synexasMATRIX
预约演示
采购指南

不用于训练
不等于不留存

假设采购团队正在评估一个处理保险文档的助手。问卷里有一项答复:提交的文档不会用于训练模型。但另一个问题仍没有答案:提取的文字、提示词和回答可能留在哪里?训练限制约束的是信息的一种用途;留存涉及是否还有副本、为什么保留,以及适用哪些条件。金融与保险团队处理机密文档时,应先拆开这两个问题,而不是把供应商的隐私主张当成完整的数据流说明。

生成的插画:浅色桌面上放着带分页标签的文件夹、纸张、放大镜、蓝色杯子和铅笔。
文档审查主题的生成插画,不是真实客户场景,也不代表任何一家供应商的系统。
一览

拆开五类问题
形成一份审查记录

评估范围

明确签约服务、组织或项目、API 端点和已启用功能。本文讨论 OpenAI API 与 Google Cloud Gemini Enterprise Agent Platform 的文档,不适用于消费级应用,也不能直接认定适用于 Gemini Developer API。

可比证据

分别核查训练授权、滥用监测日志、应用状态、特定功能产生的存储,以及发往外部工具的副本。它们的用途和数据类别不同,不能用一张留存时长排行榜概括。

审查责任归属

采购收集条款,工程团队展示实际生效的配置,安全与隐私负责人审查最终数据路径。供应商页面无法证明某个客户已经具备相关资格、获得例外或采用特定配置。

验收决定

记录允许处理的数据、必需控制、删除责任和未解决条件。必要配置或批准尚未核实,就先不把对应工作流纳入验收范围,直到责任人补齐依据。

核查要点

先确定具体服务
再检查适用例外

OpenAI 表示,除非客户明确选择共享数据,否则 API 数据不用于训练或改进其模型。另一方面,默认的滥用监测日志可能包含提示词、回答及衍生元数据,通常最多保留 30 天,页面另列法律要求和防止损害等例外。Modified Abuse Monitoring 与 Zero Data Retention 均需事先批准并满足额外要求。获批控制可在组织和项目层面配置;项目可以继承组织设置、选择控制方式,也可以关闭这些控制。Zero Data Retention 会让 /v1/responses 和 /v1/chat/completions 的 store 强制按 false 处理,但不会让所有端点与功能都不再保存应用状态。页面还说明,面向特定客户的 Private Retention with Private Safety Processing 与 Safety Retention 安排可能改变原本理解的保护边界,并要求事先书面通知。

所选 Google 页面说明,在 Gemini Enterprise Agent Platform 上,使用客户数据训练或微调托管模型需要事先获得许可或指示。MaaS 的数据留存条件则是另一回事。是否为滥用监测记录提示词,取决于客户适用的条款;适用时可以申请例外。某些 Advanced AI 模型或功能还可能要求额外记录,从而无法实现零数据留存。这些说明都不能证明当前买方的合同内容或例外申请状态。不要将这套 Cloud 平台条款套到消费级 Gemini,也不要默认它适用于 Gemini Developer API 部署。

核查要点

沿着文档流向
逐项检查已启用功能

以拟议的保单文档比较任务为例,应分别标出上传文件、提取段落、生成回答和已保存对话的去向。按 OpenAI 文档所述的默认行为或 store=true 设置,/v1/responses 通常会将应用状态至少保存 30 天;其他功能另有生命周期。文件需要主动删除或设置到期时间。后台轮询、音频、容器和提示词缓存也要分别核查。图像与文件输入还存在疑似儿童性虐待材料的留存例外,即使启用了限制留存的控制也不例外。在所选 Google 平台上,Interactions API 的 store 默认为 true;页面要求希望实现零数据留存的客户明确设置 store=false。请求与响应日志默认关闭,但按模型和项目启用后,可将内容写入指定的 BigQuery 表。Grounding with Google Search 会将规定的衍生查询和上下文保留最多三天,使用该功能时无法关闭这部分存储;Maps grounding 会将规定内容保留 30 天。使用 Deep Research agent 时,无法关闭其会话存储。Live 会话恢复和隐式缓存还会引入其他条件。受支持的隐式缓存可能同时使用内存与持久存储,最长保留 24 小时;仅关闭持久缓存,内存缓存仍会运行。这些时长对应不同的数据路径,不是供应商优劣排名。

买方的数据留存审查顺序

  1. 确定范围
  2. 梳理副本
  3. 核查证据
  4. 保留待办
  5. 记录决定

写明服务、端点、条款和拟议任务。

区分日志、应用状态、缓存和外部接收方。

检查生效配置、适用资格和功能例外。

为每项未核实的留存条件指定责任人。

接受有边界的任务、重新设计,或暂缓决定。

这是审查顺序,不是数据处理流水线,也不提供安全保证。条件未解决时,可以退回前面的步骤。
核查要点

核查每份副本
明确各自责任人

一个端点参数不能说明整个助手的数据处理方式。OpenAI 明确指出,远程 MCP 服务器及其他第三方网络目的地适用各自的留存政策。应询问实施团队:文档文字是否会到达这些目的地?同时另行盘点应用日志、导出文件、搜索索引和备份。这些是审查问题,不是断言所有部署都会产生全部副本。对每个实际接收方,记录收到的数据、访问权限负责人、留存规则和删除机制。核查 Google 缓存时,还要区分选定的区域或多区域端点与全球端点;页面描述了不同的存储与处理位置行为。收集配置证据时,不要把机密业务内容放入审查材料。证据缺失意味着条件尚未核实,不意味着副本不存在。

核查要点

验收有边界的用途
而不是一句隐私承诺

为拟议的文档任务建立一份验收记录:具体服务与端点、适用条款、已确认的留存控制资格、组织和项目实际生效的配置、已启用功能、外部接收方及删除责任人。使用非机密测试材料检查预期请求路径和可用的删除行为;请求成功并不能证明后台所有留存属性。区分供应商证据已经证明的内容,以及仍需书面澄清的问题。如果必需功能与组织的存储政策冲突,就移除该功能、重新设计任务,或暂缓验收。本地部署的替代方案同样需要审查访问权限、日志、备份与连接;部署位置本身不会带来风险免疫。端点、功能或条款变化后,应重新审查这份记录。

来源

阅读一手文档
保留原有适用范围

本文是基于所列两份技术文档的常青采购分析,不是新公告或新事件报道。这里未确认原始发布日期,也未验证任何客户的配置、资格或合同结果。审查顺序用于支持人的判断,不构成法律意见、合规保证,也不是自动确保安全的数据处理流程。

让 AI 真正帮上忙,
从您的实际工作开始。

请描述团队反复处理的任务,不要提供机密文件。我们会演示 Matrix 如何处理相似工作。

预约演示
下载

安全说明

请提供收件信息。