गोपनीयता नीति

अंतिम अद्यतन: 22 अक्टूबर 2026

संक्षेप में। Lolly में आप जो दस्तावेज़, इमेज, वीडियो और फ़ाइलें बनाते हैं वे आपके डिवाइस पर ही रहती हैं। सामान्य उपयोग के लिए कोई अकाउंट नहीं है, ऐप की अपनी कोई कुकीज़ नहीं हैं, और कोडबेस में कहीं भी कोई एनालिटिक्स या ट्रैकर नहीं है - यह "हम डेटा का उपयोग नहीं करते" जैसा दावा नहीं, बल्कि सोर्स में सच में मौजूद ही नहीं है। जहाँ भी सॉफ़्टवेयर किसी नेटवर्क से बात करता है, उन अपवादों की एक छोटी, पूरी सूची मौजूद है, और उनमें से हर एक को नीचे विस्तार से बताया गया है: क्या जाता है, किसे जाता है और कब। एकमात्र अपवाद जिसमें कुछ भी व्यक्तिगत शामिल है वह साइन-इन है जिसे आपको खुद शुरू करना होता है। अगर यह इस दस्तावेज़ में नहीं है, तो वह होता ही नहीं।

यह नीति क्या कवर करती है

Lolly ओपन-सोर्स सॉफ़्टवेयर है - एक इंजन, कई ऐप शेल (वेब, डेस्कटॉप, मोबाइल, CLI) और एक ब्राउज़र एक्सटेंशन - जिसे कोई भी चला सकता है। इस नीति के दो हिस्से हैं:

सॉफ़्टवेयर स्वयं: यह आपके डेटा के साथ क्या करता है और क्या नहीं करता, चाहे यह कहीं भी चले। यह कोड की एक विशेषता है, इसलिए यह हर Lolly डिप्लॉयमेंट के लिए सच है, चाहे हमारा हो या किसी और का।
lolly.tools, वह संदर्भ डिप्लॉयमेंट जिसे SUSE संचालित करता है: इसके वैकल्पिक सर्वर-साइड हिस्सों को चलाने में लिए गए विशिष्ट निर्णय (क्या लॉग किया जाता है, कितनी देर के लिए, किसके द्वारा)।

अगर आप कोई सेल्फ़-होस्टेड या एंटरप्राइज़ Lolly इंस्टेंस उपयोग कर रहे हैं, तो नीचे दिया गया सॉफ़्टवेयर व्यवहार तब भी लागू होता है, लेकिन उस इंस्टेंस का ऑपरेटर - SUSE नहीं - सर्वर-साइड किसी भी चीज़ के लिए ज़िम्मेदार होता है: उनका रेंडर एंडपॉइंट, उनका MCP सर्वर, उनकी Content Credentials सर्टिफ़िकेट अथॉरिटी, अगर वे एक चलाते हैं। अपनी खुद की नीति के लिए उनसे पूछें। Lolly चलाने में क्या शामिल है, इसके लिए देखें अपनाना और गवर्नेंस।

ऐप: आपके डिवाइस पर क्या रहता है

Lolly के वेब, डेस्कटॉप और मोबाइल शेल पूरा रेंडर इंजन क्लाइंट-साइड चलाते हैं। कोई टूल खोलना, इनपुट भरना, पूर्वावलोकन करना और एक्सपोर्ट करना - यह सब आपके डिवाइस पर होता है - कोई सर्वर शामिल नहीं होता, और एक बार लोड होने के बाद ऐप ऑफ़लाइन काम करता है।

ऐप कोई कुकी सेट नहीं करता। काम करने के लिए, यह थोड़ी मात्रा में डेटा केवल आपके डिवाइस पर रखता है, कभी ट्रांसमिट नहीं करता:

इंटरफ़ेस प्राथमिकताएँ - थीम, भाषा, ध्वनि सेटिंग्स, साइडबार/ज़ूम आकार, सॉर्ट और व्यू चयन, आपने कौन-सी ऑनबोर्डिंग टिप्स देखी हैं - localStorage में, ताकि ऐप के बूट होने से पहले ही ये उपलब्ध हों।
टूल कैटलॉग और एसेट पूर्वावलोकनों का एक ऑफ़लाइन कैश, ताकि गैलरी बिना कनेक्शन के काम करे।
स्थानीय उपयोग काउंटर आपके प्रोफ़ाइल कार्ड के आँकड़ों के लिए (कितने एक्सपोर्ट, कौन-से टूल) - localStorage में एक छोटा सीमित ब्लॉब, जिसे हम कभी नहीं पढ़ते, कभी कहीं नहीं भेजते।
आपके अपने दस्तावेज़, सेव किए गए सेशन, अपलोड की गई एसेट्स और फ़ॉन्ट - आपके डिवाइस पर IndexedDB में संग्रहीत, कभी अपलोड नहीं किए जाते, आपके अलावा किसी और के द्वारा कभी नहीं पढ़े जाते।

इनमें से कुछ भी साझा, बेचा या आपकी पहचान करने या आपको ट्रैक करने के लिए इस्तेमाल नहीं किया जाता। सहमति देने के लिए कुछ भी नहीं है, क्योंकि कोई संग्रह हो ही नहीं रहा - केवल यह सूचना है, ताकि आप जानें कि क्या रखा जाता है और कहाँ। अपने ब्राउज़र में साइट का स्टोरेज साफ़ करने से यह सब किसी भी समय हट जाता है, और ऐसा ही सेटिंग्स → स्टोरेज → मेरा सारा डेटा हटाएँ भी करता है, जो पहले Sync भी बंद कर देता है। (ePrivacy Directive के Art. 5(3) के तहत, जिस स्टोरेज की आपके अनुरोधित सेवा के लिए सख़्ती से आवश्यकता होती है, उसके लिए सहमति की नहीं - केवल पारदर्शिता की आवश्यकता होती है, जो यह दस्तावेज़ और ऐप के भीतर की सूचना, दोनों प्रदान करते हैं।)

फ़ोन-चौड़ाई की स्क्रीन पर प्रोफ़ाइल पेज का संग्रहण खंड: ऑन-डिवाइस डेटा की हर श्रेणी नामित है, उसके ठीक बगल में Clear all my data बटन के साथ signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ फ़ोन-चौड़ाई की स्क्रीन पर प्रोफ़ाइल पेज का संग्रहण खंड: ऑन-डिवाइस डेटा की हर श्रेणी नामित है, उसके ठीक बगल में Clear all my data बटन के साथ signed by Lolly2026-10-21vector SVG31 paths~4.2k nodes88 groups58 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ

इस डेटा का आपका अपना बैकअप - lolly-backup बंडल, जो मेरा डेटा एक्सपोर्ट करें से बनता है - एक फ़ाइल है जिसे आप रखते और नियंत्रित करते हैं। यह हमारे सर्वरों को तब तक कभी नहीं छूता जब तक आप स्वयं इसे कहीं भेजने का चयन नहीं करते। देखें डेटा ट्रांसफर।

ऑन-डिवाइस यूटिलिटीज़

कुछ टूल - Strip Hidden Data, Compress PDF और अन्य जो "Runs on your device" बैज ले जाते हैं - आपके द्वारा प्रदान की गई फ़ाइल पर काम करते हैं। फ़ाइल को आपके ब्राउज़र में मेमोरी में पढ़ा जाता है, स्थानीय रूप से रूपांतरित किया जाता है और डाउनलोड के रूप में वापस दिया जाता है। यह कभी अपलोड नहीं की जाती, क्योंकि इसे अपलोड करने के लिए पथ में कोई सर्वर होता ही नहीं। ये यूटिलिटीज़ ऑफ़लाइन काम करती हैं, और इनका आउटपुट हमारा कोई वॉटरमार्क या मेटाडेटा नहीं ले जाता - इनमें से अधिकांश का उद्देश्य डेटा हटाना और सुरक्षित करना है, न कि जोखिम जोड़ना।

signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ signed by Lolly2026-10-21vector SVG2 paths824 nodes5 groups12 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ

Prepare for sharing कामकाजी इनपुट, निजी निष्कर्ष और रिप्लेसमेंट मैप को मेमोरी में रखता है, उन्हें अपने आप History, लिंक, बैकअप या Sync में जोड़े बिना। जाँच और रिप्लेसमेंट किसी सर्वर को फ़ाइल की सामग्री नहीं भेजते और न ऑनलाइन क्रेडेंशियल सत्यापित करते हैं। उपयोगकर्ता चुनते हैं कि किसी परिणाम को कॉपी करना है, डाउनलोड करना है, भेजना है या स्पष्ट रूप से अपनी लाइब्रेरी में सेव करना है; एक सेव किया गया परिणाम फिर सामान्य लाइब्रेरी बैकअप और Sync सेटिंग्स का पालन करता है। रेसिपी फ़ाइलें पुराने पेलोड और शाब्दिक मैपिंग छोड़ देती हैं। सारांश रिपोर्ट में गिनती, स्कोप ID और फ़ाइल हैश होते हैं। CLI मूल मान रखने वाली एक निजी समीक्षा फ़ाइल भी सेव कर सकता है, केवल तभी जब --review-file के साथ स्पष्ट रूप से अनुरोध किया गया हो। किसी ब्राउज़र तैयारी व्यू को साफ़ करना या छोड़ना उसकी कामकाजी स्थिति मुक्त कर देता है; यह ब्राउज़र या OS मेमोरी से फ़ॉरेंसिक मिटाने का वादा नहीं है।

