**SozAI 信任中心：数据去向及原因**
Source: https://sozai.app/zh/trust/

信任中心

# 贵公司能放心把录音交给 SozAI 吗？

你的数据存放在哪里、由谁处理，以及我们没有的认证。每个答案都链接到它的佐证。

[阅读安全问卷](https://sozai.app/trust/security-questionnaire/)

## 先说结论

SozAI 是一款可在手机、平板、Mac 和网页上使用的转写应用。你的录音和转写文本存放在 Hetzner 位于德国的服务器上，所有连接都使用 HTTPS。每个文件或录音的音频会发送到美国的 AssemblyAI 做语音识别，转写文本则通过 OpenRouter 交给 AI 模型来生成笔记和对话回答。SozAI 的代码不会用你的录音训练模型，你可以自己删除一段录音或整个账号。我们没有 SOC 2 报告，没有属于自己的 ISO 27001 证书，没有 SSO，没有审计日志，也没有 HIPAA BAA。

下面的表格把全貌放在一个屏幕里。每一行都链接到支撑它的页面，安全审查人员可以核实我们，而不必只是相信我们。

## 控制措施一览

答案截至 2026 年十月 27 日。如果某一行与它链接的页面不一致，请发邮件到 support@sozai.app，我们会修正有误的那一个。

| 控制项 | SozAI 的做法 | 佐证页面 |
| --- | --- | --- |
| 数据存放位置 | 数据库（账号、转写文本、笔记、闪卡、测验）和音频文件都在我们位于德国 Hetzner 的服务器上。Hetzner 的数据中心园区通过了 ISO/IEC 27001 认证。该证书属于 Hetzner，不属于我们。 | [安全](https://sozai.app/security/) 、 [子处理方](https://sozai.app/subprocessors/) |
| 传输加密 | 所有到 SozAI 的连接都使用 HTTPS（TLS 1.2 或 1.3）。Cloudflare 在其边缘节点解密流量，并在送往我们服务器的途中重新加密。 | [安全](https://sozai.app/security/) |
| 静态加密 | 不是我们加的。我们自己不对服务器磁盘加密。每晚的数据库备份在离开服务器之前已在服务器上加密。 | [安全](https://sozai.app/security/) |
| 对你资料库的访问 | 你登录自己的账号后才能打开你的录音。每个人有自己的账号和资料库。在团队或教育方案里，购买者负责管理席位，无法打开成员的录音。 | [条款](https://sozai.app/terms/) |
| 登录 | Google、Apple，或我们发到你邮箱的六位数验证码，有效期三分钟。SozAI 没有密码，没有我们自己的双重验证设置，也没有 SSO。 | [安全](https://sozai.app/security/) |
| 删除 | 你可以在任何应用或 web.sozai.app 自己删除一段录音或整个账号。这会把音频以及由它生成的所有内容从我们的服务器上删除。 | [删除录音](https://sozai.app/help/privacy/delete-recording/) 、 [删除账号](https://sozai.app/help/account/delete-account/) |
| 保留期限 | 转写文本和笔记保留到你删除为止。音频按你的设置保留：保留（默认）、30 天，或转写后立即删除。已删除的转写文本最多可能在加密备份里再保留 12 个月，AssemblyAI 则按它自己的条款保留其处理过的副本。 | [安全](https://sozai.app/security/) |
| 备份 | 数据库每晚加密备份到 Cloudflare R2。我们保留 14 份每日、8 份每周和 12 份每月的副本，并每月测试一次恢复。音频文件不在这些备份里。 | [安全](https://sozai.app/security/) |
| 子处理方 | 每家接收你数据的公司都有列出，写明它收到什么，以及哪个操作会把数据发到那里。名单一变，页面和它的日期就随之更新。 | [子处理方](https://sozai.app/subprocessors/) |
| AI 与模型训练 | 语音识别在 AssemblyAI（美国）进行。文本类任务通过 OpenRouter 交给 Anthropic、Google 或 xAI 的模型。我们的代码不会用你的录音训练模型。各家服务商按它们自己的条款运作。 | [SozAI 如何使用 AI](https://sozai.app/trust/ai/) |
| 支付 | 应用订阅由 App Store 或 Google Play 收费。网页版方案由我们的商户代理 Polar 销售，它负责扣款并开具收据和发票。银行卡信息不会传到 SozAI：你在商店或 Polar 的结账页面里输入。 | [条款](https://sozai.app/terms/) 、 [退款政策](https://sozai.app/refund-policy/) |
| 认证 | 我们自己没有任何认证。没有 SOC 2 报告，没有 ISO 27001 证书，不符合 HIPAA，没有 BAA。 | [安全](https://sozai.app/security/) |
| 团队管理 | 由一位购买者添加席位并发送邀请。没有 SSO，没有 SCIM 配置，没有审计日志，没有管理员角色，没有共享的团队文件夹。 | [企业用 SozAI](https://sozai.app/business/) |
| 服务状态 | 没有公开的状态页面。条款不承诺服务不中断。 | [条款](https://sozai.app/terms/) |
| 数据处理协议 | 我们的 DPA，以及如何申请。 | [DPA](https://sozai.app/dpa/) |
| 安全问卷 | 80 个供应商审查问题，每个答案都注明日期，并可追溯到来源。 | [安全问卷](https://sozai.app/trust/security-questionnaire/) |
| 漏洞报告 | 发邮件到 support@sozai.app，主题写“Security”。没有付费漏洞赏金。 | 如何报告 、 [security.txt](https://sozai.app/.well-known/security.txt) |

