Chính sách quyền riêng tư

CHÍNH SÁCH QUYỀN RIÊNG TƯ (PRIVACY POLICY) — MD FB TOOLKIT

Cập nhật lần cuối: Ngày 26 tháng 10 năm 2026

Chính sách quyền riêng tư này công khai minh bạch và chính xác cách tiện ích mở rộng trình duyệt MD FB Toolkit (do MD MEDIA phát triển) truy cập, xử lý, lưu trữ và bảo vệ dữ liệu của người dùng khi hoạt động trên trình duyệt nhân Chromium, tuân thủ Chính sách Chương trình Nhà phát triển Chrome Web Store và Chính sách Nền tảng của Meta.

1. Những loại dữ liệu mà Extension truy cập

Khi và chỉ khi người dùng chủ động mở giao diện điều khiển của tiện ích hoặc nhấn kích hoạt quy trình trong MD FB Toolkit, tiện ích sẽ truy cập các loại dữ liệu sau trên trình duyệt của người dùng (thông qua các quyền tabs, scripting, storage và quyền máy chủ trên developers.facebook.com, business.facebook.com, graph.facebook.com):

• Dữ liệu xác thực và định danh phiên làm việc trên Meta/Facebook: Định danh người dùng Facebook đang đăng nhập (c_user / __user); mã bảo vệ biểu mẫu nội bộ của phiên Facebook (fb_dtsg, lsd, jazoest) có trong cấu trúc DOM/HTML của tab developers.facebook.com và business.facebook.com; chuỗi Facebook Session Access Token (EAA...) có sẵn trong mã nguồn trang business.facebook.com hoặc developers.facebook.com; và chuỗi System User Access Token (EAA...) được hệ thống Meta trả về khi người dùng thực hiện chức năng tạo mới hoặc cấp lại token cho System User.

• Dữ liệu Business Manager, Fanpage và Meta App: Danh sách và thông tin định danh của Business Manager (BM ID, tên BM, trạng thái xác minh verification_status, phạm vi quyền truy cập); thông tin cấu hình Meta App (App ID, tên ứng dụng, email liên hệ ứng dụng do người dùng nhập, trạng thái lưu cấu hình và trạng thái công khai Live); thông tin System User (System User ID, tên hiển thị, các quyền scopes gắn với token); danh sách Fanpage (Page ID, tên Fanpage từ owned_pages và client_pages) và danh sách định danh người dùng được phân quyền trên Fanpage (assigned_users).

• Dữ liệu cấu hình và trạng thái tác vụ: Các thông số cấu hình do người dùng nhập trên giao diện tiện ích (BM ID mục tiêu, tên gốc App, tên gốc System User, email liên hệ App, số lượng App, số Page/Token, thời gian nghỉ giữa các yêu cầu, số lần thử lại) cùng trạng thái tiến trình và nhật ký hoạt động kỹ thuật.

2. Cách xử lý Facebook Access Token và System User Token

Mã nguồn thực tế của MD FB Toolkit áp dụng cơ chế phân tách nghiêm ngặt giữa bộ nhớ tạm thời (RAM) và bộ nhớ lưu trữ cục bộ (chrome.storage.local):

• Trong bộ nhớ tạm thời (RAM) của phiên đang chạy: Chuỗi Facebook Session Access Token được trích xuất từ tab Facebook đang mở của người dùng và giữ tạm thời trong RAM để thực hiện các truy vấn đọc/kiểm tra dữ liệu qua Meta Graph API (https://graph.facebook.com/v22.0/). Chuỗi System User Token vừa được sinh ra chỉ tồn tại nguyên văn trong bộ nhớ RAM của phiên hiện tại để người dùng xem, sao chép hoặc tải tệp kết quả (.txt) trực tiếp về máy tính cá nhân.

• Khử dữ liệu nhạy cảm trước khi lưu xuống ổ đĩa (chrome.storage.local): Tiện ích tuyệt đối không lưu chuỗi nguyên văn của Facebook Session Access Token hoặc System User Token xuống chrome.storage.local. Trước khi ghi dữ liệu xuống bộ nhớ cục bộ, các hàm khử nhạy cảm trong mã nguồn (sanitizeBmForStorage, sanitizeTokenRecordForStorage, sanitizeResourceRecordForStorage) đặt trường accessToken và token về giá trị null, chỉ giữ lại cờ trạng thái liên kết (hasToken: true) và bản rút gọn đã che (maskedToken chỉ hiển thị 7 ký tự đầu và 4 ký tự cuối dạng EAAxxxx...xxxx) để phục vụ khôi phục phiên mà không tạo trùng dữ liệu.

• Che dữ liệu nhạy cảm trong Nhật ký hoạt động: Mọi dòng nhật ký hiển thị trên màn hình hoặc xuất ra tệp log đều đi qua bộ lọc maskTokensInText để tự động thay thế access_token, fb_dtsg, cookie phiên (c_user, xs, fr, datr, sb) và chuỗi EAA... bằng ký hiệu đã ẩn ([REDACTED]).

3. Việc sử dụng dữ liệu Business Manager, Fanpage và Meta App

Tiện ích chỉ sử dụng dữ liệu Business Manager, Fanpage và Meta App để thực thi trực tiếp các lệnh do chính người dùng kích hoạt, bao gồm:

• Quét, xác minh và đối chiếu danh sách Business Manager mà tài khoản người dùng có quyền truy cập hợp lệ.

