Востаннє оновлено: 11 серпня 2026 р.
Коротка версія. Документи, зображення, відео та файли, які ви створюєте в Lolly, залишаються на вашому пристрої. Для звичайного використання немає облікових записів, немає файлів cookie від самого застосунку і жодної аналітики чи трекерів у коді - і це не «ми не використовуємо ці дані», а справді відсутність у джерельному коді. Існує короткий, вичерпний перелік винятків там, де програмне забезпечення взагалі звертається до мережі, і кожен із них описано нижче конкретно: що йде назовні, кому і коли. Єдиний виняток, що стосується чогось особистого, - це вхід у систему, який ви маєте явно розпочати. Якщо цього немає в цьому документі, цього не відбувається.
Що охоплює ця політика
Lolly - це програмне забезпечення з відкритим кодом (рушій, кілька оболонок застосунку (веб, десктоп, мобільна, CLI) та розширення для браузера), яке може запустити будь-хто. Ця політика складається з двох частин:
- Саме програмне забезпечення: що воно робить і чого не робить з вашими даними, де б не працювало. Це властивість коду, тому це справедливо для будь-якого розгортання Lolly - нашого чи будь-чийого.
- lolly.tools, еталонне розгортання, яким керує SUSE: конкретні рішення щодо роботи його опціональних серверних компонентів (що логується, як довго, ким).
Якщо ви використовуєте самостійно розгорнутий або корпоративний екземпляр Lolly, наведена нижче поведінка програмного забезпечення все одно застосовується, але за все серверне відповідає оператор цього екземпляра, а не SUSE: його кінцева точка рендерингу, його MCP-сервер, його центр сертифікації Content Credentials, якщо такий є. Запитуйте в них їхню власну політику. Див. Впровадження та управління, щоб дізнатися, що означає керувати Lolly.
Застосунок: що залишається на вашому пристрої
Веб-, десктопна та мобільна оболонки Lolly виконують весь рушій рендерингу на стороні клієнта. Відкриття інструмента, заповнення полів, попередній перегляд та експорт - усе це відбувається на вашому пристрої: сервер тут не задіяний, і після завантаження застосунок працює офлайн.
Застосунок не встановлює файли cookie. Для роботи він зберігає невелику кількість даних лише на вашому пристрої, ніколи не передаючи їх:
- Налаштування інтерфейсу - тема, мова, налаштування звуку, розмір бічної панелі/масштаб, вибір сортування та вигляду, які підказки онбордингу ви вже бачили - у
localStorage, щоб вони були доступні ще до завершення завантаження застосунку. - Офлайн-кеш каталогу інструментів і попередніх переглядів ресурсів, щоб галерея працювала без підключення.
- Локальні лічильники використання для статистики вашої картки профілю (скільки експортів, які інструменти) - невеликий обмежений блок у
localStorage, який ми ніколи не читаємо і нікуди не надсилаємо. - Ваші власні документи, збережені сесії, завантажені ресурси та шрифти - зберігаються в IndexedDB на вашому пристрої, ніколи не завантажуються на сервер і не читаються ніким, крім вас.
Ніщо з цього не передається третім особам, не продається і не використовується для вашої ідентифікації чи відстеження. Погоджуватися нема на що, оскільки жодного збору даних не відбувається - це лише повідомлення, щоб ви знали, що зберігається і де. Ви можете стерти все це в будь-який момент через Profile → Clear all my data, або очистивши сховище сайту у вашому браузері. (Згідно з ePrivacy Directive Art. 5(3), сховище, яке є строго необхідним для запитаної вами послуги, не потребує згоди - лише прозорості, якою і є цей документ та повідомлення в застосунку.)
signed by Lollyvector SVGПеревірте саміGet the signed file14 paths~2.0k nodes39 groups28 KB
signed by Lollyvector SVGПеревірте саміGet the signed file14 paths~2.0k nodes39 groups29 KB
Ваша власна резервна копія цих даних - пакет lolly-backup, який створює функція Export my data & render everything - це файл, який зберігаєте і контролюєте ви. Він ніколи не потрапляє на наші сервери, якщо ви самі не вирішите кудись його надіслати. Див. Передавання даних.
