AI 客服的数据边界怎么查：子处理者清单、默认开关、留存口径

直接答案

选 AI 客服时，「数据安不安全」这句话没法直接回答，但可以拆成三个能当场核对的问题：

1. 谁碰数据——子处理者（sub-processor）名册里列了谁，各自拿到哪一段数据、存在哪里；
2. AI 默认是开还是关——尤其是外部大模型（LLM）提供商，是默认启用还是默认关闭、谁能打开；
3. 数据留多久、拿来训什么——「不留存」指的是哪一段、多久；「训练」指的是训练你的助手，还是训练厂商的基础模型。

顺序很重要：先看名册，再看默认开关，最后才读隐私政策。 隐私政策是叙述性的，名册是可逐行核对的。Crisp 的子处理者页甚至单独开了一列 Location where Customer Data is held，而多数厂商的隐私政策只写「我们可能共享给服务提供商」。

下文用两个公开写法不同的样本对照：Crisp（托管 SaaS，外部 LLM 默认关闭）与 Chatwoot（开源、可自托管，平台有 SOC 2 Type II）。两者不是「谁更安全」的比较——它们把责任放在了不同的位置，读完你应该能说清自己买的是哪一种。

一张表：查什么、在哪查、合格长什么样

查什么	在哪查	看到什么算合格	看到什么要继续追问
谁碰数据	/sub-processors、/security、trust center	逐行给出用途；区分「客户数据存放地」与「只做中转」	清单里混着工资、背调等内部工具，却不标是否触及客户数据
请求会不会出境	子处理者表的所在地两列	分开写「公司所在地」与「客户数据所在地」	只写公司注册地，不写数据落在哪
外部 LLM 默认状态	子处理者页的 optional 标注 + 产品页	默认关闭、需客户显式开启、写清谁能开	只写「可能使用第三方 LLM」，不写默认值
留存	子处理者表 purpose 列、隐私政策	「transiently … not retained」这类可核对的表述	只写「不留存」，不写范围与时长
训练	隐私政策 + 产品页	分别说清「训练你的助手」与「训练基础模型」	全篇只有一个 train，不说是哪个模型
自托管	/security、部署文档	明确说明自托管把责任交给客户	用平台自身的 SOC 2 暗示你的实例也合规

表格最后一列是编辑判断，不是任何厂商的原话。

样本一：Crisp 把「默认关闭」写成了三层

Crisp 的子处理者页（页面标注 Last updated on: 15 July 2026）是一张五列表格：子处理者、类别、用途、公司所在地、客户数据所在地。2026-10-22 读到的 13 行可以压成三段。

第一段：默认在跑的基础设施。

子处理者	用途	公司所在地	客户数据所在地
DigitalOcean	主服务器与数据	美国	欧盟（NL + DE）
Amazon Web Services	加密备份存储	美国	欧盟（IE）
Scaleway	基础设施托管	欧盟（FR）	欧盟（FR）
Cloudflare	DNS、CDN、DDoS 防护	美国	No data held
Vultr	邮件中继	美国	No data held
Stripe	信用卡处理	欧盟（IE）	美国
PayPal	支付处理	欧盟（LU）	No data held

第二段：可选功能，客户开启才生效。 Google 的 Firebase Cloud Messaging（推送）与 Microsoft Azure（按需翻译与 AI-powered message processing）都写着 This processing is optional and performed only when the Customer enables …。

第三段：外部 LLM，默认关闭。 页面原话：

Crisp’s AI features run on Crisp’s own in-house AI infrastructure, hosted in the EU (Scaleway), and by default no Customer Data is sent to any external LLM provider. The third-party LLM providers listed below are entirely optional: they are disabled by default and used only when explicitly enabled by the Customer.

