Dove vanno i tuoi dati.

I tuoi prompt

Elaborati in questa scheda del browser. Le risposte di esempio sono scritte in anticipo; non viene inviato nulla a un fornitore di IA.

Le tue conversazioni

Per impostazione predefinita sono conservate nella memoria della scheda; ricaricando la pagina vengono cancellate. Puoi scegliere di salvarle nel browser sul tuo dispositivo, e scaricarle o eliminarle in qualsiasi momento. Le note di memoria e i prompt salvati sono conservati allo stesso modo. Le tue note di memoria accompagnano ogni messaggio, come parte delle sue istruzioni, a meno che tu non disattivi la memoria; un modello può proporre una nota, ma nessuna viene salvata se non scegli Salva. Un’esportazione di ChatGPT, Claude, Gemini o Perplexity che importi viene letta nel tuo browser e non viene caricata; le conversazioni che ne scegli sono conservate come tutte le altre. Le note di Notion, Obsidian e Markdown, gli estratti conto bancari e le cartelle cliniche che importi vengono letti allo stesso modo, in un worker senza accesso alla rete, e conservati come documenti; un modello li vede solo quando scegli di chiederglielo, e solo le parti che selezioni (per gli estratti conto, solo i nomi dei beneficiari). Le pagine che monitori vengono recuperate tramite il server di Undergrove mentre lo spazio di lavoro è aperto, come quando aggiungi una pagina web. Se attivi la sincronizzazione, il tuo browser cifra ogni conversazione (con le sue impostazioni e istruzioni), documento, progetto, nota di memoria, prompt salvato, pagina monitorata, registro delle spese e cartella clinica, oltre alla tua impostazione della memoria, con una chiave che hanno solo i tuoi dispositivi, mostrata una sola volta come codice di recupero. Noi archiviamo quel testo cifrato, con la dimensione e l’ora di aggiornamento di ogni elemento, e non possiamo leggerlo. Se aggiungi una passkey per sbloccare la sincronizzazione, il tuo browser blocca la chiave con un segreto che solo quella passkey produce, tramite l’estensione PRF di WebAuthn; noi archiviamo la chiave bloccata con l’ID della passkey e il nome che le dai, e non possiamo aprirla. Un link condiviso contiene una copia cifrata di una conversazione o di un progetto per 1, 7 o 30 giorni, a tua scelta, oppure fino alla prima apertura se lo condividi perché si apra una sola volta. La sua chiave è la parte del link dopo il #, che i browser non ci inviano. Una password che aggiungi a un link viene usata solo nei browser, dove viene combinata con quella chiave, quindi non vediamo nemmeno quella.

Progetti condivisi

Quando condividi un progetto con altre persone, le sue istruzioni, conversazioni, documenti e i nomi che i membri si danno vengono cifrati nei browser dei membri con una chiave che noi non abbiamo mai. Ogni persona riceve quella chiave sigillata in modo che solo i suoi dispositivi possano aprirla, e solo dopo che il browser del proprietario l’ha confermata; un link di invito da solo non la contiene, e funziona una sola volta. Conserviamo il testo cifrato e vediamo chi fa parte di ogni progetto condiviso, il ruolo di ogni membro, la sua chiave pubblica e la data di ingresso, quando gli inviti vengono creati e usati, e la dimensione e l’ora di aggiornamento di ogni elemento. Il nostro server controlla i ruoli prima di accettare una modifica. Rimuovere qualcuno fa sì che smettiamo di inviargli qualsiasi cosa e dà al progetto una nuova chiave per gli altri, ma non può riprendersi ciò che quella persona ha già scaricato o copiato.

La galleria pubblica

Pubblicare nella galleria è una scelta distinta dal condividere un link, e non è cifrato. Ciò che pubblichi (la configurazione di un assistente, i passaggi di un flusso di lavoro o il codice di un’app, con il nome che gli dai) viene conservato così come è stato inviato e mostrato a chiunque finché non ne annulli la pubblicazione o un amministratore non lo rimuove; le sue conversazioni e i suoi documenti non ne fanno parte. Le segnalazioni vengono conservate sotto un hash unidirezionale dell’account o dell’indirizzo di rete di chi segnala.