Утиліти на пристрої
Деякі інструменти - Strip Hidden Data, Compress PDF та інші, що мають позначку "Runs on your device" - працюють з файлом, який надаєте ви. Файл зчитується в пам'ять вашого браузера, обробляється локально і пропонується назад для завантаження. Він ніколи не завантажується на сервер, оскільки на цьому шляху немає жодного сервера. Ці утиліти працюють офлайн, а їхній результат не містить жодного нашого водяного знака чи метаданих - мета більшості з них - видаляти й захищати дані, а не додавати ризик.
signed by Lollyvector SVGПеревірте саміGet the signed file1 path7 nodes3 KB
signed by Lollyvector SVGПеревірте саміGet the signed file1 path7 nodes3 KB
Коли застосунок звертається до мережі - повний перелік
Таблиця нижче - це вичерпний перелік усього, що застосунок отримує або надсилає через мережу. Якщо чогось тут немає, застосунок цього не робить.
| Що | Що насправді залишає ваш пристрій | Коли (дія, яка це запускає) | Якщо оператор це блокує |
|---|---|---|---|
| Синхронізація каталогу інструментів | Нічого особистого — запит до власного публічного індексу інструментів і активів Lolly, на власний домен застосунку | Під час запуску, потім кешується офлайн | Застосунок працює на кешованому наборі інструментів. Це лише зупиняє виявлення нових інструментів |
| Інструмент, якому потрібні живі дані | Те, що конкретно запитує цей інструмент, на хост, вказаний у власному описі. Сьогодні це лише пошук міста в інструменті Meeting Planner, який звертається до geocoding-api.open-meteo.com, щоб перетворити назву міста на координати та часовий пояс — без облікового запису, без ключа й без жодного ідентифікатора, крім самого запиту. Про це сказано прямо там, де ви вводите дані, і кожна відповідь зберігається на вашому пристрої, тож місто шукається лише один раз | Лише під час використання цього інструмента, і лише після того, як ви вкажете місцезнаходження | Цей один пошук не вдається. Ви все одно можете ввести координати вручну, і на все інше це не впливає |
| Google Fonts | Обрана назва родини шрифту та ваша IP-адреса, на шрифтові сервери Google (fonts.googleapis.com для таблиці стилів, fonts.gstatic.com для файлу шрифту) | Лише якщо ви додаєте шрифт Google Fonts у редакторі бренду, і лише після того, як ви погоджуєтеся на це в діалоговому вікні з саме таким текстом — одноразове завантаження для кожної родини, потім він зберігається на вашому пристрої й використовується офлайн | Засіб вибору Google Fonts відмовляє за замовчуванням. Натомість завантажте файл шрифту |
| Надіслати в Google Drive | Той один файл, який ви обрали надіслати, до API Google Drive (www.googleapis.com), після входу в Google, який ви виконуєте у власному спливному вікні Google. Доступ Lolly обмежений лише файлами, які застосунок сам створив (область доступу drive.file — решту вашого Drive він ніколи не може прочитати), а токен входу зберігається в пам'яті лише на час сесії й ніколи не зберігається постійно | Лише коли ви натискаєте «Send to Google Drive» на експорті EMF, і лише в збірках, де оператор налаштував ідентифікатор клієнта Google — без нього кнопка не існує | Кнопка ніколи не з'являється. Завантажте файл і вивантажте його в Drive самостійно |
| Надіслати в Dropbox | Той один файл, який ви обрали надіслати, до API Dropbox (api.dropboxapi.com для входу та метаданих, content.dropboxapi.com для самого файлу), після входу в Dropbox, який ви виконуєте у власному вікні Dropbox. Доступ Lolly обмежений лише папкою застосунку — він бачить тільки Apps/ та власну папку в ній, і ніколи решту вашого Dropbox. Посилання «Open», яке він показує, — це короткочасне приватне посилання (публічний доступ не створюється), а токен оновлення зберігається лише якщо ви позначите «stay connected» | Лише коли ви натискаєте «Send to Dropbox» на файлі, і лише в збірках, де оператор налаштував ідентифікатор клієнта Dropbox — без нього кнопка не існує | Кнопка ніколи не з'являється. Завантажте файл і вивантажте його в Dropbox самостійно |
