每个地区对于在生产环境中部署 LLM 的 SaaS 如何处理数据都有不同规定。本指南是一份实用操作手册——说明各监管机构实际要求什么、Kunavo 提供和不提供什么，以及你仍需在自己一方完成什么。这不是法律建议（法律问题请咨询律师），但它是大多数工程团队实际需要的操作清单。
通用四项——适用于所有地区
- 在发送给上游 LLM 之前对个人身份信息（PII）进行假名化——绝不要将原始姓名、电子邮箱、电话号码、账号发送给第三方。使用稳定令牌进行掩码，并在本地还原
- 与每个处理个人数据的处理者签署 DPA / 数据处理协议。Kunavo 不提供 DPA——请求会在美国处理并转发给上游服务商——因此，如果需要涵盖 LLM 调用的 DPA，请根据 Anthropic、OpenAI 或 Google 的企业条款直接与模型服务商签约
- 维护审计跟踪记录——请求 ID、所用模型、提示词哈希、token 数量、时间戳。对于被遗忘权请求，日志必须可删除
- 更新隐私政策——明确提及 AI 处理，并列出子处理方（Kunavo + 上游供应商）
地区特定要求
🇪🇺 欧盟——GDPR（一般要求）
- 与每个处理者签署第 28 条 DPA——Kunavo 不提供该协议；对于 LLM 调用，请直接与模型服务商签约（Anthropic、OpenAI 或 Google 的企业条款）
- 向位于美国的上游服务商（Anthropic、OpenAI）传输数据时使用标准合同条款（SCC）——这些条款随服务商自己的 DPA 提供；Kunavo 没有欧盟区域，请求在美国处理
- 处理活动记录（第 30 条），包括 LLM 特定用途
- 隐私保护设计——假名化、数据最小化、目的限制
- 如果安全事件影响欧盟主体，须在 72 小时内通知数据泄露
🇩🇪 德国——DSGVO + Impressum + DDG
德国在 GDPR 之上增加了额外要求：
- Impressum（§ 5 DDG / § 18 MStV）——公布运营者身份、地址、联系方式和监管机构。面向德国用户的网站必须提供。Kunavo 自己的 Impressum 位于 /legal/impressum
- 对“非必要”数据处理实施更严格的同意要求（Cookie 同意、分析）
- 对于 B2B 销售：欧盟内部交易适用反向征税规则。Kunavo 的标准结账既不显示 VAT，也不收集 VAT ID；如需记账凭证，请写信至 contact@kunavo.com
DSGVO-konformer LLM-Einsatz 提供了德语深度指南及 PII 掩码代码。
🇫🇷 法国——RGPD + AI 主权问题
- RGPD 即 GDPR；同样适用第 28 条 DPA
- CNIL 是执法机构；对于健康和金融领域，预计会受到更严格的审查
- 对于敏感行业（公共部门、医疗、国防）：考虑仅使用欧盟路由——例如直接与 Mistral 签约；Kunavo 没有欧盟区域，也不提供仅限欧盟的路由
- 如果面向法国消费者提供服务，隐私政策必须使用法语
Conformité RGPD pour LLM en France 提供法语深度指南。
🇯🇵 日本——APPI + tokutei-shoutorihiki
- 特定商取引法 (Act on Specified Commercial Transactions)：公布卖方信息、退款政策、支付方式。在日本开展 B2C 业务时必须提供。Kunavo 页面位于 /legal/tokutei-shoutorihiki
- APPI（《个人信息保护法》）——Kunavo 不签署数据处理协议；对于涵盖 LLM 处理的合同，请直接联系模型服务商
- 向美国/欧盟上游供应商进行跨境传输需要获得同意或签订合同
🇰🇷 韩国——PIPA
- 韩国个人信息保护法——全球最严格的法律之一
- 收集和跨境传输必须获得明确同意
- 如果面向韩国用户提供服务，须提供韩语隐私声明
🇧🇷 巴西——LGPD + 面向金融科技的 BACEN
- LGPD（Lei Geral de Proteção de Dados）在结构上与 GDPR 相似
- 对于 PIX / 支付场景，适用 BACEN 第 4.018 + 3.978 号通告中的运营风险要求——记录模型决策，并允许提出异议
- Direito ao esquecimento（第 17 条）——你的日志必须可删除
Claude para análise de risco PIX no Brasil 专门介绍 LGPD + BACEN。
🇹🇷 土耳其——KVKK
- 个人数据保护法（KVKK）——DPA 结构类似于 GDPR
- 向境外传输数据需要获得明确同意或采用 KVKK 批准的保障措施
- 如果处理活动超过阈值，数据控制者必须向 KVKK 注册
零数据保留（ZDR）——何时需要使用
默认情况下，Anthropic 会记录提示词 30 天，Google 会记录 60 天，用于滥用监控。对于高敏感度工作负载（医疗、金融、政府、欧盟公共部门），模型服务商会根据各自的企业条款提供 ZDR。Kunavo 不提供 ZDR，因此以下每项都需要直接与服务商签约：
