Где лежит материал и что уходит наружу

За утечку неутверждённой серии отвечает студия. Не сервис, не подрядчик, не «человек, который переслал ссылку». Поэтому вопрос «где физически лежит материал» — не паранойя, а часть договора с площадкой.

Разделение, которое имеет смысл

Практичное разделение выглядит так.

Исходники остаются в контуре студии — на станции, на NAS, на студийном хранилище. Терабайты никуда не выгружаются, и это не только про безопасность, но и про здравый смысл: перегонять смену в облако ради того, чтобы её посмотреть, незачем.

Наружу уходят просмотровые копии — прокси и превью, в том объёме, который разрешён в проекте. Внешнему зрителю оригинал не нужен; ему нужно видеть картинку и ставить правки.

На сервере живёт проект — участники, версии, правки, задачи, решения, история. Это сведения о работе, а не сама работа.

Правила, которые не отключаются

Ключевое различие между настройкой и правилом: настройку можно поменять в спешке перед дедлайном, правило — нет.

Ограничения проекта — что можно отдавать наружу, каким сервисам, кому показывать — проверяются до действия: до загрузки, до отправки, до публикации. Не после, когда «уже ушло, но мы быстро удалим».

Общие правила студии задаются сверху. Проект может добавить ограничений — например, для сериала с жёстким NDA, — но ослабить заданное студией не может. В том числе не может человек, которому очень нужно и очень срочно.

Доступ выдаётся человеку, а не ссылке

Пересланная ссылка не должна открывать материал тому, кого в проект не добавляли. Это звучит банально, пока не посмотреть, сколько материала в индустрии утекло именно так.

И обратное: закрытый доступ срабатывает со следующего действия человека. Ждать перелогина не нужно. При этом история его работы остаётся — уволившийся монтажёр перестаёт видеть проект, но не исчезает из истории правок задним числом.

Внешние нейросети — отдельный разговор

Обращение к внешней модели — это передача данных наружу, со всеми вытекающими. Поэтому оно подчиняется тем же правилам проекта и происходит только по явному разрешению.

Проверить, что и кем было запущено, нужно. Хранить при этом содержимое запросов и ответов незачем.

Что из этого приемлемо для вашей площадки, лучше выяснить до начала проекта. На такой разговор уходит полчаса; на разбор последствий — недели.