| Надіслати в OneDrive | Той один файл, який ви обрали надіслати, до служб ідентифікації та Graph Microsoft (login.microsoftonline.com для входу, graph.microsoft.com для вивантаження; великий файл вивантажується частинами на адресу вивантаження, що належить Microsoft, на api.onedrive.com, .up.1drv.com або .sharepoint.com), після входу в Microsoft, який ви виконуєте у власному вікні Microsoft. Доступ Lolly обмежений власною папкою застосунку під Apps/ (решту вашого OneDrive він ніколи не може прочитати) плюс ваше відображуване ім'я для підпису облікового запису, а токен оновлення зберігається лише якщо ви позначите «stay connected» | Лише коли ви натискаєте «Send to OneDrive» на файлі, і лише в збірках, де оператор налаштував ідентифікатор клієнта Microsoft — без нього кнопка не існує | Кнопка ніколи не з'являється. Завантажте файл і вивантажте його в OneDrive самостійно |
| Надіслати в LinkedIn | Той один файл, який ви обрали надіслати, плюс його назву як текст допису, до LinkedIn (www.linkedin.com для входу, api.linkedin.com для вивантаження та допису), після входу в LinkedIn, який ви виконуєте у власному браузері. Допис публікується у вашій власній стрічці як публічний допис від вашого імені. Lolly може публікувати від вашого імені та читати ваше ім'я для підпису облікового запису, і більше нічого у вашому LinkedIn, а вхід зберігається на цьому пристрої лише якщо ви позначите «stay connected» — токени LinkedIn діють 60 днів і не можуть оновлюватися без участі, тож дія завершується сама собою | Лише коли ви натискаєте «Send to LinkedIn» на файлі, лише в десктопних застосунках, і лише в збірках, де налаштовано застосунок LinkedIn — без нього кнопка не існує | У веб-застосунку блокувати нічого: це існує лише в десктопних застосунках, тож ці два хости навмисно НЕ входять до наведеної нижче Content-Security-Policy веб-застосунку. У десктопних застосунках приберіть налаштований застосунок LinkedIn, і кнопка ніколи не з'явиться |
| Профілі друку ICC | Нічого особистого — запит до стандартного профілю умов друку, до публічного реєстру ICC (registry.color.org, www.color.org) | Лише якщо ви натискаєте пресет ICC у менеджері профілів друку — одноразове завантаження для кожного профілю, потім він зберігається на вашому пристрої | Пресети ICC не вдаються. Натомість надайте власний профіль .icc |
| Інтернет-радіо | Нічого особистого — запит плейлиста та аудіопотік, до станції (api.somafm.com та сервер icecast, який вона називає, *.somafm.com) | Лише поки ви відтворюєте додаткове вбудоване радіо в аудіоплеєрі | Радіо не працює. Усі інші звукові функції працюють як завжди |
| URL-адреса, яку ви просите інструмент захопити | Запит на точну веб-адресу, яку ви вводите, з інструмента знімків URL. Яка б ця адреса не була. Цього хоста немає в наведеній нижче політиці, бо ви обираєте його в момент використання | Лише коли ви вводите URL-адресу в цьому інструменті й запускаєте захоплення | Оператор не може внести це до дозволеного списку за хостом. Щоб прибрати це, приберіть інструмент |
| Перевірка підпису SEAL | Нічого. У веб-застосунку взагалі немає DNS-резолвера — див. нижче | Ніколи | Нічого блокувати |
| Моделі ШІ на пристрої | Нічого особистого — одноразове завантаження файлу моделі з хоста моделей Lolly (lolli.li), потім кешується на вашому пристрої; без облікового запису, без ідентифікатора, лише запит і ваша IP-адреса | Лише коли ви використовуєте функцію, якій потрібна модель (глибоке сканування Verify, збільшення зображення, мовлення тощо) | Ця функція чекає завантаження; усе інше й далі працює |
| Віддалений інстанс | Усе, що повертає інстанс, який ви назвали, через ту саму синхронізацію каталогу, описану вище — плюс тег версії в запитах до нього (тип shell та версія рушія, та сама інформація, яку несе user agent), тож оператор інстансу бачить, які версії Lolly є в полі. У керованому інстансі, поки ви авторизовані, цей тег також несе ідентифікатор інсталяції на пристрій, щоб список пристроїв оператора міг відрізнити цю інсталяцію. Він додається лише до запитів, які й так робить ваше власне використання — таймера немає, і нічого не «дзвонить додому» — а вихід з інстансу видаляє ідентифікатор, тож пристрій, що підключиться пізніше, надасть новий. Ви обираєте хост у момент використання, тож його немає в наведеній нижче політиці | Лише якщо ви явно спрямовуєте shell на інше розгортання Lolly | Перемикання інстансу не вдається. Ваш локальний інстанс не постраждає |
