Кто видит ваши генерации и сколько мы их храним

Любой генератор в интернете говорит, что ваши данные у него в безопасности, и почти никто не говорит, что это значит технически. Где физически лежат байты? Какие запросы до них дотягиваются? Когда файл действительно уничтожается, а не прячется? Что именно удаляет кнопка удаления?

На эти вопросы можно ответить, и ответы конкретны, а не успокоительны. Вот наши. Один из них - признание.

Где лежат байты

Сгенерированные изображения и видео хранятся в нашей собственной базе Postgres, а не в облачном хранилище. Выбор нетипичный, и его стоит объяснить, потому что из него следует половина свойств ниже: нет бакета, который можно неправильно настроить, нет подписанной ссылки, которая может утечь, и нет публичного пути к объекту, существующего независимо от того, есть ли у кого-то право его забрать. У генерации попросту нет адреса в открытом интернете.

Вместо этого есть endpoint, который находит строку, сверяет её владельца с сессией запроса и отказывает, если они не совпали. Нигде в конструкции нет трюка с «неугадываемой ссылкой» - потому что неугадываемая ссылка всё равно остаётся ссылкой.

Кто может их открыть

Вы. История генераций привязана к аккаунту, и endpoint с байтами тоже. Нет ни общей галереи, ни ленты, ни раздела «смотреть чужое», и нет способа для другого пользователя перебрать или достать сделанное вами.

И два аккаунта кроме вашего - владельцы Fellowi. Админский доступ это список адресов, вшитый в приложение, а не роль, которую можно кому-то выдать; сейчас это два человека. Он существует, потому что кто-то должен уметь ответить на вопрос «почему эта генерация упала» и разобрать жалобу. На том экране видны промпт, статус и само изображение.

Мы предпочитаем это написать, чем позволить вам вывести из умолчания, что «никто не видит». Сервис, который хранит ваши файлы и уверяет, что ни один человек в них не заглянет, либо лукавит, либо не умеет обрабатывать обращения в поддержку.

Сколько они живут

Тридцать дней. Плановая чистка уничтожает сохранённые байты всего, что старше, не оставляя вместо них ничего и проставляя строке отметку времени. Изображения, видео и загруженный вами стартовый кадр для оживления - всё по одному сроку.

Строка чистку переживает, и правильно делает: это запись о том, что генерация была, сколько стоила и чем закончилась, - именно с ней сверяется учёт монет. Картинки нет. Строчки «вы потратили 40 монет» - есть, и вам самим захочется, чтобы она была, если однажды списание покажется неверным.

Тридцать дней - это ещё и причина скачивать то, что дорого. Срок хранения не резервная копия, и после его истечения копии где-то ещё у нас не остаётся. Любую отдельную генерацию можно удалить и раньше самому - байты уничтожаются на месте, а не прячутся из списка.

Что удаляет удаление аккаунта и что оно раньше оставляло

Удаление аккаунта отзывает все сессии, обезличивает почту, чтобы её можно было зарегистрировать заново, помечает сохранённые воспоминания удалёнными и теперь уничтожает байты всех ваших изображений, видео и загрузок - в той же транзакции.

Последний пункт появился 12 сентября 2026 года, потому что раньше он был неправдой. Удаление делало всё остальное и оставляло генерации в базе, где они лежали, пока до них не доходила тридцатидневная чистка. Когда мы полезли смотреть, четырнадцать изображений уже удалённых аккаунтов всё ещё хранились. Их вычистили в тот же день, когда выехало исправление.

Никто об этом не сообщал. Мы нашли это, собирая фактуру для вот этого текста, - неплохой аргумент в пользу того, чтобы такое записывать: трудно опубликовать конкретное утверждение, не проверив сначала, правда ли оно.

Что уходит с наших серверов

Ваш промпт уходит провайдеру рендеринга, который собственно рисует картинку. Это неизбежно в том же смысле, в каком отправка письма требует почты, и наша политика конфиденциальности называет задействованных обработчиков, а не описывает их расплывчато.

Чего не происходит: мы не обучаем модели на вашем содержимом, не продаём его и не кладём сгенерированное в аналитику и логи приложения. Если вы дали согласие на маркетинг, мы передаём рекламной платформе хешированные данные о конверсии - это событие покупки, никогда не промпт и не картинка, - и отзыв согласия останавливает это немедленно.

Одна честная оговорка про взрослый контент. Ничто из перечисленного не отменяет того, что платёж появится в выписке по карте как списание в нашу пользу, и не меняет того, что с скачанным файлом делает ваше собственное устройство. Приватность на нашей стороне - это то, чем мы управляем; об остальном стоит подумать отдельно.

Коротко

• Нет общей галереи, нет ссылки «поделиться», нет объектного хранилища.
• Доступ только у владельца плюс два названных админа - для поддержки и разбора жалоб.
• Байты уничтожаются через 30 дней или в тот момент, когда вы удаляете элемент.
• Удаление аккаунта уничтожает их сразу.
• Никакого обучения на вашем содержимом, никакой продажи, никаких промптов в логах.

Если что-то из этого изменится, мы изменим эту страницу; а если вы найдёте здесь неправду - скажите, и мы починим продукт, а не формулировку. Примерно так этот текст и появился. Генерировать - в Fellowi Images и Fellowi Video, а про правила по содержанию рядом с этими - в тексте о том, что здесь значит без цензуры.