ऐप जो भी नेटवर्क अनुरोध कर सकता है

नीचे दी गई तालिका उन सभी चीज़ों की पूरी सूची है जो ऐप नेटवर्क पर फ़ेच या भेजता है। अगर यह यहाँ नहीं है, तो ऐप ऐसा नहीं करता।

क्या	आपके डिवाइस से वास्तव में क्या बाहर जाता है	कब (वह क्रिया जो इसे ट्रिगर करती है)	यदि कोई ऑपरेटर इसे ब्लॉक करता है
टूल कैटलॉग सिंक	कुछ भी व्यक्तिगत नहीं - Lolly के अपने सार्वजनिक टूल और एसेट इंडेक्स के लिए एक अनुरोध, ऐप के अपने ओरिजिन पर	स्टार्टअप पर, फिर ऑफ़लाइन कैश किया जाता है	ऐप अपने कैश किए गए टूल सेट पर चलता है। यह केवल नए टूल खोजना बंद करता है
लाइव डेटा की ज़रूरत वाला एक टूल	वह विशिष्ट टूल जो भी अनुरोध करता है, अपने ही विवरण में नामित होस्ट को। आज यह केवल Meeting Planner टूल में सिटी लुकअप है, जो `geocoding-api.open-meteo.com` से हर शहर के नाम (होस्ट शहर और हर टीम सदस्य का शहर) को निर्देशांक और टाइम ज़ोन में बदलने के लिए कहता है - कोई खाता नहीं, कोई की नहीं और अनुरोध से परे कोई पहचानकर्ता नहीं। Host city इनपुट यह बताता है, और हर उत्तर आपके डिवाइस पर सेव हो जाता है ताकि एक शहर को केवल एक बार देखा जाए	केवल जब तक वह टूल खुला है, होस्ट शहर के लिए (जो डिफ़ॉल्ट रूप से भरा होता है) और हर टीम सदस्य के शहर के लिए	वह लुकअप विफल हो जाता है, और बाकी कुछ भी प्रभावित नहीं होता
Google Fonts	चुना गया फ़ॉन्ट फैमिली नाम और आपका IP पता, Google के फ़ॉन्ट सर्वरों को (स्टाइलशीट के लिए `fonts.googleapis.com`, फ़ॉन्ट फ़ाइल के लिए `fonts.gstatic.com`)	केवल यदि आप ब्रांड एडिटर में कोई Google Font जोड़ते हैं, और केवल तब जब आप एक डायलॉग में इसके लिए सहमत होते हैं जो ठीक यही कहता है - प्रति फैमिली एक बार का फ़ेच, फिर यह आपके डिवाइस पर रहता है और ऑफ़लाइन उपयोग होता है	Google Fonts पिकर फेल-क्लोज़्ड होता है। इसके बजाय एक फ़ॉन्ट फ़ाइल अपलोड करें
Google Drive पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, किसी भी फ़ॉर्मेट में, Google की Drive API को (`www.googleapis.com`), Google की अपनी विंडो में आपके द्वारा पूरा किए गए Google साइन-इन के बाद। Lolly की पहुँच उन फ़ाइलों तक सीमित है जो इसने बनाई हैं (`drive.file` स्कोप - यह आपके बाकी Drive को कभी नहीं पढ़ सकता)। वेब ऐप में साइन-इन टोकन सत्र के लिए मेमोरी में रखा जाता है, कभी संग्रहीत नहीं किया जाता; बाकी ऐप्स में रिफ़्रेश टोकन इस डिवाइस पर तभी संग्रहीत होता है जब आप "stay connected" पर टिक करते हैं	केवल जब आप किसी फ़ाइल पर "Send to Google Drive" दबाते हैं, और केवल उन बिल्ड पर जहाँ ऑपरेटर ने एक Google क्लाइंट id कॉन्फ़िगर किया है - इसके बिना बटन मौजूद ही नहीं होता	बटन कभी दिखाई नहीं देता। फ़ाइल डाउनलोड करें और इसे स्वयं Drive पर अपलोड करें
Dropbox पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, Dropbox की API को (साइन-इन और मेटाडेटा के लिए `api.dropboxapi.com`, फ़ाइल के लिए `content.dropboxapi.com`), Dropbox की अपनी विंडो में आपके द्वारा पूरा किए गए Dropbox साइन-इन के बाद। Lolly की पहुँच केवल ऐप-फ़ोल्डर तक है (यह हमेशा केवल `Apps/` और वहाँ अपना फ़ोल्डर देख सकता है - आपके बाकी Dropbox को कभी नहीं), जो "Open" लिंक यह दिखाता है वह एक अल्पकालिक निजी लिंक है (कोई सार्वजनिक शेयर नहीं बनाया जाता), और एक रिफ्रेश टोकन तभी संग्रहीत होता है जब आप "stay connected" टिक करते हैं	केवल जब आप किसी फ़ाइल पर "Send to Dropbox" दबाते हैं, और केवल उन बिल्ड पर जहाँ ऑपरेटर ने एक Dropbox क्लाइंट id कॉन्फ़िगर किया है - इसके बिना बटन मौजूद ही नहीं होता	बटन कभी दिखाई नहीं देता। फ़ाइल डाउनलोड करें और इसे स्वयं Dropbox पर अपलोड करें
OneDrive पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, Microsoft की पहचान और Graph सेवाओं को (साइन-इन के लिए `login.microsoftonline.com`, अपलोड के लिए `graph.microsoft.com`; एक बड़ी फ़ाइल `api.onedrive.com`, `.up.1drv.com` या `.sharepoint.com` पर एक Microsoft-स्वामित्व वाले अपलोड पते पर टुकड़ों में अपलोड होती है), Microsoft की अपनी विंडो में आपके द्वारा पूरा किए गए Microsoft साइन-इन के बाद। Lolly की पहुँच `Apps/` के अंतर्गत अपने ही फ़ोल्डर तक सीमित है (यह आपके बाकी OneDrive को कभी नहीं पढ़ सकता) साथ ही खाता लेबल के लिए आपका डिस्प्ले नाम, और एक रिफ्रेश टोकन तभी संग्रहीत होता है जब आप "stay connected" टिक करते हैं	केवल जब आप किसी फ़ाइल पर "Send to OneDrive" दबाते हैं, और केवल उन बिल्ड पर जहाँ ऑपरेटर ने एक Microsoft क्लाइंट id कॉन्फ़िगर किया है - इसके बिना बटन मौजूद ही नहीं होता	बटन कभी दिखाई नहीं देता। फ़ाइल डाउनलोड करें और इसे स्वयं OneDrive पर अपलोड करें
LinkedIn पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, साथ ही पोस्ट के टेक्स्ट के रूप में इसका नाम, LinkedIn को (साइन-इन के लिए `www.linkedin.com`, अपलोड और पोस्ट के लिए `api.linkedin.com`), आपके अपने ब्राउज़र में आपके द्वारा पूरा किए गए LinkedIn साइन-इन के बाद। पोस्ट आपके नाम के तहत एक सार्वजनिक पोस्ट के रूप में आपकी अपनी फ़ीड पर जाती है। Lolly आपकी ओर से पोस्ट कर सकता है और खाता लेबल के लिए आपका नाम पढ़ सकता है, आपके LinkedIn पर और कुछ नहीं, और साइन-इन इस डिवाइस पर केवल तभी रखा जाता है जब आप "stay connected" टिक करते हैं - LinkedIn के टोकन 60 दिनों तक चलते हैं और चुपचाप रिन्यू नहीं किए जा सकते, इसलिए यह अपने आप समाप्त हो जाता है	केवल जब आप किसी फ़ाइल पर "Send to LinkedIn" दबाते हैं, केवल डेस्कटॉप ऐप्स में, और केवल उन बिल्ड पर जहाँ एक LinkedIn ऐप कॉन्फ़िगर किया गया है - इसके बिना बटन मौजूद ही नहीं होता	वेब ऐप में ब्लॉक करने के लिए कुछ नहीं है: यह केवल डेस्कटॉप ऐप्स में मौजूद है, इसलिए वे दोनों होस्ट नीचे वेब ऐप की Content-Security-Policy में जानबूझकर शामिल नहीं हैं। डेस्कटॉप ऐप्स में, कॉन्फ़िगर किए गए LinkedIn ऐप को हटा दें और बटन कभी दिखाई नहीं देगा
Penpot पर भेजें	आपका Penpot पर्सनल एक्सेस टोकन (आप इसे ऐप में पेस्ट करते हैं) और वह `.penpot` आर्काइव जिस डिज़ाइन को भेजना आपने चुना, Penpot की API को (`design.penpot.app`) ऐप के अपने ओरिजिन पर मौजूद एक छोटे पास-थ्रू (`/api/penpot`) के ज़रिए, क्योंकि Penpot की API सीधे किसी ब्राउज़र को जवाब नहीं देती। यह पास-थ्रू आगे भेजता है और भूल जाता है; डेस्कटॉप ऐप्स सीधे Penpot से बात करते हैं	केवल जब आप Design टूल में "Send to Penpot" दबाते हैं और किसी प्रोजेक्ट की पुष्टि करते हैं	पास-थ्रू एक त्रुटि लौटाता है और भेजना फेल-क्लोज़्ड हो जाता है। `.penpot` फ़ाइल एक्सपोर्ट करें और उसे स्वयं Penpot में इंपोर्ट करें
Bluesky पर भेजें	वह एक इमेज जिसे भेजना आपने चुना, पोस्ट टेक्स्ट और alt टेक्स्ट के रूप में इसका नाम, और आपका हैंडल साथ ही एक ऐप पासवर्ड (Bluesky → Settings → App passwords, कभी आपका अकाउंट पासवर्ड नहीं), आपके द्वारा नामित Bluesky सर्वर को (`bsky.social`, जब तक आप सेल्फ़-होस्ट न करें)। ऐप पासवर्ड केवल इसी डिवाइस पर संग्रहीत होता है, कभी बैकअप में नहीं, और Disconnect इसे मिटा देता है	केवल जब आप किसी इमेज पर "Send to Bluesky" दबाते हैं, अपनी प्रोफ़ाइल में अकाउंट कनेक्ट करने के बाद, केवल डेस्कटॉप ऐप्स में	वेब ऐप में ब्लॉक करने के लिए कुछ नहीं: नीचे इसकी नीति किसी Bluesky होस्ट को सूचीबद्ध नहीं करती, इसलिए वहाँ यह पार होना मौजूद ही नहीं है। डेस्कटॉप ऐप्स में, कनेक्शन हटा दें और बटन कभी दिखाई नहीं देगा
Discord पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, एक अटैचमेंट के रूप में, आपके द्वारा पेस्ट किए गए चैनल वेबहुक पते को (`discord.com`)। एक वेबहुक पता किसी को भी, जिसके पास वह हो, उस चैनल पर पोस्ट करने देता है, इसलिए यह केवल इसी डिवाइस पर संग्रहीत होता है, कभी बैकअप में नहीं, और Disconnect इसे मिटा देता है	केवल जब आप किसी फ़ाइल पर "Send to Discord" दबाते हैं, केवल डेस्कटॉप ऐप्स में	वेब ऐप में ब्लॉक करने के लिए कुछ नहीं: नीचे इसकी नीति `discord.com` का नाम नहीं लेती, इसलिए वहाँ यह पार होना मौजूद ही नहीं है। डेस्कटॉप ऐप्स में, वेबहुक हटा दें और बटन कभी दिखाई नहीं देगा