Кожен фіксований хост у цій таблиці — це також повний дозволений перелік у Content-Security-Policy застосунку, яку застосовує браузер. Тож цей перелік — не просто опис того, що робить код сьогодні, це межа, якої браузер тримає застосунок: майбутня зміна, що спробувала б звернутися до якогось іншого хоста, була б заблокована, а не мовчки дозволена. Один рядок — навмисний виняток, і про це сказано в його власній клітинці: Send to LinkedIn існує лише в десктопних застосунках, тож політика веб-застосунку не називає жодного з його хостів — веб-застосунок не зміг би дістатися до них, навіть якби його код спробував. Ще два рядки не мають фіксованого хоста, бо ви обираєте адресу в момент використання: URL-адреса, яку ви просите інструмент захопити, і віддалений інстанс, на який ви спрямовуєте shell. Жодного з них немає в політиці, і кожен трапляється лише тоді, коли ви вводите адресу й діяте на її основі. Розгортання, яке не хоче жодної з опційних можливостей (наприклад, корпоративний інстанс із власними шрифтами), прибирає ці хости зі своєї політики, і функції відмовляють за замовчуванням, а не звертаються назовні.
Жодна з цих взаємодій нікуди не надсилає ваші документи, проєкти, сесії чи завантажені файли. Вони існують, щоб приносити щось на ваш пристрій (інструменти, шрифти, моделі), а не надсилати щось з нього, за винятками, явно названими в розділах нижче.
Примітка про те, що ми прибрали. Verify може перевіряти підписи SEAL - схему, за якою ключ підпису файлу публікується в DNS. Браузери не можуть виконувати DNS-запити, тому будь-яка веб-реалізація змушена скеровувати пошук через сторонній резолвер DNS-over-HTTPS - який показав би цьому оператору домен, що перевіряється, плюс вашу IP-адресу. Раніше ми використовували резолвер Cloudflare. Більше ми цього не робимо, і заміни немає: веб-застосунок тепер узагалі не передає жодного резолвера, тож перевірка SEAL тут не робить жодних мережевих запитів. Файли, чий запис SEAL містить ключ безпосередньо в собі, як і раніше перевіряються повністю офлайн. Файли, чий ключ живе в DNS, натомість повідомляють "no key resolver", і їх можна перевірити в десктопному або консольному застосунку, який виконує DNS-запити нативно через вашу власну машину без жодної третьої сторони.
signed by Lollyvector SVGПеревірте саміGet the signed file10 paths~7.6k nodes14 groups84 KB
signed by Lollyvector SVGПеревірте саміGet the signed file10 paths~7.6k nodes14 groups84 KB Ви можете переконатися в цьому самостійно: перевірки, які можна виконати через grep, для цього та кожного іншого твердження на цій сторінці, з точними командами й очікуваним результатом, розміщені на сторінці Перевірте самі.
URL-адреси рендерингу для прямого підключення
Наразі вимкнено на lolly.tools. Сьогодні кожна URL-адреса
https://lolly.tools/tool/<tool-id>.<ext>повертає 404. У розділі нижче описано, що робить ця функція, коли оператор її вмикає, і чому ми цього не зробили. Тут її увімкнуть, щойно сервіс перейде на інфраструктуру, якою керує SUSE, і це повідомлення зміниться разом з цим.
Сам застосунок повністю залишається на вашому пристрої. Окремо оператор може ввімкнути URL-адреси рендерингу для прямого підключення - /tool/<tool-id>.<ext>?<inputs> - щоб поширене посилання Lolly могло з'являтися як живе зображення в README, вікі чи дашборді. Звернення до такої адреси просить сервер відрендерити публічні дані інструмента й каталогу з параметрами, записаними в URL.
- Немає облікових записів, немає файлів cookie, немає стану. Кінцева точка анонімна, і нічого на вашому пристрої не читається. Ваші документи, сеанси та завантаження ніколи не залишають ваш браузер - вони взагалі не можуть з’явитися в цих посиланнях.
