Cosa conserva NeverNo, e cosa no

Nella memoria locale, in chiaro

Cosa vedono i nostri server

• quanti elementi sono sincronizzati e la dimensione di ciascuno, arrotondata a un multiplo di 256 byte, mai il loro tipo o il loro contenuto;
• l’ora di ogni scrittura, dell’ultimo scambio e il dispositivo che ha scritto ogni elemento;
• i tuoi dispositivi (nome, stato e date) e le tue passkey (identificativo, nome, data);
• lo spazio usato, confrontato con il limite del tuo piano. Un elemento eliminato lascia per 180 giorni una traccia senza contenuto, perché anche gli altri tuoi dispositivi lo eliminino.

Spazio di sincronizzazione per piano

Quando lo spazio è pieno, le tue nuove modifiche restano in attesa sul tuo dispositivo: non si perde nulla, e gli altri dispositivi continuano a ricevere ciò che è già sincronizzato. Se il tuo piano passa a uno con meno spazio di quello che usi, non viene cancellato nulla, ma niente di nuovo si sincronizza, testo compreso, finché non elimini abbastanza.

Il controllo resta tuo

• Disattivarla, in Impostazioni › Dati, ferma la sincronizzazione e cancella dai nostri server gli elementi, le buste delle chiavi e gli accessi dei dispositivi. Restano solo riferimenti senza contenuto, elencati più sotto: la data in cui l’hai disattivata e la traccia di un eventuale azzeramento. I tuoi dati restano in questo browser.
• Una chat effimera non viene mai scritta in questo browser, quindi non viene mai sincronizzata.
• La tua chiave di recupero apre i tuoi dati su un nuovo dispositivo se perdi la passkey. Viene mostrata una sola volta e non la vediamo mai. Per richiederne una nuova servono la tua passkey o la vecchia chiave di recupero.
• Senza passkey, senza chiave di recupero e senza un altro dispositivo approvato, la nostra copia non può più essere aperta. I tuoi dispositivi conservano i loro dati, e puoi riattivare la sincronizzazione da uno di essi.
• «Cambia la chiave» ricifra tutto con una nuova chiave: fallo dopo aver revocato un dispositivo che non controlli più.

• niente entra in IndexedDB: nessuna chat, nessun messaggio, nessun media, e per questa chat non viene creata alcuna chiave;
• nessun titolo nella barra laterale o nella ricerca, e nessun indirizzo proprio: resta su /chat?ephemeral=1;
• la memoria non vi legge niente e non ne impara niente, e la chat non finisce mai in un backup, in un link di condivisione o nella sincronizzazione;
• ricaricare la pagina, chiudere la scheda o uscire dalla chat (nell’app, dopo una conferma) la cancella per sempre.

Cosa conta comunque: i tuoi messaggi rientrano nella quota del giorno, e un voto su una risposta si aggiunge a un totale anonimo, come in ogni chat. Anche da parte nostra non cambia niente: come per ogni chat, il testo attraversa i nostri server fino al modello e non viene scritto da nessuna parte.

Cosa conta comunque: ogni passaggio indicizzato e ogni domanda cercata rientrano in una quota giornaliera (vault), e quanto ci costa il calcolo è registrato come importo, come per la memoria. Con un modello contrassegnato come «Anonimizzato», i passaggi arrivano con il messaggio all’azienda che l’ha creato, secondo le regole di quest’ultima. «Cancella tutto» nelle Impostazioni elimina la cassaforte con il resto.

Ogni azione verso l’esterno (inviare un messaggio, chiamare uno strumento che agisce) attende la tua approvazione con un tocco; le notifiche non contengono mai il contenuto della missione.

