Chính sách quyền riêng tư — Malesup

Cập nhật lần cuối: 2026-10-11.

1. Giới thiệu

Malesup ("ứng dụng", "chúng tôi") là ứng dụng chụp ảnh có huấn luyện viên ảo, giúp người dùng canh khung hình bằng giọng nói và chỉ dẫn trên màn hình. Tài liệu này giải thích chúng tôi thu thập dữ liệu gì, dùng để làm gì, lưu bao lâu, và bạn xoá dữ liệu của mình bằng cách nào.

2. Dữ liệu chúng tôi thu thập

2.1 Đăng nhập bằng Google hoặc Apple

Bạn có thể dùng ứng dụng để chụp mà không cần đăng nhập. Đăng nhập là bắt buộc khi mua gói Pro — gói mua xong gắn với chính tài khoản đó, và đăng nhập lại bằng tài khoản đó là cách bạn dùng Pro trên máy khác.

Khi bạn chọn đăng nhập bằng Google hoặc Sign in with Apple, chúng tôi nhận và lưu:

Tên hiển thị, email, ảnh đại diện (nếu nhà cung cấp đăng nhập chia sẻ).
Mã người dùng do Amazon Cognito cấp cho tài khoản của bạn (sub) — đây là định danh chính chúng tôi dùng nội bộ, không phải email.

Dữ liệu này được lưu trên hạ tầng AWS tại khu vực ap-southeast-1 (Singapore) (ứng dụng cũng giữ một bản hồ sơ trên máy bạn, và mã đăng nhập trong iOS Keychain), dùng để: xác thực đăng nhập, hiển thị tên/ảnh đại diện trong ứng dụng, gửi một thư chào mừng tới địa chỉ email của bạn mỗi khi bạn tạo một tài khoản mới, và gắn với gói mua hàng của bạn (mục 2.2).

Mỗi cách đăng nhập là một tài khoản riêng. Đăng nhập bằng Google và đăng nhập bằng Sign in with Apple, kể cả khi dùng cùng một địa chỉ email, tạo ra hai tài khoản khác nhau — chúng tôi không gộp tài khoản theo email. Nếu bạn mua Pro bằng tài khoản khác, hãy đăng nhập lại bằng tài khoản đó — gói Pro tự trở lại, bạn không phải bấm gì thêm.

2.2 Mua hàng (RevenueCat)

Việc mua gói Pro được xử lý qua Apple (App Store) và RevenueCat, một dịch vụ quản lý mua hàng trong ứng dụng bên thứ ba. Chúng tôi (qua RevenueCat) nhận lịch sử mua hàng — gói nào, còn hạn hay không — gắn với mã người dùng Cognito của bạn (appUserID = sub ở mục 2.1; vì phải đăng nhập mới mua được, mỗi giao dịch luôn có mã này). Apple xử lý toàn bộ thông tin thanh toán (thẻ, v.v.); chúng tôi và RevenueCat không bao giờ thấy thông tin đó.

Bộ công cụ RevenueCat khởi động khi bạn vào màn hình chính của ứng dụng (để kiểm tra bạn có gói Pro hay không và tải bảng giá), kể cả khi bạn chưa mua gì. Nếu bạn đã đăng nhập, nó dùng mã sub ở mục 2.1; nếu chưa, nó dùng một mã ẩn danh ngẫu nhiên do RevenueCat tạo, không gắn với tên hay email của bạn.

2.3 Nhật ký phiên chụp, nhật ký hiệu năng và nhật ký lỗi

Bản ứng dụng phát hành trên App Store không ghi bất kỳ nhật ký nào trong ba loại dưới đây.

Chỉ các bản thử nghiệm nội bộ (không phát hành công khai, chỉ cài cho nhóm phát triển và người thử được mời) mới ghi: số liệu kỹ thuật của mỗi phiên chụp (góc nghiêng máy, khoảng cách ước tính, vị trí các điểm trên cơ thể mà ứng dụng nhận ra, độ sáng khuôn mặt và phông nền, các lệnh đã nói, ảnh giữ hay bỏ khi xem lại, tên file, kích thước và thời điểm chụp của ảnh đã lưu), số liệu hiệu năng máy (tốc độ khung hình, mức hiệu năng tự điều chỉnh của ứng dụng) và nhật ký lỗi (nội dung lỗi và thời điểm), kèm model máy, phiên bản iOS và phiên bản ứng dụng. Ở các bản đó, nhật ký chỉ lưu trên máy, không tự động gửi đi, có thể tắt trong Cài đặt, và chỉ rời khỏi máy khi người dùng tự bấm nút "Xuất…" rồi tự chọn nơi gửi trong hộp thoại chia sẻ của hệ điều hành.