名单是 OpenAI、Gemini、Anthropic（美国）与 Mistral（欧盟），每家的说明都是 performed only upon documented instruction and activation by the Customer，数据 processed transiently for the sole purpose of generating responses and is not retained。

这三层要合起来读，不能只引其中一层。 Crisp 的隐私政策另有一句 Hugo AI may use LLM providers, such as OpenAI, to generate responses——它说的是「可能」，触发条件就是上面那条「客户显式开启」，两句并不互相否定。真正需要追问的是第二段里的 Azure：它同样标着 AI-powered message processing，也同样标着可选，但页面没有说明这一项具体承载哪个功能、是否与你开启的 LLM 名单重叠。这是一个应该在采购问卷里问清、而不是靠读页面猜的问题。

No data held 也不是「数据不经过」。Crisp 的隐私政策自己给了定义：

Whenever “no data held” is mentioned, the aforementioned sub-processor is usually being used to pass data along over the network, without holding it on its permanent storage.

所以 Cloudflare、Vultr、PayPal 那三行的意思是「中转但不落永久存储」，而不是「不接触」。同一页还写明跨境传输依据 GDPR 第五章与标准合同条款（Standard Contractual Clauses where applicable），DPA 附在客户的服务条款里（Article 28 GDPR）。

样本二：Chatwoot 把清单放进了信任中心

Chatwoot 的路径完全不同：安全页讲平台自身的控制，清单放在独立的信任中心。

安全页（https://www.chatwoot.com/security）的硬信息是：SOC 2 Type II Certified、GDPR Compliant、All data is encrypted at rest and in transit using AES-256 encryption. We use AWS KMS with hardware security modules for key management.、Hosted on AWS with GuardDuty, Inspector, and WAF protection、RBAC/SSO/审计日志/双因素，以及一个自托管选项：For organizations with strict data residency requirements, self-host Chatwoot on your own infrastructure. 页面同时自报 200K+ 个自托管实例（官方自报，未审计），许可证是 MIT。

隐私政策补的是训练口径，两句话值得逐字保留：

Chatwoot affirms that it does not use, develop, improve, or train generalized/non-personalized AI and/or ML models by using customer data …

Customer data is not transferred to any third-party AI/ML models or tools unless the customer has explicitly enabled an integration that uses such services (e.g., OpenAI).

接着它把清单指向 list of Chatwoot Subprocessors——也就是信任中心那一页。这里有一个纯操作层面的坑：该页用 curl 只能拿到 6 844 字节的空壳（正文由前端渲染），必须用真实浏览器打开。用浏览器读到的 9 家是：

子处理者	用途	国别
Amazon Web Services	云基础设施与托管	美国
GitHub	代码托管与开发流程	美国
New Relic	监控与可观测性	美国
Google Workspace	公司邮件、文档与内部沟通	美国
Checkr	员工与候选人背景调查	美国
Linear	项目管理与协作	美国
PagerDuty	告警与值班响应	美国
Vanta	安全与合规监控	美国
Gusto	工资与人事	美国

这张表和 Crisp 那张不是同一种东西。 Crisp 的表按「客户数据在哪」组织，且逐行标注数据是否落地；Chatwoot 这张表按「我们用了哪些服务商」组织，只给国别。Checkr（背调）、Gusto（工资）、Linear（项目管理）、Vanta（合规监控）处理的是 Chatwoot 自己的人力与研发事务，与你的客户会话数据无关；真正承载业务的是 AWS。清单本身没有错，错的是把它当成「9 家都能看到我的客户对话」来读，或者反过来当成「只有 9 家、且都无关」而跳过。

还有一条必须自己说清的边界：SOC 2 Type II 的认证主体是 Chatwoot Inc. 这家公司及其托管服务，不是你在自己服务器上跑的那个实例。 页面页脚写的是 © 2026 Chatwoot Inc.，认证范围不会跟着代码一起下载到你机房。选了自托管，加密、备份、访问控制、审计日志都要你自己举证——这一点在《自托管 AI 客服的真实成本》里已经算过一遍。

「train」这个词，指的是两个不同的模型

Crisp 的 AI 产品页满是 train：Connect multiple data sources to train a custom AI model、Train your AI，还写明 Only workspace's owners can launch AI training, and modify data to prevent from any possible harm。而它的隐私政策写的是 we never train our AI model with our Customer's data、Crisp does not use input data to train the model further。

