Datenschutz, klar gesagt.

nokeep speichert keinen Gesprächsverlauf auf dem Server. Ihre gespeicherte Arbeit bleibt in Ihrem Browser, und Anfragen an die Modelle laufen über die Private-Stufe von Venice, mit vertraglichen Zusicherungen, dass Inhalte von Prompts und Antworten nach der Verarbeitung nicht aufbewahrt werden.

Ihre gespeicherten Unterhaltungen, Bilder und Clips liegen in Ihrem Browser auf Ihrem eigenen Gerät. nokeep bewahrt keine Serverkopie dieses Verlaufs auf. Anfragen werden von der unten beschriebenen Modellinfrastruktur verarbeitet. Ihr lokaler Verlauf bleibt erhalten, bis Sie ihn löschen — Jetzt beenden in der App löscht alle Unterhaltungen und alles, was Sie erstellt haben, und das Löschen der Daten dieser Website in Ihrem Browser bewirkt dasselbe.

Dasselbe gilt für den Arbeitsbereich: Projekte und ihre Dateien, das Gedächtnis, das er über Sie führt, und Dokumente, die das Modell für Sie schreibt, liegen in Ihrem Browser. Wenn Sie eine Nachricht senden, reist mit der Anfrage mit, was das Modell braucht, um sie zu beantworten — die Nachricht, die bisherige Unterhaltung, Ihre Anweisungen, was es über Sie weiß, und jeder Dateiabschnitt, den das Modell liest. Temporäre Chats schließen das gespeicherte Gedächtnis und den Projektkontext aus und werden nicht als Chatverlauf gespeichert. Ihre Nachrichten, Anhänge und aktivierten Werkzeuge werden dennoch auf Servern verarbeitet.

Wir führen kein serverseitiges Inhaltsarchiv und verwenden Ihre Unterhaltungen, Bilder oder Videos nicht zum Trainieren von Modellen. Anfragen werden im Arbeitsspeicher verarbeitet und an die unten beschriebenen Inferenzanbieter weitergeleitet. Einzelne Modelle und Anbieter haben ihr eigenes Verhalten und ihre eigenen Grenzen.

Weil dies auf dem Gerät liegt, kann es jeder sehen, der Zugriff auf Ihr entsperrtes Browserprofil hat. Wenn Sie ein gemeinsam genutztes oder geliehenes Gerät verwenden, nutzen Sie Jetzt beenden, wenn Sie fertig sind, oder ein privates Fenster, um die lokale Speicherung zu begrenzen. Downloads, Screenshots und Backups sind separate Kopien, die diese Funktionen nicht löschen.

Eine Zahlung erzeugt einen Token, kein Konto — keine E-Mail, kein Name, kein Profil. Ein Credit-System muss sich aber merken, was es verkauft hat, deshalb gibt es einen Datensatz, den wir aufbewahren: was gekauft wurde, wann, was es gekostet hat und jeden Credit, der davon verbraucht wurde. Er ist mit dem Token verknüpft. Zahlungsdienstleister können eine Zahlung möglicherweise Ihrer Identität zuordnen.

Abrechnungs- und Nutzungsdaten sind von den Inhalten der Unterhaltungen getrennt. Die Referenz, die einen Token mit dem Zahlungsdienstleister verknüpft, wird im Ruhezustand verschlüsselt, mit einem Schlüssel, der außerhalb der Datenbank aufbewahrt wird. Ein Kontoschlüssel gewährt Zugang; er ist keine Garantie für Anonymität.

