六家 MaaS 平台的
ZDR 判定

ZDR 指零数据留存，英文全称是 zero data retention。判断一次请求能否达到 ZDR，要分三层查。厂商侧看模型提供方存不存，平台侧看云平台自己存不存，工具侧看 Cursor 这类夹在客户与模型之间的中间层存不存。任意一层留存，端到端 ZDR 就不成立。

Bedrock 默认不留存。账号可以设置留存模式。这个模式定的是上限：客户最多能接受留存到什么程度。它不决定每次请求实际怎么处理。模型如果支持零留存，无论账号采用哪种模式，请求都按零留存处理。

这条规则不只靠合同确认，还能逐个模型验证。GET /v1/models 返回的 data_retention 包含三个字段：当前模式 mode、模式来源 source、模型允许的模式 allowed_modes。文档对判断规则只写了一句。

按这套规则核对，缺 none 的 6 个模型与滥用检测文档点名的清单完全一致：GPT-5.4、GPT-5.5、GPT-5.6 Sol、GPT-5.6 Terra、GPT-5.6 Luna、Claude Fable 5。

其中，前五个 OpenAI 模型落在 C。滥用监控的分类器会检查输入输出是否违反使用政策，命中的内容最长留 30 天。零留存要按账号、按模型申请。获批之后，none 才会出现在 allowed_modes 里。

Fable 5 与 Mythos 5 属于另一种情况：默认强制把数据共享给 Anthropic。数据留存文档也把 Mythos 5 列入强制共享范围，两份文档合起来涉及 7 个模型。

判断这两个模型时，需要并列看 AWS 和 Anthropic 两侧的文档，因为两边指向相反。

数据留存文档还说明，ZDR 按账号与模型逐个评估，还需要与模型提供方协调。两份文件的口径不一致，实际适用以签署的文本为准。

还有几项留存不受留存模式控制。儿童性虐待材料（CSAM）命中后可能被留存。调用方打开 store=true，或者使用 Batch API 这类必须存数据才能运行的接口，同样会产生留存。

CSAM 留存来自内容处理义务。store=true 和 Batch API 的留存来自接口本身的工作方式。只凭模型支持 none，无法推断整条调用链已经零留存。

Google 的评级取决于客户签了什么合同。GCMA 是企业与 Google 单独协商的主协议，自助注册适用 GCP 服务条款。这两种身份的默认状态不同。

受 GCMA 约束的企业客户，默认豁免滥用监控的 prompt 日志，因此落在 A。

走 GCP 服务条款的自助客户默认会被记录。常规滥用监控的 prompt 日志最长保存 90 天，退出需要提交申请，因此落在 C。

合同身份只是第一层。即便客户有资格退出，所用功能仍会改变结果。Grounding with Google Search 会让模型结合 Google 搜索结果作答。这项功能的日志最长保存 3 天，保存的是与客户及最终用户去关联的查询和上下文，不含生成结果，用途仅限于调试支撑这项功能的系统。这一项没有关闭开关。

把合同和功能放在一起，最佳状态需要同时满足这几件事：签 GCMA、避开 Advanced AI 类模型、不用 Grounding with Google Search 与 Grounding with Google Maps。Search 可以换成 Web Grounding for Enterprise，Maps 官方没有提供替代方案。

缓存还要单独看。Gemini 自家模型的内存缓存默认开启，但它不算无法消除的留存。官方口径是它不违反零留存，而且可以按项目用 cacheConfig 关闭。这属于需要主动完成的前置配置。

客户获批 modified abuse monitoring，也就是修改后的滥用监控后，平台不再执行滥用监控中的数据存储，也不再人工审阅。这已经很接近 ZDR，但 Azure 没有公布滥用监控留存的具体天数。

问题出在准入资格。只有 managed customer 或合格项目下的客户才能申请。managed customer 指由微软客户团队直接管理的客户。另一份官方文档却写了一句方向相反的话。

