标准答案
- 确认 API 输入输出是否用于训练、默认保留多久、是否有滥用监控、人工访问、删除机制、子处理方和区域传输。
- 区分 API、托管产品、企业账户和不同区域的政策，不把一个产品的承诺套到另一个入口；关键结论保留官方来源和核验日期。
- 按数据等级制定允许的供应商和路由，默认使用脱敏或不发送敏感数据；策略变化时重新评估并准备替代路由。
题目解析
数据合规不只是供应商问题，应用自身的日志、缓存、Prompt 版本库和人工评测也会处理同一数据。
区域限制、出口管制和供应商政策可能变化，路由配置要有阻断和审计，不应在故障时自动跨越未批准边界。
“不用于训练”不等于“不保留”或“不被安全审查”，需要分别确认每项处理。
常见误区
- 只看第三方博客或 SDK 文档，不核对官方政策和合同。
- 把企业产品政策应用到个人 API Key。
- 把跨区域降级写成无条件自动策略。