Privacidade, sem rodeios.

O nokeep não guarda histórico de conversas no servidor. O que você salva fica no seu navegador, e as solicitações aos modelos usam o nível Private da Venice, com proteções contratuais contra a retenção do conteúdo de prompts e respostas após o processamento.

Suas conversas, imagens e clipes salvos ficam no seu navegador, no seu próprio dispositivo. O nokeep não guarda cópia desse histórico no servidor. As solicitações são processadas pela infraestrutura de modelos descrita abaixo. Seu histórico local fica até você apagá-lo — Encerrar agora no app apaga todas as conversas e tudo o que você criou, e limpar os dados deste site no seu navegador tem o mesmo efeito.

O mesmo vale para o espaço de trabalho: os projetos e seus arquivos, a memória que ele guarda sobre você e os documentos que o modelo escreve para você ficam no seu navegador. Quando você envia uma mensagem, o que o modelo precisa para respondê-la segue com a solicitação — a mensagem, a conversa até ali, suas instruções, o que ele lembra sobre você e qualquer trecho de arquivo que o modelo leia. Conversas temporárias não incluem a memória salva nem o contexto do projeto e não são guardadas como histórico de conversas. Suas mensagens, anexos e ferramentas ativadas ainda usam processamento hospedado.

Não mantemos um arquivo de conteúdo no servidor nem usamos suas conversas, imagens ou vídeos para treinar modelos. As solicitações são processadas em memória e encaminhadas aos provedores de inferência descritos abaixo. Cada modelo e provedor tem seu próprio comportamento e seus próprios limites.

Como tudo isso fica no dispositivo, qualquer pessoa com acesso ao seu perfil de navegador desbloqueado pode ver. Se você estiver usando um computador compartilhado ou emprestado, use Encerrar agora ao terminar, ou uma janela anônima para limitar o que fica salvo localmente. Downloads, capturas de tela e backups são cópias separadas que esses controles não apagam.

Pagar cria um token, não uma conta — sem email, sem nome, sem perfil. Mas um sistema de créditos precisa lembrar o que vendeu, então há um registro que guardamos: o que foi comprado, quando, quanto custou e cada crédito gasto com ele. Esse registro fica vinculado ao token. Os processadores de pagamento podem conseguir associar um pagamento à sua identidade.

Os registros de cobrança e de uso ficam separados do conteúdo das conversas. A referência que liga um token ao processador de pagamento é criptografada em repouso com uma chave mantida fora do banco de dados. Uma chave de conta dá acesso; ela não é garantia de anonimato.

Como em qualquer serviço web, nossos servidores veem momentaneamente seu endereço IP para entregar uma resposta, e o usamos para limitar as cotas gratuitas entre IDs de visitante. A cota gratuita do dia é contada sob um ID aleatório que seu navegador cria por conta própria e guarda no próprio armazenamento — assim, um celular cuja operadora muda o endereço mantém uma única cota em vez de começar de novo. O ID não é derivado do seu dispositivo, é enviado apenas à nossa API e desaparece quando você limpa os dados do site. No servidor, tanto o ID quanto o endereço são armazenados apenas como um hash de um dia e excluídos no dia seguinte. Esses contadores não contêm nenhum conteúdo de conversa. Não usamos rastreadores de análise nem pixels de publicidade. Há uma exceção restrita no plano gratuito: quando um visitante sem conta pede uma imagem ou um clipe grátis, a página calcula uma verificação do dispositivo (um hash de características do navegador e se é uma janela anônima) e a envia apenas à nossa API, para impedir que um dispositivo reivindique muitas cotas gratuitas. O servidor a guarda apenas como um hash de um dia e a exclui no dia seguinte. Ela nunca é calculada para contas e nunca é enviada a terceiros.

Para entender o uso do produto, mantemos contadores agregados e registros genéricos de visitas: categoria de origem, categoria de dispositivo/navegador/sistema operacional, idioma e país, dia e faixa ampla de horário, faixas de uso de recursos e resultados como atingir um limite ou pagar. Esses registros não contêm texto de prompts nem de respostas. O servidor agrupa as solicitações usando um hash do endereço e do navegador sob uma chave aleatória que muda diariamente e não é guardada. As linhas de visita salvas não contêm esse identificador; grupos pequenos são suprimidos nas consultas de análise. Um contador de visitas local do navegador fornece categorias genéricas de tempo desde a primeira visita e de frequência de uso; limpar os dados do site o zera.

