In short: your codes, passwords and items are stored on your device. We do not run servers that receive them. Backups to Google Drive are optional and encrypted on your phone with a password only you know.
1. Who we are
This policy explains how the Authenticator app for Android ("the app"), developed by Sola ("we", "us"), handles information. Questions can be sent to sola.company.help@gmail.com.
2. Data you keep in the app
Two-factor accounts (issuer, account name and secret key), passwords, secure items (such as cards, IDs, notes and Wi-Fi details), folders and settings are stored locally in the app's private storage on your device. This data is not sent to Sola. Android's automatic cloud backup is turned off for the app. This data leaves your device only when you use the app's own Google Drive backup, when you transfer accounts to another phone, or when you move to a new phone with Android's device-to-device transfer, which copies data directly between your two devices.
Transfer to another phone shows your selected accounts as QR codes in Google Authenticator's transfer format. Anyone who scans these codes gets those accounts, so screenshots are blocked on that screen. Files you choose to import (for example, a password CSV) are read on your device and not uploaded.
3. Camera
The camera is used only when you scan a QR code to add an account or import codes. Images are processed on your device by Google ML Kit to read the code and are not stored or uploaded. ML Kit may send Google anonymous performance and usage metrics, never the camera images. The flashlight permission lets you turn on the light while scanning.
4. Google Drive backup (optional)
If you turn on backup, you sign in with your Google account and grant access to the app's own hidden folder in your Google Drive (the drive.appdata scope). The app cannot see your other Drive files.
Before upload, your backup is encrypted on your device with AES-256-GCM, using a key derived from your backup password (PBKDF2-HMAC-SHA256). We never receive this password and cannot read your backups.
If you forget your backup password, we cannot recover your backups.
Your Google account email is shown in the app so you know where backups are saved. Backups are stored by Google under Google's Privacy Policy. You can remove them from the app or from your Google account.
5. Password breach check
To warn you about passwords that appeared in known data breaches, the app uses the Pwned Passwords service (Have I Been Pwned). Your password is never sent: the app computes a SHA-1 hash on your device and sends only its first 5 characters, then compares the results locally (k-anonymity).
6. Autofill
If you enable Authenticator as your Android autofill service, Android shares the structure of the login screen you are using (for example the app or website and its fields) with the app so it can suggest matching logins. When you sign in somewhere else and accept Android's save prompt, the username and password are saved in the app. This is processed on your device and is not sent to us.
7. Private browser
The built-in private browser loads web pages directly from the sites you visit; we do not receive the pages or your browsing. Searches typed in the address bar are sent to the search engine you choose (Brave, DuckDuckGo, Google or Bing). Ad and tracker blocking uses a list stored in the app, and the app only keeps a count of blocked items. Cookies and site data stay on your device until you clear them from the browser. Files you download are saved to your Downloads folder, and pages you pin are added as shortcuts on your home screen.
8. App lock
Fingerprint and face unlock are handled by Android. The app only receives a success or failure result and never has access to your biometric data. Your PIN itself is not stored: the app keeps only a salted hash of it on your device.
9. Analytics, crash reports and notifications
We use Google Firebase services to keep the app reliable and improve it:
Firebase Analytics — app usage events, including subscription screen views, plan taps and purchases (purchase events include your device's region setting), device and app information and an app instance identifier.
Firebase Crashlytics — crash reports with technical details such as device model, OS version and app state at the time of the crash.
Firebase Remote Config — downloads app settings and feature configuration, including which version of the subscription screen you see when we test different versions.
Firebase Cloud Messaging — a device token used to deliver notifications.
These services do not receive your codes, secret keys, passwords or vault items. Google processes this data under Firebase's privacy terms.
10. Purchases
Premium subscriptions and purchases are processed by Google Play. We do not receive your payment card details; we receive purchase status from Google Play to unlock features. The app may also ask you to rate it through Google Play's in-app review; your rating and review go to Google Play, not to us.
11. Sharing
We do not sell your personal information and we do not share it for advertising. Information is processed only by the service providers described above, or if required by law.
12. Retention and deletion
Data stored in the app stays on your device until you delete it or uninstall the app. Deleted items stay in Recently deleted for 90 days, unless you remove them sooner, and are then deleted permanently. Drive backups stay in your Google account until you delete them. Analytics and crash data are kept according to Firebase's retention settings. To ask about or delete data associated with you, contact us at the email above.
13. Security
We use Android's app sandbox, the Android Keystore and encryption for backups to protect your data. No method is perfectly secure, so please keep your device protected with a screen lock and keep recovery codes for your important accounts.
14. Children
The app is not directed at children under 13, and we do not knowingly collect personal information from them.
15. Your rights
Depending on where you live, you may have the right to access, correct, delete or restrict the use of your personal information, and to withdraw consent. Contact us to make a request.