Wie jeder Webdienst sehen unsere Server kurz Ihre IP-Adresse, um eine Antwort auszuliefern, und wir verwenden sie, um kostenlose Kontingente über Besucher-IDs hinweg zu begrenzen. Das kostenlose Tageskontingent wird unter einer zufälligen ID gezählt, die Ihr Browser selbst erzeugt und in seinem eigenen Speicher ablegt — so behält ein Telefon, dessen Mobilfunkanbieter die Adresse wechselt, ein einziges Kontingent, statt neu zu beginnen. Die ID wird nicht aus Ihrem Gerät abgeleitet, nur an unsere API gesendet und verschwindet, wenn Sie die Websitedaten löschen. Auf dem Server werden sowohl die ID als auch die Adresse nur als Ein-Tages-Hash gespeichert und am nächsten Tag gelöscht. Diese Zähler enthalten keine Inhalte von Unterhaltungen. Wir setzen keine Analyse-Tracker oder Werbepixel ein. Für die kostenlose Stufe gilt eine eng begrenzte Ausnahme: Wenn ein Besucher ohne Konto ein kostenloses Bild oder einen kostenlosen Clip anfordert, berechnet die Seite eine Geräteprüfung (einen Hash von Browsermerkmalen und ob es sich um ein privates Fenster handelt) und sendet sie nur an unsere API, damit ein Gerät nicht viele kostenlose Kontingente beansprucht. Der Server bewahrt sie nur als Ein-Tages-Hash auf und löscht sie am nächsten Tag. Sie wird für Konten nie berechnet und nie an Dritte gesendet.

Um die Nutzung des Produkts zu verstehen, führen wir zusammengefasste Zähler und grobe Aufzeichnungen über Besuche: Kategorie der Herkunft, Kategorie von Gerät/Browser/Betriebssystem, Sprache und Land, Tag und grobes Zeitfenster, Bereiche der Funktionsnutzung sowie Ergebnisse wie das Erreichen eines Limits oder eine Zahlung. Diese Aufzeichnungen enthalten keinen Prompt- oder Antworttext. Der Server gruppiert Anfragen anhand eines Hashs aus Adresse und Browser unter einem zufälligen Schlüssel, der täglich wechselt und nicht gespeichert wird. Die gespeicherten Besuchszeilen enthalten diese Kennung nicht; kleine Gruppen werden in Analyseabfragen unterdrückt. Ein lokaler Besuchszähler im Browser liefert grobe Kategorien für das Alter der Besuche und die Nutzungshäufigkeit; das Löschen der Websitedaten setzt ihn zurück.

Die kostenlose Stufe erfordert kein Konto — es gibt nichts, wofür Sie sich registrieren müssten. Bezahlte Tarife funktionieren über zufällig erzeugte Zugangstokens statt über eine Anmeldung bei nokeep mit E-Mail und Passwort. Kartenzahlungen werden von einem Zahlungsdienstleister abgewickelt, der Ihre Kartendaten zwangsläufig sieht. Das Kartenformular fragt nach einer Nummer, einem Ablaufdatum und einem Sicherheitscode und sonst nichts — kein Name, keine Adresse, keine Telefonnummer; eine E-Mail ist optional und dient nur für einen Beleg. Der Zahlungsdienstleister erhält Ihren Token nie: Ein einmaliger Einlösecode tritt an seine Stelle. Was wir zu Ihrem Token speichern, ist die Abonnementreferenz des Zahlungsdienstleisters (ohne sie können wir nicht erkennen, ob Ihr Tarif noch aktiv ist), Status und Verlängerungsdatum dieses Abonnements sowie ein Verzeichnis der gewährten und verbrauchten Credits. Niemals Ihren Namen, Ihre E-Mail oder irgendetwas über Ihre Karte.

Chat, Bilderzeugung, Bildbearbeitung und Video nutzen Modelle in der Private-Stufe von Venice. Die Inferenz läuft auf GPUs, die Venice kontrolliert, oder auf Partnerinfrastruktur, die durch Zusagen ohne Datenaufbewahrung (Zero Data Retention) abgedeckt ist. Nach dieser Richtlinie werden Prompts und Antworten nur verarbeitet, um die Anfrage zu erfüllen, und nach deren Abschluss nicht aufbewahrt.