2.4 Camera, cảm biến chuyển động, thư viện ảnh

Ứng dụng xin quyền dùng Camera (để canh khung hình trực tiếp), cảm biến chuyển động (để biết máy đang nghiêng hay thẳng), quyền truy cập thư viện ảnh và quyền gửi thông báo (mục 2.7). Toàn bộ xử lý hình ảnh (kể cả việc tự lấy nét và đo sáng vào khuôn mặt người được chụp, và việc làm đẹp ảnh ở mục 2.10), tư thế người trong khung và dữ liệu cảm biến diễn ra trên máy của bạn, và không được gửi ra ngoài trừ trường hợp mục 2.5 dưới đây.

Thư viện ảnh. Ứng dụng dùng quyền này vào đúng hai việc: lưu ảnh bạn chụp (hoặc ảnh bạn vừa làm đẹp) vào thư viện, và — chỉ khi bạn tự mở tính năng "Làm đẹp ảnh có sẵn" (mục 2.10) — hiện ảnh trong thư viện để bạn chọn một tấm cần làm đẹp. Quyền xem ảnh chỉ được hỏi lúc bạn bấm vào tính năng đó lần đầu, không hỏi lúc mở ứng dụng. Nếu bạn chọn "Giới hạn" trong hộp thoại của iOS, ứng dụng chỉ thấy những ảnh bạn đã cho phép. Ứng dụng không tự quét, phân tích hay tải lên thư viện ảnh của bạn — chỉ tấm ảnh bạn tự chọn mới được mở ra để làm đẹp.

Ứng dụng không xin quyền vị trí (GPS) và không thu thập dữ liệu vị trí.

2.5 Báo lỗi ảnh

Ảnh bạn chụp không rời khỏi máy, trừ khi bạn chủ động bấm nút "Báo lỗi" trên một ảnh cụ thể để báo rằng ứng dụng chấm sai hoặc hướng dẫn sai. Khi đó, chúng tôi gửi lên máy chủ:

Một bản ảnh đã thu nhỏ (cạnh dài tối đa 2048 điểm ảnh, nén JPEG), đã xoá toàn bộ dữ liệu EXIF và vị trí GPS trước khi gửi.
Thời điểm chụp và các con số ứng dụng đã đo lúc đó (góc nghiêng, khoảng cách ước tính, vị trí các điểm trên cơ thể đã nhận ra, điểm số, các lệnh vừa nói ra, ngôn ngữ ứng dụng) và mã phiên bản ứng dụng, bộ ngưỡng đang chạy.
Lý do bạn chọn (ví dụ: "điểm chấm sai", "hướng dẫn sai", "bỏ lỡ khoảnh khắc", "ảnh khác") và phần bình luận thêm bằng chữ nếu bạn có viết (tối đa 300 ký tự).
Một mã định danh ngẫu nhiên cho lượt cài đặt ứng dụng của bạn (installId). Mã tài khoản Cognito không bao giờ được gửi, dù bạn đã đăng nhập hay chưa.
Model máy và phiên bản hệ điều hành (ví dụ "iPhone16,2", "iOS 18.6").

Lần đầu bạn dùng tính năng Báo lỗi, ứng dụng sẽ hiện một dòng giải thích và đường dẫn tới trang này trước khi gửi; các lần sau chỉ cần thao tác bình thường.

Chỉ đội ngũ phát triển Malesup xem được các báo lỗi này. Chúng tôi dùng chúng để tìm và sửa các trường hợp ứng dụng chấm sai, không dùng cho mục đích quảng cáo hay chia sẻ cho bên thứ ba nào khác. Chúng tôi giữ cả ảnh và toàn bộ số liệu đi kèm trong khoảng 45 ngày, sau đó xoá tự động. "Khoảng" là vì việc xoá chạy theo lịch chứ không theo từng giây: trên thực tế mọi thứ biến mất trong vòng tối đa 47 ngày. Chúng tôi không giữ bản sao lưu nào khác của dữ liệu này, nên khi nó đã hết hạn là hết hẳn. Trong khoảng thời gian đó, chúng tôi có thể rút ra các con số đã suy luận được (ví dụ: "ngưỡng X nên đổi") để cải thiện ứng dụng trong các bản cập nhật sau; những con số suy luận này không còn là ảnh hay dữ liệu cá nhân của bạn.

Ảnh bạn báo lỗi có thể có mặt của người khác ngoài bạn (người được chụp, người đi ngang qua, v.v.) — chỉ báo lỗi những ảnh bạn có quyền chia sẻ.

