Конфиденциальность и хранение
Сколько хранится каждый вид файлов, кто их получает и что записывается об аккаунте.
Что происходит с вашими файлами
Они лежат в хранилище, которым управляем мы. У одних есть срок, у других нет, и таблица показывает, у каких.
| Что | Сколько хранится | Как убрать раньше |
|---|---|---|
| Генерации, то есть результаты свопа | 30 дней после завершения свопа. | Удалите генерацию или весь своп. |
| Фото и видео, на которые переносится лицо | 30 дней после завершения свопа, в котором они использованы. Файл, который ещё нужен более новому свопу или сохранённому лицу, остаётся на это время. | Удалите генерацию, сделанную из этого файла. |
| Загрузки, на которые не ссылается ни один своп | Срока нет. Это загрузка, которую вы так и не использовали, или та, что осталась после удаления свопа целиком. | Напишите на faceswaping@proton.me. |
| Фото лиц | Срока нет. Удаление через 30 дней их не затрагивает, сохранено ли лицо в библиотеке или использовано один раз. | Удаление сохранённого лица убирает его из библиотеки, но фото остаются. Чтобы их стёрли, напишите на faceswaping@proton.me. |
| Файл, который отклонила автоматическая проверка | Удаляется сразу. | Делать ничего не нужно. |
| Файл, по которому проверка так и не ответила | Примерно через сутки откладывается туда, откуда ничего не раздаётся, пока решение не примет человек. Срока нет. | Напишите на faceswaping@proton.me. |
| Запись о свопе | Остаётся и после удаления файлов: что было на входе, опции, цена и чем всё закончилось. | Удаление свопа удаляет и запись. Остаётся одна строка в журнале аудита, с идентификатором свопа и тем, кто его удалил. |
| Копия у сервиса, который делает своп | 24 часа после завершения свопа, если сервис не объявил другой срок. | При удалении свопа мы просим сервис стереть копию. |
Где хранятся мои файлы?
В бакете Cloudflare R2, которым управляем мы. Загрузка идёт из вашего браузера прямо в бакет, а готовая генерация копируется туда из сервиса, который делает своп.
Кто может открыть сохранённый файл?
Все участники вашей команды видят в приложении её загрузки, сохранённые лица и генерации. Кроме того, у сохранённого файла есть публичный адрес на нашем домене. Он нигде не опубликован и состоит из длинных сгенерированных идентификаторов, но входа не требует. Поэтому любой, кому вы дадите этот адрес, сможет открыть файл, пока файл не удалён.
Что здесь значит «удалено»?
Файл стирается из бакета, приложение перестаёт его отдавать и не берёт в своп. Удаление через 30 дней запускается раз в сутки, поэтому файлы исчезают в пределах примерно суток после этого срока. Запись о свопе остаётся и помечается как истёкшая.
Обучают ли на моих загрузках модель?
Нет. Ни приложение, ни сервис модерации не используют загрузки, лица или генерации, чтобы обучать или настраивать модель. Приложение не хранит ни эмбеддингов лица, ни биометрических шаблонов. Сохранённое лицо это имя и его фото, и для каждого свопа эти фото отправляются заново.
Кто ещё получает файл
Файл покидает наше хранилище ради двух задач: свопа и автоматической проверки.
| Кто | Что получает | Что хранит |
|---|---|---|
| Cloudflare R2, хранилище | Все загрузки, фото лиц и генерации. | Каждый файл, пока он не удалён, как в таблице выше. |
| Сервис, который делает своп и запускает модель | Ссылки на фото лиц, на фото и видео, куда переносится лицо, и на аудиодорожку для синхронизации губ, а также выбранные опции. Он же читает файл, когда вы просите студию показать лица в нём. | Свою копию и результат 24 часа после завершения свопа, если не объявил другой срок. |
| Сервис модерации | Короткоживущую ссылку на каждое загруженное фото, видео и лицо. Файл, переданный в API ссылкой, уходит ему в виде этой же ссылки. Этот же сервис делает миниатюру, если её не смог сделать браузер, и собирает архив, когда вы скачиваете несколько генераций сразу. | У него нет базы данных, и проверяемый файл он не хранит. Архив сохраняется, чтобы его можно было скачать. |
| Модель модерации, к которой обращается сервис модерации | Каждое фото, как изображение. Из видео от 5 до 20 уменьшенных кадров. В запросе есть только изображение и ничего о вашем аккаунте. | Это определяют условия её поставщика, а не наши. |
Получает ли мои файлы кто-то, кого нет в таблице ниже?
Нет. Платёжный сервис, почтовый провайдер и счётчик просмотров страниц файлов не получают. Файлы не продаются и никому не передаются для рекламы.
Кто получает другие данные обо мне?
