Jak vaše soubory zůstávají v soukromí

Nástroje zpracovávají soubory ve vašem zařízení, takže se na náš server vůbec nedostanou. Soubory přijímá jen placené HTTP API, které je zpracuje v paměti a neukládá. Aktualizováno 24. září 2026.

Zabezpečení

  • Soubory zůstávají u vás: Nástroje běží ve vašem prohlížeči a nic neodesílají – ani na náš server.
  • Bez AI a cloudových modelů: Klasické algoritmy, které běží na vašem počítači nebo telefonu.
  • Z API nic neuchováváme: Soubory poslané přes Pro API jsou jen v paměti a po zpracování je zahodíme.
  • Dvoufázové přihlášení: Účet ochráníte ověřovací aplikací a záložními kódy.

Zpracování v prohlížeči

Všechny nástroje na tomto webu – odstranění pozadí a objektů, čištění metadat, nástroje pro PDF i úpravy textu – běží ve vašem prohlížeči, v odděleném vlákně (Web Worker). Obrázky, PDF, dokumenty i texty se zpracují na vašem zařízení a nikam se neodesílají, ani na náš server.

  • Každý soubor před zpracováním zkontrolujeme podle jeho skutečných bajtů, ne podle názvu: skutečný typ, velikost a rozlišení obrázku. Soubor, jehož obsah neodpovídá příponě, odmítneme.
  • Soubory, které jsou pro váš tarif příliš velké nebo mají příliš mnoho pixelů, odmítneme ještě před dekódováním – podvržený soubor tak prohlížeč nezahltí.
  • Náročné úlohy mají časový limit a kdykoli je můžete zrušit.

Ověřte si to sami

Nemusíte nám věřit na slovo. Každý prohlížeč ukáže, co stránka odesílá:

  1. Otevřete nástroje pro vývojáře (F12, na Macu Cmd + Option + I) a přepněte na kartu Síť (Network).
  2. Zpracujte soubor v libovolném nástroji.
  3. Projděte požadavky: uvidíte vlastní skripty, styly a písma stránky, ale žádný požadavek, který by nesl váš soubor.

Pokud jste přihlášeni a máte zapnutou historii, uvidíte navíc jeden malý požadavek s názvem a velikostí souboru pro historii – nikdy ne soubor samotný.

Naše Content Security Policy dovoluje stránce spojení jen s vlastní adresou. I kdyby to někdo chtěl, stránka by váš soubor na jiný server odeslat nedokázala.

Bez AI – klasické algoritmy

Nepoužíváme neuronové sítě ani modely umělé inteligence. Nástroje stojí na osvědčených metodách zpracování obrazu: analýze barev a hran, klíčování zeleného a modrého pozadí (chroma key), vyplňování oblasti (kouzelná hůlka), segmentaci vybrané oblasti metodou GrabCut a retušování (inpainting metodami Telea a PatchMatch), které odstraněné místo doplní z okolí.

Právě díky tomu jsou soukromé a rychlé: nestahuje se žádný model a není potřeba server s GPU, takže běží na běžném počítači i telefonu a soubory ho nemusí opustit. Znamená to ale i určité meze:

  • Nejlépe funguje: jednobarevné nebo kontrastní pozadí, produktové fotky, loga, zelené plátno, malé objekty, tenký text a malé vodoznaky.
  • Hůře funguje: vlasy a srst na členitém pozadí, složité scény, velké objekty a velké poloprůhledné vodoznaky přes detailní plochy.

Čisté výstupní soubory

  • Upravené obrázky se znovu zakódují z pixelů, takže výsledky neobsahují údaje EXIF, GPS, informace o fotoaparátu ani o úpravách.
  • PDF a dokumenty Office si zachovají svou vnitřní strukturu. Jejich metadata, skryté části nebo přílohy odstraníte nástroji pro metadata a PDF.
  • Soubory SVG nepřijímáme vůbec. SVG může obsahovat skripty a odkazy na externí zdroje, proto ho raději odmítneme, než abychom ho zkoušeli čistit.

