六家 MaaS 平台的
ZDR 判定

ZDR 指零数据留存，英文全称是 zero data retention。判断一次请求能否达到 ZDR，需要核查三层。厂商侧看模型提供方存不存，平台侧看云平台自己存不存，工具侧看 Cursor 这类位于客户与模型之间的工具存不存。任意一层留存，端到端 ZDR 就不成立。

评级只看标准推理调用，即 Messages、Chat Completions、generateContent 这类单次无状态请求。会话状态、Agent 产品、文件这类有状态功能，各家都会另存数据，表中单列为需要关闭或避开的项，不计入评级；短时内存缓存不算持久存储，会单独注明。

Bedrock 默认不留存。账号留存模式规定的是上限，即客户最多能接受哪类留存，而非每次请求的实际处理方式。模型如果支持零留存，无论账号采用哪种模式，请求都按零留存处理。

数据留存文档给出了明确的判断规则。首版引用的滥用检测页那句「默认不存储输入输出」已被改写，默认零留存现以这一页为出处：没有配置过的区域停在 inherit，回落到每个模型自己的默认值。

这条规则可以按模型核验，但只支持一个端点：bedrock-mantle 端点的 GET /v1/models 返回的 data_retention 包含三个字段：当前模式 mode、模式来源 source、模型允许的模式 allowed_modes。

这组数字来自 7 月实测，10 月复核时未重新测量。现行文档仍给出 mantle 端点的按模型查询示例，但 bedrock-runtime 端点和控制面都没有等价接口，文档原话是控制面 does not expose a per-model retention signal，本次未调用 mantle 端点，因此现行规则依据文档核查。

例外清单在 9 月已整体改写。OpenAI 一侧，除 4 个 gpt-oss 变体外的所有 OpenAI 模型都按同一条规则处理，首版点名的 GPT-5.4 到 GPT-5.6 之外，GPT-6 与 GPT-6.1 系列也在其中。

这批 OpenAI 模型落在 C：命中内容最长留 30 天，零留存需按账号、按模型申请，获批后 none 才会出现在 allowed_modes 里。

Claude Fable 5 与 5.1 走另一条路。2026-09-02 起 Bedrock 新增 aws_review 模式，这两个模型的生效模式必须为这一模式（或 legacy 的 provider_data_share）才能调用。全部流量在 AWS 边界内留存最长 30 天，命中的流量可能由 AWS 人工审阅。首版写的「默认强制把数据共享给 Anthropic」已经不成立，原模式 provider_data_share 被标为 legacy。

Fable 的 ZDR 资格改由 Anthropic 决定。AWS 文档写明 Claude 模型的 ZDR 资格由 Anthropic 管理，并写明符合 Enterprise Frontier Safeguards（EFS）资格的客户可获 ZDR，且有截止日。

Anthropic 自家文档也改为 Covered Models「除非经 Anthropic 明确授权」不提供 ZDR，两侧说法现在一致。

Mythos 5 与 5.1 已不出现在 AWS 的两份留存文档里，但它们的模型卡仍写要设 provider_data_share，这处尚未对齐。

模型规则之外，还存在其他留存。儿童性虐待材料（CSAM）命中后可能被留存，显式设为 none 也不例外。

Responses API 在未设 none 时 store 默认就是 true，响应会被保存供客户之后取回，要显式设为 false；none 下 store 默认为 false，且直接拒绝 store=true。这类有状态接口不计入本文评级，但未经配置仍会保存数据。首版在这里还列了 Batch API，AWS 博客已于 2026-08-13 删去相关表述，本版不再沿用。仅凭模型支持 none，无法推断整条调用链已经零留存。

Google 的评级取决于客户适用的合同，本次复核中两档均下降一级。GCMA 是企业与 Google 单独协商的主协议，自助注册适用 GCP 服务条款。受 GCMA 约束的企业客户，仍默认豁免常规滥用监控的 prompt 日志记录。

GCMA 客户从 A 降到 B，原因是默认缓存会落盘。2026-10 的文档新增了 Gemini 隐式缓存持久层的说明：支持该功能的模型默认开启。内存缓存容量用尽后，派生缓存数据写入持久存储，静态加密，写入后 24 小时内删除，不支持 CMEK。首版引用的「缓存不违反零留存」一句已从页面删除。默认状态下，派生数据可能落盘，不再符合「默认即 ZDR」。客户需按项目关闭持久缓存或全部缓存。

自助客户从 C 降到 D。走 GCP 服务条款的客户默认纳入常规滥用监控，分类器发现需进一步调查的可疑活动时可记录 prompt，最长保存 90 天。首版时滥用监控页和零数据留存页都写着可以填表申请豁免，这两处说明在 2026-09 至 10 月间被删除，发布说明未提及这一变化。Google 没有宣布取消豁免，但公开材料已无法验证自助客户达到 ZDR 的路径，因此按本文标准判 D。