«Elimina il mio account», nelle Impostazioni, cancella tutto questo: l’abbonamento viene annullato, il cliente Stripe e le sue carte vengono eliminati, poi il backup, la copia sincronizzata, i link, le chiavi, i contatori (compresi quelli delle prove), i costi e infine l’account. Le autorizzazioni date a Google, Notion, Slack o GitHub vengono revocate presso di loro; se uno di loro non risponde, la nostra copia dell’accesso viene cancellata comunque e puoi rimuovere l’autorizzazione dal tuo account presso quel servizio. Ciò che resta: i contatori anonimi dei voti; il registro di amministrazione, senza l’identificativo dell’account; i documenti contabili richiesti dalla legge (ordini pagati in cripto e la prova delle loro ricevute, scollegati da te); le statistiche d’uso, scollegate dall’account, fino a 90 giorni; i contatori legati all’impronta di un indirizzo IP, che si cancellano da soli (48 ore, o a fine mese per le prove). Fuori dal nostro database: il registro di invio delle nostre e-mail presso Resend, i backup tecnici di Supabase per il tempo in cui sono conservati, e le fatture che Stripe conserva per conto proprio.

I backup tecnici di Supabase conservano una copia del database, e quindi di ogni riga eliminata, per il tempo in cui Supabase li conserva.

• il testo dei tuoi messaggi e delle risposte, e il ragionamento del modello;
• le tue istruzioni personalizzate, i ricordi della tua memoria e le schede dei personaggi che crei, che partono con ogni messaggio;
• i tuoi allegati: un PDF viene letto in memoria e scartato, un file di testo lo legge il tuo browser stesso;
• le immagini che invii: verificate, poi ricodificate senza metadati (posizione, fotocamera) prima di andare al fornitore;
• le immagini che crei: tornano dal fornitore e vanno direttamente al tuo browser, che le cifra;
• le tue descrizioni nello Studio, la tua voce dettata e i testi letti ad alta voce;
• le tue ricerche web: la query lascia il nostro server senza alcun identificativo e non viene registrata da noi; a seconda del tuo piano passa da Exa, che può conservarla (vedi «Ricerca web» più sotto).

I nostri log degli errori annotano solo riferimenti tecnici: il nome di un modello o di un fornitore, un codice di errore, un numero di operazione sui crediti. Un account vi compare solo sotto un’etichetta calcolata con una chiave segreta, che da sola non dice nulla; solo l’eliminazione di un account ne annota l’identificativo, mai l’e-mail. Altrove, alcuni fornitori conservano per un po’ ciò che ricevono: vedi «Chi legge i tuoi messaggi».

Gli eventi grezzi vengono cancellati dopo 90 giorni; restano solo totali giornalieri anonimi. Disattiva «Condividi statistiche anonime» nelle Impostazioni, oppure lascia che il tuo browser invii Global Privacy Control o Do Not Track: vieni contato comunque, ma senza impronta e senza legame con il tuo account, e ciò che vi era collegato viene cancellato. Eliminare l’account cancella anche la sua parte.

L’interruttore è in Impostazioni › Dati, attivo per impostazione predefinita; se lo disattivi, i tuoi messaggi arrivano così come sono ai modelli anonimizzati. I modelli privati non vengono mai mascherati: lì non si conserva nulla, e un mascheramento sbagliato costerebbe più di quanto protegga. Sotto la barra di scrittura, «3 dati mascherati» elenca ciò che è stato sostituito nell’ultimo messaggio. Misurato su casi sigillati, messi da parte e mai usati per regolare i rilevatori: gli indirizzi postali sono rilevati nel 72% dei casi, i numeri di telefono nel 94%, gli IBAN nel 100%, e su 160 trappole (testi che somigliano a dati personali senza esserlo) non c’è stato alcun falso allarme. Sono risultati dei nostri test, non una garanzia: un dato scritto in modo insolito può sfuggire, quindi rileggi ciò che invii a un modello anonimizzato. Dopo il lancio è previsto un terzo ciclo di miglioramenti.