- Але сам URL записується. Рядок запиту URL є частиною рядка запиту, тому він з’являється у звичайних журналах доступу хостинг-платформи так само, як і кожен запитаний шлях. Якщо вхідні дані посилання містять чиєсь ім’я чи email - бейдж з іменем, підпис email - цей текст опиняється в цих журналах, і жодне формулювання політики цього не змінить. Це конкретна причина, чому ця функція тут вимкнена, а не увімкнена.
- Вхідні дані публічні за самою конструкцією у будь-якому разі - це те, що автор посилання ввів в URL, доступне для читання будь-кому, до кого це посилання дійде. Не кладіть секрети в спільне посилання. Lolly пропонує шифрування посилань для чутливого вмісту.
- Відповіді кешуються та обмежуються за швидкістю, як будь-яке публічне зображення, і позначені
noindex, тому пошукові системи не індексують ваші рендери.
Самостійно розгортаєте Lolly і не хочете публічної поверхні рендерингу? Встановіть LOLLY_DISABLE_RENDER_GET=1 - саме так наразі робить сам lolly.tools - і кожна з цих URL-адрес повертатиме 404.
MCP-сервер (опціонально, для AI-агентів)
До Lolly також може звертатися AI-агент через Model Context Protocol - кінцеву точку, якою керує оператор (lolly.tools має власну; будь-хто може самостійно розгорнути свою, зокрема повністю ізольовану від мережі). Вона поділяє позицію "без облікових записів" з шляхом рендерингу, а також має три інструменти, які обов'язково обробляють байти файлів:
lolly_transform(виконує утиліту на пристрої на боці сервера, від імені агента, що викликає),lolly_verify(перевіряє Content Credentials) іlolly_redact(зафарбовує ділянки зображення чи PDF) - усі вони приймають байти файлу від того, хто викликає. Вони обробляються у процесі, в пам'яті, а результат повертається в тому самому виклику - файл ніколи не записується на диск і ніколи не зберігається після завершення запиту.- Кожен інший інструмент -
lolly_render,lolly_build_url,lolly_list_tools,lolly_describe_tool- працює лише з параметрами (текст, числа, кольори, URL-адреси, ідентифікатори ресурсів каталогу) - ті самі вхідні дані, що приймає URL-адреса рендерингу для прямого підключення. - Доступ - це або спільний токен, який оператор видає клієнтам, яким довіряє, або без стану OAuth 2.1: короткочасні підписані токени, що перевіряються за спільним секретом, нічого не зберігається на сервері, а сам токен ніколи не записується в журнал чи URL-адресу рендерингу.
Ідентичність Content Credentials (вхід, який ви маєте розпочати самі)
Lolly може вкладати криптографічний Content Credential у ваші експорти, щоб будь-хто міг офлайн перевірити, що файл не змінювався з моменту, як вийшов з Lolly. Це вже увімкнено за замовчуванням і повністю локально - ключ підпису генерується на вашому пристрої, а сам підпис відбувається офлайн. Без реєстрації цей ключ одноразовий: нова пара ключів створюється для кожного експорту й відкидається разом з ним. Щойно ви зареєструєтеся, ключ стає постійним і генерується невитяжним - навіть власний код Lolly не може його прочитати, лише попросити підписати ним. У будь-якому разі він ніколи не залишає ваш пристрій. Цей розділ описує один опціональний крок понад це: реєстрацію верифікованої ідентичності, щоб ваші експорти показували "Verified - signed by \<your email\>" замість анонімного ключа. Якщо ви пропускаєте реєстрацію, ніщо в цьому розділі вас не стосується, і жодні особисті дані ніколи не покидають ваш пристрій.
signed by Lollyvector SVGПеревірте саміGet the signed file21 paths~10k nodes16 groups112 KB
signed by Lollyvector SVGПеревірте саміGet the signed file21 paths~10k nodes16 groups112 KB
Якщо ви таки реєструєтеся, ось що відбувається насправді:
- Ви обираєте спосіб входу - GitHub, Google, SUSE (id.suse.com) або посилання електронною поштою. Для трьох OIDC-провайдерів вас перенаправляють на власну сторінку входу цього провайдера, яка регулюється їхньою політикою конфіденційності, а не нашою. Сервіс сертифікатів Lolly отримує у відповідь лише верифіковану електронну адресу і назву провайдера. Для посилання електронною поштою адреса, яку ви вводите, передається до Resend, транзакційного API електронної пошти, виключно для доставки цього одного листа.