没有现成资格的自助购买客户无法申请，C 因此落回 D。不过，这项裁定有一层限定：那句话出现在修改内容过滤的语境中，滥用监控页没有复述。

两条申请路径使用同一个身份门槛。因此，这项裁定是根据同一门槛作出的推断，不是滥用监控页的原话。

即使申请获批，也不是所有审查都会停止。在线自动审查仍会运行，预览功能另有一套隐私和滥用监控口径。系统发现严重或反复滥用时，还可能要求客户重新开启带人工审阅的监控。

开启 Privacy Mode 后，Cursor 不会把客户数据用于训练，并与所有模型提供方维持 ZDR 协议。Enterprise 版默认开启这一模式。

不在 ZDR 协议范围内的模型分为两条路径。具体能得到哪一层保护，取决于模型落在哪条路径。

其中一条路径需要管理员显式开启。这和 Bedrock 把不符合留存模式的模型标为不可用，采用的是同一种控制方式。另一条路径只会标注模型，不会阻断调用。

Privacy Mode 也不会消除所有处理路径。为降低延迟而产生的临时文件缓存、代码库索引，以及风险分类器命中后的调查留存，都需要单独核对。

初步判断是 B，继续核查后则回到 D。内容预过滤会在模型处理前后检查风险内容。客户可以逐个推理端点关闭这项功能。创建端点时，预过滤默认开启，之后也可以修改。数据处理文档把 180 天挂在命中过滤器这个条件上。

关闭预过滤后，这条已经公开的留存路径便不再适用。但预过滤文档还写了另一句话。

公开材料没有说明基线内容安全策略是否留存数据，也没有说明留存多久。平台同样没有给出零留存产品承诺。因此，端到端 ZDR 无法验证。

Model Studio 的评级是 D。这里的 D 表示无法判定，并非已经证明达不到。国际站产品条款和产品隐私说明都没有公布平台侧默认的推理数据留存窗口，也没有零留存产品承诺。

这不代表平台不留存，也不代表平台会留存。现有公开材料不足以支持任何一边的判断。

Slack 的隐私原则把模型分成两类。生成式模型负责生成文字等内容，大语言模型属于这一类。预测式模型负责打分、排序和推荐，例如表情建议、频道推荐和搜索排序。

Slack 的原文先说明了这一层区别。

不用客户数据开发生成式 AI 模型，与使用消息、内容和文件开发预测式模型，可以同时成立。两类模型的同意机制也不对称。生成式模型采用 opt-in，只有客户主动同意才会生效。

预测式模型采用 opt-out，默认生效，客户需要主动退出。Slack 在 2024-05-17 引发争议的做法是，不提供控制台开关，而是要求组织所有者向指定邮箱发送邮件，并填写指定主题行。两种机制表面上都允许客户选择，但实际操作的起点并不相同。

模型类别之外，条款还会把训练与产品改进分开处理。Zoom 现行条款生效于 2023-08-11，其中明确排除了使用通信类内容训练 AI 模型：

但在同一份条款里，Zoom 仍保留了使用聚合匿名数据的权利：

去标识化会删除或替换能够指向具体个人的信息。经过这类处理并汇总的数据，可以用于分析、开发、改进、支持和运营服务。服务对象还包括其他无关客户，而且协议终止后仍然适用。

两段条款并不冲突。Zoom 把通信「内容」与聚合数据划成了不同类别。

训练与产品改进的边界并非固定不变。Anthropic 在 2025-08-28 更新消费者条款。用户一旦同意将数据用于训练，相关留存期限便从 30 天延长到 5 年。现有用户必须在 2025-10-08 前完成选择，才能继续使用服务。

这项变更只适用于消费者层。官方说明明确排除了商业服务：

因此，审计不能只写「Anthropic 的政策」。还必须说明政策具体适用于消费者服务、商业服务、API，还是经第三方云平台发起的调用。关闭训练设置也只影响未来数据，已经进入训练流程的数据不能撤回。