- Anthropic ZDR：适用于 Anthropic 企业客户。Anthropic 会在完成后 30 秒内删除提示词，不用于训练，并作出合同承诺
- Google Vertex AI ZDR + EU region：路由至 europe-west1（比利时）或 europe-west4（荷兰），数据留在欧盟境内，并可使用 ZDR
- OpenAI ZDR：仅限企业级别
通过 Kunavo 发送的请求会在美国处理，并转发给上游提供商；上游提供商自身的数据保留政策适用，Kunavo 无法为其启用 ZDR 或欧盟区域路由。需要其中任一项的工作负载应与模型提供商直接签订合同。
Kunavo 提供的内容与由你负责的内容
| 责任 | Kunavo | 你 |
|---|---|---|
| 与模型提供商签署 DPA | 不提供 | ✓（与提供商直接签订合同） |
| 提示词中的 PII 假名化 | ✓ | |
| 请求级审计日志 | ✓（Kunavo 负责） | ✓（你负责） |
| ZDR 或欧盟区域路由 | 不提供 | ✓（提供商企业条款） |
| 隐私政策中提及子处理方 | ✓ | |
| 删除你的数据的被遗忘权 | ✓ | |
| 充值的记账凭证 | 写信至 contact@kunavo.com |
30 分钟审计清单
- LLM 调用需要 DPA？Kunavo 不签署 DPA——请直接与模型提供商签约（Anthropic、OpenAI 或 Google 企业条款）
- 在每次 LLM 调用前添加 PII 假名化步骤（地区特定深度指南中提供模板代码）
- 确认你的审计日志记录了 request_id、prompt_hash、model、tokens、timestamp——并且可删除
- 更新隐私政策：将“Kunavo”+ 上游供应商列为子处理方，并提及处理目的（分类、生成等）
- 发布特定地区的法律声明：Impressum（DE）、tokutei-shoutorihiki（JP）——Kunavo 自身在 /legal 的声明展示了格式
- 如果属于敏感行业：直接与模型提供商安排 ZDR（Kunavo 不提供此服务）
- 设定每月审查周期——法规会变化，供应商会变化，你的审计日志保留期限可能需要调整
不要恐慌，但也不要跳过
对于没有特殊类别数据的大多数 B2C SaaS，通用四项加上一份更新后的隐私政策，就能完成 95%。剩余 5%——行业特定声明、ZDR、主权上游服务——会在你扩大规模或进入受监管行业时发挥作用。
常见问题
Kunavo 会签署 DPA（数据处理协议）吗？
不。Kunavo 不提供 GDPR 第 28 条数据处理协议、标准合同条款或欧盟数据驻留。请求会在美国处理，并转发给上游模型服务商；这些服务商各自的隐私和数据保留政策决定其如何处理内容。需要 DPA 的团队应根据 Anthropic、OpenAI 或 Google 的企业条款，直接与模型服务商签约。
LLM 提供商默认会保留提示词多久？
默认情况下，Anthropic 会记录提示词 30 天，Google 会记录 60 天，用于滥用监控。零数据保留会移除这一时间窗口，但必须直接与各模型服务商协商；Kunavo 不提供该服务。
如何为 LLM API 调用获取零数据保留（ZDR）？
直接与模型服务商签约：Kunavo 不提供零数据保留，因为通过 Kunavo 发送的请求会在美国处理，并根据上游服务商各自的数据保留政策转发给这些服务商。Anthropic 向企业客户提供 ZDR，并在处理完成后 30 秒内删除提示词，不用于训练且具有合同承诺。Google Vertex AI 提供 ZDR，并支持将请求路由到欧盟区域 europe-west1（比利时）或 europe-west4（荷兰）。OpenAI 的 ZDR 仅适用于 Enterprise 层级。
上线 LLM 功能所需的最低合规工作是什么？
每个地区都适用四项要求：在数据到达 LLM 上游之前对 PII 进行假名化处理；签署数据处理协议；保留审计轨迹（请求 ID、模型、提示词哈希、token 计数、时间戳），并能够响应被遗忘权请求进行删除；更新隐私政策，说明 AI 处理并列出子处理者。对于没有特殊类别数据的大多数 B2C SaaS，这四项加上 DPA 可覆盖约 95% 的要求。
哪些国家对 AI 产品要求 GDPR 之外的通知？
德国根据 § 5 DDG / § 18 MStV 要求提供 Impressum。日本要求发布 特定商取引法通知，其中包含卖方身份、退款政策和面向 B2C 的付款方式。韩国《个人信息保护法》（PIPA）要求提供韩语隐私通知，并就跨境传输取得明确同意。巴西《通用数据保护法》（LGPD）针对 PIX 和支付场景增加了 BACEN 第 4.018 号和第 3.978 号通告。土耳其《个人数据保护法》（KVKK）要求对向国外传输数据取得明确同意，或采用经 KVKK 批准的保障措施。