Mastodon पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना और पोस्ट टेक्स्ट के रूप में इसका नाम, आपके द्वारा नामित Mastodon (या संगत) सर्वर को, उस सर्वर की अपनी विंडो में आपके द्वारा पूरे किए गए साइन-इन के बाद। कनेक्ट करने से उस सर्वर पर एक छोटा प्रति-डिवाइस ऐप रजिस्टर होता है; साइन-इन इस डिवाइस पर केवल तभी रखा जाता है जब आप "stay connected" टिक करते हैं	केवल जब आप किसी फ़ाइल पर "Send to Mastodon" दबाते हैं। आप सर्वर चुनते हैं, इसलिए यह नीचे दी गई नीति में नहीं है	जिस सर्वर का आप नाम लेते हैं उसे ब्राउज़र कॉल की अनुमति देनी होगी; अगर वह नहीं देता, तो डेस्कटॉप ऐप्स इस्तेमाल करें। Disconnect बटन हटा देता है
Nextcloud / WebDAV पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, आपके अपने सर्वर को, आपके दर्ज किए गए सर्वर पते, यूज़रनेम और ऐप पासवर्ड के साथ एक प्रमाणित PUT के ज़रिए (Nextcloud → Settings → Security → Devices & sessions; कभी आपका अकाउंट पासवर्ड नहीं)। केवल इसी डिवाइस पर संग्रहीत, कभी बैकअप में नहीं, Disconnect से मिटाया जाता है	केवल जब आप किसी फ़ाइल पर "Send to Nextcloud" दबाते हैं। आप सर्वर चुनते हैं, इसलिए यह नीचे दी गई नीति में नहीं है	आपके सर्वर को ऐप के ओरिजिन से ब्राउज़र कॉल की अनुमति देनी होगी; अगर वह नहीं देता, तो डेस्कटॉप ऐप्स इस्तेमाल करें
S3-संगत स्टोरेज पर भेजें	वह एक फ़ाइल जिसे भेजना आपने चुना, आपके अपने बकेट को (AWS S3, MinIO, R2, B2, Garage - कोई भी SigV4 एंडपॉइंट), आपके दर्ज किए गए की-पेयर से आपके डिवाइस पर हस्ताक्षरित। कीज़ केवल इसी डिवाइस पर संग्रहीत होती हैं, कभी बैकअप में नहीं, Disconnect से मिटाई जाती हैं	केवल जब आप किसी फ़ाइल पर "Send to S3" दबाते हैं। आप एंडपॉइंट चुनते हैं, इसलिए यह नीचे दी गई नीति में नहीं है	आपके बकेट के CORS नियमों को ऐप के ओरिजिन की अनुमति देनी होगी; अगर वे नहीं देते, तो डेस्कटॉप ऐप्स इस्तेमाल करें
अपने डिवाइसों में सिंक	आपने इस डिवाइस पर जो बनाया उसकी एक कॉपी - सहेजे गए सेशन और प्रोजेक्ट्स, फ़ॉन्ट और लोगो सहित आपके डिज़ाइन सिस्टम, अपलोड की गई इमेज, आपकी प्रोफ़ाइल और आपकी प्राथमिकताएँ - एक फ़ाइल के रूप में, उस एक स्टोरेज को जो आपने चुना: आपके Dropbox में Lolly ऐप फ़ोल्डर (`api.dropboxapi.com`, `content.dropboxapi.com`), आपके Google Drive में Lolly द्वारा बनाई गई फ़ाइलें (`www.googleapis.com`), आपके OneDrive में Lolly ऐप फ़ोल्डर (`graph.microsoft.com`, बड़ी फ़ाइलें `api.onedrive.com`, `.up.1drv.com` या `.sharepoint.com` पर अपलोड होती हैं, और डाउनलोड Microsoft के `.files.1drv.com`, `my.microsoftpersonalcontent.com` या `.sharepoint.com` से आते हैं), या आपका अपना Nextcloud / WebDAV सर्वर या S3 बकेट। वही स्टोरेज सात दिनों तक की रोज़ की कॉपी और आपके पिछले अप्लाई से पहले की एक कॉपी भी रखता है। कुछ भी Lolly को नहीं जाता: रास्ते में कोई Lolly सर्वर, रिले या Lolly Work सर्वर नहीं है, और ऐप्स को इसके लिए किसी Lolly वेबसाइट की ज़रूरत नहीं, साइन इन के लिए भी नहीं। कॉपी आपके डिवाइस पर पहले ही एन्क्रिप्ट की जाती है, केवल तभी जब आप कोई पासफ़्रेज़ सेट करते हैं। साइन-इन, कीज़, ऐप पासवर्ड, पासफ़्रेज़ और सिंक सेटिंग्स डिवाइस पर ही रहती हैं और कभी कॉपी में नहीं होतीं। वेब पर, याद रखा गया Google Drive कनेक्शन केवल आपका अकाउंट नाम रखता है (और आपकी अपनी क्लाइंट id, अगर आपने एक दी हो); Google साइन-इन खुद केवल एक विज़िट तक चलता है। Android ऐप में, Google Drive साइन-इन फ़ोन पर Google Play services से होकर जाता है, जिसे Google चलाता है	केवल जब आप "Sync across my devices" चालू करते हैं या "Sync now" दबाते हैं: हर बदलाव के थोड़ी देर बाद और ऐप छोड़ते समय एक अपलोड, और ऐप शुरू होने पर किसी नई कॉपी की जाँच	Sync विफल हो जाता है और बताता है क्यों; आपका काम डिवाइस पर ही रहता है। इसके बजाय अपना डेटा किसी फ़ाइल में एक्सपोर्ट करें और उसे स्वयं ले जाएँ
ICC प्रिंट प्रोफाइल	कुछ भी व्यक्तिगत नहीं - एक मानक प्रिंटिंग-कंडीशन प्रोफ़ाइल के लिए एक अनुरोध, ICC की सार्वजनिक रजिस्ट्री को (`registry.color.org`, `www.color.org`)	केवल यदि आप प्रिंट-प्रोफाइल मैनेजर में कोई ICC प्रीसेट क्लिक करते हैं - प्रति प्रोफाइल एक बार का फ़ेच, फिर यह आपके डिवाइस पर रहता है	ICC प्रीसेट विफल हो जाते हैं। इसके बजाय अपनी खुद की `.icc` प्रोफ़ाइल दें
इंटरनेट रेडियो	कुछ भी व्यक्तिगत नहीं - एक प्लेलिस्ट अनुरोध और एक ऑडियो स्ट्रीम, स्टेशन को (`api.somafm.com` और वह icecast सर्वर जिसका यह नाम लेता है, `*.somafm.com`)	केवल जब आप साउंड प्लेयर में वैकल्पिक बिल्ट-इन रेडियो बजाते हैं	रेडियो विफल हो जाता है। हर दूसरी साउंड सुविधा अभी भी काम करती है
एक URL जिसे कैप्चर करने के लिए आप किसी टूल से कहते हैं	उस बिल्कुल वैसे ही वेब पते के लिए एक अनुरोध जिसे आप टाइप करते हैं, URL स्क्रीनशॉट टूल से। वह पता जो भी हो। यह होस्ट नीचे दी गई नीति में नहीं है, क्योंकि आप इसे उपयोग के समय चुनते हैं	केवल जब आप उस टूल में एक URL दर्ज करते हैं और कैप्चर शुरू करते हैं	एक ऑपरेटर इसे होस्ट के आधार पर allowlist नहीं कर सकता। इसे हटाने के लिए, टूल को हटा दें
किसी URL से इमेज जोड़ना	आपके द्वारा "Add from URL" में पेस्ट किए गए ठीक उसी इमेज पते के लिए एक अनुरोध (एसेट पिकर या Assets में)। वेब ऐप की अपनी नीति ब्राउज़र को सीधे किसी और साइट से फ़ेच करने से रोकती है, इसलिए यह अनुरोध आपके लिए ऐप के अपने ओरिजिन पर मौजूद एक छोटे पास-थ्रू (`/api/fetch-image`) द्वारा किया जाता है, जो इमेज को सर्वर-साइड पर फ़ेच करता है और केवल बाइट्स वापस सौंपता है - यह कुछ भी संग्रहीत नहीं करता और पता भूल जाता है। यह किसी भी ऐसी चीज़ से इनकार करता है जो सार्वजनिक इमेज पता न हो (कोई निजी या आंतरिक पता ब्लॉक कर दिया जाता है)। डेस्कटॉप ऐप्स सीधे पते को फ़ेच करते हैं। आपके द्वारा पेस्ट किया गया कोई Lolly लिंक बिल्कुल भी फ़ेच नहीं किया जाता - यह आपके डिवाइस पर रेंडर होता है। यह होस्ट नीचे दी गई नीति में नहीं है, क्योंकि आप इसे उपयोग के समय चुनते हैं	केवल जब आप "Add from URL" में कोई URL पेस्ट करते हैं और पुष्टि करते हैं	ऑपरेटर पास-थ्रू को बंद कर देता है (`LOLLY_DISABLE_IMAGE_PROXY=1`); फिर वेब ऐप में केवल Lolly लिंक, `data:` इमेज और सेम-ओरिजिन इमेज ही जोड़ी जा सकती हैं। डेस्कटॉप ऐप्स प्रभावित नहीं होते
SEAL सिग्नेचर जाँच	कुछ नहीं। वेब ऐप में कोई DNS रिज़ॉल्वर बिल्कुल भी नहीं है - नीचे देखें	कभी नहीं	ब्लॉक करने के लिए कुछ नहीं
ऑन-डिवाइस AI मॉडल	कुछ भी व्यक्तिगत नहीं - Lolly के मॉडल होस्ट (`lolli.li`) से एक बार का मॉडल-फ़ाइल डाउनलोड, फिर आपके डिवाइस पर कैश किया जाता है; कोई खाता नहीं, कोई पहचानकर्ता नहीं, केवल अनुरोध और आपका IP	केवल जब आप किसी ऐसी सुविधा का उपयोग करते हैं जिसे मॉडल की ज़रूरत होती है (Verify डीप स्कैन, इमेज अपस्केल, स्पीच, और इसी तरह की)	वह सुविधा डाउनलोड की प्रतीक्षा करती है; बाकी सब कुछ अभी भी काम करता है
रिमोट इंस्टेंस	आपके द्वारा नामित इंस्टेंस जो भी वापस देता है, ऊपर वर्णित उसी कैटलॉग सिंक पर - साथ ही इसके अनुरोधों पर एक वर्शन टैग (शेल किस्म और इंजन वर्शन, वही जानकारी जो एक यूज़र एजेंट ले जाता है), ताकि इसका ऑपरेटर देख सके कि फ़ील्ड में कौन से Lolly वर्शन हैं। एक मैनेज्ड इंस्टेंस पर, जब आप साइन इन होते हैं, तो वह टैग प्रति-डिवाइस इंस्टॉल id भी ले जाता है ताकि ऑपरेटर की डिवाइस सूची इस इंस्टॉल को अलग बता सके। यह केवल उन अनुरोधों पर सवार होता है जो आपका अपना उपयोग पहले से ही करता है - कोई टाइमर नहीं है और कुछ भी अपने आप वापस रिपोर्ट नहीं करता - और इंस्टेंस छोड़ने पर id मिटा दी जाती है, ताकि बाद में फिर से जुड़ने वाला डिवाइस एक नई id प्रस्तुत करे। आप उपयोग के समय होस्ट चुनते हैं, इसलिए यह नीचे दी गई नीति में नहीं है	केवल यदि आप शेल को स्पष्ट रूप से किसी अन्य Lolly डिप्लॉयमेंट की ओर इंगित करते हैं	इंस्टेंस स्विचिंग विफल हो जाती है। आपका लोकल इंस्टेंस प्रभावित नहीं होता