• L’esportazione PDF è appiattita: ogni pagina viene disegnata come immagine con riquadri opachi dipinti sui passaggi nascosti, e un nuovo file viene scritto solo da quelle immagini, senza alcun oggetto dell’originale. Nessun livello di testo, nessun font, nessun metadato (titolo, autore, produttore, XMP), nessun allegato, nessuna annotazione, nessuno script, nessuna revisione precedente: il file non li ha mai avuti.
• Prima del download, la pagina controlla il file che ha scritto: nessuno dei valori nascosti e nessuna delle strutture vietate può comparirvi, altrimenti l’esportazione si ferma e non viene scaricato nulla.
• Le esportazioni Markdown e testo sostituiscono ogni passaggio nascosto con un segnaposto numerato ([EMAIL_1]) o con un blocco di █, a tua scelta, con un rapporto facoltativo che dà conteggi per tipo, mai un valore.
• La pagina conta, con le misurazioni del browser stesso, le richieste che fa da quando trascini il file, file del sito a parte; il numero resta a 0 ed è mostrato accanto al pulsante di esportazione.
• Nulla viene conservato: né file, né testo, né rilevamento, in questo browser o altrove. La copia si chiama documento-oscurato, mai come l’originale. Se hai effettuato l’accesso puoi scegliere, dopo, «Conserva in cassaforte»: è la solita cassaforte, descritta sopra.

La promessa è «il file non lascia mai il tuo dispositivo, e tu controlli prima di esportare», non una garanzia: un rilevatore non trova nulla che non conosca (un nome fuori dalla tua lista, una data, un luogo), e una pagina scansionata dipende da ciò che l’OCR è riuscito a leggere. Il passaggio di controllo serve a questo.

Auto usa modelli privati; alcuni scambi passano da un modello anonimizzato, dopo il mascheramento. I modelli privati di Auto: DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4.1 Flash, DeepSeek V4 Flash, DeepSeek V4 Pro, GLM 5.2, NeverNo Uncensored, Qwen 3.5 35B e Mistral Small 3.2. Fuori da quegli scambi e dalle domande politiche qui sotto, un modello anonimizzato risponde solo se lo scegli tu, o se sotto una risposta clicchi sul suggerimento di rivolgere la domanda a quel modello. Su alcune domande politiche che i modelli cinesi rifiutano, la modalità Auto risponde con Claude (Anthropic), un modello anonimizzato, dopo il mascheramento e su host a conservazione zero, al posto di DeepSeek, GLM, Kimi o Qwen.

Immagini, video e suoni

Lo Studio passa da Runware. Le descrizioni lasciano il nostro server senza alcun identificativo. Anche questa tabella è generata dal codice.

Gli altri servizi che vedono passare qualcosa

Ricerca web

Per gli abbonati, Exa riceve la query (una breve query ricavata dal tuo messaggio) e restituisce i risultati; un account gratuito ha una ricerca Exa al giorno, poi passa da Serper; senza account, è Serper. Exa può conservare la query e usarla per migliorare i suoi servizi e addestrare i suoi modelli: non abbiamo sottoscritto alcuna opzione di conservazione zero. A seconda dell’argomento, alcune ricerche non le vengono mai inviate. Serper restituisce i risultati di Google; Jina Reader legge le pagine trovate, o l’indirizzo che incolli. Nessuno dei tre riceve un identificativo o il tuo indirizzo IP. In una ricerca approfondita, l’opzione «Stesura premium» fa sì che sia GPT 6.1 Sol stesso a cercare sul web (la ricerca integrata di OpenAI, tramite OpenRouter, su Microsoft Azure, con conservazione zero richiesta): riceve la tua domanda mascherata come per un modello anonimizzato. Quando una pagina originale è diventata illeggibile, una ricerca approfondita ne invia l’indirizzo a Internet Archive per leggerne una copia archiviata. Se una ricerca viene avviata su «tutte le fonti», partono anche query scritte a partire dalla tua domanda verso arXiv, OpenAlex e la banca dati EDGAR della SEC. Nessuno di loro riceve un identificativo o il tuo indirizzo IP.

Voce

La dettatura e il Confessionale sono trascritti da Whisper su Groq, a conservazione zero, o su DeepInfra quando Groq tarda; le voci Kokoro, Inworld e Qwen passano da DeepInfra; le voci di xAI e MiniMax da Runware. La tua voce viene trascritta, poi dimenticata. Con Pro+ e Max, la lettura ad alta voce delle risposte è affidata a ElevenLabs (voce Jessica): i recapiti vengono mascherati prima dell’invio, ogni lettura viene cancellata dalla cronologia del nostro account subito dopo, e alcune risposte non ci passano mai, né una voce che hai scelto tu.

