Sự minh bạch rất quan trọng. Khi bạn sử dụng một dịch vụ trực tuyến, bạn nên có thể tìm hiểu chính xác điều gì xảy ra với dữ liệu của mình. Không phải một chính sách bảo mật mơ hồ viết bằng ngôn ngữ pháp lý mà chẳng ai đọc. Không phải một biểu mẫu từ chối (opt-out) chôn sâu ba lớp menu. Bạn xứng đáng có một lời giải thích rõ ràng, trung thực về những gì được lưu trữ, những gì không, tồn tại bao lâu, và điều gì xảy ra khi hết thời gian. Bài viết này chính là lời giải thích đó cho TempEmail.ai.

Hầu hết các dịch vụ trực tuyến đều thu thập dữ liệu theo mặc định và chỉ xóa khi bị buộc phải làm vậy — thường là do quy định, khiếu nại của người dùng, hoặc một cuộc khủng hoảng truyền thông. TempEmail.ai được thiết kế theo hướng ngược lại: xóa là mặc định, và lưu giữ là ngoại lệ. Mọi thứ về kiến trúc đều được xây dựng với nguyên tắc này làm trung tâm. Khi bạn hiểu cách nó hoạt động, bạn sẽ thấy rằng đây không phải là một tuyên bố tiếp thị — đó là một thực tế mang tính cấu trúc trong cách hệ thống được xây dựng.

Dù bạn là một cá nhân quan tâm đến quyền riêng tư, một nhà phát triển đang kiểm thử luồng email, hay chỉ đơn giản là người không muốn giao địa chỉ email thật của mình cho thêm một dịch vụ nữa, việc hiểu dữ liệu của bạn được xử lý ra sao là điều quan trọng. Vậy hãy cùng tìm hiểu từng phần một.

Những gì TempEmail lưu trữ (Và những gì thì không)

Khi bạn truy cập TempEmail.ai và một phiên được tạo, hệ thống lưu trữ đúng bốn thứ. Thứ nhất, một địa chỉ email được tạo ngẫu nhiên — kiểu như [email protected] — hoàn toàn không có bất kỳ liên hệ nào với danh tính thật của bạn. Thứ hai, một GUID phiên (định danh duy nhất toàn cầu), được đặt trong URL dưới dạng tham số truy vấn và cũng được lưu trong localStorage của trình duyệt. Thứ ba, bất kỳ email nào đến hộp thư đó trong phiên của bạn. Thứ tư, dấu thời gian cho biết khi nào phiên được tạo và khi nào phiên hết hạn.

Đó là toàn bộ danh sách. Bốn loại thông tin, tất cả đều tạm thời, không có loại nào có thể nhận dạng cá nhân theo bất kỳ nghĩa nào có ý nghĩa.

Bây giờ đây là những gì TempEmail không lưu trữ: tên thật của bạn, địa chỉ email thật của bạn, địa chỉ IP gắn với danh tính của bạn theo bất kỳ cách bền vững nào, thông tin thanh toán (dịch vụ miễn phí), dữ liệu vân tay trình duyệt, cookie theo dõi bạn trên khắp các website, hay bất kỳ dạng hồ sơ người dùng hoặc tài khoản nào. Không có hệ thống tài khoản. Không có gì để đăng ký, điều đó có nghĩa là không có gì để thu thập. Bạn không điền vào biểu mẫu. Bạn không đồng ý nhận bản tin. Bạn không tạo mật khẩu. Bạn chỉ đơn giản đến, nhận một địa chỉ temp mail, sử dụng nó, rồi rời đi.

Việc không có hệ thống tài khoản là có chủ đích và quan trọng. GDPR định nghĩa dữ liệu cá nhân một cách rộng rãi — nó bao gồm tên, địa chỉ email, địa chỉ IP, dữ liệu vị trí, định danh trực tuyến, và bất kỳ thông tin nào có thể được dùng để nhận dạng một người trực tiếp hoặc gián tiếp. Bằng cách không thu thập bất kỳ loại nào trong số này theo cách bền vững hoặc có thể nhận dạng, thiết kế của TempEmail.ai có nghĩa là phần lớn các loại dữ liệu của GDPR đơn giản là không áp dụng. Không có dữ liệu cá nhân nào cần bảo vệ vì không có dữ liệu cá nhân nào được thu thập. Đây không phải là một cách lách luật tuân thủ — đó là hình thức bảo vệ quyền riêng tư trung thực nhất tồn tại: ngay từ đầu đã không có dữ liệu.