उस तालिका में हर तय होस्ट ऐप की Content-Security-Policy में भी पूरी allowlist है, जिसे ब्राउज़र लागू करता है। इसलिए यह सूची केवल यह वर्णन नहीं करती कि कोड आज क्या करता है, यह वह सीमा है जिस तक ब्राउज़र ऐप को बाँधे रखता है: भविष्य में कोई बदलाव जो किसी अन्य होस्ट से संपर्क करने की कोशिश करे, उसे ब्लॉक कर दिया जाएगा, चुपचाप अनुमति नहीं दी जाएगी। एक पंक्ति जानबूझकर अपवाद है, और इसका अपना सेल यही कहता है: Send to LinkedIn केवल डेस्कटॉप ऐप्स में मौजूद है, इसलिए वेब ऐप की नीति इसके किसी भी होस्ट का नाम नहीं लेती - भले ही वेब ऐप का कोड कोशिश करे, यह उन तक नहीं पहुँच सकता। दो और पंक्तियाँ, Bluesky और Discord, उसी तरह केवल डेस्कटॉप में हैं, और उनके होस्ट भी उसी वजह से वेब नीति से बाहर रखे गए हैं। पाँच पंक्तियों का कोई तय होस्ट नहीं है, क्योंकि आप उपयोग के समय पता चुनते हैं: एक URL जिसे कैप्चर करने के लिए आप किसी टूल से कहते हैं, एक रिमोट इंस्टेंस जिसकी ओर आप शेल को इंगित करते हैं, और आपका अपना Mastodon सर्वर, WebDAV सर्वर या S3 बकेट (आख़िरी दोनों एक सिंक होम के रूप में भी)। इनमें से कोई भी नीति में नहीं है, और हर एक तभी होता है जब आप कोई पता टाइप करके उस पर कार्रवाई करते हैं। Penpot पंक्ति ऐप के अपने ओरिजिन के ज़रिए Penpot तक पहुँचती है, इसलिए यह 'self' से कवर होती है। जो डिप्लॉयमेंट इनमें से किसी वैकल्पिक चीज़ को नहीं चाहता (मान लीजिए, अपने खुद के फ़ॉन्ट वाला एक एंटरप्राइज़ इंस्टेंस) वह उन होस्ट को अपनी नीति से हटा देता है और सुविधाएँ बाहर पहुँचने के बजाय फेल-क्लोज़्ड हो जाती हैं।

दो तरह की पंक्तियों को छोड़कर, इनमें से कोई भी आपके दस्तावेज़, प्रोजेक्ट, सेशन या अपलोड की गई फ़ाइलें कहीं नहीं भेजता: ये चीज़ों को आपके डिवाइस पर लाने के लिए मौजूद हैं (टूल, फ़ॉन्ट, मॉडल)। वे दो तरह की पंक्तियाँ हैं Send पंक्तियाँ, जो वह एक फ़ाइल भेजती हैं जिसे आपने चुना, और सिंक पंक्ति, जो आपके काम की एक कॉपी उस स्टोरेज को भेजती है जो आपने चुना और किसी Lolly सर्वर को नहीं। कोई भी अन्य अपवाद नीचे दिए गए खंडों में स्पष्ट रूप से नामित है।