Creatori dei modelli anonimizzati

I modelli anonimizzati passano da OpenRouter con la sua opzione di conservazione zero: l’host che risponde si impegna a non conservare nulla. I pochi modelli senza un percorso a conservazione zero sono segnalati nella tabella qui sopra; il loro creatore conserva allora la richiesta secondo le proprie regole (Anthropic fino a 30 giorni, OpenAI 30 giorni). Gemini è servito da Google, che può anche conservare fino a 90 giorni una richiesta segnalata dal suo monitoraggio degli abusi (senza usarla per addestrare i suoi modelli).

Inoltro a un modello anonimizzato

Per alcune richieste, se il nostro modello privato non risponde, la risposta può essere scritta da un modello di terze parti anonimizzato (Grok, xAI), interpellato a conservazione zero: i tuoi dati personali (nome, e-mail, telefono, indirizzo…) vengono mascherati prima che li veda, esattamente come per i modelli di terze parti che puoi scegliere.

Confessionale

Il Confessionale risponde con Claude Sonnet di Anthropic, servito da Google Vertex o Amazon Bedrock tramite OpenRouter con l’opzione di conservazione zero: l’host non conserva nulla. Se Sonnet non risponde, subentra Claude Haiku alle stesse condizioni, poi GLM 5.2, un modello privato, come ultima risorsa. Per alcuni scambi, la risposta arriva da Grok 4.20 presso xAI (dati personali mascherati, conservazione zero), poi da DeepSeek V4 Pro presso DeepInfra, poi da Dolphin presso un fornitore terzo a conservazione zero, tramite OpenRouter, due modelli privati. La sua voce è descritta qui sotto.

Voce del Confessionale

La voce che scegli nel Confessionale è prodotta da ElevenLabs, che agisce per nostro conto (come responsabile del trattamento) e riceve solo il testo della risposta da leggere, mai la tua voce né il tuo account. Prima dell’invio, gli indirizzi e-mail, i numeri di telefono, gli indirizzi postali, i dati bancari, i numeri di carta e gli indirizzi IP di una frase vengono sostituiti da parole neutre («il tuo indirizzo e-mail»); nomi e cognomi restano, perché la voce possa pronunciarli. ElevenLabs conserva ogni frase nella cronologia del nostro account: la cancelliamo pochi secondi dopo che è stata pronunciata e, ogni 5 minuti, viene cancellato ciò che vi resta dopo 10 minuti. Ciò che ElevenLabs conserva per la propria lotta agli abusi segue le sue regole. Alcune frasi, e tutte quando ElevenLabs non risponde, sono lette da una delle voci elencate sopra.

Memoria

Per ogni account, anche gratuito, un modello privato (DeepSeek V4 Flash presso DeepInfra) individua i fatti da ricordare e ne calcola i vettori; il risultato torna al tuo browser, che lo cifra.

Sicurezza

I nostri limiti assoluti sono verificati da modelli privati del nostro catalogo, che leggono una richiesta di immagine o un’immagine che invii, poi la dimenticano.

Anti-bot

Un visitatore senza account supera una volta la verifica di Cloudflare Turnstile, che riceve il suo indirizzo IP e segnali tecnici del browser.

Pagamento

Stripe riceve la tua e-mail e l’identificativo del tuo account per collegare il pagamento, e i dati della tua carta, che noi non vediamo mai.

Hosting

Il sito gira su Vercel, che vede passare le tue richieste. Il database, gli account, il backup cifrato e la copia di sincronizzazione cifrata sono su Supabase, che ti invia anche il codice di accesso per e-mail.

Cassaforte

I passaggi dei documenti della tua cassaforte e le tue domande ricevono il loro vettore da un modello privato su DeepInfra (Qwen3-Embedding-0.6B); i vettori tornano al tuo browser, che li cifra.

