Où vont vos données.

Vos prompts

Traités dans cet onglet du navigateur. Les réponses d’exemple sont écrites à l’avance ; rien n’est envoyé à un fournisseur d’IA.

Vos conversations

Par défaut, elles sont gardées dans la mémoire de votre onglet ; actualiser la page les efface. Vous pouvez choisir de les enregistrer dans votre navigateur sur votre appareil, et les télécharger ou les supprimer à tout moment. Les notes de mémoire et les prompts enregistrés sont conservés de la même façon. Vos notes de mémoire accompagnent chaque message, dans ses instructions, sauf si vous désactivez la mémoire ; un modèle peut proposer une note, mais aucune n’est enregistrée tant que vous ne choisissez pas Enregistrer. Un export ChatGPT, Claude, Gemini ou Perplexity que vous importez est lu dans votre navigateur et n’est pas envoyé ; les conversations que vous y choisissez sont conservées comme les autres. Les notes Notion, Obsidian et Markdown, les relevés bancaires et les dossiers de santé que vous importez sont lus de la même façon, dans un worker sans accès au réseau, et conservés comme des documents ; un modèle ne les voit que si vous choisissez de l’interroger, et seulement les parties que vous sélectionnez (pour les relevés, uniquement le nom des bénéficiaires). Les pages que vous surveillez sont récupérées par le serveur d’Undergrove tant que l’espace de travail est ouvert, comme lorsque vous ajoutez une page web. Si vous activez la synchronisation, votre navigateur chiffre chaque conversation (avec ses propres réglages et instructions), document, projet, note de mémoire, prompt enregistré, page surveillée, historique de dépenses et dossier de santé, ainsi que votre réglage de mémoire, avec une clé que seuls vos appareils détiennent et qui vous est montrée une fois sous forme de code de récupération. Nous stockons ce texte chiffré, avec la taille et l’heure de mise à jour de chaque élément, et ne pouvons pas le lire. Si vous ajoutez une clé d’accès (passkey) pour déverrouiller la synchronisation, votre navigateur verrouille la clé avec un secret que seule cette clé d’accès produit, via l’extension PRF de WebAuthn ; nous stockons la clé verrouillée avec l’identifiant de la clé d’accès et le nom que vous lui donnez, et ne pouvons pas l’ouvrir. Un lien partagé contient une copie chiffrée d’une conversation ou d’un projet pendant 1, 7 ou 30 jours, selon votre choix, ou jusqu’à sa première ouverture si vous le partagez pour une seule ouverture. Sa clé est la partie du lien située après le #, que les navigateurs ne nous envoient pas. Un mot de passe que vous ajoutez à un lien n’est utilisé que dans les navigateurs, où il est combiné à cette clé : nous ne le voyons donc jamais non plus.

Projets partagés

Lorsque vous partagez un projet avec d’autres personnes, ses instructions, ses conversations, ses documents et les noms que se donnent les membres sont chiffrés dans les navigateurs des membres avec une clé que nous n’avons jamais. Chaque personne reçoit cette clé scellée pour que seuls ses propres appareils puissent l’ouvrir, et seulement après confirmation par le navigateur du propriétaire ; un lien d’invitation seul ne la contient pas, et ne fonctionne qu’une fois. Nous stockons le texte chiffré et voyons qui fait partie de chaque projet partagé, le rôle, la clé publique et la date d’arrivée de chaque membre, quand les invitations sont créées et utilisées, ainsi que la taille et l’heure de mise à jour de chaque élément. Notre serveur vérifie les rôles avant d’accepter une modification. Retirer quelqu’un fait que nous ne lui envoyons plus rien et donne au projet une nouvelle clé pour les autres, mais ne peut pas reprendre ce que cette personne a déjà téléchargé ou copié.

La galerie publique

Publier dans la galerie est un choix distinct du partage d’un lien, et n’est pas chiffré. Ce que vous publiez (la configuration d’un assistant, les étapes d’un workflow ou le code d’une app, avec le nom que vous lui donnez) est conservé tel qu’envoyé et visible par tous jusqu’à ce que vous le retiriez ou qu’un administrateur le supprime ; ses conversations et documents n’en font pas partie. Les signalements sont conservés sous une empreinte à sens unique du compte ou de l’adresse réseau de la personne qui signale.