• Tạo ứng dụng mới (Meta App), lưu cài đặt cơ bản (Basic Settings) và chuyển ứng dụng sang chế độ công khai (Live) trên developers.facebook.com.

• Tạo System User, gán tài sản Meta App cho System User, sinh System User Access Token hoặc thu hồi Token theo yêu cầu của người dùng trên business.facebook.com.

• Quét danh sách Fanpage thuộc Business Manager và thực hiện cấp quyền hoặc gỡ quyền quản trị Fanpage cho System User / người dùng trong Business Manager.

4. Dữ liệu được lưu ở đâu

• Toàn bộ thông số cấu hình, danh sách Business Manager lịch sử, trạng thái phiên chạy (md_workflow_session), danh sách ID (app_ids, su_userIds) và bản ghi liên kết đã che Token (su_tokens, md_last_results) được lưu trữ hoàn toàn cục bộ trên trình duyệt của người dùng thông qua API chrome.storage.local.

• Khi người dùng chủ động nhấn nút Tải log hoặc Xuất kết quả (.txt), tệp văn bản được tạo trực tiếp trên trình duyệt và lưu vào máy tính cá nhân của người dùng.

• MD MEDIA không có máy chủ lưu trữ từ xa và không thu thập dữ liệu của người dùng về cơ sở dữ liệu của MD MEDIA.

5. Dữ liệu có được truyền đến máy chủ bên ngoài hay không

• Không truyền đến máy chủ của MD MEDIA hay bên thứ ba độc lập: Mã nguồn của MD FB Toolkit không chứa bất kỳ kết nối mạng nào gửi dữ liệu người dùng, cookie hay token tới máy chủ của MD MEDIA hoặc bất kỳ dịch vụ theo dõi, phân tích, quảng cáo bên ngoài nào.

• Chỉ truyền trực tiếp tới hệ thống máy chủ chính thức của Meta: Mọi yêu cầu HTTPS từ tiện ích chỉ được gửi trực tiếp từ trình duyệt của người dùng tới 3 miền chính thức của Meta đã khai báo trong manifest.json: https://developers.facebook.com/*, https://business.facebook.com/* và https://graph.facebook.com/*.

6. Những bên có thể nhận dữ liệu (Bao gồm Meta)

• Meta Platforms, Inc. (Facebook): Là bên duy nhất nhận các yêu cầu HTTP/GraphQL/Graph API trực tiếp từ trình duyệt của người dùng để xác thực phiên đăng nhập và thực hiện các thao tác quản trị Business Manager, Meta App, System User và Fanpage trên nền tảng Meta.

• Người sử dụng tiện ích: Là người trực tiếp xem kết quả trên giao diện trình duyệt và tải tệp kết quả về thiết bị cá nhân.

• MD MEDIA: Không tự động nhận được bất kỳ dữ liệu nào từ tiện ích (trừ trường hợp người dùng chủ động gửi ảnh chụp màn hình hoặc tệp nhật ký đã che Token qua kênh hỗ trợ kỹ thuật để yêu cầu trợ giúp).

7. Biện pháp bảo vệ thông tin

• Giới hạn quyền truy cập tối thiểu (Least Privilege) trong manifest.json, chỉ hoạt động trên các miền chính thức của Meta.

• Khử hoàn toàn chuỗi Access Token và System User Token nguyên văn trước khi lưu vào chrome.storage.local; chỉ giữ Token nguyên văn trong RAM khi phiên đang mở.

• Tự động che (mask/redact) mọi chuỗi Token và Cookie trong Nhật ký hoạt động.

• Tự động gỡ quyền tài khoản cá nhân khỏi Meta App sau khi sinh System User Token thành công nhằm hạn chế rủi ro bảo mật.

• Sử dụng khóa bộ điều phối (Orchestrator Lock) để ngăn chặn xung đột dữ liệu khi mở nhiều tab cùng lúc.

8. Thời gian lưu trữ và cách xóa dữ liệu

• Dữ liệu trong RAM (bao gồm Token nguyên văn): Chỉ tồn tại trong thời gian tab giao diện điều khiển của tiện ích đang mở và tự động bị xóa ngay khi đóng tab hoặc đóng trình duyệt.

• Dữ liệu cấu hình và lịch sử đã che Token trong chrome.storage.local: Được lưu cục bộ trên trình duyệt cho đến khi người dùng nhấn xóa nhật ký, xóa dữ liệu lưu trữ cục bộ của tiện ích hoặc gỡ cài đặt tiện ích MD FB Toolkit khỏi trình duyệt.

9. Quyền của người dùng và thông tin liên hệ

Người dùng có toàn quyền kiểm tra, xuất, xóa toàn bộ dữ liệu cục bộ của tiện ích, thu hồi các System User Token trên Meta Business Suite hoặc gỡ cài đặt tiện ích bất cứ lúc nào (xem chi tiết tại trang Hướng dẫn xóa dữ liệu).

• Đơn vị phát triển: MD MEDIA

• Sản phẩm: MD FB Toolkit

• Điện thoại / Zalo hỗ trợ: 0365233930