Effective date: 21 September 2026
1. Introduction
We at AerVPN ("we", "us", "our") value your privacy and are committed to protecting your personal information. This Privacy Policy explains how we collect, use, store, and protect your information when you use the AerVPN mobile application (the "App") on iOS and Android, together with the VPN servers behind it.
It applies to the App, our VPN server network, and our website at 1aer.org. It does not apply to third-party websites or services you reach while connected to the VPN.
2. Summary
We do not log your browsing history, your DNS queries, the destinations you connect to, or the content of your traffic.
We do not store any record linking your account or device to a specific internet activity or destination address.
We collect a limited set of account, billing and connection-operations data, listed in full in Section 3 — nothing on that list reveals what you did through the tunnel.
The App sends crash reports and basic usage analytics to Google Firebase, from the main app only and never from the VPN tunnel process (Section 3.6).
We do not sell your personal data, and VPN traffic data is never used for advertising or profiling. We could not use it that way even if we wanted to, because we do not have it.
3. Information we collect
3.1 Information you provide
| Data | Why | Retention |
|---|
| Sign-in identity — provider (Apple or Google), the provider's stable user identifier, and your email address, only if you choose to sign in | Sharing your plan and your device limit across your own devices | Until you delete your account, then removed within 30 days |
| Split Tunneling entries — the IP addresses you type in to route outside the tunnel | Applying your own routing rules on the node | Until you remove them or delete the app data |
| My Filters rules — the domains and IP ranges you type in to block, and the domains you choose to always allow (Premium add-on) | Applying your own filtering rules on the node | Until you remove them or delete the app data |
| Support correspondence | Answering you | 24 months |
An account is optional. The App works fully without signing in. If you never sign in, we hold no email address and no name for you.
Split Tunneling entries and My Filters rules are the only places where a destination address or domain is stored — and each one is something you typed in as a setting, not something we observed in your traffic.
3.2 Information collected automatically
| Data | Why | Retention |
|---|
| Device identifier and device token — random values generated on first launch. Not your advertising ID, not a hardware serial, not linkable to you by anyone but us | Authenticating the app to our API, applying your plan and quota | Until you delete the app data or your account, and in any case erased after 24 months with no connection |
| Platform (iOS / Android) and app version | Compatibility, diagnosing failures | With the session record below |
| Session metadata — start time, end time, the server location you connected to, your device's WireGuard public key, the private address assigned to you inside the tunnel, total bytes in and out, and why the session ended | Running the tunnel, enforcing the device limit, capacity planning, abuse prevention | 30 days after the session ends |
| Daily bandwidth total per device (one number per day) | Enforcing the free-tier fair-use limit | 90 days |
| Advanced Protection settings — four on/off switches | Applying your filtering choices on the node | Until changed or account deleted |
| Blocked-request counters per device — six running totals: how many DNS lookups we answered for you, how many were refused in total, and how many each of the four layers refused. Numbers only: no domain names, no timestamps, nothing that could reconstruct what you looked up | Showing you what Advanced Protection actually did | Until you delete the app data or your account |
| Dedicated IP assignment, if you buy one — the mapping of that IPv4 address to your device | Reserving the address for you alone | For the life of the assignment |
| Operations log for our administrators — events such as a node going down or a subscription activating, recording only a truncated device identifier | Operating and auditing the service | 90 days |
| Connection speed and latency while connected — the throughput your device is currently using (from the session byte counters) and the round-trip time from our server to your device's private tunnel address, kept as 24 hourly peaks/averages | Spotting slow connections and weak servers | Held in server memory only, never written to disk; rolls off after 24 hours and is lost whenever the server restarts |
| Speed test results — when you tap Speed Test in the App: download and upload speed, ping, whether the VPN was on and which server location it used | Troubleshooting slow connections | 30 days |
| Node health metrics — CPU, memory, session count, throughput, latency from our control server, and bandwidth the server measures for itself per server | Capacity and alerting | Aggregate only, no user data |
None of these records is joined to the destination of your traffic. We hold no mapping between you and the sites, services, or addresses you reach through the VPN.
3.3 Your IP address — the honest version
Every internet service sees the public IP address of whoever contacts it, and we are no exception. Here is exactly what happens to yours:
- Our API sees your IP on each request. We send it to ip-api.com to obtain an approximate location, so the App can put the nearest server at the top of your list. The lookup result is held in memory for 24 hours and then discarded. Your IP is never written to our database. What we do keep, with your device record, is the approximate location (city-level coordinates and country) of the last non-VPN network you used the App from, so the nearest servers stay at the top while you are connected or behind another VPN; it is overwritten each time and deleted with your device. The App also sends your device's time zone (e.g. "Asia/Ho_Chi_Minh") with its requests; we only use it as a rough fallback when your current IP belongs to a VPN or data center and no saved location fits, for that request only — it is never stored.
- Our VPN node sees your IP as the tunnel endpoint for as long as you stay connected — that is how packets find their way back to you. It lives in the WireGuard kernel state in memory, and it is gone when the session ends. It is never written to disk and never stored next to a destination.
- The node counts how often that endpoint address changes during one session, because a configuration being shared across several devices shows up as an endpoint jumping between addresses. We keep the count, not the addresses.
What we never do is write your IP into a log alongside anything you did. That is the record that would make a no-logs claim worthless, and it does not exist on our systems.
3.4 DNS
When Advanced Protection is on, DNS resolution happens on the VPN node you are connected to. That resolver does not log queries — it checks the name against the blocklists you enabled, then refuses it or passes it on. The only thing it keeps is a counter: one number per layer, plus one for your own My Filters rules, so the App can show you how many requests were refused. The name itself is never written down anywhere.
Names that are not blocked are forwarded to Cloudflare's public resolver (1.1.1.1 / 1.0.0.1), which receives the query from our node's address, not from yours. Cloudflare's handling of that traffic is governed by its own privacy commitments.
3.5 Payment information
Subscriptions are sold and processed by Apple (App Store) or Google (Google Play). We never receive or store your card number, bank details, or billing address.
