ONLY MD — Chính sách quyền riêng tư
Cập nhật: 2026-11-05. Bản gốc (nguồn tham chiếu chính thức): docs/PRIVACY.md. Xem bản dịch tiếng Anh.
- Không có telemetry. ONLY MD không gửi dữ liệu sử dụng, tài liệu, hay thông tin thiết bị tới bất kỳ máy chủ nào.
- Không kết nối mạng. ONLY MD (ứng dụng và cả máy chủ MCP đi kèm) không tự tải ảnh, phông, script hay cập nhật từ internet. Ảnh từ xa trong tài liệu bị chặn (CSP). Liên kết
http(s)/mailtochỉ mở bằng trình duyệt hệ thống khi người dùng bấm (và chính sách cho phép).
⚠️ Cảnh báo — kết nối trợ lý AI (MCP). Khi bạn bật tính năng này, tài liệu trong thư mục đã chọn có thể rời khỏi máy bạn: trợ lý AI bạn tự nối (ví dụ Claude) đọc tài liệu rồi gửi phần nó đọc tới nhà cung cấp mô hình của nó. Việc gửi do trợ lý thực hiện, không phải ONLY MD, và ONLY MD không kiểm soát, không thấy điều đó. Tính năng tắt mặc định, chỉ bật bằng hành động của chính bạn, và quản trị viên có thể chặn (xem Trợ lý AI (MCP) bên dưới). Đừng bật cho thư mục chứa tài liệu mật hoặc tài liệu mà tổ chức không cho phép gửi tới bên thứ ba.
Dữ liệu lưu cục bộ (thư mục dữ liệu ứng dụng của hệ điều hành)
| Dữ liệu | Nơi lưu | Nội dung | Khi nào xóa |
|---|---|---|---|
| Bản nháp khôi phục | recovery.json | Nội dung của các tab chưa lưu (mỗi tab một bản nháp) | Khi lưu, hoặc khi người dùng bỏ nháp |
| Lịch sử phiên bản | history/<băm đường dẫn>/*.md | Toàn bộ nội dung mỗi lần lưu (không mã hóa); tối đa 50 bản, 20 MB, 30 ngày cho mỗi tài liệu | Tự cắt theo giới hạn; lệnh "Xóa lịch sử phiên bản…"; tắt bằng chính sách allowHistory |
| Nhật ký | logs/app.log (xoay vòng) | Tên sự kiện, tên file (không thư mục), lỗi — không có nội dung tài liệu | Xoay vòng 5 × 1 MB |
| Báo lỗi (minidump) | crashDumps/ | Dữ liệu bộ nhớ khi sập, có thể chứa mảnh nội dung đang mở | Người dùng xóa thủ công; có thể tắt bằng chính sách allowCrashDumps |
| Cài đặt | settings.json | Cỡ chữ, độ rộng cột đọc, thư mục ảnh, thời gian tự lưu, ngôn ngữ (không có nội dung tài liệu, không có đường dẫn) | Cài đặt → "Đặt lại mặc định", hoặc xóa file |
| Phiên, gần đây, thư mục | session.json, recent.json, workspace.json | Đường dẫn các file đang/đã mở và thư mục làm việc (không có nội dung) | Mục "Mở gần đây" → Xóa danh sách; phiên ghi đè mỗi lần đổi tab |
| Tùy chọn giao diện | localStorage | Theme, chế độ xem, độ rộng khung, mục lục | Xóa dữ liệu ứng dụng |
| Cấu hình MCP | mcp.json | Chế độ (tắt/chỉ đọc) và đường dẫn thư mục được chia sẻ (không có nội dung) | Người dùng xóa hoặc đặt chế độ tắt |
| Nhật ký kiểm toán MCP | mcp-audit.jsonl | Thời điểm, công cụ, đường dẫn tương đối trong kho (đường dẫn ngoài kho do trợ lý gửi chỉ ghi là "(đường dẫn ngoài kho)"), kết quả, băm SHA-256 và số byte — không có nội dung tài liệu hay chuỗi truy vấn | Xoay vòng ở 5 MB (giữ 1 bản cũ); người dùng xóa thủ công |
- Báo lỗi (minidump) không bao giờ tự gửi. Nếu cần chia sẻ với đội hỗ trợ, người dùng gửi thủ công.
