合規視角的資料治理：保存期限、刪除權與跨境

每一處資料落地都要登記：

位置            內容              含個資  保存期限  刪除方式
─────────────────────────────────────────────────────────
app DB          訂單、會員        是      依法規    直接刪除
qa_logs         問答紀錄          可能    90 天     自動輪替
vector_index    文件片段          可能    同來源    重建索引
prompt_cache    提示與回應        可能    24 小時   TTL 自動
eval_set        評測題目          已脫敏  長期      人工審核
train_data      訓練樣本          已脫敏  長期      人工審核
model_weights   微調權重          不可逆  —         只能重訓

最後一列是關鍵

刪除請求的處理流程

1. 從主資料庫刪除或匿名化。
2. 從日誌中刪除或假名化——注意備份也要處理。
3. 從向量索引刪除對應片段（依 doc_id 或 user_id 過濾）。
4. 清除相關快取。
5. 確認評測集與訓練集中沒有該筆資料。
6. 記錄處理結果與時間，作為合規證明。

跨境傳輸

• 使用境外的模型 API 等於把資料傳出境，這在部分產業與客戶合約中是被禁止的。
• 要確認服務商的資料處理地點、是否用於訓練、保留多久。
• 敏感場景應優先考慮境內部署或自架。

服務條款要寫清楚的事

1. 會蒐集哪些資料、用於什麼目的。
2. 是否用於改善模型，以及如何退出。
3. 保存期限。
4. 是否有第三方處理者（列出模型服務商）。
5. 使用者行使權利的管道。

定期稽核

每季檢查一次：盤點表是否仍然正確、有沒有新增的資料落地點沒登記、保存期限的自動清理是否真的在運作。最常見的問題是「新功能加了一個快取，但沒人登記」。