Quyền riêng tư, nói rõ ràng.

nokeep không lưu lịch sử trò chuyện trên máy chủ. Những gì bạn đã lưu nằm trong trình duyệt của bạn, và các yêu cầu gửi đến mô hình dùng cấp Private của Venice, với các cam kết bảo vệ theo hợp đồng về việc không lưu giữ nội dung lời nhắc và phản hồi sau khi xử lý.

Các cuộc trò chuyện, hình ảnh và clip bạn đã lưu nằm trong trình duyệt trên chính thiết bị của bạn. nokeep không giữ bản sao nào của lịch sử đó trên máy chủ. Các yêu cầu được xử lý bởi hạ tầng mô hình được mô tả bên dưới. Lịch sử cục bộ của bạn vẫn còn cho đến khi bạn xóa nó — Kết thúc ngay trong ứng dụng sẽ xóa mọi cuộc trò chuyện và mọi thứ bạn đã tạo, và việc xóa dữ liệu của trang này trong trình duyệt cũng có tác dụng như vậy.

Không gian làm việc cũng vậy: các dự án và tệp của chúng, bộ nhớ mà nó lưu về bạn, và các tài liệu mô hình viết cho bạn đều nằm trong trình duyệt của bạn. Khi bạn gửi một tin nhắn, những gì mô hình cần để trả lời sẽ đi kèm yêu cầu — tin nhắn, cuộc trò chuyện cho đến lúc đó, hướng dẫn của bạn, những gì nó nhớ về bạn, và bất kỳ đoạn tệp nào mô hình đọc. Trò chuyện tạm thời không bao gồm bộ nhớ đã lưu và ngữ cảnh dự án, và không được lưu thành lịch sử trò chuyện. Tin nhắn, tệp đính kèm và các công cụ được bật của chúng vẫn dùng xử lý trên máy chủ.

Chúng tôi không giữ kho lưu trữ nội dung trên máy chủ và không dùng các cuộc trò chuyện, hình ảnh hay video của bạn để huấn luyện mô hình. Các yêu cầu được xử lý trong bộ nhớ và chuyển tiếp đến các nhà cung cấp suy luận được mô tả bên dưới. Từng mô hình và nhà cung cấp có cách hoạt động và giới hạn riêng.

Vì dữ liệu này nằm trên thiết bị, bất kỳ ai truy cập được hồ sơ trình duyệt đang mở khóa của bạn đều có thể xem nó. Nếu bạn dùng máy dùng chung hoặc máy mượn, hãy dùng Kết thúc ngay khi xong, hoặc dùng cửa sổ riêng tư để hạn chế việc lưu cục bộ. Các tệp tải xuống, ảnh chụp màn hình và bản sao lưu là những bản sao riêng mà các điều khiển này không xóa được.

Thanh toán tạo ra một mã token, không phải một tài khoản — không email, không tên, không hồ sơ. Nhưng một hệ thống tín dụng phải nhớ những gì nó đã bán, nên có một bản ghi chúng tôi có giữ: đã mua gì, khi nào, giá bao nhiêu, và từng tín dụng đã dùng từ đó. Bản ghi này gắn với mã token. Các bên xử lý thanh toán có thể liên kết một khoản thanh toán với danh tính của bạn.

Các bản ghi thanh toán và sử dụng được tách riêng khỏi nội dung trò chuyện. Mã tham chiếu liên kết mã token với bên xử lý thanh toán được mã hóa khi lưu trữ, bằng một khóa được giữ bên ngoài cơ sở dữ liệu. Khóa tài khoản cho phép truy cập; nó không phải là sự bảo đảm ẩn danh.