हमने जो हटाया, उस पर एक टिप्पणी। Verify SEAL हस्ताक्षरों की जाँच कर सकता है, एक ऐसी योजना जहाँ किसी फ़ाइल की हस्ताक्षर कुंजी DNS में प्रकाशित होती है। ब्राउज़र DNS क्वेरी नहीं बना सकते, इसलिए किसी भी वेब कार्यान्वयन को लुकअप को किसी थर्ड-पार्टी DNS-over-HTTPS रिज़ॉल्वर के ज़रिए रूट करना पड़ता है - जो उस ऑपरेटर को जाँची जा रही डोमेन के साथ आपका IP पता भी दिखाएगा। हम पहले Cloudflare का उपयोग करते थे। अब हम नहीं करते, और कोई प्रतिस्थापन नहीं है: Verify अब बिल्कुल कोई रिज़ॉल्वर पास नहीं करता, इसलिए SEAL सत्यापन शून्य नेटवर्क अनुरोध करता है। आज कोई भी Lolly ऐप DNS में SEAL कुंजियाँ नहीं खोजता: डेस्कटॉप और मोबाइल ऐप वही Verify व्यू चलाते हैं, और कमांड-लाइन lolly validate SEAL की जाँच नहीं करता। जिस फ़ाइल के SEAL रिकॉर्ड में उसकी कुंजी इनलाइन होती है, उसकी जाँच ऑफ़लाइन होती है, और Verify हस्ताक्षर को आंतरिक रूप से सुसंगत बताता है, डोमेन की पुष्टि किए बिना। जिस फ़ाइल की कुंजी केवल DNS में रहती है, उस पर SEAL सिग्नेचर सत्यापित नहीं हुआ दिखता है, कारण "no key resolver and no inline key" के साथ।

Verify स्क्रीन: एक ड्रॉप टारगेट और बस - फ़ाइल की जाँच वहीं की जाती है जहाँ वह पहले से है, न कोई अपलोड, न कोई अकाउंट signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ Verify स्क्रीन: एक ड्रॉप टारगेट और बस - फ़ाइल की जाँच वहीं की जाती है जहाँ वह पहले से है, न कोई अपलोड, न कोई अकाउंट signed by Lolly2026-10-21vector SVG11 paths~4.3k nodes18 groups52 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ आप इसकी खुद पुष्टि कर सकते हैं: इस पेज पर हर दावे के लिए grep किए जा सकने वाले चेक, सटीक कमांड और अपेक्षित आउटपुट के साथ, यहाँ हैं Verify It Yourself।

हॉट-लिंक्ड रेंडर URL

lolly.tools पर लाइव है। हर https://lolly.tools/tool/<tool-id>.<ext>?<inputs> URL असल में रेंडर होता है, और इनपुट उसी URL में साथ चलते हैं। नीचे दिया गया खंड बताता है कि इसका आपके लिए क्या मतलब है, और कोई भी ऑपरेटर अपने खुद के इंस्टेंस पर इस फ़ीचर को बंद कर सकता है।

ऐप स्वयं पूरी तरह से आपके डिवाइस पर रहता है। इससे अलग, कोई ऑपरेटर हॉट-लिंक रेंडर URL सक्षम कर सकता है - /tool/<tool-id>.<ext>?<inputs> - ताकि साझा किया गया कोई Lolly लिंक किसी README, विकी या डैशबोर्ड में एक लाइव छवि के रूप में दिखाई दे सके। इसे फ़ेच करना सर्वर से सार्वजनिक टूल और कैटलॉग डेटा को उन इनपुट के साथ रेंडर करने के लिए कहता है जो URL में लिखे गए हैं।

कोई अकाउंट नहीं, कोई कुकीज़ नहीं, कोई स्टेट नहीं। एंडपॉइंट गुमनाम है, और आपके डिवाइस पर कुछ भी पढ़ा नहीं जाता। आपके दस्तावेज़, सेशन और अपलोड कभी आपके ब्राउज़र से बाहर नहीं जाते - वे इन लिंक में बिल्कुल भी नहीं दिख सकते।
लेकिन URL खुद रिकॉर्ड होता है। URL की क्वेरी स्ट्रिंग रिक्वेस्ट लाइन का हिस्सा है, इसलिए यह होस्टिंग प्लेटफ़ॉर्म के सामान्य एक्सेस लॉग में उसी तरह दिखती है जैसे हर रिक्वेस्ट किया गया पाथ दिखता है। अगर किसी लिंक के इनपुट में किसी का नाम या ईमेल हो - एक नेम बैज, एक ईमेल सिग्नेचर - तो वह टेक्स्ट उन लॉग में रहता है, और पॉलिसी के शब्दों से यह नहीं बदलता। इसलिए हॉट-लिंक URL व्यक्तिगत जानकारी के लिए गलत जगह है: उसमें सिर्फ़ वही डालें जो आप किसी सार्वजनिक पेज पर डालेंगे।
इनपुट वैसे भी बनावट से ही सार्वजनिक हैं - वे जो भी हैं, लिंक के लेखक ने उन्हें URL में टाइप किया था, जिसे लिंक तक पहुँचने वाला कोई भी पढ़ सकता है। किसी शेयर किए गए लिंक में राज़ न डालें। संवेदनशील कंटेंट के लिए Lolly लिंक एन्क्रिप्शन देता है।
जवाब किसी भी सार्वजनिक इमेज की तरह कैश और रेट-लिमिटेड होते हैं, और noindex से चिह्नित होते हैं ताकि सर्च इंजन आपके रेंडर को इंडेक्स न करें।

Lolly को सेल्फ़-होस्ट कर रहे हैं और कोई सार्वजनिक रेंडर सतह नहीं चाहते? LOLLY_DISABLE_RENDER_GET=1 सेट करें और इनमें से हर URL 404 लौटाएगा।

MCP सर्वर (वैकल्पिक, AI एजेंट्स के लिए)

Lolly तक किसी AI एजेंट द्वारा Model Context Protocol के ज़रिए भी पहुँचा जा सकता है - एक ऑपरेटर-संचालित एंडपॉइंट (lolly.tools एक चलाता है; कोई भी अपना खुद का सेल्फ़-होस्ट कर सकता है, पूरी तरह एयर-गैप्ड सहित)। यह रेंडर पथ की नो-अकाउंट्स स्थिति साझा करता है, साथ ही चार टूल जो अनिवार्य रूप से फ़ाइल बाइट्स संभालते हैं:

lolly_transform (कॉल करने वाले एजेंट की ओर से सर्वर-साइड पर एक ऑन-डिवाइस यूटिलिटी चलाना), lolly_verify (Content Credentials जाँचना) और lolly_redact (किसी छवि या PDF के क्षेत्रों को काला करना) - ये सभी कॉलर से किसी फ़ाइल के बाइट्स स्वीकार करते हैं। इन्हें इन-प्रोसेस, मेमोरी में संसाधित किया जाता है, और परिणाम उसी कॉल में लौटाया जाता है - फ़ाइल कभी डिस्क पर नहीं लिखी जाती और अनुरोध पूरा होने के बाद कभी संग्रहीत नहीं की जाती।
lolly_rebrand (किसी पुराने स्लाइड डेक को एक डिज़ाइन सिस्टम पर रीनोवेट करना, इसके plan, compile और inspect चरणों में) उसी तरह किसी डेक के बाइट्स स्वीकार करता है, और उन्हें केवल उस कॉल के लिए, मेमोरी में संसाधित करता है - जवाब भेजे जाने के बाद कुछ भी डिस्क पर नहीं लिखा जाता या रखा नहीं जाता। इसका पहला चरण, capabilities, आपके बाइट्स भेजने से पहले शब्दों में बताता है कि वे कहाँ जाएँगे: किसी सेल्फ़-होस्टेड लोकल सर्वर पर डेक कभी उस मशीन को नहीं छोड़ता; किसी होस्टेड सर्वर पर, lolly_rebrand को कॉल करने से डेक वहाँ भेजा जाता है, उसी चरण द्वारा दी गई साइज़ और स्लाइड सीमा तक।
इमेज टूल (lolly_look, lolly_sample_color और lolly_trace_edges) कॉल करने वाले से एक इमेज फ़ाइल भी ले सकते हैं, जिसे उसी तरह संसाधित किया जाता है: मेमोरी में, केवल उस कॉल के लिए। बाकी हर टूल कॉल के पैरामीटर से काम करता है: टेक्स्ट, संख्याएँ, रंग, URL, कैटलॉग एसेट id, या कॉल करने वाले का दिया दस्तावेज़।
पहुँच या तो एक साझा टोकन है जो ऑपरेटर उन क्लाइंट्स को जारी करता है जिन पर वह भरोसा करता है, या स्टेटलेस OAuth 2.1: अल्पकालिक हस्ताक्षरित टोकन जिन्हें एक साझा गुप्त के विरुद्ध सत्यापित किया जाता है, सर्वर-साइड कुछ भी संग्रहीत नहीं होता और टोकन स्वयं कभी किसी लॉग या रेंडर URL में नहीं लिखा जाता।

Content Credentials पहचान (एक साइन-इन जिसे आपको खुद शुरू करना होता है)

