Політика конфіденційності

Ця політика пояснює, які персональні дані обробляє Maude, куди вони передаються і що ви можете з цим зробити. Вона поширюється на застосунок Maude для iPhone, iPad та Android, сайт maude.pilotdev.fr, ретранслятор Maude і канал оновлень, який перевіряє демон Maude.

Maude видає Pilot Dev (Lucas Bastien), Франція. Щодо описаного тут оброблення Pilot Dev є контролером даних. Зв'язатися з нами можна за адресою pilotdevelopper@gmail.com.

Коротко

• Ваше листування, код, файли й входи агентів лишаються на вашому власному сервері. Maude встановлює туди невелику програму (демон), і саме там працюють і зберігаються сесії. Ми їх не отримуємо.
• Ваші SSH-паролі й ключі лишаються на вашому телефоні, у системній в'язці ключів. Вони ніколи не надсилаються нам.
• Ретранслятор не може читати ваші сесії. Коли телефон під'єднується до сервера через наш ретранслятор, трафік захищено наскрізним шифруванням із ключем, який є лише у ваших пристроїв.
• Деякі дані все ж потрапляють до нас або наших постачальників послуг: аналітика використання та звіти про збої (їх можна вимкнути), статус підписки, токени push-сповіщень, короткі тексти сповіщень і записи, потрібні ретранслятору для маршрутизації повідомлень.
• Ми не продаємо дані, не показуємо рекламу й не відстежуємо вас в інших застосунках і на інших сайтах. Сайт не встановлює cookie й не використовує аналітику.

Що ніколи до нас не потрапляє

Maude влаштована так, щоб важливе лишалося на обладнанні, яке контролюєте ви:

• Сесії та листування. Демон зберігає історію кожної сесії в ~/.maude/sessions на вашому сервері. Застосунок зберігає кешовану копію на телефоні, щоб швидко показувати сесії. Жодна з копій нам не надсилається.
• Облікові дані агентів і ключі API. Коли ви входите в Claude Code, Codex, OpenCode, Grok Build чи Antigravity або вставляєте ключ API, вхід виконується на вашому сервері. Ключі, введені в застосунку, зберігаються в ~/.maude/secrets.json на вашому сервері (доступні для читання лише цьому користувачу).
• Облікові дані SSH. Імена хостів, імена користувачів, паролі, закриті ключі й парольні фрази ключів зберігаються у в'язці ключів телефона (iOS) або в зашифрованому сховищі (Android).
• Прикріплені файли й фото. Вони передаються з телефона на сервер по SSH або через зашифрований ретранслятор.

Щойно щось опиняється на вашому сервері, обраний вами агент може надіслати це своєму постачальнику. Це стосується лише вас і його; див. розділ ШІ-агенти та інші сервіси нижче.