Như mọi dịch vụ web, máy chủ của chúng tôi thấy địa chỉ IP của bạn trong chốc lát để gửi phản hồi, và chúng tôi dùng nó để giới hạn hạn mức miễn phí giữa các id khách truy cập. Hạn mức miễn phí trong ngày được đếm theo một id ngẫu nhiên do trình duyệt của bạn tự tạo và giữ trong bộ nhớ riêng của nó — nên một chiếc điện thoại bị nhà mạng đổi địa chỉ vẫn giữ một hạn mức thay vì bắt đầu lại. Id này không được suy ra từ thiết bị của bạn, chỉ được gửi đến API của chúng tôi, và biến mất khi bạn xóa dữ liệu trang. Trên máy chủ, cả id lẫn địa chỉ chỉ được lưu dưới dạng mã băm một ngày và bị xóa vào ngày hôm sau. Các bộ đếm này không chứa nội dung trò chuyện nào. Chúng tôi không chạy trình theo dõi phân tích hay pixel quảng cáo. Có một ngoại lệ hẹp áp dụng cho gói miễn phí: khi một khách truy cập không có tài khoản yêu cầu một bức ảnh hoặc clip miễn phí, trang sẽ tính một mã kiểm tra thiết bị (mã băm các đặc điểm của trình duyệt, và việc đó có phải cửa sổ riêng tư hay không) và chỉ gửi nó đến API của chúng tôi, để ngăn một thiết bị nhận nhiều hạn mức miễn phí. Máy chủ chỉ giữ nó dưới dạng mã băm một ngày và xóa vào ngày hôm sau. Nó không bao giờ được tính cho tài khoản và không bao giờ được gửi cho bên thứ ba.

Để hiểu cách sản phẩm được sử dụng, chúng tôi giữ các bộ đếm tổng hợp và bản ghi sơ lược về lượt truy cập: loại nguồn giới thiệu, loại thiết bị/trình duyệt/hệ điều hành, ngôn ngữ và quốc gia, ngày và khung giờ rộng, khoảng mức sử dụng tính năng, và các kết quả như chạm giới hạn hoặc thanh toán. Các bản ghi này không chứa văn bản lời nhắc hay phản hồi. Máy chủ nhóm các yêu cầu bằng mã băm của địa chỉ và trình duyệt với một khóa ngẫu nhiên được thay đổi hằng ngày và không được lưu lại. Các dòng lượt truy cập đã lưu không chứa mã định danh đó; các nhóm nhỏ bị loại bỏ trong truy vấn phân tích. Một bộ đếm lượt truy cập cục bộ trong trình duyệt cung cấp các loại sơ lược về thời gian kể từ lượt truy cập đầu và tần suất sử dụng; xóa dữ liệu trang sẽ đặt lại nó.

Gói miễn phí không cần tài khoản — không có gì để đăng ký. Các gói trả phí hoạt động bằng mã truy cập được tạo ngẫu nhiên thay vì đăng nhập nokeep bằng email và mật khẩu. Thanh toán bằng thẻ do một bên xử lý thanh toán đảm nhận, và bên đó tất yếu thấy thông tin thẻ của bạn. Biểu mẫu thẻ chỉ hỏi số thẻ, ngày hết hạn và mã bảo mật, không gì khác — không tên, không địa chỉ, không số điện thoại; email là tùy chọn và chỉ dùng để gửi biên lai. Bên xử lý không bao giờ được biết mã token của bạn: một mã nhận dùng một lần thay thế cho nó. Những gì chúng tôi lưu kèm mã token của bạn là mã tham chiếu gói đăng ký của bên xử lý (thiếu nó, chúng tôi không thể biết gói của bạn còn hiệu lực hay không), trạng thái và ngày gia hạn của gói đăng ký đó, và sổ ghi tín dụng đã cấp và đã dùng. Không bao giờ có tên, email của bạn, hay bất cứ thông tin nào về thẻ của bạn.

Trò chuyện, tạo hình ảnh, chỉnh sửa hình ảnh và video dùng các mô hình trên cấp Private của Venice. Quá trình suy luận chạy trên GPU do Venice kiểm soát hoặc trên hạ tầng của đối tác chịu cam kết không lưu giữ dữ liệu. Theo chính sách đó, lời nhắc và phản hồi chỉ được xử lý để thực hiện yêu cầu và không được lưu giữ sau khi yêu cầu hoàn tất.

