều đó có ý nghĩa gì với bạn, và một bên vận hành có thể tắt tính năng này trên instance riêng của họ.

Bản thân ứng dụng ở lại hoàn toàn trên thiết bị của bạn. Riêng biệt, một bên vận hành có thể bật URL render liên kết trực tiếp - /tool/<tool-id>.<ext>?<inputs> - để một liên kết Lolly được chia sẻ có thể xuất hiện như một hình ảnh sống trong README, wiki hay bảng điều khiển. Việc lấy về một liên kết như vậy yêu cầu máy chủ render dữ liệu công cụ và danh mục công khai với các dữ liệu đầu vào được ghi trong URL.

• Không tài khoản, không cookie, không trạng thái. Endpoint này ẩn danh, và không có gì trên thiết bị của bạn bị đọc. Tài liệu, phiên làm việc và tệp tải lên của bạn không bao giờ rời khỏi trình duyệt của bạn - chúng hoàn toàn không thể xuất hiện trong các liên kết này.
• Nhưng chính URL lại được ghi lại. Chuỗi truy vấn của một URL là một phần của dòng yêu cầu, nên nó xuất hiện trong nhật ký truy cập thông thường của nền tảng lưu trữ, giống như mọi đường dẫn được yêu cầu khác. Nếu đầu vào của một liên kết chứa tên hoặc email của ai đó - một thẻ tên, một chữ ký email - văn bản đó sẽ nằm trong những nhật ký đó, và không câu chữ chính sách nào có thể thay đổi điều đó. Vì vậy một URL liên kết trực tiếp không phải là nơi để đặt thông tin cá nhân: chỉ nên đưa vào đó những gì bạn sẵn sàng đặt trên một trang công khai.
• Các đầu vào vốn đã công khai theo bản chất dù sao đi nữa - chúng là bất cứ điều gì tác giả của liên kết đã nhập vào URL, ai nhận được liên kết cũng đọc được. Đừng đặt bí mật vào một liên kết được chia sẻ. Lolly cung cấp mã hóa liên kết cho nội dung nhạy cảm.
• Các phản hồi được lưu vào bộ nhớ đệm và giới hạn tốc độ giống như bất kỳ hình ảnh công khai nào, và được đánh dấu noindex để công cụ tìm kiếm không lập chỉ mục các bản kết xuất của bạn.

Tự lưu trữ Lolly và không muốn một bề mặt render công khai? Đặt LOLLY_DISABLE_RENDER_GET=1 và mọi URL trong số này sẽ trả về 404.

Máy chủ MCP (tùy chọn, dành cho các tác nhân AI)

Lolly cũng có thể được một tác nhân AI truy cập qua Model Context Protocol - một điểm cuối do bên vận hành chạy (lolly.tools chạy một điểm cuối như vậy; bất kỳ ai cũng có thể tự lưu trữ riêng, kể cả hoàn toàn cách ly mạng). Nó chia sẻ lập trường không tài khoản của luồng render, cộng thêm bốn công cụ tất yếu phải xử lý byte tệp:

• lolly_transform (chạy một tiện ích trên thiết bị ở phía máy chủ, thay mặt cho tác nhân gọi), lolly_verify (kiểm tra Content Credentials) và lolly_redact (che các vùng của một hình ảnh hoặc PDF) đều nhận byte của một tệp từ bên gọi. Chúng được xử lý trong tiến trình, trong bộ nhớ, và kết quả được trả về ngay trong cùng lệnh gọi đó - tệp không bao giờ được ghi vào đĩa và không bao giờ được lưu trữ sau khi yêu cầu hoàn tất.
• lolly_rebrand (chỉnh trang một bộ slide cũ theo một hệ thống thiết kế, qua các giai đoạn plan, compile và inspect của nó) nhận byte của bộ slide theo cùng cách đó, và xử lý chúng trong bộ nhớ, chỉ cho lệnh gọi đó - không có gì được ghi vào đĩa hay giữ lại sau khi phản hồi được gửi đi. Giai đoạn đầu tiên của nó, capabilities, nói rõ bằng lời byte của bạn sẽ đi đâu trước khi bạn gửi bất kỳ byte nào: trên một máy chủ cục bộ tự lưu trữ, bộ slide không bao giờ rời khỏi máy đó; trên một máy chủ được lưu trữ, gọi lolly_rebrand sẽ gửi bộ slide đến đó, trong giới hạn kích thước và số trang mà cùng giai đoạn đó cho biết.
• Các công cụ hình ảnh (lolly_look, lolly_sample_color và lolly_trace_edges) cũng có thể nhận một tệp hình ảnh từ bên gọi, được xử lý theo cùng cách: trong bộ nhớ, chỉ cho lệnh gọi đó. Mọi công cụ khác hoạt động từ các tham số trong lệnh gọi: văn bản, số, màu sắc, URL, id tài sản danh mục, hoặc một tài liệu do bên gọi cung cấp.
• Quyền truy cập là hoặc một token dùng chung mà bên vận hành cấp cho các ứng dụng khách họ tin tưởng, hoặc OAuth 2.1 không trạng thái: các token đã ký có thời hạn ngắn được xác minh dựa trên một bí mật dùng chung, không có gì được lưu trữ phía máy chủ và chính token không bao giờ được ghi vào nhật ký hay một URL render.

