Последна актуализация: 23 октомври 2026 г.
Работата с Lolly се случва на твоето устройство. Отварянето на инструмент, писането, прегледът, експортът и проверката на файл се изпълняват в приложението на телефона, компютъра или браузъра ти. Не ти трябва акаунт, а приложението не задава бисквитки за нищо от това.
Това, което създаваш, напуска устройството само когато поискаш. Добавянето на Google Font, изпращането на файл към Drive или Dropbox, включването на Sync, пускането на радиото или изтеглянето на AI модел за работа на устройството правят заявка, която ти започваш. Приложението също така изтегля инструментите и обновяванията си от собствения си адрес, а тези заявки не носят нищо от създаденото от теб. Всяка мрежова заявка, която приложението може да направи ги изброява хост по хост.
Няколко услуги на Lolly работят на сървър. Връзките за рендериране, извличането на изображения, крайната точка за AI агенти и услугата за потвърдена самоличност получават само това, което им изпратиш, и го пазят не по-дълго от посоченото на тази страница.
Екземплярът Lolly Work на твоята организация е различен. Той съхранява споделената работа, която поставиш там, и към тези данни се прилага политиката на неговия оператор, а не тази.
Your device
Your work stays here
- Documents, sessions and history
- Uploaded images and fonts
- Preferences and offline copies
- Models and tools you downloaded
Comes in, carrying nothing of yours: tools, fonts, emoji sets, models, radio
You send, sync or open
Places you choose
The one file, backup or page request you started
You call a service
Services lolly.tools runs
Only what you send, kept no longer than the policy states
You sign in at work
Your organisation's Lolly Work
Shared work you put there, under your operator's policy
Nothing reaches any of these until you act: a send, a sync, a service call or signing in to your organisation. Clearing your device does not erase what a server holds.
Накъде отиват данните ти: остават на устройството, освен ако не започнеш заявка, и всеки вид заявка има собствено местоназначение.
signed by Lollyprivacy-where-data-goes.htmlHTMLpixels, not shapes9 KBAI generatedgenerated by Claude Opus 5.5Check it yourselfВземи подписания файлКакво обхваща тази политика
Lolly е софтуер с отворен код, който всеки може да стартира: енджин, обвивки на приложението за уеб, настолни компютри, мобилни устройства и терминала, и разширение за браузър. Тази политика има две части:
- Самият софтуер: какво прави и какво не прави с данните ти, където и да работи. Това е свойство на кода, така че е вярно за всяко внедряване на Lolly, наше или на когото и да е друг.
- lolly.tools, референтното внедряване, което SUSE поддържа: изборите, направени при работата на неговите незадължителни сървърни части, например какво се записва в дневници, за колко време и от кого.
При самостоятелно хоствана или корпоративна инсталация на Lolly описаното по-долу поведение на софтуера продължава да важи, но операторът на тази инсталация, а не SUSE, отговаря за всичко на неговите сървъри: неговата крайна точка за рендериране, неговия MCP сървър, неговата услуга за сертификати и неговия екземпляр на Lolly Work. Поискай от него собствената му политика. Adoption & Governance описва какво включва експлоатацията на Lolly.
Какво остава на устройството ти
Уеб, настолните и мобилните приложения на Lolly изпълняват целия енджин за рендериране на устройството. Щом инструментите, ресурсите и енкодерите, които използваш, са на устройството, рендерирането и изтеглянето не изискват сървър.
Самостоятелното използване на приложението не задава бисквитки. Влизането в организация и незадължителното записване за потвърдена самоличност имат собствени бисквитки, описани в техните раздели. Приложението пази тези записи на устройството:
- Предпочитания за интерфейса: тема, език, настройки на звука, размери на страничната лента и мащаб, избор на сортиране и изглед и кои съвети си видял, в
localStorage, за да са готови, преди приложението да приключи със стартирането. - Офлайн кеш на каталога с инструменти и прегледите на ресурсите, за да работи галерията без връзка.
- Локални броячи на използването за статистиката в картата на профила ти, например колко експорта и кои инструменти: малък ограничен запис в
localStorage, който никога не четем и никога не се изпраща никъде. - Твоята собствена работа: документи, запазени сесии и тяхната история, качени изображения и шрифтове, резултати от файлове и по-ранни версии, и Кошчето, което пази изтритите елементи 30 дни. Те живеят в IndexedDB на устройството и остават там, освен ако не избереш Sync или споделяне.
- Търсенията на градове в Meeting Planner, в
localStorage, така че всеки град да се търси само веднъж. - Изтеглени модели и закачени инструменти: AI модели за работа на устройството, чието изтегляне си одобрил, и инструменти, които си закачил за офлайн употреба.
Settings → Storage показва колко място заема Lolly на устройството, като твоята работа, Кошчето, изтеглените модели, офлайн копията и кешовете са изброени поотделно. Clear all my data там премахва локалното копие и първо изключва Sync; изчистването на хранилището на сайта в браузъра прави същото. За строго необходимото хранилище за услугата, която си поискал, не е нужно съгласие по Директивата за електронната неприкосновеност (Art. 5(3)), а само прозрачност, което са този документ и известието в приложението.
signed by Lollyvector SVG31 paths~4.2k nodes88 groups58 KBCheck it yourselfВземи подписания файл
signed by Lollyvector SVG31 paths~4.2k nodes88 groups58 KBCheck it yourselfВземи подписания файл
Export my data създава файл lolly-backup, който ти пазиш и контролираш. Той никога не стига до нашите сървъри, освен ако сам не го изпратиш някъде. Вж. Data transfer.
Помощни програми, които работят на устройството ти
Някои инструменти, като Strip Hidden Data, Compress и други със значка Runs on your device, работят върху файл, който ти подаваш. Файлът се чете в паметта, преобразува се на устройството и се връща като изтегляне. Той никога не се качва, защото по пътя няма сървър. Тези помощни програми работят офлайн, а резултатът им не носи водни знаци или метаданни от нас.
Rondocode е единственото изключение, защото създава ново аудио от твоята песен, вместо да преобразува твой файл. Всеки аудио файл, който записва, носи Content Credentials, които описват песента и декларират всяко пеене, генерирано от AI. Панелът Export казва това, преди да експортираш, а Rondocode songs изброява точно какво се записва.
signed by Lollyvector SVG2 paths824 nodes5 groups12 KBCheck it yourselfВземи подписания файл
signed by Lollyvector SVG2 paths824 nodes5 groups12 KBCheck it yourselfВземи подписания файл
Prepare for sharing и Compare работят в паметта на устройството и не изпращат нищо към сървър, а Prepare не добавя нищо към историята, връзките, архивите или Sync, докато не запазиш резултат.
Как Prepare for sharing и Compare работят с файловете ти
Prepare for sharing държи работните входове, личните находки и картите за замяна в паметта, без да ги добавя към историята, връзките, архивите или Sync. Проверката и замяната не изпращат съдържание на файлове към сървър и не проверяват удостоверения онлайн. Ти избираш дали да копираш, изтеглиш, изпратиш или запазиш резултат в библиотеката си; запазеният резултат след това следва настройките за архив и Sync на библиотеката ти. Файловете с рецепти пропускат по-ранното съдържание и буквалните съответствия, а обобщените отчети съдържат броячи, идентификатори на обхват и хешове на файлове. CLI запазва личен файл за преглед с оригиналните стойности само когато това се поиска с --review-file. Излизането от изглед за подготовка освобождава работното му състояние, което не е обещание за криминалистично изтриване от паметта на браузъра или операционната система.
Подготвените копия и завършените файлови операции споделят контролите на Compare. Премахнатите стойности започват свити, а отчетите от сравнението пропускат имена на източници, пътища и стойности, освен ако не избереш да ги включиш. Историята на файловете запазва копието, така че сравняването след презареждане означава повторен избор на оригинала, съпоставян по записания му SHA-256. Изборът му не запазва и не качва файла.
Strip Hidden Data и Prepare for sharing също проверяват DOCX, PPTX и XLSX файлове на устройството. От поддържаните DOCX файлове избрани свойства могат да се премахнат в ново копие; другото съдържание на Office се само проверява, а личните прегледи остават зад контрола за разкриване.
