数据保留与隐私
查询内容的留存口径（脱敏调用信息哈希用于对账复核）、客户数据不用于模型训练的承诺、数据按客户隔离、数据不出境、删除与数据导出机制，以及与安全防护页的分工
本页说明平台如何对待您的查询内容与相关数据：哪些信息会被留存、以何种形态留存、是否用于模型训练、数据是否出境，以及删除与退出时数据如何处置。具体留存时长、范围与处置时限等细节，以服务协议为准；本页讲清机制与口径。
本页与安全防护的分工。 本页管数据的生命周期——留存什么、留多久、用不用于训练、如何删除与退出；安全防护 管单次请求处理时的防护——注入防护、敏感信息脱敏、应拒答拦截、访问控制。两页各司其职，互为补充。
1. 查询内容的留存口径
平台为支撑对账、计量复核与问题定位，会对每次调用留存必要的脱敏信息，而非请求原文：
| 留存项 | 形态 | 用途 |
|---|---|---|
| 调用信息哈希 | 脱敏哈希值，不含请求原文 | 逐条对账、去重与问题追溯（对应 用量明细 逐条记录的 call_hash） |
| 计量字段 | 各档统一计价词元数、适用单价档、该次金额 | 用量明细、月度结算单的同源核对 |
| 调用元信息 | 调用时间、所属密钥子账户、路由选定模型、护栏处置结果 | 分账、服务质量统计与安全复核 |
留存的逐条信息以脱敏形态呈现——不含请求原文，仅保留对账与复核所需的哈希与计量字段：
{
"call_id": "<调用唯一标识>",
"call_hash": "<调用信息哈希（脱敏，不含原文）>",
"timestamp": "2026-06-15 10:24:31",
"api_key_id": "<所属密钥子账户>",
"routed_model": "<本次路由选定的模型名>",
"input_tokens": 0,
"output_tokens": 0,
"charge_amount": 0
}以脱敏哈希而非原文对账。 用于对账复核的是调用信息哈希——一个不含请求原文的脱敏值。它既能支撑逐条追溯与去重，又不以可读形态保留您的查询内容。哈希字段的读法详见 用量明细 · 逐条调用记录。
留存细节以服务协议为准。 各类数据的具体留存时长、范围与到期处置方式，以服务协议为准；本页只说明留存机制与形态，不就具体时长作此处约定之外的承诺。
2. 不用于模型训练
平台对客户数据的训练用途有明确边界：
- 客户查询内容不用于训练对外通用模型。 您经平台发起的查询内容，不被用于训练面向其他客户或公开提供的模型。该承诺的具体范围与例外，以服务协议为准。
- 数据按客户隔离处理。 您的查询内容与其他客户的数据相互隔离、不跨客户共享，相关数据按隔离口径处置、不外泄至其他客户环境（详见服务协议）。
- 评测用途单列。 涉及模型评测的调用会单列标注、与计费区分；评测口径详见 模型评测说明。
承诺以服务协议为底座。 「不用于训练」的具体范围、适用对象与例外情形，均以服务协议条款为准。本页表述其机制方向，不替代服务协议的正式约定。
3. 数据不出境
平台对数据的存储与处理位置有明确约束：
- 数据不出境。 您的查询内容与相关数据在境内存储与处理，不传输至境外。
- 存储与处理均在境内完成。 您的数据在存储与处理的各个环节均满足不出境要求；相关位置与边界以服务协议为准。
- 数据出境相关的具体合规义务与边界以服务协议为准。
不出境是硬约束。 数据不出境是平台对客户的基本承诺；具体落地的存储与处理边界以服务协议为准。
4. 删除与退出机制
当您需要删除特定数据，或决定退出服务时，平台提供机制性的处置路径：
4.1 数据删除
| 场景 | 机制 |
|---|---|
| 到期自动处置 | 留存数据按服务协议约定的留存期到期后处置 |
| 主动删除请求 | 您可按服务协议约定的方式，请求删除指定范围的数据 |
4.2 退出与数据导出
退出服务时，您在平台上的留存数据按服务协议约定处置；其中属于您自身的运营数据可导出留档或用于迁移：
退出便于迁移。 上述属于您自身的运营数据可按服务协议约定导出移交，便于迁移与留档；删除与退出的具体流程、时限与交付形式以服务协议为准。
5. 与其他页面的分工
本页所述留存时长、训练用途边界、删除时限与退出交付等具体口径不在文档中固化，以服务协议为准；本页只说明数据生命周期的机制与方向。