数据安全说明
做到的说清楚，没做到的也说
这一页给愿意看细节的人。每条都对应系统里真实存在的东西，不是宣传词。
我们做了什么
下面每一条，都是系统里正在生效的规则。
▤
敏感信息加密后存
手机号这类信息不是明文存在数据库里的，而是加密后存。即使有人拿走了数据文件， 直接打开也看不到真实内容。密钥和程序代码分开存放，权限只给到必要的进程。
⚿
密钥可更换
密钥支持定期更换。换完之后，新数据用新钥匙，老数据仍然能用老钥匙读出来—— 不会因为换钥匙把历史数据弄丢。
⛨
每次访问都验身份
不是「登录一次就通行」。每一个要读你数据的请求，都会重新确认： 你是谁、这条数据是不是你的。别人的凭证拿不到你的数据，尝试本身会被记录。
✎
操作记录改不了
谁在什么时候做了什么，逐条记录，并且每条都带前一条的指纹，串成一条链。 改动其中任何一条、删掉中间一条，都能被发现。
◔
异常会告警
同一账号反复登录失败、同一 IP 大量失败、设备数量异常、 用量突然暴涨、反复尝试访问别人的数据——这些都会触发告警并记录。
◎
账号里的操作记录不含内容
审计记录里写的是「谁、对哪个账号、做了什么动作、成功还是被拒」。 不写你说了什么——记录本身也不该成为泄露渠道。
关于「平台看不到你的内容」
这句话怎么落地的。
平台管理后台的账号，在系统里被明确禁止读取用户内容。
- 它能查：有多少用户、谁在用、用了多少、账号是否正常、操作记录、异常告警。
- 它不能查：聊天记录、记忆内容、人脉数据、知识库内容。
- 它看到的手机号是脱敏的，比如 138****8000。
这不是「我们承诺不看」。承诺靠自觉，规则靠系统。
我们把这条做成了权限规则——即使有人想越界，也会被系统拦下并留下记录。
数据生命周期
1
产生
你说的话、给的文件、提到的人。敏感信息加密后存，每个用户的数据单独存放。
2
使用
只用于让它记得你、让服务跑起来、计费与安全。不用于训练别人的模型。
3
带走或删除
随时可导出全部原始记录。注销后 30 天冷静期，到期彻底删除、不留副本。
我们还没做的
这一节存在的意义，是让你知道哪些话我们没说。
- ·没有通过等保测评
等保二级、三级都没做。企业客户需要时可以定制支持，但我们不会写「已通过」。 - ·没有强制实名认证
目前注册只需手机号。实名认证的入口在系统里留好了位置，但默认关闭。 - ·文件加密还没接进上传流程
加密能力已经做好并测试通过，但上传文件时还没有全部走加密存储。这一条正在补。 - ·不同用户之间还没有做到进程级隔离
数据是隔离的（谁读不到谁的），但还跑在同一个服务进程里。 对安全要求极高的场景，建议选择本地版。 - ·端到端加密还没有提供
也就是「连平台也解不开」的那种。架构上留了位置，能力还没做。
为什么把这些写出来：安全这件事，说满比说少更危险。
你去问任何一家「已通过等保三级」，都该拿到证明文件。
我们没做的就写没做——这样你才敢信我们做到的那部分。