# सुरक्षा मॉडल

> हमारा सुरक्षा मॉडल ब्राउज़र-पहले है: डिफ़ॉल्ट रूप से स्थानीय प्रोसेसिंग, न्यूनतम डेटा संरक्षण, सशक्त इन्फ्रास्ट्रक्चर, दुरुपयोग सुरक्षा और स्पष्ट प्रकटीकरण चैनल। यह पृष्ठ बताता है कि व्यवहार में इसका क्या मतलब है, ताकि आप ठीक से जानें कि हम आपकी डेटा के साथ क्या करते हैं — और क्या नहीं।

Canonical: https://helpers.aibrush.co/hi/security

## डिफ़ॉल्ट रूप से गोपनीयता

अधिकांश टूल मानक Web APIs (Canvas, Crypto, WebAssembly, फ़ाइल सिस्टम) का उपयोग करते हुए डेटा को पूरी तरह आपके ब्राउज़र में संसाधित करते हैं। जो सामग्री आप पेस्ट करते हैं, टाइप करते हैं या ड्रॉप करते हैं, वह आपके डिवाइस से कभी बाहर नहीं जाती और हमारे सर्वर के लिए कभी दृश्यमान नहीं होती।

जिन टूल्स को सर्वर-साइड प्रोसेसिंग की ज़रूरत होती है — जैसे AI-संचालित भाषा सुधारक, Animation Studio या टेक्स्ट शेयरिंग — उनमें हम डेटा संरक्षण को उतना ही सीमित रखते हैं जितना फीचर वास्तव में चाहता है, और इन सीमाओं को अपने गोपनीयता पृष्ठ पर प्रति-टूल आधार पर दस्तावेज़ित करते हैं।

हम विज्ञापन, तृतीय-पक्ष ट्रैकिंग पिक्सेल या व्यवहार प्रोफाइलिंग नहीं चलाते। एनालिटिक्स (जब सक्षम हो) समूहित होती है, ऑप्ट-आउट का सम्मान करती है, और कभी भी आपके इनपुट की सामग्री से नहीं जोड़ी जाती।

## इन्फ्रास्ट्रक्चर और होस्टिंग

साइट Cloudflare Workers पर चलती है, ट्रैफ़िक TLS 1.2+ पर परोसा जाता है और HSTS लागू है। संवेदनशील अनुरोध पथ ऑटोमेशन और दुरुपयोग को रोकने के लिए Cloudflare Turnstile की आवश्यकता रखते हैं।

स्थायी डेटा (जब किसी टूल को इसकी आवश्यकता होती है, जैसे टेक्स्ट शेयरिंग के स्निपेट या संपर्क फ़ॉर्म सबमिशन) यूरोपीय संघ के भीतर क्षेत्रीय Cloudflare KV / D1 इंस्टेंस में संग्रहीत होता है। अल्पकालिक संपत्तियाँ (एनिमेशन अपलोड, OG छवियाँ) स्वचालित जीवनचक्र विलोपन के साथ R2 में रहती हैं।

राज़ — AI प्रदाताओं, Turnstile, JWT साइनिंग के लिए API कुंजियाँ — केवल Cloudflare Worker रहस्यों के रूप में संग्रहीत होती हैं और कभी स्रोत में नहीं डाली जातीं। CI/CD तैनाती हस्ताक्षरित और GitHub Actions लॉग के माध्यम से ऑडिट योग्य है।

## बचाव और निगरानी

हम किनारे पर दर सीमा (Cloudflare नेटिव), सबमिट एंडपॉइंट पर Turnstile चुनौतियाँ, और API पर एक सख्त CORS अनुमति सूची का उपयोग करते हैं। अनोखे लॉग सेवा अखंडता के लिए छोटे समय की खिड़की के लिए रखे जाते हैं, फिर मिटाए जाते हैं।

सर्वर-साइड त्रुटि लॉग अनुरोध ID, स्थिति कोड और समय रिकॉर्ड करते हैं — उपयोगकर्ता सामग्री नहीं। हम कभी संदेश निकायों, फ़ॉर्म सबमिशन या AI प्रॉम्प्ट लॉग नहीं करते।

खाते-रहित डिज़ाइन का मतलब है कि कोई पासवर्ड डेटाबेस लीक नहीं हो सकता। कुछ ही एंडपॉइंट जिन्हें प्रमाणीकरण चाहिए, वे Turnstile सत्यापन के बाद जारी किए गए लघु-जीवन वाले JWT का उपयोग करते हैं, बिना लंबे समय तक सत्र भंडारण के।

## भेद्यता प्रकटीकरण

यदि आप कोई भेद्यता खोजते हैं, तो कृपया इसे निजी रूप से info@aibrush.co पर पुन: प्रजनन के चरणों, प्रभावित URL या एंडपॉइंट और अपने संपर्क विवरण के साथ रिपोर्ट करें। हम रिपोर्ट को 72 कार्य घंटों के भीतर स्वीकार करते हैं और उच्च-गंभीरता वाली समस्याओं के लिए 30 दिनों के भीतर सुधार या शमन प्रदान करने का लक्ष्य रखते हैं।

हम सद्भावपूर्ण सुरक्षा शोध के विरुद्ध कानूनी कार्रवाई नहीं करते। कृपया अन्य उपयोगकर्ताओं की उपलब्धता को बाधित करने वाले स्वचालित स्कैन, समस्या को प्रदर्शित करने के लिए आवश्यक से अधिक डेटा निष्कर्षण, और सुधार रिलीज़ करने से पहले विवरण को सार्वजनिक रूप से बताने से बचें।

यदि रिपोर्टर चाहें, तो हम पैच रिलीज़ करते समय अपने changelog में उनके योगदान को मान्यता देंगे।