Які дані ми обробляємо

Дані	Де зберігаються	Навіщо	Правова підстава	Строк зберігання
Події використання: екрани й кроки, які ви проходите (знайомство із застосунком, екран оплати, додавання сервера, результати підключення й категорії збоїв, результати встановлення демона, дозвіл на сповіщення), а також версія застосунку, модель пристрою, версія ОС, мова й приблизне місцеперебування, визначене за IP-адресою. Прив'язані до випадкового ідентифікатора аналітики.	PostHog, хмара в ЄС (Франкфурт)	Зрозуміти, де налаштування не вдається і які функції використовуються	Законні інтереси (покращення застосунку). Ви можете відмовитися.	До 12 місяців
Записи сесій: запис інтерфейсу застосунку під час використання. Вміст листування, код, вміст файлів, вивід термінала, набрані повідомлення, облікові дані, імена хостів та імена користувачів маскуються до того, як будь-що залишить телефон.	PostHog, хмара в ЄС	Побачити, як люди насправді користуються застосунком, щоб виправити незрозумілі екрани	Законні інтереси. Ви можете відмовитися.	До 30 днів
Звіти про збої й помилки: тип і текст помилки, трасування стека, версія застосунку, пристрій і ОС.	PostHog, хмара в ЄС	Знаходити й виправляти помилки	Законні інтереси. Ви можете відмовитися.	До 12 місяців
Дані підписки: анонімний ідентифікатор покупки, придбані продукти, дати пробного періоду й продовження, країна й валюта магазину, прив'язані до вашого ідентифікатора аналітики.	RevenueCat (США); Apple або Google	Продавати й перевіряти вашу підписку, відновлювати покупки	Договір	Поки ви є клієнтом, потім стільки, скільки вимагає податкове й бухгалтерське законодавство
Ідентичність у ретрансляторі: випадковий ідентифікатор акаунта, по одному запису на пристрій (загальна назва на кшталт «Maude iOS», платформа, відкритий ключ, геш токена доступу, час створення й останньої активності).	Наш сервер ретранслятора	Дати вашим пристроям змогу зв'язуватися з вашими серверами й один з одним	Договір	Доки ви не видалите пристрій у розділі «Налаштування → Relay і пристрої»
Записи серверів у ретрансляторі: відображуване ім'я, яке ви дали кожному серверу, геш токена доступу, час створення й останньої активності, а також ключ даних вашого сервера, запечатаний для кожного з ваших пристроїв (ми не можемо їх розпечатати).	Наш сервер ретранслятора	Спрямовувати зашифрований трафік на потрібний сервер	Договір	Доки ви не вимкнете ретранслятор для цього сервера або не видалите сервер
Повідомлення в черзі: зашифровані повідомлення, надіслані, поки ваш сервер був недоступний.	Наш сервер ретранслятора	Доставити їх, коли сервер знову підключиться	Договір	Видаляються під час доставки або не пізніше ніж за 24 години
Push-токени: токен, який Firebase Cloud Messaging видає вашому пристрою.	Наш сервер ретранслятора; Google	Надсилати вам сповіщення	Договір	Доки ви не вимкнете сповіщення, не видалите пристрій або доки не спливе строк дії токена
Текст сповіщень: заголовок і текст завдовжки до 80 символів кожен, а також випадкові ідентифікатори сесії й сервера.	Проходить через наш ретранслятор, Google (FCM) і, на iOS, Apple (APNs). Ретранслятор його не зберігає.	Повідомляти вам, коли агенту потрібне підтвердження, він ставить запитання, завершує роботу чи стикається з помилкою	Договір	Нами не зберігається
Перевірки оновлень від демона: номер збірки, ОС, архітектура процесора, бібліотека C, прапорець можливостей процесора, версія середовища виконання, версії агентів, для яких зібрано демон, і найстаріша версія застосунку Maude, що використовувала цей сервер за останні 30 днів. Наш сервер бачить IP-адресу вашого сервера.	Наш сервер (журнали запитів)	Повідомляти демону, які перевірені версії агентів і оновлення демона йому слід встановити	Законні інтереси (підтримання працездатності й безпеки встановлень). Ви можете це вимкнути.	Журнали запитів: до 30 днів
Вебзапити: IP-адреса, час, запитана сторінка й user agent браузера, коли ви відвідуєте сайт або застосунок завантажує стрічку «Що нового».	Наш сервер (журнали запитів)	Обслуговувати сайт і забезпечувати його безпеку	Законні інтереси	До 30 днів
Листи, які ви нам надсилаєте.	Наша поштова скринька (Google)	Відповісти вам	Законні інтереси; договір, якщо лист стосується вашої покупки	Стільки, скільки потрібно, щоб вам допомогти, потім до 3 років

Аналітика, звіти про збої й записи сесій

Релізні збірки застосунку надсилають події використання, звіти про збої й записи сесій у PostHog — сервіс аналітики, яким ми користуємося в його хмарі в ЄС (сервери у Франкфурті). Це потрібно нам, щоб розуміти, де люди застрягають, — найчастіше під час підключення сервера, де й виникає більшість проблем.

Що це охоплює:

• Ідентифікатор. PostHog присвоює вашому встановленню випадковий ідентифікатор. Ми не пов'язуємо з ним ваше ім'я чи адресу електронної пошти. Той самий ідентифікатор ми передаємо RevenueCat, щоб розуміти, чи завершилася покупка.
• Події. Наприклад, «переглянуто сторінку знайомства», «сервер додано», «підключення не вдалося» з категорією збою на кшталт «timeout» чи «auth», «демон встановлено» з номерами збірок і кодами помилок, «ретранслятор підключено», а також відкриття застосунку чи його перехід у фон.
• Звіти про помилки включають текст помилки й трасування стека. Тексти пише код застосунку, але іноді в них може опинитися шлях чи ім'я хоста.
• Запис сесії фіксує екрани застосунку, щоб ми бачили, як відчувається сценарій. Усі частини застосунку, де показується вміст листування, код, diff, файли, вивід термінала, те, що ви пишете агенту, облікові дані, імена хостів чи імена користувачів, маскуються на телефоні до надсилання запису. Кнопки, меню й заголовки лишаються видимими.

