לאן הנתונים שלכם הולכים.

הפרומפטים שלך

מעובד בכרטיסייה הזו בדפדפן. התשובות לדוגמה נכתבו מראש; שום דבר לא נשלח לספק AI.

השיחות שלך

כברירת מחדל הן נשמרות בזיכרון של הכרטיסייה; רענון מוחק אותן. אפשר לבחור לשמור אותן בדפדפן במכשיר שלך, ולהוריד או למחוק אותן בכל עת. הערות זיכרון ופרומפטים שמורים נשמרים באותו אופן. הערות הזיכרון שלך נשלחות עם כל הודעה, כחלק מההוראות שלה, אלא אם מכבים את הזיכרון; מודל יכול להציע הערה, אבל שום הערה לא נשמרת אלא אם בוחרים “שמירה”. ייצוא של ChatGPT, Claude, Gemini או Perplexity שמייבאים נקרא בדפדפן שלך ולא מועלה; השיחות שבוחרים מתוכו נשמרות כמו כל שיחה אחרת. הערות מ־Notion, Obsidian ו־Markdown, דפי חשבון בנק ורשומות בריאות שמייבאים נקראים באותו אופן, ב־worker בלי גישה לרשת, ונשמרים כמו מסמכים; מודל רואה אותם רק כשבוחרים לשאול אותו, ורק את החלקים שבוחרים (בדפי חשבון, רק שמות המוטבים). דפים שעוקבים אחריהם מובאים דרך השרת של Undergrove כל עוד סביבת העבודה פתוחה, כמו כשמוסיפים דף אינטרנט. אם מפעילים סנכרון, הדפדפן שלך מצפין כל שיחה (עם ההגדרות וההוראות שלה), מסמך, פרויקט, הערת זיכרון, פרומפט שמור, דף במעקב, רשומת הוצאות ורשומת בריאות, וגם את הגדרת הזיכרון שלך, במפתח שנמצא רק במכשירים שלך ומוצג לך פעם אחת כקוד שחזור. אנחנו שומרים את הטקסט המוצפן הזה, עם הגודל וזמן העדכון של כל פריט, ולא יכולים לקרוא אותו. אם מוסיפים מפתח גישה לביטול הנעילה של הסנכרון, הדפדפן שלך נועל את המפתח בסוד שרק מפתח הגישה הזה מפיק, דרך הרחבת PRF של WebAuthn; אנחנו שומרים את המפתח הנעול עם המזהה של מפתח הגישה והשם שנותנים לו, ולא יכולים לפתוח אותו. קישור משותף מכיל עותק מוצפן של שיחה או פרויקט למשך 1, 7 או 30 ימים, לפי הבחירה, או עד הפתיחה הראשונה אם משתפים אותו לפתיחה אחת. המפתח שלו הוא החלק בקישור שאחרי ה־#, שדפדפנים לא שולחים אלינו. סיסמה שמוסיפים לקישור משמשת רק בדפדפנים, שם היא משולבת עם המפתח הזה, כך שגם אותה אנחנו אף פעם לא רואים.

פרויקטים משותפים

כשמשתפים פרויקט עם אנשים, ההוראות, השיחות והמסמכים שלו, וגם השמות שהחברים נותנים לעצמם, מוצפנים בדפדפנים של החברים במפתח שאף פעם לא נמצא אצלנו. כל אדם מקבל את המפתח הזה אטום, כך שרק המכשירים שלו יכולים לפתוח אותו, ורק אחרי שהדפדפן של הבעלים מאשר אותו; קישור הזמנה לבדו לא נושא אותו, והוא עובד פעם אחת. אנחנו שומרים את הטקסט המוצפן ורואים מי נמצא בכל פרויקט משותף, את התפקיד, המפתח הציבורי ותאריך ההצטרפות של כל חבר, מתי נוצרות הזמנות ומתי משתמשים בהן, ואת הגודל ומועד העדכון של כל פריט. השרת שלנו בודק תפקידים לפני שהוא מקבל שינוי. כשמסירים מישהו, אנחנו מפסיקים לשלוח לו כל דבר והפרויקט מקבל מפתח חדש לשאר החברים, אבל אי אפשר לקחת בחזרה את מה שהוא כבר הוריד או העתיק.

הגלריה הציבורית

פרסום בגלריה הוא בחירה נפרדת משיתוף קישור, והוא אינו מוצפן. מה שמפרסמים – ההגדרות של עוזר, השלבים של תהליך עבודה או הקוד של אפליקציה, עם השם שנותנים לו – נשמר כפי שנשלח ומוצג לכל אחד עד שמבטלים את הפרסום או שמנהל מסיר אותו; השיחות והמסמכים שלו אינם חלק ממנו. דיווחים נשמרים תחת גיבוב חד־כיווני של החשבון או של כתובת הרשת של המדווח.

