安全與資料

依產品說明 OfoxAI 如何保護請求、處理客戶資料。

標準 API 資料處理

零資料留存（ZDR）

標準同步模型 API 預設零資料留存（ZDR）：prompt 與 response 正文只用於完成目前請求，不會由 Ofox 閘道持久化到應用程式日誌或資料庫。需要排查問題時，團隊擁有者或管理員可以在控制台 請求明細 右上角開啟「日誌保留」：開啟後，保存範圍內 API Key 的新請求內容最多保留最近 3 天、1 萬筆或 1 GB，任一項達到上限會自動清除最舊的日誌；保存前會把 API Key、token 等憑證替換為 [REDACTED]，手機號碼、電子郵件等個人資訊不做處理；只有團隊擁有者與管理員能查看、匯出與刪除。單次請求加上請求標頭 X-OfoxAI-Log-Content: off 即不保存；關閉後不再保存新請求，已保存的日誌到期自動清除。沒有開啟的團隊仍是零資料留存。需要保存更久，可以寄信到 hi@ofox.ai 洽詢。

營運記錄可能包括帳戶與 API Key 標識、所要求模型與供應商、Token 用量、費用、延遲、狀態、請求標識與錯誤。這些資訊用於服務營運、計費、可靠性、安全與反濫用。

模型訓練

OfoxAI 不會使用透過標準模型 API 傳送的 prompt 或 response 進行模型訓練。

完成請求所需的內容會傳送給目前模型路由對應的上游供應商。適用條款與資料處理方式取決於所選模型與目前路由。

Playground 與非同步工作

安全控制

請求鏈路加密

API 流量從客戶到 Ofox、再從 Ofox 到所選上游供應商均使用 TLS。Ofox 閘道負責 API Key 鑑權、執行限制、計量用量與選擇路由。

API Key 保護

• 新 Key 建立時只顯示一次。
• 服務端使用雜湊驗證，不以可讀形式儲存完整 Key。
• Key 可以依工作負載分開、輪換與撤銷。
• 可以透過團隊 IP 白名單與單一 Key 的 IP 白名單限制呼叫來源，也可以限制團隊或單一 Key 能使用哪些模型。
• 獨立 Key 與用量預算可用於隔離、監控不同工作負載。

請勿把 API Key 放入瀏覽器程式碼、行動應用程式安裝包、公開程式碼儲存庫或截圖。如果懷疑 Key 洩露，應立即撤銷並建立替代 Key。

面向 ZDR 的營運遙測

未開啟日誌保留時，標準 API 的 prompt 與 response 正文不進入閘道訊息日誌或持久化 prompt 儲存。錯誤處理會遮蔽訊息內容，營運遙測聚焦路由、標識符、用量、費用、延遲、狀態與錯誤。

存取與濫用防護

目前控制包括速率限制、機器人防護、基於身分的管理存取、API Key 輪換與撤銷、可選的團隊與 Key IP 白名單、模型限制、按供應商路由與公開服務狀態監控。

上游模型供應商

Ofox 只會把請求內容傳送給目前模型路由對應的供應商，不會把每個請求傳送給清單中的所有供應商。目前模型供應商與服務供應商見第三方服務商頁面 。

資料處理地點取決於具體產品、所選路由與供應商控制的基礎設施。

分析與監控

公開網站透過 Google Tag Manager 使用 Google Analytics 4 進行造訪分析。Ofox Web 應用程式使用 Sentry 進行錯誤、效能與抽樣 Session Replay 監控；Sentry Replay 已設定文字遮蔽與媒體阻止。這些工具不處理標準模型 API 的 prompt 或 response 正文。

GDPR

OfoxAI 符合適用於我們所處理個人資料的 GDPR 要求，包括資料最小化、目的限制、安全保護與資料主體權利回應。

可靠性與故障回退

OfoxAI 對平台公開 99.99% 可用性。平台與各模型路由目前狀態見 status.ofox.ai 。

在相容的 OpenAI、Anthropic 與 Gemini 請求路徑中，客戶可以透過 extra_body.provider.fallback 明確提供最多三個、依順序排列的備用模型。上游回傳錯誤後，閘道會依序嘗試這些備用模型。設定方法見故障回退。

聯絡我們

隱私請求、安全問題與漏洞報告統一傳送至 hi@ofox.ai。郵件請提供足以識別相關帳戶與請求的資訊，但不要傳送 API Key、密碼或不必要的敏感內容。

機器可讀的安全聯絡方式發布在 security.txt 。