- Короткочасний cookie захищає перенаправлення. Це єдиний cookie, який встановлює вся система Lolly:
lolly_ca_state,HttpOnly, з областю дії/api/ca, що закінчується протягом десяти хвилин. Він містить випадкове значення, а не ідентифікатор для відстеження, і існує лише для того, щоб запобігти підробці OAuth-перенаправлення. Він очищується щойно вхід завершується. - Ваша IP-адреса використовується коротко, щоб запобігти зловживанню кінцевими точками входу (щоб один скрипт не міг спамити вхідну скриньку чи вичерпати квоту на листи) - зберігається лише в пам'яті сервера, у ковзному вікні приблизно на хвилину, ніколи не записується в журнал і ніде не зберігається постійно.
- Сервіс сертифікатів видає короткочасний сертифікат (7, 30, 90 або 365 днів на ваш вибір, обмежено політикою оператора), що прив'язує вашу верифіковану електронну адресу до публічної половини пари ключів, згенерованої на вашому пристрої. Приватна половина ніколи не залишає ваш браузер.
- Про видачу нічого не записується. Сервіс сертифікатів не веде журналу видачі: ні вашої електронної адреси, ні провайдера, ні серійного номера, ні часової позначки. Жодної бази даних, жодного рядка журналу, жодного вебхука. Ваша електронна адреса існує в запиті лише стільки, щоб її записали в сертифікат, який отримує ваш власний пристрій, а потім вона повністю зникає з нашого боку.
- Після цього підписання знову відбувається офлайн протягом усього терміну дії сертифіката. Експорт файлу ніколи не звертається до сервісу сертифікатів - це робила лише реєстрація.
Компроміс, сказаний прямо. Раніша версія цього сервісу таки логувала кожну видачу, щоб можна було відстежити помилково видані чи скомпрометовані сертифікати. Ми це прибрали, тому що цей журнал був єдиним місцем у всій Lolly, де особисті дані осідали на сервері, і ми радше не зберігатимемо їх, ніж зберігатимемо обережно. Те, від чого ми відмовляємося, - це серверна відстежуваність: якщо сертифікат використано зловмисно, ми не можемо з'ясувати, хто його отримав. Сертифікати за задумом короткочасні - від 7 до 365 днів на ваш вибір, обмежено оператором - і самі спливають, і саме на це пом'якшення ми покладаємося натомість. Ті, хто самостійно розгортає Lolly і чиї власні зобов'язання вимагають журналу аудиту, можуть додати його - і тим самим стати контролером цих даних.
Розширення для браузера
Розширення для браузера Lolly URL Screenshot не збирає, не зберігає і не передає жодних особистих даних. Жодної аналітики, жодного відстеження, жодного віддаленого сервера.
Що воно робить. Коли ви просите веб-застосунок Lolly зробити знімок URL-адреси, розширення відкриває цю сторінку в тимчасовій фоновій вкладці, захоплює її у вашому браузері за допомогою DevTools Protocol, передає зображення назад застосунку і закриває вкладку. Усе це відбувається локально, на вашому власному пристрої й у вашій мережі.
Дані.
- Ми нічого не збираємо. Розширення не має власних серверів і не робить власних мережевих запитів.
- Захоплені зображення йдуть безпосередньо до застосунку Lolly в тому самому браузері - розширення ніколи їх не завантажує на сервер.
- URL-адреси, які ви захоплюєте, використовуються лише для завантаження тієї однієї сторінки для того одного знімка. Вони не логуються і не передаються нікому.
Дозволи.
debugger- щоб захоплювати відрендерену сторінку через DevTools Protocol (той самий механізм, який використовує десктопний застосунок Lolly).tabs- щоб відкривати й закривати тимчасову вкладку, в яку завантажується сторінка.- Доступ до хостів (
<all_urls>) - оскільки сторінка, яку ви обираєте захопити, може бути на будь-якому сайті. Chrome показує це під час встановлення як широке попередження про дозволи. Розширення завжди відвідує лише ту URL-адресу, яку ви йому даєте.
