Polityka prywatności

Ta polityka wyjaśnia, jakie dane osobowe przetwarza Maude, dokąd trafiają i co możesz w tej sprawie zrobić. Obejmuje aplikację Maude na iPhone'a, iPada i Androida, stronę internetową maude.pilotdev.fr, przekaźnik Maude oraz kanał aktualizacji sprawdzany przez demona Maude.

Wydawcą Maude jest Pilot Dev (Lucas Bastien) z siedzibą we Francji. W odniesieniu do opisanego tu przetwarzania administratorem danych jest Pilot Dev. Możesz skontaktować się z nami pod adresem pilotdevelopper@gmail.com.

W skrócie

• Twoje rozmowy, kod, pliki i loginy agentów zostają na Twoim własnym serwerze. Maude instaluje tam mały program (demona) i to tam sesje działają i są przechowywane. Nie otrzymujemy ich.
• Twoje hasła i klucze SSH zostają na Twoim telefonie, w systemowym pęku kluczy. Nigdy nie są do nas wysyłane.
• Przekaźnik nie może odczytać Twoich sesji. Gdy Twój telefon łączy się z Twoim serwerem przez nasz przekaźnik, ruch jest szyfrowany end-to-end kluczem, który mają tylko Twoje urządzenia.
• Niektóre dane docierają do nas lub naszych dostawców: dane analityczne o użyciu i raporty o awariach (możesz je wyłączyć), status subskrypcji, tokeny powiadomień push, krótkie treści powiadomień oraz rekordy, których przekaźnik potrzebuje do kierowania wiadomości.
• Nie sprzedajemy danych, nie wyświetlamy reklam i nie śledzimy Cię w innych aplikacjach ani na innych stronach. Strona internetowa nie ustawia plików cookie i nie używa narzędzi analitycznych.

Co nigdy do nas nie trafia

Maude jest zbudowany tak, by istotne materiały pozostawały na sprzęcie, nad którym masz kontrolę:

• Sesje i transkrypty. Demon przechowuje historię każdej sesji w ~/.maude/sessions na Twoim serwerze. Aplikacja trzyma kopię podręczną na telefonie, żeby szybko wyświetlać sesje. Żadna z tych kopii nie jest do nas wysyłana.
• Dane logowania agentów i klucze API. Gdy logujesz się do Claude Code, Codex, OpenCode, Grok Build lub Antigravity albo wklejasz klucz API, logowanie odbywa się na Twoim serwerze. Klucze wprowadzone w aplikacji są zapisywane w ~/.maude/secrets.json na Twoim serwerze (do odczytu tylko przez tego użytkownika).
• Dane logowania SSH. Nazwy hostów, nazwy użytkowników, hasła, klucze prywatne i hasła do kluczy są przechowywane w pęku kluczy telefonu (iOS) lub w zaszyfrowanym magazynie (Android).
• Dołączane pliki i zdjęcia. Trafiają z telefonu na Twój serwer, przez SSH lub przez szyfrowany przekaźnik.

Gdy coś znajdzie się na Twoim serwerze, wybrany przez Ciebie agent może przesłać to swojemu dostawcy. Ta część dotyczy Ciebie i tego dostawcy; zobacz sekcję Agenty AI i inne usługi poniżej.

