Hvad Desken gør ved data

Det korte svar: Desken er et program, der kører på din egen maskine. Vi driver ingen server, dine tekster og kilder kommer aldrig forbi os, og du opretter ikke en konto hos os. Nedenfor står de undtagelser, der findes — for der er nogle stykker, og de skal kunne læses uden at lede.

Bliver på din maskine

• Dine projekter: kildemateriale, udkast, faktatjek, godkendelser og eksport. De ligger som almindelige filer i en mappe, du selv vælger.
• Dine API-nøgler. De gemmes krypteret med computerens egen nøglering — Keychain på Mac, DPAPI på Windows — og sendes aldrig til os.
• Dine indstillinger, skabeloner og kildekartotek.

Sendes til AI-udbyderne — dem du selv vælger

Når du kører en AI-node, sendes den prompt og det materiale, noden er koblet til, direkte fra din maskine til den udbyder, noden bruger — med din egen nøgle. Det går ikke gennem os. Hvilke udbydere der må modtage noget, bestemmer du under Indstillinger → Databeskyttelse; i tilstanden 🛡 Offline sendes intet til en AI-udbyder i skyen; kun lokale modeller kører. Hvad udbyderen selv gør ved materialet, står i deres vilkår — det er derfor, valget er dit og ikke vores.

Din stemme — kun når du trykker på mikrofonen

I Spørg til lærredet kan du tale i stedet for at skrive. Mikrofonen er kun åben, fra du trykker på 🎙, til du holder en pause eller trykker igen. Optagelsen sendes med din egen nøgle direkte fra din maskine til Groq eller OpenAI (Whisper) for at blive lavet om til tekst, og den gemmes ikke — hverken på din maskine eller hos os. Svaret læses op med en naturlig stemme: har du en ElevenLabs-nøgle, sendes svarets tekst til ElevenLabs, ellers til OpenAI, og kun for at blive lavet om til tale. Uden nogen af dem, eller i 🛡 Offline, læser computerens egen stemme op, og teksten forlader ikke maskinen. I Offline er mikrofonen slået fra.

Spørg til lærredet — strukturen, og den node du spørger om

Chatten sender lærredets struktur og nodernes navne til den model, du har valgt. Indholdet i en node — et udkast, et faktatjek, en kilde — sendes kun, når du spørger om netop den node, højst to ad gangen, og chatten viser, hvilke den læste. Det går gennem samme vagt som nodernes egne kald, så Offline og dine godkendte udbydere gælder også her. Samtalen gemmes ikke.

Sendes til de MCP-servere, du selv kobler på

Noden MCP-connector henter materiale fra en MCP-server (Model Context Protocol), hvis adresse du selv skriver ind på noden. Til serveren sendes det, der står på noden: navnet på det værktøj eller den ressource, du har valgt, de argumenter du har skrevet, og de headers du har tilføjet — fx en adgangsnøgle til serveren. Der sendes intet fra resten af projektet: ingen kilder, ingen udkast og ingen tekst fra andre noder — med én undtagelse, som du selv vælger: skriver du {{input}} i argumenterne, erstattes det med teksten fra de noder, der er forbundet ind i MCP-noden (fx søgeord fra en AI-node), og den tekst sendes til serveren. Uden {{input}} sker det ikke. Kaldet går direkte fra din maskine til serveren, ikke gennem os.

Ligesom URL- og API-import regnes MCP-noden for at hente data ind, og den påvirkes derfor ikke af databeskyttelsestilstanden — den kører også i 🛡 Offline, hvis maskinen er på nettet. Hvem der driver serveren, og hvad de gør ved det, der sendes, afhænger af den server, du vælger. Et værktøjskald kan også få serveren til at gøre noget, alt efter værktøjet, og det sker igen ved hver kørsel. Er adressen ukrypteret (http://), spørger Desken først.

Vælger du Log ind (OAuth) i stedet for headers, kalder Desken også serverens loginløsning: den henter serverens loginadresser, melder Desken til som klient (navnet «Desken» og en returadresse på din egen maskine) og åbner serverens egen loginside i din browser. Din adgangskode skrives dér og ses aldrig af Desken. Den adgangsnøgle, du får tilbage, gemmes krypteret på din maskine og sendes kun med til den server, den hører til — ikke til os og ikke med i projektfilen. Du kan logge ud på noden, og så slettes den.

