Wohin Ihre Daten gehen.

Ihre Prompts

Werden in diesem Browser-Tab verarbeitet. Beispielantworten sind vorbereitet; nichts wird an einen KI-Anbieter gesendet.

Ihre Gespräche

Standardmäßig im Arbeitsspeicher Ihres Tabs; beim Neuladen sind sie weg. Sie können sie in Ihrem Browser auf Ihrem Gerät speichern und jederzeit herunterladen oder löschen. Gedächtnisnotizen und gespeicherte Prompts werden genauso aufbewahrt. Ihre Gedächtnisnotizen gehen als Teil der Anweisungen mit jeder Nachricht mit, außer Sie schalten das Gedächtnis aus; ein Modell kann eine Notiz vorschlagen, aber gespeichert wird keine, solange Sie nicht Speichern wählen. Ein ChatGPT-, Claude-, Gemini- oder Perplexity-Export, den Sie importieren, wird in Ihrem Browser gelesen und nicht hochgeladen; die Gespräche, die Sie daraus auswählen, werden wie alle anderen aufbewahrt. Notizen aus Notion, Obsidian und Markdown, Kontoauszüge und Gesundheitsdaten, die Sie übernehmen, werden ebenso gelesen, in einem Worker ohne Netzwerkzugang, und wie Dokumente aufbewahrt; ein Modell sieht sie nur, wenn Sie es ausdrücklich fragen, und nur die Teile, die Sie auswählen (bei Kontoauszügen nur die Namen der Zahlungsempfänger). Seiten, die Sie beobachten, werden über den Server von Undergrove abgerufen, solange der Arbeitsbereich geöffnet ist, wie beim Hinzufügen einer Webseite. Wenn Sie die Synchronisierung einschalten, verschlüsselt Ihr Browser jedes Gespräch (mit seinen eigenen Einstellungen und Anweisungen), jedes Dokument, jedes Projekt, jede Gedächtnisnotiz, jeden gespeicherten Prompt, jede beobachtete Seite, jeden Ausgabeneintrag und jeden Gesundheitsdatensatz sowie Ihre Gedächtniseinstellung mit einem Schlüssel, den nur Ihre Geräte haben und der Ihnen einmal als Wiederherstellungscode angezeigt wird. Wir speichern diesen Chiffretext mit der Größe und dem Änderungszeitpunkt jedes Elements und können ihn nicht lesen. Wenn Sie einen Passkey zum Entsperren der Synchronisierung hinzufügen, sperrt Ihr Browser den Schlüssel über die WebAuthn-PRF-Erweiterung mit einem Geheimnis, das nur dieser Passkey erzeugt; wir speichern den gesperrten Schlüssel mit der ID des Passkeys und dem Namen, den Sie ihm geben, und können ihn nicht öffnen. Ein geteilter Link enthält eine verschlüsselte Kopie eines Gesprächs oder Projekts für 1, 7 oder 30 Tage, wie Sie wählen, oder bis zum ersten Öffnen, wenn Sie ihn zum einmaligen Öffnen teilen. Sein Schlüssel ist der Teil des Links nach dem #, den Browser nicht an uns senden. Ein Passwort, das Sie einem Link hinzufügen, wird nur im Browser verwendet und dort mit diesem Schlüssel kombiniert, sodass auch wir es nie sehen.

Geteilte Projekte

Wenn Sie ein Projekt mit anderen teilen, werden seine Anweisungen, Gespräche, Dokumente und die Namen, die sich Mitglieder geben, in den Browsern der Mitglieder mit einem Schlüssel verschlüsselt, den wir nie haben. Jede Person erhält diesen Schlüssel so versiegelt, dass nur ihre eigenen Geräte ihn öffnen können, und erst nachdem der Browser der Eigentümerin oder des Eigentümers sie bestätigt hat; ein Einladungslink allein enthält ihn nicht und funktioniert einmal. Wir speichern den Chiffretext und sehen, wer in jedem geteilten Projekt ist, die Rolle, den öffentlichen Schlüssel und das Beitrittsdatum jedes Mitglieds, wann Einladungen erstellt und verwendet werden sowie Größe und Änderungszeitpunkt jedes Elements. Unser Server prüft Rollen, bevor er eine Änderung annimmt. Wenn jemand entfernt wird, senden wir dieser Person nichts mehr, und das Projekt erhält für die anderen einen neuen Schlüssel; was sie bereits heruntergeladen oder kopiert hat, lässt sich aber nicht zurückholen.

