对话数据治理、保留期限与合规凭证政策

1. 数据分类与技术隔离架构

根据越南《个人数据保护法》（第 91/2025/QH15 号）与《电子交易法》（第 20/2023/QH15 号），WinSell、WISA 和 KODA 将用户数据划分为独立的技术模块实施隔离管控：

- 会话记录与对话内容（Chat Transcripts & Messages）：包含用户输入的 Prompt、AI 生成的输出内容、深度思考推理过程（Reasoning Tokens）、历史上下文及会话自动摘要。

- 上传文件与附件（Attachments & Files）：用户上传的代码、文档、表格、PDF 及图片，均加密存储于独立的云对象存储（Cloudflare R2），并配置生命周期自动清理规则。

- 工具执行与审计日志（Tool & Execution Audit Logs）：沙箱编程、智能联网搜索与图像生成等工具的调用记录，包含已脱敏参数、SHA-256 完整性哈希和唯一凭证编号（Receipt ID）。

- 桌面端云同步快照（Koda Desktop Cloud Sync）：工作区快照在传输和静态存储阶段按服务器管理的安全控制进行加密后用于跨设备同步。如果服务器能够为同步处理而解密，则不应表述为端到端加密。

- 财务交易与税务合规凭证：根据越南《税收管理法》（第 108/2025/QH15 号）保留的 VietQR/SePay 支付流水、CUBE 扣减明细及电子增值税发票归档。

2. 对话数据生命周期与用户自主保留周期

WinSell 充分保障用户对自身 AI 对话生命周期的自主掌控权。在账户安全设置中，用户可自由选择以下四（04）种数据保留周期之一：

1. 30 天保留周期：全部会话及历史消息将在最后一次交互满 30 天后由系统自动彻底清除。

2. 90 天保留周期：为中短期项目冲刺保留数据，90 天届满后自动进入清理流水线。

3. 12 个月保留周期（系统默认值）：新注册账户的默认配置，数据自最后活跃日起保留 12 个月。

4. 长期保存（不自动删除）：会话数据将持续保存在您的账户中，直至您手动执行删除或注销账户。

主动到期预警机制：对于按照已选周期即将到达自动清理时限的对话，系统将提前至少十四（14）天通过站内通知和注册邮箱发出提醒，以便您及时导出（Export）或修改保留周期。

3. 双阶段非对称删除机制与密码学哈希存证（Evidence Hash）

为了平衡客户端即时响应体验与分布式基础设施的数据安全性，WinSell 实施严格的双阶段非对称删除机制：

第一阶段 - 即时逻辑删除（Soft Deletion）：当用户在客户端界面点击删除单条消息、整个会话或附件文件时，系统立即打上 'deletedAt' 时间戳，即刻注销所有访问权限，并在 Web、Desktop 及 API 层面永久屏蔽。任何普通用户或日常进程均无法再读取该数据。

第二阶段 - 物理级覆盖擦除（Physical Purge）：后台异步清理工作线程（Background Workers）定期扫描已被逻辑删除的记录，在主数据库中执行物理级级联删除，彻底释放 Cloudflare R2 对象存储空间，并将删除指令下发同步至所有关联的 Koda Desktop 节点。

密码学删除凭证哈希（Deletion Evidence Hash）：为实现“在不留存已删原数据的前提下证明已依法执行删除”，系统在原子数据库事务中根据删除请求生成 SHA-256 密码学哈希，并永久记入《删除审计流水》（Deletion Audit Ledger）。该凭证仅包含数学哈希与 UTC 时间戳，绝不含任何原始明文。

容灾备份生命周期循环：专用于应对重大灾难的系统加密冷备份（Disaster Recovery Backups）严格遵循三十（30）天自动轮转覆盖销毁机制，完全独立于日常生产读取链路。