16. Changes
We may update this policy. The date at the top shows the latest version; significant changes will be highlighted in the app or on this page.
Tóm tắt: mã, mật khẩu và các mục của bạn được lưu trên thiết bị. Chúng tôi không có máy chủ nhận dữ liệu này. Sao lưu Google Drive là tùy chọn và được mã hóa trên điện thoại bằng mật khẩu chỉ bạn biết.
1. Chúng tôi là ai
Chính sách này giải thích cách ứng dụng Authenticator cho Android ("ứng dụng"), do Sola ("chúng tôi") phát triển, xử lý thông tin. Mọi câu hỏi xin gửi về sola.company.help@gmail.com.
2. Dữ liệu bạn lưu trong ứng dụng
Tài khoản xác thực hai lớp (nhà cung cấp, tên tài khoản và khóa bí mật), mật khẩu, mục bảo mật (như thẻ, giấy tờ, ghi chú và thông tin Wi-Fi), thư mục và cài đặt được lưu cục bộ trong bộ nhớ riêng của ứng dụng trên thiết bị. Dữ liệu này không được gửi cho Sola. Tính năng sao lưu đám mây tự động của Android đã bị tắt cho ứng dụng. Dữ liệu này chỉ rời khỏi thiết bị khi bạn dùng tính năng sao lưu Google Drive của ứng dụng, khi bạn chuyển tài khoản sang điện thoại khác, hoặc khi bạn chuyển sang điện thoại mới bằng tính năng chuyển dữ liệu giữa hai thiết bị của Android (dữ liệu được sao chép trực tiếp giữa hai máy).
Tính năng chuyển sang điện thoại khác hiển thị các tài khoản bạn chọn dưới dạng mã QR theo định dạng chuyển của Google Authenticator. Ai quét được các mã này sẽ có các tài khoản đó, vì vậy màn hình này chặn chụp ảnh màn hình. Tệp bạn chọn để nhập (ví dụ tệp CSV mật khẩu) được đọc trên thiết bị và không được tải lên.
3. Camera
Camera chỉ được dùng khi bạn quét mã QR để thêm tài khoản hoặc nhập mã. Hình ảnh được xử lý trên thiết bị bằng Google ML Kit để đọc mã và không được lưu hay tải lên. ML Kit có thể gửi cho Google số liệu ẩn danh về hiệu năng và mức sử dụng, không bao giờ gửi hình ảnh từ camera. Quyền đèn flash cho phép bật đèn khi quét.
4. Sao lưu Google Drive (tùy chọn)
Khi bật sao lưu, bạn đăng nhập tài khoản Google và cấp quyền truy cập thư mục ẩn riêng của ứng dụng trong Google Drive (phạm vi drive.appdata). Ứng dụng không thể xem các tệp Drive khác của bạn.
Trước khi tải lên, bản sao lưu được mã hóa trên thiết bị bằng AES-256-GCM, với khóa được tạo từ mật khẩu sao lưu của bạn (PBKDF2-HMAC-SHA256). Chúng tôi không bao giờ nhận mật khẩu này và không thể đọc bản sao lưu của bạn.
Nếu bạn quên mật khẩu sao lưu, chúng tôi không thể khôi phục bản sao lưu.
Email tài khoản Google được hiển thị trong ứng dụng để bạn biết bản sao lưu được lưu ở đâu. Bản sao lưu do Google lưu trữ theo Chính sách quyền riêng tư của Google. Bạn có thể xóa chúng trong ứng dụng hoặc trong tài khoản Google.
5. Kiểm tra mật khẩu bị rò rỉ
Để cảnh báo mật khẩu từng xuất hiện trong các vụ rò rỉ dữ liệu, ứng dụng dùng dịch vụ Pwned Passwords (Have I Been Pwned). Mật khẩu của bạn không bao giờ được gửi đi: ứng dụng tính mã băm SHA-1 trên thiết bị, chỉ gửi 5 ký tự đầu, rồi so sánh kết quả ngay trên máy (k-anonymity).
6. Tự động điền
Nếu bạn chọn Authenticator làm dịch vụ tự động điền của Android, Android sẽ chia sẻ cấu trúc màn hình đăng nhập bạn đang dùng (ví dụ ứng dụng hoặc trang web và các trường nhập) với ứng dụng để gợi ý thông tin đăng nhập phù hợp. Khi bạn đăng nhập ở nơi khác và đồng ý với lời nhắc lưu của Android, tên người dùng và mật khẩu sẽ được lưu vào ứng dụng. Việc này được xử lý trên thiết bị và không gửi cho chúng tôi.