HTTP API (Pro)

HTTP API je jediná cesta, kudy se soubor dostane na náš server – posíláte ho tam sami ze svého kódu. Server ho zpracuje jen v operační paměti a zahodí ho, jakmile odešle výsledek.

  • Obsah souborů nikdy nezapisujeme na disk, do databáze ani do logů.
  • Velikost souboru kontrolujeme ještě před načtením požadavku; příliš velká a komprimovaná těla požadavků odmítáme.
  • Úlohy čekají v krátké frontě a současně jich běží jen několik, každá s časovým limitem – jediný požadavek tak server nepřetíží.
  • Zaznamenáváme jen metadata: počet operací a objem dat za měsíc kvůli kvótě a vyúčtování. Máte-li v účtu zapnutou historii, objeví se v ní i úlohy z API s názvem souboru, nástrojem a velikostmi.
  • Limity požadavků za minutu i měsíční kvóta se počítají na účet, ne na klíč.

Ochrana webu

Web posílá přísné bezpečnostní hlavičky, které omezují, co stránka smí dělat:

  • Content Security Policy: skripty, workery a síťová spojení jen z naší vlastní domény. Jediným vnějším zdrojem je písmo Inter z Google Fonts.
  • Pouze HTTPS, vynucené pomocí HSTS. Stránku nelze vložit do rámců na cizích webech (ochrana proti clickjackingu).
  • nosniff, přísná Referrer-Policy a Permissions-Policy, která vypíná přístup ke kameře, mikrofonu a poloze.
  • Změny v přihlášeném účtu chrání proti útokům CSRF kontrola, odkud požadavek přichází.
  • Všechna rozhraní mají limity počtu požadavků proti zahlcení a hádání hesel.

Účty a přihlášení

  • Hesla ukládáme jen jako hash (scrypt). Běžná a snadno uhodnutelná hesla odmítáme.
  • Volitelné dvoufázové ověření (TOTP) pomocí ověřovací aplikace a deset jednorázových záložních kódů. Tajný klíč pro 2FA ukládáme šifrovaně.
  • Přehled přihlášených zařízení – kterékoli z nich můžete odhlásit. Při přihlášení z nového zařízení vám pošleme upozornění e-mailem.
  • Neúspěšná přihlášení omezujeme na IP adresu i na účet. Registraci chrání místo captchy výpočetní ověření proti robotům.
  • Relační cookie je HttpOnly, Secure a SameSite. Změna hesla odhlásí všechna ostatní zařízení.

API klíče

  • Celý klíč uvidíte jen jednou, při jeho vytvoření. Ukládáme pouze jeho otisk (SHA-256), takže ho z naší databáze nikdo nevyčte.
  • Každému klíči můžete omezit oprávnění, povolené IP adresy a platnost a kdykoli ho zneplatnit.
  • Opakované pokusy s neplatnými klíči z jedné adresy dočasně blokujeme.

Platby

Platby zpracovává Stripe. Číslo vaší karty nikdy neprojde naším serverem a nemáme k němu přístup – uchováváme jen identifikátory zákazníka a předplatného u Stripe.

Co ukládáme

  • Bez účtu: o vašich souborech nic.
  • S účtem: e-mail, hash hesla, jazyk, tarif a nastavení; přihlášená zařízení s otiskem IP adresy; bezpečnostní události.
  • Historii zpracovaných souborů – jen metadata (název souboru, nástroj, velikosti, čas), nikdy obsah. V účtu ji můžete vypnout i vymazat.
  • Počty operací přes API kvůli kvótě a vyúčtování.

Nahlášení zranitelnosti

Našli jste bezpečnostní problém? Napište nám prosím na contact@adscaled.media dřív, než ho zveřejníte – kontakt najdete i v souboru /.well-known/security.txt. Ozveme se co nejdřív a za odpovědné nahlášení děkujeme.