Какво чете и премахва проверката на Office
| Формат на Office | Проверявано съдържание на пакета | Поддържано премахване |
|---|---|---|
| DOCX | Основни, приложни и персонализирани свойства; коментари и автори; маркери и прегледи на проследени промени; скрити текстови откъси; външни релации; вградени обекти | Избрани: автор, последно запазил, дати на създаване/промяна/последно отпечатване, заглавие, тема, описание, ключови думи, персонализирани свойства, Company, Manager, Template, базов адрес на хипервръзки, име и версия на приложението и статистики (общо време за редактиране и брой страници, думи, знаци, редове и абзаци) |
| PPTX | Свойства; коментари и записи за автори; бележки на говорителя; маркери за скрити слайдове; външни релации; вградени обекти и поддържани вложени работни книги | Няма |
| XLSX | Свойства; коментари и бележки; маркери за скрити листове, редове и колони; дефинирани имена; външни релации и връзки; повърхности на външни връзки и кеш на обобщени таблици; вградени обекти | Няма |
Ограничения. Преброяването не проверява изцяло видимия текст, формулите, зависимостите, визуалния вид или произволни двоични части. Поддържа до 300 части на пакет, 64 MiB общо декларирано разширяване, 2 MiB на XML част и две вложени нива на вградени пакети; Prepare споделя бюджетите за части и разширяване между цялата задача. Съкратено, повредено, криптирано и неподдържано съдържание се отчита и се запазва. Макро съдържанието се разпознава и никога не се изпълнява, старите двоични формати на Office и XLSB не се проверяват, а външни препратки никога не се изтеглят.
Какво запазва почистването на DOCX. Почистването поддържа преходния формат на DOCX пакет с каноничните части за основни, персонализирани и разширени свойства. От разширените свойства могат да се премахнат Company, Manager, Template, HyperlinkBase, Application, AppVersion и статистиките TotalTime, Pages, Words, Characters, CharactersWithSpaces, Lines и Paragraphs. DocSecurity, заглавията на раздели и части, флаговете за връзки и други свойства на приложението се запазват. Премахването на Template оставя всяка прикачена връзка към шаблон в настройките на документа, където преброяването я отчита като външна релация.
Някои програми избират как да чертаят диаграми и рисунки според името и версията на приложението; LibreOffice, например, показва диаграма от файл на Word 2007 различно без тях. И двете се запазват, когато файлът съдържа диаграми, картини, фигури или вградени обекти, а проверката ги изброява като запазени. Свойство, което показва поле на Word (TEMPLATE, EDITTIME, NUMPAGES, NUMWORDS или NUMCHARS), се запазва, а полетата за връзки и относителните външни връзки запазват HyperlinkBase, защото целите им се разрешават спрямо този базов адрес.
Какво остава само за проверка. Разширените данни за цифров подпис блокират почистването. Подписаните, макро-активираните, криптираните, повредените, преименуваните или вложените пакети на Office остават само за проверка. Така е и с файлове с други зависими от свойства полета на Word, като DOCPROPERTY или AUTHOR, или с XML-свързани контроли за съдържание, защото премахването на свойство може да промени документа, когато Word обнови тези връзки, а кешираният текст на полето не може да покаже, че следващото изобразяване ще изглежда същото. XML части с необичайни файлови разширения, цели на релации на Word XML, които не могат да се проверят безопасно, грешно декларирани части за горен или долен колонтитул и SVG части, декларирани като XML с разширение .svg, също остават само за проверка в това първо издание на почистването.
Как почистването проверява работата си. Частите със свойства, техните декларации, несвързаните членове на пакета, XML коментарите и ZIP коментарите се запазват. Почистването прилага ограниченията на преброяването и проверява целостта на всеки член преди записване, след което проверява получените свойства отново. Compare показва поддържаните разлики в свойствата със свити стойности; не сравнява видимия текст или визуалния вид. Стойностите използват прегледи до 2048 знака, така че разлики отвъд прегледа може да не се покажат, а частичен преглед не може да установи, че два файла са равни. prepare --strip-hidden-data на CLI премахва поддържаните свойства на DOCX, а личен плик за преглед може да избира отделни свойства. Неуспешна защита при почистване запазва файла и отчита неуспешна операция.
Всяка мрежова заявка, която приложението може да направи
Повечето заявки носят инструменти, шрифтове или модели към устройството ти. Действията за изпращане предават файла, който си избрал, Sync предава архив към хранилището, което си избрал, а услугите на организацията предават съдържанието или данните, нужни за споделената работа. Всяка група по-долу изброява какво напуска устройството ти, кога и какво се случва, ако оператор блокира заявката. Конфигурираните от оператора доставчици на самоличност и ресурси могат да добавят местоназначения към това внедряване. Всеки фиксиран хост, в една таблица изброява хостовете, с които уеб приложението може да се свърже.
Неща, изтегляни към устройството ти
- Каталогът с инструменти. Нищо лично: заявка за публичния индекс на инструменти и ресурси на самия Lolly, към собствения адрес на приложението, при стартиране и после кеширана офлайн. Ако е блокирана, приложението работи с кешираните си инструменти и спира да открива нови.
- Набори емоджи. Наборът, който избереш, се изтегля от собствения адрес на приложението първия път, когато го използваш. Не се изпраща нищо лично. Анимациите Lottie се четат на устройството и не се свързват с никого.
- Google Fonts. Избраното име на семейство и IP адресът ти отиват към шрифтовите сървъри на Google (
fonts.googleapis.comза стиловия лист,fonts.gstatic.comза шрифтовия файл). Това става само когато добавиш Google Font в Design System Setup и само след като се съгласиш в диалог, който казва точно това. Всяко семейство се изтегля веднъж, после се пази на устройството и се използва офлайн. Ако е блокирано, избирачът се проваля безопасно; качи шрифтов файл вместо това. - AI модели за работа на устройството. Нищо лично: изтегляне на файл на модел, после пазен на устройството. Уеб изданията по подразбиране използват собствения адрес на приложението; изданието може да посочи друг хост за модели, например хоста за издания на Lolly
lolli.liза пакетираните приложения. Хостът получава заявката и IP адреса ти, без акаунт и без входни данни за модела. Това става само когато използваш функция, която се нуждае от модел (дълбокото сканиране на Verify, увеличаването на изображения, речта и подобни), или избереш да изтеглиш модели за офлайн употреба. Ако е блокирано, тази функция изчаква, а всичко останало работи. - ICC профили за печат. Нищо лично: заявка за стандартен профил на условия за печат към публичния регистър на ICC (
registry.color.org,www.color.org), само когато щракнеш предварителна настройка ICC в мениджъра на профили за печат, веднъж за профил. Ако е блокирано, предварителните настройки се провалят; подай свой собствен.iccпрофил. - Интернет радио. Нищо лично: заявка за плейлист и аудио поток от станцията (
api.somafm.comи сървърът за потока, към който сочи,*.somafm.com), само докато пускаш незадължителното радио в звуковия плейър. Ако е блокирано, радиото не работи, а всички други звукови функции работят.
Инструмент, който се нуждае от данни на живо
- Търсенето на градове в Meeting Planner. Днес това е единственият инструмент, който извлича данни на живо. Той пита
geocoding-api.open-meteo.comда превърне всяко име на град (града на домакина и града на всеки член на екипа) в координати и часова зона, без акаунт, без ключ и без идентификатор освен самата заявка. Входът Host city обяснява това, а всеки отговор се запазва на устройството, така че градът се търси веднъж. Работи само докато инструментът е отворен. Ако е блокирано, търсенето се проваля и нищо друго не се засяга.
Файлове, които изпращаш
Всеки от тях изпраща само единствения файл, който си избрал, когато натиснеш бутона му Send, след вход, който завършваш в собствения прозорец на услугата. Паролата на приложение за Bluesky, адресът на webhook на Discord, паролата на приложение за Nextcloud и ключовете за S3 се съхраняват само на това устройство, никога в архив, а Disconnect ги изтрива.
