隐私与零数据保留
System One 托管 API 如何处理请求数据、保留与隐私（最终措辞以 Legal 为准）。
本页介绍 System One 托管 API 和 Playground 的数据处理。通过开源 SDK 连接其他服务时，适用该服务的数据规则；除非显式配置连接到本站 API，否则请求不会经过本站。
常见问题
Q: System One API 是否提供零数据保留？
A: 以本页现行保留政策为准；在 Legal/Product 批准文案之外不得编造保留承诺。
提交请求后会发生什么？
System One 会使用你提交的上下文、附加图片、说明、选项和评分标准，由所选模型生成答案。提交内容（包括图片字节）会发送给模型服务并由其处理。 请仅提交你有权为此目的分享的信息。
本文不承诺模型服务零保留、不承诺内容绝不用于训练，也不承诺所有处理都发生在某个特定地区。如果你的组织需要特定的隐私或合同承诺，请在提交相关信息前联系 support@system-one.dev。
当前模型选项和限制见选择模型。
只提交判断所需的信息
- 除非判断确实需要，否则移除姓名、邮箱地址、账号等标识信息。
- 尽量使用相关的简短片段，而不是完整的客户历史记录。
- 不要在上下文或问题中放入密码、登录验证码、API 密钥或银行卡信息。
- 学习使用 Playground时，优先使用虚构或匿名化示例。
- 将生成的答案也视为可能敏感的内容，因为答案可能重复你的输入。
- 附加图片前先检查并遮盖敏感内容：截图和收据可能泄露身份信息、凭据、人脸或支付详情。Base64 是编码，不是加密或匿名化。
移除一个标识不一定让文档变得匿名。请考虑剩余细节是否仍能识别某个人，或泄露保密信息。
哪些记录会保留？
| 信息 | 处理方式 |
|---|---|
| 上下文、图片、说明、标准及其他提交内容 | 用于回答问题，不会在 System One 的决策记录中作为独立提示字段或图片上传持久保存，但提供方可能将内容（包括图片数据）回显到响应中，进而进入重放缓存。 |
| 请求元数据 | 包括请求 ID、关联账户和 API 密钥、请求哈希、模型、问题数、状态、积分、时间信息、错误分类及可选用量统计。决策记录保留策略为 90 天。 |
| 启用请求恢复的成功答案 | 为重放保留成功响应文本、状态及允许的响应头，从请求创建起保留 24 小时。可能包含敏感输出、重复的输入和其他响应信息，而不仅是选中的答案。 |
| 未启用请求恢复的成功答案 | 返回给你，但不为重放保留答案。这不意味着其他环节完全没有处理或保留。 |
| API 凭据 | 保存哈希与识别前缀，用于认证和管理。完整密钥仅在创建时显示，之后无法从密钥列表取回。 |
| 账户、购买和积分交易记录 | 与决策记录分别处理。至少保留 90 天原始在线积分流水，更早且已结束的 System One 消费／退款可经校验迁移至私有归档存储，余额和历史累计指标不变。其他积分类型继续在线。决策记录策略不会自动删除这些记录。 |
请求恢复使用 幂等键（idempotency key），即供 API 连接恢复同一次请求结果的标识。Playground 运行也使用此机制，因此成功的 Playground 响应同样适用 24 小时重放保留期。这不代表 Playground 提供重新打开历史答案的按钮。可选的 API 用法见请求恢复。
不要在请求标识或密钥名称中放入秘密信息。为重放保留的是整个成功响应，其中可能包含你未预期会被重复的信息。
保留期限与控制台历史
24 小时重放期从请求创建时开始，而不是从最近一次查看或恢复答案时开始。已完成结算的请求元数据适用 90 天保留策略。移除通过定期清理进行，因此这些期限不是精确到秒的删除保证，也不代表模型服务或备份中的副本会在同一时间删除。尚未解决的请求可能保留到状态和计费确定后。
控制台显示你账户最近 30 个 UTC 日的活动，以及该范围内最新 50 次请求。某条记录从近期视图消失，不代表其保留期已经结束。此视图也不是所有答案的完整存档。
积分归档与决策元数据分别处理。每个私有 NDJSON 文件仅包含一个账户的原始账本行，包括余额、请求／模型关联和时间戳。账户本人和授权管理员通过认证且禁止缓存的接口下载校验后的记录。文件不公开，没有自动到期规则；财务保留、备份与合法删除单独管理。删除账户会移除其归档列表，但不会自动擦除已存储的归档文件。如需删除归档，请联系支持，不要假定它会随账户删除。
你复制、下载、通过邮件发送或保存到其他应用的信息，由相应应用处理，不受这里的重放期限约束。
浏览器本地公告偏好
打开首页新功能公告时，会在当前浏览器的 localStorage 按公告 ID 保存已读标记，并隐藏该公告入口；之后再次访问或切换语言也不再显示，已打开的弹窗仍可继续阅读直到关闭。标记不包含账户、API 密钥、提示或图片数据，也不发送给服务端；新公告 ID 独立处理。清除站点存储会移除标记；存储不可用时，后续访问可能再次显示公告。
保护账户与连接
不要分享邮箱登录验证码。如果使用 API 连接，请在自己的账户控制台创建密钥，并将其保存在可信、私密的连接设置中，而不是公开文档、共享截图、模型提示词或浏览器页面源码里。
如果密钥泄露或不再需要，请在控制台撤销；需要替换连接时使用新密钥。撤销可以阻止该密钥继续使用，但不会撤回已经提交的内容，也不会删除历史记录。
向同事或支持人员分享错误和结果前，先检查其中是否含有敏感文字。不要假定所有敏感值都会被自动移除。尽可能提供请求 ID、大致时间和简短问题描述，而不是完整客户对话。
隐私问题
如果对敏感信息提交、保留期限或账户记录有疑问，请联系 support@system-one.dev。不要随问题发送凭据或不必要的个人数据。