Политика конфиденциальности

Эта политика объясняет, какие персональные данные обрабатывает Maude, куда они передаются и что вы можете с этим сделать. Она распространяется на приложение Maude для iPhone, iPad и Android, сайт maude.pilotdev.fr, ретранслятор Maude и канал обновлений, который проверяет демон Maude.

Maude издаётся Pilot Dev (Lucas Bastien), Франция. В отношении описанной здесь обработки Pilot Dev является контролёром данных. Связаться с нами можно по адресу pilotdevelopper@gmail.com.

Коротко

• Ваша переписка, код, файлы и входы агентов остаются на вашем собственном сервере. Maude устанавливает туда небольшую программу (демон), и именно там работают и хранятся сессии. Мы их не получаем.
• Ваши SSH-пароли и ключи остаются на вашем телефоне, в системной связке ключей. Они никогда не отправляются нам.
• Ретранслятор не может читать ваши сессии. Когда телефон подключается к серверу через наш ретранслятор, трафик защищён сквозным шифрованием с ключом, который есть только у ваших устройств.
• Некоторые данные всё же попадают к нам или нашим поставщикам услуг: аналитика использования и отчёты о сбоях (их можно отключить), статус подписки, токены push-уведомлений, короткие тексты уведомлений и записи, необходимые ретранслятору для маршрутизации сообщений.
• Мы не продаём данные, не показываем рекламу и не отслеживаем вас в других приложениях и на других сайтах. Сайт не устанавливает cookie и не использует аналитику.

Что никогда к нам не попадает

Maude устроена так, чтобы важное оставалось на оборудовании, которое контролируете вы:

• Сессии и переписка. Демон хранит историю каждой сессии в ~/.maude/sessions на вашем сервере. Приложение хранит кэшированную копию на телефоне, чтобы быстро показывать сессии. Ни одна из копий нам не отправляется.
• Учётные данные агентов и ключи API. Когда вы входите в Claude Code, Codex, OpenCode, Grok Build или Antigravity или вставляете ключ API, вход выполняется на вашем сервере. Ключи, введённые в приложении, сохраняются в ~/.maude/secrets.json на вашем сервере (доступны для чтения только этому пользователю).
• Учётные данные SSH. Имена хостов, имена пользователей, пароли, закрытые ключи и парольные фразы ключей хранятся в связке ключей телефона (iOS) или в зашифрованном хранилище (Android).
• Прикреплённые файлы и фото. Они передаются с телефона на сервер по SSH или через зашифрованный ретранслятор.

Как только что-то оказывается на вашем сервере, выбранный вами агент может отправить это своему поставщику. Это касается только вас и его; см. раздел ИИ-агенты и другие сервисы ниже.

