# 第三方服务（子处理者）

本页列出 Raise 可能把客户数据送到的每个外部服务：送什么数据、什么时候才会送，以及私有化部署能不能关掉或换掉。供你的安全与采购评审使用。

> **先看这三点**
>
> - **出厂不向任何第三方发送数据。** 下面第一类服务要运营方填好凭据才会调用，第二类要组织自己连接账号才会调用。告警出厂也不发给任何人。
> - **模型调用只走平台内的模型网关。** 助手和平台的每个模型功能都经过它，组织自带的模型供应商也注册在网关里，平台不直接连接模型供应商。唯一的例外是语音识别，见下文。
> - **私有化部署由你决定。** 第一类服务用不用、用谁的账号，都由你决定。离线部署没有对外出口，模型走本地的 OpenAI 兼容端点。

## 一、运营方配置的服务

这些服务使用运营方自己的账号。在厂商运营的 SaaS 中，运营方是厂商；在私有化部署中，运营方是你。

| 服务 | 用来做什么 | 送出的数据 | 什么时候才调用 | 私有化部署 |
|---|---|---|---|---|
| 大模型供应商（经模型网关） | 助手对话；平台需要模型的其他功能；对外的模型接口；语义搜索的向量化 | 提示词、对话内容、作为上下文的业务数据；语义搜索要向量化的文本段和问题 | 运营方在运营台添加供应商和密钥之后。出厂的网关里没有任何供应商 | 自选供应商，或用本地 OpenAI 兼容端点。不配置向量模型时只有关键词搜索 |
| 火山引擎·豆包语音 | 语音输入与听写、实时字幕、录音转写、实时语音对话 | 录音音频。标准版由火山引擎从平台签发的链接取回录音 | 运营方在运营台填写凭据之后。组织看不到、也改不了这份凭据 | 可以不配置。关掉后改用模型网关里配置的转写模型；两者都没有时不提供语音识别 |
| DeepSeek 联网搜索 | 助手联网搜索 | 搜索词，连同语言和时间条件不超过 128 个字符 | 运营方在运营台「模型 → 联网搜索」填写密钥之后 | 可以不配置 |
| 短信（阿里云短信或腾讯云短信） | 个人注册的验证码；邀请制开通的验证码（组织首位管理员、受邀成员、只有手机号的账号重置） | 手机号和验证码 | 运营方配置平台短信账号之后。没有配置时，手机号注册关闭 | 自选两家之一，或不配置 |
| 邮件（SMTP） | 注册验证码邮件；身份服务另有自己的邮件设置 | 邮箱地址和验证码 | 运营方配置 SMTP 服务器之后。没有配置时，邮箱注册关闭 | 自选邮件服务器 |
| 苹果推送（APNs） | 向 Raise iOS 应用推送通知 | 设备的推送令牌、一行标题、要打开的会话标识。不含对话内容 | 部署里放入推送凭据之后。没有凭据时不发送 | 可以不配置 |
| 谷歌推送（FCM） | 向 Raise Android 应用推送通知 | 同上 | 同上 | 可以不配置 |
| 微信支付、支付宝（平台商户） | 个人订阅的委托代扣、周期扣款 | 订单、金额、扣款协议 | 运营方选择自动扣款并配置平台商户之后。没有选择时只开发票、不扣款 | 可以不配置 |
| 云对象存储（腾讯云 COS、阿里云 OSS 或 AWS S3） | 存放平台文件：上传的文件、头像、录音、审计归档 | 文件内容。浏览器直接向存储桶上传和下载 | 选用对应的云环境包时 | 也可以用本机数据卷或自带的对象存储，不出部署 |
| 备份存储 | 存放数据库备份和状态包 | 在主机上加密后才上传，存储方看不到内容 | 打开备份之后 | 自选存储位置 |
| 证书签发（ACME） | 为公网站点签发证书；组织的自定义域名和托管应用在首次访问时签发 | 域名、证书联系邮箱 | 公网部署默认使用 | 内网或离线部署改用网关自带的 CA |
| 企业微信群机器人 | 把运维告警发到企业微信群 | 告警文字 | 出厂不发送，配置接收方之后才发 | 告警可接任一接收方，或不接 |
| CDN | 分发门户的脚本和样式文件 | 不含业务数据。接口、推送流、WebSocket 不经过 CDN | 默认不用 | 可以不用 |

### 模型供应商与数据区域

运营台为常见供应商准备了预设，每个预设都标了区域，运营方也可以填写其他地址：

| 区域标注 | 预设供应商 |
|---|---|
| `cn` | DeepSeek、通义千问（阿里云百炼）、Kimi（月之暗面）、火山方舟、智谱 GLM、硅基流动 |
| `us` | OpenRouter、OpenAI、Anthropic、Google Gemini、xAI |