What we receive and store is the transaction record needed to unlock Premium: the store's subscription identifier (Apple's original transaction ID or Google's purchase token), the product purchased, whether it is a sandbox or production purchase, and the expiry date. We keep it while the subscription is active and afterwards as required for accounting and dispute handling.
Alongside it we record what the store tells us about the subscription's terms and status: whether it started with a free trial, an introductory price or an offer code (and that offer's name or code), whether the current period is still the offer period, whether automatic renewal is switched on, and status updates Apple and Google send our server directly (renewal, cancellation, billing problems, refunds). A refund reported by the store ends Premium on the affected device. The log of these subscription events is kept for 400 days.
3.6 Crash reports and app analytics
The App includes two Google components from the Firebase SDK: Crashlytics, which sends us a report when the App crashes, and Firebase Analytics, which reports basic usage events so we can see which screens are used and where people get stuck.
- Both run in the main app only. Neither is built into the VPN tunnel extension or the Clean Link share extension — the process that handles your packets does not contain the SDK at all, so nothing about your traffic, your DNS lookups or the destinations you reach can travel to Google through them.
- What is sent: for a crash, the stack trace with your device model, OS version and App version; for analytics, Firebase's standard automatic events (App opened, screen viewed, purchase completed) together with a random Firebase installation identifier. We define no custom events of our own, and we never attach your email address, your account identifier, your VPN session or your server choice to any of it.
- As with any network request, Google sees the IP address the report is sent from and derives an approximate country from it. When the VPN is connected, that is the address of the VPN node — not your home address.
- This data is processed and stored on Google's infrastructure under Firebase's own privacy terms, with Firebase's default retention: crash reports about 90 days, event-level analytics data 2 months, after which only aggregate statistics remain.
This is the only analytics in the product. We run no analytics of our own on top of the VPN service, and our website carries none at all (Section 3.8).
3.7 Advertising
The current version of the App contains no advertising SDK and shows no ads. Nothing in it reads your device advertising identifier (IDFA), on any platform.
On iOS the App does ask for tracking permission, through Apple's App Tracking Transparency framework, the first time you open it. That prompt controls one thing today: whether the basic Firebase Analytics usage events described in Section 3.6 may also be used by Google for advertising purposes.
- Until you answer, and for as long as you decline, those advertising uses stay switched off. This is not only a setting we honour in our own code — the App declares Google's analytics collection endpoint as a tracking domain in its privacy manifest, so iOS itself blocks the connection unless you have granted permission.
- Declining costs you nothing. Every feature of the App works identically either way, and we do not ask again.
- You can change your answer at any time in Settings › Privacy & Security › Tracking.
- Crash reports are not affected by this prompt. Crashlytics is never used for advertising, whatever you answer.
We intend to support the free tier with advertising served through Google AdMob in a future version. When that happens, AdMob may access your device advertising identifier (IDFA on iOS, Advertising ID on Android), coarse location derived from your IP, and ad interaction events in order to serve and measure ads. We will announce that change under Section 11 before it takes effect, and it will work as follows:
- On iOS, the App Tracking Transparency answer described above will continue to govern personalised advertising. If you decline, we will instruct AdMob to serve non-personalised ads only.
- On Android, you can reset or delete your Advertising ID and opt out of personalised ads in system settings.
- Ads will never be targeted using VPN traffic, browsing history, or DNS queries. We do not have that data, and we will pass nothing of the kind to any ad network.
- A Premium subscription will remove ads entirely.
3.8 Our website
1aer.org stores one thing in your browser: the language you picked, so the page opens in it next time. It sets no advertising or analytics cookies, and it loads nothing from a third party — fonts and images are served from our own domain, so no outside company sees that you visited.
3.9 Notifications
The App can notify you about three things: the VPN dropped and could not reconnect on its own, today's free data ran out, or your Premium plan ended. We never send advertising or promotional notifications. On iOS and on Android 13 or later the system asks for your permission first; on every platform you can switch each group off under Profile › Notifications or in your device settings.
- "VPN disconnected" is produced on your device, by the App itself. Nothing is sent to us, to Apple or to Google in order to show it.
- The other two are push notifications sent by our server. To deliver them we store a push token with your device record — an identifier issued by Apple (Apple Push Notification service) on iOS or by Google (Firebase Cloud Messaging) on Android, which lets that company route a message to your copy of the App. We delete it when you switch the "Data and plan" group off, when you delete your account, or when Apple or Google tell us the token is no longer valid.
- What Apple or Google receive from us: the push token and a message containing only an event type (for example
quota_exhausted). The text you see is put together on your device, in your language. The message carries no account identifier, no email address, no IP address, no usage figures and nothing about your traffic.
- On Android, receiving push requires Google's Firebase Cloud Messaging component inside the App; it creates a random Firebase installation identifier in order to obtain the token. On iOS we talk to Apple's push service directly and Firebase Messaging is not used.
4. What we explicitly do not collect
We do not collect, monitor, record, or store:
- Websites you visit, DNS queries you make, or addresses you connect to
- The content of your traffic, messages, downloads, or uploads
- Your public IP address in any stored log tied to your activity (see 3.3)
- Precise GPS location
- Contacts, photos, files, SMS, call logs, calendar, or clipboard contents
- Data belonging to other apps on your device
- Biometric data, health data, or any special category of personal data
5. Legal bases for processing
For users in the EEA and the UK, we rely on:
- Performance of a contract — device and account records, subscription status, and the session metadata required to actually deliver a working tunnel.
- Legitimate interests — fraud prevention, abuse mitigation, network security, capacity planning, crash diagnostics and app analytics (Section 3.6), and service improvement, balanced against your interests.
- Consent — on iOS, your App Tracking Transparency answer, which decides whether usage analytics may also serve advertising purposes, and which will govern personalised advertising once advertising is introduced (Section 3.7). You may withdraw it at any time in system settings.
- Legal obligation — where retention or disclosure is required by law that applies to us.
