我们保存什么，数据去往何处，以及如何取回。

贵机构是数据控制者。 workspace 中的每一条学生记录、文件、咨询笔记、同意记录与佣金明细都属于贵机构。收集什么、为何收集、谁能查看、保存多久，由贵机构决定。学生询问自己的数据时，问的是贵机构。

Visatory 是数据处理者。 我们保存这些数据，是因为我们运行着承载它的软件。我们不出售数据，不用它训练模型，也不会用一家机构的记录去为另一家机构做任何事。

每个 workspace 拥有独立的数据库，而不是共享表中的一行。这是一个带来隐私后果的工程决定：导出是导出整个数据库，删除是删除整个数据库，而写错了机构的查询根本无处落地。

在 workspace 之外，我们保存与贵机构开展业务所必需的信息：登录人员的姓名与邮箱、机构名称与国家、订阅与发票记录、credit 账本，以及贵机构发给我们的消息。仅就这部分而言，我们是数据控制者。

逐一列名，并写明各方实际收到什么。这是当前的名单；名单变更时，本页随之变更。

• Vercel托管与内容分发网络。对产品的每一个请求都经过它，因此它在传输过程中处理该请求所含的内容。
• Turso数据库，包括贵机构的 workspace。这是数据静态存放之处。
• Resend对外邮件：登录验证码、通知，以及贵机构发送的营销邮件。收到收件地址与邮件内容。
• AnthropicAI counsellor。仅在一次咨询或文书反馈会话运行的那一刻，收到该会话的文本，此外不收到任何内容。
• Paddle支付。Paddle 是记录商户，直接收取银行卡信息，因此 Visatory 从不接触卡号。
• AiraloeSIM 履约。仅在贵机构购买流量包时收到订单，此外不收到。
• Sentry错误上报。
• Unsplash本站与机构网站模板中的封面照片。图片从 Unsplash 加载，因此访客的浏览器会向其发出请求。

Sentry 被配置为不接收请求体、不接收用户标识、不接收 IP 地址，会话回放完全未启用。学生表单上抛出的错误只告诉我们是哪个文件哪一行，而不告诉我们那一栏里输入了什么。这确实让我们损失了排查上下文，是一个刻意的取舍。

在 workspace 内，保存期限由贵机构设定，且自档案上最后一次活动起算，而非自建档之日起算。产品会拒绝删除仍在期限内的记录，并告知它何时可被删除。贵机构因可能被查阅而保留的记录属于贵机构；我们不会代为使其到期。

贵机构的数据可随时以可读格式导出，无需向我们申请。这是一项功能，而不是一张申请表；它在试用的最后一天与第一天同样有效。

发信至 support@visatory.com，workspace 的数据库连同其中存放的文件将被删除，完成后我们会告知。托管与数据库服务商持有的备份按其自身周期过期；我们不会在备份中检索单条记录。

workspace 转为只读，不会被删除。每一条记录仍可阅读、仍可导出——因为一张未付的发票就删掉一家机构的学生档案是站不住脚的，而那些档案正是审查要看的证据。

学生索取自己档案的副本或要求删除，找的是自己的机构——这两件事贵机构都能在产品内完成。若请求涉及只有我们持有的部分，请写信至 support@visatory.com，我们会处理并告知具体做了什么。

重大变更会在 changelog 中公布，并在生效前通过邮件通知 workspace 所有者。页首的日期即本文最后一次修改的日期。

support@visatory.com 处理 workspace 内数据的一切问题。office@vnisgroup.com 通往 VNIS Vietnam Company Limited，即 Visatory 背后的公司。