Обещать конфиденциальность может кто угодно. Lucent устроен так, что для её нарушения пришлось бы приложить усилия — в его архитектуре вашим данным просто некуда деться.
Ничто не покидает устройство, пока вы сами не экспортируете данные или не дадите модели повод к ним обратиться. Это короткая версия — полный текст политики следует ниже, и исходный код полностью согласуется с ней.
Ваши заметки хранятся в базе данных, зашифрованной через SQLCipher; вложения шифруются по отдельности. Критически важные пути — деривация ключей PBKDF2 и AES-256-GCM — работают на Rust через JNI, с полностью идентичными запасными реализациями на Kotlin, чтобы приложение никогда не зависело от работы нативной библиотеки. Если кто-то держит ваш разблокированный телефон — это одно; если кто-то завладеет вашими файлами — он не получит ничего, кроме цифрового шума.
Это настоящая защита от подбора пароля, а не вежливая просьба: возрастающее время блокировки, постоянный счётчик, сохраняющийся после перезагрузок, опциональный контрольный вопрос, опциональное самоуничтожение данных — а также отпечаток пальца на Android и Windows Hello на ПК, которые деликатно отключаются на всё время действия блокировки. Если ошибиться слишком много раз, приложение окончательно прекращает любые переговоры.
Резервные копии — это единый файл .lcb, переносящий заметки, задачи, историю, переписку с помощником, вложения и настройки между устройствами: с предварительным просмотром до изменения хотя бы одного элемента, поддержкой автоматического создания и защитой паролем. Резервная копия, которую никто не может прочесть — скорее сувенир, чем копия; поэтому этот файл проверяется как при создании, так и при восстановлении.
Интеграция с меню «Поделиться»: выключена. Диагностика: выключена, а при включении сохраняется только локально. Подключаемые сервисы помощника — исключительно ваш выбор. Облачная синхронизация — это модуль, который вы настраиваете сами через WebDAV: ваш сервер, ваши правила. В этом приложении нет ничего из серии «включено по умолчанию и спрятано в глубине трёх меню».
Облачные модели видят ровно то, что вы передаёте в диалог — ничего не синхронизируется, не индексируется и не «улучшается» в фоновом режиме. Предпочитаете полную изоляцию? Запустите .gguf локально, и сеть можно не включать вовсе. Единственное осознанное исключение из шифрования — экспорт в Markdown, Word, PDF или Excel, то есть в файлы, которые можно открыть в любой другой программе, ради чего экспорт и существует.
Lucent — приложение для заметок и задач для Android и Windows. Настоящая политика описывает, что приложение хранит, что оно передаёт за пределы вашего устройства и как вы управляете обоими процессами. Она описывает Lucent в том виде, в каком он собирается из данного репозитория.
Остальная часть этого документа подробно описывает каждое из этих положений, включая их технические границы.
Lucent разрабатывается Jessica Martinez. Вопросы об этой политике или об обработке данных приложением можно направлять на yuan47578@gmail.com.
Lucent — свободное программное обеспечение под лицензией MIT. Разработчик не поддерживает сервисов, собирающих или хранящих пользовательские данные, и у приложения нет серверной части.
Всё, что вы создаёте в Lucent, сохраняется в изолированном внутреннем хранилище приложения на вашем устройстве. Эта область недоступна для чтения обычным сторонним приложениям и удаляется при деинсталляции приложения или очистке его данных.
Хранимые данные включают:
База данных зашифрована с использованием SQLCipher. На Android приложение использует Room поверх SQLCipher; на Windows — SQLite через встроенный драйвер JDBC, настроенный с шифром SQLCipher и аналогичным 256-битным ключом. Заметки, задачи, диалоги, история и настройки находятся внутри этой базы данных.
Вложения шифруются отдельно. Каждый файл перед записью на диск помещается в аутентифицированный контейнер AES-256-GCM блоками по 64 КиБ. Имя файла на диске представляет собой случайный идентификатор, а не исходное имя, отображаемое в приложении.
Резервные копии также всегда зашифрованы; см. раздел 6.
Ключ базы данных и ключ вложений — это случайные 256-битные значения, сгенерированные на вашем устройстве. Они не выводятся из вводимого вами текста и не хранятся на диске в открытом виде. На Android они защищены ключом из Android Keystore (с аппаратной поддержкой, если она предусмотрена устройством, и программным локальным решением в противном случае). Также сохраняется резервная копия ключей, чтобы сбой Keystore не привёл к уничтожению ваших данных.
