写给采购方。
哪些已经到位，哪些尚未到位。

工作区和开发者 API 保护请求的方式不同，下面每一页都会注明说的是哪一种。

• 工作区在发送任何内容之前，你的浏览器会将安全飞地的硬件证明与 Tinfoil 发布的版本进行比对，然后用安全飞地内部持有的密钥对请求进行加密（HPKE）。我们的中继检查你的配额，并转发密文。

  验证的工作原理亲手密封

• 每个回答都可以附带一份回执：你的浏览器验证过的安全飞地、版本和度量值，以及加密所用的密钥。这是你的浏览器自己的记录，而不是经过签名的声明。

  架构及其代码

• 我们的托管方、我们自己、Tinfoil、网络和法院命令分别能看到什么，以及实现这一点的文件。

  威胁模型

• 页面自身的代码可以检查：将浏览器加载的内容与在 GitHub Actions 中签名的构建清单进行比对，自己重新构建，并阅读软件物料清单。

  验证此页面软件物料清单

• 浏览器只会调用本站：没有第三方脚本、分析工具或字体。Python、JavaScript 和设备端模型在已移除网络访问的 worker 中运行，每个都有自己的内容安全策略。

• 共享项目采用端到端加密。分发和更换其密钥的协议有一个形式化模型，经 Tamarin 证明器检查，位于源代码的 docs/proofs 下。

• 日志只记录路由名称、状态码和耗时：绝不记录提示词、回答、账户 ID 或密钥。测试会检查这一点。

除非你另行选择，对话都保留在浏览器中。我们的服务器会保留：

• 限额计数器：以单向哈希记录的请求数和估算支出，不含任何内容，最多保留两天。

• 同步：每个项目都在你的浏览器中用只有你的设备持有的密钥加密，保留到你删除为止。我们能看到大小和时间。

• 共享链接：一份加密副本，保留 1、7 或 30 天，或直到首次打开；密钥位于 # 之后，从不会到达我们这里。

• 共享项目：密文、成员资格、角色，以及记录谁更改了什么的审计日志（从不包含内容），默认保留 90 天。

• 处理地点：目前还不能选择欧盟或美国。Tinfoil 不公布其安全飞地运行在哪里，而我们的托管和数据库各自运行在项目设置中指定的一个区域，并非按账户选择。只有当区域可以被核查、而不仅仅是被声明时，我们才会提供选择。

  隐私声明

• 崩溃报告和速度数据：只有在你同意之后才会发送，不含内容、账户或地址；崩溃报告按错误计数，保留 90 天。

  隐私声明

这些服务代表 Undergrove 处理数据。如果你的团队接入了自己的身份提供方，那不在我们的列举范围之内。新服务在处理数据之前，我们会先在更新日志中公告。

我们目前还不提供数据处理协议，使用条款也仍是草案。运营者的身份、隐私联系方式和法律依据将在付费上线之前公布。

• 在此之前，我们能展示的是代码如何处理数据，这正是本页和隐私声明所描述的内容。

  条款草案隐私声明

• 状态页面会在你打开时，从你的浏览器检查安全飞地的证明。

  状态

• 每个开发者 API 回答都会注明网关验证过的证明包，任何人都可以获取并再次检查。

  验证能证明什么

• 加密请求和安全飞地检查的汇总计数，以及生产环境中的提交。

  透明度

我们没有服务等级协议，也不承诺可用性。检查的内容以及在哪里查看：

• 每两小时，一个定时任务会检查生产环境的状态、一个简短的真实回答和证明端点；每 15 分钟，它会运行关键流程，包括一个密封的回答。一旦失败就会创建一个 issue。

  状态

• 只有当模型自己的路由在回答之前失败时，它才会切换到备用路由，而且只会切换到同类路由。每个响应都会注明回答所用的路由。

  模型

• 范围内的内容、供你尝试破解的录制请求以及报告方式，都在挑战页面和 security.txt 中。

  挑战破解security.txt