受访者对所说内容始终保有控制权。

参与访谈的员工在对话开始前即了解将发生的事情。他们在录音开始前表示同意或拒绝。他们要求屏蔽的任何内容都会在屏蔽阶段进行处理。如果他们在访谈后撤回同意，从其对话中衍生的每项事实都将通过墓碑机制从 Intelligence Layer 中撤除。

本页面描述开始时的同意流程、您管理的可扩展屏蔽列表、撤回路径，以及撤回如何在衍生事实中传播。

访谈代理在开始每次对话时向受访者描述四件事：将采集的内容（音频加结构化文字记录）、输出将如何丰富化（关于品牌感知、痛点、机会的类型化声明）、丰富化输出将到达的端点（您的仪表板、品牌合作伙伴 API、代理数据流），以及受访者的权利（撤回、屏蔽请求、透明度记录）。

受访者以口头方式确认。确认内容记录在附加于对话的同意记录中。如果受访者拒绝，录音不会开始，也不会写入数据湖条目。

同意脚本已公开发布。您的法律团队可在任何部署前进行审查。脚本可适配您的司法管辖区（Loi 25 Quebec、GDPR、HIPAA 知情同意变体），而无需修改底层流程。

屏蔽阶段在任何丰富化调用运行之前从原始文字记录中剥离姓名、人员标识符和指代。默认列表涵盖受访者姓名和常见标识符模式。在默认项之外，屏蔽列表 由您扩展。任何不应出现在文字记录中的业务特定内容，您都可以添加到列表中。

常见扩展项：客户账号、内部项目代码、可通过角色描述识别的内部人员姓名、与保密协议挂钩的供应商名称、受访者可能提及的竞争对手高管姓名。列表在操作员控制台中编辑，更改在下次对话时生效。

屏蔽列表有版本控制。在列表版本 4 下丰富化的对话会在元数据中携带对该版本的引用，以便审计可以确定处理时屏蔽了哪些内容。

撤回同意的受访者联系操作员（或在某些部署中，使用访谈后电子邮件中包含的自助链接）。撤回操作在数据湖索引中针对对话标识符写入墓碑事件。墓碑携带撤回时间戳和请求的范围（整个对话、特定主题或特定引用）。

墓碑立即在读取侧生效。查询 worker 在从受影响对话中提供任何数据之前会检查墓碑标志。事实存储中该对话的实体行在下次丰富化刷新时被标记为在墓碑时间戳处失效。在墓碑之前运行的聚合将在下次完整刷新周期中重新计算。

语料库中的每条事实行携带形如 transcript_id / turn_id / sentence_id 的片段标识符，指向来源句子。片段标识符是传播句柄。

当墓碑被写入时，语料库索引器找到每条片段标识符解析到已墓碑化对话的事实，并将其标记为 invalid_at = tombstone_ts。bi-temporal 查询路径过滤有效窗口包含查询时间的事实，因此已墓碑化的事实停止被返回。它们不会被删除；审计轨迹保留其存在和墓碑状态。

对于墓碑之前已计算的聚合，下次刷新时的重新计算将排除已墓碑化的事实。墓碑前的聚合为审计目的而保留，并附有触发其替换的墓碑事件的引用。

墓碑事件是永久性的。每条片段标识符解析到已墓碑化对话的事实均携带其墓碑引用。「向我显示从受访者 X 的对话中衍生的每条情报，并确认其中没有任何内容当前在仪表板上提供服务」这样的查询可通过墓碑引用和 bi-temporal 有效窗口来回答。

对于要求证明符合删除权请求合规性的监管机构，审计轨迹即为证明。受访者会收到一份确认，列出从其对话中衍生的每项事实以及每项事实停止被提供服务的时间戳。

已在发布报告中共享的聚合无法从报告中撤回；我们能做的是将受访者的贡献排除在下一个聚合之外，并修改报告的底层数据集。墓碑对语料库具有追溯效力，但无法重写上个季度离开平台的 PDF。

大型语料库中单个受访者产生的统计制品通常低于实际重新识别的阈值。墓碑仍然适用。语料库操作员可以决定是重新计算聚合，还是以脚注引用墓碑的方式保留原有聚合。