2.6 Quảng cáo có thưởng (rewarded ads)

Bản miễn phí giới hạn số lượt chụp mỗi ngày. Nếu bạn tự chọn xem một quảng cáo, bạn được thêm lượt chụp cho ngày hôm đó. Tương tự, tính năng "Làm đẹp ảnh có sẵn" (mục 2.10) cho bản miễn phí một số lượt làm đẹp; khi hết lượt, bạn có thể tự chọn xem một quảng cáo để có thêm lượt làm đẹp. Gói Pro chụp và làm đẹp không giới hạn, không cần xem quảng cáo. Bạn không bao giờ bị bắt xem quảng cáo: không có quảng cáo nào tự bật, không có banner, không có quảng cáo chen ngang khi bạn đang chụp hay đang làm đẹp ảnh — chỉ có nút bạn bấm, và luôn nói trước bạn được gì.

Quảng cáo do Google AdMob phục vụ. Khi bạn mở màn hình xem quảng cáo (hoặc bấm nút xem quảng cáo trong màn làm đẹp ảnh), ứng dụng tải một quảng cáo cho đỡ phải chờ — tức là bộ công cụ AdMob khởi động ngay lúc đó, trước cả khi bạn bấm nút xem. Từ lúc đó nó thu thập dữ liệu của riêng nó: mã định danh thiết bị (IDFV — không phải IDFA), dữ liệu quảng cáo và tương tác với quảng cáo, vị trí gần đúng suy ra từ địa chỉ IP, cùng dữ liệu chẩn đoán/sự cố. Không mở màn hình đó và không bấm nút đó lần nào thì bộ công cụ này không khởi động và không thu thập gì.

Chúng tôi yêu cầu quảng cáo KHÔNG cá nhân hoá. Ứng dụng không đọc IDFA, không hỏi quyền App Tracking Transparency, và không dùng dữ liệu của bạn để theo dõi bạn qua ứng dụng hay website khác. Việc đo lượt cài đặt dùng SKAdNetwork của Apple — cơ chế do Apple thiết kế để đo mà không nhận dạng được từng người.

Chính sách quyền riêng tư của Google áp dụng cho phần dữ liệu AdMob thu thập: https://policies.google.com/technologies/ads

2.7 Thông báo nhắc nhở

Lần đầu bạn vào màn hình chính, ứng dụng hỏi quyền gửi thông báo (chỉ hỏi một lần; bạn từ chối thì ứng dụng không hỏi lại). Nếu bạn cho phép, ứng dụng tự hẹn tối đa một thông báo mỗi tuần ngay trên máy — ví dụ nhắc còn ảnh chưa xem lại, hay một dịp lễ sắp tới. Đây là thông báo cục bộ: lịch hẹn được tính và lưu trên máy bạn, ứng dụng không đăng ký mã thông báo đẩy (push token) và không gửi gì lên máy chủ. Bạn tắt được bằng công tắc "Nhắc nhở" trong Cài đặt (tắt là huỷ ngay mọi thông báo đang hẹn) hoặc trong Cài đặt của iPhone. Bạn không được hay mất gì khi bật hay tắt thông báo.

2.8 Tin trong ứng dụng

Ở màn hình chính, ứng dụng tải một tệp tin tức/khuyến mãi chung từ máy chủ của chúng tôi (Amazon CloudFront). Đó là cùng một tệp cho mọi người: yêu cầu tải không kèm tài khoản, mã cài đặt máy hay dữ liệu nào của bạn, và việc bạn đã xem hay bấm vào tin nào chỉ được ghi trên máy bạn.

2.9 Dữ liệu khuôn mặt

Ứng dụng dùng dữ liệu khuôn mặt nào. Khi camera đang mở, một mô hình nhận dạng tư thế chạy trên máy tìm 17 điểm trên cơ thể người được chụp; năm điểm trong đó nằm trên khuôn mặt (mũi, hai mắt, hai tai), mỗi điểm chỉ là một vị trí (x, y) trong khung hình kèm độ tin cậy. Từ các vị trí đó, ứng dụng đo thêm độ sáng trung bình của vùng mặt và của phông nền phía sau (để cảnh báo ngược sáng), và hướng lấy nét, đo sáng của camera vào khuôn mặt. Chỉ có vậy. Ứng dụng không nhận diện hay xác định danh tính khuôn mặt, không tạo mẫu khuôn mặt, dấu vân mặt hay bất kỳ định danh sinh trắc học nào, không dùng camera TrueDepth, ARKit face tracking hay Face ID, và không thể biết một người là ai.