Жоден із цих дозволів не використовується для читання, моніторингу чи передавання даних про ваш перегляд поза межами того одного запитаного знімка.
Журнали інфраструктури
Як і будь-який вебсайт, сервери за lolly.tools - і за будь-яким розгортанням Lolly - генерують стандартні журнали доступу вебсервера щоразу, коли до них взагалі доходить запит: IP-адреса, запитаний шлях, часова позначка, user agent. Це базова поведінка хостингу, а не щось, що додає Lolly, і вона ніколи не містить вмісту ваших документів, бо він узагалі ніколи не доходить до сервера. Єдиний навмисний виняток - це файл, який ви явно передаєте у виклик MCP lolly_transform, lolly_verify чи lolly_redact, який обробляється в пам'яті і ніколи не записується на диск чи в журнал, як описано вище.
Власний код Lolly нічого не записує в ці журнали. MCP-сервер узагалі не містить жодних інструкцій логування. Сервіс сертифікатів видає рівно два рядки, обидва лише при збоях і обидва навмисно очищені: код статусу помилки надсилання без адреси одержувача та повідомлення про помилку без трасування стеку чи URL-адреси (стек міг би містити токен реєстрації). Усе інше в журналі належить хостинг-платформі, а не нам.
Для lolly.tools хостинг - Vercel, а термін зберігання журналів доступу відповідає власним типовим налаштуванням платформи Vercel для нашого тарифного плану. Ми не налаштовуємо жодного стоку журналів, жодного довгострокового експорту журналів і жодного продукту аналітики чи моніторингу понад це. Ми самі не зберігаємо копій цих журналів, а це також означає, що ми не маємо змоги шукати в них щось для вас - див. Ваші права.
Правові підстави, зберігання та отримувачі даних
Майже ніщо тут не потребує правової підстави, бо майже нічого не обробляється. Для повноти - повний перелік:
| Обробка | Правова підстава (GDPR, ст. 6) | Термін зберігання |
|---|---|---|
| Все на вашому пристрої (документи, налаштування, кеш, лічильники) | Це взагалі не наша обробка - воно ніколи не потрапляє до нас. Зберігання на вашому пристрої строго необхідне для послуги, яку ви запросили (ePrivacy, ст. 5(3)), тому згода не потрібна | Доки ви це не видалите |
| Ваша електронна адреса під час реєстрації Content Credentials | Ст. 6(1)(b), виконання послуги, яку ви явно запросили | Не зберігається. Присутня в пам'яті лише на час запиту |
| Ваша IP-адреса на точках входу, для обмеження частоти запитів | Ст. 6(1)(f), наш законний інтерес у запобіганні зловживанню безкоштовною послугою та поштовою квотою третьої сторони. Ми вважаємо, що це проходить тест на збалансованість, оскільки дані лише в пам'яті, ніколи не записуються і видаляються приблизно за хвилину | ~1 хвилина, у пам'яті сервера, ніколи не зберігається постійно |
| Журнали доступу хостингу (IP, шлях, часова мітка, user agent) | Ст. 6(1)(f), наш законний інтерес у безпеці сервісу, запобіганні зловживанням і діагностиці збоїв | Стандартний термін платформи Vercel для нашого плану. Ми не додаємо жодного зливу чи експорту |
Отримувачі. Категорії отримувачів: наш хостинг-провайдер (Vercel Inc.) та - лише якщо ви використовуєте варіант входу через електронну пошту - провайдер транзакційної пошти (Resend). Якщо ви входите через GitHub, Google або SUSE (id.suse.com), ви взаємодієте з цим провайдером напряму згідно з його власною політикою конфіденційності. Він передає нам лише підтверджену електронну адресу і нічого більше. Ми не передаємо персональні дані нікому іншому, не продаємо дані, не показуємо рекламу і не профілюємо користувачів.
Передавання за межі ЄЕЗ. Vercel і Resend - американські компанії. Обчислення функцій для lolly.tools закріплено за регіоном Vercel у Франкфурті (fra1), тож обробка відбувається в ЄС, але як провайдери зі штаб-квартирою в США вони все ж можуть отримувати доступ до даних як обробники з території США. Такі передавання спираються на типові договірні положення Європейської Комісії та/або Рамкову угоду ЄС-США про захист даних, як зазначено в угоді про обробку даних кожного провайдера. Оскільки обсяг персональних даних, що потрапляють до будь-якого з провайдерів, настільки обмежений - електронна адреса, передана лише для надсилання одного повідомлення, та звичайні журнали доступу - відповідно обмеженою є й потенційна експозиція.
