La confidentialité, sans détour.

nokeep ne conserve aucun historique de conversation côté serveur. Votre travail enregistré reste dans votre navigateur, et les requêtes aux modèles passent par l’offre Private de Venice, avec des protections contractuelles contre la conservation du contenu des prompts et des réponses après traitement.

Vos conversations, images et clips enregistrés sont stockés dans votre navigateur, sur votre propre appareil. nokeep ne garde aucune copie de cet historique sur ses serveurs. Les requêtes sont traitées par l’infrastructure de modèles décrite ci-dessous. Votre historique local reste en place jusqu’à ce que vous l’effaciez — Terminer maintenant dans l’application efface toutes les conversations et tout ce que vous avez créé, et effacer les données de ce site dans votre navigateur a le même effet.

Il en va de même pour l’espace de travail : les projets et leurs fichiers, la mémoire qu’il conserve à votre sujet et les documents que le modèle rédige pour vous sont stockés dans votre navigateur. Lorsque vous envoyez un message, ce dont le modèle a besoin pour y répondre accompagne la requête — le message, la conversation jusque-là, vos instructions, ce qu’il retient de vous et tout passage de fichier que le modèle lit. Les conversations temporaires excluent la mémoire enregistrée et le contexte de projet, et ne sont pas conservées dans l’historique des conversations. Leurs messages, pièces jointes et outils activés passent néanmoins par un traitement hébergé.

Nous ne conservons aucune archive de contenu côté serveur et n’utilisons pas vos conversations, images ou vidéos pour entraîner des modèles. Les requêtes sont traitées en mémoire et transmises par proxy aux fournisseurs d’inférence décrits ci-dessous. Chaque modèle et chaque fournisseur a son propre comportement et ses propres limites.

Comme ces données se trouvent sur l’appareil, toute personne ayant accès à votre profil de navigateur déverrouillé peut les voir. Si vous utilisez une machine partagée ou empruntée, utilisez Terminer maintenant lorsque vous avez fini, ou une fenêtre privée pour limiter la persistance locale. Les téléchargements, captures d’écran et sauvegardes sont des copies distinctes que ces commandes n’effacent pas.

Payer crée un jeton, pas un compte — ni e-mail, ni nom, ni profil. Mais un système de crédits doit se souvenir de ce qu’il a vendu ; il existe donc un enregistrement que nous conservons : ce qui a été acheté, quand, combien cela a coûté, et chaque crédit dépensé sur cet achat. Il est lié au jeton. Les prestataires de paiement peuvent être en mesure d’associer un paiement à votre identité.

Les données de facturation et d’utilisation sont séparées du contenu des conversations. La référence qui relie un jeton au prestataire de paiement est chiffrée au repos avec une clé conservée en dehors de la base de données. Une clé de compte donne un accès ; elle ne garantit pas l’anonymat.

Comme tout service web, nos serveurs voient momentanément votre adresse IP pour vous envoyer une réponse, et nous l’utilisons pour plafonner les quotas gratuits entre identifiants de visiteur. Le quota gratuit du jour est compté sous un identifiant aléatoire que votre navigateur crée lui-même et conserve dans son propre stockage — ainsi, un téléphone dont l’opérateur change l’adresse garde un seul quota au lieu de repartir de zéro. Cet identifiant n’est pas dérivé de votre appareil, n’est envoyé qu’à notre API et disparaît lorsque vous effacez les données du site. Côté serveur, l’identifiant comme l’adresse ne sont stockés que sous forme de hachage valable un jour, et sont supprimés le lendemain. Ces compteurs ne contiennent aucun contenu de conversation. Nous n’utilisons aucun traceur d’analyse ni pixel publicitaire. Une exception limitée s’applique au niveau gratuit : lorsqu’un visiteur sans compte demande une image ou un clip gratuit, la page calcule une vérification de l’appareil (un hachage des caractéristiques du navigateur, et le fait qu’il s’agisse ou non d’une fenêtre privée) et ne l’envoie qu’à notre API, pour empêcher qu’un même appareil réclame de nombreux quotas gratuits. Le serveur ne la conserve que sous forme de hachage valable un jour et la supprime le lendemain. Elle n’est jamais calculée pour les comptes et jamais envoyée à un tiers.

Pour comprendre l’usage du produit, nous conservons des compteurs agrégés et des enregistrements sommaires des visites : catégorie de provenance, catégorie d’appareil, de navigateur et de système d’exploitation, langue et pays, jour et grande tranche horaire, fourchettes d’utilisation des fonctionnalités, et résultats tels que l’atteinte d’une limite ou un paiement. Ces enregistrements ne contiennent aucun texte de prompt ni de réponse. Le serveur regroupe les requêtes à l’aide d’un hachage de l’adresse et du navigateur, sous une clé aléatoire qui change chaque jour et n’est pas conservée. Les lignes de visite enregistrées ne contiennent pas cet identifiant ; les petits groupes sont masqués dans les requêtes d’analyse. Un compteur de visites local au navigateur fournit des catégories sommaires d’ancienneté des visites et de fréquence d’utilisation ; effacer les données du site le réinitialise.