Какие данные мы обрабатываем

Данные	Где хранятся	Зачем	Правовое основание	Срок хранения
События использования: экраны и шаги, которые вы проходите (знакомство с приложением, экран оплаты, добавление сервера, результаты подключения и категории сбоев, результаты установки демона, разрешение на уведомления), а также версия приложения, модель устройства, версия ОС, язык и приблизительное местоположение, определённое по IP-адресу. Привязаны к случайному идентификатору аналитики.	PostHog, облако в ЕС (Франкфурт)	Понять, где настройка не удаётся и какие функции используются	Законные интересы (улучшение приложения). Вы можете отказаться.	До 12 месяцев
Записи сессий: запись интерфейса приложения во время использования. Содержимое переписки, код, содержимое файлов, вывод терминала, набираемые сообщения, учётные данные, имена хостов и имена пользователей маскируются до того, как что-либо покинет телефон.	PostHog, облако в ЕС	Увидеть, как люди на самом деле пользуются приложением, чтобы исправить непонятные экраны	Законные интересы. Вы можете отказаться.	До 30 дней
Отчёты о сбоях и ошибках: тип и текст ошибки, трассировка стека, версия приложения, устройство и ОС.	PostHog, облако в ЕС	Находить и исправлять ошибки	Законные интересы. Вы можете отказаться.	До 12 месяцев
Данные подписки: анонимный идентификатор покупки, купленные продукты, даты пробного периода и продления, страна и валюта магазина, привязанные к вашему идентификатору аналитики.	RevenueCat (США); Apple или Google	Продавать и проверять вашу подписку, восстанавливать покупки	Договор	Пока вы являетесь клиентом, затем столько, сколько требует налоговое и бухгалтерское законодательство
Идентичность в ретрансляторе: случайный идентификатор аккаунта, по одной записи на устройство (общее название вроде «Maude iOS», платформа, открытый ключ, хеш токена доступа, время создания и последней активности).	Наш сервер ретранслятора	Позволить вашим устройствам связываться с вашими серверами и друг с другом	Договор	Пока вы не удалите устройство в разделе «Настройки → Ретранслятор и устройства»
Записи серверов в ретрансляторе: отображаемое имя, которое вы дали каждому серверу, хеш токена доступа, время создания и последней активности, а также ключ данных вашего сервера, запечатанный для каждого из ваших устройств (мы не можем их вскрыть).	Наш сервер ретранслятора	Направлять зашифрованный трафик на нужный сервер	Договор	Пока вы не отключите ретранслятор для этого сервера или не удалите сервер
Сообщения в очереди: зашифрованные сообщения, отправленные, пока ваш сервер был недоступен.	Наш сервер ретранслятора	Доставить их, когда сервер снова подключится	Договор	Удаляются при доставке или не позднее чем через 24 часа
Push-токены: токен, который Firebase Cloud Messaging выдаёт вашему устройству.	Наш сервер ретранслятора; Google	Отправлять вам уведомления	Договор	Пока вы не отключите уведомления, не удалите устройство или пока не истечёт срок действия токена
Текст уведомлений: заголовок и текст длиной до 80 символов каждый, а также случайные идентификаторы сессии и сервера.	Проходит через наш ретранслятор, Google (FCM) и, на iOS, Apple (APNs). Ретранслятор его не хранит.	Сообщать вам, когда агенту нужно подтверждение, он задаёт вопрос, завершает работу или сталкивается с ошибкой	Договор	Нами не хранится
Проверки обновлений от демона: номер сборки, ОС, архитектура процессора, библиотека C, флаг возможностей процессора, версия среды выполнения, версии агентов, для которых собран демон, и самая старая версия приложения Maude, использовавшая этот сервер за последние 30 дней. Наш сервер видит IP-адрес вашего сервера.	Наш сервер (журналы запросов)	Сообщать демону, какие проверенные версии агентов и обновления демона ему следует установить	Законные интересы (поддержание работоспособности и безопасности установок). Вы можете это отключить.	Журналы запросов: до 30 дней
Веб-запросы: IP-адрес, время, запрошенная страница и user agent браузера, когда вы посещаете сайт или приложение загружает ленту «Что нового».	Наш сервер (журналы запросов)	Обслуживать сайт и обеспечивать его безопасность	Законные интересы	До 30 дней
Письма, которые вы нам отправляете.	Наш почтовый ящик (Google)	Ответить вам	Законные интересы; договор, если письмо касается вашей покупки	Столько, сколько нужно, чтобы вам помочь, затем до 3 лет

Аналитика, отчёты о сбоях и записи сессий

Релизные сборки приложения отправляют события использования, отчёты о сбоях и записи сессий в PostHog — сервис аналитики, которым мы пользуемся в его облаке в ЕС (серверы во Франкфурте). Это нужно нам, чтобы понимать, где люди застревают, — чаще всего при подключении сервера, где и возникает большинство проблем.

Что это включает:

• Идентификатор. PostHog присваивает вашей установке случайный идентификатор. Мы не связываем с ним ваше имя или адрес электронной почты. Тот же идентификатор мы передаём RevenueCat, чтобы понимать, завершилась ли покупка.
• События. Например, «просмотрена страница знакомства», «сервер добавлен», «подключение не удалось» с категорией сбоя вроде «timeout» или «auth», «демон установлен» с номерами сборок и кодами ошибок, «ретранслятор подключён», а также открытие приложения или его переход в фон.
• Отчёты об ошибках включают текст ошибки и трассировку стека. Тексты пишет код приложения, но иногда в них может оказаться путь или имя хоста.
• Запись сессии фиксирует экраны приложения, чтобы мы видели, как ощущается сценарий. Все части приложения, где показывается содержимое переписки, код, diff, файлы, вывод терминала, то, что вы пишете агенту, учётные данные, имена хостов или имена пользователей, маскируются на телефоне до отправки записи. Кнопки, меню и заголовки остаются видимыми.

