最后审阅： 2026 年 10 月 24 日
本中文版本仅供参考。如与英文版本存在任何不一致，以英文版本为准。
本页概述 ModelRiver 如何保护你的数据。合同层面的承诺见我们的数据处理协议和子处理者。如需填写安全问卷或有任何问题，请发送邮件至 [email protected]。
基础设施
- ModelRiver 运行在美国（us-east-1）的 Amazon Web Services 上，使用托管的 PostgreSQL 数据库（Amazon RDS）。
- 所有网页和 API 流量都经过 Cloudflare，在请求到达我们的服务器之前提供 TLS、DDoS 防护和过滤。
- 数据库凭证保存在 AWS Secrets Manager 中，而不是代码里。
加密
- 传输中： 所有连接都使用 HTTPS，普通 HTTP 会被重定向。应用到数据库的连接使用 TLS，并验证数据库的证书和主机名。
- 供应商 API Key： 你为 OpenAI、Anthropic 等供应商添加的密钥在我们的数据库中使用 AES-256-GCM 加密，保存后不会再次显示。
- ModelRiver API Key： 我们只存储 SHA-256 哈希值。完整密钥只在创建时显示一次。
- 密码： 使用 bcrypt 哈希。双重验证密钥静态加密存储。
访问控制
- 双重验证（身份验证器应用，TOTP）对所有账户可用，包括通过 Google 或 GitHub 登录的账户。
- 角色： 组织包含所有者、管理员、编辑者和查看者。只有所有者可以管理账单和成员；查看者无法进行任何更改。
- 租户隔离： 每个项目、工作流、密钥和日志都属于一个组织和项目，每个请求在读取或更改任何数据之前，都会根据调用方的组织和项目进行校验。
- Web 控制台防护： 会话使用安全的 SameSite Cookie，所有更改状态的请求都需要 CSRF 令牌。
应用安全
- 按项目和客户端 IP 的速率限制，限额由套餐决定。
- 出站请求防护： 发往你配置的地址（自定义供应商、Webhook、回调）的请求不能访问私有或内部网络地址。
- 签名的 Webhook： 每个 Webhook 都带有基于载荷和时间戳的 HMAC-SHA256 签名，你的服务器可以验证它来自 ModelRiver。
- 支付由 Stripe Checkout 处理，银行卡信息不会到达我们的服务器。
- 护栏： 可以在提示词到达供应商之前检查有害内容，可按项目配置。
你的数据
- 由你控制日志内容： 每个项目都可以关闭保存完整的请求和响应文本。
- 保留： 请求日志会在你的套餐保留期后删除（免费版 30 天、Pro 60 天、Scale 90 天、定制套餐 180 天）。不包含提示词或响应内容的每日和每月用量汇总会被保留，因此你仍能查看历史用量。
- 删除： 应你的请求，我们会在 30 天内删除你的账户及其数据。请用账户邮箱发送邮件至 [email protected]。
- 不用于训练： 我们不会使用你的请求或响应训练 AI 模型。
可靠性
- 状态页面： 实时服务状态和可用性历史见 status.modelriver.com。
- 可用性目标： 付费套餐每月 99.9%。
- 备份： 数据库每天备份，每次备份写入后都会检查，并定期测试恢复。
- 部署通过脚本完成，如果新版本未通过健康检查，会自动切换回上一个版本。
- 错误监控会就崩溃和失败的任务向我们发出提醒。客户数据会在报告离开我们的服务器前被移除。
事件响应
如果我们发现影响你个人数据的安全事件，会在不无故拖延、最迟 72 小时内通知受影响组织的所有者，说明我们已知的情况以及正在采取的措施。服务事件会发布在我们的状态页面上。
报告漏洞
如果你认为发现了安全问题，请将详细信息和复现步骤发送至 [email protected]。请在公开之前给我们合理的修复时间。对于避免访问其他客户数据、且不干扰服务的善意研究，我们不会采取法律行动。
合规
- 数据处理： 我们的数据处理协议涵盖 GDPR、英国 GDPR 和 CCPA 的要求，包括用于国际数据传输的标准合同条款。
- 认证： 我们目前尚未取得 SOC 2 或 ISO 27001 认证。我们乐意回答安全问卷，并为你的团队讲解我们的控制措施。
最后更新：2026 年 10 月 24 日