Dane, które przetwarzamy

Dane	Gdzie są przechowywane	W jakim celu	Podstawa prawna	Okres przechowywania
Zdarzenia użycia: ekrany i kroki, przez które przechodzisz (wprowadzenie, paywall, dodawanie serwera, wyniki połączeń i kategorie błędów, wyniki instalacji demona, zgoda na powiadomienia), a także wersja aplikacji, model urządzenia, wersja systemu, język i przybliżona lokalizacja ustalona na podstawie adresu IP. Powiązane z losowym identyfikatorem analitycznym.	PostHog, chmura UE (Frankfurt)	Zrozumienie, gdzie konfiguracja zawodzi i z których funkcji się korzysta	Prawnie uzasadniony interes (ulepszanie aplikacji). Możesz z tego zrezygnować.	Do 12 miesięcy
Nagrania sesji: zapis interfejsu aplikacji podczas korzystania z niej. Treść rozmów, kod, zawartość plików, wyjście terminala, wpisywane wiadomości, dane logowania, nazwy hostów i nazwy użytkowników są maskowane, zanim cokolwiek opuści telefon.	PostHog, chmura UE	Zobaczenie, jak ludzie faktycznie poruszają się po aplikacji, by poprawić niejasne ekrany	Prawnie uzasadniony interes. Możesz z tego zrezygnować.	Do 30 dni
Raporty o awariach i błędach: typ i komunikat błędu, ślad stosu, wersja aplikacji, urządzenie i system.	PostHog, chmura UE	Znajdowanie i naprawianie błędów	Prawnie uzasadniony interes. Możesz z tego zrezygnować.	Do 12 miesięcy
Dane subskrypcji: anonimowy identyfikator zakupu, kupione produkty, daty okresu próbnego i odnowienia, kraj i waluta sklepu, powiązane z Twoim identyfikatorem analitycznym.	RevenueCat (USA); Apple lub Google	Sprzedaż i weryfikacja subskrypcji, przywracanie zakupów	Wykonanie umowy	Przez okres, w którym jesteś klientem, a następnie tak długo, jak wymagają tego przepisy podatkowe i rachunkowe
Tożsamość w przekaźniku: losowy identyfikator konta, jeden rekord na urządzenie (ogólna nazwa, np. "Maude iOS", platforma, klucz publiczny, skrót tokenu dostępu, czas utworzenia i ostatniej aktywności).	Nasz serwer przekaźnika	Umożliwienie Twoim urządzeniom łączenia się z Twoimi serwerami i ze sobą nawzajem	Wykonanie umowy	Do czasu usunięcia urządzenia w Ustawienia → Relay i urządzenia
Rekordy serwerów w przekaźniku: nazwa wyświetlana nadana przez Ciebie każdemu serwerowi, skrót tokenu dostępu, czas utworzenia i ostatniej aktywności oraz klucz danych Twojego serwera zapieczętowany dla każdego z Twoich urządzeń (nie możemy ich otworzyć).	Nasz serwer przekaźnika	Kierowanie zaszyfrowanego ruchu do właściwego serwera	Wykonanie umowy	Do czasu wyłączenia przekaźnika dla tego serwera lub usunięcia serwera
Wiadomości w kolejce: zaszyfrowane wiadomości wysłane, gdy Twój serwer był offline.	Nasz serwer przekaźnika	Dostarczenie ich po ponownym połączeniu serwera	Wykonanie umowy	Usuwane po dostarczeniu, najpóźniej po 24 godzinach
Tokeny push: token, który Firebase Cloud Messaging nadaje Twojemu urządzeniu.	Nasz serwer przekaźnika; Google	Wysyłanie Ci powiadomień	Wykonanie umowy	Do czasu wyłączenia powiadomień, usunięcia urządzenia lub wygaśnięcia tokenu
Treść powiadomień: tytuł i treść o długości do 80 znaków każda, plus losowe identyfikatory sesji i serwera.	Przechodzi przez nasz przekaźnik, Google (FCM) oraz, na iOS, Apple (APNs). Przekaźnik jej nie przechowuje.	Informowanie Cię, gdy agent potrzebuje zatwierdzenia, zadaje pytanie, kończy pracę lub napotyka błąd	Wykonanie umowy	Nie przechowujemy jej
Sprawdzanie aktualizacji przez demona: numer buildu, system operacyjny, architektura procesora, biblioteka C, flaga funkcji procesora, wersja środowiska uruchomieniowego, wersje agentów, dla których został zbudowany, oraz najstarsza wersja aplikacji Maude, która korzystała z tego serwera w ciągu ostatnich 30 dni. Nasz serwer widzi adres IP Twojego serwera.	Nasz serwer (logi żądań)	Wskazanie demonowi, jakie przetestowane wersje agentów i aktualizacje demona ma zainstalować	Prawnie uzasadniony interes (utrzymanie działania i bezpieczeństwa instalacji). Możesz to wyłączyć.	Logi żądań: do 30 dni
Żądania sieciowe: adres IP, czas, żądana strona i user agent przeglądarki, gdy odwiedzasz stronę lub gdy aplikacja pobiera kanał „Co nowego”.	Nasz serwer (logi żądań)	Udostępnianie strony, dbanie o jej bezpieczeństwo	Prawnie uzasadniony interes	Do 30 dni
E-maile, które do nas wysyłasz.	Nasza skrzynka pocztowa (Google)	Odpowiedź na nie	Prawnie uzasadniony interes; wykonanie umowy, jeśli dotyczą Twojego zakupu	Tak długo, jak to potrzebne, by Ci pomóc, a następnie do 3 lat

