每次变更都经过检查，并有记录可查。

• 每个拉取请求都要通过项目的 CI 和安全扫描，然后接受 AI 安全审查；审查采用失败即关闭的原则：没有结论，就不合并；合并锁定在经过审查的确切版本上。主分支上的防护会拒绝部署任何绕过关卡的内容。
• 可自带模型订阅或 API 密钥，也可运行本地模型。这些均保存在您的 PP Orchestrator 中，绝不存放在实例里（仅可选的语音密钥例外）。
• 编码智能体可运行于您的笔记本电脑、VPS 或本地机房：这样云端实例就永远不需要您的源代码进入我们的机器。若您选择由我们代为运行的 PP Orchestrator，智能体则改为在我们的机器上工作。
• 自托管：存放在您运行实例的地方。云端：一个位于德国（欧盟）的私有实例，数据库位于法兰克福。AI 调用仅发送至您选择路由的模型（若启用语音，则发送至 ElevenLabs）；若自托管并使用本地模型，则没有任何 AI 调用会离开您的场所。云端实例运行时我们会读取哪些数据：见下文。
• 对于云端实例，我们只读取运行所必需的内容，并且由我们主动拉取：实例从不主动向我们发送任何内容。每 5 分钟进行一次健康检查。每晚一次使用情况摘要，包括：成员数量；本月 AI 支出，包括总额及按模型提供商划分的明细（调用次数、令牌数、费用，以及所用密钥是您的还是我们的）；最后活动时间；版本；电子邮件模式；是否已连接 PP Orchestrator，及其版本和运行状况（队列、响应时间、内存、磁盘）；首次登录、完成的培训课程、项目、构建、已接受的需求、已合并的拉取请求、部署以及向 Product Printer 提交反馈的发生时间和次数；试用事件（已使用的 AI 额度、所选套餐）；以及第 7 天应用内问题的回答（0–10 分评分及“缺少什么”，不含作者信息）。每小时一次，会读取成员电子邮件地址的带密钥哈希值（从不包含地址本身），以便“查找您的实例”功能可以发送登录链接。在我们提供 AI 额度期间（试用期间），我们还会读取其支出并设置上限。绝不读取项目内容、需求、代码、客户数据或用户列表。在我们的云端，这些读取属于服务的一部分，无法关闭。自托管实例仅在您设置其读取密钥（INSTANCE_OPS_READ_SECRET）后才会响应这些请求；若未设置，则不会响应任何人。
• 您可随时导出整个实例——无论如何，它都属于您。

发现安全问题？请写信至 [email protected]。