6. Sharing and disclosure
We share personal data only with the following categories of recipient, each under contract and only to the extent needed:
| Recipient | Role | What they receive |
|---|
| Apple | App distribution, subscription billing, Sign in with Apple | Purchase and subscription data; your Apple identifier if you sign in |
| Google | App distribution (Google Play), subscription billing, Google Sign-In | Purchase and subscription data; your Google identifier if you sign in. Advertising identifiers only if and when AdMob is introduced (see 3.7) |
| Google — Firebase Crashlytics and Firebase Analytics | Crash reporting and app usage analytics for the App itself | Crash reports (stack trace, device model, OS and App version), Firebase's standard automatic usage events, a random Firebase installation identifier, and the IP address the report is sent from. Google may additionally use those usage events for advertising purposes only if you granted App Tracking Transparency permission (Section 3.7). Never any VPN traffic, DNS data, destination or session record — the SDK is not present in the tunnel extension (see 3.6) |
| Apple — Push Notification service | Delivering push notifications on iOS (see 3.9) | The push token and a message containing only an event type. No account, usage or traffic data |
| Google — Firebase Cloud Messaging | Delivering push notifications on Android (see 3.9) | The push token, a random Firebase installation identifier, and a message containing only an event type. No account, usage or traffic data |
| Cloudflare | TLS termination and CDN for 1aer.org; public DNS resolver upstream from our nodes | API request metadata; DNS queries forwarded from our node's address, not yours |
| Infrastructure providers | Hosting our VPN nodes and control plane; egress capacity for some locations | No user records. They operate machines and carry traffic; we do not hand them account, session or usage data |
| ip-api.com | Approximate geolocation of an IP address | The IP address of the device calling our API, with no identifier attached (see 3.3) |
We do not sell personal information and do not share it for cross-context behavioural advertising, as those terms are defined by the California Consumer Privacy Act.
6.1 Law enforcement requests
We respond only to requests that are legally valid and binding under the law of the jurisdiction in which we are established.
Because we keep no browsing logs and no mapping between a user and an activity or destination, we cannot produce a record of what anyone did while connected — no such record exists to be produced. We will disclose only the limited data described in Section 3 that we actually hold at the time of the request. Where the law permits it, we tell the affected user.
7. International transfers
Our servers are in several countries, and you choose which one your traffic exits from. Your data may therefore be processed outside your country of residence, including in countries whose data protection laws differ from your own. For transfers out of the EEA or the UK we use an appropriate safeguard — an adequacy decision where one covers the destination, otherwise Standard Contractual Clauses.
8. Security
- The tunnel uses WireGuard (with AmneziaWG obfuscation where enabled), with keys generated on your device — your private key never leaves it.
- All communication with our API is over TLS.
- Account and subscription databases are encrypted at rest, on hosts reachable only over authenticated channels.
- Administrative access to production is restricted to named operators and recorded in the operations log described in Section 3.2.
If a breach affects your personal data and is likely to put you at risk, we notify the relevant supervisory authority and you, without undue delay.
No system is perfectly secure, and we do not claim otherwise. We do commit to keeping the amount of data available to lose as small as the service allows.
9. Your rights
Depending on where you live, you may have the right to access the personal data we hold about you, correct it, delete it, object to or restrict how we process it, receive it in a portable format, withdraw consent, opt out of any sale or sharing of personal information (we do neither), and lodge a complaint with your supervisory authority.
To exercise any of these, write to support@1aer.co from the email address on your account, or from any address together with the Device ID shown in the App under Help → Diagnostic Information if you use the App without an account. We respond within 30 days.
Deleting your data. You can erase everything yourself, in the App, at Profile → Delete account. It takes effect immediately: your account, every device linked to it and all associated records are deleted, and any live connection is closed. There is no waiting period and no undo. If you prefer, email support@1aer.co instead and we will complete the erasure within 30 days.
Deleting your account does not cancel your subscription — Apple and Google do not let us cancel it for you. Cancel it in your App Store or Google Play account settings, or billing continues.
Deleting the App from your device removes the local device token, after which the device records expire on the schedule in Section 3.2. Deleting the App does not cancel a subscription — cancel that in your App Store or Google Play account settings.
10. Children
The App is not directed to children under 13, or under 16 in the EEA and the UK where local law sets that age. We do not knowingly collect data from children. If you believe a child has given us personal data, contact us and we will delete it.
11. Changes to this policy
We may update this policy. Where a change is material, we will announce it in the App, or by email if we have your address, at least 14 days before it takes effect. The effective date at the top always reflects the version in force.
12. Contact
AerVPN — email support@1aer.co for anything in this policy, including access, correction and erasure requests. Our registered company details are available on request to the same address.
See also our Terms of Use.
Ngày hiệu lực: 21/09/2026
1. Giới thiệu
AerVPN ("chúng tôi") coi trọng quyền riêng tư của bạn và cam kết bảo vệ thông tin cá nhân của bạn. Chính sách quyền riêng tư này giải thích cách chúng tôi thu thập, sử dụng, lưu trữ và bảo vệ thông tin của bạn khi bạn dùng ứng dụng di động AerVPN ("Ứng dụng") trên iOS và Android, cùng hệ thống máy chủ VPN phía sau.
Chính sách áp dụng cho Ứng dụng, mạng máy chủ VPN và website 1aer.org. Chính sách không áp dụng cho website hay dịch vụ của bên thứ ba mà bạn truy cập trong lúc đang kết nối VPN.
2. Tóm tắt
Chúng tôi không ghi log lịch sử duyệt web, truy vấn DNS, đích đến bạn kết nối, hay nội dung lưu lượng của bạn.
Chúng tôi không lưu bất kỳ bản ghi nào nối tài khoản hay thiết bị của bạn với một hoạt động internet hoặc một địa chỉ đích cụ thể.
Chúng tôi có thu một lượng dữ liệu hạn chế về tài khoản, thanh toán và vận hành kết nối — liệt kê đầy đủ ở Mục 3. Không có mục nào trong danh sách đó cho biết bạn đã làm gì qua đường hầm.
Ứng dụng có gửi báo cáo sự cố và thống kê sử dụng cơ bản tới Google Firebase, chỉ từ ứng dụng chính và không bao giờ từ tiến trình đường hầm VPN (mục 3.6).
