Конфиденциальность — простыми словами.

nokeep не хранит историю разговоров на сервере. Ваши сохранённые материалы остаются в вашем браузере, а запросы к моделям идут через уровень Private от Venice с договорными гарантиями того, что содержимое запросов и ответов не сохраняется после обработки.

Ваши сохранённые разговоры, изображения и клипы хранятся в вашем браузере, на вашем собственном устройстве. nokeep не хранит копию этой истории на сервере. Запросы обрабатываются инфраструктурой моделей, описанной ниже. Локальная история остаётся, пока вы её не очистите: кнопка Завершить сейчас в приложении стирает все разговоры и всё, что вы создали, а очистка данных этого сайта в браузере делает то же самое.

То же относится к рабочему пространству: проекты и их файлы, память, которую оно хранит о вас, и документы, которые модель пишет для вас, находятся в вашем браузере. Когда вы отправляете сообщение, вместе с запросом передаётся то, что нужно модели для ответа: само сообщение, разговор до этого момента, ваши инструкции, то, что она помнит о вас, и любые фрагменты файлов, которые читает модель. Временные чаты не используют сохранённую память и контекст проекта и не сохраняются как история чатов. Их сообщения, вложения и включённые инструменты всё равно обрабатываются на серверах.

Мы не ведём архив содержимого на сервере и не используем ваши разговоры, изображения или видео для обучения моделей. Запросы обрабатываются в памяти и передаются через прокси провайдерам инференса, описанным ниже. У отдельных моделей и провайдеров есть собственное поведение и ограничения.

Поскольку всё это хранится на устройстве, любой, у кого есть доступ к вашему разблокированному профилю браузера, может это увидеть. Если вы пользуетесь общим или чужим компьютером, нажмите «Завершить сейчас», когда закончите, или используйте приватное окно, чтобы ограничить локальное хранение. Загрузки, скриншоты и резервные копии — это отдельные копии, которые эти средства не стирают.

Оплата создаёт токен, а не аккаунт: без email, без имени, без профиля. Но системе кредитов нужно помнить, что она продала, поэтому одну запись мы всё же храним: что куплено, когда, сколько это стоило и каждый кредит, потраченный из этой покупки. Она привязана к токену. Платёжные системы могут иметь возможность связать платёж с вашей личностью.

Записи об оплате и использовании хранятся отдельно от содержимого разговоров. Ссылка, связывающая токен с платёжной системой, хранится в зашифрованном виде с ключом, который находится вне базы данных. Ключ аккаунта даёт доступ; он не гарантирует анонимность.

Как и любой веб-сервис, наши серверы на мгновение видят ваш IP-адрес, чтобы доставить ответ, и мы используем его, чтобы ограничивать выдачу бесплатных лимитов на разные идентификаторы посетителей. Дневной бесплатный лимит считается по случайному идентификатору, который ваш браузер создаёт сам и хранит в собственном хранилище, поэтому телефон, у которого оператор меняет адрес, сохраняет один лимит, а не начинает заново. Этот идентификатор не выводится из вашего устройства, отправляется только в наш API и исчезает, когда вы очищаете данные сайта. На сервере и идентификатор, и адрес хранятся только в виде однодневного хеша и удаляются на следующий день. В этих счётчиках нет содержимого разговоров. Мы не используем аналитические трекеры и рекламные пиксели. Для бесплатного уровня действует одно узкое исключение: когда посетитель без аккаунта запрашивает бесплатное изображение или клип, страница вычисляет проверку устройства (хеш характеристик браузера и признак приватного окна) и отправляет её только в наш API, чтобы одно устройство не получало много бесплатных лимитов. Сервер хранит её только в виде однодневного хеша и удаляет на следующий день. Для аккаунтов она никогда не вычисляется и никогда не передаётся третьим лицам.

Чтобы понимать, как используется продукт, мы храним агрегированные счётчики и обобщённые записи о посещениях: категорию источника перехода, категорию устройства, браузера и операционной системы, язык и страну, день и широкий временной интервал, диапазоны использования функций и исходы, например достижение лимита или оплату. Эти записи не содержат текста запросов или ответов. Сервер группирует запросы с помощью хеша адреса и браузера со случайным ключом, который меняется ежедневно и не сохраняется. Сохранённые строки посещений не содержат этого идентификатора; малые группы скрываются в аналитических запросах. Локальный счётчик посещений в браузере даёт обобщённые категории давности посещений и частоты использования; очистка данных сайта сбрасывает его.

