安全与数据
你的文本去向何处、谁能读取、保留多久，以及我们尚未做到的事。
你的文本去向何处
OtterSR 的每一次模型调用都通过 TLS 发送到 OpenAI 的 API，并关闭了存储。根据 OpenAI 的 API 条款，我们发送的内容不会用于训练其模型，但可能会被保留有限的时间以检测滥用行为。搜索索引也在那里构建：OpenAI 将你文档中的段落转换为搜索向量（嵌入）。提示词和回答由我们自己保存在你的账户中，因此你可以审计任何一个回答。
需要说明清楚这是什么：这是关于服务配置方式以及 OpenAI 和 AWS 所提供条款的陈述，并不是我们能代替他们执行的控制措施。
你的文本在哪里处理
自 2026 年 11 月 5 日起，应用、数据库和你上传的文件位于美国的 AWS us-east-2（俄亥俄州）区域；在此之前，它们位于加拿大。模型推理同样在美国：每个模型档位都运行在 OpenAI 的 API 上，因此标题、摘要、任何 PDF 文本以及撰写指令所使用的段落都在那里处理。搜索索引也在那里根据你文档中的段落计算。如果这对你的伦理审批有影响，请不要在该综述中使用 AI 功能。无论如何，你的内容都存储在美国。
唯一的推理路径，且没有我们自己的模型
代码库中只有一个地方能够调用模型，而且它会对每次调用计量。这一点由构建过程中的架构规则检查保证，而不是靠约定：任何其他模块都不允许导入提供商的 SDK。这意味着不存在未计量的调用，也不存在你的文本可能走的第二条、更隐蔽的路径。
托管在哪里
Amazon Web Services，位于美国（us-east-2，俄亥俄州）。应用、数据库（其中保存搜索索引）、对象存储和外发邮件都在同一个账户中运行，受相同的控制措施约束。模型调用和搜索索引的向量计算则不在其中：它们通过美国的 OpenAI API 完成，每个模型档位（Otter-Nano、Otter-Mini、Otter-Pro 和 Otter-Max）调用时都关闭了存储。目前没有数据驻留选项；如果你的机构需要，请告诉我们。
加密
所有连接都使用 TLS，包括应用与数据库之间的连接。存储的文档采用服务端加密进行静态加密，数据库及其快照同样加密。对象存储阻止一切公开访问，并直接拒绝非 TLS 请求。
账户之间的隔离
租户隔离由 PostgreSQL 行级安全策略强制执行。应用以一个非表所有者的角色连接数据库，无法绕过这些策略，因此限定到错误账户的查询只会返回空结果，而不是别人的数据行。CI 中运行着一套跨租户测试，必须始终保持通过。
上传的 PDF
文档只在你的指示下处理，并以服务器生成的名称存储在属于你账户的键前缀下——你的文件名绝不会成为路径的一部分。我们有意不在账户之间共享 PDF 缓存，无论是按 DOI 还是其他方式：那样对我们更省钱，但会给你带来许可问题。你需保证自己有权上传每一份文档；我们会按你的要求删除它们，并在账户关闭时销毁。
不得包含受保护的健康信息
OtterSR 面向已发表和预印本文献。服务条款禁止上传受保护的健康信息和个人患者记录，我们也不提供业务伙伴协议。我们要说得精确一些：我们不会扫描或分类你的上传内容，因此这里没有任何机制能检测或阻止此类内容。这是一条规则，不是一个过滤器。
删除就是真正删除
已删除的综述可在 30 天内恢复，之后由定时任务销毁——数据库行和存储的文档都会销毁。关闭账户后，其内容会在 60 天后销毁，在此期间你可以取消。保留下来的只有财务记录：用量事件、收费和审计日志，因会计法规要求而保存。其中不包含任何标题、摘要、PDF 或回答。数据库快照保留 14 天，被替代的文档版本 30 天后过期，因此彻底清除需要这么长时间才能完全清理备份。
银行卡数据绝不会到达我们这里
银行卡信息直接从你的浏览器发送到 Stripe 托管的支付组件。我们只存储 Stripe 的标识符以及卡品牌、末四位和有效期——刚好够向你显示已绑定的是哪张卡。这使服务处于最小的 PCI 合规范围内。
登录与会话
你使用邮箱地址和密码登录。Amazon Cognito 以加盐哈希的形式保存密码，我们无法读取；你自行注册或重置忘记的密码时，它会向你的邮箱发送验证码以确认地址归你所有。只有我们的服务器与 Cognito 通信，你的浏览器从不直接访问它。在提供 Google 或 Microsoft 登录的地方，登录通过 OpenID Connect 完成，只请求你的姓名和邮箱。会话是一条不透明的服务端记录，由 httpOnly Cookie 引用，14 天不活动即过期，最长 30 天绝对过期，可以逐个撤销或一次全部撤销。修改或重置密码会结束其他所有会话。凭据绝不会放入本地存储或 URL 中，每个改变状态的请求都携带跨站请求伪造（CSRF）令牌。
还有谁会接触到它
Amazon Web Services 托管应用、数据库和你的文件；OpenAI 处理每一次模型调用（并关闭了存储），并构建搜索索引；Stripe 处理付款；Amazon SES 发送邮件；Microsoft 365 保存你写给 support@ottersr.com 的邮件。就这些，而且每一项都说明了它接收什么数据。没有分析平台、没有广告、没有会话录制，也没有客服聊天小组件——不是为了赢得隐私加分，而是因为我们根本没有添加。
我们尚未做到的事
没有 SOC 2，没有 ISO 27001，也没有独立的渗透测试。OtterSR 由一个很小的团队构建，在有收入之前没有预算进行付费审计；假装不是这样，将是本页面上最不可信的事。我们转而做的是：一套自动化的跨租户测试、OWASP 基线扫描、最小权限的云角色，以及保持本页面的诚实。当机构客户需要正式审计时，我们很愿意就此展开讨论。
发现有问题？
如果你认为自己发现了安全问题，请在向任何其他地方公开之前先写信给我们。我们会尽快确认收到，并持续向你通报进展。我们没有漏洞赏金可提供，只有致谢和感激。
support@ottersr.com