Приватность и провайдеры

Настройки защиты

Правила применяются к платным и бесплатным моделям:

Защиту аккаунта и пространства настраивают владелец и администраторы.

Оба переключателя по умолчанию выключены, списки пустые. Если соответствующий запрет включён, неизвестная политика исключает провайдера. Обучение и сохранение запросов проверяются независимо: отсутствие обучения не означает отсутствие логирования.

Изменения сохраняются автоматически. Статус «Применено» появляется после подтверждения сервером. Если настройки сохранены, но применить их пока не удалось, новые запросы блокируются. Используйте «Повторить применение». При конфликте двух вкладок загрузите актуальные настройки и повторите изменение.

Приоритет правил

Правила наследуются в порядке аккаунт → пространство → ключ. Запреты объединяются, а непустые списки разрешённых провайдеров пересекаются. Если пересечение пустое, запрос блокируется. Нижний уровень не может ослабить ограничения верхнего.

Разрешающий список не отменяет запреты сохранения запросов и обучения. На одном уровне провайдер не может одновременно находиться в разрешённом и запрещённом списках. Варианты провайдера и региональные маршруты наследуют ограничения базового провайдера.

Параметры запроса могут только дополнительно ограничить выбор. Более строгий provider.data_collection: "deny", клиентская сортировка и запреты сохраняются. Правила действуют при резервной маршрутизации и использовании fallback-моделей.

Если хотя бы один элемент provider.only или provider.order запрещён правилами, весь запрос отклоняется. Соседний разрешённый провайдер не делает такой запрос допустимым. provider.options само по себе не считается явным выбором провайдера.

Примеры запросов

Допустим, в аккаунте разрешён deepinfra, запрещён anthropic, а оба переключателя выключены. Следующий запрос допустим, если модель доступна у разрешённого провайдера:

curl https://gorouter.ru/api/v1/chat/completions \
  -H "Authorization: Bearer $GOROUTER_API_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "model": "deepseek/deepseek-v4-flash-0731",
    "messages": [{"role": "user", "content": "Привет!"}],
    "provider": {"only": ["deepinfra"], "data_collection": "deny"}
  }'

Явный смешанный выбор отклоняется до отправки содержимого upstream и резервирования денег:

{
  "model": "deepseek/deepseek-v4-flash-0731",
  "messages": [{"role": "user", "content": "Привет!"}],
  "provider": {"order": ["deepinfra", "anthropic"]}
}

Ответ 403:

{
  "error": {
    "message": "Явно выбранный провайдер запрещён настройками приватности. Измените выбор или настройки: /dashboard/privacy.",
    "type": "privacy_policy_violation",
    "code": "privacy_policy_violation"
  }
}

Ошибки и повторные попытки

При 503 запрос не отправляется; GoRouter не переходит к маршрутизации без ограничений. Например:

{
  "error": {
    "message": "Не удалось проверить или применить настройки приватности. Запрос не отправлен. Повторите попытку позже.",
    "type": "privacy_policy_unavailable",
    "code": "privacy_policy_unavailable"
  }
}

Ошибки 400 invalid_privacy_settings и 409 privacy_settings_conflict возникают при сохранении настроек. Inference-ключ не может менять правила аккаунта или пространства. Не каждый ответ upstream 403 связан с приватностью; другие отказы сохраняют свой тип ошибки.

Область действия и ограничения

Проверка выполняется для Chat Completions (включая SSE), Responses, embeddings, rerank, изображений, синтеза речи, транскрибации и создания видео. Ограничения применяются также к отдельному upstream-ключу каждого пространства. До подтверждения такого применения для конкретного аудио/видео-маршрута он возвращает 503 при активных ограничениях. Настройки и состояние их применения изолированы между пространствами. Без ограничений обычная маршрутизация сохраняется. Уже отправленные запросы и созданные video jobs не прерываются.

Фильтрация основана на опубликованных политиках провайдеров; справочник обновляется с интервалом до шести часов. Это не гарантия Zero Data Retention (ZDR). Отдельной настройки ZDR здесь нет. Добровольная программа сбора GoRouter описана ниже и не меняет ограничения провайдеров.

Сохранение содержимого запросов у провайдера отличается от технической статистики GoRouter. Учёт токенов, стоимости и длительности запросов остаётся прежним.

Проверка содержимого описана в разделе «Защита чувствительных данных». Подробнее о границах настроек — в разделах «Пространства» и «Организации».

Добровольное предоставление данных за скидку

Программа выключена по умолчанию. Когда администратор GoRouter её включает, в защите личного аккаунта появляется отдельный переключатель «Предоставлять данные для обучения за скидку X%». Без подтверждения условий пользователь не участвует. После выключения и повторного запуска программы требуется новое согласие.

Программа распространяется на подходящие текстовые Chat Completions и Responses, включая SSE, для API-ключей и веб-чата личного аккаунта. Запросы организаций не участвуют в сборе и не получают скидку по программе. Сохраняются переданный текстовый контекст (в том числе system/developer-инструкции и история) и завершённые ответы разрешённых моделей. Старая история браузера отдельно не загружается. Файлы, мультимедиа, инструменты и reasoning не собираются; ошибочные, оборванные, неподдерживаемые ответы и пары больше 1 МиБ исключаются.

GoRouter хранит тексты зашифрованно 30 дней для собственного датасета для будущего обучения. Автоматического обучения и передачи партнёрам нет. Доступ имеют уполномоченные администраторы. Фильтрация известных секретов и персональных данных не гарантирует анонимности: не передавайте конфиденциальную информацию. Для API нужны права и необходимые согласия конечных пользователей на такое использование.

Чтобы исключить отдельный запрос из сбора и скидки, передайте заголовок:

X-GoRouter-Data-Collection: deny

provider.data_collection: "deny" также исключает запрос из программы GoRouter. Ни заголовок, ни API-ключ не могут включить участие без согласия в кабинете.

Скидка считается от обычной итоговой цены подходящего запроса после остальных скидок. Процент фиксируется при начале запроса и отражается в списании и usage.cost. Консервативный резерв не уменьшается. Уже обещанная скидка сохраняется при выключении программы, отзыве согласия или невозможности сохранить образец.

Выключение участия прекращает новый сбор; предыдущие записи остаются до окончания 30 дней. Ранее скачанные администратором копии нельзя автоматически отозвать. Для копий действуют те же сроки хранения.