Bộ đếm giờ một giờ — Tại sao lại được thiết kế như vậy

Khi bạn truy cập TempEmail.ai, một bộ đếm giờ bắt đầu. Sau sáu mươi phút, địa chỉ email, phiên, và mọi tin nhắn trong hộp thư đều bị xóa vĩnh viễn khỏi cơ sở dữ liệu. Đây không phải là xóa mềm (soft delete), không phải một cờ đánh dấu dữ liệu là không hoạt động, không phải chuyển sang bảng lưu trữ. Các bản ghi cơ sở dữ liệu bị loại bỏ hoàn toàn.

Tại sao lại cụ thể là một giờ? Bởi vì nó đủ dài để hoàn thành bất kỳ tác vụ hợp pháp nào cần một địa chỉ email tạm thời. Nhận một email xác minh — chỉ mất vài giây. Nhấp vào một liên kết kích hoạt — xong trong một phút. Hoàn thành một biểu mẫu đăng ký và xác nhận nó — nhiều nhất là năm phút. Kiểm thử một luồng email phát triển từ đầu đến cuối — thường dưới ba mươi phút nhiều. Chạy một chuỗi kiểm thử tự động đối với quy trình đăng ký — hiếm khi quá hai mươi phút. Một giờ bao trùm tất cả các kịch bản này với biên độ rộng rãi. Tuy nhiên, nó đủ ngắn để không ai phải lo lắng về những gì xảy ra với hộp thư đó sau này. Dữ liệu không có lý do gì để tồn tại vượt quá mục đích của nó, nên nó không tồn tại.

Hãy so sánh cách tiếp cận này với cách hầu hết các dịch vụ trực tuyến xử lý dữ liệu. Mô hình điển hình là lưu giữ theo mặc định: dữ liệu của bạn được thu thập khi bạn đăng ký, lưu trữ vô thời hạn, và chỉ bị xóa nếu bạn chủ động yêu cầu — và ngay cả khi đó, bản sao lưu có thể tồn tại hàng tuần hoặc hàng tháng. Nhiều dịch vụ giữ địa chỉ email, lịch sử sử dụng và dữ liệu hành vi của bạn trong nhiều năm. Một số không bao giờ xóa nó. Hướng dẫn của ICO Anh về bảo vệ dữ liệu nói rõ rằng các tổ chức chỉ nên giữ dữ liệu cá nhân trong khoảng thời gian họ cần — nhưng trên thực tế, động cơ lưu giữ dữ liệu (cho phân tích, cho quảng cáo, cho khả năng sử dụng trong tương lai) hầu như luôn thắng thế trước nguyên tắc tối thiểu hóa.

TempEmail.ai đảo ngược hoàn toàn cấu trúc động cơ này. Việc xóa là tự động và không đòi hỏi hành động nào từ người dùng. Không có nút "xóa tài khoản của tôi" vì không có tài khoản. Không có thời hạn lưu giữ dữ liệu nào phải lo lắng vì thời hạn lưu giữ là một giờ và nó được thực thi tự động. Cách tiếp cận này thực sự phù hợp với các nguyên tắc tối thiểu hóa dữ liệu và giới hạn lưu trữ của GDPR — không phải như một ô đánh dấu tuân thủ được tích một cách miễn cưỡng, mà như một quyết định thiết kế nền tảng mà toàn bộ hệ thống được xây dựng xung quanh.

