Хранение данных и приватность в API обработки изображений

Спросите пользователя, что его беспокоит в функции обработки изображений, — про архитектуру модели он не вспомнит. Он спросит, куда уходит фото и сколько оно там лежит. Для интимных изображений это не паранойя, а верный инстинкт, и он заслуживает точного ответа, а не успокаивающего прилагательного.

Почему сроки хранения — это весь разговор

Изображение, лежащее на сервере, — это риск, на который капают проценты. Каждый день его существования — ещё один день, когда его может вскрыть утечка, затребовать суд или найти сотрудник, которому его видеть не полагалось. Хранилище дешёвое, и в этом-то и проблема: удалять никого ничто не заставляет, поэтому системы копят интимные данные по умолчанию, а не по решению.

Три ответа, которые имеют значение

При оценке вендора серьёзного оператора от маркетинговой страницы отделяют три вопроса. Сколько хранится исходное изображение? Сколько хранится результат? Используется ли что-то из этого для обучения? Расплывчатый ответ на любой из трёх — сам по себе ответ.

• «Мы удаляем изображения через 10 минут после выдачи» — обязательство, которое можно проверить.
• «Мы храним данные столько, сколько необходимо для оказания услуги» — формулировка, разрешающая бессрочное хранение.
• «Мы можем использовать контент для улучшения наших моделей» — значит, фотографии ваших пользователей станут обучающими данными.
• Молчание по теме означает, что никто ничего не решил, и это хуже неудобной политики.

Удаление должно быть удалением

Обещание о сроках хранения стоит ровно столько, сколько его исполнение, а способов сделать это неправильно больше, чем правильно. Строку в базе удалили, а файл остался на диске. Основную копию убрали, а CDN-кэш продолжает раздавать. Приложение удалило, а ночной бэкап хранит это ещё девяносто дней. Промежуточные файлы пайплайна вообще не попали в область действия политики.

Достоверный ответ перечисляет все копии. Спрашивайте прицельно про кэши, бэкапы и промежуточные артефакты — по ответу видно, политику проектировали или просто написали.

Обучение на данных — отдельное решение

Использовать контент клиентов для улучшения моделей — это бизнес-выбор, а не техническая неизбежность, и для интимных изображений он заслуживает явного «нет», а не закопанного разрешения. Обратите внимание на асимметрию: риск хранения заканчивается вместе с удалением файла, а обучение необратимо. Веса не умеют забыть фотографию.

Что это значит с точки зрения защиты данных

По GDPR и сопоставимым режимам интимные изображения подпадают под самый строгий режим, и два принципа срабатывают сразу. Ограничение хранения означает: не держать персональные данные дольше, чем требует цель, — а цель здесь одна, выдать один результат, и она исчерпывается в момент выдачи. Минимизация данных означает не собирать того, что вам не нужно.

Короткий срок хранения в этом контексте — не просто приятное свойство. Это механизм, благодаря которому несколько обязанностей становятся тривиальными: запрос на удаление прост, когда данных уже нет, а утечка не может раскрыть то, что не хранилось.

Вопросы, которые стоит задать до интеграции

1. Каков точный срок хранения входных и выходных данных, в единицах времени?
2. На какие копии он распространяется — кэши, бэкапы, логи, промежуточные файлы?
3. Используется ли контент для обучения или оценки моделей, хоть при каких-то условиях?
4. Кто внутри вендора имеет доступ к сохранённым изображениям и логируется ли этот доступ?
5. Как выглядит процедура удаления, если пользователь завтра отзовёт согласие?

Вендор, который отвечает на это чётко, продумал проблему. Вендор, который отвечает прилагательными, — нет, и вы унаследуете этот пробел в тот момент, когда тот же вопрос задаст кто-то из ваших пользователей.

Частые вопросы