1Chúng tôi thu thập gì

Không có đăng ký, không có đăng nhập, không có mã định danh người dùng, không có quảng cáo, không có công cụ phân tích hành vi, không có SDK của bên thứ ba nào trong ứng dụng, và không theo dõi bạn qua app hay trang web nào khác. Chúng tôi không lưu sổ chi tiêu của bạn ở đâu.

Có đúng một ngoại lệ, và nhãn quyền riêng tư trên App Store khai đúng nó. Khi bạn đã bật trợ lý AI và tự bấm hỏi, ba nhóm sau rời khỏi máy — tất cả đều khai là không gắn với danh tính bạn, vì Xu không có tài khoản để gắn, và không dùng để theo dõi:

• Nội dung bạn nhập — câu bạn gõ, tên khoản chi, tên ví, tên sổ sự kiện, tên người trong khoản vay nợ.
• Thông tin tài chính — số tiền, số dư ví, dư nợ thẻ, tài sản ròng. Toàn bộ là con số chính bạn gõ vào Xu.
• Lịch sử mua hàng — mã lần mua do Apple cấp và số lượt hỏi trong tháng, để máy chủ chia hạn mức cho công bằng.

Không bật trợ lý thì không nhóm nào trong ba nhóm trên rời khỏi máy. Chi tiết đường đi ở mục 3.

2Dữ liệu của bạn nằm ở đâu

3Trợ lý AI — phần duy nhất gửi dữ liệu ra ngoài

Trợ lý AI là tính năng của Xu Pro. Bản miễn phí không có nó, và khi đó không có gì rời khỏi máy bạn. Mua Pro là mở khoá tính năng, không phải là đồng ý gửi dữ liệu — lần đầu mở trợ lý, Xu hỏi bạn trước (mục dưới).

Khi bạn đã bật và chủ động hỏi một câu, dữ liệu đi theo đường này:

• Thứ được gửi: câu bạn gõ và phần sổ cần để trả lời — tên khoản chi, số tiền, danh mục, ngày, tên ví, tên sổ sự kiện, và tên người trong khoản vay nợ kèm số tiền còn lại. Tên người đi kèm vì đó chính là thứ bạn hỏi tới: “Nam trả chưa”. Không muốn gửi tên thật thì đặt tên khác cho khoản nợ đó.
• Số dư ví, dư nợ thẻ và tài sản ròng cũng được gửi kèm khi câu hỏi cần tới. Đây là những con số chính bạn đã gõ vào Xu — Xu không nối với ngân hàng nào và không đọc được tài khoản của bạn. Không muốn gửi thì tắt trợ lý.
• Ảnh biên lai và giọng nói không bao giờ được gửi đi, kể cả khi bật AI. Vision và Speech đọc chúng ngay trên máy.

Máy chủ của Xu làm gì: kiểm bạn đã mua Xu Pro, đếm số lượt hỏi trong tháng, rồi chuyển tiếp sang Google. Nó không ghi câu hỏi, không ghi câu trả lời, và không biết bạn là ai — không có tài khoản để biết. Thứ duy nhất nó lưu là hai con số:

• mã lần mua hàng do Apple cấp (một chuỗi số, không kèm tên, email hay thiết bị);
• số lượt bạn đã hỏi trong tháng, để chia hạn mức cho công bằng.

Về phía Google: chúng tôi dùng gói trả phí của Gemini, loại mà Google không dùng dữ liệu gửi lên để huấn luyện mô hình. Phần Google xử lý tuân theo chính sách của Google, không phải của chúng tôi.

Xin phép trước khi gửi: trước lần gửi đầu tiên, Xu hiện một màn nói rõ dữ liệu nào được gửi và gửi tới đâu, kèm hai nút đồng ý hoặc không. Chưa bấm đồng ý thì không một chữ nào rời khỏi máy. Rút lại bất cứ lúc nào ở Cài đặt → Trợ lý AI — tắt công tắc là xoá luôn sự đồng ý, lần sau bật sẽ hỏi lại từ đầu.

Mức bảo vệ phía Google: phần Google xử lý tuân theo Điều khoản Gemini API dành cho khách trả phí, với mức bảo vệ tương đương những gì nói ở trang này — Google không dùng dữ liệu gửi lên để huấn luyện mô hình và không dùng cho mục đích khác.

4Tệp cấu hình từ xa

Mỗi ngày nhiều nhất một lần, Xu tải một tệp cấu hình tĩnh (app-config.json) từ trang web này, để chúng tôi có thể tắt gấp một tính năng nếu nó hỏng. Đây là tải xuống một chiều: không gửi kèm dữ liệu, không mã định danh, không cookie. Máy chủ web chỉ ghi nhận một lượt tải như mọi lượt truy cập trang web thông thường.

Bạn tắt hẳn việc này trong Cài đặt → Quyền riêng tư → Tắt việc tải cấu hình.

5Thanh toán

Xu Pro là khoản mua một lần qua App Store của Apple. Chúng tôi không nhìn thấy và không lưu thông tin thẻ của bạn — Apple xử lý toàn bộ.