Khi làm đẹp một ảnh (mục 2.10) — ảnh vừa chụp hoặc ảnh bạn tự chọn từ thư viện — ứng dụng dùng bộ nhận diện khuôn mặt có sẵn của iOS (Apple Vision) trên chính tấm ảnh đó, ngay trên máy, để biết khuôn mặt nằm ở đâu và vị trí các đường nét (mắt, môi, viền mặt). Kết quả chỉ là các vị trí trong ảnh, dùng để biết chỉnh sáng da, môi và mắt ở đâu; nó cũng không nhận diện hay xác định danh tính ai.

Dùng để làm gì. Chỉ để hướng dẫn canh khung trực tiếp (đầu người được chụp nằm ở đâu trong khung, khoảng trống phía trên đầu, mặt có bị ngược sáng không), để lấy nét, đo sáng vào người được chụp, và để làm đẹp ảnh (mục 2.10). Không bao giờ dùng cho quảng cáo, lập hồ sơ, theo dõi hay nhận diện bất kỳ ai, và không dùng để huấn luyện mô hình máy học.

Lưu ở đâu, lưu bao lâu. Trên bản App Store, dữ liệu khuôn mặt được xử lý trong bộ nhớ của máy, từng khung hình (hoặc từng ảnh được làm đẹp) một, và bị bỏ đi ngay — không lưu vào máy, không gửi lên máy chủ nào và không giữ lại sau khi khung hình hoặc ảnh đó được xử lý xong. Ngoại lệ duy nhất là khi bạn tự chọn gửi báo lỗi một ảnh (mục 2.5): báo lỗi đó chứa chính bức ảnh (có thể có khuôn mặt) cùng vị trí các điểm cơ thể và độ sáng khuôn mặt đo được lúc chụp. Nó chỉ đi tới máy chủ của chúng tôi trên AWS (ap-southeast-1, Singapore), chỉ nhóm phát triển Malesup xem được, và tự động bị xoá sau khoảng 45 ngày (tối đa 47 ngày), không có bản sao lưu, hoặc sớm hơn nếu bạn bấm "Xoá toàn bộ dữ liệu" (mục 6). (Các bản thử nghiệm nội bộ, không phát hành trên App Store, có thể giữ các số đo này trong nhật ký trên máy — mục 2.3.)

Chia sẻ. Dữ liệu khuôn mặt không được chia sẻ, bán hay tiết lộ cho bất kỳ bên thứ ba nào — không cho Google/AdMob, RevenueCat, Apple hay bất kỳ ai khác. Amazon Web Services chỉ lưu báo lỗi với vai trò nhà cung cấp hạ tầng của chúng tôi (mục 4).

2.10 Làm đẹp ảnh

Ứng dụng làm đẹp ảnh theo hai cách: (a) tự động làm đẹp mỗi ảnh vừa chụp, để bạn xem trong màn xem lại (nhấn giữ ảnh để xem bản gốc); (b) khi bạn tự chọn một ảnh có sẵn trong thư viện bằng tính năng "Làm đẹp ảnh có sẵn". Làm đẹp nghĩa là chỉnh sáng tối, tương phản, màu, độ nét, và — nếu ảnh có khuôn mặt — làm sáng da, tôn nhẹ môi và mắt (mục 2.9). Không có chi tiết nào được vẽ thêm hay tạo ra mới.

Toàn bộ việc làm đẹp diễn ra trên máy của bạn, không cần mạng, và không gửi ảnh hay bất kỳ dữ liệu nào về ảnh lên máy chủ nào. Riêng ảnh đang nằm trên iCloud: iOS có thể tải bản gốc từ iCloud của bạn về máy trước khi làm đẹp — việc đó diễn ra giữa máy bạn và Apple, không qua chúng tôi.
Ảnh gốc không bao giờ bị sửa hay xoá. Bản làm đẹp chỉ được lưu thành một ảnh mới trong thư viện khi bạn bấm lưu (hoặc vuốt giữ ảnh trong màn xem lại). Bản làm đẹp giữ nguyên thông tin đi kèm của ảnh gốc (thời điểm chụp, loại máy, và vị trí nếu ảnh gốc vốn đã có) — ứng dụng không thêm thông tin nào mới.
Bản làm đẹp chưa lưu chỉ nằm tạm trong bộ nhớ đệm của ứng dụng trên máy và có thể bị iOS dọn bất cứ lúc nào.
Khi bạn bấm chia sẻ, ứng dụng mở bảng chia sẻ của iOS; ảnh chỉ đi tới nơi bạn tự chọn.
Ứng dụng ghi trên máy số lượt làm đẹp miễn phí còn lại (mục 2.6) — chỉ là một con số, không gắn với ảnh nào và không gửi đi đâu.