Ключи API, пароли WebDAV, пароль резервной копии и данные блокировки приложения сохраняются по тому же защищённому каналу, а не открытым текстом. Пароль блокировки приложения и ответ на контрольный вопрос вообще никогда не сохраняются: хранится только хэш с солью, из которого невозможно восстановить исходный пароль.
Шифрование защищает данные в состоянии покоя: копию базы данных, файл вложения или файл бэкапа, извлечённые с устройства, невозможно прочесть без ключа. Оно не защищает от лица, использующего ваше разблокированное устройство под вашей учётной записью ОС, и не защищает данные во время работы приложения, поскольку расшифрованное содержимое неизбежно находится в оперативной памяти во время просмотра или редактирования.
Lucent честно заявляет об этом. Если библиотека шифрования не может быть загружена, либо базу данных невозможно зашифровать или открыть, приложение сообщает об ошибке, а не делает вид, что всё в порядке; в Настройках есть проверка шифрования, подтверждающая корректность запечатывания и расшифровки данных. Если базу данных невозможно расшифровать сохранённым ключом, Lucent откладывает её в сторону, не удаляя, и сообщает вам об этом, чтобы вы могли восстановить данные из резервной копии.
Виджеты домашнего экрана на Android отображают заголовки заметок или задач на рабочем столе. Всё, что показывает виджет, видно любому человеку, смотрящему на экран. Использование виджетов опционально, их можно удалить в любой момент.
По умолчанию устройство не покидает ничего. Lucent не требует подключения к интернету для заметок, задач, напоминаний, истории, вложений, локального поиска или помощника на устройстве.
В частности, Lucent не содержит аналитических SDK, рекламных трекеров, служб сбора отчётов о сбоях и идентификаторов отслеживания. В нём нет системы учётных записей и цифровых отпечатков устройств, отправляемых вовне. Функция «Защита от сбоев» (Crash Shield) при включении записывает перехваченные ошибки в локальный файл журнала на устройстве и не передаёт их. Журнал диагностики работает так же: по умолчанию он отключён, пишет данные локально и может быть отправлен куда-либо только в том случае, если вы сами экспортируете файл и решите им поделиться.
Поскольку серверов Lucent не существует, у разработчика нет технической возможности прочитать ваши данные или восстановить их за вас.
Каждая из перечисленных ниже возможностей опциональна, выключена по умолчанию и находится под вашим полным контролем. Когда одна из них активна, данные уходят напрямую с устройства третьей стороне, которую вы настроили; они не проходят через какие-либо серверы Lucent, так как таковых не существует.
Помощник в облачном режиме использует API-ключ, предоставленный вами, и выбранного вами провайдера. Lucent поддерживает форматы запросов OpenAI, Anthropic и Google, а также любые совместимые с OpenAI адреса, включая DeepSeek и собственные шлюзы. Вы можете хранить несколько профилей провайдеров и переключаться между ними.
Когда вы отправляете сообщение, Lucent делает HTTPS-запрос с вашего устройства на настроенный вами базовый URL. Этот запрос содержит:
Ваш API-ключ отправляется этому провайдеру в заголовке авторизации запроса. Больше он не отправляется никуда. Ознакомьтесь с политикой конфиденциальности выбранного провайдера, чтобы понимать, как он обрабатывает входящие тексты; эти условия связывают только вас и провайдера, а у Lucent нет возможности видеть или контролировать этот процесс.
Помощник не может изменять ваши данные незаметно. Перед записью любых изменений он показывает вам свои намерения, и подтверждение включено по умолчанию. Инструменты опциональны: локальная модель имеет отдельный переключатель инструментов, а доступ к инструментам облачного помощника можно отключить в настройках. Отключение инструментов означает, что модель сможет вести диалог, но не сможет читать или менять ваши заметки и задачи.
Веб-поиск отключён по умолчанию. Если вы включите его, и помощник решит, что требуется поиск в сети, Lucent отправит поисковый запрос в общедоступную поисковую систему. Вы можете выбрать конкретный поисковик или оставить режим «Автоматически», опрашивающий их по очереди: Bing, DuckDuckGo, Google, Brave, Mojeek, Yandex, Baidu, Sogou, 360 Search и API Википедии. Ключ API для поиска не требуется, учётная запись не создаётся. Текст запроса покидает устройство; результаты возвращаются помощнику и включаются в его ответ. Поисковая система видит сам запрос и ваш IP-адрес. Веб-поиску требуется режим агента, а для локальной модели — включённые инструменты; Режим изоляции (Blackout Mode) полностью блокирует его.