/** * Local-only encryption for the Zero-Log store. * * One AES-256-GCM key per browser, generated on first use as a non-extractable * CryptoKey and kept in IndexedDB: it never leaves the device and cannot be read * back as raw bytes, even by our own scripts. */import { requestPersistentStorage } from "./storage";export type Sealed = { v: 1; iv: Uint8Array<ArrayBuffer>; ct: Uint8Array<ArrayBuffer> };const encoder = new TextEncoder();const decoder = new TextDecoder();export type KeyStore = {  load: () => Promise<CryptoKey | undefined>;  /** Stores the key unless one is already there (the first stored wins). */  save: (key: CryptoKey) => Promise<void>;};let keyPromise: Promise<CryptoKey> | null = null;let activeStore: KeyStore | null = null;/** Point the module at the table that holds the key. Called once by the database. */export function configureKeyStore(store: KeyStore) {  activeStore = store;  keyPromise = null;}

• src/lib/db/crypto.ts (85 righe)
• src/lib/backup-crypto.ts (51 righe)
• src/lib/share.ts (165 righe)

Il nostro repository è ancora privato. Ne arriverà uno pubblico, così potrai confrontare questo codice con quello che esegue il tuo browser.

1. 1I tuoi dati cifrati

   Scheda Applicazione (Chrome, Edge) o Archiviazione (Firefox), poi IndexedDB › neverno › messages. Il campo content di ogni messaggio è un oggetto { v, iv, ct }: byte illeggibili. In keys, la chiave mostra extractable: false.

2. 2Cosa parte quando scrivi

   Scheda Rete, poi invia un messaggio: parte una richiesta chat, con la conversazione in corso e le tue impostazioni del momento. Nessun’altra conversazione parte.

3. 3Le piccole richieste che seguono

   Memoria attiva: due piccole richieste memory inviano poi quest’ultimo scambio per individuare i fatti da ricordare. Nuova conversazione: una richiesta chat/title invia anche la tua prima domanda e l’inizio della risposta, una sola volta, per darle un titolo. Suggerimenti attivi (Impostazioni, Contenuti): dopo una risposta, una richiesta chat/follow-ups invia la tua ultima domanda con l’inizio e la fine della risposta, per proporre come continuare; non viene conservato nulla. Sincronizzazione attiva: richieste sync/push e sync/pull trasportano elementi che il tuo browser ha cifrato e il cui campo ct è illeggibile. Il tuo cookie di sessione accompagna ciascuna di esse, richiesta chat compresa, come su qualsiasi sito in cui hai effettuato l’accesso.

4. 4La chiave di un link di condivisione

   Apri un link di condivisione con la scheda Rete aperta: la richiesta shares/… contiene solo l’identificativo del link. Ciò che segue il # non compare da nessuna parte.

5. 5Con chi può parlare la pagina

   Su neverno.ai, l’intestazione Content-Security-Policy della pagina elenca gli unici indirizzi che può contattare: i nostri server, Supabase, le CDN di Runware per i tuoi media, Cloudflare per la verifica anti-bot e due indirizzi riservati alla conversazione vocale in tempo reale del Confessionale (api.elevenlabs.io e il nostro server rt.neverno.ai), elencati in anticipo: finché questa funzione non è aperta, la pagina non vi si connette mai. Nessuna misurazione del pubblico di terze parti, nessuna pubblicità.

• NeverNo non è una rete di anonimato. Il nostro hosting vede il tuo indirizzo IP, come per qualsiasi sito: non lo registriamo in nessuna delle nostre tabelle, ma i suoi log tecnici possono conservarne una traccia secondo le sue regole, e Supabase, che gestisce l’accesso agli account, conserva l’indirizzo IP di ogni sessione aperta. Per nasconderlo, usa una VPN o Tor.
• Per scegliere il modello, decidere se fare una ricerca e applicare i nostri limiti assoluti, il nostro server legge il tuo messaggio in memoria mentre viene generata la risposta. Non lo scrive da nessuna parte, ma lo vede passare.
• Con ogni messaggio parte anche la conversazione in corso (i suoi messaggi recenti), perché un modello non ricorda niente da una chiamata all’altra.
• L’etichetta «Privato» si basa sugli impegni di DeepInfra e sull’opzione di conservazione zero di OpenRouter. Non possiamo ispezionare i loro server.
• Un modello «Anonimizzato» viene letto dall’azienda che l’ha creato (Anthropic, OpenAI, Google, xAI), che può conservare la richiesta per un certo tempo secondo le proprie regole. I tuoi indirizzi e-mail, numeri e nomi segnati vengono mascherati prima (vedi sopra); il resto del testo no. Per una conversazione delicata, resta su un modello privato.
• La cifratura locale impedisce a chiunque di leggere le tue conversazioni aprendo il database così com’è, e nessuno script può estrarre la chiave. Non ti protegge da una persona o da un programma che ha accesso al tuo dispositivo o alla tua sessione aperta: blocca il tuo dispositivo.
• Alcuni riferimenti restano leggibili nel tuo browser (date, modelli, tipi di media), e lì le tue preferenze dell’interfaccia sono in chiaro.
• I video e i suoni che crei aspettano sulla CDN di Runware finché il tuo browser non li scarica; quanto tempo restano lì dipende da Runware: fino a 7 giorni per una clip, in base alla scadenza indicata dal suo indirizzo (misurato l’11 novembre 2026).
• Il nostro codice non è ancora pubblico: non puoi ancora confrontare da solo il codice pubblicato con quello che esegue il tuo browser.
• La sincronizzazione lascia visibili alcuni metadati: quanti elementi, la loro dimensione arrotondata e l’ora di ogni scrittura, e quindi il ritmo della tua attività. Un dispositivo approvato che non è più tuo conserva la chiave finché non la cambi.
• Se dimentichi la frase segreta del backup, o cancelli i dati del browser senza un backup né la sincronizzazione, i tuoi dati sono persi: non abbiamo alcun modo di recuperarli.