Danh tính Content Credentials (một lượt đăng nhập bạn phải tự khởi tạo)

Lolly có thể niêm phong một Content Credential mã hóa vào các tệp xuất của bạn để bất kỳ ai cũng có thể xác minh, ngoại tuyến, rằng một tệp không bị thay đổi kể từ khi rời khỏi Lolly. Điều đó bật theo mặc định và hoàn toàn cục bộ - khóa ký được tạo ra trên thiết bị của bạn và việc ký diễn ra ngoại tuyến. Nếu không đăng ký, khóa đó chỉ dùng một lần: một cặp khóa mới được đúc cho mỗi lần xuất và bị loại bỏ cùng với tệp đó. Khi bạn đăng ký, khóa trở thành một khóa lâu dài và được tạo ra ở dạng không thể trích xuất - ngay cả mã nguồn của chính Lolly cũng không thể đọc nó, chỉ có thể yêu cầu nó ký. Dù thế nào, nó cũng không bao giờ rời khỏi thiết bị của bạn. Phần này đề cập đến bước duy nhất tùy chọn thêm vào đó: đăng ký một danh tính đã xác minh, để các tệp xuất của bạn ghi "Verified - signed by \<your email\>" thay vì một khóa ẩn danh. Nếu bạn bỏ qua việc đăng ký, không gì trong phần này áp dụng cho bạn, và không có dữ liệu cá nhân nào rời khỏi thiết bị của bạn.

signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups24 KBTự kiểm chứngTải tệp đã ký signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups25 KBTự kiểm chứngTải tệp đã ký

Nếu bạn đăng ký, đây là chính xác những gì xảy ra:

1. Bạn chọn một phương thức đăng nhập - GitHub, Google, SUSE (id.suse.com) hoặc một liên kết gửi qua email. Với ba nhà cung cấp OIDC, bạn được chuyển hướng đến trang đăng nhập riêng của nhà cung cấp đó, chịu sự quản lý bởi chính sách quyền riêng tư của họ, không phải của chúng tôi. Dịch vụ chứng chỉ của Lolly chỉ nhận lại một địa chỉ email đã xác minh và tên của nhà cung cấp. Với liên kết email, địa chỉ bạn nhập được chuyển cho Resend, một API email giao dịch, chỉ để gửi đúng liên kết đó.
2. Một cookie ngắn hạn bảo vệ lượt chuyển hướng. Đây là cookie duy nhất mà toàn bộ hệ thống Lolly đặt ra: lolly_ca_state, HttpOnly, giới hạn phạm vi ở /api/ca, hết hạn trong vòng mười phút. Nó mang một giá trị ngẫu nhiên, không phải mã theo dõi, và chỉ tồn tại để ngăn việc giả mạo chuyển hướng OAuth. Nó bị xóa ngay khi đăng nhập hoàn tất.
3. Địa chỉ IP của bạn được dùng, trong thời gian ngắn, để ngăn chặn lạm dụng các điểm cuối đăng nhập (để một script không thể spam một hộp thư hay dùng hết hạn ngạch email). Lolly băm địa chỉ đó trước khi tạo một bucket kiểm soát lạm dụng ngắn hạn; địa chỉ gốc không được gửi đến kho lưu trữ đó. Bucket hết hạn sau khoảng một phút và không được dùng để theo dõi. Nhật ký truy cập lưu trữ thông thường là riêng biệt và được mô tả bên dưới.
4. Dịch vụ chứng chỉ cấp một chứng chỉ ngắn hạn (7, 30, 90 hoặc 365 ngày, tùy bạn chọn, giới hạn bởi chính sách của bên vận hành) gắn email đã xác minh của bạn với nửa công khai của cặp khóa được tạo trên thiết bị của bạn. Nửa riêng tư không bao giờ rời khỏi trình duyệt của bạn.
5. Không có gì về việc cấp phát được ghi lại. Dịch vụ chứng chỉ không giữ nhật ký cấp phát nào: không email của bạn, không nhà cung cấp, không số sê-ri, không dấu thời gian. Không cơ sở dữ liệu, không dòng nhật ký, không webhook. Địa chỉ email của bạn chỉ tồn tại trong yêu cầu đủ lâu để được ghi vào chứng chỉ mà chính thiết bị của bạn nhận, rồi sau đó hoàn toàn biến mất khỏi phía chúng tôi.
6. Sau đó, việc ký lại trở về ngoại tuyến trong suốt vòng đời của chứng chỉ. Việc xuất một tệp không bao giờ liên hệ với dịch vụ chứng chỉ - chỉ việc đăng ký mới liên hệ.