Analityka, raporty o awariach i nagrania sesji

Wydania produkcyjne aplikacji wysyłają zdarzenia użycia, raporty o awariach i nagrania sesji do PostHog, usługi analitycznej, z której korzystamy w jej chmurze UE (serwery we Frankfurcie). Używamy jej, by sprawdzić, gdzie ludzie utykają, głównie przy łączeniu serwera, bo tam występuje najwięcej problemów.

Co to obejmuje:

• Identyfikator. PostHog nadaje Twojej instalacji losowy identyfikator. Nie łączymy z nim Twojego imienia i nazwiska ani adresu e-mail. Ten sam identyfikator przekazujemy RevenueCat, żeby wiedzieć, czy zakup się powiódł.
• Zdarzenia. Na przykład „wyświetlono stronę wprowadzenia”, „dodano serwer”, „połączenie nieudane” z kategorią błędu, taką jak „timeout” lub „auth”, „zainstalowano demona” z numerami buildów i kodami błędów, „zarejestrowano w przekaźniku” oraz otwarcie aplikacji lub przejście jej w tło.
• Raporty o błędach zawierają komunikat błędu i ślad stosu. Komunikaty pisze kod aplikacji, ale czasami któryś może zawierać ścieżkę lub nazwę hosta.
• Nagrania sesji rejestrują ekrany aplikacji, żebyśmy mogli zobaczyć, jak dany proces był odbierany. Każda część aplikacji, która pokazuje treść rozmów, kod, diffy, pliki, wyjście terminala, to, co piszesz do agenta, dane logowania, nazwy hostów lub nazwy użytkowników, jest maskowana na telefonie, zanim nagranie zostanie wysłane. Przyciski, menu i nagłówki pozostają widoczne.

Wyłączenie: przejdź do Ustawienia → Prywatność → Udostępniaj statystyki użycia. Gdy ta opcja jest wyłączona, aplikacja nie wysyła do PostHog żadnych zdarzeń, raportów o awariach ani nagrań.

Przekaźnik

Przekaźnik pod adresem relay.maude.pilotdev.fr pozwala aplikacji łączyć się z Twoimi serwerami, gdy SSH nie jest praktyczne (na przykład przez dane komórkowe lub za firewallem), i pozwala Twojemu serwerowi wysyłać Ci powiadomienia. Jest domyślnie włączony. Możesz go wyłączyć dla wszystkich serwerów w Ustawienia → Relay i urządzenia albo dla jednego serwera na jego stronie. Gdy jest wyłączony, aplikacja łączy się z Twoim serwerem bezpośrednio przez SSH, a powiadomienia push nie będą przychodzić.

Jak działa szyfrowanie: gdy podłączasz serwer, Twój telefon generuje dla niego losowy 256-bitowy klucz i przechowuje go w pęku kluczy. Każda wiadomość między Twoimi urządzeniami a tym serwerem jest szyfrowana tym kluczem (AES-256-GCM), zanim opuści urządzenie. Aby dać dostęp innym połączonym urządzeniom, Twój telefon szyfruje („pieczętuje”) klucz osobno dla każdego z nich, używając klucza publicznego danego urządzenia. Przekaźnik przechowuje te zapieczętowane kopie, ale nie ma żadnego klucza, który mógłby je otworzyć.

