隐私是您可以审计的架构：数据存储的地方、什么会离开以及删除证明了什么

主权不是政策承诺：它是您可以审计的架构决策的后果。本页是这些决策的列表，按审计人员检查的顺序排列，它结束于每个隐私页面应该开始的地方：您可以验证什么，而无需接受我们的说法。

审计模式：您可以验证的主权

SazAI的平台表保存结构、测量、关系和脉络。它们不保存您文档的内容。原始文本存放在您组织自己的模式中。应用程序只能通过您组织自己的数据库角色访问它，并且数据库本身按所有者过滤每一行。只要文档存在，文本就留在那里，永远不会进入平台表。

这不是内部政策，这是设计的属性，它可以用最直接的方式验证：阅读平台表的定义，并查找会保存您文档文本的列。 它不存在。平台表保存的是作为结构的名称：文件名（包括其输出的名称，以及您为自己撰写的文档所起的名称）；工作簿的工作表名称，因为公式会引用它们；以及您为词汇表和密钥设置的标签。如果您可以审计模式，就不需要信任隐私页面，这是我们最喜欢提供的证明，因为它不经过我们。

实际后果对任何在LGPD下工作的人都很重要：平台使用情况的汇总分析在不暴露内容的情况下进行，因为内容不在那里。企业词汇表存放在您组织自己的模式中，因为术语是资产，其他组织的角色都无法读取它。

什么会离开您的控制区

在您自己的基础设施上安装的SazAI中，整个系统在其中运行，唯一的外部处理目标是您选择并契约的语言模型，它可以坐在您自己的区内。该应用程序不在运行时获取第三方库，不从外部服务器加载字体，不依赖于任何其他人的云来运行。每个外部运行时依赖都是您的流量片段、或其存在的信息会离开您的网络的地方；没有这些依赖的系统不需要承诺不会通过它们泄漏。

两个边界是声明的一部分，而不是它的脚注。

第一个是身份。联邦登录今天通过云身份提供商。对于使用该登录的安装，除了模型之外，还存在第二个外部目标，上面的句子在字面上只在两种情况下成立：API密钥认证，或身份提供商坐在您的区内。将提供商引入区内是在平台路线图上声明的方向，不是今天交付的东西。

第二个是运行和构建之间的区别。在运行时，系统是封闭的。构建镜像下载依赖，就像本世纪构建的任何软件一样。混合这两个问题会在审计人员首次打开构建文件时将真实声明变成技术谎言。

核心不知道您是谁

读取和写入文档的引擎对身份验证、计费和权限是盲目的：它接收已验证的标识符并执行。决定您能看到什么的是上面的一个层，在每个操作上都要跨越。权限失败不能通过引擎内的内部路径变成组织之间的泄漏，因为引擎不知道另一个组织存在。

客户端之间的隔离不是假定的：它通过主动尝试跨越边界的探针进行测试，包括在生产中，结果被记录。文件保留在您组织的空间内，按租户和用户分离，每个操作上都验证访问。用户之间的共享存在并是显式的：共享的保险库是只读的，源在屏幕上标识。

删除作为记录，而不是遗忘

当您删除文档时，敏感字段在记录本身中被擦除，不是标记为隐藏，删除被记录为序列中的事件。文档在每个显示内容的界面上都不再存在，历史记录会保留它的名称，并标记为已撤回；派生内容与原始文件一起处理，而不是变成孤儿。系统不会擦除它擦除的记忆，这就是使之后可能证明删除发生以及何时发生的原因。

用一种形式说出来，因为它是整个模型的一行：删除会擦除工作部分，在永久部分留下墓碑。 存活的是一条没有内容的记录：一个标识符、日期、组织、文档的名称以及对它所做的操作，并标记为已撤回。它不是您文档的保留副本，它是删除它的证明。这就是产生了买家可以在模式中检查的句子的原因：我们知道您的文档经过的地方以及对它所做的事情，我们不知道它说了什么。

今天的范围有一个限制，明确说明：在删除前制作的备份副本仍然包含内容，保留期最多为七天，从其中一个进行灾难恢复将重新引入已删除的内容。关闭它的机制已定义，因为恢复可以重放该副本日期后记录的删除，它还没有构建。在它构建和测量之前，本页不会说删除到达备份副本。

您可以在保险库的菜单中自行一次性删除所有内容并停用帐户，范围与上文所述相同。这个名称就是正确的名称。它会抹除您的内容，并从 SazAI 的记录中抹除您的姓名和电子邮件地址，然后停用该帐户；留下的记录中没有任何内容、姓名或电子邮件：一个帐户曾经存在及其时间、这次抹除已经发生，以及一份不附带姓名的帐户活动记录，例如文件类型、语言、数量、执行的操作和日期，我们保留这些记录用于计费和审计。这会关闭您的帐户，而不是您的组织：如果您是组织的最后一名成员，该组织会保留下来，其中不含您的任何内容，直到它被另行关闭。