Sự đánh đổi, nói thẳng ra. Một phiên bản trước của dịch vụ này từng ghi nhật ký mỗi lần cấp phát, để một chứng chỉ bị cấp sai hoặc bị xâm phạm có thể được truy vết. Chúng tôi đã loại bỏ nó, vì nhật ký đó là nơi duy nhất trong toàn bộ Lolly mà dữ liệu cá nhân được lưu lại trên một máy chủ, và chúng tôi thà không giữ nó còn hơn giữ nó một cách cẩn thận. Điều chúng tôi từ bỏ là khả năng truy vết phía máy chủ: nếu một chứng chỉ bị lạm dụng, chúng tôi không thể tra ra ai đã lấy nó. Các chứng chỉ có thời hạn ngắn theo thiết kế - 7 đến 365 ngày, tùy bạn chọn, giới hạn bởi bên vận hành - và tự hết hạn theo thời gian của chúng, đó là biện pháp giảm thiểu mà chúng tôi dựa vào thay thế. Những người tự lưu trữ mà nghĩa vụ riêng của họ đòi hỏi một nhật ký kiểm toán có thể thêm một nhật ký như vậy, và trở thành bên kiểm soát dữ liệu đó khi làm vậy.

Tiện ích mở rộng trình duyệt

Tiện ích mở rộng trình duyệt Lolly URL Screenshot không thu thập dữ liệu cá nhân nào cho chúng tôi. Nó không có phân tích, không theo dõi và không có máy chủ riêng. Trang Tiện ích mở rộng trình duyệt mô tả cách nó hoạt động.

Nó làm gì. Ứng dụng web Lolly có thể yêu cầu nó chụp ảnh màn hình một trang web, hoặc lấy nội dung của một trang để bắt đầu một hệ thống thiết kế từ một trang web. Mỗi yêu cầu mở một cửa sổ phê duyệt trong tiện ích mở rộng, hiển thị trang web đang yêu cầu, việc đó là chụp ảnh màn hình hay đọc nội dung trang, và địa chỉ của trang. Chỉ sau khi bạn nhấn Approve once, tiện ích mở rộng mới mở trang đó trong một thẻ nền tạm thời, chụp ảnh màn hình hoặc đọc trang, trả kết quả cho thẻ Lolly đã yêu cầu và đóng thẻ. Mỗi yêu cầu cần được phê duyệt riêng.

Dữ liệu.