3. Chúng tôi KHÔNG làm gì

Không tải ảnh trong thư viện của bạn lên bất kỳ đâu, và không xem thư viện ảnh trừ khi bạn tự mở "Làm đẹp ảnh có sẵn" để chọn một tấm (mục 2.4, 2.10).
Không thu thập vị trí GPS. Ứng dụng không xin quyền vị trí và không đọc GPS bao giờ. Riêng bộ công cụ quảng cáo (mục 2.6) có thể suy ra vị trí gần đúng từ địa chỉ IP khi bạn mở màn hình xem quảng cáo hoặc bấm xem quảng cáo — đó là mức thành phố, không phải toạ độ, và không xảy ra nếu bạn không làm hai việc đó.
Không bán dữ liệu của bạn cho bên thứ ba.
Không dùng dữ liệu để theo dõi bạn qua các ứng dụng/website khác (no tracking, theo định nghĩa App Tracking Transparency của Apple) — kể cả quảng cáo: chúng tôi yêu cầu quảng cáo không cá nhân hoá và không đọc IDFA (mục 2.6).
Không gộp tài khoản Google và Apple theo email.

4. Ai xem được dữ liệu của bạn

Dữ liệu tài khoản (mục 2.1) và lịch sử mua hàng (mục 2.2): đội ngũ Malesup, và các nhà cung cấp hạ tầng chúng tôi thuê để vận hành dịch vụ (Amazon Web Services, RevenueCat, Apple) — theo đúng vai trò xử lý dữ liệu thay chúng tôi, không dùng cho mục đích riêng của họ.
Nhật ký phiên/hiệu năng/lỗi (mục 2.3) và lịch nhắc nhở (mục 2.7): chỉ bạn — nhật ký thì trừ khi bạn tự gửi cho chúng tôi.
Dữ liệu quảng cáo (mục 2.6): Google, với tư cách bên kiểm soát dữ liệu độc lập, chỉ khi bạn tự mở màn hình xem quảng cáo hoặc tự bấm xem quảng cáo.
Báo lỗi ảnh (mục 2.5): chỉ đội ngũ Malesup, trong khoảng 45 ngày.

5. Thời gian lưu giữ

Loại dữ liệu	Lưu ở đâu	Bao lâu
Tài khoản (tên, email, ảnh đại diện, mã Cognito)	Máy chủ AWS	Tới khi bạn xoá tài khoản
Lịch sử mua hàng (RevenueCat)	RevenueCat + Apple	Theo chính sách của RevenueCat/Apple, thường đi kèm vòng đời gói mua
Nhật ký phiên/hiệu năng/lỗi	Chỉ trên máy bạn	Tới khi bạn xoá trong ứng dụng
Lịch nhắc nhở (mục 2.7)	Chỉ trên máy bạn	Tới khi bạn tắt nhắc nhở hoặc xoá toàn bộ dữ liệu
Báo lỗi ảnh (ảnh + số liệu)	Máy chủ AWS	Khoảng 45 ngày (tối đa 47) kể từ lúc gửi, sau đó xoá tự động, không có bản sao lưu
Dữ liệu quảng cáo (mục 2.6)	Google (AdMob)	Theo chính sách của Google

6. Xoá dữ liệu của bạn

Có hai cách xoá, tác dụng khác nhau — đọc kỹ trước khi bấm:

"Xoá tài khoản" (trong Cài đặt → Tài khoản): xoá vĩnh viễn tài khoản Cognito của bạn và dữ liệu tài khoản (tên, email, ảnh đại diện). Không xoá các báo lỗi bạn đã gửi (mục 2.5) — báo lỗi gắn với mã cài đặt máy (installId), không gắn với tài khoản, vì chúng tôi cố tình không gửi mã tài khoản kèm báo lỗi. Không huỷ gói mua hàng đang hoạt động — huỷ gói trong Cài đặt > [Tên bạn] > Đăng ký trên máy Apple.
"Xoá toàn bộ dữ liệu" (trong Cài đặt): xoá toàn bộ dữ liệu của ứng dụng trên máy (cả ba loại nhật ký, ảnh đang chờ xem lại, báo lỗi chưa kịp gửi, cài đặt, bộ đếm lượt chụp và lượt làm đẹp, mã cài đặt máy) và huỷ mọi thông báo nhắc nhở đang hẹn, và yêu cầu xoá mọi báo lỗi bạn đã gửi trên máy chủ. Nút này đăng xuất bạn trên máy này, nhưng không xoá tài khoản đăng nhập (nếu có), không huỷ gói mua hàng, và không đụng tới ảnh đã lưu vào thư viện ảnh của bạn.

Nếu muốn xoá cả hai (tài khoản lẫn báo lỗi), bấm cả hai nút.