Le niveau gratuit ne demande aucun compte — il n’y a rien à quoi s’inscrire. Les forfaits payants fonctionnent avec des jetons d’accès générés aléatoirement plutôt qu’avec un identifiant nokeep par e-mail et mot de passe. Les paiements par carte sont gérés par un prestataire de paiement, qui voit nécessairement les données de votre carte. Le formulaire de carte demande un numéro, une date d’expiration et un code de sécurité, et rien d’autre — ni nom, ni adresse, ni numéro de téléphone ; un e-mail est facultatif et ne sert qu’à envoyer un reçu. Le prestataire ne reçoit jamais votre jeton : un code de réclamation à usage unique le remplace. Ce que nous enregistrons avec votre jeton, c’est la référence d’abonnement du prestataire (sans elle, nous ne pouvons pas savoir si votre forfait est toujours actif), le statut et la date de renouvellement de cet abonnement, et un registre des crédits accordés et dépensés. Jamais votre nom, votre e-mail ni quoi que ce soit concernant votre carte.

Le chat, la génération d’images, la retouche d’images et la vidéo utilisent des modèles de l’offre Private de Venice. L’inférence s’exécute sur des GPU contrôlés par Venice ou sur une infrastructure partenaire couverte par des engagements de non-conservation des données. Selon cette politique, les prompts et les réponses ne sont traités que pour exécuter la requête et ne sont pas conservés une fois celle-ci terminée.

Quelques tâches sont confiées à d’autres fournisseurs via OpenRouter, et chacune de ces requêtes exige un fournisseur sans conservation des données et refuse tout fournisseur qui collecterait des données : la lecture à voix haute des réponses, la transcription en texte de votre voix enregistrée (avec Venice en secours), le guide d’histoire qui lit une histoire de personnage pour qu’elle reste cohérente et, lorsque Venice échoue à fournir une réponse, le même modèle de chat chez un autre hébergeur. Pendant un appel vocal, votre parole est transcrite pendant que vous parlez par un fournisseur de reconnaissance vocale dont la politique publiée est de ne conserver aucun audio ni aucune transcription des flux en direct et de ne rien en utiliser pour l’entraînement. nokeep ne transmet à aucun de ces fournisseurs ni votre adresse IP ni les en-têtes qui permettent d’identifier votre navigateur.

Ces protections reposent sur les contrats des fournisseurs ; nokeep ne propose pas actuellement d’inférence chiffrée de bout en bout ni attestée par le matériel. Les métadonnées opérationnelles, telles que les noms des modèles, le nombre de tokens et les données de facturation, sont séparées du contenu des conversations. Consultez la documentation de Venice sur la confidentialité pour connaître les protections du fournisseur et le détail de ses durées de conservation.

Avant qu’un message, une image ou une vidéo ne soit créé, ses mots sont vérifiés au regard de nos règles de contenu par un modèle de sécurité (gpt-oss-safeguard) accessible via OpenRouter. Chaque vérification exige un fournisseur sans conservation des données et refuse tout fournisseur qui collecterait des données ; le texte n’est donc traité que pour renvoyer une étiquette et n’est pas conservé. Les images terminées sont vérifiées par un modèle qui tourne sur notre propre serveur ; elles ne sont envoyées nulle part pour cela.

Nous conservons le décompte des décisions prises par ces vérifications, jamais les mots ni les images. Lorsque le filtre est activé, une image retenue par le filtre vous parvient floutée, avec l’originale chiffrée à côté : notre serveur la chiffre avant d’envoyer les deux à votre navigateur, et ne conserve que la clé, pendant un jour, jamais l’image. Si vous la déverrouillez dans ce délai d’un jour, la clé est envoyée à votre navigateur, qui y déchiffre l’image.

La recherche web est désactivée sauf si vous l’activez, et ce réglage est mémorisé pour chaque navigateur. Lorsqu’elle est activée, la recherche part de notre infrastructure et non de votre navigateur : le moteur de recherche voit donc une requête venant de nous, jamais votre adresse IP ni quoi que ce soit concernant votre appareil. Il reçoit en revanche le texte de la requête elle-même — c’est le principe d’une recherche. Rien d’autre de la conversation n’est envoyé, et les résultats reviennent par le même chemin. Si c’est une question que vous ne taperiez pas dans un moteur de recherche, laissez l’option désactivée.

Nous ne tenons aucune archive de conversations côté serveur. Les données opérationnelles et de facturation décrites ci-dessus peuvent exister et faire l’objet d’une procédure judiciaire. Les fichiers locaux, les copies exportées et les données détenues par des tiers échappent à nos contrôles de stockage de l’historique. Cette conception ne crée ni privilège juridique ni immunité à l’égard des obligations légales.

Si cette politique change d’une manière qui affaiblit ce qui précède, nous le dirons haut et fort sur le site — sans l’enfouir dans un diff.