隐私控制
TelegramOS 隐私控制：数据分析退出选项、会话保险库、哪些数据静态加密、谁能读取什么，以及数据在何处处理。
平台为您提供少量隐私控制项。本页列出现有的控制项、它们实际的作用，以及哪些内容以明文形式存储。
隐私开关
消息数据分析
“设置 > 隐私 > 消息数据分析”。按用户存储为 analytics_enabled（默认开启）。
- 开（默认）：来自您账号的消息事件会被处理为工作区数据分析和 AI 洞察。参见数据分析。
- 关：数据分析 API 和 AI 洞察拒绝为您的工作区计算或返回由消息派生的分析数据。该检查采取失败即关闭策略：如果无法读取此偏好，则不显示任何内容。事件采集本身不会被关闭；已采集的事件也不会被删除。
会话保险库
“账号 > （自有账号） > 保险库”。使用您持有的口令重新加密该账号的 Telegram 会话，这样在保险库锁定期间平台无法读取它。自动化仅在解锁窗口内运行（默认 1 小时，最长 24 小时）。丢失口令意味着需要从 Telegram 重新登录该账号。租用账号不可用此功能。详情见安全 › 保险库模式。
按账号的 Telegram 隐私设置
“账号 > 编辑资料”显示该账号真实的 Telegram 隐私设置（谁可以看到手机号、最后上线时间、头像等），实时从 Telegram 读取，并允许您修改。这些是通过账号会话应用的 Telegram 自身设置，而不是平台设置。
不可配置的内容
- 隐藏登录验证码不是开关。与 Telegram 系统账号（peer 777000）的对话对租用账号始终隐藏，对自有账号始终可见。
- 运行时隔离不是开关。每个活跃账号始终在自己的工作进程中运行。
哪些数据静态加密
| 数据 | 加密方式 |
|---|---|
| Telegram 会话字符串 | 使用平台会话密钥的 Fernet 加密；可选按账号的信封加密或口令保险库 |
| 代理凭据 | Fernet，同一密钥 |
| Bot API 令牌 | AES-256-GCM，密钥由平台主密钥派生 |
| Webhook 签名密钥 | Fernet |
| TOTP 密钥 | Fernet，在配置了 TOTP 加密密钥时 |
| 密码 | 仅 bcrypt 哈希 |
| 2FA 备用码、刷新令牌、API 密钥 | 仅 SHA-256 哈希 |
| 消息内容和会话元数据 | 应用层不加密 |
| 附件（MinIO） | 服务端不加密 |
| 数据分析事件（ClickHouse） | 应用层不加密 |
| 数据库备份 | 不加密；位于数据库主机的本地卷上，没有异地副本 |
没有 KMS 管理的密钥层级，也没有定期密钥轮换。参见安全 › 加密。
密钥处理与日志记录内容
以下内容永远不会以明文形式存在于数据库中：
- 明文密码（仅 bcrypt）。
- 2FA 备用码、刷新令牌和 API 密钥（仅哈希；API 密钥仅在创建时显示一次）。
- 支付卡数据。平台不接受银行卡。加密货币充值由 NowPayments 处理，Telegram Stars 由 Telegram 处理；只有最终的支付状态和金额会到达平台。
以下内容会被记录，您应当知晓：
- Webhook 投递：发送到您端点的完整事件负载、HTTP 状态以及您端点响应的前 400 字节，保留 7 天（已投递）或 30 天（失败）。
- 连接审计：每次 Telegram 连接的代理主机和端口、设备型号、结果、错误文本和持续时间。
- 审计日志：团队管理操作及其操作者、IP 地址和 User-Agent；会话导出；代理生命周期操作。
- HTTP 访问日志：边缘和各服务中的客户端 IP、方法、路径、状态和 User-Agent。请求体不会写入访问日志。
- 消息正文：作为普通记录存储，以便收件箱、搜索和数据分析读取。运维日志行引用的是消息 ID 和数量而非正文，但这只是约定，不是脱敏层。
数据访问控制
角色来自团队 RBAC 引擎。所有者可以按成员覆盖单个权限。
| 角色 | 默认权限 |
|---|---|
| Owner（所有者） | 全部，包括账单管理和团队设置 |
| Admin（管理员） | 读取、写入和删除账号；读取、运行、写入和删除任务；在收件箱中读取和回复；数据分析；读取和写入机器人；邀请、更新和移除成员；读取审计日志；读取账单。不能管理账单或团队设置。 |
| Operator（操作员） | 读取账号；读取和运行任务；在收件箱中读取和回复；数据分析；读取机器人；读取成员。不能创建或编辑账号、机器人或任务。 |
| Viewer（查看者） | 读取账号、任务、收件箱、数据分析、机器人和成员。只读，但这包括消息内容。 |
查看者可以读取会话。如果某位成员不应看到消息正文，请在“设置 > 团队”中移除该成员的 inbox:read。
会话导出（原始 Telegram 会话字符串）仅对自有账号的所属租户可用，在保险库模式下会被拒绝，并且每次导出都会写入审计日志。
数据处理地点
平台运行在芬兰赫尔辛基（欧盟）的单台主机上。Postgres、Redis、ClickHouse、MinIO 和所有备份都位于该主机。代理流量从代理所分配的地区出口，可能与之不同。
代表平台处理数据的第三方：
| 处理方 | 用途 | 数据 |
|---|---|---|
| Cloudflare | 边缘代理和 TLS | 全部 Web 流量 |
| NodeMaven | 住宅代理 | 使用租用代理的账号的 Telegram 流量 |
| NowPayments | 加密货币充值 | 订单金额、订单 ID、支付状态 |
| Telegram | Stars 支付、机器人登录、支持机器人 | Telegram 用户 ID、支付状态、支持消息 |
| 可选的 Google 登录 | 来自 OAuth 授权的邮箱和个人资料 | |
| AI 提供商（OpenAI、Anthropic、DeepSeek、OpenRouter） | AI 回复、洞察和人设功能，仅在您使用时 | 为该请求发送的会话文本 |
数据保留
| 数据 | 保留期 |
|---|---|
| 消息、会话、联系人 | 直到您删除账号（自有）或租用账号被归还。删除自有账号会通过数据库级联移除其消息、任务、规则和流程记录；收件箱会话索引记录不会自动移除 |
| 租用账号 | 归还时，在账号退回账号池之前，会在 Telegram 端为双方删除聊天记录 |
| 账号健康日志 | 90 天 |
| Webhook 投递 | 已投递 7 天，失败 30 天 |
| 登录会话 | 过期 7 天后清理 |
| 审计和连接日志 | 无自动过期 |
| Postgres 逻辑转储 | 每日，保留 7 天 |
| Postgres 时间点备份 | 每日基础备份加 WAL，保留 3 天 |
关于删除请求以及删除实际移除的内容，请参见政策与权利。