- 组织可以为模型调用设置数据区域。只有区域相符的供应商的模型会出现在可选列表里，调用其他区域的模型会被拒绝。
- 标注为「任意区域」的供应商对所有组织可用。区域标注是否准确，由运营方负责。
- 火山引擎的语音服务在中国大陆。组织的数据区域设为 `eu` 或 `us` 时，语音识别会被拒绝。
- 模型网关默认不记录提示词和回答，网关日志保留 30 天。更多见[安全白皮书](/trust/security)。

## 二、组织连接自己的账号时才调用

下面这些服务只在组织管理员连接了组织自己的账号之后才会调用，数据进入组织自己在对方的账号。不连接，就不会调用。

| 服务 | 用来做什么 | 接入说明 |
|---|---|---|
| 企业微信 | 扫码登录；同步通讯录；导入外部联系人；同步打卡与排班；接收事件；把审批通过的单据记到经营；把消息推到企业微信 | [接入企业微信](/connect/wecom) |
| 飞书（国内版） | 扫码登录；只读同步部门和成员。国际版 Lark 不在其中 | [接入飞书](/connect/feishu) |
| 钉钉 | 扫码登录；只读同步部门和成员 | [接入钉钉](/connect/dingtalk) |
| 微信公众号与小程序 | 站点的微信登录和分享签名；顾客在小程序里登录；触达的模板消息 | [接入微信公众号与小程序](/connect/wechat) |
| 组织自己的短信账号（阿里云或腾讯云） | 触达活动发短信：收件人的手机号和短信内容 | [触达](/apps/outreach) |
| 微信支付、支付宝（组织商户） | 组织向自己的顾客收款：订单、金额，以及付款人的 OpenID、客户端 IP。钱直接进组织的商户账户，平台不经手银行卡号和支付密码 | [接入微信支付与支付宝](/connect/payments) |
| 组织自带的模型 | 组织自己的模型供应商。地址必须是 https，密钥只写、存在密钥库里 | [模型与 Agent 设置](/admin/models) |
| 组织自带的存储 | 组织自己的 S3 兼容存储桶（MinIO、AWS S3、阿里云 OSS、腾讯云 COS 等）。保存后新上传的文件进这个桶，已上传的留在原处。平台不备份、也不删除桶里的文件 | [数据、存储与导出](/admin/data) |
| 企业身份提供方 | 成员用公司账号登录：Microsoft Entra ID、Google Workspace、Okta、Keycloak、Authing 或其他 OIDC / OAuth 2.0 提供方 | [接入企业登录](/connect/sso) |
| 集成后台与 Webhook | 开放平台的事件签名后推到集成后台自己的 https 地址；Webhook 带签名，默认只允许公网 https 目标 | [接入开放平台](/connect/open-platform) |
| 托管应用访问的外部主机 | 只有在清单里声明了出网主机的应用版本才能出网，且只能访问声明过的主机和端口 | [应用、套件与技能](/admin/apps) |

> **注意**
>
> 企业微信的消息推送、客户联系同步、考勤同步和事件回调，以及飞书、钉钉的接入，目前只在模拟器上验证过。组织商户的微信支付收款也还没有对真实商户试过。

## 三、在浏览器或手机上直接加载的

这些请求由用户的浏览器或手机直接发出，不经过平台的服务器。对方能看到用户的网络地址。

| 服务 | 什么时候发生 |
|---|---|
| cdnjs.cloudflare.com、cdn.jsdelivr.net、unpkg.com | 助手在对话里画的卡片需要脚本库时，只从这三处加载 |
| 微信 JS-SDK | 组织站点的页面只允许加载这一个外部脚本 |
| 必应搜索 | 在手机应用的内置浏览器里点「用必应搜索」时，打开必应的搜索结果页 |

## 四、厂商运营 SaaS 用到的基础设施

| 服务 | 用来做什么 |
|---|---|
| 腾讯云 | SaaS 生产主机，位于上海。数据存放见[数据存放位置](/compliance/data-location) |
| 百度云 | 观察机：从生产环境之外拨测服务是否可用。机上的错误聚合服务目前没有任何组件向它发送数据 |
| Tailscale | 运维网络的控制面。运维人员经它登录生产主机和打开运维工具 |

## 私有化部署

- 第一类服务全部由你决定：用不用、用谁的账号。你提供模型供应商的账号与密钥，以及短信、邮件通道。
- 平台文件可以放本机数据卷或自带的对象存储，不出你的部署。
- 离线部署没有对外出口，模型走本地的 OpenAI 兼容端点，证书由网关自带的 CA 签发。
- 第二类服务仍由各组织自己决定是否连接。