Chúng tôi không bán dữ liệu cá nhân của bạn, và không bao giờ dùng dữ liệu lưu lượng VPN cho quảng cáo hay dựng hồ sơ người dùng. Có muốn cũng không làm được, vì chúng tôi không có dữ liệu đó.
3. Thông tin chúng tôi thu thập
3.1 Thông tin bạn cung cấp
| Dữ liệu | Để làm gì | Lưu bao lâu |
|---|
| Danh tính đăng nhập — nhà cung cấp (Apple hoặc Google), định danh người dùng ổn định do họ cấp, và email của bạn, chỉ khi bạn chọn đăng nhập | Đồng bộ gói dịch vụ và hạn mức thiết bị giữa các máy của chính bạn | Tới khi bạn xoá tài khoản, sau đó gỡ trong vòng 30 ngày |
| Danh sách Split Tunneling — các địa chỉ IP do bạn tự nhập để đi ra ngoài đường hầm | Áp đúng quy tắc định tuyến của bạn trên node | Tới khi bạn xoá chúng hoặc xoá dữ liệu ứng dụng |
| Luật Bộ lọc của tôi — các tên miền và dải IP do bạn tự nhập để chặn, và các tên miền bạn chọn luôn cho phép (add-on Premium) | Áp đúng quy tắc lọc của bạn trên node | Tới khi bạn xoá chúng hoặc xoá dữ liệu ứng dụng |
| Nội dung trao đổi khi bạn liên hệ hỗ trợ | Trả lời bạn | 24 tháng |
Tài khoản là tuỳ chọn. Ứng dụng chạy đầy đủ mà không cần đăng nhập. Nếu bạn không bao giờ đăng nhập, chúng tôi không có email và không có tên của bạn.
Danh sách Split Tunneling và luật Bộ lọc của tôi là những chỗ duy nhất có lưu một địa chỉ đích hay tên miền — và mỗi mục đều là thứ chính bạn nhập vào như một thiết lập, không phải thứ chúng tôi quan sát được từ lưu lượng của bạn.
3.2 Thông tin hệ thống tự ghi nhận
| Dữ liệu | Để làm gì | Lưu bao lâu |
|---|
| Định danh thiết bị và token thiết bị — giá trị ngẫu nhiên sinh ra ở lần mở app đầu tiên. Không phải ID quảng cáo, không phải số serial máy, không ai ngoài chúng tôi nối được nó với bạn | Xác thực ứng dụng với API, áp đúng gói và hạn mức của bạn | Tới khi bạn xoá dữ liệu ứng dụng hoặc xoá tài khoản, và trong mọi trường hợp bị xoá sau 24 tháng không kết nối |
| Nền tảng (iOS / Android) và phiên bản ứng dụng | Tương thích, chẩn đoán lỗi | Cùng bản ghi phiên bên dưới |
| Siêu dữ liệu phiên — thời điểm bắt đầu, thời điểm kết thúc, vị trí máy chủ bạn kết nối, khoá công khai WireGuard của thiết bị, địa chỉ riêng được cấp cho bạn bên trong đường hầm, tổng số byte vào/ra, và lý do phiên kết thúc | Vận hành đường hầm, áp giới hạn số thiết bị, hoạch định dung lượng, chống lạm dụng | 30 ngày kể từ khi phiên kết thúc |
| Tổng băng thông theo ngày của mỗi thiết bị (mỗi ngày một con số) | Áp hạn mức sử dụng hợp lý của gói miễn phí | 90 ngày |
| Thiết lập Bảo vệ nâng cao — bốn công tắc bật/tắt | Áp đúng lựa chọn lọc của bạn trên node | Tới khi bạn đổi hoặc xoá tài khoản |
| Bộ đếm số lượt bị chặn của mỗi thiết bị — sáu con số cộng dồn: chúng tôi đã phân giải bao nhiêu truy vấn DNS cho bạn, tổng cộng đã từ chối bao nhiêu lượt, và mỗi lớp trong bốn lớp đã từ chối bao nhiêu lượt. Chỉ có con số: không tên miền, không thời điểm, không có gì để dựng lại được bạn đã tra cứu những gì | Cho bạn thấy Bảo vệ nâng cao thực sự đã làm gì | Tới khi bạn xoá dữ liệu ứng dụng hoặc xoá tài khoản |
| Việc gán Dedicated IP, nếu bạn mua — ánh xạ giữa địa chỉ IPv4 đó và thiết bị của bạn | Giữ riêng địa chỉ đó cho một mình bạn | Trong suốt thời gian gán |
| Nhật ký vận hành cho quản trị viên — các sự kiện như node mất kết nối hay gói dịch vụ được kích hoạt, chỉ ghi định danh thiết bị đã cắt ngắn | Vận hành và soát lại hệ thống | 90 ngày |
| Tốc độ và độ trễ khi đang kết nối — tốc độ thiết bị đang dùng (tính từ bộ đếm byte của phiên) và thời gian khứ hồi từ máy chủ tới địa chỉ riêng của thiết bị trong đường hầm, giữ dạng 24 mức đỉnh/trung bình theo giờ | Phát hiện kết nối chậm và máy chủ yếu | Chỉ nằm trong bộ nhớ máy chủ, không bao giờ ghi xuống đĩa; tự trôi mất sau 24 giờ và mất hẳn mỗi khi máy chủ khởi động lại |
| Kết quả đo tốc độ — khi bạn bấm Đo tốc độ trong ứng dụng: tốc độ tải xuống, tải lên, ping, lúc đó có bật VPN không và qua vị trí máy chủ nào | Xử lý sự cố kết nối chậm | 30 ngày |
| Chỉ số sức khoẻ node — CPU, bộ nhớ, số phiên, lưu lượng, độ trễ từ máy chủ điều khiển, và băng thông máy chủ tự đo theo từng máy chủ | Dung lượng và cảnh báo | Chỉ ở dạng tổng hợp, không có dữ liệu người dùng |
Không bản ghi nào trong số này được nối với đích đến trong lưu lượng của bạn. Chúng tôi không giữ bất kỳ ánh xạ nào giữa bạn và các trang web, dịch vụ hay địa chỉ bạn truy cập qua VPN.