Как отключить: откройте Настройки → Конфиденциальность → Делиться аналитикой использования. Пока параметр выключен, приложение не отправляет в PostHog ни событий, ни отчётов о сбоях, ни записей.

Ретранслятор

Ретранслятор по адресу relay.maude.pilotdev.fr позволяет приложению связываться с вашими серверами, когда SSH неудобен (например, через мобильный интернет или за файрволом), а серверу — отправлять вам уведомления. По умолчанию он включён. Отключить его можно для всех серверов в разделе Настройки → Ретранслятор и устройства или для одного сервера на странице этого сервера. Когда он выключен, приложение связывается с сервером напрямую по SSH, и push-уведомления не приходят.

Как устроено шифрование: когда вы подключаете сервер, телефон генерирует для него случайный 256-битный ключ и хранит его в связке ключей. Каждое сообщение между вашими устройствами и этим сервером шифруется этим ключом (AES-256-GCM) до того, как покинет устройство. Чтобы дать доступ другим вашим связанным устройствам, телефон отдельно шифрует («запечатывает») ключ для каждого из них с помощью открытого ключа этого устройства. Ретранслятор хранит эти запечатанные копии, но не имеет ключа, которым их можно открыть.

Что видит ретранслятор: какое из ваших устройств и когда связывается с каким из ваших серверов, размер сообщений, находится ли каждое устройство и сервер в сети, отображаемые имена, которые вы дали серверам, и текст push-уведомлений (следующий раздел). Он также видит IP-адреса, которые использует только в памяти, чтобы ограничивать злоупотребления частотой запросов. Его собственные журналы записывают идентификаторы, типы событий и коды ошибок, но не содержимое сообщений, токены или IP-адреса. Сетевое оборудование нашего хостинг-провайдера может отдельно записывать IP-адреса.

Удаление данных из ретранслятора: удаление устройства в разделе Настройки → Ретранслятор и устройства удаляет запись этого устройства, его токен доступа, запечатанные ключи и push-токены. Удаление сервера в приложении или отключение для него ретранслятора удаляет запись сервера, его запечатанные ключи и все сообщения в очереди. Чтобы удалить всё сразу, включая запись аккаунта, напишите нам.

Push-уведомления

Если вы разрешите уведомления, телефон получит токен от Firebase Cloud Messaging (сервис Google; на iPhone он передаёт сообщение push-сервису Apple). Приложение регистрирует этот токен в ретрансляторе. Когда агенту нужны вы, демон на сервере отправляет ретранслятору короткое уведомление, а ретранслятор передаёт его Google для доставки на каждое ваше устройство, на котором приложение сейчас не открыто.

Тексты уведомлений короткие, но во время передачи их могут прочитать ретранслятор, Google и Apple. Они могут содержать:

• название сессии (его можно переименовать);
• однострочное описание того, что хочет сделать агент, например первую строку команды или имя файла («Allow Run npm test?», «Allow Edit src/app.ts?»);
• первые слова вопроса, который задаёт вам агент;
• первые слова сообщения об ошибке.

Каждая часть обрезается до 80 символов. Ретранслятор не хранит текст уведомлений. Каждый тип уведомлений или все сразу можно отключить в разделе Настройки → Уведомления. Если названия ваших сессий или команды конфиденциальны, отключите ненужные категории.

