Политика конфиденциальности

Что собирают valyro.xyz, сервер аккаунтов, valyro-cli и облачный MCP-сервер, зачем, сколько хранится и как это удалить. Коротко: профиль GitHub, хэши API-токенов и состояние лицензии. Без аналитики, рекламы и слежки.

Кто отвечает за данные

Оператор персональных данных, описанных здесь: [ОПЕРАТОР: ФИО ИЛИ НАЗВАНИЕ КОМПАНИИ], [СТРАНА И ПОЧТОВЫЙ АДРЕС]. Вопросы и запросы: [email protected].

Что мы собираем

Вход через GitHub: id пользователя GitHub, логин, отображаемое имя, адрес аватара и email — публичный из профиля, а если его нет, основной подтверждённый. У GitHub запрашиваются только read:user и user:email, доступа к репозиториям нет. Токен доступа GitHub используется один раз при входе и не сохраняется.
Базы пользователей нет: профиль хранится в подписанной сессионной cookie в вашем браузере.
API-токены: храним хэш каждого токена (сам токен — никогда), его имя, ваш логин и id GitHub, права и время создания и последнего использования. Токены, выпущенные valyro-cli login, называются по имени компьютера: «valyro CLI on <имя компьютера>».
Покупки: платёжные данные и адрес для счёта собирает Polar, карту мы не видим. Polar мы передаём id GitHub, логин и email, чтобы связать покупку с аккаунтом. От Polar храним id покупателя в Polar, тариф, период оплаты, число мест, статус подписки и дату конца периода, а для Team — какие логины занимают места и с какого времени. Суммы, данные карт и полные сообщения Polar не храним.
Лист ожидания: если вы записывались в лист ожидания Pro — логин, email, выбранный тариф и дата.
Figma: экспорт из документации в плагин Figma (слои компонента и ваш логин) хранится в памяти до 10 минут, код Figma Kit — до 2 часов.
Технические данные: IP-адрес — в памяти на 10 минут, для ограничения частоты запросов. Сервер аккаунтов пишет в журнал события с вашим логином (вход, создание и отзыв токенов, оформление оплаты, экспорт в Figma), но не IP-адреса и не содержимое запросов к MCP. Веб-сервер и Cloudflare видят IP-адрес, браузер и открываемые адреса.

Cookie и хранилище браузера

Мы ставим только две cookie, обе строго необходимые, поэтому баннера согласия нет:

__Host-valyro_session — вход на 30 дней (или до выхода). Внутри — id GitHub, логин, имя, адрес аватара и email, с подписью от подделки.
__Host-valyro_oauth — защита входа через GitHub на 10 минут, пока он идёт.

Ещё документация сохраняет настройки в локальном хранилище браузера — тему, режим, направление текста, устройство превью, фреймворк, язык, вид каталога, состояние конструктора тем и демо — и на время вкладки запоминает выбранный тариф и код входа в CLI. Всё это остаётся на вашем устройстве; очистить можно в настройках браузера.

Мы не продаём персональные данные и не передаём их для рекламы. Их получают:

GitHub — для входа; аватары загружаются с серверов GitHub.
Polar — наш Merchant of Record, по своей политике конфиденциальности: оплата, счета, налоги и платёжный портал.
Cloudflare — сеть перед сайтом, через которую идут все запросы.
Некоторые демо загружают изображения с CDN Data Dragon компании Riot Games и тайлы карт OpenStreetMap; эти серверы видят ваш IP-адрес, когда демо на экране.
Государственные органы — когда этого требует закон.

CLI и MCP

У valyro-cli нет телеметрии. После valyro-cli login он сохраняет токен, логин и время в ~/.config/valyro/auth.json (%APPDATA%\valyro\auth.json в Windows), файл доступен только вам, а токен уходит только на valyro.xyz. valyro-cli logout отзывает токен и удаляет файл. mcp add --hosted записывает токен в конфиг указанного вами AI-клиента. Импорт бренда скачивает указанные вами сайты прямо с вашего компьютера.

Зачем мы это используем

Чтобы работали аккаунт, токены и лицензия и вы получили купленное, — исполнение договора с вами.
Чтобы защищать Сервис, пресекать злоупотребления и исправлять ошибки, — наш законный интерес.
Чтобы вести налоговый и бухгалтерский учёт, — обязанность по закону, её в основном выполняет Polar как продавец.
Чтобы отвечать на ваши письма.

Сколько мы храним

Сессионная cookie — 30 дней или до выхода.
API-токены — пока вы их не отзовёте или пока аккаунт не удалён.
Записи о лицензии — пока действует лицензия и права, которые остаются после отмены, или пока вы не попросите удалить.
Записи листа ожидания — пока вы не попросите удалить.
Id событий Polar — 30 дней. Лимиты запросов и экспорт в Figma — от минут до часов, только в памяти.
Журналы сервера — [СРОК ХРАНЕНИЯ ЛОГОВ].
Письма в поддержку — пока это нужно для ответа.

Ваши права

В зависимости от страны (например, по GDPR) вы можете запросить копию своих данных, исправить их, удалить, возразить против их использования или ограничить его, а также получить их для переноса. Часть можно сделать самому:

выйти и отозвать API-токены на странице аккаунта;
изменить имя, аватар или email на GitHub и войти заново;
убрать ValyroUI из приложений в настройках GitHub.

Для остального — копии данных или удаления аккаунта — напишите на [email protected] с почты вашего аккаунта. Ответим в течение 30 дней. Записи, которые Polar обязан хранить для налогов, остаются у Polar. Вы также можете подать жалобу в орган по защите данных своей страны.

Где хранятся данные

Наш сервер находится в стране: [СТРАНА СЕРВЕРА]. GitHub, Polar и Cloudflare обрабатывают данные в США и других странах со своими мерами защиты.

Безопасность

Всё передаётся по HTTPS. Cookie помечены HttpOnly, Secure и SameSite. Токены хранятся только в виде хэшей, файлы данных доступны только серверу, а сервер аккаунтов недоступен из интернета иначе как через веб-сервер. Об уязвимостях сообщайте по адресу из security.txt.

Дети

Сервис рассчитан на разработчиков и не предназначен для детей младше 16 лет. GitHub сам требует от пользователей возраста не менее 13 лет.

Изменения

Если меняется то, что мы собираем, мы сначала обновляем эту страницу и дату вверху, а о существенных изменениях сообщаем на сайте или по почте.

Контакты

[ОПЕРАТОР: ФИО ИЛИ НАЗВАНИЕ КОМПАНИИ], [СТРАНА И ПОЧТОВЫЙ АДРЕС]. Почта: [email protected]. Отвечаем в течение 30 дней, обычно намного быстрее.