- Google Drive. Файлът, в какъвто и да е формат, отива към Drive API на Google (
www.googleapis.com). Достъпът на Lolly е ограничен до файловете, които е създал (обхватътdrive.file), така че никога не може да чете останалото от Drive. В уеб приложението токенът за вход се държи в паметта за сесията и никога не се съхранява; в другите приложения токен за обновяване се съхранява на това устройство само ако отметнеш Stay connected. Бутонът съществува само в изданията, където операторът е конфигурирал клиентски идентификатор на Google. Ако е блокирано, бутонът никога не се появява; изтегли файла и го качи сам. - Dropbox. Файлът отива към API на Dropbox (
api.dropboxapi.comза вход и метаданни,content.dropboxapi.comза файла). Достъпът е само до папката на приложението, така че Lolly виждаApps/и собствената си папка там, и нищо друго. Връзката Open, която показва, е краткотрайна лична връзка и не се създава публично споделяне. Токен за обновяване се съхранява само ако отметнеш Stay connected. Бутонът съществува само с конфигуриран от оператора клиентски идентификатор на Dropbox. - OneDrive. Файлът отива към услугите за самоличност и Graph на Microsoft (
login.microsoftonline.comза вход,graph.microsoft.comза качването); голям файл се качва на части къмapi.onedrive.comили източници на хранилище, конфигурирани от оператора. Достъпът е ограничен до собствената папка на Lolly подApps/, плюс показваното ти име за етикета на акаунта. Токен за обновяване се съхранява само ако отметнеш Stay connected. Бутонът съществува само с конфигуриран от оператора клиентски идентификатор на Microsoft. - LinkedIn, само в настолните приложения. Файлът, с името си като текст на публикацията, отива към LinkedIn (
www.linkedin.comза вход в собствения ти браузър,api.linkedin.comза качването и публикацията) като публична публикация в собствения ти поток. Lolly може да публикува от твое име и да чете името ти за етикета на акаунта, нищо друго. Входът се пази само ако отметнеш Stay connected, а токените на LinkedIn важат 60 дни и не могат да се подновяват тихо, така че изтича сам. Тези хостове не са в политиката за връзки на уеб приложението. Бутонът съществува само в изданията с конфигурирано приложение за LinkedIn. - Penpot. Личният ти токен за достъп до Penpot, който поставяш в приложението, и архивът
.penpotна дизайна отиват към API на Penpot (design.penpot.app) през малък прехвърлящ механизъм на собствения адрес на приложението (/api/penpot), защото API на Penpot не отговаря директно на браузър. Прехвърлящият механизъм препраща и забравя; настолните приложения говорят директно с Penpot. Това става само когато натиснеш Send to Penpot в инструмента Design и потвърдиш проект. Ако е блокирано, изпращането се проваля безопасно; експортирай файла.penpotи го импортирай сам. - Bluesky. Изображението, името му като текст на публикацията и алтернативен текст, както и твоят handle и парола на приложение (създадена в Bluesky → Settings → App passwords, никога паролата на акаунта ти) отиват към сървъра на Bluesky, който посочиш,
bsky.social, освен ако не избереш друг. Първо свързваш акаунта в Settings → Connected services. - Discord. Файлът отива като прикачен файл към адреса на webhook на канала, който си поставил, на discord.com. Всеки, който държи адрес на webhook, може да публикува в този канал, затова той остава на устройството.
- Mastodon. Файлът, с името си като текст на публикацията, отива към сървъра на Mastodon или съвместим сървър, който посочиш, след вход в собствения прозорец на този сървър. Свързването регистрира малко приложение за това устройство на този сървър, а входът се пази само ако отметнеш Stay connected.
- Nextcloud или WebDAV. Файлът отива към твоя собствен сървър в едно удостоверено качване, с адреса на сървъра, потребителското име и паролата на приложение, които си въвел (Nextcloud → Settings → Security → Devices & sessions; никога паролата на акаунта ти).
- S3-съвместимо хранилище. Файлът отива към твоя собствен bucket (AWS S3, MinIO, R2, B2, Garage или всяка SigV4 крайна точка), подписан на устройството с въведената от теб двойка ключове.
Хостовете, които избираш, се нуждаят от одобрението на оператора. Хостовете на Bluesky, Discord, Mastodon, Nextcloud и S3 не са във фиксирания списък на Lolly, защото ги избираш ти. Приложението не изпраща нищо към такъв хост, докато операторът не е одобрил точно този HTTPS хост: в уеба, в Content Security Policy на внедряването; в настолните приложения, при изграждането на приложението. Същото важи за персонализираното хранилище и хостовете за качване в SharePoint. В уеба сървърът трябва също да позволява извиквания от браузъра към приложението (CORS), а пренасочването се проваля безопасно, затова използвай адрес, който не пренасочва. Настолните приложения проверяват всяко пренасочване спрямо одобрения списък.
Този списък ограничава до кои хостове приложението може да стигне. Той не различава акаунти или клиенти (tenants) в Google или Microsoft, а собствените разрешения на доставчика определят кои акаунти и действия са позволени. Не обхваща и прозорците за вход, други типове ресурси или вградени функции, които имат свои правила. Промяната изисква ново настолно изграждане или нови заглавия на уеб отговора; запази работата си, преди да отвориш приложението отново, за да я вземе. Connector origins описва конфигурацията.
Sync между устройствата ти
- Какво напуска. Копие на онова, което си създал на това устройство (запазени сесии и проекти, твоите дизайн системи с техните шрифтове и лога, качени изображения, профилът и предпочитанията ти) като един файл, към единственото хранилище, което си избрал: папката на приложението Lolly в твоя Dropbox (
api.dropboxapi.com,content.dropboxapi.com), файловете, създадени от Lolly в твоя Google Drive (www.googleapis.com), папката на приложението Lolly в твоя OneDrive (graph.microsoft.com, като по-големите файлове се качват къмapi.onedrive.comили източници на хранилище, конфигурирани от оператора, а изтеглянията са от точни източници на хранилище, конфигурирани от оператора), или твоя собствен Nextcloud, WebDAV сървър или S3 bucket. Същото хранилище пази до седем дневни копия и едно копие отпреди последното ти прилагане. - Нищо не отива към Lolly. По пътя няма сървър на Lolly, релей или сървър на Lolly Work, а приложенията не се нуждаят от уебсайт на Lolly за това, дори за влизане. Копието се криптира първо на устройството само ако зададеш парола-фраза. Входовете, ключовете, паролите на приложения, паролата-фраза и настройките на Sync остават на устройството и никога не са в копието. В уеб версията запомнена връзка с Google Drive пази само името на акаунта ти (и собствения ти клиентски идентификатор, ако си дал такъв), а влизането в Google трае едно посещение. В приложението за Android влизането в Google Drive минава през Google Play services на телефона, които Google управлява.
- Кога. Само след като включиш Sync across my devices или натиснеш Sync now: качване малко след всяка промяна и при излизане от приложението, и проверка за по-ново копие при стартиране на приложението. Ако е блокирано, Sync се проваля и казва защо, а работата ти остава на устройството. Можеш да експортираш данните си във файл и да ги преместиш сам. Sync your devices разглежда функцията.
Уеб страници, заснемания и картини от други сайтове
- URL, който искаш инструмент да заснеме. Инструментът URL screenshot заявява точния адрес, който въведеш, само когато започнеш заснемането. Тъй като избираш адреса в този момент, той не е в политиката за връзки и операторът не може да го позволи или блокира по хост; за да го премахнеш, премахни инструмента.
- Уеб страница в кутия на Design. Страницата се заявява, с твоя IP адрес, от сайта, от който идва, заедно с всичко, което самата страница заявява. Където браузърът го поддържа, към рамката не се изпращат бисквитки и никакъв адрес освен собствения произход на приложението, така че документът ти и неговата връзка никога не пътуват със заявката. В уеб приложението само тези плейъри могат да се вграждат в рамка:
www.youtube-nocookie.com,player.vimeo.com,www.loom.com,www.google.com(карти) иwww.figma.com, плюс справочни страници вwikipedia.orgи*.wikipedia.org,commons.wikimedia.org,upload.wikimedia.org,www.wikidata.org,www.mediawiki.orgиwww.openstreetmap.org. Allow pages from any site, под Settings → Trusted sites, презарежда Lolly на устройството ти с политика, която може да вгражда в рамка всяка страница сhttps:, и същите правила за доверие и питане продължават да важат. Страница се зарежда само за сайт от твоите Trusted sites, включително премахваемите справочни по подразбиране, или след като одобриш тази кутия в нейния инспектор; дек, който някой ти е изпратил, показва картина на всяка страница дотогава. Преди да презентираш, списъкът предлага Just this time и Always trust за всеки сайт, а докато презентираш, не се пита нищо. Ако е блокирано, кутията показва картината си с връзка за отваряне на страницата в нов раздел. Инструментите на Lolly и демонстрациите на Sandbox в кутия работят на собствения адрес на приложението и не се свързват с никого. - Промяна на страница, която показваш. Действието Use page на кутия с уеб страница ти позволява да отхвърлиш бисквитки или да затвориш банер в страницата. За достъпни страници на Lolly Hide cookie banners скрива познати наслагвания, включително OneTrust, без да приема бисквитки и без да променя избора за съгласие на сайта. Page CSS променя живата страница и презентацията на тази кутия; експортите все още използват избрания постер. Правилата не могат да импортират ресурси или шрифтове, а браузърите не позволяват на Lolly да променя CSS на друг сайт. Прегледите в Sandbox имат собствен CSS редактор под Edit in Sandbox.
