安全
放心把工作交给 AI，同时清楚每件事是谁做的
用平实的语言说明Zeze是怎么构建的。哪些今天已经有、哪些还在路线图上，我们分开写清楚。
一个空间，一套服务器
- 每个组织运行在自己的消息服务器和网关上，数据库、媒体存储、搜索索引、AI 审计日志都独立。
- 控制面只负责账号、空间和邀请，不存储任何消息内容。
- 令牌只在签发它的空间有效。
数据放在哪里
- 托管版空间默认部署在 AWS 新加坡区。
- 更多区域（如欧盟、美国、日本）规划面向商业版及以上开放，开放后不另收费。
- 企业版：在你指定的区域独享实例，或在你自己的云账号里由我们代运维。
- 私有化部署：整套系统跑在你自己的云或机房里。
登录与账号
- 邮箱验证码免密登录；进入每个空间时换取一个 60 秒、一次性的登录令牌。
- 停用成员后，所有设备立即失效。
- Google / 微软登录、SAML 与 SCIM 在路线图上。
AI 管控
- AI 的每个动作都由服务端判定为「自动 / 先问我 / 禁止」；管理员可设个人调不低的下限。
- 发给其他公司、包含外部链接、发到大群的消息，一律需要本人确认。
- 每个 AI 是一个独立设备，可立即暂停或撤销，全程留痕。
- AI 回答不越级：AI 替你回复同事时，服务端按「它最近读过什么」逐个核对收件人本来的权限（复盘、审批金额、文件、群聊），对方看不到的内容先转给你确认。
- 防提示注入与防数据外泄的措施详见「AI 接入」页。
与其他公司协作
- 双方管理员都同意后，两个空间才会互通；任何一方都可以解除。
- 每一方精确选择对方能看到自己的哪些成员；未公开的人对方搜不到、也发不了消息。
- 有外部成员的会话顶部有明显提示；服务器只与已建立协作的组织联邦。
通话与会议
- 入会令牌由你所在空间的网关签发，只发给会话成员，10 分钟过期。
- 主持人操作（静音、移出、锁定、结束）由服务端校验，而不是客户端。
- 会话外的人需要申请，经主持人准许才能入会。
关于加密
App 与服务器之间的通信全程 TLS 加密。
消息不做端到端加密。这是有意为之：搜索、审计日志和服务端 AI 规则需要在你所在空间自己的服务器上读取消息。如果你需要完全掌控这台服务器，请选择独享实例或私有化部署。
合规进展
我们目前尚未取得 SOC 2 或 ISO 27001 认证。相关准备在路线图上；进展会在这里公布，不会提前宣称。
我们按新加坡 PDPA 与欧盟 GDPR 的要求设计。数据处理条款将随法律文件一起发布。
报告安全漏洞
发现安全问题？请发邮件到 [email protected]。公开披露前请给我们合理的修复时间。