Демон на вашем сервере

Чтобы запускать агентов, Maude устанавливает на каждый подключённый сервер программу — демон Maude — в ~/.maude для пользователя, под которым вы вошли. Только на этом сервере он хранит:

• историю сессий (~/.maude/sessions) и собственный журнал демона (daemon.log);
• ключи API, введённые в приложении (secrets.json), параметры подключения к ретранслятору (relay.json), настройки уведомлений и безопасности;
• программы агентов, которые он устанавливает (~/.maude/engines), и среду выполнения JavaScript, на которой он работает;
• версии приложения Maude, подключавшиеся за последние 30 дней (только номера версий).

Демон никогда не отправляет нам это содержимое. Собственные сетевые запросы он делает такие:

• Проверка обновлений каждые 6 часов на maude.pilotdev.fr. Отправляются технические сведения, перечисленные в таблице выше, и ничего о вас или ваших сессиях. Ответ сообщает, какие проверенные версии агентов использовать и доступна ли более новая версия демона. Каждая загрузка перед использованием сверяется с опубликованным хешем SHA-256. Задайте MAUDE_CHANNEL=off в окружении демона, чтобы отключить проверку, или MAUDE_SELF_UPDATE=off, чтобы отключить только самообновление демона.
• Загрузки у поставщиков, когда он устанавливает или обновляет агента или его среду выполнения: Anthropic (downloads.claude.ai), GitHub (Codex, среда выполнения Bun), реестр npm, Google Cloud Storage (Grok Build, Antigravity) и скрипты установки поставщиков. Эти поставщики видят IP-адрес вашего сервера, как и при любой загрузке.
• Ретранслятор, если он включён, через зашифрованный WebSocket.

Чтобы удалить демон, выполните на сервере ~/.maude/bin/maude uninstall-service и удалите ~/.maude. Удаление сессии в приложении удаляет её историю на сервере.

ИИ-агенты и другие сервисы

Maude запускает выбранных вами агентов и управляет ими: Claude Code (Anthropic), Codex (OpenAI), OpenCode (может использовать множество поставщиков моделей), Grok Build (xAI) и Antigravity (Google). Они работают на вашем сервере под вашими собственными аккаунтами. Когда вы отправляете запрос, агент отправляет ваш запрос, а также код и файлы, которые он читает, своему поставщику для обработки. Этот поставщик обрабатывает данные на условиях своих собственных соглашений и политики конфиденциальности, выступая в отношении них контролёром. Мы не участвуем в этом обмене и не можем его видеть.

Прежде чем использовать агента с конфиденциальным кодом, ознакомьтесь с политикой поставщика: Anthropic, OpenAI, xAI, Google, а также с политикой того поставщика, которого вы настроите в OpenCode.

То же относится ко всему остальному, с чем взаимодействуют ваши агенты или ваш сервер, например к GitHub, когда вы делаете push кода или открываете pull request из приложения (Maude запускает git и инструмент GitHub gh на вашем сервере с вашими учётными данными).

Сайт

maude.pilotdev.fr не устанавливает cookie, не использует аналитику и скрипты отслеживания и загружает шрифты с нашего собственного сервера. Ссылки на App Store и Google Play содержат метку с названием страницы, с которой вы перешли, чтобы Apple и Google могли сообщить нам в обобщённом виде, сколько установок принесла страница. Наш сервер ведёт обычные журналы запросов (см. таблицу).

Подписки и платежи

Покупки проходят через App Store от Apple или Google Play. Мы никогда не видим данные вашей карты, имя или платёжный адрес. RevenueCat, сервис подписок, которым мы пользуемся, получает квитанцию от магазина и сообщает приложению, активна ли ваша подписка. RevenueCat использует анонимный идентификатор; он не знает, кто вы, если магазин ему этого не сообщит. Apple и Google обрабатывают ваш платёж в соответствии со своими политиками конфиденциальности.

На вашем телефоне

Приложение хранит на устройстве: список серверов и настройки, кэш недавних сессий, неотправленные черновики, предпочтения, а в связке ключей или зашифрованном хранилище — ваши учётные данные SSH, ключи ретранслятора и несколько случайных идентификаторов. Удаление приложения удаляет большую часть этого. На iOS элементы связки ключей могут сохраниться после переустановки.