3.3 Địa chỉ IP của bạn — nói thẳng
Mọi dịch vụ internet đều nhìn thấy địa chỉ IP công cộng của bên gọi tới, và chúng tôi không phải ngoại lệ. Đây là chính xác những gì xảy ra với IP của bạn:
- API của chúng tôi nhìn thấy IP của bạn ở mỗi request. Chúng tôi gửi nó tới ip-api.com để lấy vị trí gần đúng, nhờ đó ứng dụng xếp máy chủ gần bạn nhất lên đầu danh sách. Kết quả tra được giữ trong bộ nhớ 24 giờ rồi bỏ đi. IP của bạn không bao giờ được ghi vào cơ sở dữ liệu của chúng tôi. Thứ chúng tôi CÓ lưu, kèm bản ghi thiết bị, là vị trí gần đúng (toạ độ cỡ thành phố và quốc gia) của mạng không-VPN gần nhất bạn dùng ứng dụng, để máy chủ gần bạn vẫn đứng đầu khi bạn đang kết nối hoặc đang bật VPN khác; giá trị này bị ghi đè mỗi lần và bị xoá cùng thiết bị. Ứng dụng cũng gửi múi giờ của máy (vd "Asia/Ho_Chi_Minh") kèm các request; chúng tôi chỉ dùng nó làm phương án dự phòng thô khi IP hiện tại thuộc VPN hoặc trung tâm dữ liệu mà không có vị trí đã lưu phù hợp, cho chính request đó — không bao giờ lưu.
- Node VPN nhìn thấy IP của bạn với vai trò điểm cuối đường hầm trong suốt thời gian bạn còn kết nối — gói tin tìm đường về máy bạn là nhờ nó. Nó nằm trong trạng thái WireGuard ở bộ nhớ, và biến mất khi phiên kết thúc. Nó không bao giờ được ghi xuống đĩa và không bao giờ được lưu cạnh một địa chỉ đích.
- Node có đếm số lần địa chỉ điểm cuối đó thay đổi trong một phiên, vì một cấu hình bị dùng chung trên nhiều máy sẽ lộ ra dưới dạng điểm cuối nhảy qua lại giữa các địa chỉ. Chúng tôi giữ con số đếm, không giữ các địa chỉ.
Thứ chúng tôi không bao giờ làm là ghi IP của bạn vào một log nằm cạnh việc bạn đã làm. Đó chính là loại bản ghi khiến mọi cam kết "không log" trở thành vô nghĩa, và nó không tồn tại trên hệ thống của chúng tôi.
3.4 DNS
Khi bật Bảo vệ nâng cao, việc phân giải DNS diễn ra ngay trên node VPN bạn đang kết nối. Bộ phân giải đó không ghi log truy vấn — nó đối chiếu tên miền với các danh sách chặn bạn đã bật, rồi từ chối hoặc chuyển tiếp. Thứ duy nhất nó giữ lại là bộ đếm: mỗi lớp một con số, cộng một con số cho luật Bộ lọc của tôi của chính bạn, để ứng dụng hiện được cho bạn xem đã chặn bao nhiêu lượt. Bản thân tên miền không được ghi lại ở bất cứ đâu.
Tên miền không bị chặn được chuyển tiếp tới bộ phân giải công cộng của Cloudflare (1.1.1.1 / 1.0.0.1). Cloudflare nhận truy vấn đó từ địa chỉ node của chúng tôi, không phải từ địa chỉ của bạn. Cách Cloudflare xử lý lưu lượng này tuân theo cam kết riêng tư của chính họ.
3.5 Thông tin thanh toán
Gói thuê bao do Apple (App Store) hoặc Google (Google Play) bán và xử lý thanh toán. Chúng tôi không bao giờ nhận và không lưu số thẻ, thông tin ngân hàng hay địa chỉ thanh toán của bạn.
Thứ chúng tôi nhận và lưu là bản ghi giao dịch cần để mở khoá gói Premium: mã thuê bao của cửa hàng (original transaction ID của Apple hoặc purchase token của Google), sản phẩm đã mua, giao dịch thuộc môi trường thử nghiệm hay thật, và ngày hết hạn. Chúng tôi giữ trong thời gian gói còn hiệu lực và sau đó theo yêu cầu của công tác kế toán và xử lý khiếu nại.
Kèm theo đó, chúng tôi ghi lại những gì cửa hàng cho biết về điều kiện và trạng thái của gói: gói bắt đầu bằng dùng thử miễn phí, giá giới thiệu hay mã ưu đãi (kèm tên ưu đãi hoặc mã), kỳ hiện tại còn là kỳ ưu đãi hay không, tự động gia hạn đang bật hay tắt, và các cập nhật trạng thái Apple và Google gửi thẳng đến máy chủ của chúng tôi (gia hạn, huỷ, lỗi thanh toán, hoàn tiền). Khi cửa hàng báo đã hoàn tiền, gói Premium trên thiết bị liên quan kết thúc. Nhật ký các sự kiện thuê bao này được giữ 400 ngày.
3.6 Báo cáo sự cố và thống kê sử dụng ứng dụng
Ứng dụng có hai thành phần của Google thuộc bộ Firebase: Crashlytics, gửi cho chúng tôi báo cáo mỗi khi ứng dụng gặp sự cố, và Firebase Analytics, báo về các sự kiện sử dụng cơ bản để chúng tôi biết màn hình nào được dùng và người dùng mắc kẹt ở đâu.
- Cả hai chỉ chạy trong ứng dụng chính. Không cái nào được biên vào extension đường hầm VPN hay extension chia sẻ Clean Link — tiến trình xử lý gói tin của bạn hoàn toàn không chứa bộ SDK này, nên không có gì về lưu lượng, truy vấn DNS hay đích đến của bạn có thể đi tới Google qua đường đó.