1. 15 novembre 2026La tabella di ciò che conserva il nostro database ora dice dove vedere e chiudere le tue sessioni aperte: Impostazioni › Sicurezza.
2. 11 novembre 2026Creazioni lunghe: il nostro database ora annota, per un video, se parte da un’immagine importata (un semplice indicatore, senza descrizione né immagine). È precisato per quanto tempo Runware conserva una clip: fino a 7 giorni, misurato.
3. 11 novembre 2026I contatori e gli importi di costo di un visitatore vengono cancellati dopo 48 ore, senza eccezioni; i contatori di prova legati a un indirizzo IP, a fine mese; la traccia di inattività del registro di amministrazione non conserva più l’identificativo dell’account; i risultati di una missione sono cancellati da una pulizia oraria.
4. 11 novembre 2026Il link «Continua nello Studio», sotto un’immagine in una chat, non mette più la descrizione dell’immagine nell’indirizzo della pagina; prima di questa data poteva comparire nei log tecnici del nostro hosting.
5. 11 novembre 2026L’eliminazione di un account cancella ora anche i suoi contatori di prova e revoca le autorizzazioni date a Google, Notion, Slack o GitHub. I nostri log annotano un account solo sotto un’etichetta con chiave, e i modelli anonimizzati passano solo dagli host che questa pagina nomina.
6. 11 novembre 2026Questa pagina è stata riletta riga per riga confrontandola con il codice e corretta: Supabase conserva l’indirizzo IP e il browser di ogni sessione aperta; la tabella di ciò che il nostro database conserva è stata completata, famiglia per famiglia; l’intestazione di sicurezza elenca anche due indirizzi riservati alla voce in tempo reale del Confessionale (da inizio novembre); sono nominati i servizi contattati da una ricerca approfondita e i modelli di riserva del Confessionale.
7. 9 novembre 2026I contatori di utilizzo di un account sono ora conservati 31 giorni (solo numeri, mai contenuti) perché il calendario di 30 giorni di «Il mio abbonamento» sia completo; quelli di un visitatore restano cancellati dopo 48 ore.
8. 9 novembre 2026Auto: su alcune domande politiche che i modelli cinesi rifiutano, ora risponde con Claude (Anthropic), un modello anonimizzato, al posto di Mistral Small: i dati personali sono sostituiti prima dell’invio e rimessi nella risposta, su host a conservazione zero. Un modello che scegli tu non viene mai sostituito.
9. 9 novembre 2026Auto: su alcune domande politiche che i modelli cinesi rifiutano, risponde con un altro modello privato (Mistral Small, o Dolphin se serve) al posto di DeepSeek, GLM, Kimi o Qwen. Un modello che scegli tu non viene mai sostituito.
10. 9 novembre 2026Ricerca web: Exa serve gli abbonati (una ricerca al giorno con un account gratuito, poi Serper e Jina; senza account, Serper e Jina). Exa può conservare la query (senza identificativo né indirizzo IP), cosa che nessuno dei nostri log fa.
11. 8 novembre 2026Sincronizzazione: i file dei progetti fino a 200 KB ciascuno ti seguivano già, ora è scritto; un piano con meno spazio di quello che usi ferma le nuove sincronizzazioni, testo compreso, finché non elimini abbastanza.
