你的数据会发生什么、你的 token 从哪来，以及其中哪些我们能证明而不只是声明。
柱长就是留存期。请求与响应正文没有留存期。
计费元数据指 request id、模型、token 数、延迟、状态与费用——不含请求或响应正文。删除请求在 30 天内在所有数据存储与备份中完成。
| 数据 | 默认 | 保留期 | 谁能看 |
|---|---|---|---|
| 请求与模型输出 | 不保存 | — | 无人 |
| 排障留存（按 key 自行开启） | 关闭 | 7 天后删除 | 你的组织；support 需工单 + 限时授权，全程留痕 |
| 计费与路由元数据 request id、模型、token 数、延迟、状态、费用 | 保存 | 13 个月 | 你的组织；我们的计费与支持 |
| 账户与发票记录 | 保存 | 按新加坡法律要求 | 你的组织；我们的财务 |
| 安全审计事件 | 保存 | 12 个月 | 我们的安全团队 |
你的输入与输出不会用于训练或微调任何模型，不论是我们的还是别人的。没有开关可以改变这一点，也没有"允许就打折"这种选项。
Authorization 头、你的 API key、上游凭据在入口处就被过滤丢弃——不是先记录再脱敏。
用量记录随时可从控制台或 API 导出。删除请求会在 30 天内在所有数据存储与备份中执行完毕。
目录里每个模型都带来源标签，而且这个标签在 API 响应里，不只在营销页上。
| 来源 | 含义 | 状态 |
|---|---|---|
| self_hosted | 跑在我们自己运维的硬件上的开源权重。权重来源、版本与量化方式逐模型公开。 | 可用 |
| vendor_api | 模型厂商自己的 API，走我们的商务账户。 | 即将上线 |
| cloud | 云厂商托管的第一方模型，走我们的企业协议。 | 即将上线 |
| licensed_third_party | 有书面协议的合作方。即使模型来自某厂商，仍标注为第三方。 | 即将上线 |
我们不做的事。没有订阅账号池。没有逆向或伪装客户端的端点。不把自部署的开源权重挂上闭源模型的名字卖。没有授权文件在档的线路不会被启用。
指定线路运行在硬件 TEE 内。远程证明报告携带运行代码的 measurement；你的客户端先校验它，再端到端换密钥，任何不匹配即失败关闭。用量以签名凭证返回。
正在与部分客户预览中——当前覆盖范围请向我们确认。
在任何 prompt 离开客户端之前，先把 measurement 与可复现构建对上。
按线路提供、按需出证。它能证明这一跳运行的正是那份开源代码且不留日志——但不能证明上游厂商自己的留存策略。
数据处理协议（含面向 EEA 与英国传输的 SCCs）、子处理者清单（变更提前 30 天通知）、安全说明。按需提供；企业协议也可以用你们的版本。
推理可通过合同约定只在北美、东南亚或东亚发生。账户与计费记录在新加坡处理。
涉及你数据的安全事件在 72 小时内通知。漏洞报告发 security@cflabs.ai。
管理员、计费、成员三类角色，管理操作全程审计。企业账户支持 SSO 与 SCIM。
独占算力客户在交付前做主体与制裁名单筛查。我们不向受制裁地区提供服务。
SOC 2 Type II 在路线图上。我们会在审计窗口开启后公布报告日期，而不是提前宣称。