Бесплатный уровень не требует аккаунта — регистрироваться не нужно. Платные тарифы работают через случайно сгенерированные токены доступа, а не через вход в nokeep по email и паролю. Оплату картой обрабатывает платёжная система, которая неизбежно видит данные вашей карты. Форма карты запрашивает номер, срок действия и код безопасности и ничего больше — ни имени, ни адреса, ни номера телефона; email необязателен и нужен только для чека. Платёжной системе никогда не передаётся ваш токен: вместо него используется одноразовый код получения. С вашим токеном мы храним ссылку на подписку в платёжной системе (без неё мы не можем узнать, активен ли ещё ваш тариф), статус этой подписки и дату продления, а также журнал начисленных и потраченных кредитов. Никогда — ваше имя, ваш email или что-либо о вашей карте.

Чат, генерация изображений, редактирование изображений и видео используют модели на уровне Private от Venice. Инференс выполняется на GPU под контролем Venice или в инфраструктуре партнёров, на которую распространяются обязательства о нулевом хранении данных. Согласно этой политике запросы и ответы обрабатываются только для выполнения запроса и не сохраняются после его завершения.

Некоторые задачи передаются другим провайдерам через OpenRouter, и каждый такой запрос требует провайдера с нулевым хранением данных и отклоняет любого, кто стал бы собирать данные: чтение ответов вслух, преобразование вашего записанного голоса в текст (с Venice в качестве резервного варианта), сюжетный помощник, который читает историю персонажа, чтобы она оставалась последовательной, и, если Venice не справляется с ответом, та же модель чата на другом хостинге. Во время голосового звонка ваша речь расшифровывается, пока вы говорите, провайдером распознавания речи, чья опубликованная политика — не хранить ни аудио, ни расшифровки из потоков в реальном времени и не использовать ничего из этого для обучения. nokeep не передаёт ваш IP-адрес или заголовки, идентифицирующие браузер, ни одному из этих провайдеров.

Эти гарантии основаны на договорах с провайдерами; nokeep в настоящее время не предоставляет инференс со сквозным шифрованием или аппаратной аттестацией. Служебные метаданные, такие как названия моделей, количество токенов и записи об оплате, хранятся отдельно от содержимого разговоров. См. документацию Venice о конфиденциальности — там описаны меры защиты провайдера и сроки хранения данных.

Прежде чем будет создано сообщение, изображение или видео, его текст проверяется на соответствие нашим правилам контента моделью безопасности (gpt-oss-safeguard), доступ к которой идёт через OpenRouter. Каждая проверка требует провайдера с нулевым хранением данных и отклоняет любого, кто стал бы собирать данные, поэтому текст обрабатывается только для того, чтобы вернуть одну метку, и не сохраняется. Готовые изображения проверяются моделью, которая работает на нашем собственном сервере; для этого они никуда не отправляются.

Мы храним количество решений, принятых проверками, но никогда не сами слова или изображения. Когда фильтр включён, изображение, скрытое фильтром, возвращается размытым, а рядом с ним — настоящее в зашифрованном виде: наш сервер шифрует его перед отправкой обоих в ваш браузер и хранит только ключ, в течение одного дня, но никогда само изображение. Если вы разблокируете его в течение этого дня, ключ отправляется в ваш браузер, который расшифровывает изображение на месте.

Веб-поиск выключен, пока вы его не включите, и этот переключатель запоминается для каждого браузера. Когда он включён, поиск выполняется из нашей инфраструктуры, а не из вашего браузера, поэтому поисковая система видит запрос от нас и никогда — ваш IP-адрес или что-либо о вашем устройстве. Однако она получает сам текст запроса — в этом и состоит поиск. Больше ничего из разговора не отправляется, а результаты возвращаются через ту же границу. Если вопрос из тех, что вы не стали бы вводить в поисковую систему, не включайте этот переключатель.

Мы не ведём архив разговоров на сервере. Описанные выше служебные и платёжные записи могут существовать и могут быть истребованы в установленном законом порядке. Локальные файлы, экспортированные копии и записи, которые хранятся у других сторон, находятся вне наших средств управления хранением истории. Такое устройство сервиса не создаёт правовой привилегии или иммунитета от юридических обязательств.

Если эта политика изменится так, что хоть в чём-то ослабит сказанное выше, мы громко сообщим об этом на сайте, а не спрячем в списке правок.