- Những gì được gửi đi: với sự cố là vết ngăn xếp kèm mẫu máy, phiên bản hệ điều hành và phiên bản ứng dụng; với thống kê là các sự kiện tự động tiêu chuẩn của Firebase (mở ứng dụng, xem màn hình, hoàn tất giao dịch) kèm một mã cài đặt Firebase ngẫu nhiên. Chúng tôi không tự định nghĩa sự kiện riêng nào, và không bao giờ đính kèm địa chỉ email, định danh tài khoản, phiên VPN hay lựa chọn máy chủ của bạn vào đó.
- Như mọi request mạng khác, Google nhìn thấy địa chỉ IP mà báo cáo được gửi đi và suy ra quốc gia gần đúng từ đó. Khi VPN đang bật, đó là địa chỉ của node VPN — không phải địa chỉ nhà bạn.
- Dữ liệu này được xử lý và lưu trên hạ tầng của Google theo điều khoản riêng tư của chính Firebase, với thời hạn lưu mặc định của Firebase: báo cáo sự cố khoảng 90 ngày, dữ liệu thống kê ở mức sự kiện 2 tháng, sau đó chỉ còn lại số liệu tổng hợp.
Đây là hệ thống thống kê duy nhất trong sản phẩm. Chúng tôi không chạy thêm hệ đo lường nào của riêng mình trên dịch vụ VPN, và website thì hoàn toàn không có (mục 3.8).
3.7 Quảng cáo
Phiên bản ứng dụng hiện tại không chứa bộ SDK quảng cáo nào và không hiển thị quảng cáo. Không có thành phần nào trong ứng dụng đọc định danh quảng cáo của thiết bị (IDFA), trên bất kỳ nền tảng nào.
Trên iOS, ứng dụng CÓ xin quyền theo dõi qua khung App Tracking Transparency của Apple, ngay lần mở đầu tiên. Ở thời điểm này, popup đó quyết định đúng một việc: các sự kiện sử dụng cơ bản của Firebase Analytics nói ở mục 3.6 có được Google dùng thêm cho mục đích quảng cáo hay không.
- Chừng nào bạn chưa trả lời, và suốt thời gian bạn từ chối, những mục đích quảng cáo đó tắt. Đây không chỉ là một thiết lập do code của chúng tôi tự giữ — ứng dụng khai điểm thu dữ liệu phân tích của Google là tên miền theo dõi trong privacy manifest, nên chính iOS chặn kết nối đó khi bạn chưa cấp quyền.
- Từ chối không mất gì cả. Mọi tính năng của ứng dụng chạy y hệt trong cả hai trường hợp, và chúng tôi không hỏi lại lần nữa.
- Bạn có thể đổi câu trả lời bất cứ lúc nào ở Cài đặt › Quyền riêng tư & Bảo mật › Theo dõi.
- Báo cáo sự cố không chịu ảnh hưởng của popup này. Crashlytics không bao giờ được dùng cho quảng cáo, dù bạn trả lời thế nào.
Chúng tôi dự định hỗ trợ gói miễn phí bằng quảng cáo phân phối qua Google AdMob ở một phiên bản sau. Khi điều đó xảy ra, AdMob có thể truy cập định danh quảng cáo của thiết bị (IDFA trên iOS, Advertising ID trên Android), vị trí thô suy từ IP, và các sự kiện tương tác quảng cáo để phân phối và đo lường quảng cáo. Chúng tôi sẽ thông báo thay đổi đó theo mục 11 trước khi nó có hiệu lực, và cách vận hành sẽ như sau:
- Trên iOS, câu trả lời App Tracking Transparency nói ở trên vẫn là thứ quyết định quảng cáo cá nhân hoá. Nếu bạn từ chối, chúng tôi sẽ yêu cầu AdMob chỉ hiển thị quảng cáo không cá nhân hoá.
- Trên Android, bạn có thể đặt lại hoặc xoá Advertising ID và tắt quảng cáo cá nhân hoá trong cài đặt hệ thống.
- Quảng cáo không bao giờ nhắm theo lưu lượng VPN, lịch sử duyệt web hay truy vấn DNS. Chúng tôi không có dữ liệu đó, và sẽ không chuyển bất cứ thứ gì thuộc loại đó cho mạng quảng cáo nào.
- Mua gói Premium là gỡ bỏ hoàn toàn quảng cáo.
3.8 Website của chúng tôi
1aer.org chỉ lưu đúng một thứ trong trình duyệt của bạn: ngôn ngữ bạn đã chọn, để lần sau trang mở đúng thứ tiếng đó. Trang không đặt cookie quảng cáo hay đo lường nào, và không tải bất cứ thứ gì từ bên thứ ba — phông chữ và hình ảnh đều phục vụ từ tên miền của chính chúng tôi, nên không công ty bên ngoài nào biết bạn đã ghé qua.
3.9 Thông báo
Ứng dụng có thể thông báo cho bạn ba việc: VPN bị ngắt mà không tự nối lại được, dung lượng miễn phí trong ngày đã hết, hoặc gói Premium đã hết hạn. Chúng tôi không bao giờ gửi thông báo quảng cáo hay khuyến mãi. Trên iOS và Android 13 trở lên, hệ thống sẽ hỏi quyền của bạn trước; trên mọi nền tảng bạn đều tắt được từng nhóm trong Hồ sơ › Thông báo hoặc trong cài đặt của máy.
- Thông báo "VPN bị ngắt" được tạo ngay trên máy bạn, bởi chính ứng dụng. Không có gì được gửi tới chúng tôi, Apple hay Google để hiện nó.
- Hai loại còn lại là thông báo đẩy do máy chủ của chúng tôi gửi. Để gửi được, chúng tôi lưu một push token cùng bản ghi thiết bị của bạn — đây là mã định danh do Apple (Apple Push Notification service) trên iOS hoặc Google (Firebase Cloud Messaging) trên Android cấp, cho phép công ty đó chuyển thông điệp tới bản cài ứng dụng của bạn. Chúng tôi xoá nó khi bạn tắt nhóm "Dung lượng và gói", khi bạn xoá tài khoản, hoặc khi Apple hay Google báo token không còn hiệu lực.
