# ZDR：零数据保留的边界

请求正文、用量元数据与会话历史有不同的生命周期。评估零数据保留，需要核对完整调用链路。

Foxmu · 更新日期: 2026-10-05

## 逐层梳理数据链路

企业请求可能包含员工问题、检索片段和模型回答。接入前应梳理业务系统、网关、上游供应商、会话存储和文件索引，明确哪些数据可以离开内部系统。

为每一层记录处理主体、数据类型、存储位置、访问权限、保留期限和删除方式。缓存、备份、错误报告、排障追踪也应进入同一份评审清单，避免正文从旁路进入长期存储。

## 区分留存、训练与历史

不参与模型训练、不保存请求正文和关闭聊天历史，描述的是不同控制。需要按照实际供应商、模型、接口以及组织或项目配置分别确认，不能用一个设置代替全部约定。

`store=false` 之类请求参数不能单独构成完整留存承诺。浏览器会话、上传文件与知识索引可能独立保存；关闭上游存储并不代表这些数据自动删除，也不代表网关全链路符合零数据保留要求。

## 让排障遵守同一边界

日常观测优先保留请求标识、模型、状态、耗时和 Token 用量等必要元数据。若事故排查需要采样正文，应在采集前确定审批、脱敏、访问人员和删除时间。

备用线路、重试、标题生成和工具调用也应遵循相同策略。合规线路不可用时，应返回明确失败，而不能静默切换到另一种数据处理方式。排障工单与追踪标签同样需要检查。

## 验证完整生命周期

使用合成内容检查成功、失败、超时与重试路径，核对日志、追踪、临时存储和导出文件，然后实际执行删除与备份到期清理。保留测试条件与证据，以便配置变化后复验。

有用的交付物是数据流图、留存矩阵与可重复的验证记录。官方说明用于核对上游条件，不能单独证明 Foxmu 或业务应用已具备端到端 ZDR 保障；应以具体链路的配置和约定为准。

## 参考与接入指南

- [Foxmu 文档中心](https://foxmu.ai/docs)
- [OpenAI · 数据留存](https://developers.openai.com/api/docs/guides/your-data)
- [Anthropic · 数据留存](https://platform.claude.com/docs/en/manage-claude/api-and-data-retention)
- [AWS Bedrock · 数据留存](https://docs.aws.amazon.com/bedrock/latest/userguide/data-retention.html)