7. Trẻ em

Ứng dụng không hướng tới trẻ em dưới 13 tuổi và không cố ý thu thập dữ liệu từ trẻ em dưới 13 tuổi.

8. Thay đổi chính sách

Chúng tôi có thể cập nhật chính sách này khi ứng dụng thay đổi. Phiên bản mới sẽ được đăng tại cùng địa chỉ, với ngày hiệu lực mới ở đầu trang.

9. Liên hệ

Câu hỏi về quyền riêng tư, liên hệ: vogiabao292@gmail.com.

Tên/đơn vị chịu trách nhiệm: Võ Gia Bảo.

Ngày hiệu lực: 2026-10-11.

Privacy Policy — Malesup

Last updated: 2026-10-11.

1. Introduction

Malesup ("the app", "we") is a real-time photo-coaching app that helps you frame a shot using voice and on-screen guidance. This document explains what data we collect, why, how long we keep it, and how you can delete it.

2. Data we collect

2.1 Signing in with Google or Apple

You can shoot with the app without signing in. Signing in is required to buy Pro — the purchase is attached to that account, and signing back in with it is how you use Pro on another device.

When you choose to sign in with Google or Sign in with Apple, we receive and store:

Your display name, email address and avatar photo (if the sign-in provider shares them).
A user id issued by Amazon Cognito for your account (sub) — this is the primary identifier we use internally, never your email.

This data is stored on AWS infrastructure in the ap-southeast-1 (Singapore) region (the app also keeps a copy of your profile on your device, and its sign-in tokens in the iOS Keychain), and is used to: authenticate your sign-in, show your name/avatar in the app, send you a welcome email at that address each time you create a new account, and attach your purchase to your account (section 2.2).

Each sign-in method is a separate account. Signing in with Google and signing in with Sign in with Apple — even with the same email address — creates two different accounts; we do not merge accounts by email. If you bought Pro on a different account, sign back in with that account — Pro comes back by itself, with nothing to tap.

2.2 Purchases (RevenueCat)

Pro purchases are processed through Apple (the App Store) and RevenueCat, a third-party in-app purchase management service. We (via RevenueCat) receive your purchase history — which plan, and whether it is still active — tied to your Cognito user id (appUserID = the sub from section 2.1; because you have to be signed in to buy, every purchase carries one). Apple handles all payment details (card numbers, etc.); neither we nor RevenueCat ever see them.

The RevenueCat SDK starts when you reach the app's main screen (to check whether you have Pro and to load prices), even if you have never bought anything. If you are signed in it uses the sub from section 2.1; if not, it uses a random anonymous id generated by RevenueCat, not tied to your name or email.

2.3 Session logs, performance logs and error logs

The version of the app released on the App Store records none of the three logs below.

Only internal test builds (not publicly released; installed only for the development team and invited testers) record them: technical measurements of each shooting session (camera tilt, estimated distance, the body-landmark positions detected, face and background brightness, spoken commands, whether each photo was kept or dropped in review, and the file name, size and capture time of saved photos), device performance metrics (frame rate, the app's adaptive performance level) and an error log (the error text and when it happened), with the device model, iOS version and app version. In those builds the logs are stored only on the device, never sent automatically, can be turned off in Settings, and leave the device only when the user taps an "Export…" button and chooses where to send the file in the operating system's share sheet.

2.4 Camera, motion sensors, photo library

The app requests permission to use the Camera (to frame the live shot), motion sensors (to know whether the phone is level or tilted), access to your photo library, and permission to send notifications (section 2.7). All image processing (including focusing and metering exposure on the subject's face, and the photo enhancement in section 2.10), pose estimation and sensor processing happens on your device, and is never sent anywhere except as described in section 2.5.

Photo library. The app uses this permission for exactly two things: saving the photos you take (or the photos you just enhanced) to your library, and — only when you open the "Enhance a photo" feature yourself (section 2.10) — showing the photos in your library so you can pick one to enhance. Read access is requested the first time you tap that feature, never at launch. If you choose "Limited Access" in the iOS dialog, the app sees only the photos you allowed. The app never scans, analyses or uploads your library — only the one photo you pick is opened for enhancement.

The app does not request location (GPS) permission and does not collect location data.

2.5 Photo reports ("Báo lỗi")

Photos you take never leave your device, except when you deliberately tap "Report" on a specific photo to flag that the app scored or coached it wrong. When you do, we send to our server:

A downscaled copy of the photo (long edge at most 2048 pixels, JPEG-compressed), with all EXIF metadata and GPS location stripped before it is sent.
The capture time and the measurements the app took at that moment (tilt, estimated distance, the detected body-landmark positions, score, the commands just spoken, the app language) and the id of the app version and threshold configuration that produced them.
The reason you selected (e.g. "wrong score", "wrong feedback", "missed the moment", "other") and any free-text comment you add (up to 300 characters).
A random identifier for your app install (installId). Your Cognito account id is never sent, whether or not you are signed in.
Your device model and OS version (e.g. "iPhone16,2", "iOS 18.6").