Як вимкнути: відкрийте Налаштування → Конфіденційність → Надсилати аналітику використання. Поки параметр вимкнено, застосунок не надсилає в PostHog ні подій, ні звітів про збої, ні записів.

Ретранслятор

Ретранслятор за адресою relay.maude.pilotdev.fr дає застосунку змогу зв'язуватися з вашими серверами, коли SSH незручний (наприклад, через мобільний інтернет або за файрволом), а серверу — надсилати вам сповіщення. За замовчуванням його ввімкнено. Вимкнути його можна для всіх серверів у розділі Налаштування → Relay і пристрої або для одного сервера на сторінці цього сервера. Коли його вимкнено, застосунок зв'язується із сервером напряму по SSH, і push-сповіщення не надходять.

Як влаштоване шифрування: коли ви підключаєте сервер, телефон генерує для нього випадковий 256-бітний ключ і зберігає його у в'язці ключів. Кожне повідомлення між вашими пристроями й цим сервером шифрується цим ключем (AES-256-GCM) до того, як залишить пристрій. Щоб надати доступ іншим вашим пов'язаним пристроям, телефон окремо шифрує («запечатує») ключ для кожного з них за допомогою відкритого ключа цього пристрою. Ретранслятор зберігає ці запечатані копії, але не має ключа, яким їх можна відкрити.

Що бачить ретранслятор: який із ваших пристроїв і коли зв'язується з яким із ваших серверів, розмір повідомлень, чи перебуває в мережі кожен пристрій і сервер, відображувані імена, які ви дали серверам, і текст push-сповіщень (наступний розділ). Він також бачить IP-адреси, які використовує лише в пам'яті, щоб обмежувати зловживання частотою запитів. Його власні журнали записують ідентифікатори, типи подій і коди помилок, але не вміст повідомлень, токени чи IP-адреси. Мережеве обладнання нашого хостинг-провайдера може окремо записувати IP-адреси.

Видалення даних із ретранслятора: видалення пристрою в розділі Налаштування → Relay і пристрої видаляє запис цього пристрою, його токен доступу, запечатані ключі й push-токени. Видалення сервера в застосунку чи вимкнення для нього ретранслятора видаляє запис сервера, його запечатані ключі й усі повідомлення в черзі. Щоб видалити все одразу, включно із записом акаунта, напишіть нам.

Push-сповіщення

Якщо ви дозволите сповіщення, телефон отримає токен від Firebase Cloud Messaging (сервіс Google; на iPhone він передає повідомлення push-сервісу Apple). Застосунок реєструє цей токен у ретрансляторі. Коли агенту потрібні ви, демон на сервері надсилає ретранслятору коротке сповіщення, а ретранслятор передає його Google для доставки на кожен ваш пристрій, на якому застосунок зараз не відкрито.

Тексти сповіщень короткі, але під час передавання їх можуть прочитати ретранслятор, Google і Apple. Вони можуть містити:

• назву сесії (її можна перейменувати);
• однорядковий опис того, що хоче зробити агент, наприклад перший рядок команди чи ім'я файлу («Allow Run npm test?», «Allow Edit src/app.ts?»);
• перші слова запитання, яке ставить вам агент;
• перші слова повідомлення про помилку.

Кожна частина обрізається до 80 символів. Ретранслятор не зберігає текст сповіщень. Кожен тип сповіщень або всі одразу можна вимкнути в розділі Налаштування → Сповіщення. Якщо назви ваших сесій чи команди конфіденційні, вимкніть непотрібні категорії.