可移植性：什么与您一起离开

您的文件一直是您的，把它们交回去不是任何人都应该要求的。重要的是在它们之上构建的东西：组织、原始文件和导数之间的关系、测量、历史。这些知识体现为普通文本文件的保险库，相互链接：可从外部查询、按请求导出，并在这里之外起作用，在普通笔记工具中、在您自己的计算机或您自己的服务器上。

同一知识可通过编程界面和AI代理用于连接工具的协议访问，因此您自己的代理可以查询保险库，而无需通过我们的界面。仅在其内部有用的产品通过依赖关系持有您；这个倾向于通过价值持有您。

在您发现之前有两件事要说：语言切换属于我们的显示层，因此您将保险库带走的语言是它被编写的语言；可移植性还没有已发布的演示，任何人都可以在不与我们交谈的情况下重现。在那之前，这是尽职调查的对话：在评估中要求导出，在您自己的工具中打开结果，并用您自己的双手验证它。

由我们声明的边界

翻译和检查需要将文本发送到语言模型，另一端发生的事情取决于契约提供商，不是我们的架构。提供商的保留制度是与他们的契约问题，隐私区的正确答案是契约，不是我们的句子。在您自己的安装中，提供商是您的选择。

您连接到SazAI的AI助手（例如ChatGPT或Claude）在请求时，也可以显示您的文档中记录的参与者姓名及设备名称：

• 创建每个文件的人、最后保存文件的人、文件中列出的经理和公司，以及PDF的作者；
• 在Word文档中进行每处修订的人，在Word、Excel或PowerPoint文件中撰写每条批注的人，以及在PDF中撰写每条注释的人；
• 签署PDF的人，以及签名中给出的联系方式；
• Word、Excel或PowerPoint文件列为共同作者的人，以及文件为每人记录的账户，例如电子邮件地址；
• Word、Excel或PowerPoint文件中列出的打印机，以及PDF编辑历史中每个步骤列出的软件；
• 添加到文件中的任何自定义属性的值，因为其中可能包含姓名。

此功能已开启。当助手检索其中任何一项时，无论其回答是否重复，它都会被发送给该助手。这些是文件声明的内容，而不是任何人核实过的身份。本段落尚待法律审核。

这个页面故意不声明的内容：我们没有针对任何标准获得认证，我们的决策和记录历史充当控制证据，而我们没有声称它关闭您行业中的特定形式要求。带上要求，答案按项目、按情况出现。每次交付的凭证以及它结束的地方，在信任中。

我们在公共页面上测量什么

公共网站（sazai.app和ui.sazai.app）使用谷歌分析4来理解哪些页面被访问、哪些区域吸引兴趣、访问者来自哪里：页面浏览量、产品部分的点击、语言和设备类型。测量默认关闭，仅在您接受同意通知后激活。所有请求通过我们自己的域流动；IP地址被匿名化；我们不使用广告功能或跨网站跟踪。

如果您拒绝，或只是忽略通知，就不会测量任何内容。页面的工作方式完全相同。

我们在保险库中从不做什么

已验证的产品，您的保险库，携带零分析。没有跟踪脚本，没有信号，没有第三方请求。仅有的存在的cookie是保持您登录状态的会话cookie。在 sazai.app 上，产品使用由我们自己的内部计量统计，存在于计费和容量的原因：它记录操作，永远不是内容，永远不会离开我们的基础设施。

您的帐户和身份

登录通过我们的身份提供商（Zitadel），可选地通过您组织的Microsoft帐户。我们保持最少：您的名字、电子邮件和您的邀请绑定您的租户。对保险库的访问仅通过邀请授予。

Cookie

没有广告cookie。没有跨网站标识符。

基础设施

SazAI在Amazon Web Services（美国）上运行。所有流量在传输中被加密；租户工作区彼此隔离。对于需要它的组织，SazAI也作为客户端自己基础设施上的专用、自包含安装提供，具有本页顶部描述的属性。

您在LGPD下的权利

Lei Geral de Proteção de Dados（法律13.709/2018）赋予您访问、更正、删除我们保有的关于您的数据、以可移植形式接收数据，以及随时撤销同意的权利。撤销测量同意是立即的：在任何公共页面上拒绝。对于其他任何事情，请写信至联系。

隐私请求：ask@sazai.app。 最后更新：2026-10-16。