## 一段录音的完整路径

以你在 web.sozai.app 上传的一段一小时访谈为例。文件通过 HTTPS 到达我们位于德国的服务器，并存放在那里。它的音频只一次发送到美国的 AssemblyAI，由它返回带说话人标签和时间戳的文本。从这时起，AI 功能都基于这份文本：当你要求生成笔记或测验时，转写文本通过 OpenRouter 交给分配给该任务的模型。除语音识别外，没有任何 AI 模型会接收音频。

有两条路径不同。YouTube 链接会发给 Google Gemini API，它收到的是链接和我们的指令，没有你的任何音频。在 Mac 应用里录的会议由 Mac 自己转写：音频不上传，只有完成的文本保存到你的账号。详细情况，包括应用会请求哪些同意，见 [SozAI 如何使用 AI](https://sozai.app/trust/ai/) 。

## sozai.app 上的免费工具遵循另外的规则

[sozai.app/tools/](https://sozai.app/tools/) 上的免费学习和摘要工具无需账号即可使用。它们会把你粘贴的文本通过 OpenRouter 发给免费的 AI 模型，而免费模型的服务商可能会保留或使用收到的内容。请不要把机密文本放进去，改用应用，上面的表格适用于应用。

## SozAI 不适合的情况

如果下面任何一条符合你的情况，请选择别的产品：

- 你处理患者信息，需要 HIPAA BAA。对于临床笔记，我们的姊妹应用 [notavik](https://notavik.com) 把录音和笔记保存在设备上；
- 你的安全政策要求每家供应商都提供 SOC 2 报告或 SSO；
- 音频绝不能离开欧盟。语音识别在美国进行；
- 管理员需要查看或管理每位成员的录音。每个人的资料库归他自己。

如果以上都不适用，SozAI 适合用于访谈和内部会议，前提是被录音的人知情。

## 出了问题怎么办

1. 遏制：切断受影响的访问，轮换密钥，必要时停止受影响的服务。
2. 评估：根据服务器日志，弄清是哪些数据、哪些账号、从何时开始。
3. 通知：以邮件方式通知数据受影响的客户，不会无故拖延；我们的目标是确认泄露后 72 小时内（ [DPA](https://sozai.app/dpa/) ，第 10 节）。
4. 修复和复盘：消除原因，确认修复有效，并在本页和安全问卷中有任何变化时更新它们。