- Уеб ресурсите на демонстрация в Sandbox. Всеки стилов лист, скрипт, шрифт или изображение, към което кодът на демонстрацията сочи, се заявява, с твоя IP адрес и без бисквитки, от сайта, който го хоства; файловете, които изтеглен стилов лист назовава, например шрифтовите файлове на Google Fonts, се броят за отделни сайтове. Това става само след като щракнеш Fetch & inline или за сайт от твоите Trusted sites; Always trust до файл добавя неговия сайт към този списък. Ако е блокирано, демонстрацията работи без тези файлове, а Sandbox изброява всеки файл, който не е могъл да изтегли, и защо.
- Добавяне на изображение от URL. Add from URL в избирача на ресурси или в Assets заявява точния адрес на изображението, който поставиш. Собствената политика на уеб приложението не позволява на браузъра да изтегля директно от друг сайт, затова малък прехвърлящ механизъм на собствения адрес на приложението (
/api/fetch-image) изтегля изображението и връща само байтовете; не съхранява нищо, забравя адреса и отказва всичко, което не е публичен адрес на изображение. Настолните приложения изтеглят адреса директно. Връзка на Lolly, която поставиш, изобщо не се изтегля: тя се рендерира на устройството. Ако операторът изключи прехвърлящия механизъм (LOLLY_DISABLE_IMAGE_PROXY=1), в уеб приложението могат да се добавят само връзки на Lolly, изображенияdata:и изображения от същия произход, а настолните приложения не са засегнати. - Дизайн система от уебсайт. Design System Setup може да прочете една страница от сайт, който назовеш, през разширението за браузър или собственото изтегляне на настолното приложение, никога през сървър на Lolly. Нищо не се изтегля, преди да натиснеш, и връзките на страницата не се следват.
Работа с други хора и агенти
- Частно сътрудничество (collab). Две устройства се свързват директно, без сървър по средата. Поканата и отговорът носят адресите, които всяко устройство вижда в собствената си мрежа, а това издание не конфигурира външен сървър за откриване на адреси, затова давай ги само на човека, с когото работиш. Вж. Working together.
- Nearby, в настолното приложение. Докато си видим, а това са десет минути, когато започнеш покана за collab, или, ако го включиш, винаги когато приложението работи, приложението обявява случайно име, показваното от теб име и вида устройство в локалната мрежа. Не обявява имейл адрес, акаунт или траен идентификатор.
- Покани агент. Състоянието на поканения документ, прегледите, които агентът поиска, самоличността на агента и неговите редакции минават през конфигурирания жив релей (
lolly.ingна lolly.tools) към агента, когото поканиш. Инсталиран хостван плъгин също препраща извикванията през конектора на lolly.tools към релея, избран от поканата; конекторът не пази покана или документ между извикванията. Релеят държи поканите и чакащите заявки в паметта, докато не прекъснеш връзката или не изтекат: десет минути за неизползвана покана и тридесет минути без дейност за присъединена. Доставчикът на твоя агент обработва получените данни според собствената си политика. Това става само след като създадеш покана в Share и дадеш инструкциите ѝ на агента си; достъпът за четене позволява проверка, а достъпът за редактиране позволява и промени. Pause спира промените, а Disconnect или оттеглянето на поканата прекратява достъпа. Ако е блокирано, агентът не може да се присъедини или да продължи, а ти продължаваш да редактираш. - Allow AI control, в настолното приложение. Агент, работещ на този компютър, може да чете и редактира отворения документ на Design през връзка, която остава на компютъра. Тя е изключена, докато не я включиш. Lolly не изпраща нищо към сървър за нея; доставчикът на агента обработва прочетеното от агента според собствената си политика. Threat Model & Trust Boundaries изброява какво може и какво не може такъв агент.
- Отдалечена инсталация. Когато насочиш приложението към друго внедряване на Lolly, то получава всичко, което тази инсталация връща, през същото синхронизиране на каталога, плюс етикет за версия в заявките към нея (вида приложение и версията на енджина, същата информация, която носи user agent), така че нейният оператор да вижда кои версии на Lolly са в употреба. В управлявана инсталация, докато си влязъл, етикетът носи и идентификатор на инсталацията за това устройство, така че списъкът с устройства на оператора да различава инсталациите; излизането изтрива идентификатора, а устройство, което се свърже отново по-късно, представя нов. Ти избираш хоста, затова той не е в политиката за връзки. Ако е блокирано, превключването се проваля, а локалната ти инсталация не е засегната.
- Екземплярът Lolly Work на твоята организация. Самоличността при вход и информацията за устройството, заявките за политики, споделените сесии, редакциите при сътрудничество, качванията, подадените за одобрение материали и файловете за доставка, които използваш, както и разрешените етикети на събития за използване, където са конфигурирани, отиват към екземпляра на твоята организация, с вход през неговия доставчик на самоличност. Опресняването на политиките и включената телеметрия могат да работят по време на употреба; споделената работа, collab, прегледът и доставката изпращат съдържание като част от тези работни процеси. Ако е блокирано, тези функции на организацията не могат да завършат, а личната ти работа остава отделна. Вж. Organisation services with Lolly Work.
Всеки фиксиран хост, в една таблица
Content Security Policy на уеб приложението е това, което пречи на скрипт да стигне до хост, който не е в списъка. Освен собствения адрес на приложението, таблицата дава всеки хост, който тази политика изброява, плюс двата хоста на LinkedIn, които настолните приложения добавят, отбелязани като само за настолни. CI тест сверява тази таблица с внедрената политика, така че хост не може да се добави в едното без другото.
| Какво | Какво реално напуска устройството ти | Хостове |
|---|---|---|
| AI модели за работа на устройството в пакетираните приложения и файлове с издания | Заявка за публичен файл, с твоя IP адрес | lolli.li |
| Google Fonts | Името на шрифтовото семейство и твоят IP адрес | fonts.googleapis.com, fonts.gstatic.com |
| Send to и Sync с Google Drive | Файлът или архивът, който си избрал | www.googleapis.com |
| Send to и Sync с Dropbox | Файлът или архивът, който си избрал | api.dropboxapi.com, content.dropboxapi.com |
| Send to и Sync с OneDrive | Файлът или архивът, който си избрал, и показваното ти име за етикета на акаунта | login.microsoftonline.com, graph.microsoft.com, api.onedrive.com |
| Търсене на градове в Meeting Planner | Всяко име на град | geocoding-api.open-meteo.com |
| ICC профили за печат | Заявка за публичен профил | registry.color.org, www.color.org |
| Интернет радио | Заявка за плейлист и аудио поток | api.somafm.com, *.somafm.com |
| Покани агент и работното пространство lolly.ing | Състоянието на поканения документ, прегледи и редакции, и заявките на работното пространство, които правиш | lolly.ing |
| Плейъри в уеб кутия на Design | Заявка за страницата, с твоя IP адрес | www.youtube-nocookie.com, player.vimeo.com, www.loom.com, www.google.com, www.figma.com |
| Справочни страници в уеб кутия на Design | Заявка за страницата, с твоя IP адрес | wikipedia.org, *.wikipedia.org, commons.wikimedia.org, upload.wikimedia.org, www.wikidata.org, www.mediawiki.org, www.openstreetmap.org |
| Send to LinkedIn, само в настолните приложения | Файлът, с името му като публична публикация | www.linkedin.com, api.linkedin.com |
Собственият списък на настолните приложения включва и крайната точка за токени на Google за влизане в Drive. Всеки друг хост, например сървър на Mastodon или Nextcloud, който назовеш, се нуждае от одобрението на оператора, както е описано под Файлове, които изпращаш. Хостове, които избираш в момента на употреба, например URL, който заснемаш, или отдалечена инсталация, която назоваваш, не фигурират в никой списък.
