信任与安全

这一页讲的是我们怎么证明自己可以被信任。

国内做这行的，几乎没有一家把驻场权限和退出机制写清楚。我们写，因为这是客户最大的顾虑——“把系统交给你，我怎么知道你不会乱看、不会锁死我？”

一、三条原则

原则一：最小权限

只给完成当前任务必需的权限，不多给一分。能用脱敏数据的，就不给原始数据；能只读的，就不给写权限。

原则二：可审计

所有操作留日志，你随时可以查。代码变更走你的内部审批流程，不是我们想改就改。

原则三：可回收

项目结束或合作终止，权限逐项回收、数据销毁、出具书面确认。不是"我们保证不用"，是"你确认我们已经没有了"。

二、驻场权限清单

下表列出每个阶段我们会申请什么权限。每一行都需要你方书面确认，且只在阶段内有效。

P0 场景诊断阶段

P1 原型验证阶段

P2 场景交付阶段

P3 托管运营阶段

P4 能力转移阶段

三、数据边界

3.1 环境隔离

3.2 敏感字段分级

3.3 数据存放

⚠️ 关于大模型 API：如果使用公有云模型服务，输入的内容会经过第三方。我们会明确告诉你哪些数据会出网、对方是否用于训练。如果你不能接受，我们改用私有化部署的模型（成本会高一些，但数据不出内网）。

四、代码与资产归属

关于通用组件：我们会把重复使用的技术能力（如数据同步框架、权限模块）做成通用组件。这些组件归我们，但你获得永久、免费、可修改的使用权。区别在于：你不能把这些组件单独卖给第三方。

五、离场清单

项目结束（正常交付完成或合作终止），我们按这张表逐项执行，每一项都要你方签字确认。

第 9 项最关键：我们会陪你的人独立部署一次。如果部署不起来，说明交接没完成，我们不走。

六、你怎么监督我们

七、我们明确承诺不做的事

八、如果你还是不放心

三个建议：

1. 先做 P0 诊断。诊断阶段不接触任何系统，零风险，你可以先看看我们怎么做事。
2. 从 P1 开始。原型阶段只用脱敏样本，不碰生产。
3. 签 NDA 和数据处理协议。我们有标准模板，也可以按你的法务要求改。

信任不是靠承诺建立的，是靠一次次可验证的动作建立的。 这一页写的是我们的动作，你可以逐条验证。