The first time you use the Report feature, the app shows an explanation and a link to this page before sending; later uses are a single tap.

Only the Malesup development team sees these reports. We use them to find and fix cases where the app scores or coaches incorrectly, never for advertising or sharing with any other third party. We keep both the photo and all of its accompanying data for about 45 days, after which they are deleted automatically. "About" because deletion runs on a schedule rather than to the second: in practice everything is gone within 47 days at the outside. We keep no separate backup of this data, so once it expires it is gone for good. Within that window we may derive numbers from them (e.g. "this threshold should change") to improve a future update; those derived numbers are no longer your photo or your personal data.

A reported photo may show people other than you (the subject, a passer-by, etc.) — only report photos you have the right to share.

2.6 Rewarded ads

The free tier limits how many shots you get per day. If you choose to watch an ad, you get extra shots for that day. In the same way, the "Enhance a photo" feature (section 2.10) gives the free tier a number of enhancements; when they run out, you can choose to watch an ad for more. Pro shoots and enhances without limits and without ads. You are never made to watch one: no ad plays on its own, there are no banners, and nothing interrupts you while you are shooting or enhancing — only a button you press, which always says what it pays before it opens.

Ads are served by Google AdMob. When you open the rewards screen (or tap the watch-an-ad button on the photo enhancement screen), the app loads an ad so you are not left waiting — which means the AdMob SDK starts up then, before you tap the watch button. From that point it collects data of its own: a device identifier (IDFV — not the IDFA), advertising data and ad interactions, an approximate location inferred from your IP address, and diagnostic/crash data. If you never open that screen and never tap that button, the SDK never starts and collects nothing.

We request NON-PERSONALIZED ads. The app does not read the IDFA, does not show an App Tracking Transparency prompt, and does not use your data to track you across other apps or websites. Install measurement uses Apple's SKAdNetwork — Apple's own design for measuring without identifying anyone.

Google's privacy policy covers what AdMob collects: https://policies.google.com/technologies/ads

2.7 Reminder notifications

The first time you reach the main screen, the app asks for permission to send notifications (once only; if you decline, the app does not ask again). If you allow it, the app schedules at most one notification a week on the device itself — for example, a reminder that photos are waiting for review, or an upcoming holiday. These are local notifications: the schedule is computed and stored on your device, the app registers no push token and sends nothing to any server. Turn them off with the "Reminders" switch in Settings (which cancels every pending notification at once) or in iPhone Settings. You gain or lose nothing by turning notifications on or off.

2.8 In-app news

On the main screen the app downloads one shared news/promotions file from our server (Amazon CloudFront). It is the same file for everyone: the request carries no account, no install id and no data of yours, and which items you have seen or tapped is recorded only on your device.

2.9 Face data

What face data the app uses. While the camera is open, an on-device pose model finds 17 body landmarks on the person being photographed; five of them are on the face (nose, both eyes, both ears), each just an (x, y) position in the frame plus a confidence score. From those positions the app also measures the average brightness of the face area and of the background behind it (to warn about backlight), and points the camera's focus and exposure at the face. That is all. The app does not do face recognition or identification, does not build a face template, faceprint or any other biometric identifier, does not use the TrueDepth camera, ARKit face tracking or Face ID, and cannot tell who anyone is.

When enhancing a photo (section 2.10) — one you just took or one you picked from your library — the app runs iOS's built-in face detector (Apple Vision) on that photo, on the device, to find where the face is and where its features are (eyes, lips, face outline). The result is just positions in the photo, used to know where to brighten skin and touch up lips and eyes; it does not recognise or identify anyone either.

What it is used for. Only to coach the shot in real time (where the subject's head sits in the frame, how much space is above it, whether the face is backlit) and to focus and expose on the subject, and to enhance photos (section 2.10). Never for advertising, profiling, tracking or identifying anyone, and never to train machine-learning models.

Where it is stored and for how long. On the App Store version, face data is processed in the device's memory, frame by frame (or photo by photo when enhancing), and discarded immediately — it is not saved to the device, not sent to any server and not kept after the frame or photo is processed. The only exception is a photo report you choose to send (section 2.5): that report contains the photo itself (which may show faces) and the landmark positions and face brightness measured at that moment. It goes only to our server on AWS (ap-southeast-1, Singapore), is seen only by the Malesup team, and is deleted automatically after about 45 days (47 at the outside) with no backup, or earlier if you tap "Delete all data" (section 6). (Internal test builds, not on the App Store, may also keep these measurements in a log on the device — section 2.3.)