Подписите SEAL не правят заявки. Verify може да проверява подписи SEAL, схема, чийто ключ за подписване може да се публикува в DNS. Браузърите не могат да правят DNS заявки, така че уеб търсене би трябвало да мине през външен DNS-over-HTTPS резолвер, който би видял проверявания домейн и твоя IP адрес. Lolly използваше резолвера на Cloudflare; вече не го прави и нищо не е заместило Cloudflare. Днес никое приложение на Lolly не търси ключове за SEAL: настолните и мобилните приложения изпълняват същия изглед Verify, а lolly validate от командния ред не проверява SEAL. Файл, чийто SEAL запис носи ключа си вътре, се проверява офлайн, а Verify нарича подписа вътрешно съгласуван, без да потвърждава домейна. Файл, чийто ключ живее само в DNS, показва SEAL signature did not verify, с причината "no key resolver and no inline key".
signed by Lollyvector SVG11 paths~4.3k nodes18 groups52 KBCheck it yourselfВземи подписания файл
signed by Lollyvector SVG11 paths~4.3k nodes18 groups52 KBCheck it yourselfВземи подписания файл
Можеш сам да провериш това и всяко друго твърдение на тази страница: Verify It Yourself дава командите и очаквания резултат.
Услугите, които lolly.tools управлява
Те работят на lolly.tools за всички. Всяка получава само това, което ѝ изпратиш. Server Surface описва същите компоненти, както работят във всяко внедряване.
Връзки за рендериране
Всеки URL от вида https://lolly.tools/tool/<tool-id>.<ext>?<inputs> се рендерира наистина, а входните му данни пътуват в URL, така че споделена връзка на Lolly може да се появи като живо изображение в README, уики или табло. Изтеглянето на такава връзка моли сървъра да рендерира публични данни за инструменти и каталога с входните данни, записани в адреса.
- Без акаунти, без бисквитки, без състояние. Маршрутът не иска вход и нищо на устройството ти не се чете. Документите, сесиите и качванията ти никога не напускат браузъра ти и не могат да се появят в тези връзки.
- Самият URL се записва. Низът със заявката на URL е част от заявката, така че се появява в обикновените дневници за достъп на хостинг платформата като всеки заявен път. Ако входните данни на връзка съдържат нечие име или имейл адрес, както би могла значка с име или имейл подпис, този текст стои в тези дневници. Давай на връзка за рендериране само онова, което би поставил на публична страница.
- Входните данни така или иначе са публични. Те са каквото авторът на връзката е въвел в URL, четимо за всеки, до когото връзката стигне. Не слагай тайни в споделена връзка; Lolly предлага криптиране на връзки за чувствително съдържание.
- Кеширани, ограничени и неиндексирани. Отговорите се кешират и се ограничават по честота като всяко публично изображение и са маркирани с
noindex, така че търсачките да не включват рендерите ти.
Самостоятелно хостнато внедряване, което не иска публичен маршрут за рендериране, задава LOLLY_DISABLE_RENDER_GET=1 и всеки от тези URL връща 404.
Изтегляч на изображения и прехвърлянето към Penpot
Add from URL в уеб приложението и Send to Penpot използват два малки прехвърлящи механизма на lolly.tools, описани под Всяка мрежова заявка, която приложението може да направи. Изтеглячът на изображения не пази нищо и забравя адреса. Прехвърлянето към Penpot препраща твоя токен и архив към Penpot и не пази нито едното; записва в дневника името на командата и статуса на отговора на Penpot.
MCP сървърът, за AI агенти
AI агент може да достигне Lolly през Model Context Protocol, чрез крайна точка, управлявана от оператор. lolly.tools управлява една, а всеки може да стартира своя, включително напълно офлайн.
- Файлове, които агент изпраща. Инструментите, които приемат файл (
lolly_transform,lolly_verify,lolly_redact,lolly_read,lolly_check,lolly_package,lolly_compose,lolly_rebrandи инструментите за изображенияlolly_look,lolly_sample_colorиlolly_trace_edges), го обработват в паметта и връщат резултата в същото извикване. Файлът никога не се записва на диск и не се пази, след като заявката приключи.lolly_inspectсъщо приема файл, а проверките му за видео и печатна продукция записват временно работно копие, което се изтрива, когато извикването се върне. Всеки друг инструмент работи от параметрите в извикването: текст, числа, цветове, URL, идентификатори на ресурси от каталога или документ, подаден от извикващия. - Rebrand казва къде отива един дек. Първият етап на
lolly_rebrand,capabilities, казва с думи къде биха отишли байтовете ти, преди да изпратиш каквото и да е: на самостоятелно хостнат локален сървър декът никога не напуска тази машина, а на хостван сървър извикването наlolly_rebrandизпраща дека там, до ограниченията за размер и слайдове, които този етап дава. - Отворената крайна точка. На lolly.tools
lolly.tools/api/mcpе отворена за всеки без токен. Извикванията са ограничени по адрес и от дневен бюджет. Адресът се превръща в псевдонимен резюме-хеш в хранилището за контрол на злоупотребите, както при крайните точки за вход по-долу, а бюджетът брои само процесорно време и изпратени байтове, без адрес. Bearer токенът на ограничена крайна точка никога не се записва в дневник или URL за рендериране. - Връзки за изтегляне на големи резултати. lolly.tools връща резултатите вградено и никога не издава тези връзки. Операторът може да ги включи за собствения си удостоверен шлюз, където резултатът се държи най-много пет минути и само собственият bearer токен на извикващия може да го изтегли; вж. MCP Server. Планирана ограничена крайна точка на
mcp.lolly.toolsби приемала bearer токен, който операторът издава на доверени клиенти, или OAuth 2.1 с краткотрайни подписани токени, проверявани спрямо споделена тайна; активирането ѝ предстои и е изброена под Delivery hosts and processors.
Потвърдена самоличност: вход, който започваш сам
Lolly може да запечата Content Credential в експортите ти, така че всеки да може да провери офлайн, че файлът не е променян, откакто е напуснал Lolly. Дотук това е включено по подразбиране и изцяло локално: ключът за подписване се създава на устройството ти и подписването става офлайн. Без записване този ключ е еднократен, нова двойка ключове, създавана за всеки експорт и изхвърляна след това. След като се запишеш, ключът трае и се генерира като неизвличаем, така че дори собственият код на Lolly не може да го прочете, а само да поиска подпис. И в двата случая той никога не напуска устройството ти.
Exporting изброява какво записва един credential: инструмента, часа, грубата повърхност на експорта, името ти само когато си включил Use my details, посочените произведения, които експортът поставя, и всяка песен на Rondocode, която видео или аудио експорт възпроизвежда (името ѝ, хеш на източника ѝ и как sandbox на Lolly е рендерирал песента). Панелът за експорт изброява тези песни, преди да експортираш.
Credential-ът и метаданните на файла записват също дизайн системата и цветовата схема, които са нарисували експорта: идентификатора и името на дизайн системата, нейната публикувана версия и цветовата схема. Името на дизайн система е текст, който нейните собственици са въвели, и може да е името на клиент, затова картата Design system в панела за експорт показва точните думи, преди да експортираш. Махни отметката на картата или подай _madewith=0 или --no-madewith, за да ги изключиш.
Единствената незадължителна стъпка отгоре е записването на потвърдена самоличност, така че експортите ти да казват "Verified - signed by \<your email\>", вместо да назовават анонимен ключ. Ако пропуснеш записването, услугата за сертификати не получава от теб никакви данни за записване.
signed by Lollyvector SVG7 paths~2.0k nodes11 groups24 KBCheck it yourselfВземи подписания файл
signed by Lollyvector SVG7 paths~2.0k nodes11 groups25 KBCheck it yourselfВземи подписания файл
Ако се запишеш, точно това се случва:
- Избираш метод за вход: GitHub, Google, SUSE (id.suse.com) или връзка по имейл. При трите OIDC доставчика отиваш на собствената страница за вход на този доставчик, под неговата политика за поверителност, не нашата, а услугата за сертификати получава обратно само потвърден имейл адрес и името на доставчика. За връзката по имейл адресът, който въвеждаш, отива при Resend, услуга за транзакционни имейли, само за да достави тази една връзка.