• Chúng tôi không thu thập gì cả. Kết quả chỉ đi tới trang Lolly đã yêu cầu, trong cùng trình duyệt. Tiện ích mở rộng không lưu nội dung trang và không thêm bên nhận nào khác.
• Yêu cầu mạng. Trang bạn phê duyệt được tải như trong bất kỳ thẻ nào, cùng với những gì chính trang đó yêu cầu. Việc đọc nội dung một trang cũng tải các stylesheet của trang đó và một vài hình ảnh biểu tượng, logo của nó, từ bên trong trang, và các lần tải đó không gửi cookie tới các trang web khác. Tiện ích mở rộng không tạo yêu cầu nào khác, và không yêu cầu nào đi tới máy chủ Lolly.
• Phiên trình duyệt của bạn. Trang được tải bằng phiên trình duyệt của bạn, như khi bạn tự mở nó, nên một trang bạn đã đăng nhập có thể đưa thông tin riêng tư vào kết quả.
• Các địa chỉ bạn phê duyệt chỉ được dùng để tải đúng trang đó cho đúng yêu cầu đó. Chúng không được ghi nhật ký hay chia sẻ.

Quyền.

• debugger - để chụp ảnh màn hình qua DevTools Protocol (cùng cơ chế mà ứng dụng desktop của Lolly sử dụng).
• tabs - để mở và đóng thẻ tạm thời, và để kiểm tra rằng cả trang Lolly lẫn trang đích đều chưa chuyển đi nơi khác kể từ lúc bạn phê duyệt.
• scripting - để đọc nội dung một trang trong thẻ tạm thời, sau khi bạn phê duyệt yêu cầu đó.
• storage - để ghi lại id của các thẻ tạm thời trong session storage, để chúng vẫn được đóng nếu trình duyệt dừng tiện ích mở rộng giữa một yêu cầu. Không có nội dung trang nào được lưu.
• *Quyền truy cập trang web tùy chọn (http:///, https:///) - không được cấp lúc cài đặt. Khi bạn nhấn Approve once*, tiện ích mở rộng xin Chrome quyền truy cập đúng một trang web trong yêu cầu đó, và Chrome hỏi bạn lần đầu cho từng trang web. Một trang web bạn đã cho phép trước đó vẫn cần phê duyệt mới cho mọi yêu cầu.

Không quyền nào trong số này được dùng để đọc, giám sát hay truyền hoạt động duyệt web của bạn vượt ra ngoài đúng yêu cầu bạn đã phê duyệt.

Nhật ký hạ tầng

Giống như bất kỳ trang web nào, các máy chủ đứng sau lolly.tools - và đứng sau bất kỳ bản triển khai Lolly nào - đều tạo ra nhật ký truy cập máy chủ web tiêu chuẩn bất cứ khi nào một yêu cầu đến được chúng: địa chỉ IP, đường dẫn được yêu cầu, dấu thời gian, user agent. Đó là hành vi lưu trữ cơ bản, không phải điều Lolly thêm vào, và nó không bao giờ chứa nội dung tài liệu của bạn, vì những tài liệu đó vốn không bao giờ chạm tới một máy chủ ngay từ đầu. Ngoại lệ chủ ý duy nhất là một tệp bạn chủ động đưa cho một lệnh gọi MCP lolly_transform, lolly_verify, lolly_redact hoặc lolly_rebrand, được xử lý trong bộ nhớ và không bao giờ ghi vào đĩa hay nhật ký, như đã mô tả ở trên.

Mã nguồn của chính Lolly không ghi bất cứ điều gì vào các nhật ký đó. Máy chủ MCP ghi nhật ký khởi động, cấu hình và các cảnh báo khi render; nó không giữ nhật ký yêu cầu riêng và không ghi token hay địa chỉ của bên gọi. Lớp chuyển tiếp Penpot ghi tên từng lệnh và trạng thái phản hồi của Penpot, không bao giờ ghi header, token hay tệp. Dịch vụ chứng chỉ ghi các thiết lập khởi động và cảnh báo cấu hình, cộng hai dòng đã loại bỏ thông tin khi thất bại: một mã trạng thái lỗi gửi không kèm địa chỉ người nhận, và một dòng lỗi cố định không có văn bản lỗi, stack trace hay URL (lỗi từ nhà cung cấp có thể mang theo giá trị danh tính hoặc thông tin xác thực). Mọi thứ khác trong nhật ký là của nền tảng lưu trữ, không phải của chúng tôi.

