我们采用的理念。

在文本被进一步处理之前，人名、公司等可识别的信息会被替换为占位符。获得授权的人可以把占位符还原。

根据 GDPR，假名化数据仍属于个人数据。只有被识别出的内容才会被替换，上下文仍可能让人推断出信息。

只处理和存储特定目的所需的数据，且保存时间不超过必要期限。数据越少，可能出问题的地方就越少。

它能降低风险，但不能代替安全措施：必要的数据仍然会被处理。

只有在有助于改进产品的地方才衡量使用情况——匿名、汇总，且不使用 Cookie。

即使是匿名统计，也是关于使用情况的数据。某个产品衡量哪些内容，写在它的隐私政策中。

数据存储在欧盟的服务器上，其存储受欧盟法律约束。

这只涉及存储地点。第三方服务（例如 AI 模型）可能在欧盟以外运行——具体是哪些，见隐私政策。

系统的各个部分彼此独立运行，每个部分只拥有它所需的权限。一个部分出错，不会自动波及其他部分。

它能限制故障的后果，但不能防止故障本身。

已连接服务的凭据（例如访问令牌）以加密形式存储。只能读取数据库的人无法使用它们。

使用凭据时必须先解密。如果运行中的系统本身被攻破，静态加密就无能为力。