数据安全

灵渠平台把每一次查询都当作客户的数据资产来处置。平台只在请求路径上对查询施加治理（路由、缓存检查点、安全护栏），不以查询原文训练任何对外模型，也不把任何客户数据带离其部署实例的运行边界。本节面向部署与运维灵渠平台的内部管理员，讲清平台在数据安全上的四项承诺与口径：数据不出境、数据留存、个人信息处理，以及退出服务时的导出清单与权属。

数据安全相关能力仅在运营控制台「数据安全」页可见，对应控制平面 /api/v1/data-security/* 一组端点。

本节定位。 数据安全是一组义务性承诺：平台对外声明在数据处置上做什么、不做什么。下文给出的端点用于查询这些承诺条目、退出导出清单与清理任务状态，供管理员核对当前实例的数据合规状态。具体留存时限、删除窗口等口径以服务协议约定与控制台显示为准，本文不固化具体数值。

1. 数据不出境

灵渠平台的数据处置以就地治理、数据不出境为基本原则。一次查询的全生命周期——进入、治理、转发、计量、落账——都发生在该实例的运行边界内。

两种部署模式下，平台均不把客户的查询原文、用量明细或配置数据复制到实例边界之外。向上游模型转发推理请求是查询治理的必要环节，但平台只透传客户在请求中提供的内容、不附加额外采集，且上游选择、计量与落账全程留在本实例内。

就地治理原则。 平台对查询的治理（复杂度研判、缓存判定、安全护栏处置）均在本实例内完成，不依赖任何外部数据汇聚服务。SaaS 模式下的 VM 级逻辑隔离是部署形态，不引入跨客户的数据共享；不同实例的数据彼此不可见。部署模式与隔离边界的详细说明见 部署与许可。

2. 数据留存口径

平台按数据类别分别约定留存口径。核心区分是：计量与对账所必需的结构化记录需保留以支撑账单可核验，而查询原文不落地留存。

调用记录的脱敏。 逐条调用记录用于让客户复算核对计费，因此保留计量所需的结构化字段；但记录中以调用信息哈希代替查询原文，不含可还原的业务原文。逐条字段构成见 API 参考 的用量明细端点说明。各类数据的具体留存时限以服务协议约定与控制台显示为准。

3. 个人信息处理策略

平台是查询的治理与转发通道，不以收集个人信息为目的。围绕个人信息，平台遵循以下策略：

• 最小化透传：平台只转发客户在查询请求中主动提供的内容，不主动采集请求之外的任何个人信息。
• 就地脱敏：安全护栏中间件可对查询与响应中的敏感信息施加脱敏处置；脱敏在本实例内完成，脱敏统计可在「安全防护」页查看。脱敏与个人信息检测的护栏能力与配置见 安全护栏。
• 不落地原文：查询原文不留存（见第 2 节），逐条记录以哈希表示，降低个人信息驻留风险。
• 不二次利用：客户数据不用于平台侧任何对外模型训练或跨客户分析；路由小模型微调所用的样本仅在本实例隔离边界内参与训练（见 路由小模型微调）。
• 可清理：到期或退出时，可通过数据清理任务清除驻留数据（见第 5 节）。

个人信息处理的具体合规口径（适用范围、脱敏规则、保留期限等）属合规约定，统一以服务协议与控制台「数据安全」页显示为准。本文描述平台在功能上提供的处置能力，不替代服务协议本身的合规约定。

4. 退出导出清单与权属

退出服务时，平台保证客户能完整带走属于自己的资产。下列产出物权属归客户，在退出时一并列入导出清单：

查询导出清单与权属标注：

curl https://your-platform/api/v1/data-security/export \
  -H "Cookie: <控制台会话凭证>"

响应给出退出导出项清单，每项含名称、说明与权属标注：

{
  "items": [
    {
      "artifact": "middleware",
      "label": "中间件",
      "description": "客户接入或定制的治理中间件节点",
      "ownership": "customer"
    },
    {
      "artifact": "pipeline_script",
      "label": "编排脚本",
      "description": "中间件管道的编排顺序与条件分支配置",
      "ownership": "customer"
    },
    {
      "artifact": "policy_config",
      "label": "策略配置",
      "description": "路由 / 缓存 / 护栏 / 额度 / 密钥等策略与参数",
      "ownership": "customer"
    },
    {
      "artifact": "routing_model",
      "label": "路由小模型",
      "description": "本实例内微调产出的路由小模型",
      "ownership": "customer"
    }
  ]
}

权属边界。 退出导出物均为承载客户业务意图的配置与产出（编排、策略、微调模型），权属归客户、可随退出完整带走。平台软件本身的授权随许可终止而失效（见 部署与许可）。路由小模型的训练位置、数据隔离与样本删除窗口口径见 路由小模型微调。

5. 数据清理任务

数据清理任务用于在到期、退出或按合规要求时清除实例内驻留的数据。每个清理任务声明清理范围，并记录其执行状态。

查询清理任务列表：

curl "https://your-platform/api/v1/data-security/cleanup-tasks?page=1&page_size=20" \
  -H "Cookie: <控制台会话凭证>"

响应为分页的清理任务列表：

{
  "total": "<清理任务总数>",
  "page": 1,
  "page_size": 20,
  "items": [
    {
      "task_id": "<清理任务标识>",
      "scope": "<清理范围说明>",
      "status": "pending",
      "executed_at": null
    }
  ]
}

清理与导出的次序。 退出场景下，导出在前、清理在后：先完成第 4 节的导出清单交付，再由清理任务清除实例内驻留数据。清理只针对到期或约定清除的数据，不影响仍在留存口径内的计量与账单记录。清理范围与触发时点以服务协议约定与控制台显示为准。

6. 查询数据安全策略

上述四项承诺（不出境 / 留存 / 个人信息 / 退出导出）以策略条目的形式汇总，可一次性查询当前实例的数据安全策略：

curl https://your-platform/api/v1/data-security/policy \
  -H "Cookie: <控制台会话凭证>"

响应给出策略条目列表，按类别分组：

{
  "items": [
    { "policy_kind": "data_residency", "label": "数据不出境", "description": "<条目说明>" },
    { "policy_kind": "retention", "label": "数据留存", "description": "<条目说明>" },
    { "policy_kind": "personal_info", "label": "个人信息处理", "description": "<条目说明>" },
    { "policy_kind": "exit_export", "label": "退出导出", "description": "<条目说明>" }
  ]
}

策略条目是对本节四项承诺的结构化呈现，供「数据安全」页渲染与管理员核对。条目内容随服务协议约定更新；本文描述端点形态与字段语义，具体口径以控制台显示为准。

相关章节

• 部署与许可：双部署模式、VM 级逻辑隔离边界与许可有效期——数据所在边界的载体
• 路由小模型微调：训练样本的就地训练、数据隔离与删除窗口口径
• 安全护栏：脱敏、个人信息检测等护栏中间件能力的整体枚举与策略配置
• 中间件管道与扩展点 SDK：安全护栏中间件的脱敏与治理处置在请求路径上的位次
• API 参考：/api/v1/data-security/* 及全部运营管理接口的端点契约