12. 5 novembre 2026La voce del Confessionale ora è prodotta da ElevenLabs: i dati personali vengono sostituiti prima dell’invio e ogni frase viene cancellata dalla cronologia del nostro account pochi secondi dopo essere stata pronunciata.
13. 4 novembre 2026Aggiunto ciò che accade alle richieste ai modelli anonimizzati e al Confessionale (conservazione zero e le eccezioni segnalate).
14. 4 novembre 2026Le impronte dell’indirizzo IP usate per i limiti e le prove gratuite ora coprono l’intera rete /64 di un indirizzo IPv6 (il blocco di indirizzi di una stessa connessione): cambiare indirizzo non moltiplica più i limiti. Resta un’impronta con chiave segreta, mai l’indirizzo stesso.
15. 1 novembre 2026Sincronizzazione cifrata end-to-end per gli account: una copia illeggibile sui nostri server, che solo la tua passkey, la tua chiave di recupero o i tuoi dispositivi approvati aprono. I media non vengono sincronizzati.
16. 1 novembre 2026Velocità delle pagine (LCP, INP, CLS) misurata nel tuo browser e aggiunta alle statistiche d’uso, arrotondata e solo per tipo di pagina. Se la condivisione è disattivata non parte nulla.
17. 1 novembre 2026Memoria tra le conversazioni per ogni account, anche gratuito. I visitatori senza account continuano a non averla.
18. 31 ottobre 2026Statistiche d’uso senza contenuti: il nostro conteggio, nessun cookie, un’impronta del giorno, un interruttore nelle Impostazioni.
19. 31 ottobre 2026Cassaforte privata: documenti conservati cifrati in questo browser; partono solo i passaggi che servono a una domanda, con quella domanda.
20. 31 ottobre 2026Chat effimere: una conversazione tenuta solo nella memoria della scheda, mai scritta in questo browser.
21. 31 ottobre 2026Gli importi del costo del tuo utilizzo incluso ora vengono cancellati automaticamente dopo 35 giorni.
22. 31 ottobre 2026Pubblicazione di questa pagina e del codice che cifra.
23. 31 ottobre 2026Ricerca web: la query lascia il nostro server senza identificativo né indirizzo IP, e non viene registrata.
24. 31 ottobre 2026Il tuo colore dell’interfaccia viene salvato nel tuo profilo, come il tuo avatar dal giorno prima (un seed, mai una foto).
25. 30 ottobre 2026Le immagini che invii vengono verificate, poi ricodificate senza metadati prima di andare a un fornitore.
26. 30 ottobre 2026Cancellazione automatica ogni ora: contatori di utilizzo più vecchi di 48 ore, link di condivisione scaduti.
27. 30 ottobre 2026Eliminazione dell’account dalle Impostazioni: abbonamento, cliente Stripe, backup, chiavi, contatori e costi cancellati.
28. 30 ottobre 2026Voti sulle risposte: semplici contatori anonimi, senza account e senza testo.
29. 30 ottobre 2026Backup cifrato con una frase segreta (PBKDF2, 600.000 iterazioni, AES-256-GCM).
30. 30 ottobre 2026Link di condivisione cifrati, chiave nel # del link; le immagini vi sono cifrate con la stessa chiave.
31. 30 ottobre 2026Intestazioni di sicurezza: la pagina può contattare solo i nostri server, Supabase, le CDN dei media e Cloudflare.
32. 30 ottobre 2026Chiavi API: viene conservata solo un’impronta SHA-256.
33. 30 ottobre 2026Accesso con un codice via e-mail; la prova senza account è collegata a un’impronta dell’indirizzo IP, mai all’indirizzo stesso.
34. 29 ottobre 2026Cronologia cifrata nel browser (AES-256-GCM, una chiave non estraibile per browser).