- Lịch sử phiên bản lưu bản sao nội dung tài liệu trong thư mục dữ liệu ứng dụng, không mã hóa: ai đọc được thư mục này đọc được mọi bản đã lưu, kể cả khi file gốc đã bị xóa. Thư mục con đặt theo băm đường dẫn nên tên không lộ đường dẫn. Tổ chức xử lý tài liệu mật nên tắt bằng chính sách
allowHistory. - Mã hóa dữ liệu nghỉ (tùy chọn, do quản trị bật bằng
encryptAtRest): bản nháp khôi phục và lịch sử phiên bản được mã hóa bằng kho khóa của hệ điều hành; không có kho khóa thì không ghi thay vì ghi bản rõ. Mặc định tắt (bản rõ như bảng trên). Nhật kýlogs/và minidump không nằm trong phạm vi mã hóa này. - Nhật ký kiểm toán của ứng dụng (tùy chọn, do quản trị bật): ghi mở/lưu/xóa/đổi tên/xuất/bị chặn kèm tên file, SHA-256 nội dung, tên người dùng hệ điều hành và tên máy — không có nội dung tài liệu hay thư mục. Mặc định tắt.
- Tổ chức có thể tắt ghi minidump, lịch sử phiên bản, bản nháp khôi phục, liên kết ngoài, kéo-thả và xuất file, hoặc đặt chỉ đọc/giới hạn thư mục, bằng chính sách.
Trợ lý AI (MCP)
ONLY MD đi kèm một máy chủ MCP chỉ đọc để một trợ lý (ví dụ Claude Desktop, Claude Code) tìm và đọc tài liệu trong một thư mục bạn chọn. Cần hiểu rõ:
- Tắt mặc định. Chỉ chạy khi chính bạn cấu hình trợ lý (hoặc bật trong ứng dụng) và chọn thư mục. Quản trị viên có thể cấm hẳn hoặc giới hạn bằng chính sách.
- Dữ liệu rời máy là do trợ lý, không phải ONLY MD. Máy chủ MCP chạy cục bộ, không mở cổng mạng và không gọi mạng. Nhưng phần nội dung trợ lý đọc được sẽ đi vào cuộc trò chuyện của nó và (với trợ lý đám mây) tới nhà cung cấp mô hình. ONLY MD không kiểm soát và không thấy điều đó xảy ra. Đừng chia sẻ thư mục chứa tài liệu mà tổ chức không cho phép gửi tới bên thứ ba.
- Phạm vi: chỉ trong thư mục đã chọn; tệp/thư mục ẩn (
.git,.onlymd, …), liên kết tượng trưng (symlink), tệp có nhiều liên kết cứng và đường dẫn bịdenyGlobschặn không được đọc. Đây là biện pháp ở phía máy chủ MCP: một trợ lý có quyền chạy lệnh/đọc tệp trên máy (ví dụ Claude Code) vẫn có thể đọc thẳng đĩa, bỏ qua ONLY MD. - Nội dung tài liệu là dữ liệu không tin cậy. Một tài liệu có thể chứa câu chữ nhằm điều khiển trợ lý. Máy chủ MCP không thực thi gì từ nội dung tài liệu và ở phiên bản hiện tại không có công cụ ghi/xóa; nhưng cách trợ lý phản ứng với nội dung là việc của trợ lý.
- Nhật ký kiểm toán (
mcp-audit.jsonl) ghi mọi lần gọi, kể cả bị từ chối, với chuỗi băm để phát hiện sửa đổi giữa chừng. Đây là nhật ký ghi nhận, chưa phải bằng chứng chống chối bỏ: người có quyền ghi vào thư mục dữ liệu vẫn xóa được cả tệp. Tên trợ lý là do trợ lý tự khai. Không ghi được nhật ký thì máy chủ từ chối phục vụ. - Chỉ mục tìm kiếm chỉ nằm trong bộ nhớ của tiến trình máy chủ MCP (không ghi ra đĩa ở phiên bản hiện tại) và biến mất khi tiến trình dừng.