合同允许豁免，也仍需核对所用功能。Grounding with Google Search 的日志最长保存 3 天，存的是与客户及最终用户去关联的查询和上下文，不含生成结果，该存储无法关闭，可以改用 Web Grounding for Enterprise。Grounding with Google Maps 则保存 30 天，且包含生成结果，文档没有列出替代方案。

同一份文档自 8 月起还新增了几项需要单独处理的功能：Interactions API 的 store 默认为 true，要显式设为 false；Deep Research agent 的会话数据保存 7 天，可以提前删除会话，但存储本身无法关闭。

10 月新增的 Google Frontier Models 类别会把 prompt 与生成结果在客户自己的环境中保存最长 30 天，Google 称这些日志对 GCMA 客户符合 ZDR 标准；按本文「不写入任何持久存储」的定义，它不算 ZDR，列入需要避开的项。

滥用监控页没有单列 Google Cyber Models。Gemini 3.8 Flash Cyber 属于这一类别，9 月以白名单方式 GA。服务专项条款第 31 节另行规定客户侧义务：为授权用户开启双因素认证，把模型部署在专用隔离项目中，并维护这些用户的 prompt 与输出日志。条款未规定日志的保存期限或存储位置。

这是客户侧义务，不是 Google 在厂商侧保存。Google 提出合理请求时，客户可以提供去标识化的日志摘录。由于数据仍然存在，而且标准推理调用也受这项义务约束，本文将这些模型列入需要避开的项。

开启 Privacy Mode 后，Cursor 不会把客户数据用于训练，并与所有模型提供方维持 ZDR 协议。Enterprise 版默认开启这一模式。

少数模型需要在厂商侧留存、不在 ZDR 协议范围内，Fable 5 与 5.1 就属于这类。开启 Privacy Mode 的账号使用这些模型前，需获得管理员批准。

未经批准的调用会被阻断，这与 Bedrock 将不符合留存模式的模型标为不可用类似。Privacy Mode 也不会消除所有处理路径：为降低延迟而产生的临时文件缓存，以及风险分类器命中后的调查留存，都需要单独核对。

首版列出的代码库索引已不在此列，Cursor 现在写明索引在本机建立，不上传文件路径或代码，也不存储代码库的向量；此前已存储的向量是否删除，公开文档没有说明。

客户获批修改后的滥用监控（modified abuse monitoring）后，平台不再执行滥用监控中的数据存储，也不再人工审阅。Azure 未公布滥用监控留存的具体天数。首版保存并引用的核心条款在复核时未变；首版快照是分节摘录，不足以证明整份文档逐字未变。

获批取消的只是滥用监控路径的存储，Responses API、Assistants 的 Threads、Stored completions 这类可选的有状态功能仍按客户配置保存消息历史，不计入评级。

限制在于申请资格。只有 managed customer 或合格项目下的客户才能申请。managed customer 指由微软客户团队直接管理的客户。另一份官方文档同时说明，目前无法成为 managed customer。

既不受客户团队管理、也不属于合格项目的自助购买客户无法申请，C 因此落回 D。这项裁定有两层限定：该句出现在修改内容过滤的语境中，滥用监控页没有复述；该页 9 月起标注只适用于 Foundry（classic）门户，新门户的准入页保留着同一身份门槛。两条申请路径使用同一个身份门槛，因此这项裁定是根据同一门槛作出的推断。

即使申请获批，也不是所有审查都会停止。在线自动审查仍可能进行，预览功能可能采用不同的隐私和滥用监控做法。系统发现可能表明严重或反复滥用的内容时，还可能要求客户同意重新开启带人工审阅的监控。

Claude 在 Foundry 上走的是另一套规则。预览中的 Fable 与 Mythos 只提供 Anthropic 托管这一种方式，数据可能在 Azure 之外处理。订阅如果已开 ZDR，而所调用的 Covered Model 仍要求留存（未获相应的过渡 ZDR 授权），调用会直接报错，微软文档写明这项设置由 Anthropic 独立管理，微软无法代为更改。文档另说明，新订阅默认开启留存。

首版时 Model Studio 落在 D，因为国际站条款和产品文档都没有公布平台侧默认留存窗口，也没有零留存产品承诺。页面标注 2026-10-27 的数据留存政策把这两项都补上了，首版审计时没有找到这份政策。

获批后，prompt 与 response 不写入持久存储，推理完成即删除，只经过默认不超过 24 小时的加密缓存窗口。申请通过客户经理提交、须经需求评估，所以落在 C。

ZDR 的例外与限制比多数平台多。安全过滤命中的内容最长留存 2 年，用于配合执法与权利保护，政策写明这不视为违反 ZDR。

平台合理认为有必要为调查或防范严重风险活动而暂停 ZDR 时，可事先书面通知后暂停特定模型或账号的 ZDR 资格；内容安全护栏没有完全关闭的开关；ZDR 工作区调用不支持 ZDR 的模型时不会被拦截，按标准留存处理，与 Bedrock、Cursor 的拦截设计相反。

