Что мы собираем

Серверы, учётные данные, приватные ключи, пароли, сниппеты и запомненные ключи хостов хранятся зашифрованными на вашей машине, под ключом, выведенным из вашего мастер-пароля. У нас нет этого пароля, и вывести его мы не можем.

Если вы включите синхронизацию, зашифрованные записи копируются на наши серверы, чтобы другие ваши устройства могли их получить. Шифрование происходит до отправки. Оператор сервера — включая нас — видит размеры записей и время, но не содержимое.

Мы не собираем содержимое ваших терминальных сессий, адреса серверов, к которым вы подключаетесь, ваши имена пользователей и ваши ключи. Нет ни записи нажатий клавиш, ни записи сессий — если вы сами не включите журналы сессий, которые хранятся под тем же шифрованием, что и всё остальное.

Голосовой ввод ничего не отправляет, пока вы на это не согласились: когда вы впервые нажимаете на микрофон, Termiyo объясняет, что будет дальше, и ничего не записывает, пока вы не согласитесь. После согласия сказанное вами уходит через наш сервер в Deepgram — сервис распознавания речи, — а текст возвращается к вам черновиком. Наш сервер передаёт запись дальше и ничего из неё не хранит. Для голосового ввода нужно войти в аккаунт Termiyo, и каждый месяц он расходует ИИ, включённый в ваш тариф.

Пока вы говорите, звук хранится в памяти приложения на вашем компьютере, а приложение режет его по паузам на короткие фрагменты и отправляет каждый на сервер Termiyo (при долгой диктовке — ещё пока вы говорите, остальное — когда вы закончите). Сервер Termiyo не хранит звук: он не записывается ни в нашу базу данных, ни в файл, ни в журнал, а в счёт вашего лимита записывается число токенов ИИ, в которое обошёлся каждый фрагмент по его длительности.

В каждом запросе мы просим Deepgram исключить его из программы улучшения моделей (Model Improvement Program), и по документации Deepgram данные таких запросов хранятся только столько, сколько нужно для их обработки; на странице «Your Data at Deepgram» сказано, что Deepgram тогда не хранит ни звук, ни текст после ответа и не обучает на них свои модели. Ничего из надиктованного не попадает в терминал или к ИИ-ассистенту, пока вы не нажмёте кнопку в черновике.

Termiyo отправляет один короткий отчёт о себе самом, не чаще одного раза в 24 часа, и он включён с момента установки. В нём — версия приложения, ваша платформа и процессор, способ установки этой копии, язык интерфейса, включена ли проверка обновлений и сколько дампов сбоев лежит в его собственной папке. Это весь список. Он идёт без идентификатора любого вида, поэтому один отчёт нельзя связать ни с другим, ни с вами, и здесь о вас не хранится ничего, что можно было бы найти. Ничего из ваших сессий с ним не уходит: ни имён хостов, ни имён пользователей, ни команд, ни вывода, ни путей, ни ключей. Termiyo говорит об этом при первом запуске, а выключается это одним щелчком в «Настройки → Справка». Отчёты о сбоях — отдельная вещь: выключены на новой установке, выключены после обновления и выключены, пока вы сами их не включите.

Когда приложение падает, дамп операционной системы записывается в папку на вашей машине. «Настройки → Справка» показывает, что в этой папке, простыми словами объясняет, что может содержать дамп, и открывает её. Пока отправка выключена — а так начинается каждая установка — дамп остаётся там и уходит только если вы сами приложите его к сообщению об ошибке.

Если вы всё же включите: дамп отправляется по HTTPS на termiyo.com и хранится там, чтобы те, кто делает Termiyo, могли открыть его в отладчике. Он несёт сам дамп под тем именем, которое дала этому файлу ваша машина, версию, платформу и архитектуру, а также идентификатор этой установки — он создаётся при первой отправке, поэтому у установки, которая никогда этого не включала, его нет. Адрес, с которого он пришёл, мы не записываем. Дамп больше 2 MB не отправляется вовсе. На том же экране перечислено всё отправленное и есть кнопка, которая просит наш сервер удалить эти отчёты вместе с дампами.

Это не общая позиция о приватности. SSH-клиент видит имена хостов, имена пользователей и команды, которыми вы добираетесь до продакшна. Дамп может содержать любое из этого, и отфильтрованной версии образа памяти не бывает — это память, а не форма. Поэтому это переключатель, который нужно найти и включить, поэтому экран, где он находится, заранее объясняет, что лежит в файле, и поэтому это единственное на этой странице, что меняется от вашего решения.

Что здесь изменилось — говорим прямо, а не правим молча: прежде этот раздел утверждал, что отчётов о сбоях не просто нет по умолчанию, а нет вообще, что здесь нечего включать и что отчёту некуда идти. Всё это было верно для каждой сборки до той, которая добавила адрес для загрузки, и этот выпуск сделал это неверным. Не изменилось то, что важнее всего, и эта фраза всё равно лучше прежней: без вашего согласия с этой машины ничего не уходит.

Termiyo просит создать аккаунт при первой установке, и вы можете отказаться и продолжать им пользоваться. В аккаунте адрес электронной почты, верификатор пароля (не пароль), ваши публичные ключи, состояние подписки и — для каждой машины, на которой вы вошли в аккаунт, — название, то есть собственное имя хоста этого компьютера с его операционной системой в скобках после него, рядом с тем, когда эта машина последний раз к нам обращалась. Название хранится так, как написано, а не в зашифрованном виде: весь его смысл в том, чтобы вы могли прочитать список и узнать в нём свои машины. Удалите аккаунт — и всё это уйдёт вместе с ним.

Вопросы по любому из этого — на info@termiyo.com.