Sendes til Scite, når du bruger Forskningssøgning

Noden Forskningssøgning finder videnskabelige artikler i Scite. Til Scite sendes kun selve søgningen — en kort søgestreng på engelsk, antallet af artikler og evt. et årstal. Din tekst, dine kilder og dine udkast sendes ikke til Scite. Desken bruger din egen Scite-konto: du logger ind på Scites egen side i din browser, din adgangskode ses aldrig af Desken, og adgangen gemmes krypteret på din maskine og ikke i projektfilen. Scites egne vilkår og privatlivspolitik gælder for din brug af Scite.

Vælger du, at Desken skal formulere søgningen ud fra den forbundne tekst, læser flowets sprogmodel teksten for at skrive søgestrengen — på samme vilkår som enhver anden AI-node. Skriver du søgningen selv, læses ingen tekst. Noden er spærret i 🛡 Offline, og i 🔐 skal Scite være godkendt under Databeskyttelse. Svaret fra Scite (titler, resuméer og uddrag) behandles som ubetroet tekst, når det sendes videre til AI-noder.

Sendes til udgiveren

• Ved oprettelse af bruger: dit navn og din e-mail. Det er udgiverens liste over, hvem der bruger betaen, og den ligger som en sag i et lukket kodearkiv hos GitHub. Intet fra dine projekter følger med. Skriv, hvis du vil slettes af listen.
• Hvis du slår telemetri til: hvilke funktioner der bruges — nodetype, hvilken model, om kørslen lykkedes — plus appversion og sprog. Aldrig indhold. Det er som standard slået fra, det slås til under Indstillinger, og det går til en EU-hostet tjeneste (Aptabase).
• Hvis du slår crash-rapporter til: når Desken går ned, sendes en teknisk rapport til Sentry — fejltype, stakspor, Desken-version og styresystem. Stien til din hjemmemappe maskeres, før rapporten sendes, så dit brugernavn ikke kommer med. Nævner en fejlbesked en fil eller en projektmappe, kan navnet på den stadig stå i rapporten. Almindelige fejl rapporteres kun fra programmets bagvedliggende proces, ikke fra den del, der viser og redigerer dine projekter. Styrter en del af programmet helt ned — fx fordi den løber tør for hukommelse — følger et minidump med: et teknisk øjebliksbillede af programmets tilstand i det øjeblik. Det er ikke dine filer, men det kan i sjældne tilfælde indeholde brudstykker af det, der lå i hukommelsen, også tekst fra et åbent projekt. Som hos enhver webtjeneste kan Sentry se den IP-adresse, rapporten kommer fra. Crash-rapporter er som standard slået fra, de slås til under Indstillinger → Beta & feedback uafhængigt af telemetrien, og valget gælder fra næste gang, Desken starter.
• Når du henter appen: almindelige serverlogs hos Vercel, som er vores hostingudbyder.
• Mens du er betabruger: appen spørger højst én gang i døgnet desken.dk, om betaen er afsluttet. Opslaget indeholder intet om dig eller dine projekter — det er et almindeligt opslag, som kun efterlader de samme serverlogs hos Vercel som ovenfor. Svaret er en besked, som appen selv tjekker med en digital signatur. Kan desken.dk ikke nås, fortsætter betaen.
• Hvis du køber en licens: betalingen foregår på Lemon Squeezys betalingsside, og det, du oplyser dér, håndteres af Lemon Squeezy. Når du taster licensnøglen ind i Desken, sender appen nøglen og et tilfældigt navn på installationen — fx «Desken Mac 3f9a2c», ikke din computers navn — til Lemon Squeezy for at aktivere den. Derefter tjekker appen højst én gang i døgnet, at licensen stadig gælder, med nøglen og installationens id. Kaldene går direkte fra din maskine til Lemon Squeezy. Har I fået en licensnøgle mod faktura, tjekkes den i stedet på selve maskinen, uden at noget sendes.
• Når appen tjekker for opdateringer: et kald til GitHub for at se, om der er en nyere udgave.

Sendes aldrig

Dine kilder, dine udkast, dine færdige tekster, dine faktatjek og dine API-nøgler. De kommer ikke forbi os i drift, og de sendes ikke med i crash-rapporter — med det ene forbehold om minidumps, der står ovenfor.

Denne side er en teknisk beskrivelse af, hvad programmet faktisk gør — skrevet så den kan bruges af en it-afdeling, der skal vurdere Desken. Den er ikke en juridisk databehandleraftale; en sådan udarbejdes, før salget åbner. Spørgsmål: hej@grumpyproductions.dk.