# 数据存放位置

本页说明 Raise 的数据存在哪些组件里，这些组件在厂商运营的 SaaS 和私有化部署中各放在哪里，以及哪些数据会离开部署。

## 数据存在哪里

| 数据 | 内容 | 存放的组件 |
|---|---|---|
| 业务数据 | 组织、成员、应用里的记录、草稿，以及助手会话的消息 | PostgreSQL 的业务库。每张组织表都启用行级安全 |
| 审计记录 | 管理动作、草稿应用、支持访问等 | PostgreSQL 的审计库，只能追加。审计库可以单独部署 |
| 账号与登录 | 登录、组织、角色、服务账号 | 身份服务的库，也在 PostgreSQL 里 |
| 密钥与凭据 | 敏感字段的数据密钥、组织的凭据（自带存储、自带模型的密钥） | 密钥库（OpenBao）。最小部署形态没有密钥库，包裹后的数据密钥存在 PostgreSQL 里 |
| 文件 | 上传的文件、头像、录音、审计归档 | 平台的对象存储。每个组织的文件放在以该组织标识开头的前缀下 |
| 组织自带存储里的文件 | 组织改用自己的存储桶之后新上传的文件 | 组织自己的桶 |
| 搜索 | 应用内的关键词搜索与平台知识检索；语义检索需要向量模型 | PostgreSQL。不另设搜索服务 |
| 部署配置 | 安装时生成的密钥、网关根证书、许可证 | 主机上的部署配置目录 |
| 日志、链路与指标 | 运维用的日志、调用链路和指标 | 部署内部的观测组件，只给运营人员看，可以不开。个人数据和提示词不进链路，除非组织主动打开记录内容；指标不含消息内容 |

- 除网关外，所有组件只在部署的内部网络里互相可达。
- 模型网关默认不记录提示词和回答，网关日志保留 30 天。

## 私有化部署

数据全部在你的环境里。文件放在哪里，由安装时选的环境包决定：

| 环境包 | 文件 | 密钥 |
|---|---|---|
| `single` | 本机数据卷 | 主密钥包裹，存在 PostgreSQL |
| `onprem` | 自带的对象存储（SeaweedFS） | OpenBao |
| `tencent` | 腾讯云 COS | OpenBao |
| `aliyun` | 阿里云 OSS | OpenBao |
| `aws` | AWS S3 | OpenBao |

- 选用云环境包时，存储桶在你的云账号里，地域由你在安装时填写。
- Kubernetes 部署中，PostgreSQL、对象存储、密钥库等由你提供，数据在你选的服务里。
- 离线部署没有对外出口，模型走本地的 OpenAI 兼容端点。

> **注意**
>
> 安装后不能更换环境包。文件存放与密钥后端随环境包变化，目前没有迁移工具。

部署步骤见部署手册里的「对象存储与搜索」和「备份与恢复」两页。

## 厂商运营的 SaaS

SaaS 由厂商运营主机、网络和数据库，备份也由厂商负责。

| 项 | 位置 |
|---|---|
| 主机与数据库 | 腾讯云，上海 |

## 备份存在哪里

- 数据库备份在主机上加密后才上传到 S3 兼容存储，存储方看不到内容。数据库备份默认不打开。
- 私有化部署的备份存储由你选择。`onprem` 不另行配置时，备份放在同一台主机上的对象存储里，主机或磁盘整体损坏时备份也会丢失。生产环境请指向另一个机房或云上的存储。
- 不在平台备份范围内：组织自带存储里的文件、云环境包的平台文件桶、`onprem` 自带对象存储里的平台文件与审计归档、观测数据。

更多见[备份与灾备说明](/trust/backup-dr)。

## 哪些数据会离开部署

只有你或组织启用的外部服务会收到数据：模型供应商、语音识别、联网搜索、短信、邮件、手机推送、云对象存储、证书签发，以及组织自己连接的企业微信、飞书、钉钉、微信、收款渠道等。

- 组织可以为模型调用设置数据区域（如 `cn`、`eu`、`us`），只使用区域相符的模型供应商。
- 每个服务送出什么数据、什么时候才送，见[第三方服务（子处理者）](/compliance/subprocessors)。

## 删除

- 组织注销后有一段宽限期。期满后，平台销毁加密字段的密钥并删除业务数据，再删除平台存储中的文件、密钥库里的凭据、模型网关里的组织密钥、身份服务里的组织与用户。
- 备份里残留的加密字段，因为数据密钥已经销毁，无法再解密。
- 有意保留的：账务记录，以及该组织的审计链和归档（不含个人数据的字段值）。
- 组织自带存储里的文件属于组织，平台不删除。

详见[安全白皮书](/trust/security)。