安全与数据处理
按服务目前的运行方式，说明在 Occlusia 的每种使用方式中，您的模型、图纸和凭据会经历什么——供需要评估的团队参考。
三种使用 Occlusia 的方式，您的模型有三条路径
Studio 在您的计算机上绘图；REST API 和 MCP 在 Occlusia 的服务器上绘图。
- Occlusia Studio，在您的浏览器中
- 您的模型在您自己计算机上的浏览器中打开、绘制和保存，不会存储在 Occlusia 的服务器上。它们只在三种情况下会到达这些服务器：DXF 或 PDF 导出，其图纸经转换后返回，之后不予保留；通过 Occlusia Link 建立的实时链接，其模型经由 Occlusia 的中继传送到您已打开的标签页；以及 Auto config，它只接收您的对象和分组的名称，且从不存储或记录这些名称。未保存项目的恢复副本保留在您浏览器的存储中。
- REST API，在 Occlusia 的服务器上
- 您上传的模型由 Occlusia 的引擎在 Occlusia 的服务器上，于专属会话中打开、绘制和导出。其文件在会话存续期间保留在该会话中——直到您结束会话、闲置 15 分钟后，或最长 8 小时后——并随会话一并删除。
- MCP，在 Occlusia 的服务器上，经由您的 AI 工具
- Occlusia 的 MCP 服务器仅提供远程访问：它与 REST API 并行运行，地址为 api.occlusia.app/v1/mcp。您连接的 AI 工具在一个工作区中工作——每个密钥或已连接的应用对应一个引擎会话——闲置 15 分钟后结束，其文件随之删除。AI 工具自身会保留您的哪些对话内容以及它所看到的哪些文件，由其自己的提供方负责。
每个会话都在专属的引擎中运行
模型文件可能格式有误，或被刻意构造成如此：它绝不能到达其他会话、账户服务或网络。
- 专属的进程和用户
- 每个会话运行各自的引擎，使用专属的系统用户，无特权，且内存、处理器时间、文件和进程均有上限。
- 无网络
- 引擎只能通过同一台机器上的中继访问 Occlusia 自己的转换服务和账户服务：没有互联网，没有数据库，也无法访问其他会话。
- 专属的文件
- 会话的文件只有其引擎和 API 网关可以访问。文件名会经过检查，链接绝不会被跟随，会话结束时文件即被删除。
- 仅限公开链接
- 从网址获取的文件只来自公共互联网，每次重定向都会经过检查，绝不会来自私有网络。
API 密钥和已连接的应用
程序代表您的账户行事的两种方式，均在您的掌控之下。
- API 密钥
- 需要最近几分钟内的一次登录才能创建，只显示一次，之后 Occlusia 仅以单向指纹及其最后四个字符保存。每个密钥都有到期时间；撤销一个密钥，会立即停止所有使用它的程序。每次创建密钥时，Occlusia 都会给您发送邮件。
- OAuth 2.1
- AI 工具或应用通过带 PKCE 的授权码流程连接。occlusia.app 上的授权页面会显示该应用经过验证的身份（若有），以及它将把您送回的位置。其令牌仅以指纹形式保存；访问令牌有效期为一小时，刷新令牌每次使用后都会更换。
- 应用能做什么
- 仅限您允许的内容：用您的点数使用引擎，读取您的账户。它绝不能更改您的密码、会话或密钥，不能支付任何费用，也不能删除您的账户。在“已连接的应用”下断开它，会立即阻止它。
您的账户如何受到保护
- 密码
- 使用 Argon2id 哈希，绝不以可读形式存储或发送。
- 会话
- 凭据保存在 httpOnly、Secure、SameSite 的 Cookie 中，任何脚本都无法读取，且登录凭据每次使用后都会被替换。
- 滥用防护
- 登录和注册按电子邮箱地址和 IP 地址限速，并受安全检查保护。
- 基础设施
- 数据库无法从互联网访问：只有账户服务与它通信。您的浏览器与 Occlusia 之间的所有流量均通过 HTTPS 传输。
运行位置，以及还有谁处理数据
Occlusia 的服务器——网站、网页应用、账户服务、API 及其引擎、数据库及其备份——由 Hetzner 托管，位于欧盟境内的芬兰。
| 服务提供商 | 职能 | 所在地 |
|---|---|---|
| Hetzner Online GmbH | 托管 Occlusia 的服务器：网站、应用、账户服务及其数据库和备份 | 欧盟（芬兰） |
| Amazon Web Services EMEA SARL (Amazon SES) | 发送账户服务的电子邮件，例如验证码 | 欧盟（瑞典） |
| Cloudflare, Inc. | 域名；安全验证；发往 occlusia.app 地址的电子邮件的路由；Occlusia 的 Blender 扩展仓库的托管 | 全球网络，包括美国 |
| Microsoft (Outlook.com) | 用于接收和回复发给 Occlusia 的电子邮件的邮箱 | 欧盟和美国 |
| Stripe Payments Europe, Ltd. | 在其自己的页面上收取付款，并开具发票和收据 | 欧盟（爱尔兰）和美国 |
各服务提供方接收哪些数据、依据什么条款：请见隐私政策。
各类数据保留多久
- API 文件
- 随其会话一并删除：在您结束会话时、闲置 15 分钟后，或最长 8 小时后。
- DXF 和 PDF 转换
- 为转换而发送的图纸，在文件返回后即不再保留。
- 已删除的账户
- 立即停用，所有会话结束，然后在 30 天后清除。
- 备份
- 数据库每晚备份，每份备份保留 14 天：已清除的数据会在此期限内从备份中消失。
- 日志
- 技术日志保存在容量有限的缓冲区中，随着新请求到来而被覆盖。
- 密钥和应用
- 被撤销的密钥或被断开的应用会立即失效；其记录在 90 天后删除，或随您的账户一并删除。
本页面不声称的内容
本页面描述的是服务的构建方式；它不是认证。Occlusia 未持有 ISO 27001 或 SOC 2 等安全认证，其标准条款也不包含服务级别协议。协议可以涵盖安全要求、支持和服务级别：请参阅企业与 OEM。
安全问题，或需要报告的漏洞：请写信至 hello@occlusia.app。完整细节请见隐私政策、Cookie 政策和服务条款。