Vercel размещает приложение и считает просмотры страниц. NOWPayments принимает оплату. Resend доставляет письма, поэтому получает ваш адрес и текст письма. Google или Discord участвуют, только если вы входите через них. Публичную доску поддержки ведёт Featurebase, и всё, что вы там пишете, видно всем.
Что мы о вас знаем
Для аккаунта нужен адрес почты и больше ничего. Вот что записывается вокруг него.
- Вход
- Код или ссылка на почту, пароль, ключ доступа (passkey) либо аккаунт Google или Discord. Второй фактор из приложения-аутентификатора включается по желанию. Регистрация с одноразовых почтовых доменов отклоняется.
- Ваш аккаунт
- Адрес почты и идентификатор Google или Discord, если вы входите через них. Пароль хранится в виде хеша. Имя пользователя составляется из части адреса до знака @, а отображаемое имя можно не указывать.
- Мини-приложение в Telegram
- Когда вы открываете наше мини-приложение в Telegram, аккаунт создаётся по данным, которые передаёт Telegram: ваш идентификатор и имя из профиля. Мы сохраняем только их: ни номера телефона, ни фотографии, ни контактов. У такого аккаунта нет адреса почты, поэтому писем мы ему не отправляем. Cookie мини-приложение не ставит: сессия хранится в памяти, пока оно открыто. Чтобы удалить такой аккаунт, напишите в поддержку. Пакет, оплаченный там звёздами Telegram, записывается как любая покупка: с идентификатором платежа Telegram и идентификатором Telegram плательщика.
- Каждая сессия
- Её IP-адрес, user agent браузера и примерное место, которое хостинг определяет по этому адресу: город, регион, страна и координаты. Город, регион и страна также записываются один раз при регистрации. Список сессий есть в разделе «Настройки», «Безопасность». В письме о входе с нового устройства этот IP-адрес указан.
- IP-адреса в лимитах запросов
- Вход, регистрация и стартовое начисление считаются по самому IP-адресу, и эти счётчики удаляются в течение 3 дней. Форма жалобы считает хеш адреса с ключом и сам адрес не сохраняет.
- Откуда вы пришли
- Если вы пришли с другого сайта или по ссылке с метками, cookie на 30 дней запоминает хост этого сайта, метки кампании и страницу, на которую вы попали. При регистрации они сохраняются вместе с аккаунтом. Ни IP-адреса, ни user agent в этой записи нет.
- Партнёрские ссылки
- Переход по такой ссылке записывается как клик: страница, на которую она вела, user agent браузера и, самое большее, хеш IP-адреса с ключом, но не сам адрес. Клик, после которого не было регистрации, удаляется через 37 дней. Клик, после которого она была, остаётся.
- Возраст и согласие
- Перед первым свопом вы подтверждаете, что вам есть 18 и что все, чьи лица вы загружаете, совершеннолетние и дали согласие. Дата этого подтверждения хранится в аккаунте.
- Платежи
- По каждой покупке мы храним пак, сумму в долларах США, идентификатор счёта, его статус и аккаунт, который платил. При оплате не спрашиваются ни номер карты, ни имя плательщика, ни почтовый адрес.
- Просмотры страниц
- Их считает хостинг, без cookie: путь страницы и источник перехода. Страницы, адрес которых сам служит ключом, то есть партнёрский кабинет и приглашения, ничего не отправляют, а из остальных адресов сначала убираются все параметры, кроме меток кампании. Других трекеров и рекламных пикселей нет.
- Журналы
- Одна строка на каждый запрос, с идентификаторами аккаунта, команды и организации и с тем, что запрос сделал. В строке, которую пишем мы, нет ни IP-адреса, ни user agent, ни адреса почты.
- Почта
- Письма уходят через Resend и только по делам аккаунта: коды и ссылки для входа, подтверждение адреса, сброс пароля, приглашения, уведомления о безопасности и ссылки на скачивание. Рекламных рассылок нет.
Какие cookie мы ставим
- Сессия
- Держит вас в аккаунте. Если вход выполнен в несколько аккаунтов, cookie по одной на каждый.
- Последний способ входа
- Нужна, чтобы страница входа показала, каким способом вы входили в прошлый раз.
- Шаги входа
- Живут недолго: во время проверки второго фактора, запроса ключа доступа или входа через Google или Discord.
- Язык
- Ставится, когда язык, на котором вы читаете сайт, отличается от языка браузера, чтобы в следующий раз сайт открылся на нём.
- Первый визит, fsw_src
- Хранит, откуда вы пришли, как описано выше, 30 дней. Удаляется при регистрации.
- Партнёрский клик, fsw_ref
- Хранит идентификатор клика 30 дней, чтобы регистрацию можно было засчитать партнёру.
Ни одна из cookie, которые ставим мы, не служит рекламе.
Не нашли ответа?
Напишите на faceswaping@proton.me. Поддержка, жалобы и запросы о ваших данных приходят в этот ящик.