Para onde vão os seus dados.

Seus prompts

Processado nesta aba do navegador. As respostas de exemplo são escritas com antecedência; nada é enviado a um provedor de IA.

Suas conversas

Por padrão, ficam na memória da sua aba; atualizar a página as apaga. Você pode escolher salvá-las no navegador do seu dispositivo, e baixá-las ou excluí-las quando quiser. As notas de memória e os prompts salvos são guardados do mesmo jeito. As suas notas de memória vão com cada mensagem, como parte das instruções, a menos que você desative a memória; um modelo pode sugerir uma nota, mas nenhuma é salva a menos que você escolha Salvar. Uma exportação do ChatGPT, Claude, Gemini ou Perplexity que você importa é lida no seu navegador e não é enviada; as conversas que você escolhe nela são guardadas como qualquer outra. Notas do Notion, do Obsidian e em Markdown, extratos bancários e registros de saúde que você traz são lidos da mesma forma, em um worker sem acesso à rede, e guardados como documentos; um modelo só os vê quando você decide perguntar a ele, e só as partes que você escolhe (nos extratos, só os nomes dos favorecidos). As páginas que você acompanha são obtidas pelo servidor do Undergrove enquanto o espaço de trabalho está aberto, como quando você adiciona uma página da web. Se você ativar a sincronização, o seu navegador criptografa cada conversa (com as próprias configurações e instruções), documento, projeto, nota de memória, prompt salvo, página acompanhada, registro de gastos e registro de saúde, e a sua configuração de memória, com uma chave que só os seus dispositivos têm, mostrada a você uma vez como código de recuperação. Armazenamos esse texto cifrado, com o tamanho e o horário de atualização de cada item, e não conseguimos lê-lo. Se você adicionar uma chave de acesso para desbloquear a sincronização, o seu navegador tranca a chave com um segredo que só essa chave de acesso produz, pela extensão WebAuthn PRF; armazenamos a chave trancada com o ID da chave de acesso e o nome que você der a ela, e não conseguimos abri-la. Um link compartilhado guarda uma cópia criptografada de uma conversa ou projeto por 1, 7 ou 30 dias, como você escolher, ou até ser aberto pela primeira vez, se você o compartilhar para abrir uma única vez. A chave dele é a parte do link depois do #, que os navegadores não nos enviam. Uma senha que você adiciona a um link é usada só nos navegadores, onde é combinada com essa chave, então também nunca a vemos.

Projetos compartilhados

Quando você compartilha um projeto com outras pessoas, as instruções, as conversas, os documentos e os nomes que os membros dão a si mesmos são criptografados nos navegadores dos membros com uma chave que nunca temos. Cada pessoa recebe essa chave selada de modo que só os próprios dispositivos dela possam abri-la, e só depois que o navegador do proprietário a confirma; um link de convite sozinho não a carrega, e funciona uma única vez. Guardamos o texto cifrado e vemos quem está em cada projeto compartilhado, o papel de cada membro, sua chave pública e a data de entrada, quando os convites são criados e usados, e o tamanho e o horário de atualização de cada item. Nosso servidor verifica os papéis antes de aceitar uma alteração. Remover alguém faz com que deixemos de enviar qualquer coisa a essa pessoa e dá ao projeto uma nova chave para os demais, mas não desfaz o que ela já baixou ou copiou.

A galeria pública

Publicar na galeria é uma escolha separada de compartilhar um link, e não é criptografado. O que você publica (a configuração de um assistente, as etapas de um fluxo de trabalho ou o código de um app, com o nome que você der) é guardado como foi enviado e mostrado a qualquer pessoa até você despublicar ou um administrador remover; as conversas e os documentos não fazem parte disso. As denúncias são guardadas sob um hash unidirecional da conta ou do endereço de rede de quem denunciou.

Seus arquivos

São usados apenas os nomes, tamanhos e tipos dos arquivos. O conteúdo nunca é lido nem enviado.

Pesquisa na web e páginas da web

Sem acesso real, nada é pesquisado nem buscado na web.

Ferramentas e escolha de modelo

O Auto escolhe um modelo no seu navegador, e os votos dos testes cegos também ficam lá, salvos só se você ativar o salvamento.

Rotas dos modelos

Ainda não há nenhuma rota de modelo aberta. Cada rota será listada aqui com o operador, a localização e a retenção antes de transportar uma única mensagem.

Limites de uso

Para aplicar limites de uso justo, o gateway conta as solicitações e o gasto estimado por conta ou chave sob um hash unidirecional. Os contadores expiram em até dois dias e não contêm conteúdo de mensagens. O limite diário próprio de uma chave e a lista de modelos dela são guardados com a chave. O histórico de uso de 30 dias do espaço de trabalho é estimado no seu navegador a partir de cada resposta e não é enviado para nós; ele fica no seu dispositivo só enquanto você salva conversas nele.

Rastreamento

Nenhum SDK de publicidade ou de análise está incluído. Onde o nosso servidor mantém contagens de uso, o espaço de trabalho envia no máximo um relatório por dia: uma pergunta de sim ou não sobre aquela visita, como se a pesquisa na web foi usada, respondida com resposta aleatorizada (privacidade diferencial local, ε = ln 3), de modo que a resposta enviada é a verdadeira três vezes em cada quatro. O relatório contém só a pergunta e a resposta, sem conta, cookie ou identificador; o servidor o soma aos totais daquele dia e não guarda mais nada. Nada é enviado se você desativar as contagens de uso em Configurações › Privacidade, no espaço de trabalho, ou se o seu navegador enviar Global Privacy Control ou Do Not Track. O método e as contagens estão na página de contagens de uso. O login na conta, quando configurado, usa a Privy. O conteúdo das conversas nunca é enviado à Privy. Os pagamentos não estão ativados.

Relatórios de falhas e dados de velocidade

Os relatórios de falhas e os dados de velocidade ficam desativados até você dizer sim, e você é consultado uma única vez, vendo exatamente o que seria enviado. Um relatório de falha contém o tipo do erro, a mensagem dele sem nada que possa ser conteúdo seu e o ponto do nosso código onde aconteceu; os dados de velocidade são números em milissegundos. Os dois vão para o nosso próprio servidor, sem conta, cookie ou endereço. Os relatórios de falhas são contados por erro, e o primeiro relatório de cada erro é guardado por 90 dias; os dados de velocidade são somados aos totais públicos por dia e não são guardados individualmente. Altere qualquer um deles em Configurações › Privacidade, no espaço de trabalho.

Movimento da paisagem

Em celulares compatíveis, a orientação do dispositivo move a paisagem. Os navegadores que exigem permissão pedem quando você toca em Ativar inclinação. Essas leituras ficam na memória da página e nunca são guardadas nem transmitidas. A sua preferência de movimento reduzido desativa o efeito.

A hospedagem do site

A Vercel hospeda o site e o gateway e recebe solicitações comuns, que incluem o seu endereço IP. Os registros de infraestrutura e a retenção deles são controlados pela Vercel; não prometemos que a hospedagem não gere registros.

Registro de modelos

Contas, cookies e solicitações

O que está verificado e o que ainda não está

Uma mensagem, parada a parada

O que um provedor pode ver