隐私，长在结构里，不是一个开关。

在研究者看到之前，一个多模型评审组先为每份对话记录评级：两位来自不同供应商的评审、一位合并并补漏的主评审，以及只在有争议时才出场的更强专家模型。评审组会按数据驻留区域选用相应变体。

身份信息，化作可逆的化名；危险凭证与精确定位符，硬删除，不可逆；研究内容——包括敏感的发现——始终保留。化名对照表永不离开平台，也永不被导出。

一份单人阅读，与会话同生同灭。单独留存下来的任何分析，至少覆盖两场不同的会话——因此永远无法指回某一个人。删除一场会话，其内容即被不可逆地移除。

每个可选模型，都通过不训练、不留存的门槛——这是撤回权的基石。一个会训练的供应商，会把原始受访者数据焊进第三方权重，让撤回变成谎言。

生产跑在你自己的 VPS 上——Next.js 作为 Node 服务器，加自托管 Supabase。你的数据，不躺在共享云租户里。

同意锁定为受访者当时看到的版本。要修改，就追加一个新版本；已同意的会话仍保留它们当初接受的条款。