Демон на вашому сервері

Щоб запускати агентів, Maude встановлює на кожен під'єднаний сервер програму — демон Maude — у ~/.maude для користувача, під яким ви ввійшли. Лише на цьому сервері він зберігає:

• історію сесій (~/.maude/sessions) і власний журнал демона (daemon.log);
• ключі API, введені в застосунку (secrets.json), параметри підключення до ретранслятора (relay.json), налаштування сповіщень і безпеки;
• програми агентів, які він встановлює (~/.maude/engines), і середовище виконання JavaScript, на якому він працює;
• версії застосунку Maude, що підключалися за останні 30 днів (лише номери версій).

Демон ніколи не надсилає нам цей вміст. Власні мережеві запити він робить такі:

• Перевірка оновлень кожні 6 годин на maude.pilotdev.fr. Надсилаються технічні відомості, перелічені в таблиці вище, і нічого про вас чи ваші сесії. Відповідь повідомляє, які перевірені версії агентів використовувати й чи доступна новіша версія демона. Кожне завантаження перед використанням звіряється з опублікованим гешем SHA-256. Задайте MAUDE_CHANNEL=off у середовищі демона, щоб вимкнути перевірку, або MAUDE_SELF_UPDATE=off, щоб вимкнути лише самооновлення демона.
• Завантаження в постачальників, коли він встановлює чи оновлює агента або його середовище виконання: Anthropic (downloads.claude.ai), GitHub (Codex, середовище виконання Bun), реєстр npm, Google Cloud Storage (Grok Build, Antigravity) і скрипти встановлення постачальників. Ці постачальники бачать IP-адресу вашого сервера, як і під час будь-якого завантаження.
• Ретранслятор, якщо його ввімкнено, через зашифрований WebSocket.

Щоб видалити демон, виконайте на сервері ~/.maude/bin/maude uninstall-service і видаліть ~/.maude. Видалення сесії в застосунку видаляє її історію на сервері.

ШІ-агенти та інші сервіси

Maude запускає обраних вами агентів і керує ними: Claude Code (Anthropic), Codex (OpenAI), OpenCode (може використовувати безліч постачальників моделей), Grok Build (xAI) та Antigravity (Google). Вони працюють на вашому сервері під вашими власними акаунтами. Коли ви надсилаєте запит, агент надсилає ваш запит, а також код і файли, які він читає, своєму постачальнику для оброблення. Цей постачальник обробляє дані на умовах власних угод і політики конфіденційності, виступаючи щодо них контролером. Ми не беремо участі в цьому обміні й не можемо його бачити.

Перш ніж використовувати агента з конфіденційним кодом, ознайомтеся з політикою постачальника: Anthropic, OpenAI, xAI, Google, а також із політикою того постачальника, якого ви налаштуєте в OpenCode.

Те саме стосується всього іншого, з чим взаємодіють ваші агенти чи ваш сервер, наприклад GitHub, коли ви робите push коду чи відкриваєте pull request із застосунку (Maude запускає git та інструмент GitHub gh на вашому сервері з вашими обліковими даними).

Сайт

maude.pilotdev.fr не встановлює cookie, не використовує аналітики й скриптів відстеження та завантажує шрифти з нашого власного сервера. Посилання на App Store і Google Play містять мітку з назвою сторінки, з якої ви перейшли, щоб Apple і Google могли повідомити нам в узагальненому вигляді, скільки встановлень принесла сторінка. Наш сервер веде звичайні журнали запитів (див. таблицю).

Підписки й платежі

Покупки проходять через App Store від Apple або Google Play. Ми ніколи не бачимо даних вашої картки, імені чи платіжної адреси. RevenueCat, сервіс підписок, яким ми користуємося, отримує квитанцію від магазину й повідомляє застосунку, чи активна ваша підписка. RevenueCat використовує анонімний ідентифікатор; він не знає, хто ви, якщо магазин йому цього не повідомить. Apple і Google обробляють ваш платіж відповідно до власних політик конфіденційності.

На вашому телефоні

Застосунок зберігає на пристрої: список серверів і налаштування, кеш нещодавніх сесій, ненадіслані чернетки, уподобання, а у в'язці ключів чи зашифрованому сховищі — ваші облікові дані SSH, ключі ретранслятора й кілька випадкових ідентифікаторів. Видалення застосунку видаляє більшу частину цього. На iOS елементи в'язки ключів можуть зберегтися після перевстановлення.