Co widzi przekaźnik: które z Twoich urządzeń komunikuje się z którym z Twoich serwerów i kiedy, jak duże są wiadomości, czy każde urządzenie i serwer jest online, nazwy wyświetlane nadane przez Ciebie serwerom oraz treść powiadomień push (następna sekcja). Widzi też adresy IP, których używa wyłącznie w pamięci do ograniczania nadużyć związanych z częstotliwością żądań. Jego własne logi zapisują identyfikatory, typy zdarzeń i kody błędów, a nie treść wiadomości, tokeny czy adresy IP. Urządzenia sieciowe naszego dostawcy hostingu mogą osobno rejestrować adresy IP.

Usuwanie danych z przekaźnika: usunięcie urządzenia w Ustawienia → Relay i urządzenia usuwa rekord tego urządzenia, jego token dostępu, zapieczętowane klucze i tokeny push. Usunięcie serwera w aplikacji lub wyłączenie dla niego przekaźnika usuwa rekord serwera, jego zapieczętowane klucze i wszelkie wiadomości w kolejce. Aby usunąć wszystko naraz, łącznie z rekordem konta, napisz do nas.

Powiadomienia push

Jeśli zezwolisz na powiadomienia, Twój telefon otrzymuje token z Firebase Cloud Messaging (usługa Google; na iPhonie przekazuje ona wiadomość do usługi push Apple). Aplikacja rejestruje ten token w przekaźniku. Gdy agent Cię potrzebuje, demon na Twoim serwerze wysyła do przekaźnika krótkie powiadomienie, a przekaźnik przekazuje je do Google w celu dostarczenia na każde Twoje urządzenie, które nie wyświetla akurat aplikacji.

Treści powiadomień są krótkie, ale podczas przesyłania mogą je odczytać przekaźnik, Google i Apple. Mogą zawierać:

• tytuł sesji (który możesz zmienić);
• jednowierszowe streszczenie tego, co agent chce zrobić, np. pierwszą linię polecenia lub nazwę pliku ("Allow Run npm test?", "Allow Edit src/app.ts?");
• pierwsze słowa pytania, które zadaje Ci agent;
• pierwsze słowa komunikatu o błędzie.

Każda część jest skracana do 80 znaków. Przekaźnik nie przechowuje treści powiadomień. Każdy rodzaj powiadomień, albo wszystkie naraz, możesz wyciszyć w Ustawienia → Powiadomienia. Jeśli tytuły Twoich sesji lub polecenia są poufne, wycisz kategorie, których nie potrzebujesz.

Demon na Twoim serwerze

Aby uruchamiać agenty, Maude instaluje na każdym podłączonym serwerze program zwany demonem Maude, w ~/.maude użytkownika, na którego konto się logujesz. Przechowuje on, wyłącznie na tym serwerze:

• historie sesji (~/.maude/sessions) i własny log demona (daemon.log);
• klucze API wprowadzone w aplikacji (secrets.json), dane połączenia z przekaźnikiem (relay.json), ustawienia powiadomień i bezpieczeństwa;
• instalowane przez siebie programy agentów (~/.maude/engines) i środowisko uruchomieniowe JavaScript, na którym działa;
• wersje aplikacji Maude, które łączyły się w ciągu ostatnich 30 dni (tylko numery wersji).

Demon nigdy nie wysyła nam tych treści. Wykonuje natomiast następujące własne żądania sieciowe:

• Sprawdzanie aktualizacji co 6 godzin w maude.pilotdev.fr. Wysyła dane techniczne wymienione w tabeli powyżej, nic o Tobie ani o Twoich sesjach. Odpowiedź wskazuje, których przetestowanych wersji agentów używać i czy dostępna jest nowsza wersja demona. Każdy pobrany plik jest sprawdzany względem opublikowanego skrótu SHA-256 przed użyciem. Ustaw MAUDE_CHANNEL=off w środowisku demona, aby wyłączyć sprawdzanie, lub MAUDE_SELF_UPDATE=off, aby wyłączyć tylko samoaktualizację demona.
• Pobieranie od dostawców podczas instalacji lub aktualizacji agenta albo jego środowiska uruchomieniowego: Anthropic (downloads.claude.ai), GitHub (Codex, środowisko Bun), rejestr npm, Google Cloud Storage (Grok Build, Antigravity) oraz skrypty instalacyjne dostawców. Ci dostawcy widzą adres IP Twojego serwera, jak przy każdym pobieraniu.
• Przekaźnik, jeśli jest włączony, przez szyfrowane połączenie WebSocket.