7. Trình duyệt riêng tư
Trình duyệt riêng tư tích hợp tải trang web trực tiếp từ các trang bạn truy cập; chúng tôi không nhận nội dung trang hay lịch sử duyệt web của bạn. Từ khóa bạn gõ vào thanh địa chỉ được gửi tới công cụ tìm kiếm bạn chọn (Brave, DuckDuckGo, Google hoặc Bing). Tính năng chặn quảng cáo và trình theo dõi dùng danh sách có sẵn trong ứng dụng, ứng dụng chỉ lưu số lượng mục đã chặn. Cookie và dữ liệu trang web nằm trên thiết bị cho đến khi bạn xóa trong trình duyệt. Tệp tải xuống được lưu vào thư mục Tải xuống, và trang bạn ghim được thêm thành lối tắt trên màn hình chính.
8. Khóa ứng dụng
Mở khóa bằng vân tay và khuôn mặt do Android xử lý. Ứng dụng chỉ nhận kết quả thành công hoặc thất bại, không bao giờ truy cập dữ liệu sinh trắc học của bạn. Ứng dụng không lưu mã PIN gốc mà chỉ lưu giá trị băm có salt của mã PIN trên thiết bị.
9. Phân tích, báo cáo lỗi và thông báo
Chúng tôi dùng các dịch vụ Google Firebase để giữ ứng dụng ổn định và cải thiện ứng dụng:
Firebase Analytics — sự kiện sử dụng, gồm lượt xem màn hình gói đăng ký, lượt chọn gói và giao dịch mua (sự kiện mua có kèm cài đặt khu vực của thiết bị), thông tin thiết bị, ứng dụng và mã định danh phiên bản ứng dụng.
Firebase Crashlytics — báo cáo sự cố gồm thông tin kỹ thuật như mẫu máy, phiên bản hệ điều hành và trạng thái ứng dụng khi xảy ra lỗi.
Firebase Remote Config — tải cài đặt và cấu hình tính năng của ứng dụng, bao gồm phiên bản màn hình gói đăng ký bạn thấy khi chúng tôi thử nghiệm các phiên bản khác nhau.
Firebase Cloud Messaging — mã thiết bị dùng để gửi thông báo.
Các dịch vụ này không nhận mã, khóa bí mật, mật khẩu hay các mục trong kho của bạn. Google xử lý dữ liệu này theo điều khoản quyền riêng tư của Firebase.
10. Mua hàng
Gói Premium và giao dịch mua được xử lý bởi Google Play. Chúng tôi không nhận thông tin thẻ thanh toán; chúng tôi chỉ nhận trạng thái mua hàng từ Google Play để mở khóa tính năng. Ứng dụng cũng có thể đề nghị bạn đánh giá qua tính năng đánh giá trong ứng dụng của Google Play; điểm và nhận xét của bạn được gửi tới Google Play, không gửi cho chúng tôi.
11. Chia sẻ
Chúng tôi không bán thông tin cá nhân và không chia sẻ cho mục đích quảng cáo. Thông tin chỉ được xử lý bởi các nhà cung cấp dịch vụ nêu trên, hoặc khi pháp luật yêu cầu.
12. Lưu giữ và xóa dữ liệu
Dữ liệu trong ứng dụng nằm trên thiết bị cho đến khi bạn xóa hoặc gỡ cài đặt ứng dụng. Mục đã xóa được giữ trong Đã xóa gần đây 90 ngày, trừ khi bạn xóa sớm hơn, sau đó bị xóa vĩnh viễn. Bản sao lưu Drive nằm trong tài khoản Google của bạn cho đến khi bạn xóa. Dữ liệu phân tích và báo cáo lỗi được lưu theo thiết lập lưu giữ của Firebase. Để hỏi hoặc yêu cầu xóa dữ liệu liên quan đến bạn, hãy liên hệ email ở trên.
13. Bảo mật
Chúng tôi dùng cơ chế cô lập ứng dụng của Android, Android Keystore và mã hóa bản sao lưu để bảo vệ dữ liệu. Không có phương pháp nào an toàn tuyệt đối, vì vậy hãy bảo vệ thiết bị bằng khóa màn hình và giữ mã khôi phục của các tài khoản quan trọng.
14. Trẻ em
Ứng dụng không hướng đến trẻ em dưới 13 tuổi và chúng tôi không cố ý thu thập thông tin cá nhân của trẻ em.
15. Quyền của bạn
Tùy nơi bạn sinh sống, bạn có thể có quyền truy cập, chỉnh sửa, xóa hoặc hạn chế việc sử dụng thông tin cá nhân, và rút lại sự đồng ý. Hãy liên hệ chúng tôi để gửi yêu cầu.
16. Thay đổi
Chúng tôi có thể cập nhật chính sách này. Ngày ở đầu trang cho biết phiên bản mới nhất; thay đổi quan trọng sẽ được thông báo trong ứng dụng hoặc trên trang này.