Agent 编排、知识库、Batch 与异步任务、Playground 这些路径不适用 ZDR，第三方厂商直接提供的模型也不在范围内。

这份政策位于帮助中心，产品条款与会员协议都没有点名引用它；会员协议有概括纳入「平台发布的服务规则与政策」的条款，对这份政策的具体效力需结合签署文本核实。

首版另有一处需要更正：首版写「DeepSeek 只在北京区域可用，用它数据就进中国大陆」，依据的是产品介绍页「在线试用」段落里的一条括注，不应外推为整体可用范围。定价页在 7 月就已列出国际部署范围的 DeepSeek，DeepSeek 系列现在还在 ZDR 覆盖清单里。

初步看似符合 B，进一步核查后则归为 D。内容过滤（9 月起由 Content Pre-filter 改名为 Content filter）会在模型处理前后检查风险内容。客户可以逐个推理端点关闭这项功能。创建端点时默认开启，之后也可以修改。数据处理文档把 180 天留存限定在命中过滤器的内容上。

关闭内容过滤后，这条已经公开的留存路径便不再适用。但内容过滤文档仍保留了基线内容安全策略。

公开材料没有说明基线内容安全策略是否留存数据，也没有说明留存多久。2026-08-31 版起重组的现行专项条款（对已签约用户在发布 30 天后生效）又加了几项留存用途：用于客户请求的排障支持或异常使用与安全事件调查的相关数据，按「合理必要」期限留存，合规与滥用检测项没有写留存期限，都没有具体天数。

常规推理端点同样没有零留存产品承诺（Coding Plan Team Edition 套餐另有不留存条款，不外推），因此端到端 ZDR 无法验证。

可选的诊断服务还涉及另一条数据路径。可选开启的模型生成质量诊断服务（目前用于 Seedance 2.0 及之后的视频模型）会把数据留存最长 3 天，诊断结束后仍可保留去标识化数据，用于改进该服务。确认书还写明，诊断数据可能在中国大陆访问、传输和处理。

这是本次六家审计里唯一一条在海外主体条款里明文写出可进入中国大陆的数据路径，这一路径有明确的限定条件：客户主动申请并接受确认书；BytePlus 只能访问客户指定任务 ID 的数据，且限于为排查该问题所合理必需的范围；客户须确保其中不含身处或常驻于欧盟、欧洲经济区、英国、瑞士的个人的个人数据。

Slack 的隐私原则把模型分成两类。生成式模型负责生成文字等内容，大语言模型属于这一类。预测式模型负责打分、排序和推荐，例如表情建议、频道推荐和搜索排序。

Slack 对两类模型分别作出如下说明。

不用客户数据开发生成式 AI 模型，与使用消息、内容和文件开发预测式模型，可以同时成立。两类模型的同意机制也不对称。生成式模型采用 opt-in，只有客户主动同意才会生效。

预测式模型采用 opt-out，默认生效，客户需要主动退出；退出的是 Slack 全局模型，退出后数据仍可用于改善客户自己工作区的体验。Slack 在 2024-05-17 引发争议的做法是，不提供控制台开关，而是要求组织或工作区所有者向指定邮箱发送邮件，并填写指定主题行。两种机制都允许客户选择，但默认状态与操作要求不同。

模型类别之外，条款还会把训练与产品改进分开处理。Zoom 现行条款生效于 2023-08-11，其中明确排除了使用通信类内容训练 AI 模型：

但在同一份条款里，Zoom 仍保留了使用聚合匿名数据的权利：

去标识化会删除或替换能够指向具体个人的信息。条款所说的聚合匿名数据，是关于客户及最终用户使用服务和软件的技术及其他数据，经过这类处理并汇总后，可以用于分析、开发、改进、支持和运营服务。使用范围也包括面向其他无关客户的服务；该数据使用权在协议终止后仍然有效。

两段条款并不冲突。Zoom 把通信「内容」与聚合数据划成了不同类别。

训练与产品改进的边界并非固定不变。Anthropic 在 2025-08-28 更新消费者条款。用户一旦同意将数据用于训练，新建或恢复的聊天与编码会话的留存期限便从 30 天延长到 5 年。现有用户必须在 2025-10-08 前完成选择，才能继续使用服务。

这项变更只适用于消费者服务。官方说明明确排除了商业服务：

因此，审计不能只写「Anthropic 的政策」。还必须说明政策具体适用于消费者服务、商业服务、API，还是经第三方云平台发起的调用。关闭训练设置后，新会话与此前已存储的会话都不再用于未来的训练，但已经开始的训练所用数据，以及已训练完成的模型中的数据，无法撤回。