Lolly आपके एक्सपोर्ट में एक क्रिप्टोग्राफ़िक Content Credential सील कर सकता है ताकि कोई भी, ऑफ़लाइन, यह सत्यापित कर सके कि कोई फ़ाइल Lolly छोड़ने के बाद से अपरिवर्तित है। इतना डिफ़ॉल्ट रूप से चालू और पूरी तरह स्थानीय है - हस्ताक्षर कुंजी आपके डिवाइस पर उत्पन्न होती है और हस्ताक्षर करना स्वयं ऑफ़लाइन होता है। एनरोलमेंट के बिना वह कुंजी एकबारगी होती है: हर एक्सपोर्ट के लिए एक नई कीपेयर बनाई जाती है और उसके साथ छोड़ दी जाती है। एक बार जब आप एनरोल कर लेते हैं, तो कुंजी स्थायी बन जाती है और non-extractable उत्पन्न होती है - Lolly का अपना कोड भी इसे पढ़ नहीं सकता, केवल इसे हस्ताक्षर करने के लिए कह सकता है। दोनों ही स्थितियों में यह आपके डिवाइस से कभी बाहर नहीं जाती। यह खंड उस पर एकमात्र वैकल्पिक कदम को कवर करता है: एक सत्यापित पहचान को एनरोल करना, ताकि आपके एक्सपोर्ट अनाम कुंजी के बजाय "Verified - signed by \<your email\>" कहें। अगर आप एनरोलमेंट छोड़ देते हैं, तो इस खंड में कुछ भी आप पर लागू नहीं होता, और कोई व्यक्तिगत डेटा आपके डिवाइस से कभी बाहर नहीं जाता।

प्रोफ़ाइल पेज पर Verified identity कार्ड, फ़ोन-चौड़ाई: सर्टिफ़िकेट लाइफ़टाइम पिकर और उसके नीचे एनरोलमेंट स्टेप, जब तक आप इसे खुद शुरू न करें तब तक निष्क्रिय signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups24 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ प्रोफ़ाइल पेज पर Verified identity कार्ड, फ़ोन-चौड़ाई: सर्टिफ़िकेट लाइफ़टाइम पिकर और उसके नीचे एनरोलमेंट स्टेप, जब तक आप इसे खुद शुरू न करें तब तक निष्क्रिय signed by Lolly2026-10-21vector SVG7 paths~2.0k nodes11 groups25 KBखुद जाँचें साइन की हुई फ़ाइल पाएँ

अगर आप एनरोल करते हैं, तो ठीक यही होता है:

आप एक साइन-इन तरीका चुनते हैं - GitHub, Google, SUSE (id.suse.com) या एक ईमेल किया गया लिंक। तीन OIDC प्रदाताओं के लिए, आपको उस प्रदाता के अपने लॉगिन पेज पर रीडायरेक्ट किया जाता है, जो उनकी अपनी गोपनीयता नीति द्वारा शासित होता है, हमारी नहीं। Lolly की सर्टिफ़िकेट सेवा को वापस केवल एक सत्यापित ईमेल पता और प्रदाता का नाम मिलता है। ईमेल लिंक के लिए, आपके द्वारा टाइप किया गया पता Resend को भेजा जाता है, एक ट्रांज़ैक्शनल ईमेल API, केवल उस एक लिंक को डिलीवर करने के लिए।
एक अल्पकालिक कुकी रीडायरेक्ट की सुरक्षा करती है। यह पूरे Lolly सिस्टम में सेट होने वाली एकमात्र कुकी है: lolly_ca_state, HttpOnly, /api/ca तक सीमित, दस मिनट के भीतर समाप्त होती है। यह एक यादृच्छिक मान ले जाती है, ट्रैकिंग पहचानकर्ता नहीं, और केवल OAuth रीडायरेक्ट को जाली बनाए जाने से रोकने के लिए मौजूद है। साइन-इन पूरा होते ही यह साफ़ हो जाती है।
आपके IP पते का उपयोग, संक्षेप में, साइन-इन एंडपॉइंट के दुरुपयोग को रोकने के लिए किया जाता है (ताकि कोई एक स्क्रिप्ट किसी इनबॉक्स को स्पैम न कर सके या ईमेल कोटा खत्म न कर सके)। Lolly इसे एक अल्पकालिक abuse-control बकेट बनाने से पहले हैश कर देता है; असली पता उस स्टोर को नहीं भेजा जाता। बकेट लगभग एक मिनट बाद समाप्त हो जाता है और ट्रैकिंग के लिए इस्तेमाल नहीं होता। सामान्य होस्टिंग एक्सेस लॉग अलग हैं और नीचे बताए गए हैं।
सर्टिफ़िकेट सेवा एक अल्पकालिक सर्टिफ़िकेट जारी करती है (7, 30, 90 या 365 दिन, आपकी पसंद, ऑपरेटर की नीति द्वारा सीमित) जो आपके सत्यापित ईमेल को आपके डिवाइस पर उत्पन्न कीपेयर के सार्वजनिक आधे हिस्से से बांधता है। निजी आधा हिस्सा आपके ब्राउज़र से कभी बाहर नहीं जाता।
जारी करने के बारे में कुछ भी रिकॉर्ड नहीं किया जाता। सर्टिफ़िकेट सेवा कोई जारी करने का लॉग नहीं रखती: न आपका ईमेल, न प्रदाता, न कोई सीरियल नंबर, न कोई टाइमस्टैंप। कोई डेटाबेस नहीं, कोई लॉग लाइन नहीं, कोई वेबहुक नहीं। आपका ईमेल पता अनुरोध में तभी तक मौजूद रहता है जब तक इसे उस सर्टिफ़िकेट में नहीं लिखा जाता जो आपका अपना डिवाइस प्राप्त करता है, और उसके बाद यह हमारी ओर से पूरी तरह गायब हो जाता है।
इसके बाद, हस्ताक्षर करना सर्टिफ़िकेट के पूरे जीवनकाल के लिए फिर से ऑफ़लाइन होता है। किसी फ़ाइल को एक्सपोर्ट करना कभी सर्टिफ़िकेट सेवा से संपर्क नहीं करता - केवल एनरोल करना करता था।

समझौता, स्पष्ट रूप से बताया गया। इस सेवा के एक पहले संस्करण ने हर जारी करने को लॉग किया था, ताकि किसी गलत तरीके से जारी या समझौता किए गए सर्टिफ़िकेट का पता लगाया जा सके। हमने इसे हटा दिया, क्योंकि वह लॉग पूरे Lolly में एकमात्र जगह थी जहाँ व्यक्तिगत डेटा किसी सर्वर पर टिकता था, और हम इसे सावधानी से रखने के बजाय इसे बिल्कुल न रखना पसंद करते हैं। हम जो छोड़ते हैं वह है सर्वर-साइड ट्रेसेबिलिटी: अगर किसी सर्टिफ़िकेट का दुरुपयोग होता है तो हम यह नहीं देख सकते कि इसे किसने प्राप्त किया। सर्टिफ़िकेट डिज़ाइन से ही अल्पकालिक होते हैं - 7 से 365 दिन, आपकी पसंद, ऑपरेटर द्वारा सीमित - और अपने आप समाप्त हो जाते हैं, जो हमारे भरोसे का शमन उपाय है। सेल्फ़-होस्टर्स जिनके अपने दायित्वों के लिए एक ऑडिट लॉग की आवश्यकता होती है, वे एक जोड़ सकते हैं, और ऐसा करके उस डेटा के नियंत्रक बन सकते हैं।

ब्राउज़र एक्सटेंशन

Lolly URL Screenshot ब्राउज़र एक्सटेंशन हमारे लिए कोई व्यक्तिगत डेटा एकत्र नहीं करता। इसमें कोई एनालिटिक्स नहीं, कोई ट्रैकिंग नहीं और इसका अपना कोई सर्वर नहीं है। ब्राउज़र एक्सटेंशन पेज बताता है कि यह कैसे काम करता है।

यह क्या करता है। Lolly वेब ऐप इससे किसी वेब पेज का स्क्रीनशॉट माँग सकता है, या किसी वेबसाइट से डिज़ाइन सिस्टम शुरू करने के लिए पेज की सामग्री। हर अनुरोध एक्सटेंशन में एक मंज़ूरी विंडो खोलता है, जो अनुरोध करने वाली साइट, यह कि उसे स्क्रीनशॉट चाहिए या पेज की सामग्री, और पेज का पता दिखाती है। आपके Approve once दबाने के बाद ही एक्सटेंशन उस पेज को एक अस्थायी बैकग्राउंड टैब में खोलता है, स्क्रीनशॉट लेता है या पेज पढ़ता है, नतीजा उस Lolly टैब को सौंपता है जिसने माँगा था और टैब बंद कर देता है। हर अनुरोध को अपनी अलग मंज़ूरी चाहिए।