- Краткотрайна бисквитка пази пренасочването. Услугата за сертификати задава
lolly_ca_state,HttpOnly, с обхват/api/caи срок до десет минути. Тя носи случайна стойност, а не идентификатор за проследяване, съществува само за да не може пренасочването при вход да бъде подправено и се изчиства веднага щом входът завърши. - IP адресът ти се използва за кратко за предотвратяване на злоупотреби с крайните точки за вход, така че един скрипт да не може да залее пощенска кутия или да изчерпи квотата за имейли. Lolly го превръща в SHA-256 хеш, преди да стигне до краткотрайното хранилище за контрол на злоупотребите, така че суровият адрес не се изпраща там. Хешът е псевдонимен, а не анонимен: който държи хранилището, би могъл да възстанови IPv4 адрес, като опита всички възможни. Кошницата изтича след около минута и не се използва за нищо друго. Обикновените дневници за достъп на хостинга са отделни и са описани по-долу.
- Услугата издава сертификат, който свързва потвърдения ти имейл адрес с публичния ключ на устройството ти. Частният ключ остава на устройството: клиентът изпраща заявка за сертификат с обвързано доказателство за притежание и никакъв частен ключ на устройство не отива при нито един режим на издаване.
- Подписването остава локално. При наследения издател експортът не изисква заявка към услугата за сертификати. Управляваната самоличност изисква и пресен, подписан списък за отнемане от издателя си; клиентът може да използва кеширан списък в рамките на конфигурирания си прозорец на свежест, а обновяването му може да се свърже с услугата за сертификати по време на експорт. Липсващ, изтекъл или невалиден статус спира използването на управляваната самоличност.
Съхранение и отнемане във всеки режим на издаване
Наследеното хоствано издаване предлага 7, 30, 90 или 365 дни, ограничени от оператора. То не води опис на самоличности и дневник на издаването, така че не може да се установи кой е получил сертификат, нито да се отнемат сертификатите на този човек; срокът е отнемането.
Управляваното издаване за организация използва срок по подразбиране най-много 24 часа и максимум седем дни, със собствен корен и политика за доверие към издателя, а подписването отива към издателя Vault, конфигуриран от оператора му. Приложението му за записване използва споделено хранилище за еднократно допускане, което държи само удостоверителен идентификатор с ключ и хеш на заявката, най-много десет минути, и не пази опис на самоличности или кеш на отговорите със сертификати. PKI доставчикът, неговите одиторски устройства, шлюзове и архиви имат собствени потоци от данни. Дори когато обикновеното хранилище за издаване е изключено, отнемането, основано на сертификати, може да запази сертификата, включително имейл самоличността му, а серийните номера на отнемане и идентификаторите за одит може да останат свързваеми; политиката на твоя оператор решава този опис, кой има достъп до него и колко дълго се пази.
Управлявано устройство може да поиска отнемане на собствения си сертификат с удостоверено доказателство за устройството и никакво API не иска частния ключ на устройството. Операторът може да изтегли издател чрез политиката си за доверие. Lolly не пази съответствие между хора и сертификати, така че отнемането на сертификатите на човек, когато си тръгне, зависи от записи, които операторът пази, а PKI записите, одиторските записи, получателите и архивите следват политиката на оператора. Дизайнът на услугата за сертификати обхваща попечителството над издателя, съхранението при доставчика и квалификацията.
Услуги на организацията с Lolly Work
Lolly Work е незадължителната организационна услуга на проекта Lolly, внедрявана отделно от всяка организация, която управлява инсталация. Свързването с инсталация добавя данни, съхранявани на този сървър, към локалното ти редактиране. Нейният оператор отговаря за политиката за поверителност, контрола на достъпа, получателите, съхранението и архивите на това внедряване.
| Работен процес | Данни, обработвани от услугата на организацията |
|---|---|
| Вход и осигуряване на акаунти | Твърдения от доставчика на самоличност, акаунти и членство в групи, сесии за вход и информация за устройството. OIDC обработва входа; администраторите могат да осигуряват и деактивират акаунти чрез SCIM |
| Споделен каталог и проекти | Качени ресурси, метаданни и версии; споделени проекти и сесии; съдържание, извлечено от конфигурирани доставчици на библиотеки |
| Работни collab | Споделено състояние на сесията, живи редакции и присъствие на участниците, изпращани през инсталацията; запазеното състояние се пази според политиката ѝ за съхранение |
| Управлявани споделени връзки | Цел на връзката и настройки за достъп, като срок и незадължителна защита с парола; заявките се разрешават през инсталацията и могат да бъдат отменени |
| Преглед и доставка | Подадено съдържание, решения за одобрение, избрана дестинация, подготвени файлове и разписки за доставка |
| Сървърни рендери и пакети | Подадени входни данни на инструменти, заявки за рендериране, статус и запазени изходни файлове. Тези задачи се изпълняват на сървъра, а не на устройството ти |
| Отчитане на използването | Разрешени етикети на събития, като идентификатор на инструмент, формат и идентификатор на ресурс, според политиката за телеметрия по-долу |
| Одит | Записи за извършител и действие за управлявани операции, пазени отделно от телеметрията за използване |
Услугата използва бисквитки за удостоверяване, включително lw_session за влезли членове и lw_guest за достъп на гости, където е включен, отделно от бисквитката на услугата за сертификати. Опресняването на политиките и включеното отчитане на използването могат да правят заявки, докато приложението се използва, без отделно щракване за всяка. Това е трафик към конфигурираната инсталация, а не отчет към проекта Lolly за внедряване, които той не управлява.
Телеметрията за използване има три нива. off не съхранява събития за използване, aggregate премахва идентификаторите на потребители, а standard може да приписва събития. Нивото по подразбиране е standard, така че инсталацията съхранява получените събития за използване, освен ако операторът ѝ не избере off. Политиката за приписване по подразбиране е opt-in, която изисква твоето съгласие, преди да се съхрани идентификатор на потребител; операторът може вместо това да конфигурира приписано отчитане с telemetryAttribution: default. Разрешените атрибути са етикети, никога стойности на входни данни на инструменти. Вж. Work telemetry.
Одитът е отделен. Управляваните действия могат да пазят идентифициран одиторски запис независимо от съгласието ти за телеметрия. Изключването на телеметрията не изключва съхранението на споделени сесии, записите за одобрение, съхранението на задачи за рендериране или одита. Операторът контролира съхранението и изтриването, включително всяка псевдонимизация на одиторския дневник; вж. Work storage and data lifecycle.
| Твоето устройство | Инсталацията на твоята организация | |
|---|---|---|
| Какво държи | Личната ти работа, предпочитания и кешове | Споделена работа, акаунти, качвания, одобрения, рендери, одит и конфигурирана телеметрия |
| Кой го изтрива | Ти, с Clear all my data или с данните на сайта в браузъра | Операторът, чрез собствените контроли на инсталацията |
| Към кого да се обърнеш | Към никого: записите са на твоето устройство | Към оператора на инсталацията, за достъп, експорт или изтриване |
Локалното изтриване не е изтриване на сървъра. Напускането на инсталация или изчистването на браузъра премахва локалното състояние, а не съхранените записи или архиви на организацията. Личният Sync и Export my data архивират устройството ти, а не услугата на организацията. Публичната демонстрация lolly.work пази състоянието си само в паметта и не е трайно хранилище за твоята работа.
Разширението за браузър
Разширението за браузър Lolly URL Screenshot не събира лични данни за нас. То няма анализ, няма проследяване и няма собствен сървър. Страницата Browser extension описва как работи.
Какво прави. Уеб приложението на Lolly може да поиска от него снимка на уеб страница или съдържанието на страница, за да започне дизайн система от уебсайт. Всяка заявка отваря прозорец за одобрение в разширението, който показва заявяващия сайт, дали иска снимка, или съдържание на страницата, и адреса на страницата. Само след като натиснеш Approve once, разширението отваря тази страница във временен фонов раздел, прави снимката или чете страницата, предава резултата на раздела на Lolly, който е поискал, и затваря раздела. Всяка заявка се нуждае от собствено одобрение.