两句放在一起容易读成矛盾，实际指的是两个对象：产品页说的是用你的内容训练属于你的那个助手（知识库、网站抓取、历史对话），隐私政策说的是不用你的数据训练厂商自己的基础模型。这两件事在采购时是两道不同的问题：

1. 我的内容会不会进入你的知识库、谁能看、删除账号时是否一并删除？
2. 我的对话会不会进入你的基础模型训练集？

只问第二道，会漏掉第一道；只看到产品页的 train，会以为自己的数据一定被拿去训练了通用模型。公开页面无法说明这两者在工程上如何隔离，这是要写进问卷的问题，不是能从营销页读出的结论。

六个动作，落到合同之前

• 先要子处理者清单，再要隐私政策。 名册可以逐行核对，叙述不能。找不到独立清单的厂商，直接问它「清单在哪、多久更新一次」。
• 逐行读 purpose，把两类处理者分开：处理你客户数据的（托管、备份、LLM、翻译），与只处理厂商自己业务的（工资、背调、项目管理）。混在一起读，会得出错误的恐惧或错误的安全感。
• 核默认值，而不是核「是否支持关闭」。 要问的是：AI 功能默认开还是关、外部 LLM 默认开还是关、哪个角色能打开、打开后有没有审计记录。
• 把「不留存」拆成三问：哪一段数据（原始消息／模型输入／输出／日志）、留存多久、谁可以访问。not retained 只回答其中一问。
• 把「训练」拆成两问：训练我的助手，还是训练你的基础模型；删除账号时知识库与向量索引是否一并删除。
• 自托管要自己举证：厂商的 SOC 2 不覆盖你的实例；把你的加密、备份、访问控制、日志留存写成自己的文档，客户问起时拿得出来。

三种最常见的误读

1. 把「默认关闭」读成「永不外发」。 默认关闭只是初始状态；一旦你在后台打开了那个开关，数据就会按清单里写的路径出境。要同时确认「谁有权打开」和「打开后有无记录」。
2. 把厂商的 SOC 2 读成自己的合规。 认证绑定的是厂商的服务与范围。托管用户可以引用它作为供应商证据；自托管用户引用它，等于拿别人的证书证明自己的机房。
3. 把 No data held 读成「不经过」。 它通常只表示不落永久存储，请求仍然经过那家 CDN 或支付网关。真正的判断依据是「哪一段数据、经过谁、落地多久」，而不是一个单元格里的四个单词。

来源

本文所有引用均来自下列公开页面，访问日期均为 2026-10-22，发布前逐条重新验证为 HTTP 200：

1. Crisp Sub-processors核查于 2026/10/22：13 行子处理者表、Location where Customer Data is held 列、外部 LLM 默认关闭的原话、四家 LLM 的 transiently … not retained、GDPR 第五章与标准合同条款。
2. Crisp Privacy Policy核查于 2026/10/22：we never train our AI model with our Customer's data、Hugo AI may use LLM providers, such as OpenAI、no data held 的定义、DPA 附于服务条款（Article 28 GDPR）。
3. Crisp AI Agent核查于 2026/10/22：train a custom AI model、Only workspace's owners can launch AI training。
4. Chatwoot Security核查于 2026/10/22：SOC 2 Type II、GDPR、AES-256、AWS KMS 与 HSM、GuardDuty/Inspector/WAF、RBAC/SSO/审计日志/2FA、自托管选项、200K+ 自托管实例、MIT、© 2026 Chatwoot Inc.。
5. Chatwoot Privacy Policy核查于 2026/10/22：不用客户数据训练通用模型、未经客户显式启用不转给第三方 AI/ML、指向信任中心的子处理者清单。
6. Chatwoot Trust Center · Subprocessors核查于 2026/10/22：9 家子处理者与各自用途、国别。该页正文由前端渲染，curl 只能得到 6 844 字节的空壳，需用浏览器打开。