Quy trình dọn dẹp — Điều gì thực sự xảy ra

Một dịch vụ nền chạy theo lịch định kỳ — mỗi mười lăm phút — và xóa vĩnh viễn tất cả dữ liệu đã hết hạn khỏi cơ sở dữ liệu. "Xóa vĩnh viễn" có nghĩa chính xác như âm thanh của nó: các bản ghi bị loại bỏ khỏi các bảng cơ sở dữ liệu. Chúng không được lưu trữ vào một hệ thống lưu trữ thứ cấp. Chúng không được chuyển sang lưu trữ lạnh để phân tích sau này. Chúng không được ẩn danh hóa và giữ lại cho mục đích thống kê. Chúng biến mất.

Việc dọn dẹp diễn ra tự động bất kể bạn làm gì. Không quan trọng bạn đã đóng tab, xóa lịch sử trình duyệt, tắt máy tính, hay không làm gì cả. Hệ thống không chờ bạn hành động. Nó không yêu cầu bạn nhấp một nút, gửi một yêu cầu, hay điều hướng đến trang cài đặt. Dấu thời gian hết hạn được đặt khi phiên của bạn được tạo, và khi dấu thời gian đó trôi qua, dịch vụ dọn dẹp sẽ loại bỏ mọi thứ liên quan đến phiên đó.

Đây là toàn bộ vòng đời kỹ thuật của một phiên: bạn truy cập trang và một phiên được tạo với dấu thời gian hết hạn là một giờ sau. Trong giờ đó, email đến và được lưu trữ liên kết với phiên của bạn. Khi giờ đó trôi qua, phiên của bạn, địa chỉ email của bạn, và tất cả email liên quan trở nên đủ điều kiện để bị xóa. Lần chạy tiếp theo của dịch vụ dọn dẹp (trong vòng mười lăm phút), các bản ghi đó bị xóa vĩnh viễn khỏi cơ sở dữ liệu. Từ thời điểm đó trở đi, không còn bản ghi nào cho thấy phiên của bạn từng tồn tại.

Điều gì xảy ra với email trong hộp thư của bạn

Mỗi email đến hộp thư TempEmail.ai được lưu trữ tạm thời trong suốt thời gian phiên. Nội dung email — dòng chủ đề, phần thân, thông tin người gửi — được lưu để có thể hiển thị cho bạn trong trình duyệt. Khi phiên hết hạn, những email đó bị xóa cùng với mọi thứ khác. Không có lưu giữ email nào sau khi phiên hết hạn.

Không ai đọc email của bạn. Không có nội dung email nào bị quét, phân tích, lập chỉ mục, hoặc xử lý cho bất kỳ mục đích nào ngoài việc hiển thị nó cho bạn. Không có hệ thống quảng cáo. Không có pipeline phân tích nội dung. Không có mô hình học máy nào được huấn luyện trên hộp thư của bạn. Email tồn tại chỉ để được hiển thị cho bạn trong phiên của bạn, và sau đó chúng hoàn toàn ngừng tồn tại. Điều này khác biệt đáng kể so với nhiều dịch vụ email miễn phí, nơi nội dung email thường xuyên được phân tích để xây dựng hồ sơ quảng cáo và phục vụ quảng cáo nhắm mục tiêu. Electronic Frontier Foundation đã viết rất nhiều về những hệ lụy riêng tư của việc quét email — với TempEmail.ai, mối lo ngại đó đơn giản là không áp dụng.

Việc phân phối email cơ bản tuân theo RFC 5321, giao thức tiêu chuẩn chi phối cách tất cả email được truyền qua internet. Email gửi đến địa chỉ tạm thời của bạn đi qua hạ tầng email tiêu chuẩn — máy chủ SMTP, tra cứu DNS, bản ghi mail exchange — giống như bất kỳ email nào khác. Chúng được nhận, lưu trữ trong chốc lát, hiển thị, rồi bị xóa khi phiên kết thúc.

GUID phiên — Danh tính tạm thời của bạn

Khi bạn tạo một phiên, một GUID duy nhất (định danh duy nhất toàn cầu) được tạo ra và đặt trong URL của trình duyệt dưới dạng tham số truy vấn. Chính GUID này cũng được lưu trong localStorage của trình duyệt. Cùng nhau, chúng cho phép bạn quay lại đúng hộp thư đó nếu bạn đóng và mở lại tab trong vòng một giờ. URL là chìa khóa của bạn vào hộp thư — hãy đánh dấu nó, và bạn có thể quay lại chừng nào phiên vẫn còn hoạt động.