Einige Aufgaben gehen über OpenRouter an andere Anbieter, und jede dieser Anfragen verlangt einen Anbieter ohne Datenaufbewahrung und lehnt jeden ab, der Daten erheben würde: das Vorlesen von Antworten, das Umwandeln Ihrer aufgenommenen Stimme in Text (mit Venice als Ausweichlösung), der Erzählassistent, der eine Charaktergeschichte liest, damit sie stimmig bleibt, und, wenn Venice eine Antwort nicht liefern kann, dasselbe Chatmodell bei einem anderen Host. In einem Sprachanruf werden Ihre Worte, noch während Sie sprechen, von einem Anbieter für Spracherkennung transkribiert, dessen veröffentlichte Richtlinie vorsieht, aus Live-Streams weder Audio noch Transkripte aufzubewahren und nichts davon zum Training zu verwenden. nokeep leitet Ihre IP-Adresse und Header, die Ihren Browser identifizieren, an keinen dieser Anbieter weiter.

Diese Schutzmaßnahmen beruhen auf Verträgen mit Anbietern; nokeep bietet derzeit keine Ende-zu-Ende-verschlüsselte oder hardwarebeglaubigte Inferenz. Betriebsmetadaten wie Modellnamen, Tokenzahlen und Abrechnungsdaten sind von den Inhalten der Unterhaltungen getrennt. Die Schutzmaßnahmen des Anbieters und die Einzelheiten zur Aufbewahrung beschreibt die Datenschutzdokumentation von Venice im Einzelnen.

Bevor eine Nachricht, ein Bild oder ein Video erstellt wird, werden die Worte von einem Sicherheitsmodell (gpt-oss-safeguard), das über OpenRouter erreicht wird, anhand unserer Inhaltsregeln geprüft. Jede Prüfung verlangt einen Anbieter ohne Datenaufbewahrung und lehnt jeden ab, der Daten erheben würde, sodass der Text nur verarbeitet wird, um ein einziges Label zurückzugeben, und nicht aufbewahrt wird. Fertige Bilder werden von einem Modell geprüft, das auf unserem eigenen Server läuft; sie werden dafür nirgendwohin gesendet.

Wir zählen, was die Prüfungen entschieden haben, speichern aber nie die Worte oder die Bilder. Wenn der Filter aktiv ist, kommt ein Bild, das der Filter zurückhält, unscharf zurück, daneben das echte Bild in verschlüsselter Form: Unser Server verschlüsselt es, bevor er beide an Ihren Browser sendet, und bewahrt nur den Schlüssel auf, für einen Tag, nie das Bild. Entsperren Sie es innerhalb dieses Tages, wird der Schlüssel an Ihren Browser gesendet, der das Bild dort entschlüsselt.

Die Websuche ist aus, bis Sie sie einschalten, und die Einstellung wird pro Browser gespeichert. Wenn sie an ist, läuft die Suche über unsere Infrastruktur statt über Ihren Browser, sodass die Suchmaschine eine Anfrage von uns sieht und nie Ihre IP-Adresse oder irgendetwas über Ihr Gerät. Sie erhält jedoch den Text der Suchanfrage selbst — genau darin besteht eine Suche. Nichts anderes aus der Unterhaltung wird gesendet, und die Ergebnisse kommen auf demselben Weg zurück. Wenn Sie eine Frage nicht in eine Suchmaschine eintippen würden, lassen Sie den Schalter aus.

Wir führen kein serverseitiges Archiv von Unterhaltungen. Die oben beschriebenen Betriebs- und Abrechnungsdaten können existieren und rechtlichen Verfahren unterliegen. Lokale Dateien, exportierte Kopien und Daten, die bei anderen Parteien liegen, fallen nicht unter unsere Kontrollen der Verlaufsspeicherung. Dieses Design begründet weder ein rechtliches Privileg noch eine Befreiung von rechtlichen Pflichten.

Wenn sich diese Richtlinie in einer Weise ändert, die das oben Gesagte abschwächt, sagen wir das deutlich auf der Website — und verstecken es nicht in einem Diff.