डेटा।

हम कुछ भी एकत्र नहीं करते। नतीजा केवल उसी Lolly पेज को जाता है जिसने माँगा था, उसी ब्राउज़र में। एक्सटेंशन पेज की कोई सामग्री संग्रहीत नहीं करता और कोई अन्य प्राप्तकर्ता नहीं जोड़ता।
नेटवर्क अनुरोध। आपका मंज़ूर किया पेज वैसे ही लोड होता है जैसे किसी भी टैब में होता, साथ में वह सब जो वह पेज खुद माँगता है। किसी पेज की सामग्री पढ़ने पर उस पेज की स्टाइलशीट और उसके कुछ आइकन व लोगो इमेज भी पेज के भीतर से फ़ेच किए जाते हैं, और वे फ़ेच दूसरी साइटों को कोई कुकी नहीं भेजते। एक्सटेंशन कोई और अनुरोध नहीं करता, और कोई भी Lolly सर्वर को नहीं जाता।
आपका ब्राउज़र सेशन। पेज आपके ब्राउज़र सेशन के साथ लोड होता है, वैसे ही जैसे आप उसे खुद खोलते, इसलिए जिस पेज में आप साइन इन हैं वह नतीजे में निजी जानकारी डाल सकता है।
आपके द्वारा मंज़ूर किए गए पते केवल उस एक अनुरोध के लिए उस एक पेज को लोड करने के लिए उपयोग किए जाते हैं। इन्हें लॉग या साझा नहीं किया जाता।

अनुमतियाँ।

debugger - DevTools Protocol के ज़रिए स्क्रीनशॉट लेने के लिए (वही तंत्र जो Lolly डेस्कटॉप ऐप उपयोग करता है)।
tabs - अस्थायी टैब खोलने और बंद करने के लिए, और यह जाँचने के लिए कि आपकी मंज़ूरी के बाद न Lolly पेज हिला है न लक्ष्य पेज।
scripting - आपके उस अनुरोध को मंज़ूर करने के बाद, अस्थायी टैब में किसी पेज की सामग्री पढ़ने के लिए।
storage - अपने अस्थायी टैबों की id सेशन स्टोरेज में नोट करने के लिए, ताकि अनुरोध के दौरान ब्राउज़र एक्सटेंशन को रोक दे तब भी वे बंद हो जाएँ। पेज की कोई सामग्री संग्रहीत नहीं होती।
*वैकल्पिक साइट एक्सेस (http:///, https:///) - इंस्टॉल के समय नहीं दिया जाता। जब आप Approve once* दबाते हैं, तो एक्सटेंशन Chrome से उस अनुरोध की एक साइट का एक्सेस माँगता है, और Chrome हर साइट के लिए पहली बार आपसे पूछता है। जिस साइट को आपने पहले अनुमति दी थी, उसके लिए भी हर अनुरोध पर नई मंज़ूरी चाहिए।

इनमें से किसी का भी उपयोग उस एक अनुरोध से परे, जिसे आपने मंज़ूर किया, आपकी ब्राउज़िंग पढ़ने, निगरानी करने या ट्रांसमिट करने के लिए नहीं किया जाता।

इंफ़्रास्ट्रक्चर लॉग

किसी भी वेबसाइट की तरह, lolly.tools के पीछे के सर्वर - और किसी भी Lolly डिप्लॉयमेंट के पीछे के - जब भी कोई अनुरोध उन तक पहुँचता है तो मानक वेब-सर्वर एक्सेस लॉग उत्पन्न करते हैं: IP पता, अनुरोधित पथ, टाइमस्टैंप, यूज़र एजेंट। यह बेसलाइन होस्टिंग व्यवहार है, कुछ ऐसा नहीं जो Lolly ऊपर से जोड़ता है, और इसमें कभी आपके दस्तावेज़ों की सामग्री नहीं होती, क्योंकि वे शुरुआत में कभी किसी सर्वर तक पहुँचते ही नहीं। एकमात्र जानबूझकर किया गया अपवाद वह फ़ाइल है जिसे आप स्पष्ट रूप से किसी MCP lolly_transform, lolly_verify, lolly_redact या lolly_rebrand कॉल को सौंपते हैं, जिसे मेमोरी में संसाधित किया जाता है और ऊपर बताए अनुसार कभी डिस्क या लॉग में नहीं लिखा जाता।

सार्वजनिक सेवाएँ एप्लिकेशन लॉगिंग को न्यूनतम रखती हैं। MCP सर्वर स्टार्टअप, कॉन्फ़िगरेशन और रेंडरिंग चेतावनियाँ लॉग करता है; यह अपना कोई रिक्वेस्ट लॉग नहीं रखता और टोकन या कॉल करने वालों के पते लॉग नहीं करता। Penpot पास-थ्रू हर कमांड का नाम और Penpot का रिस्पॉन्स स्टेटस लॉग करता है, कभी हेडर, टोकन या फ़ाइल नहीं। सर्टिफ़िकेट सेवा अपनी स्टार्टअप सेटिंग और कॉन्फ़िगरेशन चेतावनियाँ लॉग करती है, साथ में विफलता पर दो छाँटी गई लाइनें: बिना प्राप्तकर्ता पते के एक भेजने-विफलता स्टेटस कोड, और बिना त्रुटि टेक्स्ट, स्टैक ट्रेस या URL के एक तयशुदा विफलता लाइन (प्रदाता की त्रुटि में पहचान मान या क्रेडेंशियल हो सकते हैं)। लॉग में बाकी सब कुछ होस्टिंग प्लेटफ़ॉर्म का है, हमारा नहीं।

lolly.tools के लिए, होस्टिंग Vercel है और एक्सेस-लॉग रिटेंशन हमारे प्लान के लिए Vercel की अपनी प्लेटफ़ॉर्म डिफ़ॉल्ट्स का पालन करता है। हम कोई लॉग ड्रेन कॉन्फ़िगर नहीं करते, कोई लंबी-अवधि का लॉग एक्सपोर्ट नहीं और उसके ऊपर कोई एनालिटिक्स या मॉनिटरिंग उत्पाद नहीं। हम खुद इन लॉग की कोई प्रति नहीं रखते, जिसका मतलब यह भी है कि हमारे पास आपके लिए इन्हें खोजने का कोई तरीका नहीं है - देखें आपके अधिकार।

कानूनी आधार, प्रतिधारण और प्राप्तकर्ता

यहां लगभग किसी भी चीज़ को कानूनी आधार की आवश्यकता नहीं है, क्योंकि लगभग कुछ भी प्रोसेस नहीं किया जाता। पूर्णता के लिए, पूरी सूची:

प्रोसेसिंग	कानूनी आधार (GDPR अनुच्छेद 6)	रिटेन किया गया समय
आपकी डिवाइस पर मौजूद सब कुछ (दस्तावेज़, प्राथमिकताएं, कैश, काउंटर)	यह बिल्कुल भी हमारी प्रोसेसिंग नहीं है - यह हम तक कभी नहीं पहुंचता। आपकी डिवाइस पर स्टोरेज आपके द्वारा अनुरोधित सेवा के लिए सख़्ती से आवश्यक है (ePrivacy अनुच्छेद 5(3)), इसलिए इसके लिए सहमति की आवश्यकता नहीं है	जब तक आप इसे हटा न दें
Content Credentials नामांकन के दौरान आपका ईमेल पता	अनुच्छेद 6(1)(b), आपके द्वारा स्पष्ट रूप से अनुरोधित सेवा का निष्पादन	रिटेन नहीं किया जाता। केवल अनुरोध की अवधि के लिए मेमोरी में मौजूद
साइन-इन एंडपॉइंट्स पर आपके IP पते से बनाई गई एक वन-वे-डिराइव्ड बकेट key, रेट लिमिटिंग के लिए	अनुच्छेद 6(1)(f), एक मुफ़्त सेवा और किसी तीसरे पक्ष के ईमेल कोटा के दुरुपयोग को रोकने में हमारी वैध रुचि। हम मानते हैं कि यह एक बैलेंसिंग टेस्ट पास करता है क्योंकि असली पता लिमिटर को नहीं भेजा जाता, बकेट केवल दुरुपयोग नियंत्रण के लिए इस्तेमाल होती है और यह अपने आप समाप्त हो जाती है	abuse-control स्टोर में लगभग 1 मिनट; उसके बाद रिटेन नहीं की जाती
होस्टिंग एक्सेस लॉग (IP, पथ, टाइमस्टैंप, यूज़र एजेंट)	अनुच्छेद 6(1)(f), सेवा सुरक्षा, दुरुपयोग रोकथाम और गड़बड़ियों के निदान में हमारी वैध रुचि	हमारी योजना के लिए Vercel का प्लेटफ़ॉर्म डिफ़ॉल्ट। हम कोई अतिरिक्त निकासी या एक्सपोर्ट नहीं जोड़ते