GUID không liên kết với danh tính thật của bạn theo bất kỳ cách nào. Đó là một chuỗi ký tự được tạo ngẫu nhiên không mang ý nghĩa nội tại và không có liên hệ với tên bạn, địa chỉ IP của bạn, trình duyệt của bạn, hay bất kỳ điều gì khác về bạn. Nó tồn tại chỉ như một định danh phiên. Khi phiên hết hạn, GUID trở nên không hợp lệ — máy chủ không có bản ghi nào liên kết với nó. Nếu ai đó bằng cách nào đó có được URL phiên của bạn sau khi hết hạn và cố dùng nó, họ sẽ chẳng tìm thấy gì. Phiên đã biến mất, hộp thư đã biến mất, và GUID không trỏ đến đâu cả.

Đây là một lựa chọn thiết kế có chủ đích bắt nguồn từ nguyên tắc mà OWASP và các nhà nghiên cứu bảo mật khuyến nghị rộng rãi: tối thiểu hóa thời gian tồn tại và phạm vi của định danh phiên. Một phiên hết hạn nhanh và không chứa thông tin có thể nhận dạng cá nhân là một phiên gây ra rủi ro tối thiểu ngay cả trong kịch bản tồi tệ nhất.

Điều gì xảy ra nếu bạn đóng tab

Không có gì đặc biệt. Hộp thư tiếp tục tồn tại cho đến khi hết hạn một giờ của nó bất kể tab trình duyệt của bạn có mở hay không. Đóng tab không kích hoạt việc xóa sớm — bộ đếm giờ phiên nằm ở phía máy chủ và chạy độc lập với trình duyệt của bạn. Nếu bạn đã đánh dấu URL (chứa GUID phiên của bạn), bạn có thể quay lại bất cứ lúc nào trong vòng một giờ và hộp thư của bạn vẫn ở đó, đầy đủ với bất kỳ email nào đã đến trong lúc bạn vắng mặt.

Sau khi một giờ trôi qua, hộp thư không còn tồn tại bất kể bạn làm gì. URL trở thành một liên kết chết. GUID phân giải về hư vô. Bất kỳ email nào đã đến trong phiên đều biến mất vĩnh viễn. Không có cơ chế khôi phục, không có phiếu hỗ trợ để nộp, không có bản sao lưu để phục hồi. Tính chung cuộc này chính là điểm mấu chốt — đó là điều làm cho lời bảo đảm về quyền riêng tư trở nên có ý nghĩa.

Sự phù hợp với GDPR

GDPR trao cho cá nhân một tập hợp quyền đối với dữ liệu cá nhân của họ: quyền truy cập, quyền sửa chữa, quyền được xóa ("quyền được lãng quên"), quyền di chuyển dữ liệu, và những quyền khác. Thiết kế của TempEmail.ai làm cho hầu hết các quyền này trở nên tự động hoặc không liên quan. Vì dịch vụ không thu thập dữ liệu cá nhân ngoài những gì cần cho một phiên tạm thời, và vì dữ liệu đó tự động bị xóa sau một giờ, có rất ít điều mà người dùng cần phải yêu cầu. Quyền được xóa được thực thi tự động, mỗi giờ, cho mọi người dùng, không có ngoại lệ.

Hướng dẫn của ICO Anh về bảo vệ dữ liệu nhấn mạnh nguyên tắc tối thiểu hóa dữ liệu — chỉ thu thập dữ liệu bạn cần, chỉ trong khoảng thời gian bạn cần. TempEmail.ai hiện thân nguyên tắc này không phải như một suy nghĩ muộn màng mà như thiết kế cốt lõi của nó. Việc tự động xóa sau một giờ không chỉ là một tính năng — đó là một lời bảo đảm quyền riêng tư có ý nghĩa. Dữ liệu không tồn tại thì không thể bị rò rỉ, không thể bị bán, không thể bị triệu tập ra tòa, và không thể bị sử dụng theo những cách bạn không dự định.