数据库每晚备份，每月测试一次恢复。我们的目标是最多丢失 24 小时的数据，并在 24 小时内恢复服务。

## 报告漏洞

发邮件到 [support@sozai.app](mailto:support@sozai.app?subject=Security) ，主题写“Security”。请告诉我们你发现了什么、复现的步骤，并指明它影响 SozAI 的哪个部分。我们阅读英文和俄文的报告，通常在一个工作日内回复。

在你测试期间，我们请你做到三点：

1. 只使用你自己的账号。不要打开或更改属于别人的数据，一旦看到别人的数据就立即停止。
2. 不要进行拒绝服务或压力测试，也不要发送自动化的大量请求。
3. 在你公开之前给我们时间修复问题，并告诉我们你打算何时公开。

我们没有付费的漏洞赏金。同一联系方式也以机器可读的形式发布在 [/.well-known/security.txt](https://sozai.app/.well-known/security.txt) 。

更新于 2026年10月27日 作者： [Merey Tleugazin](https://sozai.app/zh/about/merey/)

答案

## 常见问题

用 SozAI 处理机密的商务会议安全吗？

如果你的规定允许使用美国的语音识别处理方，以及按自己条款运作的 AI 模型服务商，那就可以。文件存放在德国，每家处理方都列在 /subprocessors/ 上，你也可以自己删除录音。如果音频必须留在你自己的电脑上，请用 Mac 应用录会议，它在 Mac 上转写。

SozAI 会用我的数据训练 AI 模型吗？

SozAI 不会：我们的代码里没有任何东西会把你的录音或转写文本送去训练模型。处理它们的公司（AssemblyAI 以及 OpenRouter 背后的模型服务商）按各自的条款处理数据，链接在 /subprocessors/ 上。详情见 /trust/ai/。

SozAI 把我的数据存在哪里？

存在我们位于德国 Hetzner 的服务器上：数据库和音频文件。每晚加密的数据库备份存放在 Cloudflare R2。处理并不局限于欧盟：语音识别在美国的 AssemblyAI 进行。

SozAI 通过 SOC 2 或 ISO 27001 认证了吗？

没有。我们没有 SOC 2 报告，也没有属于自己的 ISO 27001 证书。托管我们服务器的 Hetzner 数据中心园区通过了 ISO/IEC 27001 认证，但那份证书属于 Hetzner。

SozAI 支持面向我所在组织的 SSO 或 SCIM 吗？

不支持。没有 SSO（SAML 或 OIDC），没有 SCIM 配置，也没有审计日志。大家用 Google、Apple 或一次性邮件验证码登录，团队购买者通过邮件或一次性链接邀请成员。

SozAI 符合 HIPAA 吗？你们会签 BAA 吗？

不符合。SozAI 不符合 HIPAA，我们也不签署业务伙伴协议（BAA），所以请不要用它处理患者信息。我们的姊妹应用 notavik 把临床录音和笔记保存在设备上。

SozAI 有数据处理协议吗？

我们的数据处理协议以及申请方式在 /dpa/ 上。如果有它没有回答的问题，请写信到 support@sozai.app。

怎样报告 SozAI 的安全漏洞？

发邮件到 support@sozai.app，主题写“Security”。说明你发现了什么，以及如何复现。只在你自己的账号上测试，不要做压力测试，并在公开之前给我们时间修复。我们没有付费的漏洞赏金。

将下一段录音转换为文字

录音、上传文件或粘贴链接，即可获得转录稿、说话人标注和摘要。

 [阅读安全问卷](https://sozai.app/trust/security-questionnaire/)

iOS 和 Android 免费使用。转写 YouTube 内容无需账户。


---
This is the markdown twin of https://sozai.app/zh/trust/ — the same content, without the markup.
Published by SozAI (https://sozai.app). Reuse and quotation are allowed with attribution and a link back.
Machine-readable index: https://sozai.app/llms.txt · data API: https://sozai.app/api/