Privacidad, sin rodeos.

nokeep no guarda ningún historial de conversaciones en el servidor. Tu trabajo guardado se queda en tu navegador, y las solicitudes a los modelos usan el nivel Private de Venice, con protecciones contractuales que impiden conservar el contenido de las instrucciones y las respuestas después de procesarlas.

Tus conversaciones, imágenes y clips guardados viven en tu navegador, en tu propio dispositivo. nokeep no guarda ninguna copia de ese historial en el servidor. Las solicitudes las procesa la infraestructura de modelos que se describe más abajo. Tu historial local se queda hasta que lo borres — Terminar ahora en la app borra todas las conversaciones y todo lo que hayas creado, y borrar los datos de este sitio en tu navegador hace lo mismo.

Lo mismo pasa con el espacio de trabajo: los proyectos y sus archivos, la memoria que guarda sobre ti y los documentos que el modelo escribe para ti viven en tu navegador. Cuando envías un mensaje, lo que el modelo necesita para responderlo viaja con la solicitud: el mensaje, la conversación hasta ese momento, tus instrucciones, lo que recuerda sobre ti y cualquier fragmento de archivo que el modelo lea. Los chats temporales excluyen la memoria guardada y el contexto del proyecto, y no se conservan como historial de chat. Sus mensajes, archivos adjuntos y herramientas activadas siguen usando procesamiento alojado.

No guardamos un archivo de contenido en el servidor ni usamos tus conversaciones, imágenes o videos para entrenar modelos. Las solicitudes se procesan en memoria y se envían, a través de un proxy, a los proveedores de inferencia que se describen más abajo. Cada modelo y cada proveedor tienen su propio comportamiento y sus propios límites.

Como todo esto vive en el dispositivo, cualquiera con acceso a tu perfil de navegador desbloqueado puede verlo. Si usas un equipo compartido o prestado, usa Terminar ahora cuando acabes, o una ventana privada para limitar lo que se guarda localmente. Las descargas, las capturas de pantalla y las copias de seguridad son copias aparte que estos controles no borran.

Pagar crea un token, no una cuenta: sin correo electrónico, sin nombre, sin perfil. Pero un sistema de créditos tiene que recordar lo que vendió, así que hay un registro que sí guardamos: qué se compró, cuándo, cuánto costó y cada crédito gastado contra esa compra. Está vinculado al token. Los procesadores de pago pueden llegar a asociar un pago con tu identidad.

Los registros de facturación y de uso están separados del contenido de las conversaciones. La referencia que vincula un token con el procesador de pagos se cifra en reposo con una clave que se guarda fuera de la base de datos. Una clave de cuenta da acceso; no es una garantía de anonimato.

Como cualquier servicio web, nuestros servidores ven por un momento tu dirección IP para entregar una respuesta, y la usamos para limitar los cupos gratuitos entre identificadores de visitante. El cupo gratuito del día se cuenta bajo un identificador aleatorio que tu navegador crea por sí mismo y guarda en su propio almacenamiento; así, un teléfono cuya operadora le cambia la dirección conserva un solo cupo en lugar de empezar de nuevo. El identificador no se deriva de tu dispositivo, se envía solo a nuestra API y desaparece cuando borras los datos del sitio. En el servidor, tanto el identificador como la dirección se guardan solo como un hash de un día y se eliminan al día siguiente. Estos contadores no contienen ningún contenido de conversaciones. No usamos rastreadores de analítica ni píxeles publicitarios. Hay una excepción limitada en el nivel gratuito: cuando un visitante sin cuenta pide una imagen o un clip gratis, la página calcula una verificación del dispositivo (un hash de características del navegador, y si se trata de una ventana privada) y la envía solo a nuestra API, para evitar que un mismo dispositivo reclame muchos cupos gratuitos. El servidor la guarda solo como un hash de un día y la elimina al día siguiente. Nunca se calcula para cuentas y nunca se envía a terceros.

Para entender cómo se usa el producto, guardamos contadores agregados y registros generales de las visitas: categoría de referencia, categoría de dispositivo/navegador/sistema operativo, idioma y país, día y franja horaria amplia, rangos de uso de funciones, y resultados como alcanzar un límite o pagar. Estos registros no contienen texto de instrucciones ni de respuestas. El servidor agrupa las solicitudes con un hash de la dirección y el navegador bajo una clave aleatoria que cambia cada día y no se guarda. Las filas de visitas guardadas no contienen ese identificador; los grupos pequeños se suprimen en las consultas de analítica. Un contador de visitas local en el navegador aporta categorías generales de antigüedad de las visitas y frecuencia de uso; borrar los datos del sitio lo reinicia.

