Dependency Radar: уведомление о конфиденциальности

Перевод для ознакомления. Оригинал уведомления на английском языке.

Скачать оригинал уведомления (английский, Markdown)

Версия уведомления: 1.1. Дата вступления в силу: 2026-10-09. Последнее обновление: 2026-10-09.

1. Контролёр данных

Dependency Radar, идентификатор плагина io.dependencyradar («Плагин»), предоставляется Nikita Kryukov, работающим под брендом if-else.dev («Провайдер»). Контакт: hello@if-else.dev. Если Провайдер определяет цели и средства обработки персональных данных, он является контролёром этой обработки. Само предоставление Плагина не делает Провайдера контролёром всей информации в ваших проектах или у внешних сервисов; применимые роли зависят от конкретной обработки.

2. Область действия и обработка данных

Уведомление описывает обработку данных в реализации бесплатной беты, проверенной на указанную выше дату, включая локальный анализ и операции через настроенные вами инструменты.

Уведомление охватывает обработку самим Плагином. IDE, JetBrains Marketplace, пакетные менеджеры, реестры, хостинги репозиториев и другие инструменты или сервисы имеют собственные правила обработки данных. Посещение сайта и обращение в поддержку отличаются от запуска Плагина. Уведомление не изменяет лицензионное соглашение и само по себе не является согласием на обработку.

Плагин читает каталоги проектов, манифесты пакетов и lock-файлы для обнаружения проектов, сравнения версий зависимостей и построения графов зависимостей. Он обрабатывает пути, время изменения и размеры файлов, имена и версии пакетов, объявления зависимостей, информацию о workspace и связанных пакетах, настройки пакетного менеджера и среды Node, имена Git-веток и состояние рабочего дерева. Обнаружение может включать связанные Git worktrees вне выбранного корневого каталога с учётом настроенных исключений. Настроенный провайдер поиска может просматривать другие файлы в обнаруженных каталогах проектов; область поиска зависит от выбранного провайдера и аргументов.

Эта информация используется для отображения связей зависимостей и статуса публикации, а также подготовки действий над проектами. Настроенные действия могут подставлять имена и пути проектов, версии пакетов, имена веток и введённые пользователем значения в аргументы команд. Настройки и хранение описаны в разделе 6.

Пути, имена веток, метаданные пакетов, текст команд и их вывод могут содержать персональную или конфиденциальную информацию в зависимости от ваших проектов и конфигурации.

3. Сетевые обращения и сторонние сервисы

Плагин вызывает настроенный пакетный менеджер, включая npm, Yarn, pnpm или Bun в зависимости от конфигурации, чтобы проверить, опубликованы ли имя и версия пакета. Для проектов, определённых как доступные для публикации, такая проверка может выполняться автоматически при инициализации или обновлении представления проекта, включая обновления после изменения соответствующих файлов. Для этих запросов не требуется начинать публикацию или подтверждать каждый запрос. Описанные обращения к реестрам выполняют внешние инструменты, вызванные Плагином, а не встроенный HTTP-клиент реестра.

Запросы пакетного менеджера используют реестр, выбранный в конфигурации проекта, пользователя или окружения, либо реестр инструмента по умолчанию. Публичные и приватные реестры могут получать идентификаторы пакетов, сведения о версиях, данные аутентификации и метаданные запросов, например исходный IP-адрес или идентификатор инструмента. Установка зависимостей может запрашивать дополнительные пакеты. Публикация отправляет содержимое пакета и метаданные, выбранные пакетным менеджером и его конфигурацией.

Встроенная проверка Git читает локальное состояние, ссылки на ветки и сведения о worktrees. Настроенные команды, Git-хуки, хуки пакетного менеджера и инструменты управления средой выполнения также могут обращаться к хостингам репозиториев, сторонним API или другим сервисам и передавать данные в соответствии со своим поведением. Например, настроенная Git-команда, обращающаяся к удалённому серверу, может передавать содержимое репозитория, ссылки или данные аутентификации. У Плагина нет встроенного клиента API GitHub или GitLab. Получатели, детали передачи, расположение серверов и сроки хранения на них зависят от используемых инструментов, адресатов и сервисов. Эти сервисы могут обрабатывать информацию за пределами вашей страны; уведомление не утверждает наличие конкретного направления передачи или защитного механизма. Правила обработки соответствующего сервиса изложены в его документах о конфиденциальности.

4. Аутентификация и учётные данные

Операции используют разрешения и конфигурацию вашего локального окружения. Процессы, запущенные Плагином, получают переменные окружения, доступные через IDE или её настроенную интеграцию командной строки, вместе с переопределениями для конкретной операции; эти переменные могут содержать учётные данные и другую чувствительную информацию. Внешние инструменты также могут использовать учётные данные из своей конфигурации или credential helpers. При подготовке некоторых операций Yarn с реестром Плагин читает подходящие npm-токены из npm-конфигурации и передаёт их процессу пакетного менеджера в YARN_NPM_AUTH_TOKEN. Чтение настроек реестра может включать .npmrc проекта или родительских каталогов, npm-конфигурацию пользователя, путь к пользовательской конфигурации из NPM_CONFIG_USERCONFIG и настроенные значения окружения; при выборе реестра Yarn также учитывается .yarnrc.yml.

Плагин не реализует отдельное хранилище учётных данных. Значения в сохранённых определениях действий являются обычными настройками IDE, а не специальным хранилищем секретов. Внешние команды могут выводить учётные данные или чувствительную информацию, и Плагин не реализует общее скрытие секретов в их выводе. Отсутствие отдельного хранилища не означает, что учётные данные никогда не читаются и не передаются инструментам. Меры предосторожности описаны в разделе 7.

