贵公司能放心把录音交给 SozAI 吗？

先说结论

SozAI 是一款可在手机、平板、Mac 和网页上使用的转写应用。你的录音和转写文本存放在 Hetzner 位于德国的服务器上，所有连接都使用 HTTPS。每个文件或录音的音频会发送到美国的 AssemblyAI 做语音识别，转写文本则通过 OpenRouter 交给 AI 模型来生成笔记和对话回答。SozAI 的代码不会用你的录音训练模型，你可以自己删除一段录音或整个账号。我们没有 SOC 2 报告，没有属于自己的 ISO 27001 证书，没有 SSO，没有审计日志，也没有 HIPAA BAA。

下面的表格把全貌放在一个屏幕里。每一行都链接到支撑它的页面，安全审查人员可以核实我们，而不必只是相信我们。

控制措施一览

答案截至 2026 年十月 27 日。如果某一行与它链接的页面不一致，请发邮件到 [email protected]，我们会修正有误的那一个。

一段录音的完整路径

以你在 web.sozai.app 上传的一段一小时访谈为例。文件通过 HTTPS 到达我们位于德国的服务器，并存放在那里。它的音频只一次发送到美国的 AssemblyAI，由它返回带说话人标签和时间戳的文本。从这时起，AI 功能都基于这份文本：当你要求生成笔记或测验时，转写文本通过 OpenRouter 交给分配给该任务的模型。除语音识别外，没有任何 AI 模型会接收音频。

有两条路径不同。YouTube 链接会发给 Google Gemini API，它收到的是链接和我们的指令，没有你的任何音频。在 Mac 应用里录的会议由 Mac 自己转写：音频不上传，只有完成的文本保存到你的账号。详细情况，包括应用会请求哪些同意，见SozAI 如何使用 AI。

sozai.app 上的免费工具遵循另外的规则

sozai.app/tools/ 上的免费学习和摘要工具无需账号即可使用。它们会把你粘贴的文本通过 OpenRouter 发给免费的 AI 模型，而免费模型的服务商可能会保留或使用收到的内容。请不要把机密文本放进去，改用应用，上面的表格适用于应用。

SozAI 不适合的情况

如果下面任何一条符合你的情况，请选择别的产品：

• 你处理患者信息，需要 HIPAA BAA。对于临床笔记，我们的姊妹应用 notavik 把录音和笔记保存在设备上；
• 你的安全政策要求每家供应商都提供 SOC 2 报告或 SSO；
• 音频绝不能离开欧盟。语音识别在美国进行；
• 管理员需要查看或管理每位成员的录音。每个人的资料库归他自己。

如果以上都不适用，SozAI 适合用于访谈和内部会议，前提是被录音的人知情。

出了问题怎么办

1. 遏制：切断受影响的访问，轮换密钥，必要时停止受影响的服务。
2. 评估：根据服务器日志，弄清是哪些数据、哪些账号、从何时开始。
3. 通知：以邮件方式通知数据受影响的客户，不会无故拖延；我们的目标是确认泄露后 72 小时内（DPA，第 10 节）。
4. 修复和复盘：消除原因，确认修复有效，并在本页和安全问卷中有任何变化时更新它们。

数据库每晚备份，每月测试一次恢复。我们的目标是最多丢失 24 小时的数据，并在 24 小时内恢复服务。

报告漏洞

发邮件到 [email protected]，主题写“Security”。请告诉我们你发现了什么、复现的步骤，并指明它影响 SozAI 的哪个部分。我们阅读英文和俄文的报告，通常在一个工作日内回复。

在你测试期间，我们请你做到三点：

1. 只使用你自己的账号。不要打开或更改属于别人的数据，一旦看到别人的数据就立即停止。
2. 不要进行拒绝服务或压力测试，也不要发送自动化的大量请求。
3. 在你公开之前给我们时间修复问题，并告诉我们你打算何时公开。

我们没有付费的漏洞赏金。同一联系方式也以机器可读的形式发布在 /.well-known/security.txt。