Đối với lolly.tools, việc lưu trữ là Vercel và thời gian giữ nhật ký truy cập theo các mặc định nền tảng riêng của Vercel cho gói của chúng tôi. Chúng tôi không cấu hình bất kỳ log drain nào, không xuất nhật ký dài hạn và không có sản phẩm phân tích hay giám sát nào thêm vào. Chúng tôi không giữ bản sao của các nhật ký này, điều đó cũng có nghĩa là chúng tôi không có cách nào tìm kiếm chúng giúp bạn - xem Quyền của bạn.

Căn cứ pháp lý, thời gian lưu trữ và bên nhận dữ liệu

Hầu như không có gì ở đây cần căn cứ pháp lý, vì hầu như không có gì được xử lý. Để đầy đủ, đây là toàn bộ danh sách:

Bên nhận dữ liệu. Các nhóm bên nhận là: nhà cung cấp lưu trữ của chúng tôi (Vercel Inc.); nhà cung cấp kho kiểm soát lạm dụng của chúng tôi, chỉ nhận các khóa bucket ngắn hạn, suy ra một chiều, và không bao giờ nhận địa chỉ IP gốc; và - chỉ khi bạn dùng tùy chọn đăng nhập bằng email - một nhà cung cấp email giao dịch (Resend). Nếu bạn đăng nhập bằng GitHub, Google hoặc SUSE (id.suse.com), bạn tương tác trực tiếp với nhà cung cấp đó theo chính sách quyền riêng tư của họ. Họ cho chúng tôi biết một địa chỉ email đã xác minh và không gì khác. Chúng tôi không chia sẻ dữ liệu cá nhân với bất kỳ ai khác, và chúng tôi không bán dữ liệu, không chạy quảng cáo hay lập hồ sơ người dùng.

Chuyển giao ngoài EEA. Vercel và Resend là các công ty Mỹ. Năng lực tính toán cho lolly.tools được cố định tại khu vực Frankfurt (fra1) của Vercel nên việc xử lý diễn ra tại EU, nhưng vì là các nhà cung cấp có trụ sở tại Mỹ, họ vẫn có thể truy cập dữ liệu với tư cách bên xử lý từ Mỹ. Những lần chuyển giao đó dựa trên Các điều khoản hợp đồng tiêu chuẩn của Ủy ban Châu Âu và/hoặc Khung quyền riêng tư dữ liệu EU-US, như quy định trong thỏa thuận xử lý dữ liệu của mỗi nhà cung cấp. Vì dữ liệu cá nhân đến được với các nhà cung cấp này là rất hạn chế - một địa chỉ email được chuyển tiếp để gửi một tin nhắn, nhật ký truy cập thông thường, và một bucket kiểm soát lạm dụng suy ra ngắn hạn

• mức độ phơi nhiễm tương ứng là nhỏ.

Ra quyết định tự động. Không có. Không có việc lập hồ sơ và không có quyết định tự động nào tạo ra hiệu lực pháp lý hoặc tương tự đáng kể (Art. 22).

Quyền riêng tư của trẻ em

Lolly không cố ý thu thập thông tin cá nhân từ bất kỳ ai, ở bất kỳ độ tuổi nào, trong quá trình sử dụng ứng dụng thông thường - vì không có gì để thu thập. Nơi duy nhất mà thông tin cá nhân (một địa chỉ email) từng được thu thập là quá trình đăng ký Content Credentials, được mô tả ở trên, vốn không nhắm đến hay dành cho trẻ em.

Quyền của bạn

Vì hầu hết mọi thứ Lolly chạm vào chỉ được lưu trên chính thiết bị của bạn, hầu hết những gì luật bảo vệ dữ liệu gọi là "quyền của bạn" - truy cập, chỉnh sửa, xóa, khả năng di chuyển dữ liệu - là những việc bạn đã có thể tự làm ngay lập tức, mà không cần hỏi ai: dữ liệu của bạn nằm trong bộ nhớ trình duyệt, ở dạng bạn có thể kiểm tra, xuất (Xuất dữ liệu của tôi, ở trên) hoặc xóa (bằng cách xóa bộ nhớ của trang trong trình duyệt của bạn, như trên).

Về mặt chính thức, theo Điều 15-22 GDPR bạn có quyền truy cập dữ liệu cá nhân của mình, chỉnh sửa nó, xóa nó, hạn chế hoặc phản đối việc xử lý dữ liệu đó (bao gồm phản đối bất cứ điều gì chúng tôi dựa trên lợi ích hợp pháp), quyền di chuyển dữ liệu và - khi việc xử lý dựa trên sự đồng ý - quyền rút lại sự đồng ý đó bất cứ lúc nào, mà không ảnh hưởng đến tính hợp pháp của những gì đã diễn ra trước khi bạn rút lại.