Die öffentliche Galerie

Das Veröffentlichen in der Galerie ist eine eigene Entscheidung, getrennt vom Teilen eines Links, und nicht verschlüsselt. Was Sie veröffentlichen – die Einrichtung eines Assistenten, die Schritte eines Workflows oder den Code einer App, mit dem Namen, den Sie dafür wählen –, wird so gespeichert, wie es gesendet wurde, und ist für alle sichtbar, bis Sie es zurückziehen oder ein Admin es entfernt; Unterhaltungen und Dokumente gehören nicht dazu. Meldungen werden unter einem Einweg-Hash des Kontos oder der Netzwerkadresse der meldenden Person gespeichert.

Ihre Dateien

Es werden nur Dateinamen, -größen und -typen verwendet. Inhalte werden nie gelesen oder hochgeladen.

Websuche und Webseiten

Ohne Live-Zugang wird nichts im Web gesucht oder abgerufen.

Werkzeuge und Modellwahl

Auto wählt ein Modell in Ihrem Browser, und Stimmen aus Blindtests bleiben ebenfalls dort, gespeichert nur, wenn Sie das Speichern einschalten.

Modellrouten

Noch ist keine Modellroute offen. Jede Route wird hier mit Betreiber, Standort und Aufbewahrung aufgeführt, bevor sie eine einzige Nachricht überträgt.

Nutzungslimits

Um Fair-Use-Limits durchzusetzen, zählt das Gateway Anfragen und geschätzte Ausgaben pro Konto oder Schlüssel unter einem Einweg-Hash. Die Zähler verfallen innerhalb von zwei Tagen und enthalten keine Nachrichteninhalte. Das eigene Tageslimit und die Modellliste eines Schlüssels werden mit dem Schlüssel gespeichert. Der 30-Tage-Nutzungsverlauf des Arbeitsbereichs wird in Ihrem Browser aus jeder Antwort geschätzt und nicht an uns gesendet; er bleibt nur auf Ihrem Gerät, solange Sie Gespräche dort speichern.

Tracking

Es sind keine Werbe- oder Analyse-SDKs eingebunden. Wo unser Server Nutzungszählungen führt, sendet der Arbeitsbereich höchstens einen Bericht pro Tag: eine Ja-oder-Nein-Frage zu diesem Besuch, etwa ob die Websuche genutzt wurde, beantwortet mit Randomized Response (lokale differenzielle Privatsphäre, ε = ln 3), sodass die gesendete Antwort in drei von vier Fällen die wahre ist. Der Bericht enthält nur die Frage und die Antwort, ohne Konto, Cookie oder Kennung; der Server addiert ihn zu den Summen dieses Tages und speichert sonst nichts. Es wird nichts gesendet, wenn Sie die Nutzungszählung im Arbeitsbereich unter Einstellungen › Datenschutz abschalten oder Ihr Browser Global Privacy Control oder Do Not Track sendet. Methode und Zählungen stehen auf der Seite zu den Nutzungszählungen. Die Kontoanmeldung nutzt, sofern eingerichtet, Privy. Chatinhalte werden nie an Privy gesendet. Zahlungen sind nicht aktiviert.

Absturzberichte und Geschwindigkeitswerte

Absturzberichte und Geschwindigkeitswerte sind aus, bis Sie zustimmen, und Sie werden einmal gefragt, mit genau dem, was gesendet würde. Ein Absturzbericht enthält den Typ eines Fehlers, seine Meldung ohne alles, was Ihr Inhalt sein könnte, und die Stelle in unserem Code, an der er auftrat; Geschwindigkeitswerte sind Millisekundenzahlen. Beides geht an unseren eigenen Server, ohne Konto, Cookie oder Adresse. Absturzberichte werden 90 Tage lang je Fehler gezählt, wobei der erste Bericht jedes Fehlers aufbewahrt wird; Geschwindigkeitswerte fließen in öffentliche Summen pro Tag ein und werden selbst nicht aufbewahrt. Beides ändern Sie im Arbeitsbereich unter Einstellungen › Datenschutz.

Bewegung der Landschaft

Auf unterstützten Telefonen bewegt die Ausrichtung des Geräts die Landschaft. Browser, die eine Erlaubnis verlangen, fragen danach, wenn Sie auf Neigung aktivieren tippen. Diese Messwerte bleiben im Speicher der Seite und werden nie gespeichert oder übertragen. Ihre Einstellung für reduzierte Bewegung schaltet den Effekt ab.

Der Hoster der Website

Vercel hostet die Website und das Gateway und erhält gewöhnliche Anfragen, die Ihre IP-Adresse enthalten. Die Infrastruktur-Logs und deren Aufbewahrung liegen bei Vercel; wir versprechen keine Hosting-Umgebung ohne Logs.

Modellregister

Konten, Cookies und Anfragen

Was geprüft ist und was noch nicht

Eine Nachricht, Station für Station

Was ein Anbieter sehen kann