Данни.
- Не събираме нищо. Резултатът отива само към страницата на Lolly, която е поискала, в същия браузър. Разширението не съхранява съдържание на страници и не добавя друг получател.
- Мрежови заявки. Одобрената от теб страница се зарежда както във всеки раздел, заедно с всичко, което самата страница заявява. Четенето на съдържанието на страница изтегля също стиловите ѝ листове и няколко нейни изображения на икони и лога, от самата страница, и тези изтегляния не изпращат бисквитки към други сайтове. Разширението не прави други заявки и никоя не отива към сървър на Lolly.
- Сесията ти в браузъра. Страницата се зарежда със сесията ти в браузъра, както би я отворил сам, така че страница, в която си влязъл, може да сложи лична информация в резултата.
- Адресите, които одобряваш, се използват само за зареждане на тази една страница за тази една заявка. Не се записват в дневник и не се споделят.
Разрешения.
debugger: за да направи снимката през DevTools Protocol, същия механизъм, който използва настолното приложение Lolly.tabs: за да отваря и затваря временния раздел и да проверява, че нито страницата на Lolly, нито целевата страница са се преместили, откакто си одобрил.scripting: за да чете съдържанието на страница във временния раздел, след като одобриш тази заявка.storage: за да отбелязва идентификаторите на временните си раздели в хранилището на сесията, така че да се затварят, дори ако браузърът спре разширението по време на заявка. Не се съхранява съдържание на страници.- *Незадължителен достъп до сайтове (
http:///,https:///): не се дава при инсталиране. Когато натиснеш Approve once*, разширението пита Chrome за достъп до единия сайт в тази заявка, а Chrome те пита първия път за всеки сайт. Сайт, който си разрешил преди, все пак изисква ново одобрение за всяка заявка.
Нито едно от тези не се използва за четене, наблюдение или предаване на сърфирането ти извън единствената заявка, която си одобрил.
Хостове за доставка и обработващи данни
Публичните файлове на каталога, инструментите и показваните рендиции идват по подразбиране от собствения адрес на приложението. Именуването по съдържание променя откъде се изтегля файлът, а не кой получава заявката. Тази функция за доставка не активира никакъв CDN от трета страна. CDN, който прекратява TLS, би получавал подробности за заявките, включително IP адреси и всякакви бисквитки или bearer удостоверения, препратени към него, дори под същото име на хост в браузъра, така че оператор, който добави такъв, поема нов обработващ данни.
Преди да добави какъвто и да е CDN или външен хост за модели, администраторът трябва да публикува името на обработващия, името на хоста, юрисдикциите, получаваните метаданни, съхранението и договореностите за трансфер. Delivery deployment изброява какво да се разкрие. Отговорите на частното работно пространство заобикалят споделените кешове: личните резултати, отказите за достъп и грешките използват private, no-store, а разрешен личен отговор може да се преверира в браузъра ти, без да става публичен.
Референтните услуги използват хостинга по-долу. Това е списък с имена на хостове, а не твърдение, че инсталацията на друга организация използва същия регион.
| Име на хост или услуга | Функция и получател | Регион и обработка на данните |
|---|---|---|
| lolly.tools | Публично приложение, каталог, рендериране и услуги за сертификати; хостинг UpCloud | Франкфурт, Германия. Подробности за заявките могат да се появят в дневниците на инфраструктурата; обикновеното локално редактиране остава на устройството |
| lolly.ing | Управлявано работно пространство и услуги за документни агенти; хостинг UpCloud | Франкфурт, Германия. Частната база данни и файловото хранилище са на същия хост. Акаунтите, споделеното съдържание и записите на услугата следват политиката на администратора на инсталацията |
| mcp.lolly.tools | Планиран незадължителен удостоверен MCP шлюз и частни изтегляния на резултати; хостинг UpCloud | Франкфурт, Германия, със същия обработващ хостинга. Активирането предстои. Шлюзът би получавал подробности за заявките и параметрите или файловете, които извикващият изпраща |
| lolli.li | Публични файлове с издания и модели; UpCloud Managed Object Storage, отделно от клъстера на приложението | Франкфурт, Германия, в региона europe-2 за обектно хранилище на UpCloud. Изтеглянето изпраща подробности за заявката, а не входните данни, които моделът по-късно обработва |
| Конфигуриран доставчик на самоличност | Google, GitHub или OIDC доставчик на оператор | Входът следва политиката на този доставчик. Попитай оператора на инсталацията за името на хоста, региона и договореностите за трансфер |
| Конфигуриран доставчик на ресурси | Brandfolder или друга библиотека, избрана от оператора | Доставчикът получава разрешените заявки към библиотеката. Разрешенията на източника му и политиката на инсталацията управляват достъпа; попитай оператора за имената на хостовете и регионите му |
| Записване по имейл, когато е конфигурирано | Resend доставя поисканата връзка за вход | Получава имейл адреса на получателя за това съобщение; прилагат се собствените му условия за обработка |
Референтното приложение не използва друг хостинг, база данни или доставчик за контрол на злоупотребите. Операторът може да избере други доставчици за друга инсталация, а хостингът, самоличността, ресурсите и имейл доставчиците се нуждаят всеки от собствено разкриване. Регионът на обектното хранилище на хоста за модели се проверява отделно от региона на приложението.
Незадължителни връзки за изтегляне на MCP, обвързани с принципал. Операторът може да включи връзки за изтегляне на големи резултати на удостоверен шлюз с една реплика. Те са изключени по подразбиране. Анонимният шлюз на lolly.tools/api/mcp връща резултатите вградено и никога не издава тези връзки. Планираният ограничен хост е mcp.lolly.tools, при същия обработващ UpCloud във Франкфурт; активирането предстои и тази страница не твърди, че има действаща услуга за връзки за изтегляне. Връзките не добавят CDN от трета страна.
Само удостоверен извикващ с обхват за файлове може да получи връзка и за изтеглянето ѝ се изисква bearer-ът на същия извикващ: използвай валидирания bearer от извикването за рендериране, а не друг токен за същия акаунт. Разрешението изтича до 300 секунди. Собствеността и търсенето на резултата остават в паметта на шлюза, а изходните байтове отиват в частни временни файлове, изчиствани след изтичане или премахвани при чисто изключване. Рестартиране на шлюза обезсилва съществуващите връзки. Държаните резултати са ограничени до 64 MiB на bearer, 256 MiB за целия шлюз и 200 чакащи или държани файла. Дневните бюджети за процесорно време и декодирани байтове броят резултатите, когато се държат и когато се изтеглят. Отговорите използват private, no-store и Referrer-Policy: no-referrer. Токенът на връзката сам не позволява на друг човек или агент да прочете резултата.
Логове на инфраструктурата
Този раздел описва публичното внедряване lolly.tools. Неговата хостинг платформа записва обикновени подробности за заявките: IP адрес, заявен път, времеви печат и user agent. Локалните редакции не стигат до този хост. Низът със заявката на връзка за рендериране може да съдържа текста, който нейният извикващ е подал, както е обяснено по-горе. Файловите инструменти на MCP обработват получените байтове в паметта. Инсталация на Lolly Work също държи описаните по-горе записи, при политиката за дневници на нейния оператор.
Публичните услуги свеждат дневниците на приложенията до минимум. MCP сървърът записва стартирането, конфигурацията и предупрежденията за рендериране; не води собствен дневник на заявките и не записва токени или адреси на извикващи. Прехвърлянето към Penpot записва името на всяка команда и статуса на отговора на Penpot, никога заглавия, токени или файла. Услугата за сертификати записва настройките си при стартиране и предупрежденията за конфигурация, плюс два съкратени реда при неуспех: код на статус при неуспешно изпращане без адрес на получател и фиксиран ред за неуспех без текст на грешка, stack trace или URL, защото грешка на доставчик може да носи стойности на самоличност или удостоверения. Всичко останало в дневника идва от хостинг платформата.
За lolly.tools администраторът на инсталацията контролира записването на заявки, ротацията и съхранението при UpCloud. Тази страница не посочва максимален срок на съхранение на дневниците, който не е проверен. Свържи се с администратора по-долу за текущия график и за всяка заявка за дневници, съхранявани на сървъра. За друга инсталация се прилагат настройките на нейния оператор, включително всеки износ на дневници или други обработващи данни.