Sharing. Face data is not shared with, sold to or disclosed to any third party — not Google/AdMob, not RevenueCat, not Apple, not anyone else. Amazon Web Services stores photo reports only as our infrastructure provider (section 4).

2.10 Photo enhancement

The app enhances photos in two ways: (a) automatically, for every photo you just took, so you see the enhanced version in the review screen (press and hold to see the original); (b) when you choose a photo already in your library with the "Enhance a photo" feature. Enhancement means adjusting brightness, contrast, colour and sharpness and — if the photo has a face — brightening the skin and lightly touching up lips and eyes (section 2.9). Nothing is drawn in or generated.

All enhancement happens on your device, needs no network, and sends no photo and no data about any photo to any server. For a photo stored in iCloud, iOS may first download the original from your iCloud to the phone — that happens between your device and Apple, not through us.
Your original is never modified or deleted. The enhanced version is saved as a new photo in your library only when you tap save (or swipe to keep it in the review screen). It keeps the original's metadata (capture time, camera model, and location if the original already had one) — the app adds nothing new.
An enhanced version you have not saved sits only in the app's cache on your device, which iOS may clear at any time.
When you tap share, the app opens the iOS share sheet; the photo goes only where you choose.
The app keeps a count of your remaining free enhancements on the device (section 2.6) — just a number, not tied to any photo and never sent anywhere.

3. What we do NOT do

We do not upload photos from your library anywhere, and we do not look at your library unless you open "Enhance a photo" yourself to pick one (sections 2.4, 2.10).
We do not collect GPS location. The app never asks for location permission and never reads GPS. The ads SDK (2.6) may infer an approximate location from your IP address when you open the rewards screen or tap to watch an ad — city level, not coordinates, and not at all if you do neither.
We do not sell your data to third parties.
We do not use your data to track you across other companies' apps or websites (no tracking, per Apple's App Tracking Transparency definition) — ads included: we request non-personalized ads and never read the IDFA (2.6).
We do not merge Google and Apple accounts by email.

4. Who sees your data

Account data (2.1) and purchase history (2.2): the Malesup team, and the infrastructure providers we use to run the service (Amazon Web Services, RevenueCat, Apple) — acting as processors on our behalf, never for their own purposes.
Session/performance/error logs (2.3) and the reminder schedule (2.7): only you — the logs unless you send them to us.
Ad data (2.6): Google, as an independent data controller, and only when you choose to open the rewards screen or tap to watch an ad.
Photo reports (2.5): only the Malesup team, for about 45 days.

5. Retention

Data	Stored where	For how long
Account (name, email, avatar, Cognito id)	AWS servers	Until you delete your account
Purchase history (RevenueCat)	RevenueCat + Apple	Per RevenueCat/Apple's own policy, generally tied to the purchase's lifecycle
Session/performance/error logs	Your device only	Until you delete them in the app
Reminder schedule (2.7)	Your device only	Until you turn reminders off or delete all data
Photo reports (photo + data)	AWS servers	About 45 days (47 at the outside) from submission, then deleted automatically, with no backup
Ad data (2.6)	Google (AdMob)	Per Google's own policy

6. Deleting your data

There are two delete actions with different effects — read before tapping:

"Delete account" (Settings → Account): permanently deletes your Cognito account and account data (name, email, avatar). Does not delete photo reports you have submitted (section 2.5) — reports are tied to your device's install id (installId), not your account, because we deliberately never send your account id with a report. Does not cancel an active subscription — cancel it in Settings > [Your Name] > Subscriptions on your Apple device.
"Xoá toàn bộ dữ liệu" / "Delete all data" (Settings): deletes all of the app's data on your device (all three logs, photos pending review, reports not yet sent, settings, the daily shot counter and the enhancement counter, the device install id) and cancels every scheduled reminder, and requests deletion of every photo report you have submitted from our server. It signs you out on this device, but does not delete a sign-in account (if any), does not cancel a subscription, and does not touch photos already saved to your photo library.

If you want both (account and reports) gone, tap both buttons.

7. Children

The app is not directed at children under 13 and we do not knowingly collect data from children under 13.

8. Changes to this policy

We may update this policy as the app changes. A new version will be posted at the same address, with a new effective date at the top.

9. Contact

Privacy questions: vogiabao292@gmail.com.

Responsible individual/entity: Võ Gia Bảo.

Effective date: 2026-10-11.