- Apple hoặc Google nhận được gì từ chúng tôi: push token và một thông điệp chỉ chứa loại sự kiện (ví dụ
quota_exhausted). Câu chữ bạn nhìn thấy được ghép ngay trên máy bạn, theo ngôn ngữ của bạn. Thông điệp không chứa mã tài khoản, địa chỉ email, địa chỉ IP, số liệu sử dụng hay bất cứ điều gì về lưu lượng của bạn.
- Trên Android, để nhận thông báo đẩy, ứng dụng phải có thành phần Firebase Cloud Messaging của Google; thành phần này tạo một mã cài đặt Firebase ngẫu nhiên để xin token. Trên iOS chúng tôi làm việc trực tiếp với dịch vụ đẩy của Apple và không dùng Firebase Messaging.
4. Những gì chúng tôi dứt khoát không thu thập
Chúng tôi không thu thập, không theo dõi, không ghi lại và không lưu trữ:
- Các trang web bạn truy cập, truy vấn DNS bạn thực hiện, hay địa chỉ bạn kết nối tới
- Nội dung lưu lượng, tin nhắn, tệp tải xuống hay tải lên của bạn
- Địa chỉ IP công cộng của bạn trong bất kỳ log nào gắn với hoạt động của bạn (xem 3.3)
- Vị trí GPS chính xác
- Danh bạ, ảnh, tệp, tin nhắn SMS, nhật ký cuộc gọi, lịch hay nội dung bộ nhớ tạm
- Dữ liệu thuộc các ứng dụng khác trên máy bạn
- Dữ liệu sinh trắc học, dữ liệu sức khoẻ, hay bất kỳ nhóm dữ liệu cá nhân nhạy cảm nào
5. Căn cứ pháp lý để xử lý dữ liệu
Với người dùng tại EEA và Vương quốc Anh, chúng tôi dựa trên:
- Thực hiện hợp đồng — bản ghi thiết bị và tài khoản, trạng thái thuê bao, và siêu dữ liệu phiên cần thiết để thực sự cung cấp một đường hầm chạy được.
- Lợi ích hợp pháp — chống gian lận, hạn chế lạm dụng, an ninh mạng lưới, hoạch định dung lượng, chẩn đoán sự cố và thống kê sử dụng ứng dụng (mục 3.6), cùng việc cải thiện dịch vụ, được cân nhắc với quyền lợi của bạn.
- Sự đồng ý — trên iOS là câu trả lời App Tracking Transparency của bạn, thứ quyết định dữ liệu thống kê sử dụng có được dùng thêm cho mục đích quảng cáo hay không, và sau này sẽ quyết định quảng cáo cá nhân hoá (mục 3.7). Bạn có thể rút lại bất cứ lúc nào trong cài đặt hệ thống.
- Nghĩa vụ pháp lý — khi pháp luật áp dụng với chúng tôi yêu cầu lưu giữ hoặc cung cấp dữ liệu.
6. Chia sẻ và tiết lộ
Chúng tôi chỉ chia sẻ dữ liệu cá nhân với các nhóm bên nhận sau, mỗi bên đều theo hợp đồng và chỉ trong phạm vi cần thiết:
| Bên nhận | Vai trò | Nhận được gì |
|---|
| Apple | Phân phối ứng dụng, thanh toán thuê bao, Sign in with Apple | Dữ liệu mua hàng và thuê bao; định danh Apple của bạn nếu bạn đăng nhập |
| Google | Phân phối ứng dụng (Google Play), thanh toán thuê bao, Google Sign-In | Dữ liệu mua hàng và thuê bao; định danh Google của bạn nếu bạn đăng nhập. Định danh quảng cáo chỉ khi nào AdMob được đưa vào (xem 3.7) |
| Google — Firebase Crashlytics và Firebase Analytics | Báo cáo sự cố và thống kê sử dụng của chính ứng dụng | Báo cáo sự cố (vết ngăn xếp, mẫu máy, phiên bản hệ điều hành và ứng dụng), các sự kiện sử dụng tự động tiêu chuẩn của Firebase, một mã cài đặt Firebase ngẫu nhiên, và địa chỉ IP mà báo cáo được gửi đi. Google chỉ được dùng thêm các sự kiện sử dụng đó cho mục đích quảng cáo nếu bạn đã cấp quyền App Tracking Transparency (mục 3.7). Không bao giờ có lưu lượng VPN, dữ liệu DNS, đích đến hay bản ghi phiên — bộ SDK không có mặt trong extension đường hầm (xem 3.6) |
| Apple — Push Notification service | Chuyển thông báo đẩy trên iOS (xem 3.9) | Push token và một thông điệp chỉ chứa loại sự kiện. Không có dữ liệu tài khoản, sử dụng hay lưu lượng |
| Google — Firebase Cloud Messaging | Chuyển thông báo đẩy trên Android (xem 3.9) | Push token, một mã cài đặt Firebase ngẫu nhiên, và một thông điệp chỉ chứa loại sự kiện. Không có dữ liệu tài khoản, sử dụng hay lưu lượng |
| Cloudflare | Kết thúc TLS và CDN cho 1aer.org; bộ phân giải DNS công cộng ở đầu trên của node | Siêu dữ liệu request API; truy vấn DNS được chuyển tiếp từ địa chỉ node của chúng tôi, không phải của bạn |
| Nhà cung cấp hạ tầng | Cho thuê máy chủ chạy node VPN và control plane; dung lượng đi ra cho một số vị trí | Không có bản ghi người dùng. Họ vận hành máy và tải lưu lượng; chúng tôi không đưa cho họ dữ liệu tài khoản, phiên hay mức sử dụng |
| ip-api.com | Tra vị trí gần đúng của một địa chỉ IP | Địa chỉ IP của thiết bị gọi API, không kèm định danh nào (xem 3.3) |
Chúng tôi không bán thông tin cá nhân và không chia sẻ thông tin cá nhân cho mục đích quảng cáo hành vi liên ngữ cảnh, theo định nghĩa của Đạo luật Quyền riêng tư Người tiêu dùng California (CCPA).