Đây là lập trường trung thực về việc thực thi các quyền đó với chúng tôi. Vì chúng tôi không còn lưu nhật ký cấp phát, chúng tôi không giữ bất kỳ dữ liệu cá nhân nào về bạn mà chúng tôi có thể tra cứu, chỉnh sửa, xuất hoặc xóa. Nếu bạn viết thư hỏi chúng tôi có gì về bạn, câu trả lời trung thực là không có gì, và chúng tôi sẽ nói như vậy. Loại duy nhất tồn tại là nhật ký truy cập lưu trữ gắn với địa chỉ IP, do nhà cung cấp lưu trữ của chúng tôi giữ theo mặc định lưu trữ của họ. Chúng tôi không có cơ chế để tìm kiếm hoặc xóa chọn lọc những dữ liệu đó, và chúng tôi sẽ nói với bạn điều đó thay vì giả vờ khác đi. Mọi thứ thực sự là của bạn nằm trên thiết bị của bạn, nơi bạn đã có thể đọc, xuất và xóa nó mà không cần xin phép ai.

Bạn có quyền khiếu nại. Nếu bạn cho rằng chúng tôi đã xử lý dữ liệu của bạn không đúng cách, bạn có thể nộp đơn khiếu nại với một cơ quan giám sát bảo vệ dữ liệu - tại EU, cơ quan tại quốc gia bạn cư trú, nơi làm việc hoặc nơi bạn cho rằng vi phạm đã xảy ra (Art. 77). Cơ quan giám sát chính của chúng tôi là Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) tại Ansbach, Đức. Bạn không cần liên hệ với chúng tôi trước, dù chúng tôi muốn có cơ hội khắc phục vấn đề.

Chúng tôi không bán dữ liệu. Chúng tôi không có gì để bán.

Thay đổi đối với chính sách này

Ngày ghi ở đầu trang thay đổi mỗi khi tài liệu này thay đổi. Một thay đổi làm biến đổi những gì rời khỏi thiết bị của bạn hoặc những gì được lưu trữ sẽ có dòng riêng ở đây, không phải chỉnh sửa âm thầm - nếu bạn muốn xem điều gì đã thay đổi, hãy hỏi (bên dưới) hoặc so sánh với nguồn công khai.

22 tháng 10 năm 2026: đính chính phần mô tả hành vi hiện có. Phần tiện ích mở rộng trình duyệt nay nêu cửa sổ phê duyệt cho mọi yêu cầu, quyền truy cập trang web được xin từng trang một và việc tải stylesheet, biểu tượng khi đọc một trang web. Cũng được đính chính: các hàng Send to Google Drive và Meeting Planner, ghi chú về SEAL (không ứng dụng Lolly nào tra cứu khóa SEAL trong DNS), mức telemetry sử dụng mặc định của dịch vụ tổ chức, các công cụ hình ảnh của MCP và việc ghi nhật ký ứng dụng của các dịch vụ công khai. Bản thân phần mềm không thay đổi.

Ai chịu trách nhiệm, và cách liên hệ với chúng tôi

Bên kiểm soát dữ liệu cho lolly.tools là:

SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany

SUSE đã chỉ định một Nhân viên bảo vệ dữ liệu, có thể liên hệ tại privacy@suse.com. Dùng địa chỉ đó cho bất kỳ yêu cầu chính thức nào theo mục "Quyền của bạn" ở trên.

Về bất cứ điều gì liên quan đến Lolly - cách nó hoạt động, tại sao một thứ lại như vậy hoặc một chỉnh sửa cho tài liệu này - hãy liên hệ Andy Fitzsimon, fitzy@suse.com.

Đối với một thực thể Lolly tự lưu trữ hoặc dùng cho doanh nghiệp, hãy liên hệ với người vận hành thay thế: bên vận hành là bên kiểm soát cho việc triển khai của riêng họ. SUSE và dự án Lolly mã nguồn mở không giữ bất kỳ dữ liệu nào cho các triển khai mà họ không vận hành.