内网数据存储规范与合规披露说明
内网部署的好处是位置明确：数据在你的机房，不在别处。这一页把“存什么、存多久、谁能看”拆开讲，便于写进内部说明。
内容同时适用于离线部署与云托管，差别会在对应段落标注。
存什么
| 账号数据 | 成员名单、部门关系、登录凭据 |
|---|---|
| 会话数据 | 消息内容（端到端加密）、已读状态、群组关系 |
| 文件数据 | 云盘文件与消息附件，高强度加密存储 |
| 审计数据 | 登录记录、管理员操作、日志导出记录 |
以上四类均存放在部署环境的数据库中，不向外部回传。云托管形态下，数据位于托管环境，控制权仍归部署方。
存多久
- 会话消息：默认长期保留，可按策略设定保留时长。
- 阅后即焚消息：按设定在查看后销毁。
- 云盘文件：不限存放时间，由使用方自行清理。
- 审计日志：按内部制度设定留存周期，到期归档或清理。
提示：留存策略一旦收紧，历史数据不会自动补删，需要单独执行清理。
谁能看
会话参与者
只能看到自己参与的会话；手机号与用户 ID 可按需隐藏。
部门管理员
管理本部门成员与群组，不读取成员会话内容。
超级管理员
负责全局配置与审计查询，操作留有记录。
本机使用者
应用锁开启后，未通过验证无法查看会话。
权限边界由部署方设定。若内部要求“管理员也不可见内容”，可在策略中进一步收紧审计与查询范围。
合规披露要准备什么
- 数据存储位置说明：机房、数据库与文件存储的实际位置。
- 加密机制说明：会话消息端到端加密，群消息 TLS 传输，文件高强度加密。
- 权限清单：角色划分与对应的可见范围。
- 留存与删除规则：保留多久、由谁执行删除、如何验证。
四份材料配齐，多数内部审计与测评问询都能直接回应。
数据相关提问
删除成员后，他的聊天记录还在吗？
账号被停用后无法登录，记录仍留在部署环境中，是否清理由内部留存规则决定。
备份文件算不算数据外泄风险？
算。备份同样应加密保存，并限制访问范围，避免成为最薄弱的一环。
隐藏手机号会影响账号管理吗？
不影响。管理侧仍按成员标识管理，隐藏只作用于会话界面展示。
开源会不会让人更容易攻击？
开源让实现可被检查，安全性取决于实现质量；测评时可直接以源码作为说明材料。