横跨 Intelligence 矩阵的零数据策略。

Intelligence 矩阵中的每项操作均在 零数据策略 下运行。除对客户数据无训练之外，租户内部署还会将系统处理的每一项信息保留在您自己的账户内。数据驻留于您的基础设施中。LLM 合作伙伴和语音合作伙伴在调用结束后丢弃数据。在该配置下不存在 Nexa 端副本。

该策略按照客户所询问框架背后的控制要求构建，例如 HIPAA、SOC 2、Loi 25 Quebec 和 GDPR。由于平台运行在您自己已审计的基础设施内，这些控制适用于您已认证的底层。本页面介绍每一层的策略含义、各合作伙伴接触的内容以及保留的内容。

每个方案均在 Anthropic 无训练合同下运行。客户内容不进入 Anthropic 的模型训练数据。合同在数据流通之前签署。约束存在于签署文件中，而非设置复选框里。

Enterprise 方案还额外执行 Anthropic 零留存策略。发送至模型的客户内容在请求结束后不在 Anthropic 基础设施上保留。模型接收 prompt、返回响应，请求和响应不在 Anthropic 基础设施上保留。

每次调用 Anthropic 接触的内容：已渲染的系统 prompt（管道版本锁定模板）以及丰富化节点被要求处理的文字记录片段。这些片段已经过客户掌控的代理处理，该代理在租户内部剥离被列入黑名单的实体，因此模型处理的是已清理的文字记录而非原始内容。Anthropic 看不到原始录音，也看不到剥离前的文字记录。

语音在每个方案和每个层级上均在 ElevenLabs 无留存安排下运行。在零留存模式下，受访者原始音频在通话结束后不在 ElevenLabs 留存：提供商删除其副本，事后读取将一无所获。不对客户语音内容进行训练。

每次调用 ElevenLabs 接触的内容：实时访谈期间来自受访者的音频流，以及重新生成匿名音频记录的处理过程中的已清理文字记录。是否在客户端保留录音按每次部署设定。对于政策禁止留存语音的客户，音频会被配置为永远不会到达存储，因此通话结束后不存在任何受访者声纹。

数据湖保存已清理的文字记录和重新生成的音频记录。它存储于您账户上的对象存储中：Cloudflare 上为 R2，AWS 上为 S3，本地为 MinIO，Azure 则通过 S3 兼容端点接入。静态加密使用平台提供商默认的 AES-256。在租户内部署中，不存在任何由 Nexa 控制的环境中的副本。

数据湖是仅追加的，平台不删除过往条目。当受访者撤回同意时，平台会写入墓碑，阻止对该对话的下游访问；传播机制详见 受访者主权。同意采集和撤回流程接入客户自己的访谈集成，并按其要求进行配置。

丰富化事实存储保存从语料库中提取的类型化情报：痛点、机会评分、品牌感知维度、竞争对手提及、培训差距。每行通过片段标识符指向来源文字记录片段。存储位于您的账户上，采用 Postgres 或等效的云原生数据库。

事实存储是平台生产的制品，它属于您。我们依据合同对其进行运营操作；我们不从中导出行；我们不对其进行训练；我们不跨客户聚合。

同一数据最小化设计在采集层无需专门合规工作的情况下即可在 HIPAA 级配置中运行。对于 HIPAA 部署，运营边界是业务伙伴协议（Business Associate Agreement）；架构不变。

对于 SOC 2 Type II，仅追加审计轨迹、密钥规范和故障关闭检查清单提供了审计员所寻找的证据。操作员操作记录在您的账户中，由您的安全团队掌控访问权限。

对于 Loi 25 Quebec 部署，存储和计算可以部署到所选云供应商的加拿大区域。访谈开始时的同意流程、撤回时的墓碑机制以及受访者端的透明度记录均按每次部署进行配置，以覆盖实质性义务。

对于 GDPR 部署，存储和计算可以部署到欧盟区域。数据主体访问路径使用片段标识符溯源链定位从给定对话衍生的每项事实，并在客户提供假名连接键时按受访者分组。删除权使用与处理同意撤回相同的墓碑机制。

我们保留的内容：平台本身的运营遥测数据，包括 worker 健康指标、队列深度、错误率和聚合成本数字。这些均不包含客户内容；它们描述平台的行为，我们据此调整部署参数。

我们不保留的内容：客户文字记录、受访者音频、事实行、仪表板查询、应用于您语料库的方法论校准。所有这些均存放于您的账户中。我们依据合同访问它们以运营平台，不导出它们。

DPA、最新子处理商列表和安全调查问卷可通过 联系我们 获取。