O plano gratuito não exige conta — não há cadastro a fazer. Os planos pagos funcionam por tokens de acesso gerados aleatoriamente, e não por um login do nokeep com email e senha. Os pagamentos com cartão são feitos por um processador de pagamento, que necessariamente vê os dados do seu cartão. O formulário do cartão pede um número, uma data de validade e um código de segurança e nada mais — sem nome, sem endereço, sem telefone; o email é opcional e serve apenas para o recibo. O processador nunca recebe seu token: um código de resgate de uso único fica no lugar dele. O que guardamos vinculado ao seu token é a referência da assinatura no processador (sem ela não conseguimos saber se seu plano ainda está ativo), o status e a data de renovação dessa assinatura e um registro dos créditos concedidos e gastos. Nunca seu nome, seu email ou qualquer coisa sobre seu cartão.

Chat, geração de imagens, edição de imagens e vídeo usam modelos no nível Private da Venice. A inferência roda em GPUs controladas pela Venice ou em infraestrutura de parceiros coberta por compromissos de retenção zero de dados. Por essa política, prompts e respostas são processados apenas para atender à solicitação e não são retidos depois que ela termina.

Algumas tarefas vão para outros provedores pela OpenRouter, e cada uma dessas solicitações exige um provedor com retenção zero de dados e recusa qualquer um que colete dados: ler respostas em voz alta, transformar sua voz gravada em texto (com a Venice como reserva), o guia de histórias que lê uma história de personagem para mantê-la coerente e, quando a Venice não consegue dar uma resposta, o mesmo modelo de chat em outro servidor. Em uma chamada de voz, o que você diz é transcrito enquanto você fala por um provedor de reconhecimento de voz cuja política publicada é não guardar áudio nem transcrições de transmissões ao vivo e não usar nada disso para treinamento. O nokeep não repassa seu endereço IP nem cabeçalhos que identifiquem seu navegador a nenhum desses provedores.

Essas proteções dependem de contratos com os provedores; o nokeep atualmente não oferece inferência com criptografia de ponta a ponta nem com atestação por hardware. Metadados operacionais, como nomes de modelos, contagens de tokens e registros de cobrança, ficam separados do conteúdo das conversas. Veja a documentação de privacidade da Venice para conhecer as proteções e os detalhes de retenção do provedor.

Antes de uma mensagem, imagem ou vídeo ser gerado, o texto é verificado em relação às nossas regras de conteúdo por um modelo de segurança (gpt-oss-safeguard) acessado pela OpenRouter. Toda verificação exige um provedor com retenção zero de dados e recusa qualquer um que colete dados, de modo que o texto é processado apenas para retornar um rótulo e não é guardado. As imagens prontas são verificadas por um modelo que roda no nosso próprio servidor; elas não são enviadas a lugar nenhum para isso.

Guardamos contagens do que as verificações decidiram, nunca as palavras nem as imagens. Com o filtro ativado, uma imagem retida pelo filtro volta desfocada, com a original criptografada ao lado: nosso servidor a criptografa antes de enviar as duas ao seu navegador e guarda apenas a chave, por um dia, nunca a imagem. Se você desbloqueá-la dentro desse dia, a chave é enviada ao seu navegador, que descriptografa a imagem ali.

A busca na web fica desativada até você ativá-la, e a escolha é lembrada em cada navegador. Quando ativada, a busca é feita a partir da nossa infraestrutura, e não do seu navegador, então o mecanismo de busca vê uma solicitação nossa e nunca seu endereço IP nem nada sobre seu dispositivo. Ele recebe, porém, o texto da própria consulta — é assim que uma busca funciona. Nada mais da conversa é enviado, e os resultados voltam pela mesma barreira. Se for uma pergunta que você não digitaria num mecanismo de busca, deixe a opção desativada.

Não mantemos um arquivo de conversas no servidor. Os registros operacionais e de cobrança descritos acima podem existir e podem estar sujeitos a processos judiciais. Arquivos locais, cópias exportadas e registros mantidos por terceiros estão fora dos nossos controles de armazenamento de histórico. Este modelo não cria sigilo legal nem imunidade a obrigações legais.

Se esta política mudar de qualquer forma que enfraqueça o que está acima, vamos avisar com destaque no site — e não esconder isso num diff.