4. 紧急法律与司法保全例外（Legal Hold）

司法证据保全（Legal Hold）属于法定强制例外，在适用时优先于常规的自动删除与用户自主清理计划。

在下列法定严格情形下，WinSell 有权且必须依法暂停对特定账户或数据的删除、覆盖或销毁操作：

1. 接获越南公安调查机关、人民检察院、人民法院或其他法定监管机构发出的正式协助调查函、传票或司法裁定书。

2. 用户与 WinSell 或第三方之间正在发生实质性诉讼、仲裁、行政调查或经济索赔争议。

3. 涉案数据与重大网络黑客攻击、恶意破坏基础设施、支付洗钱欺诈或严重违反《平台规则》的行为直接相关。

处于 Legal Hold 保全状态的数据将被隔离存储于权限受限的安全区域，严格登记保全事由、内部审批责任人及定期复核节点。待法定保全事由彻底解除后，相关数据将立即按用户原有诉求重回物理删除通道。

5. 不可篡改审计日志与司法调证披露规范

不可篡改审计流水（Immutable Audit Trail）：WinSell 部署了自动追加（Append-Only）的安全审计系统，严密记录核心行为：账户注册、条款同意、数据导出、工具执行、安全设置变更及数据删除。每条审计记录均包含：唯一 UUID、账户 ID、UTC 标准时间戳、安全脱敏 IP、生效条款版本号及 SHA-256 完整性签名。

内部技术日志的商业秘密属性：底层系统源代码、服务器基础设施拓扑、加密密钥及系统底层原生运行日志（Raw Telemetry Logs）属于 WINSELL COMPANY LIMITED 的核心专有技术资产与商业秘密。WinSell 无义务向个人用户或未经授权的第三方提供底层原生日志。

对主管机关的司法调证规范：WinSell 仅在满足以下条件时向法定主管机关出具技术核查存证报告：

- 具有符合越南法定诉讼程序、由具备相应管辖权之司法或执法机关正式出具的合法公文或搜查扣押令。

- 经 WinSell 法务合规部门审查确认公文有效性，且调取范围严格限定于履行法定职责所必需的最小数据集。

- 每一笔对外司法调证均完整登记于内部《政府与司法协查登记台账》（Government Request Register）。

6. 上游基础模型提供商的数据保留与安全监测披露

为实现强大的生成与推理能力，您的 Prompt 及上下文文件摘要将通过高强度加密通道传输至国际顶尖 AI 模型提供商（OpenAI, Anthropic, Google Cloud, DeepSeek）的计算节点。

上游模型厂商滥用监测机制（Abuse Monitoring）：依据商业级企业 API 协议（Enterprise API Agreements）及安全规范：

- 只有在实际使用的 provider 路由、服务级别和有效合同均包含相应限制时，才能说明通过企业商业 API 传输的提示词及生成内容不用于训练或微调第三方公开模型。

- 为防范恶意攻击、网络滥用及保障系统总体安全，部分上游提供商（如 OpenAI、Anthropic）会在其独立基础设施上建立安全监测临时日志，遵循其各家标准保留至多三十（30）天后由其系统自动清理。

WinSell 本着最高透明度原则向用户披露上述技术链路，以便用户知悉：WinSell 的自研清理规程全权覆盖 WinSell 可控的所有基础设施，而跨境网络传输与上游处理受企业级 API 标准商务协议保障。

7. 数据主体权利行使与请求处理规程

根据越南《个人数据保护法》（第 91/2025/QH15 号）及《消费者权益保护法》（第 19/2023/QH15 号），WinSell 全面保障用户如下权利：

1. 查阅与知情权：随时在客户端查阅账户中保存的全部有效历史会话与上传文档。

2. 数据便携权（导出）：可通过系统内自带工具或发送邮件至 privacy@winsell.vn，申请将个人名下的会话记录导出为通用 JSON/ZIP 格式文件。

3. 删除与注销权：可自主在界面单篇删除对话，亦可申请永久注销账户并彻底擦除个人身份数据。

4. 咨询与投诉权：对数据处理合规性存有疑问时，可直接向 WinSell 数据保护官（DPO）提出异议。

严格身份核验：为防止账号被恶意盗用导致隐私泄露，所有权利申请必须通过注册邮箱提出，必要时需配合完成双重多因素身份验证。

法定处理时限：WinSell 将在七十二（72）个工作小时内向您发送受理确认，并在法律规定的最长三十（30）个自然日内办结请求，处于 Legal Hold 保全或不可抗力技术阻碍的情形除外。