Застосунок запитує доступ до камери лише тоді, коли ви скануєте код налаштування чи робите фото для вкладення, а до фото — лише коли ви обираєте знімок для вкладення. Зображення надсилаються на ваш сервер, а не нам. Застосунок не використовує ваше місцеперебування, контакти чи рекламний ідентифікатор.

З ким ми ділимося даними

Ми не продаємо персональних даних і не передаємо їх для реклами. Ці постачальники обробляють дані за нашим дорученням:

Постачальник	Для чого	Місцезнаходження
PostHog Inc.	Аналітика, звіти про збої, записи сесій	ЄС (Франкфурт)
RevenueCat Inc.	Керування підписками	США
Google LLC (Firebase Cloud Messaging), Google Play	Доставка push-сповіщень; покупки на Android	США й по всьому світу
Apple Inc. (APNs, App Store)	Доставка push-сповіщень на iOS; покупки на iOS	США й по всьому світу
Hetzner Online GmbH	Хостинг сайту, ретранслятора й каналу оновлень	ЄС (Німеччина / Фінляндія)

Ми також можемо розкрити дані, якщо цього вимагає закон, або щоб захистити наших користувачів чи сервіс від зловживань.

Міжнародне передавання даних

Деякі з перелічених постачальників перебувають у США. Коли персональні дані залишають Європейський економічний простір, передавання ґрунтується на Рамковій програмі конфіденційності даних ЄС–США (EU–US Data Privacy Framework), якщо постачальника за нею сертифіковано, або на Стандартних договірних положеннях Європейської комісії.

Безпека

Трафік ретранслятора між вашими пристроями й серверами захищено наскрізним шифруванням. Ретранслятор зберігає лише геші токенів доступу, але не самі токени. Облікові дані на телефоні зберігаються в захищеному сховищі платформи. Файли демона, що містять секрети, доступні для читання лише користувачу сервера. Завантаження, які встановлює демон, звіряються з гешами SHA-256. Утім, жодна система не є абсолютно захищеною: якщо ваш телефон розблоковано й пов'язано із серверами, будь-хто, у кого він у руках, може дістатися до ваших серверів через Maude, тож не вимикайте блокування екрана.

Ваші права

Якщо ви перебуваєте в ЄС, Великій Британії чи іншому місці з подібним законодавством, ви маєте право на доступ до персональних даних, які ми про вас зберігаємо, на їх виправлення й видалення, на обмеження їх оброблення чи заперечення проти нього (зокрема на заперечення проти аналітики будь-коли), а також на отримання їх у формі, придатній для перенесення. Якщо оброблення ґрунтується на законних інтересах, ви можете заперечити проти нього, і ми припинимо його, якщо не маємо переконливих підстав для його продовження. Мешканці Каліфорнії мають аналогічні права на отримання відомостей і видалення даних, і ми не продаємо персональної інформації й не ділимося нею в тому значенні, в якому ці терміни визначає законодавство Каліфорнії.

Багато з цього ви можете зробити самі в застосунку: вимкнути аналітику, видалити пристрої з ретранслятора, вимкнути ретранслятор, видалити сервери й сесії. З усіх інших питань пишіть на pilotdevelopper@gmail.com. Ми не знаємо вашого імені чи адреси електронної пошти, якщо ви самі нам їх не повідомили, тож можемо попросити відомості, що допоможуть знайти ваші записи, наприклад коли ви пов'язали пристрій або номер замовлення вашої підписки. Ми відповідаємо протягом одного місяця.

Ви також можете подати скаргу до наглядового органу із захисту даних. У Франції це CNIL; ви також можете звернутися до органу за місцем вашого проживання.

Діти

Maude — інструмент для розробників програмного забезпечення й не призначений для дітей. Не користуйтеся ним, якщо вам менше 16 років (або менше віку цифрової згоди за місцем вашого проживання, якщо він вищий). Якщо ви вважаєте, що дитина передала нам персональні дані, напишіть нам, і ми їх видалимо.

Зміни цієї політики

Якщо Maude почне обробляти дані інакше, ми оновимо цю сторінку й змінимо дату вгорі. Якщо зміна суттєво впливає на використання ваших даних, ми також повідомимо про це в застосунку до набрання нею чинності. Попередні версії надаються на запит.

Контакти

Pilot Dev (Lucas Bastien), Франція. Ел. пошта: pilotdevelopper@gmail.com. Див. також наші Умови використання.