Wie kan zien wat je genereert, en hoe lang we het bewaren

Elke generator op internet zegt dat je gegevens bij hem veilig zijn, en bijna geen enkele zegt wat dat mechanisch betekent. Waar staan de bytes fysiek? Welke verzoeken kunnen erbij? Wanneer wordt het bestand echt vernietigd in plaats van verborgen? Wat verwijdert de verwijderknop?

Dat zijn beantwoordbare vragen, en de antwoorden zijn concreet in plaats van geruststellend. Hier zijn de onze. Een ervan is een bekentenis.

Waar de bytes staan

Gegenereerde beelden en video’s staan in onze eigen Postgres-database, niet in cloudopslag. Dat is een ongebruikelijke keuze en het uitleggen waard, want de helft van de eigenschappen hieronder komt eruit voort: geen bucket die verkeerd geconfigureerd kan worden, geen ondertekende URL die kan uitlekken, en geen publiek objectpad dat bestaat los van de vraag of iemand gerechtigd is het op te halen. Een generatie heeft eenvoudigweg geen adres op het open web.

Wat je in plaats daarvan krijgt is een eindpunt dat de rij opzoekt, de eigenaar vergelijkt met de sessie die het verzoek doet, en weigert als die verschillen. Nergens in het ontwerp zit een truc met een onraadbare URL, want een onraadbare URL blijft een URL.

Wie ze kan openen

Jij. Je generatiegeschiedenis is beperkt tot je account, en het eindpunt dat de bytes levert ook. Er is geen publieke galerij, geen gedeelde feed, geen ontdekpagina, en geen manier voor een andere gebruiker om te vinden of op te halen wat jij maakte.

En twee accounts naast het jouwe kunnen het wel: de eigenaren van Fellowi. Beheerderstoegang is een in de app gecompileerde adressenlijst en geen rol die iemand kan krijgen; op dit moment zijn dat die twee personen. Het bestaat omdat iemand moet kunnen antwoorden op “waarom is deze generatie mislukt” en een melding moet kunnen onderzoeken. Dat scherm toont de prompt, de status en het beeld.

We schrijven dat liever op dan je uit stilzwijgen te laten afleiden dat “niemand het kan zien”. Een product dat je bestanden bewaart en verzekert dat geen mens er ooit in kijkt, liegt of heeft geen enkele manier om een supportvraag te behandelen.

Hoe lang ze blijven

Dertig dagen. Een geplande opruiming vernietigt de opgeslagen bytes van alles wat ouder is, zet er niets voor in de plaats en stempelt de rij met het tijdstip. Beelden, video’s en elk startbeeld dat je voor een clip uploadde volgen hetzelfde venster.

De rij overleeft de opruiming, en dat hoort ook: die is de vastlegging dat er een generatie was, wat die kostte en of ze slaagde, en daar stemt het coin-grootboek mee af. Het beeld is weg. De regel dat je ooit 40 coins uitgaf niet, en die wil je er hebben zodra een afschrijving voor het eerst verkeerd lijkt.

Dertig dagen is ook waarom je moet downloaden wat je dierbaar is. Het bewaarvenster is geen back-up, en na afloop houden we nergens een kopie. Je kunt elke afzonderlijke generatie ook eerder zelf verwijderen, wat de bytes ter plekke vernietigt in plaats van het item uit een lijst te verbergen.

Wat accountverwijdering weghaalt, en wat het vroeger liet staan

Je account verwijderen trekt elke sessie in, anonimiseert je adres zodat het opnieuw geregistreerd kan worden, markeert je opgeslagen herinneringen als verwijderd, en vernietigt nu in dezelfde transactie de bytes van elk beeld, elke video en elke upload die je maakte.

Die laatste zinsnede kwam er op 12 september 2026 bij, want daarvoor klopte hij niet. Verwijderen deed al het andere en liet je generaties in de database staan, waar ze bleven tot de opruiming van dertig dagen er toevallig langskwam. Toen we gingen kijken stonden er nog veertien beelden van al verwijderde accounts opgeslagen. Ze zijn gewist op dezelfde dag dat de fix live ging.

Niemand had het gemeld. We vonden het bij het verzamelen van de feiten voor dit stuk, wat een aardig argument is om dit soort dingen op te schrijven: een concrete bewering is lastig te publiceren zonder eerst te controleren of ze waar is.

Wat onze servers verlaat

Je prompt gaat naar de renderaanbieder die het beeld daadwerkelijk tekent. Dat is even onvermijdelijk als dat een brief versturen een postdienst vereist, en ons privacybeleid noemt de betrokken verwerkers bij naam in plaats van ze vaag te omschrijven.

Wat niet gebeurt: we trainen geen modellen op jouw inhoud, we verkopen die niet, en we zetten gegenereerde inhoud niet in analytics of applicatielogs. Als je toestemming gaf voor marketing delen we gehashte conversiegegevens met een advertentieplatform - dat is een aankoopgebeurtenis, nooit een prompt of een beeld - en toestemming intrekken stopt het meteen.

Eén eerlijke kanttekening over materiaal voor volwassenen. Niets hierboven voorkomt dat een betaling op een bankafschrift verschijnt als een afschrijving van ons, en niets verandert wat je eigen apparaat doet met een bestand dat je downloadt. Privacy aan onze kant is het deel dat wij besturen; over de rest is het de moeite waard apart na te denken.

Kort samengevat

• Geen publieke galerij, geen deelbare link, geen objectopslag.
• Alleen de eigenaar heeft toegang, plus twee genoemde beheerders voor support en misbruik.
• Bytes vernietigd na 30 dagen, of op het moment dat je het item verwijdert.
• Je account verwijderen vernietigt ze onmiddellijk.
• Geen training op jouw inhoud, geen verkoop, geen prompts in logs.

Verandert hier iets aan, dan passen we deze pagina aan; en vind je hier iets dat niet klopt, zeg het, dan repareren we het product en niet de zin. Zo is dit stuk ongeveer ontstaan. Genereren doe je in Fellowi Images of Fellowi Video, en wat ongecensureerd hier betekent geeft de inhoudsregels naast deze.