Правни основания, съхранение и получатели
Тази таблица обхваща референтното внедряване lolly.tools. Тя не посочва правните основания или сроковете за съхранение на инсталацията на Lolly Work на твоята организация; нейният оператор ги дава в собствената си политика.
| Обработка | Правно основание (GDPR Art. 6) | Съхранение |
|---|---|---|
| Всичко на устройството ти (документи, предпочитания, кеш, броячи) | Изобщо не е наша обработка: никога не стига до нас. Хранилището на устройството ти е строго необходимо за услугата, която си поискал (ePrivacy Art. 5(3)), така че не изисква съгласие | Докато го изтриеш |
| Имейл адресът ти при наследеното хоствано записване за Content Credentials | Art. 6(1)(b), изпълнение на услуга, която изрично си поискал | Няма опис на самоличности или дневник на издаването в наследената услуга; имейлът се използва по време на заявката и е включен в сертификата ти. Съхранението при управлявания организационен PKI, одита и отнемането следва политиката на оператора |
| Псевдонимен SHA-256 хеш, направен от IP адреса ти, за ограничаване на честотата на крайните точки за вход и на публичните крайни точки за рендериране, изображения и MCP | Art. 6(1)(f), нашият законен интерес от предотвратяване на злоупотреба с безплатна услуга и с квотата за имейли на трета страна. Считаме, че това издържа теста за баланс, защото суровият адрес не се изпраща към ограничителя, хешът се използва само за контрол на злоупотребите и изтича сам | Около една минута в хранилището за контрол на злоупотребите; после не се пази |
| Дневници за достъп на хостинга (IP, път, времеви печат, user agent) | Art. 6(1)(f), нашият законен интерес от сигурността на услугата, предотвратяването на злоупотреби и диагностицирането на неизправности | Конфигурирани от администратора ротация и съхранение; свържи се с администратора за текущия график |
Получатели. Категориите получатели са нашият хостинг доставчик (UpCloud), който хоства базата данни на приложението и хранилището за контрол на злоупотребите, и, само ако използваш опцията за вход по имейл, доставчик на транзакционни имейли (Resend). Хранилището за контрол на злоупотребите получава само краткотрайни хешове, никога суровия IP адрес. Ако влезеш с GitHub, Google или SUSE (id.suse.com), работиш директно с този доставчик под неговата политика за поверителност, а той ни съобщава потвърден имейл адрес и нищо друго. Не споделяме лични данни с никого другиго и не продаваме данни, не пускаме реклама и не профилираме потребители.
Трансфери извън ЕИП. Хостингът, базата данни и файловото хранилище на референтното приложение са във Франкфурт. Незадължителните доставчици на самоличност, имейл и ресурси имат собствени места и условия за обработка, които могат да включват достъп извън ЕИП, а регионът на един сървър сам по себе си не определя юрисдикцията на всеки получател. Свържи се с администратора за договорите с доставчиците и договореностите за трансфер, които се прилагат; за друга инсталация попитай нейния оператор. Стандартните договорни клаузи на Европейската комисия са една от гаранциите, налични за такива трансфери; тази страница не твърди, че непроверен договор с доставчик ги използва.
Автоматизирано вземане на решения. Няма. Няма профилиране и автоматизирано решение с правни или подобни значителни последици (Art. 22).
Поверителност на децата
Обикновеното локално използване на приложението не изпраща лично съдържание към lolly.tools. Незадължителното му записване за Content Credentials получава имейл адрес и не е насочено към деца, нито е предназначено за тях. Организационните услуги имат собствени акаунти и обработка на данни, при политиката на своя оператор.
Вашите права
За записите, съхранявани само на устройството ти, можеш сам да получаваш достъп, да коригираш, изтриваш и пренасяш данните. Те живеят в хранилището на браузъра или приложението ти, във форма, която можеш да разгледаш, експортираш (Export my data, по-горе) или изтриеш (Clear all my data или данните на сайта в браузъра).
Формално, по членове 15-22 от GDPR имаш право на достъп до личните си данни, на тяхната корекция, на изтриване, на ограничаване на обработката им или възражение срещу нея (включително срещу всичко, което основаваме на законни интереси), на преносимост на данните и, когато обработката се основава на съгласие, да оттеглиш съгласието си по всяко време, без това да засяга законосъобразността на случилото се преди оттеглянето.
Публичната услуга за сертификати не води дневник на издаването. Дневниците на инфраструктурата могат да съдържат подробности за заявките, затова тази политика не обещава, че хостинг средата не държи лични данни. Свържи се с администратора за достъп, изтриване или друга заявка относно тези записи; ще обясним какви записи съществуват и какво може да се направи. За работа, самоличности, телеметрия и одиторски записи, държани от организация, свържи се с оператора на твоя Lolly Work, защото локалните контроли за експорт и изтриване не стигат до тези копия.
Имаш право да подадеш жалба. Ако смяташ, че сме обработили данните ти неправилно, можеш да подадеш жалба до надзорен орган за защита на данните: в ЕС, органа в държавата ти на пребиваване, на работното ти място или там, където смяташ, че е извършено нарушението (Art. 77). Водещият ни надзорен орган е Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) в Ансбах, Германия. Не е нужно първо да се свързваш с нас, макар да бихме искали да имаме възможност да поправим проблема.
Промени в тази политика
Датата най-горе се променя винаги когато се променя този документ. Промяна, която изменя какво напуска устройството ти или какво се пази, получава собствен ред тук, а не тиха редакция. За да видиш какво се е променило, попитай (по-долу) или сравни с публичния код.
29 септември 2026 г.: изяснени са незадължителната услуга lolly.work, съдържанието, държано от организацията, бисквитките за удостоверяване, телеметрията за използване и одиторските записи, както и разделянето между локално изтриване и съхранение на сървъра. Това са съществуващи незадължителни работни процеси, а не ново изискване за качване при локално редактиране.
11 октомври 2026 г.: описанието на оттегления хостинг на Vercel е заменено с описа на имената на хостове на приложението в UpCloud, разграничени са незадължителните доставчици на самоличност и ресурси и са описани доставката по съдържание и режимът на държани MCP изтегляния. С тази промяна не се включва никакъв CDN от трета страна. Съхранението на дневниците се контролира от администратора, а не от посочена настройка по подразбиране на план на Vercel.
22 октомври 2026 г.: поправено е описанието на съществуващото поведение. Разделът за разширението за браузър вече обхваща прозореца за одобрение за всяка заявка, достъпа до сайт, искан за по един сайт, и изтеглянията на стилови листове и икони при четене на уебсайт. Поправени са още: редовете Send to Google Drive и Meeting Planner, бележката за SEAL (никое приложение на Lolly не търси ключове за SEAL в DNS), нивото на телеметрия за използване по подразбиране на организационната услуга, инструментите за изображения на MCP и записването в дневници на приложенията на публичните услуги. Самият софтуер не се е променил.
23 октомври 2026 г.: политиката е реорганизирана според това, какво започва всяка заявка, и е описано съществуващо поведение, което досега не беше обхванато: покани за частни collab с локални мрежови адреси, Nearby в настолното приложение, Allow AI control, четене на дизайн система от уебсайт, набори емоджи, кешът на Meeting Planner на устройството за търсенията на градове, Кошчето и другите записи, които Settings → Storage изброява. Поправени са две твърдения: Bluesky и Discord не са само за настолни, а всеки хост, който човек избира за изпращане, се нуждае от одобрението на оператора както в уеб, така и в настолните приложения; хешът за ограничаване на честотата на IP адрес е псевдонимен, а не анонимен. Самият софтуер не се е променил.
Кой носи отговорност и как да се свържете с нас
Администраторът на данни за lolly.tools е:
SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany
SUSE е определила длъжностно лице по защита на данните, достъпно на privacy@suse.com. Използвай този адрес за всяка официална заявка по "Правата ти" по-горе.
За всичко относно самия Lolly, например как работи, защо нещо е такова, каквото е, или поправка на този документ, свържи се с Andy Fitzsimon, fitzy@suse.com.
За самостоятелно хостната или корпоративна инсталация на Lolly се свържи с този, който я управлява: операторът е администраторът на данните за собственото си внедряване. SUSE и проектът Lolly с отворен код не държат данни за внедряване, които не управляват.