Семантический поиск в Lucent привязан к используемому помощнику. Пока активна локальная модель, индексация остаётся на устройстве (в текущей версии она отключена, поэтому ничего наружу не передаётся). Пока активна облачная модель, индексируемый текст отправляется на эндпоинт эмбеддингов вашего настроенного провайдера ИИ для получения векторов, что означает передачу текста заметок за пределы устройства. Переключение моделей автоматически меняет и это поведение.
Облачный бэкап отключён по умолчанию. При его включении вы указываете адрес, логин и пароль к WebDAV-совместимому хранилищу, где у вас уже есть учётная запись (например, Nutstore, Nextcloud, Koofr или собственный WebDAV-сервер). Lucent загружает резервные копии .lcb в указанную папку на сервере, а также может отображать их список и скачивать для восстановления. Файлы шифруются до отправки; сервер хранит только зашифрованный файл, а указанные вами учетные данные отправляются на этот сервер для авторизации. Автоматическая выгрузка в облако включается отдельной настройкой и также выключена по умолчанию.
Автоматическая проверка обновлений отключена по умолчанию. При её включении или при ручном запросе проверки приложение запрашивает информацию о последнем релизе через публичный API GitHub Releases для этого репозитория и сравнивает номера версий. Запрос не содержит персональных данных, кроме стандартных заголовков HTTPS (IP-адрес и User-Agent с указанием Lucent). Если доступна новая версия, Lucent предлагает её скачать; установочный файл или APK скачивается с GitHub только по вашему прямому выбору.
Lucent самостоятельно ничего не передаёт наружу. Передачу данных сторонним приложениям обеспечивают две функции, и обе находятся под вашим контролем:
При импорте модели GGUF помощник может запускать её локально через llama.cpp. В этом режиме вовне ничего не отправляется: в формировании ответа не участвуют учётные записи, ключи API или сетевые запросы. Файл модели остаётся на вашем устройстве, а сама модель выгружается из памяти при выходе из приложения. Локальные инструменты имеют отдельный выключатель и отключены по умолчанию. Аппаратное ускорение на GPU опционально и может быть отключено.
Помимо заметок и задач, помощник может получить полноценный арсенал: рабочую папку, доступную для чтения и записи, команды оболочки, документы, плагины и подключение к внешним сервисам. Каждый из них настраивается отдельным переключателем в «Настройки → Дополнительно → Набор инструментов», а функции, обращающиеся наружу, работают только после их включения и по умолчанию всегда запрашивают подтверждение.
sub-agents внутри рабочей области на вашем устройстве и никуда не передаётся.Резервная копия — это единый файл .lcb, создаваемый вами. Он может содержать заметки, задачи, историю версий, блокноты, переписку с помощником, вложения, настройки и ключи API, а также опционально шрифты и файлы локальных моделей. Вы сами выбираете состав данных и место сохранения файла.
Каждый файл .lcb всегда зашифрован. Доступно два режима:
Защищённая паролем копия может содержать контрольный вопрос и ответ для восстановления пароля в будущем. Эта опция по умолчанию отключена, а стойкость бэкапа ограничивается самым слабым звеном (паролем или ответом), поэтому выбирайте вопрос, ответ на который известен только вам.
Автоматические бэкапы при включении сохраняются в указанную вами папку с заданным числом хранимых копий и могут выгружаться в настроенный каталог WebDAV. Сам файл резервной копии в любом случае остаётся тем же зашифрованным контейнером. Где хранить копии, сколько их держать и когда удалять — решаете только вы.
Привилегированная интеграция с оболочкой в Lucent опциональна, выключена по умолчанию и требует наличия стороннего ПО и системных разрешений.
На Android приложение может использовать Shizuku для выполнения привилегированных действий, если вы установили Shizuku, запустили его службу и предоставили разрешение Lucent в системе. Это необходимо для выполнения задач, которые обычные приложения не могут делать самостоятельно, например, установки загруженного вами обновления. Lucent не может самостоятельно запустить Shizuku, не может сам выдать себе права и ничего не делает через этот механизм, пока вы не включите интеграцию и не предоставите разрешение. Вы можете отозвать его в любой момент в Shizuku или в настройках Android, а также выключить интеграцию в Lucent. В приложении отображается полученный UID, что позволяет проверить реальный уровень привилегий.