Aby usunąć demona, uruchom na serwerze ~/.maude/bin/maude uninstall-service i usuń ~/.maude. Usunięcie sesji w aplikacji usuwa jej historię na serwerze.

Agenty AI i inne usługi

Maude uruchamia i steruje wybranymi przez Ciebie agentami: Claude Code (Anthropic), Codex (OpenAI), OpenCode (który może korzystać z wielu dostawców modeli), Grok Build (xAI) i Antigravity (Google). Działają one na Twoim serwerze, na Twoich własnych kontach. Gdy wysyłasz prompt, agent przesyła go wraz z kodem i plikami, które czyta, do swojego dostawcy w celu przetworzenia. Ten dostawca przetwarza dane na podstawie własnego regulaminu i polityki prywatności, jako ich administrator. Nie uczestniczymy w tej wymianie i nie mamy do niej wglądu.

Zanim użyjesz agenta przy poufnym kodzie, sprawdź politykę dostawcy: Anthropic, OpenAI, xAI, Google oraz politykę dostawcy skonfigurowanego w OpenCode.

To samo dotyczy wszystkiego innego, z czym komunikują się Twoje agenty lub Twój serwer, na przykład GitHuba, gdy wypychasz kod lub otwierasz pull request z aplikacji (Maude uruchamia git i narzędzie gh od GitHuba na Twoim serwerze z Twoimi danymi logowania).

Strona internetowa

maude.pilotdev.fr nie ustawia plików cookie, nie używa skryptów analitycznych ani śledzących i ładuje czcionki z naszego własnego serwera. Linki do App Store i Google Play zawierają znacznik wskazujący stronę, z której kliknięto, dzięki czemu Apple i Google mogą przekazać nam zbiorczo, ile instalacji przyniosła dana strona. Nasz serwer prowadzi zwykłe logi żądań (zobacz tabelę).

Subskrypcje i płatności

Zakupy odbywają się przez App Store firmy Apple lub Google Play. Nigdy nie widzimy danych Twojej karty, imienia i nazwiska ani adresu rozliczeniowego. RevenueCat, usługa subskrypcyjna, z której korzystamy, otrzymuje potwierdzenie zakupu ze sklepu i informuje aplikację, czy Twoja subskrypcja jest aktywna. RevenueCat używa anonimowego identyfikatora; nie wie, kim jesteś, chyba że przekaże mu to sklep. Apple i Google przetwarzają Twoją płatność zgodnie z własnymi politykami prywatności.

Na Twoim telefonie

Aplikacja przechowuje na Twoim urządzeniu: listę serwerów i ustawienia, pamięć podręczną ostatnich sesji, niewysłane wersje robocze, preferencje oraz, w pęku kluczy lub zaszyfrowanym magazynie, dane logowania SSH, klucze przekaźnika i kilka losowych identyfikatorów. Odinstalowanie aplikacji usuwa większość z tych danych. Na iOS elementy pęku kluczy mogą przetrwać ponowną instalację.

Aplikacja prosi o dostęp do aparatu tylko wtedy, gdy skanujesz kod konfiguracyjny lub robisz zdjęcie do załączenia, a o dostęp do zdjęć tylko wtedy, gdy wybierasz zdjęcie do załączenia. Obrazy trafiają na Twój serwer, a nie do nas. Aplikacja nie korzysta z Twojej lokalizacji, kontaktów ani identyfikatora reklamowego.

Komu udostępniamy dane

Nie sprzedajemy danych osobowych ani nie udostępniamy ich w celach reklamowych. Następujący dostawcy przetwarzają dane w naszym imieniu:

Dostawca	W jakim celu	Lokalizacja
PostHog Inc.	Analityka, raporty o awariach, nagrania sesji	UE (Frankfurt)
RevenueCat Inc.	Zarządzanie subskrypcjami	Stany Zjednoczone
Google LLC (Firebase Cloud Messaging), Google Play	Dostarczanie powiadomień push; zakupy na Androidzie	Stany Zjednoczone i cały świat
Apple Inc. (APNs, App Store)	Dostarczanie powiadomień push na iOS; zakupy na iOS	Stany Zjednoczone i cały świat
Hetzner Online GmbH	Hosting strony, przekaźnika i kanału aktualizacji	UE (Niemcy / Finlandia)

Możemy też ujawnić dane, jeśli wymaga tego prawo, lub w celu ochrony naszych użytkowników albo usługi przed nadużyciami.