Một vài tác vụ được gửi đến các nhà cung cấp khác thông qua OpenRouter, và mỗi yêu cầu như vậy đều đòi hỏi một nhà cung cấp không lưu giữ dữ liệu và từ chối mọi nhà cung cấp sẽ thu thập dữ liệu: đọc to câu trả lời, chuyển giọng nói đã ghi âm của bạn thành văn bản (với Venice làm phương án dự phòng), trình dẫn truyện đọc một câu chuyện nhân vật để giữ cho câu chuyện nhất quán, và, khi Venice không trả lời được, cùng mô hình trò chuyện đó trên một máy chủ khác. Trong cuộc gọi thoại, lời nói của bạn được chuyển thành văn bản ngay trong lúc bạn nói bởi một nhà cung cấp nhận dạng giọng nói có chính sách công bố là không giữ âm thanh hay bản chép lời nào từ các luồng trực tiếp và không dùng bất kỳ thứ gì trong số đó để huấn luyện. nokeep không chuyển tiếp địa chỉ IP hay các header nhận dạng trình duyệt của bạn đến bất kỳ nhà cung cấp nào trong số này.

Các biện pháp bảo vệ này dựa vào hợp đồng với nhà cung cấp; hiện nokeep không cung cấp suy luận được mã hóa đầu cuối hoặc được chứng thực bằng phần cứng. Siêu dữ liệu vận hành như tên mô hình, số token và bản ghi thanh toán được tách riêng khỏi nội dung trò chuyện. Xem tài liệu về quyền riêng tư của Venice để biết các biện pháp bảo vệ và chi tiết lưu giữ dữ liệu của nhà cung cấp.

Trước khi một tin nhắn, hình ảnh hay video được tạo, phần chữ của nó được kiểm tra theo quy tắc nội dung của chúng tôi bởi một mô hình an toàn (gpt-oss-safeguard) truy cập qua OpenRouter. Mỗi lần kiểm tra đều yêu cầu một nhà cung cấp không lưu giữ dữ liệu và từ chối mọi nhà cung cấp sẽ thu thập dữ liệu, nên văn bản chỉ được xử lý để trả về một nhãn và không được giữ lại. Hình ảnh hoàn chỉnh được kiểm tra bởi một mô hình chạy trên máy chủ của chính chúng tôi; chúng không được gửi đi đâu cho việc đó.

Chúng tôi giữ số đếm các quyết định của việc kiểm tra, không bao giờ giữ chữ hay hình. Khi bộ lọc bật, một bức ảnh bị bộ lọc giữ lại sẽ được trả về ở dạng làm mờ, kèm theo ảnh thật đã mã hóa bên cạnh: máy chủ của chúng tôi mã hóa ảnh thật trước khi gửi cả hai đến trình duyệt của bạn, và chỉ giữ khóa, trong một ngày, không bao giờ giữ ảnh. Nếu bạn mở khóa trong ngày đó, khóa sẽ được gửi đến trình duyệt của bạn, và trình duyệt sẽ giải mã ảnh ngay tại đó.

Tìm kiếm web tắt trừ khi bạn bật nó, và lựa chọn này được ghi nhớ theo từng trình duyệt. Khi bật, việc tìm kiếm chạy từ hạ tầng của chúng tôi thay vì trình duyệt của bạn, nên công cụ tìm kiếm thấy một yêu cầu từ chúng tôi và không bao giờ thấy địa chỉ IP hay bất cứ điều gì về thiết bị của bạn. Tuy nhiên, nó có nhận văn bản của chính truy vấn — tìm kiếm là như vậy. Không có gì khác từ cuộc trò chuyện được gửi đi, và kết quả trở về qua cùng ranh giới đó. Nếu có câu hỏi bạn sẽ không gõ vào công cụ tìm kiếm, hãy để công tắc tắt.

Chúng tôi không duy trì kho lưu trữ cuộc trò chuyện trên máy chủ. Các bản ghi vận hành và thanh toán được mô tả ở trên có thể tồn tại và có thể là đối tượng của thủ tục pháp lý. Tệp cục bộ, bản sao đã xuất và bản ghi do các bên khác giữ nằm ngoài phạm vi kiểm soát lưu trữ lịch sử của chúng tôi. Thiết kế này không tạo ra đặc quyền pháp lý hay quyền miễn trừ khỏi nghĩa vụ pháp lý.

Nếu chính sách này thay đổi theo bất kỳ cách nào làm suy yếu những điều trên, chúng tôi sẽ thông báo rõ ràng trên trang — không giấu nó trong một bản so sánh thay đổi.