安全与数据保护

1. 不存储对话内容

我们的数据库只记录计费 metadata（路由到的模型、token 数、延迟、时间戳）；逐笔成本并不存储，账务金额是事后用这些 token 数换算。完全没有任何存储 prompt 或回复内容的字段。请求内容不会写入服务器日志，回复完成后即从内存释放、不落地保存。

2. 绝不用于模型训练

你的内容只用来生成你要的回复，绝不会被 TokenTable 用于训练或微调任何模型，也不会作为训练数据外流给第三方。

3. 机密模式（内容只进选定模型）

一般情况下，TokenTable 可能对少量流量做质量抽样、或将超长对话交给内部模型摘要压缩——两者都不落地存储，但会让内容短暂经过「负责本次回复以外」的模型。开启机密模式后，这两条路径全部关闭，你的内容只会送到负责这次回复的那一个模型。可在账号层级设为默认，或于单次请求加上 X-TT-Confidential: true 标头即时启用。

4. 数据处理地区

中国／亚洲系供应商在香港节点处理；西方供应商（OpenAI／Anthropic／Google）经由新加坡出口连接。每一次回复都会以 X-TT-Processed-Region 标头标明你这次请求的处理地区（HK 或 SG），让你清楚掌握数据落地位置。

5. 传输加密与密钥

所有连接采用 TLS 1.2 以上加密。API 密钥以哈希比对、可随时撤销，每把密钥绑定单一账号并有每分钟请求上限。后台供应商密钥只存在服务器端，绝不下发到客户端、也不写入任何日志。

6. 账户隔离与访问控制

每个账号的用量、额度与密钥彼此隔离，以 user_id 严格区分。内部管理操作受 JWT 认证与管理员权限保护，敏感操作另需所有者权限。

自己验证，不必只看保证

安全不该只是 PDF 上的承诺。用你自己的 API 密钥打以下两个请求，就能即时确认上述每一条：

# 1) Self-serve attestation for your account
curl https://tokentable.asia/v1/security/attestation \
  -H "Authorization: Bearer tt-live-..."

# 2) Confirm it live on any request — read the headers
curl -i https://tokentable.asia/v1/chat/completions \
  -H "Authorization: Bearer tt-live-..." \
  -H "Content-Type: application/json" \
  -H "X-TT-Confidential: true" \
  -d '{"messages":[{"role":"user","content":"hi"}]}'

# Response headers you can verify:
#   X-TT-Data-Retention: none        (prompt & response never stored)
#   X-TT-Log-Scope: metadata-only    (model, tokens, latency only)
#   X-TT-No-Training: true           (content never used to train)
#   X-TT-Processed-Region: HK | SG
#   X-TT-Confidential-Mode: on | off

attestation 端点会返回你账号当下的数据处理方式（留存、日志范围、是否训练、处理地区、机密模式状态）；响应标头则让你在每一次真实请求上再次确认同样的事实——静态（端点）与动态（标头）两边一致。

合规文件

我们可为企业客户提供数据处理协议（DPA）、各供应商零数据留存（ZDR）承诺汇整，以及安全白皮书，供你的采购与法务审查。需要请与我们联系。