5. Телеметрия и диагностика

Вывод команд, ошибки и результаты операций могут отображаться в локальном журнале операций, диагностике статуса публикации или уведомлениях IDE. Группа уведомлений Плагина настроена на сохранение уведомлений в журнале IDE. Некоторые ошибки также записываются через логирование IDE, поэтому диагностические записи или записи уведомлений IDE могут содержать пути, сведения об исключениях, текст команд или их вывод. Текст журнала, версии пакетов и имена веток можно скопировать в буфер обмена соответствующими действиями копирования.

Описанная реализация беты не содержит собственной аналитики Плагина, отправщика телеметрии, автоматической отправки crash reports или встроенной интеграции, отправляющей данные проектов или учётные данные на backend Провайдера. Это описание реализации Плагина; оно не описывает отчётность, синхронизацию или сетевое поведение IDE, внешних инструментов, настроенных команд или сервисов. Диагностика, которую вы решите скопировать или отправить, покидает локальное окружение через выбранный вами канал.

6. Локальное хранение и сроки хранения данных

Пути проектов, исключения, настройки обнаружения и поиска, определения действий и другие предпочтения сохраняются IDE как настройки приложения в dependency-radar.xml. Расположение файла и возможная синхронизация настроек IDE зависят от конфигурации IDE. Кэши сканирования, состояние представления, журналы операций и состояние сессий публикации хранятся в памяти; Плагин не реализует постоянную базу данных сканирования или журналов. Состояние в памяти существует, пока активны соответствующие объекты Плагина; это не гарантия безопасного стирания.

Операции над проектом могут записывать манифесты пакетов и другие файлы проекта либо создавать Git-ветки и worktrees. Для обновления манифестов используется временный файл в каталоге проекта, который код пытается удалить после записи; прерванное выполнение может оставить временные данные. Эти операции, кэши внешних инструментов, публикации в реестрах, логи IDE и записи уведомлений имеют сроки существования, отличные от состояния Плагина в памяти.

Сохранённые настройки, записи IDE, кэши инструментов, учётные данные, сохранённые внешними инструментами, и файлы проектов хранятся в соответствии с поведением этих систем и вашими действиями. Плагин не задаёт период автоматического удаления таких сохранённых материалов; удаление Плагина не гарантирует их удаления и не отменяет завершённые операции над проектом. Созданные или переданные вами копии, включая копии в буфере обмена, имеют собственный срок существования. Хранение информации, полученной реестрами и другими внешними сервисами, определяется этими сервисами.

7. Безопасность

Плагин использует права доступа IDE и вызываемых инструментов. Он не предоставляет независимую изолированную среду для настроенных команд, специальное зашифрованное хранилище значений сохранённых команд или общее скрытие секретов в выводе команд. Сетевой транспорт и защита учётных данных зависят от настроенных инструментов и адресатов; Плагин самостоятельно не требует HTTPS для URL реестров.

Защищайте учётные записи операционной системы и IDE, проверяйте настроенные команды и адреса реестров, используйте учётные данные с правами, подходящими для операции. Не помещайте секреты в сохранённые команды и проверяйте диагностику перед копированием или передачей. Эти меры не означают, что вся информация проекта остаётся локальной или каждая операция отдельно разрешается через запрос подтверждения.

8. Правовые основания, настройки и права пользователей

Если применяется законодательство о защите данных, обработка персональных данных требует действительного правового основания. Применимое основание и обязанности контролёра зависят от целей и обстоятельств обработки, включая использование вашей организацией и задействованные внешние сервисы. Уведомление описывает техническое поведение; установка, принятие EULA или публикация уведомления сами по себе не устанавливают согласие или правовое основание для каждой операции обработки.

Вы можете изменять корневой каталог проектов, исключения, провайдер поиска, настроенные действия, конфигурацию инструментов или реестров. Проверяйте адресаты публикации и содержимое пакетов, используйте учётные данные с подходящими правами и удаляйте чувствительные значения из сохранённых команд и передаваемой диагностики. Настройка подтверждения публикации относится к действиям публикации; она не отключает автоматические запросы статуса публикации. У Плагина нет отдельной настройки отключения этих запросов. После того как отключение или удаление Плагина вступит в силу в IDE, дальнейшее выполнение Плагина прекращается без отмены завершённых операций и удаления информации, уже находящейся в других системах.

Вы контролируете файлы проектов и локальные настройки своего окружения. Если применяется Общий регламент по защите данных (GDPR), вы можете иметь права на доступ, исправление, удаление, ограничение обработки, возражение и переносимость данных при соблюдении его условий. Если обработка основана на согласии, вы можете отозвать его без влияния на законность ранее выполненной обработки. Вы также можете подать жалобу компетентному надзорному органу. Другие применимые законы могут предоставлять дополнительные права.

Обращайтесь к Провайдеру по вопросам обработки, за которую он отвечает. Проверенная реализация не содержит механизма Провайдера для удалённого получения или удаления информации в вашем окружении или другом сервисе. По вопросам информации, находящейся у вашей организации, реестра, хостинга репозиториев, сервиса IDE или другого провайдера, обращайтесь к соответствующему контролёру согласно его правилам конфиденциальности. Уведомление не ограничивает обязательные права в области защиты данных.

9. Изменения и контакт

Уведомление может обновляться для отражения изменений в обработке данных Плагином. Обновления не изменяют условия лицензии, применимые к полученному релизу, и не разрешают новую обработку задним числом. Версия уведомления и дата обновления идентифицируют читаемое описание.

По вопросам обработки данных Плагином или для реализации применимых прав в отношении обработки Провайдером используйте контакт из раздела 1. Предыдущие версии уведомления сохранены в архиве уведомлений.

← Dependency Radar