Vos fichiers

Seuls les noms, tailles et types des fichiers sont utilisés. Leur contenu n’est jamais lu ni envoyé.

Recherche web et pages web

Sans accès en direct, rien n’est recherché ni récupéré sur le web.

Outils et choix du modèle

Auto choisit un modèle dans votre navigateur, et les votes des tests à l’aveugle y restent aussi, enregistrés seulement si vous activez l’enregistrement.

Routes des modèles

Aucune route de modèle n’est encore ouverte. Chaque route sera listée ici avec son opérateur, son emplacement et sa conservation avant de transporter le moindre message.

Limites d’utilisation

Pour appliquer des limites d’usage raisonnable, la passerelle compte les requêtes et la dépense estimée par compte ou par clé, sous un hachage à sens unique. Les compteurs expirent sous deux jours et ne contiennent aucun contenu de message. Le plafond quotidien propre à une clé et sa liste de modèles sont stockés avec la clé. L’historique d’utilisation sur 30 jours de l’espace de travail est estimé dans votre navigateur à partir de chaque réponse et ne nous est pas envoyé ; il n’est conservé sur votre appareil que tant que vous y enregistrez vos conversations.

Pistage

Aucun SDK de publicité ou d’analyse n’est inclus. Là où notre serveur tient des comptages d’usage, l’espace de travail envoie au plus un rapport par jour : une question fermée (oui ou non) sur cette visite, par exemple si la recherche web a été utilisée, à laquelle il répond par réponse aléatoire (confidentialité différentielle locale, ε = ln 3), de sorte que la réponse envoyée est la vraie trois fois sur quatre. Le rapport ne contient que la question et la réponse, sans compte, cookie ni identifiant ; le serveur l’ajoute aux totaux du jour et ne conserve rien d’autre. Rien n’est envoyé si vous désactivez les comptages d’usage dans Réglages › Confidentialité de l’espace de travail, ou si votre navigateur envoie Global Privacy Control ou Do Not Track. La méthode et les comptages figurent sur la page des comptages d’usage. La connexion au compte, lorsqu’elle est configurée, utilise Privy. Le contenu des conversations n’est jamais envoyé à Privy. Les paiements ne sont pas activés.

Rapports de plantage et mesures de vitesse

Les rapports de plantage et les mesures de vitesse sont désactivés tant que vous n’avez pas dit oui ; la question vous est posée une fois, avec exactement ce qui serait envoyé. Un rapport de plantage contient le type de l’erreur, son message débarrassé de tout ce qui pourrait être votre contenu, et l’endroit de notre code où elle s’est produite ; les mesures de vitesse sont des nombres de millisecondes. Les deux sont envoyés à notre propre serveur, sans compte, cookie ni adresse. Les rapports de plantage sont comptés par erreur, et le premier rapport de chaque erreur est conservé, pendant 90 jours ; les mesures de vitesse s’ajoutent aux totaux publics par jour et ne sont pas conservées elles-mêmes. Vous pouvez modifier l’un ou l’autre dans Réglages › Confidentialité de l’espace de travail.

Mouvement du paysage

Sur les téléphones compatibles, l’orientation de l’appareil fait bouger le paysage. Les navigateurs qui exigent une autorisation la demandent quand vous touchez Activer l’inclinaison. Ces mesures restent dans la mémoire de la page et ne sont jamais stockées ni transmises. Votre préférence de mouvement réduit désactive l’effet.

L’hébergeur du site

Vercel héberge le site et la passerelle, et reçoit des requêtes ordinaires, qui incluent votre adresse IP. Ses journaux d’infrastructure et leur conservation sont contrôlés par Vercel ; nous ne promettons pas un hébergement sans aucun journal.

Registre des modèles

Comptes, cookies et requêtes

Ce qui est vérifié, et ce qui ne l’est pas encore

Un message, étape par étape

Ce qu’un fournisseur peut voir