प्राप्तकर्ता। प्राप्तकर्ताओं की श्रेणियां हैं: हमारा होस्टिंग प्रदाता (Vercel Inc.); हमारा abuse-control स्टोर प्रदाता, जिसे केवल अल्पकालिक, वन-वे-डिराइव्ड बकेट कीज़ मिलती हैं और असली IP पता कभी नहीं; और - केवल यदि आप ईमेल साइन-इन विकल्प का उपयोग करते हैं - एक ट्रांज़ैक्शनल ईमेल प्रदाता (Resend)। यदि आप GitHub, Google या SUSE (id.suse.com) से साइन इन करते हैं, तो आप उस प्रदाता के साथ सीधे उनकी अपनी गोपनीयता नीति के तहत इंटरैक्ट करते हैं। वे हमें एक सत्यापित ईमेल पता बताते हैं, और कुछ नहीं। हम व्यक्तिगत डेटा किसी और के साथ साझा नहीं करते, और हम डेटा नहीं बेचते, विज्ञापन नहीं चलाते या उपयोगकर्ताओं की प्रोफाइलिंग नहीं करते।

EEA के बाहर स्थानांतरण। Vercel और Resend अमेरिकी कंपनियां हैं। lolly.tools के लिए फ़ंक्शन कंप्यूट Vercel के फ्रैंकफर्ट (fra1) क्षेत्र में पिन किया गया है ताकि प्रोसेसिंग EU में हो, लेकिन अमेरिका-मुख्यालय वाले प्रदाताओं के रूप में वे प्रोसेसर के तौर पर अभी भी अमेरिका से डेटा एक्सेस कर सकते हैं। ये स्थानांतरण यूरोपीय आयोग के स्टैंडर्ड कॉन्ट्रैक्चुअल क्लॉज़ और/या EU-US डेटा प्राइवेसी फ्रेमवर्क पर निर्भर करते हैं, जैसा कि प्रत्येक प्रदाता के डेटा प्रोसेसिंग एग्रीमेंट में दिया गया है। चूंकि इन प्रदाताओं तक पहुंचने वाला व्यक्तिगत डेटा इतना सीमित है - एक संदेश भेजने के लिए भेजा गया ईमेल पता, सामान्य एक्सेस लॉग, और एक अल्पकालिक डिराइव्ड abuse-control बकेट - जोखिम उसी अनुपात में छोटा है।

स्वचालित निर्णय-निर्माण। कोई नहीं। कोई प्रोफाइलिंग नहीं है और कोई स्वचालित निर्णय नहीं है जो कानूनी या समान रूप से महत्वपूर्ण प्रभाव उत्पन्न करता हो (अनुच्छेद 22)।

बच्चों की गोपनीयता

Lolly ऐप के सामान्य उपयोग के दौरान किसी भी उम्र के किसी भी व्यक्ति से जानबूझकर व्यक्तिगत जानकारी एकत्र नहीं करता - एकत्र करने के लिए कुछ है ही नहीं। एकमात्र जगह जहां व्यक्तिगत जानकारी (एक ईमेल पता) कभी एकत्र की जाती है वह ऊपर वर्णित Content Credentials नामांकन है, जो बच्चों के लिए निर्देशित या अभिप्रेत नहीं है।

आपके अधिकार

क्योंकि Lolly जो कुछ भी छूता है वह लगभग हमेशा केवल आपकी अपनी डिवाइस पर संग्रहीत होता है, डेटा-सुरक्षा कानून जिसे "आपके अधिकार" कहता है - पहुंच, सुधार, विलोपन, पोर्टेबिलिटी

उनमें से अधिकांश ऐसी चीज़ें हैं जो आप बिना किसी से पूछे, तुरंत, स्वयं पहले

से ही कर सकते हैं: आपका डेटा आपके ब्राउज़र के स्टोरेज में रहता है, ऐसे रूप में जिसे आप देख सकते हैं, एक्सपोर्ट कर सकते हैं (मेरा डेटा एक्सपोर्ट करें, ऊपर) या हटा सकते हैं (अपने ब्राउज़र में साइट का स्टोरेज साफ़ करके, जैसा ऊपर बताया गया है)।

औपचारिक रूप से, GDPR अनुच्छेद 15-22 के तहत आपको अपने व्यक्तिगत डेटा तक पहुंच पाने, उसे सही करने, उसे मिटाने, उसकी प्रोसेसिंग को प्रतिबंधित करने या उस पर आपत्ति करने (जिसमें वह सब कुछ शामिल है जिसे हम वैध रुचि पर आधारित करते हैं), डेटा पोर्टेबिलिटी का, और - जहां प्रोसेसिंग सहमति पर टिकी है - किसी भी समय वह सहमति वापस लेने का अधिकार है, बिना इस बात को प्रभावित किए कि सहमति वापस लेने से पहले जो हुआ वह वैध था।

हमारे विरुद्ध इनका प्रयोग करने पर ईमानदार स्थिति यह है। चूंकि हम अब कोई इश्यूएंस लॉग नहीं रखते, हमारे पास आपके बारे में ऐसा कोई व्यक्तिगत डेटा नहीं है जिसे हम खोज, सही, एक्सपोर्ट या डिलीट कर सकें। यदि आप लिखकर पूछें कि हमारे पास आपके बारे में क्या है, तो सच्चा उत्तर है - कुछ नहीं, और हम यही कहेंगे। एकमात्र श्रेणी जो वास्तव में मौजूद है वह IP पते से जुड़े होस्टिंग एक्सेस लॉग हैं, जिन्हें हमारा होस्टिंग प्रदाता अपने रिटेंशन डिफ़ॉल्ट के तहत रखता है। उन्हें खोजने या चुनिंदा रूप से हटाने की हमारे पास कोई सुविधा नहीं है, और हम आपको यह बताएंगे, न कि इसके विपरीत होने का दिखावा करेंगे। जो कुछ भी वास्तव में आपका है वह आपकी डिवाइस पर है, जहां आप बिना किसी की अनुमति मांगे इसे पहले से ही पढ़, एक्सपोर्ट और नष्ट कर सकते हैं।

आपको शिकायत करने का अधिकार है। यदि आपको लगता है कि हमने आपके डेटा को अनुचित तरीके से संभाला है, तो आप किसी डेटा सुरक्षा पर्यवेक्षी प्राधिकरण के पास शिकायत दर्ज कर सकते हैं - EU में, आपके निवास देश, कार्यस्थल या जहां आपको लगता है कि उल्लंघन हुआ है, वहां का प्राधिकरण (अनुच्छेद 77)। हमारा प्रमुख पर्यवेक्षी प्राधिकरण जर्मनी के अंसबाख में Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) है। आपको पहले हमसे संपर्क करने की आवश्यकता नहीं है, हालांकि हम इसे ठीक करने का मौका चाहेंगे।

हम डेटा नहीं बेचते। बेचने के लिए हमारे पास कोई डेटा है ही नहीं।

इस नीति में परिवर्तन

जब भी यह दस्तावेज़ बदलता है, ऊपर की तारीख भी बदल जाती है। ऐसा परिवर्तन जो यह बदलता है कि आपकी डिवाइस से क्या बाहर जाता है या क्या रिटेन किया जाता है, उसे यहां अपनी अलग लाइन मिलती है, न कि चुपचाप एडिट कर दिया जाता है - यदि आप देखना चाहते हैं कि क्या बदला, तो पूछें (नीचे) या सार्वजनिक स्रोत से तुलना करें।

22 अक्टूबर 2026: मौजूदा व्यवहार के विवरण को सुधारा गया। ब्राउज़र एक्सटेंशन अनुभाग अब हर अनुरोध की मंज़ूरी विंडो, एक बार में एक साइट के लिए माँगा गया साइट एक्सेस, और वेबसाइट पढ़ने के दौरान स्टाइलशीट और आइकन के फ़ेच को कवर करता है। इन्हें भी सुधारा गया: Send to Google Drive और Meeting Planner की पंक्तियाँ, SEAL नोट (कोई भी Lolly ऐप DNS में SEAL कुंजियाँ नहीं खोजता), संगठन सेवा का डिफ़ॉल्ट उपयोग-टेलीमेट्री स्तर, MCP इमेज टूल और सार्वजनिक सेवाओं की एप्लिकेशन लॉगिंग। सॉफ़्टवेयर खुद नहीं बदला।

कौन ज़िम्मेदार है, और हम तक कैसे पहुंचें

lolly.tools के लिए डेटा नियंत्रक (data controller) है:

SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany

SUSE ने एक डेटा प्रोटेक्शन ऑफिसर नियुक्त किया है, जिनसे privacy@suse.com पर संपर्क किया जा सकता है। ऊपर "आपके अधिकार" के तहत किसी भी औपचारिक अनुरोध के लिए उसी पते का उपयोग करें।

Lolly के बारे में किसी भी चीज़ के लिए - यह कैसे काम करता है, कोई चीज़ जैसी है वैसी क्यों है, या इस दस्तावेज़ में सुधार - Andy Fitzsimon से संपर्क करें, fitzy@suse.com।

सेल्फ-होस्टेड या एंटरप्राइज़ Lolly इंस्टेंस के लिए, इसके बजाय उससे संपर्क करें जो इसे संचालित करता है: ऑपरेटर अपनी स्वयं की डिप्लॉयमेंट के लिए नियंत्रक है। SUSE और Lolly ओपन सोर्स प्रोजेक्ट उन डिप्लॉयमेंट्स के लिए कोई डेटा नहीं रखते जिन्हें वे नहीं चलाते।