Nhà nghiên cứu bảo mật Troy Hunt, người tạo ra Have I Been Pwned, đã ghi lại hàng nghìn vụ rò rỉ dữ liệu trong nhiều năm qua. Mô hình nhất quán xuyên suốt các vụ rò rỉ đó là các công ty đã lưu trữ dữ liệu họ không cần, lâu hơn mức đáng lẽ phải, và dữ liệu đó cuối cùng bị lộ. Kiến trúc của TempEmail.ai được thiết kế để làm cho loại vấn đề đó trở nên bất khả thi về mặt cấu trúc: bạn không thể rò rỉ dữ liệu đã bị xóa một giờ sau khi nó được tạo.

Còn những email được gửi ĐẾN địa chỉ tạm thời của bạn thì sao?

Khi ai đó (hoặc một dịch vụ nào đó) gửi email đến địa chỉ tạm thời của bạn, email đó đi qua hạ tầng email internet tiêu chuẩn — tuân theo giao thức RFC 5321 — để đến máy chủ thư của TempEmail.ai. Email được nhận, lưu trong hộp thư của phiên bạn, và hiển thị cho bạn trong trình duyệt. Khi phiên hết hạn, email bị xóa cùng với mọi thứ khác. Không có chính sách lưu giữ riêng cho email nhận được.

Máy chủ thư của người gửi không biết hoặc không quan tâm rằng đích đến là một hộp thư tạm thời. Từ góc nhìn của họ, họ đã gửi thành công một email đến một địa chỉ hợp lệ. Sau khi hết hạn, nếu người gửi (hoặc bất kỳ ai khác) cố gửi thêm một email đến cùng địa chỉ đó, nó sẽ bị từ chối vì địa chỉ không còn tồn tại. Người gửi sẽ nhận được một thông báo trả lại (bounce) tiêu chuẩn, giống hệt như khi họ gửi đến bất kỳ địa chỉ email không tồn tại nào trên bất kỳ máy chủ thư nào khác. Địa chỉ tạm thời của bạn thực sự ngừng tồn tại — nó không phải ngủ đông hay không hoạt động, nó đã biến mất.

Triết lý thiết kế đằng sau tất cả

Triết lý đằng sau TempEmail.ai có thể được tóm tắt đơn giản: xây dựng mức tối thiểu cần thiết, xóa tự động, không thu thập bất cứ thứ gì bạn không buộc phải thu thập. Mỗi quyết định thiết kế — không có hệ thống tài khoản, hết hạn sau một giờ, dọn dẹp tự động, không có phân tích trên nội dung email — đều bắt nguồn từ nguyên tắc này. Đó là điều ngược lại với cách tiếp cận "thu thập mọi thứ, tìm ra phải làm gì với nó sau" vốn định hình phần lớn internet. ProtonMail và các dịch vụ tập trung vào quyền riêng tư khác đã cho thấy có nhu cầu thực sự đối với các công cụ tôn trọng quyền riêng tư của người dùng ngay từ thiết kế. TempEmail.ai đưa triết lý đó đến kết luận logic của nó cho email dùng một lần: dữ liệu riêng tư nhất là dữ liệu không tồn tại.

Nếu bạn muốn một địa chỉ email tạm thời thực sự biến mất khi bạn dùng xong, thì đó chính là điều dịch vụ này được xây dựng để cung cấp. Không phải vì pháp luật yêu cầu (dù nó rất phù hợp với quy định về quyền riêng tư), mà vì đó là cách đúng đắn để xây dựng một công cụ như thế này. Electronic Frontier Foundation từ lâu đã ủng hộ quyền riêng tư ngay từ thiết kế — ý tưởng rằng các biện pháp bảo vệ quyền riêng tư nên được xây dựng vào kiến trúc của hệ thống, chứ không phải gắn thêm như một suy nghĩ muộn màng. Đó chính xác là bản chất của việc tự động xóa sau một giờ: một lời bảo đảm quyền riêng tư mang tính cấu trúc không phụ thuộc vào việc ai đó nhớ nhấn một nút.