Автоматизоване ухвалення рішень. Відсутнє. Немає ні профілювання, ні автоматизованого рішення, що спричиняє юридичні чи подібно значущі наслідки (ст. 22).
Конфіденційність дітей
Lolly свідомо не збирає персональну інформацію ні від кого, будь-якого віку, у звичайному ході використання застосунку - збирати нічого. Єдине місце, де персональна інформація (електронна адреса) взагалі збирається - це реєстрація Content Credentials, описана вище, яка не спрямована і не призначена для дітей.
Ваші права
Оскільки майже все, до чого торкається Lolly, зберігається лише на вашому власному пристрої, більшість того, що законодавство про захист даних називає "вашими правами" - доступ, виправлення, видалення, переносність - ви вже можете зробити самостійно, миттєво, ні в кого не питаючи: ваші дані знаходяться в сховищі вашого браузера, у формі, яку ви можете переглянути, експортувати (Export my data & render everything, вище) або видалити (Profile → Clear all my data).
Формально, згідно зі статтями 15-22 GDPR, ви маєте право на доступ до своїх персональних даних, на їх виправлення, на їх видалення, на обмеження або заперечення проти їх обробки (зокрема заперечення проти всього, що ми обґрунтовуємо законними інтересами), на переносність даних і - там, де обробка спирається на згоду - на відкликання цієї згоди в будь-який час, без впливу на правомірність того, що відбулося до її відкликання.
Ось чесна позиція щодо реалізації цих прав щодо нас. Оскільки ми більше не ведемо журнал видачі, ми не маємо жодних персональних даних про вас, які могли б знайти, виправити, експортувати чи видалити. Якщо ви напишете і запитаєте, що ми маємо на вас, чесна відповідь - нічого, і ми так і скажемо. Єдина категорія, що взагалі існує - це журнали доступу хостингу, прив'язані до IP-адреси, які зберігає наш хостинг-провайдер за своїми стандартними термінами зберігання. У нас немає засобу шукати чи вибірково видаляти їх, і ми скажемо вам це, а не вдаватимемо інше. Все, що дійсно ваше, знаходиться на вашому пристрої, де ви вже можете це читати, експортувати і знищувати, ні в кого не питаючи дозволу.
Ви маєте право поскаржитися. Якщо ви вважаєте, що ми неналежно обробили ваші дані, ви можете подати скаргу до наглядового органу із захисту даних - у ЄС це орган у вашій країні проживання, місці роботи або там, де, на вашу думку, сталося порушення (ст. 77). Наш провідний наглядовий орган - Bayerisches Landesamt für Datenschutzaufsicht (BayLDA) в Ансбаху, Німеччина. Вам не обов'язково спершу звертатися до нас, хоча ми хотіли б мати можливість це виправити.
Ми не продаємо дані. Нам просто нічого продавати.
Зміни до цієї політики
Дата вгорі змінюється щоразу, коли змінюється цей документ. Зміна, що впливає на те, що залишає ваш пристрій, або на те, що зберігається, отримує окремий рядок тут, а не тиху правку - якщо хочете побачити, що змінилося, запитайте (нижче) або порівняйте з публічним джерелом.
Хто відповідальний і як з нами зв'язатися
Контролером даних для lolly.tools є:
SUSE Software Solutions Germany GmbH Frankenstraße 146 90461 Nürnberg Germany
SUSE призначила Спеціаліста із захисту даних (DPO), з яким можна зв'язатися за адресою privacy@suse.com. Використовуйте цю адресу для будь-якого офіційного запиту згідно з розділом "Ваші права" вище.
З будь-якого питання щодо самого Lolly - як він працює, чому щось зроблено саме так чи виправлення до цього документа - звертайтеся до Andy Fitzsimon, fitzy@suse.com.
Для самостійно розгорнутого чи корпоративного екземпляра Lolly звертайтеся до того, хто ним керує: оператор є контролером для власного розгортання. SUSE та проєкт Lolly з відкритим кодом не зберігають даних для розгортань, якими вони не керують.