6Thông báo

Nhắc nhở hằng ngày, nhắc hạn thẻ, bản tin buổi sáng đều được tạo trên máy bạn. Không có thông báo đẩy từ máy chủ.

7Trẻ em

Xu không nhắm tới trẻ em dưới 13 tuổi, không có nội dung dành cho trẻ em, và không thu thập thông tin nhận dạng của bất kỳ ai ở bất kỳ độ tuổi nào — không có tài khoản, không có mã định danh người dùng.

8Quyền của bạn

Chúng tôi không giữ sổ chi tiêu của bạn, nên không có gì để yêu cầu chúng tôi cung cấp hay xoá. Bạn toàn quyền với dữ liệu của mình: xuất ra CSV/PDF bất cứ lúc nào, hoặc xoá sạch bằng Cài đặt → Dữ liệu → Bắt đầu lại từ đầu. Gỡ ứng dụng là xoá dữ liệu trên máy; dữ liệu iCloud xoá trong Cài đặt iPhone → Apple ID → iCloud.

Bộ đếm lượt hỏi AI gắn với mã lần mua hàng chứ không gắn với bạn, và tự làm mới mỗi tháng. Muốn xoá thì viết cho chúng tôi kèm mã đó.

9Thay đổi chính sách

Nếu chính sách thay đổi, chúng tôi cập nhật trang này và đổi ngày ở đầu trang.

10Liên hệ

Email: xusupport@gmail.com

1What we collect

There is no sign-up, no login, no user identifier, no advertising, no behavioural analytics, no third-party SDK in the app, and no tracking of you across other apps or websites. We do not store your records anywhere.

There is exactly one exception, and the App Store privacy label declares it. Once you have turned the AI assistant on and actively ask a question, three categories leave the device — all declared as not linked to your identity, because Xu has no account to link them to, and not used for tracking:

• User content — the text you type, item names, wallet names, event names, and the names of people in your loans.
• Financial info — amounts, wallet balances, card debt and net worth. Every one of these is a number you typed into Xu yourself.
• Purchase history — the purchase identifier issued by Apple and how many questions you asked this month, so the server can share the allowance fairly.

With the assistant off, none of the three leaves your device. Section 3 traces the full path.

2Where your data lives

3The AI assistant — the only feature that sends data out

The AI assistant is part of Xu Pro. The free version does not have it, and with the free version nothing leaves your device. Buying Pro unlocks the feature — it is not consent to send data. The first time you open the assistant, Xu asks you first (see below).

Once it is on and you actively ask a question, the data travels like this:

• What is sent: the text you typed plus the parts of your ledger needed to answer — item names, amounts, categories, dates, wallet names, event names, and the names of people in your loans with the amounts outstanding. Names travel because they are what you are asking about (“has Nam paid me back?”). Rename the debt if you would rather not send a real name.
• Wallet balances, card debt and net worth are sent too when the question needs them. These are numbers you typed into Xu yourself — Xu connects to no bank and cannot read your accounts. If you would rather not send them, switch the assistant off.
• Receipt images and your voice are never sent, even with AI enabled. Vision and Speech read them on the device.

What Xu’s server does: checks that you bought Xu Pro, counts your questions for the month, and forwards the request to Google. It logs neither questions nor answers, and it does not know who you are — there is no account for it to know. The only things it stores are two numbers:

• the purchase identifier issued by Apple (a string of digits, with no name, email or device attached);
• how many questions you have asked this month, so the allowance is shared fairly.

On Google’s side: we use the paid Gemini tier, the one where Google does not use submitted data to train its models. What Google does is governed by Google’s policies, not ours.

Permission before anything is sent: before the first send, Xu shows a screen naming exactly what data goes out and where it goes, with an accept and a decline button. Until you accept, nothing leaves your device. Withdraw at any time in Settings → AI assistant — switching it off erases the consent, and turning it back on asks again.

Protection on Google’s side: what Google does is governed by the Gemini API terms for paid customers, which provide protection equal to what this page describes — Google does not use submitted data to train its models and does not use it for other purposes.

4Remote configuration file

At most once a day, Xu downloads a static configuration file (app-config.json) from this website so we can switch off a feature quickly if it breaks. This is a one-way download: no data is attached, no identifiers, no cookies. The web server records a download the way it records any ordinary page visit.

You can disable it entirely in Settings → Privacy → Stop downloading config.

5Payments

Xu Pro is a one-time purchase through Apple’s App Store. We never see or store your payment details; Apple handles everything.

6Notifications

Daily reminders, card due-date alerts and the morning brief are all generated on your device. There are no server push notifications.

7Children

Xu is not directed at children under 13 and collects no data from anyone.

8Your rights

Because we hold none of your records, there is nothing to request from us or ask us to delete. You control everything: export to CSV/PDF any time, or erase it all with Settings → Data → Start over. Deleting the app removes on-device data; iCloud data is removed in iPhone Settings → Apple ID → iCloud.

The AI usage counter is tied to a purchase identifier rather than to you, and resets monthly. If you want it removed, email us with that identifier.

9Changes

If this policy changes we update this page and the date at the top.

10Contact

Email: xusupport@gmail.com