Lucent также запрашивает стандартные разрешения Android для строго определённых целей; см. раздел 8.
| Разрешение | Зачем Lucent запрашивает его |
|---|---|
Доступ к сети (Android INTERNET) | Отправка сообщений настроенному вами провайдеру ИИ, веб-поиск при его включении, резервное копирование WebDAV при его включении и проверка обновлений при их включении. Без включения одной из этих функций ничего не отправляется. |
Уведомления (Android POST_NOTIFICATIONS) | Отображение напоминаний о задачах и прогресса загрузки, резервного копирования или генерации. |
Точные будильники (Android SCHEDULE_EXACT_ALARM) | Срабатывание напоминаний точно в заданное вами время, а не приблизительно. |
Запуск при включении устройства (Android RECEIVE_BOOT_COMPLETED) | Повторная регистрация напоминаний после перезагрузки устройства, чтобы напоминание на завтра сработало вовремя. |
Фоновые службы (Android FOREGROUND_SERVICE, FOREGROUND_SERVICE_DATA_SYNC) | Поддержание резервного копирования, загрузки или работы модели, когда приложение свернуто, предотвращая их аварийную остановку. |
Биометрическая разблокировка (Android USE_BIOMETRIC; Windows Hello на Windows) | Разблокировка приложения по отпечатку пальца или лицу вместо ввода пароля. Опционально, выключено по умолчанию, используется только для локального входа. |
Вибрация (Android VIBRATE) | Тактильный отклик при наборе текста и действиях. |
Установка пакетов (Android REQUEST_INSTALL_PACKAGES) | Установка загруженного вами обновления через системный установщик. |
Служба Shizuku (Android moe.shizuku.manager.permission.API_V23) | Опциональная привилегированная интеграция, описанная в разделе 7. Запрашивается только для взаимодействия с Shizuku; не имеет эффекта без установленного Shizuku и выданного разрешения. |
Полный доступ к файлам (Android MANAGE_EXTERNAL_STORAGE) | Опционально, отключено без явного разрешения. Нужно только для того, чтобы выбранная рабочая папка читалась и записывалась как обычные файлы. Без этого Lucent держит рабочую область во внутреннем хранилище. |
Местоположение (Android ACCESS_COARSE_LOCATION, ACCESS_FINE_LOCATION) | Считывается только при вызове помощником инструмента геолокации, что возможно только при включённом управлении устройством и явном предоставлении разрешения. Lucent никогда не отслеживает вас в фоновом режиме. |
Lucent не требует широкого доступа к вашим файлам, если вы не включили набор инструментов агента и не указали рабочую папку. В остальных случаях файлы и каталоги выбираются вами через системный диалог выбора документов, и Lucent получает доступ только к конкретному выбранному объекту. То же самое касается шрифтов и моделей: вы выбираете их, и они копируются во внутреннее хранилище приложения.
Конфиденциальность в Lucent регулируется набором понятных переключателей в меню «Настройки». Основные из них:
Lucent сохраняет данные на вашем устройстве до тех пор, пока вы сами их не удалите. Удалённые заметки и задачи сначала попадают в корзину и окончательно стираются через 30 дней, если вы не очистите корзину или не удалите всё раньше. История версий хранится только при включённой настройке истории и удаляется вместе с соответствующей заметкой или задачей.
Для полного удаления данных:
Три вещи находятся вне досягаемости Lucent, и приложение не может удалить их за вас:
Если вы хотите удалить и их, удалите файлы вручную и воспользуйтесь средствами управления данными у соответствующих провайдеров.
Lucent — приложение общего назначения для заметок и задач. Оно не ориентировано специально на детей, не имеет системы учётных записей, рекламы или социальных функций, и разработчик не собирает персональные данные ни от кого, включая детей. Данные приложения остаются строго на устройстве пользователя.
Если в будущих версиях Lucent изменится порядок работы с данными, эта политика будет обновлена, а дата вверху изменится. Существенные изменения, влияющие на то, какие данные покидают устройство, будут описаны в примечаниях к релизу соответствующей версии. К вам применяется та версия политики, которая поставляется с используемой вами версией Lucent, а история изменений доступна в истории коммитов репозитория.
Вопросы, исправления и замечания относительно конфиденциальности в Lucent можно отправлять на yuan47578@gmail.com.
Разработчик: Jessica Martinez
Copyright © 2026-2027 Jessica Martinez.