6.1 Yêu cầu từ cơ quan chức năng
Chúng tôi chỉ đáp ứng những yêu cầu hợp lệ và có hiệu lực bắt buộc theo pháp luật của nơi chúng tôi được thành lập.
Vì chúng tôi không giữ log duyệt web và không giữ ánh xạ giữa người dùng với một hoạt động hay đích đến, chúng tôi không thể cung cấp bản ghi về việc ai đó đã làm gì khi đang kết nối — không tồn tại bản ghi nào như vậy để mà cung cấp. Chúng tôi chỉ cung cấp phần dữ liệu hạn chế nêu ở Mục 3 mà chúng tôi thực sự đang giữ tại thời điểm nhận yêu cầu. Khi pháp luật cho phép, chúng tôi thông báo cho người dùng bị ảnh hưởng.
7. Chuyển dữ liệu ra nước ngoài
Máy chủ của chúng tôi đặt tại nhiều quốc gia, và chính bạn chọn nơi lưu lượng của mình đi ra. Vì vậy dữ liệu của bạn có thể được xử lý ngoài quốc gia bạn cư trú, kể cả ở những nước có quy định bảo vệ dữ liệu khác với nước bạn. Với dữ liệu chuyển ra khỏi EEA hoặc Vương quốc Anh, chúng tôi áp dụng biện pháp bảo đảm phù hợp — quyết định công nhận mức bảo vệ tương đương nếu nơi nhận thuộc diện đó, còn lại thì dùng Điều khoản Hợp đồng Tiêu chuẩn (SCC).
8. An toàn thông tin
- Đường hầm dùng WireGuard (kèm che giấu AmneziaWG ở nơi được bật), khoá sinh ngay trên máy bạn — khoá riêng không bao giờ rời khỏi thiết bị.
- Mọi trao đổi với API của chúng tôi đều qua TLS.
- Cơ sở dữ liệu tài khoản và thuê bao được mã hoá khi lưu, đặt trên máy chủ chỉ tiếp cận được qua kênh có xác thực.
- Quyền quản trị trên hệ thống thật giới hạn cho những người vận hành đích danh và được ghi vào nhật ký vận hành nêu ở Mục 3.2.
Nếu xảy ra sự cố rò rỉ ảnh hưởng tới dữ liệu cá nhân của bạn và có khả năng gây rủi ro cho bạn, chúng tôi thông báo cho cơ quan giám sát có thẩm quyền và cho bạn, không chậm trễ.
Không hệ thống nào an toàn tuyệt đối, và chúng tôi không tuyên bố ngược lại. Điều chúng tôi cam kết là giữ cho lượng dữ liệu có thể bị mất nhỏ hết mức mà dịch vụ cho phép.
9. Quyền của bạn
Tuỳ nơi bạn cư trú, bạn có thể có quyền: xem dữ liệu cá nhân chúng tôi đang giữ về bạn, yêu cầu sửa, yêu cầu xoá, phản đối hoặc hạn chế việc xử lý, nhận dữ liệu ở định dạng chuyển đổi được, rút lại sự đồng ý, từ chối việc bán hoặc chia sẻ thông tin cá nhân (chúng tôi không làm cả hai), và khiếu nại lên cơ quan giám sát tại nước bạn.
Để thực hiện các quyền này, hãy gửi email tới support@1aer.co từ chính địa chỉ email gắn với tài khoản của bạn; nếu bạn dùng ứng dụng mà không đăng nhập thì gửi từ địa chỉ bất kỳ kèm theo Device ID hiển thị trong ứng dụng ở mục Trợ giúp → Thông tin chẩn đoán. Chúng tôi phản hồi trong vòng 30 ngày.
Xoá dữ liệu của bạn. Bạn tự xoá được toàn bộ, ngay trong ứng dụng, tại Hồ sơ → Xoá tài khoản. Việc xoá có hiệu lực ngay: tài khoản, mọi thiết bị gắn với nó và toàn bộ bản ghi liên quan đều bị xoá, kết nối đang chạy bị đóng. Không có thời gian chờ và không hoàn tác được. Nếu muốn, bạn có thể gửi email tới support@1aer.co thay thế, chúng tôi hoàn tất trong vòng 30 ngày.
Xoá tài khoản không huỷ gói thuê bao — Apple và Google không cho chúng tôi huỷ thay bạn. Hãy huỷ trong cài đặt tài khoản App Store hoặc Google Play, nếu không vẫn bị trừ tiền.
Gỡ ứng dụng khỏi máy sẽ xoá token thiết bị lưu cục bộ, sau đó các bản ghi thiết bị hết hạn theo lịch nêu ở Mục 3.2. Gỡ ứng dụng không huỷ gói thuê bao — việc huỷ phải làm trong cài đặt tài khoản App Store hoặc Google Play.
10. Trẻ em
Ứng dụng không hướng tới trẻ em dưới 13 tuổi, hoặc dưới 16 tuổi tại EEA và Vương quốc Anh nơi luật địa phương quy định mốc đó. Chúng tôi không cố ý thu thập dữ liệu của trẻ em. Nếu bạn cho rằng một trẻ em đã cung cấp dữ liệu cá nhân cho chúng tôi, hãy liên hệ và chúng tôi sẽ xoá.
11. Thay đổi chính sách
Chúng tôi có thể cập nhật chính sách này. Với thay đổi quan trọng, chúng tôi sẽ thông báo trong ứng dụng, hoặc qua email nếu chúng tôi có địa chỉ của bạn, ít nhất 14 ngày trước khi thay đổi có hiệu lực. Ngày hiệu lực ở đầu trang luôn phản ánh phiên bản đang áp dụng.
12. Liên hệ
AerVPN — mọi vấn đề trong chính sách này, kể cả yêu cầu xem, sửa và xoá dữ liệu, gửi về support@1aer.co. Thông tin đăng ký doanh nghiệp của chúng tôi được cung cấp khi có yêu cầu, qua cùng địa chỉ đó.
Xem thêm Điều khoản sử dụng.
AerVPN