הקבצים שלכם

נעשה שימוש רק בשמות, בגדלים ובסוגים של הקבצים. התוכן שלהם אף פעם לא נקרא ולא מועלה.

חיפוש באינטרנט ודפי אינטרנט

בלי גישה חיה, לא מתבצע חיפוש באינטרנט ושום דבר לא נשלף ממנו.

כלים ובחירת מודל

Auto בוחר מודל בדפדפן שלכם, וגם ההצבעות במבחנים עיוורים נשארות שם, ונשמרות רק אם מפעילים שמירה.

מסלולי המודלים

עדיין לא נפתח אף מסלול מודל. כל מסלול יופיע כאן עם המפעיל, המיקום ומדיניות השמירה שלו לפני שתעבור בו אפילו הודעה אחת.

מגבלות שימוש

כדי לאכוף מגבלות של שימוש הוגן, השער סופר בקשות והוצאה משוערת לכל חשבון או מפתח, תחת גיבוב חד־כיווני. המונים פגים תוך יומיים ואינם מכילים שום תוכן של הודעות. התקרה היומית של מפתח ורשימת המודלים שלו נשמרות יחד עם המפתח. היסטוריית השימוש של 30 הימים בסביבת העבודה מוערכת בדפדפן שלכם לפי כל תשובה ולא נשלחת אלינו; היא נשמרת במכשיר שלכם רק כל עוד שומרים בו את השיחות.

מעקב

לא כלולות ערכות SDK של פרסום או של ניתוח נתונים. היכן שהשרת שלנו שומר ספירות מוצר, סביבת העבודה שולחת לכל היותר דיווח אחד ביום: שאלת כן/לא אחת על אותו ביקור, למשל אם נעשה שימוש בחיפוש באינטרנט, שעליה עונים בשיטת תגובה אקראית (פרטיות דיפרנציאלית מקומית, ε = ln 3), כך שהתשובה שנשלחת היא האמיתית בשלוש פעמים מתוך ארבע. הדיווח מכיל רק את השאלה ואת התשובה, בלי חשבון, קובצי cookie או מזהה; השרת מוסיף אותו לסיכומים של אותו יום ולא שומר שום דבר אחר. שום דבר לא נשלח אם מכבים את ספירות המוצר בהגדרות › פרטיות של סביבת העבודה, או אם הדפדפן שלכם שולח Global Privacy Control או Do Not Track. השיטה והספירות מופיעות בדף ספירות המוצר. ההתחברות לחשבון, כשהיא מוגדרת, משתמשת ב־Privy. תוכן השיחות אף פעם לא נשלח ל־Privy. תשלומים אינם מופעלים.

דוחות קריסה ונתוני מהירות

דוחות קריסה ונתוני מהירות כבויים עד שמסכימים, והשאלה נשאלת פעם אחת, עם הצגה מדויקת של מה שיישלח. דוח קריסה כולל את סוג השגיאה, את ההודעה שלה אחרי שהוסר ממנה כל מה שעשוי להיות תוכן שלכם, ואת המקום בקוד שלנו שבו היא קרתה; נתוני מהירות הם מספרים של אלפיות שנייה. שניהם נשלחים לשרת שלנו בלי חשבון, קובץ cookie או כתובת. דוחות קריסה נספרים לפי שגיאה, והדוח הראשון של כל שגיאה נשמר, למשך 90 ימים; נתוני מהירות מתווספים לסיכומים ציבוריים לפי יום ואינם נשמרים בעצמם. אפשר לשנות כל אחד מהם בסביבת העבודה, בהגדרות › פרטיות.

תנועת הנוף

בטלפונים נתמכים, כיוון המכשיר מזיז את הנוף. דפדפנים שדורשים הרשאה מבקשים אותה כשמקישים על הפעלת הטיה. הקריאות האלה נשארות בזיכרון הדף ואף פעם לא נשמרות או משודרות. העדפת התנועה המופחתת שלכם מבטלת את האפקט.

מארח האתר

Vercel מארחת את האתר ואת השער, ומקבלת בקשות רגילות, שכוללות את כתובת ה־IP שלכם. יומני התשתית שלה ומשך השמירה שלהם נשלטים על ידי Vercel; איננו מבטיחים שלא יהיו יומני אחסון כלל.

מרשם המודלים

חשבונות, קובצי cookie ובקשות

מה מאומת, ומה עדיין לא

הודעה אחת, תחנה אחר תחנה

מה ספק יכול לראות