I tuoi file

Si usano solo nomi, dimensioni e tipi dei file. Il contenuto non viene mai letto né caricato.

Ricerca web e pagine web

Senza accesso live, non si cerca né si recupera nulla dal web.

Strumenti e scelta del modello

Auto sceglie un modello nel tuo browser, e anche i voti dei test alla cieca restano lì, salvati solo se attivi il salvataggio.

Percorsi dei modelli

Nessun percorso di modello è ancora aperto. Ogni percorso sarà elencato qui con operatore, posizione e conservazione dei dati prima che trasporti un solo messaggio.

Limiti di utilizzo

Per applicare i limiti di uso corretto, il gateway conta le richieste e la spesa stimata per account o chiave sotto un hash unidirezionale. I contatori scadono entro due giorni e non contengono il contenuto dei messaggi. Il limite giornaliero di una chiave e il suo elenco di modelli vengono salvati con la chiave. La cronologia di utilizzo di 30 giorni dello spazio di lavoro viene stimata nel tuo browser a partire da ogni risposta e non ci viene inviata; resta sul tuo dispositivo solo finché salvi lì le conversazioni.

Tracciamento

Non è incluso alcun SDK pubblicitario o di analisi. Dove il nostro server tiene i conteggi del prodotto, lo spazio di lavoro invia al massimo un resoconto al giorno: una domanda sì/no su quella visita, ad esempio se è stata usata la ricerca web, a cui si risponde con la risposta randomizzata (privacy differenziale locale, ε = ln 3), così la risposta inviata è quella vera tre volte su quattro. Il resoconto contiene solo la domanda e la risposta, senza account, cookie o identificativo; il server lo aggiunge ai totali di quel giorno e non conserva nient’altro. Non viene inviato nulla se disattivi i conteggi del prodotto in Impostazioni › Privacy dello spazio di lavoro, o se il tuo browser invia Global Privacy Control o Do Not Track. Il metodo e i conteggi sono nella pagina dei conteggi del prodotto. L’accesso all’account, quando configurato, usa Privy. Il contenuto delle chat non viene mai inviato a Privy. I pagamenti non sono attivi.

Segnalazioni di arresto anomalo e dati sulla velocità

Le segnalazioni di arresto anomalo e i dati sulla velocità sono disattivati finché non dici di sì: te lo chiediamo una volta, mostrandoti esattamente cosa verrebbe inviato. Una segnalazione di arresto anomalo contiene il tipo di errore, il suo messaggio privato di qualsiasi cosa possa essere un tuo contenuto, e il punto del nostro codice in cui si è verificato; i dati sulla velocità sono numeri di millisecondi. Entrambi vanno al nostro server, senza account, cookie né indirizzo. Le segnalazioni di arresto anomalo vengono contate per errore, conservando la prima segnalazione di ciascun errore, per 90 giorni; i dati sulla velocità vengono sommati ai totali pubblici per giorno e non vengono conservati singolarmente. Puoi cambiare entrambe le scelte in Impostazioni › Privacy dello spazio di lavoro.

Movimento del paesaggio

Sui telefoni compatibili, l’orientamento del dispositivo muove il paesaggio. I browser che richiedono un’autorizzazione la chiedono quando tocchi Attiva inclinazione. Queste letture restano nella memoria della pagina e non vengono mai salvate né trasmesse. La tua preferenza per il movimento ridotto disattiva l’effetto.

L’hosting del sito

Vercel ospita il sito e il gateway, e riceve normali richieste, che includono il tuo indirizzo IP. I log della sua infrastruttura e la loro conservazione sono gestiti da Vercel; non promettiamo che l’hosting non generi alcun log.

Registro dei modelli

Account, cookie e richieste

Cosa è verificato, e cosa non ancora

Un messaggio, tappa per tappa

Cosa può vedere un fornitore