Przekazywanie danych poza EOG

Niektórzy z powyższych dostawców mają siedzibę w Stanach Zjednoczonych. Gdy dane osobowe opuszczają Europejski Obszar Gospodarczy, przekazanie odbywa się na podstawie Ram ochrony danych UE–USA (EU–US Data Privacy Framework), jeśli dostawca posiada certyfikat, lub na podstawie standardowych klauzul umownych Komisji Europejskiej.

Bezpieczeństwo

Ruch przez przekaźnik między Twoimi urządzeniami a Twoimi serwerami jest szyfrowany end-to-end. Przekaźnik przechowuje wyłącznie skróty tokenów dostępu, nigdy same tokeny. Dane logowania na telefonie są przechowywane w bezpiecznym magazynie platformy. Pliki demona zawierające sekrety są dostępne do odczytu tylko dla użytkownika serwera. Pliki instalowane przez demona są sprawdzane względem skrótów SHA-256. Żaden system nie jest jednak w pełni bezpieczny: jeśli Twój telefon jest odblokowany i połączony, każdy, kto go trzyma, może dostać się do Twoich serwerów przez Maude, więc używaj blokady ekranu.

Twoje prawa

Jeśli przebywasz w UE, Wielkiej Brytanii lub innym miejscu o podobnych przepisach, masz prawo dostępu do danych osobowych, które o Tobie przechowujemy, ich sprostowania, usunięcia, ograniczenia przetwarzania lub wniesienia sprzeciwu wobec sposobu, w jaki z nich korzystamy (w tym sprzeciwu wobec analityki w dowolnym momencie), a także prawo do otrzymania ich w formacie umożliwiającym przenoszenie. Gdy opieramy się na prawnie uzasadnionym interesie, możesz wnieść sprzeciw, a my zaprzestaniemy przetwarzania, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw. Mieszkańcy Kalifornii mają równoważne prawo do informacji i usunięcia danych, a my nie sprzedajemy ani nie udostępniamy danych osobowych w rozumieniu prawa kalifornijskiego.

Część z tych praw możesz wykonać samodzielnie w aplikacji: wyłączyć analitykę, usunąć urządzenia z przekaźnika, wyłączyć przekaźnik, usunąć serwery i sesje. We wszystkich innych sprawach napisz na pilotdevelopper@gmail.com. Nie znamy Twojego imienia i nazwiska ani adresu e-mail, chyba że nam je podasz, więc możemy poprosić o informację, która pomoże nam znaleźć Twoje dane, na przykład datę połączenia urządzenia albo numer zamówienia Twojej subskrypcji. Odpowiadamy w ciągu jednego miesiąca.

Możesz także wnieść skargę do organu ochrony danych. We Francji jest nim CNIL; możesz też zwrócić się do organu w miejscu swojego zamieszkania.

Dzieci

Maude to narzędzie dla programistów i nie jest przeznaczony dla dzieci. Nie korzystaj z niego, jeśli masz mniej niż 16 lat (lub mniej niż wynosi wiek zgody cyfrowej w Twoim kraju, jeśli jest wyższy). Jeśli uważasz, że dziecko przekazało nam dane osobowe, napisz do nas, a je usuniemy.

Zmiany tej polityki

Gdy Maude zacznie przetwarzać dane w inny sposób, zaktualizujemy tę stronę i zmienimy datę na górze. Jeśli zmiana istotnie wpływa na sposób wykorzystania Twoich danych, poinformujemy o tym również w aplikacji, zanim zacznie obowiązywać. Wcześniejsze wersje są dostępne na życzenie.

Kontakt

Pilot Dev (Lucas Bastien), Francja. E-mail: pilotdevelopper@gmail.com. Zobacz też nasz Regulamin.