Приложение запрашивает доступ к камере только когда вы сканируете код настройки или делаете фото для вложения, а к фото — только когда вы выбираете снимок для вложения. Изображения отправляются на ваш сервер, а не нам. Приложение не использует ваше местоположение, контакты или рекламный идентификатор.

С кем мы делимся данными

Мы не продаём персональные данные и не передаём их для рекламы. Эти поставщики обрабатывают данные по нашему поручению:

Поставщик	Для чего	Местонахождение
PostHog Inc.	Аналитика, отчёты о сбоях, записи сессий	ЕС (Франкфурт)
RevenueCat Inc.	Управление подписками	США
Google LLC (Firebase Cloud Messaging), Google Play	Доставка push-уведомлений; покупки на Android	США и по всему миру
Apple Inc. (APNs, App Store)	Доставка push-уведомлений на iOS; покупки на iOS	США и по всему миру
Hetzner Online GmbH	Хостинг сайта, ретранслятора и канала обновлений	ЕС (Германия / Финляндия)

Мы также можем раскрыть данные, если этого требует закон, или чтобы защитить наших пользователей или сервис от злоупотреблений.

Международная передача данных

Некоторые из перечисленных поставщиков находятся в США. Когда персональные данные покидают Европейскую экономическую зону, передача основывается на Рамочной программе конфиденциальности данных ЕС–США (EU–US Data Privacy Framework), если поставщик сертифицирован по ней, или на Стандартных договорных положениях Европейской комиссии.

Безопасность

Трафик ретранслятора между вашими устройствами и серверами защищён сквозным шифрованием. Ретранслятор хранит только хеши токенов доступа, но не сами токены. Учётные данные на телефоне хранятся в защищённом хранилище платформы. Файлы демона, содержащие секреты, доступны для чтения только пользователю сервера. Загрузки, которые устанавливает демон, сверяются с хешами SHA-256. Тем не менее ни одна система не является абсолютно защищённой: если ваш телефон разблокирован и связан с серверами, любой, у кого он в руках, может добраться до ваших серверов через Maude, поэтому не отключайте блокировку экрана.

Ваши права

Если вы находитесь в ЕС, Великобритании или другом месте с аналогичным законодательством, вы имеете право на доступ к персональным данным, которые мы о вас храним, на их исправление и удаление, на ограничение их обработки или возражение против неё (в том числе на возражение против аналитики в любое время), а также на получение их в переносимом формате. Если обработка основана на законных интересах, вы можете возразить против неё, и мы прекратим её, если у нас нет убедительных оснований для её продолжения. Жители Калифорнии имеют аналогичные права на получение сведений и удаление данных, и мы не продаём персональную информацию и не делимся ею в том смысле, в каком эти термины определяет законодательство Калифорнии.

Многое из этого вы можете сделать сами в приложении: отключить аналитику, удалить устройства из ретранслятора, отключить ретранслятор, удалить серверы и сессии. По всем остальным вопросам пишите на pilotdevelopper@gmail.com. Мы не знаем вашего имени или адреса электронной почты, если вы сами их нам не сообщили, поэтому можем попросить сведения, которые помогут найти ваши записи, например когда вы связали устройство или номер заказа вашей подписки. Мы отвечаем в течение одного месяца.

Вы также можете подать жалобу в надзорный орган по защите данных. Во Франции это CNIL; вы также можете обратиться в орган по месту вашего проживания.

Дети

Maude — инструмент для разработчиков программного обеспечения и не предназначен для детей. Не пользуйтесь им, если вам меньше 16 лет (или меньше возраста цифрового согласия в месте вашего проживания, если он выше). Если вы считаете, что ребёнок передал нам персональные данные, напишите нам, и мы их удалим.

Изменения этой политики

Если Maude начнёт обрабатывать данные иначе, мы обновим эту страницу и изменим дату вверху. Если изменение существенно влияет на использование ваших данных, мы также сообщим об этом в приложении до его вступления в силу. Предыдущие версии предоставляются по запросу.

Контакты

Pilot Dev (Lucas Bastien), Франция. Эл. почта: pilotdevelopper@gmail.com. См. также наши Условия использования.