隐私，说清楚。

nokeep 不在服务器端保存任何对话历史。你保存的内容留在你的浏览器中，模型请求使用 Venice 的 Private 层级，并有合同保障：提示词和回复内容在处理完成后不会被保留。

你保存的对话、图片和视频片段存放在你自己设备上的浏览器中。nokeep 不在服务器上保留这些历史的副本。请求由下文所述的模型基础设施处理。你的本地历史会一直保留，直到你清除它——应用中的 立即结束 会清除每一个对话以及你创建的全部内容；在浏览器中清除本网站的数据也有同样效果。

工作区也是如此：项目及其文件、它为你保存的记忆，以及模型为你撰写的文档，都存放在你的浏览器中。当你发送消息时，模型回答所需的内容会随请求一起发送——包括这条消息、到目前为止的对话、你的指令、它记住的关于你的信息，以及模型读取的任何文件段落。临时对话不包含已保存的记忆和项目上下文，也不会作为对话历史保存。但它们的消息、附件和已启用的工具仍需在服务器端处理。

我们不在服务器端保留内容存档，也不会使用你的对话、图片或视频来训练模型。请求在内存中处理，并代理转发给下文所述的推理服务商。各个模型和服务商有各自的行为方式和限制。

由于这些内容存放在设备上，任何能访问你已解锁浏览器配置文件的人都能看到它们。如果你使用的是共用或借来的设备，请在使用结束时点击“立即结束”，或使用无痕窗口来减少本地留存。下载的文件、截图和备份都是独立的副本，这些控制无法将其清除。

付费会生成一个令牌，而不是一个账户——没有邮箱，没有姓名，没有个人资料。但积分系统必须记住它卖出了什么，因此我们确实会保留一项记录：购买了什么、何时购买、花费多少，以及每一笔用掉的积分。这项记录与令牌关联。支付处理方可能能够将一笔付款与你的身份关联起来。

账单和使用记录与对话内容相互独立。将令牌与支付处理方关联起来的引用信息以静态加密方式存储，所用密钥保存在数据库之外。账户密钥提供访问权限；它并不保证匿名。

和任何网络服务一样，我们的服务器会短暂看到你的 IP 地址以便返回响应，我们也用它来限制跨访客 id 的免费额度。每天的免费额度按你的浏览器自行生成、并保存在其自身存储中的一个随机 id 计算——这样，即使手机的运营商更换了它的地址，它仍保留同一份额度，而不会重新开始。这个 id 并非由你的设备推导而来，只会发送到我们的 API，并会在你清除网站数据时消失。在服务器端，这个 id 和地址都只以一天有效的哈希值形式存储，并在第二天删除。这些计数器不包含任何对话内容。我们不运行分析追踪器或广告像素。免费层有一个范围很窄的例外：当没有账户的访客请求免费图片或视频片段时，页面会计算一个设备校验值（浏览器特征的哈希值，以及是否为无痕窗口），并且只发送到我们的 API，以防止一台设备领取多份免费额度。服务器只以一天有效的哈希值形式保留它，并在第二天删除。它从不为账户计算，也从不发送给任何第三方。

为了解产品的使用情况，我们保留汇总计数器和粗略的访问记录：来源类别、设备/浏览器/操作系统类别、语言和国家、日期和大致时段、功能使用范围，以及诸如达到限额或付费之类的结果。这些记录不包含任何提示词或回复文本。服务器使用地址和浏览器的哈希值对请求进行分组，所用的随机密钥每天轮换且不会持久保存。保存的访问记录行不包含该标识符；在分析查询中，规模过小的分组会被隐去。浏览器本地的访问计数器提供粗略的首次访问至今时长和使用频率类别；清除网站数据会将其重置。

免费层无需账户——没有任何需要注册的东西。付费套餐通过随机生成的访问令牌运作，而不是 nokeep 的邮箱加密码登录。银行卡付款由支付处理方处理，它必然会看到你的卡信息。银行卡表单只要求填写卡号、有效期和安全码，别无其他——不要姓名，不要地址，不要电话号码；邮箱是可选的，仅用于收据。支付处理方永远不会拿到你的令牌：由一个一次性领取码代替它。我们针对你的令牌存储的是：支付处理方的订阅引用（没有它，我们无法判断你的套餐是否仍然有效）、该订阅的状态和续订日期，以及一份已发放和已使用积分的账目。绝不包括你的姓名、你的邮箱或任何关于你的卡的信息。

聊天、图片生成、图片编辑和视频使用的是 Venice Private 层级上的模型。推理运行在 Venice 控制的 GPU 上，或运行在受零数据保留承诺约束的合作方基础设施上。根据该政策，提示词和回复仅为完成请求而处理，并在请求完成后不予保留。

少数任务会通过 OpenRouter 发送给其他服务商，每一个这类请求都要求使用零数据保留的服务商，并拒绝任何会收集数据的服务商：朗读回复、将你录制的语音转为文字（以 Venice 作为备用）、为保持角色故事前后一致而读取该故事的故事向导，以及在 Venice 未能给出回复时，由另一托管方运行的同一聊天模型。在语音通话中，你说的话会在你说话的同时由一家语音识别服务商转写；该服务商公开的政策是不保留实时流中的任何音频或转写内容，也不用其中任何内容进行训练。nokeep 不会将你的 IP 地址或可识别浏览器的请求头转发给其中任何一家服务商。

这些保护措施依赖于与服务商签订的合同；nokeep 目前不提供端到端加密或经硬件证明的推理。模型名称、token 数量和账单记录等运营元数据与对话内容相互独立。请参阅 Venice 的隐私文档 了解该服务商的保护措施和数据保留详情。

在生成消息、图片或视频之前，其文字会由一个通过 OpenRouter 调用的安全模型（gpt-oss-safeguard）对照我们的内容规则进行检查。每一次检查都要求使用零数据保留的服务商，并拒绝任何会收集数据的服务商，因此文本仅被处理以返回一个标签，不会被保留。生成完成的图片由运行在我们自己服务器上的模型检查；不会为此发送到任何地方。

我们只保留检查结果的计数，绝不保留文字或图片本身。开启过滤时，被过滤拦下的图片会以模糊状态返回，旁边附有加密后的真实图片：我们的服务器先将其加密，再把两者一起发送到你的浏览器，并且只保留密钥，为期一天，绝不保留图片。在这一天内解锁，密钥就会发送到你的浏览器，由浏览器就地解密图片。

网页搜索默认关闭，除非你将其开启，且该开关按浏览器分别记住。开启后，搜索从我们的基础设施发出，而不是从你的浏览器发出，因此搜索引擎看到的是来自我们的请求，绝不会看到你的 IP 地址或任何关于你设备的信息。不过，它确实会收到查询本身的文字——搜索本来就是这样。对话中的其他内容都不会被发送，结果也通过同一边界返回。如果某个问题你不愿意输入到搜索引擎里，请保持该开关关闭。

我们不维护服务器端的对话存档。上文所述的运营和账单记录可能存在，并可能受法律程序约束。本地文件、导出的副本以及由其他方持有的记录，不在我们的历史存储控制范围之内。这一设计并不产生法律特权，也不能豁免法律义务。

如果本政策发生任何削弱上述内容的变更，我们会在网站上醒目地说明——而不是把它埋在一份修订对比里。