El nivel gratuito no requiere cuenta: no hay nada a lo que registrarse. Los planes de pago funcionan con tokens de acceso generados al azar, no con un inicio de sesión de nokeep con correo y contraseña. Los pagos con tarjeta los gestiona un procesador de pagos, que necesariamente ve los datos de tu tarjeta. El formulario de la tarjeta pide un número, una fecha de vencimiento y un código de seguridad, y nada más: ni nombre, ni dirección, ni número de teléfono; el correo electrónico es opcional y solo sirve para el recibo. Al procesador nunca se le da tu token: un código de canje de un solo uso lo sustituye. Lo que guardamos asociado a tu token es la referencia de suscripción del procesador (sin ella no podemos saber si tu plan sigue activo), el estado y la fecha de renovación de esa suscripción, y un registro de los créditos otorgados y gastados. Nunca tu nombre, tu correo electrónico ni nada sobre tu tarjeta.

El chat, la generación de imágenes, la edición de imágenes y el video usan modelos del nivel Private de Venice. La inferencia se ejecuta en GPU controladas por Venice o en infraestructura de socios cubierta por compromisos de cero retención de datos. Según esa política, las instrucciones y las respuestas se procesan solo para cumplir la solicitud y no se conservan después de que esta termina.

Algunas tareas van a otros proveedores a través de OpenRouter, y cada una de esas solicitudes exige un proveedor de cero retención de datos y rechaza cualquiera que recopile datos: leer las respuestas en voz alta, convertir en texto tu voz grabada (con Venice como respaldo), la guía de historias que lee una historia de personaje para mantenerla coherente y, cuando Venice falla al dar una respuesta, el mismo modelo de chat en otro servidor. En una llamada de voz, lo que dices se transcribe mientras hablas, a cargo de un proveedor de reconocimiento de voz cuya política publicada es no guardar audio ni transcripciones de las transmisiones en vivo y no usar nada de ello para entrenar. nokeep no reenvía tu dirección IP ni encabezados que identifiquen tu navegador a ninguno de estos proveedores.

Estas protecciones dependen de contratos con los proveedores; nokeep no ofrece por ahora inferencia con cifrado de extremo a extremo ni con atestación de hardware. Los metadatos operativos, como los nombres de los modelos, los conteos de tokens y los registros de facturación, están separados del contenido de las conversaciones. Consulta la documentación de privacidad de Venice para conocer las protecciones del proveedor y los detalles de retención.

Antes de que se cree un mensaje, una imagen o un video, sus palabras se revisan según nuestras reglas de contenido con un modelo de seguridad (gpt-oss-safeguard) al que se accede a través de OpenRouter. Cada revisión exige un proveedor de cero retención de datos y rechaza cualquiera que recopile datos, así que el texto se procesa solo para devolver una etiqueta y no se guarda. Las imágenes terminadas las revisa un modelo que se ejecuta en nuestro propio servidor; no se envían a ningún lugar para ello.

Guardamos conteos de lo que decidieron las revisiones, nunca las palabras ni las imágenes. Con el filtro activado, una imagen que el filtro retiene llega difuminada, con la real cifrada a su lado: nuestro servidor la cifra antes de enviar ambas a tu navegador y solo guarda la clave, durante un día, nunca la imagen. Si la desbloqueas dentro de ese día, la clave se envía a tu navegador, que descifra la imagen allí.

La búsqueda web está desactivada a menos que la actives, y la opción se recuerda en cada navegador. Cuando está activada, la búsqueda se hace desde nuestra infraestructura y no desde tu navegador, así que el buscador ve una solicitud nuestra y nunca tu dirección IP ni nada sobre tu dispositivo. Sin embargo, sí recibe el texto de la consulta en sí: en eso consiste una búsqueda. No se envía nada más de la conversación, y los resultados vuelven por la misma vía. Si una pregunta es algo que no escribirías en un buscador, deja la opción desactivada.

No mantenemos un archivo de conversaciones en el servidor. Los registros operativos y de facturación descritos arriba pueden existir y pueden estar sujetos a procesos legales. Los archivos locales, las copias exportadas y los registros que tienen otras partes quedan fuera de nuestros controles de almacenamiento del historial. Este diseño no crea un privilegio legal ni inmunidad frente a obligaciones legales.

Si esta política cambia de cualquier forma que debilite lo anterior, lo diremos en voz alta en el sitio, sin esconderlo en un diff.