データの取り扱い
設計は zero data retention です: 推論ログを持たず、プロンプトは学習に使われません。ただし「何も残らない」ではありません。この頁は、何が・どこに・どれだけ残るかを、それを書き込むコードから列挙します。
プロンプトの経路
- edge（api.kotoba.cloud）はリクエストを検証し、ガードレールを走らせ、プロンプトを private authority に渡します。edge のログは数値だけ（job id、token 数、拒否の理由コード）で、プロンプト本文は書きません。
- authority は principal ごとの Durable Object に **ジョブ記録** を書きます: リクエスト（messages, tools, max_tokens）、状態、結果本文または tool_calls、provider の usage receipt（token 数）。再送が同じジョブに再接続し、有料の精算がレシートから行えるのはこの記録があるからです。
- 推論の origin（専用経路・共有経路）はプロンプトをメモリで処理して応答を返します。どのプロバイダが背後にあるかは運用設定で、公開ポリシーではありません。
残るもの・残らないもの
| データ | どこに | どれだけ |
|---|---|---|
| ジョブ記録（プロンプト・応答・tool_calls・usage） | principal ごとの private authority storage | 終端状態（succeeded / failed）から 24 時間で自動削除。終端に達しなかったジョブは作成から 24 時間。削除後は同じリクエストの再送で新しいジョブになります。 |
| 本人確認の状態・有効期限・証跡参照 | 同上 | 365 日で失効。証跡本体（書類・カード）は Stripe にのみ。 |
| AML/CTF 照合の状態 | 同上 | 24 時間で失効。 |
| ガードレール・ファイアウォールの拒否レシート | 同上 | 監査ログとして 180 日（/v1/secure の auditLogRetentionDays）。 |
| 無料枠の利用数（日次） | 同上 | 翌 UTC 日に上書き。 |
| プリペイド台帳（付与・予約・精算・レシート id と token 数） | principal ごとの BillingAccount | 財務記録として保持（消去しない）。プロンプト本文は含まれません。 |
| 決済データ（カード番号・請求先） | Stripe | kotoba.cloud は customer id と invoice id だけを持ちます。 |
| 推論ログ・学習データ | — | 作りません。 |
誰が読めるか
- あなた: /v1/research/status（状態）、/v1/research/job?jobId=（自分のジョブ）、/v1/billing/status（残高）。PAT でも cookie でも同じ principal だけ。
- 運用者: HMAC 署名付きの review 操作（admin origin）で状態を変えられますが、ジョブ本文を読む公開経路はありません。
- 他の principal: 何も読めません（ジョブは principal に束縛、job-owner-mismatch）。
境界
- サーバはツール・コード・コマンド・ネットワーク操作を実行しません。tool_calls はテキストとして返り、実行はあなたのエージェント側です。
- 内容の審査（CSAM・CBRN・大規模詐欺）はメモリで行われ、ブロックだけがレシートに残ります。
- データ所在は未指定（/v1/secure の dataResidency: unspecified）。
GET https://api.kotoba.cloud/v1/secure
→ {"compliance": {"auditLogRetentionDays": 180, "dataResidency": "unspecified", "zeroDataRetention": "designed-for-zdr", ...}}ジョブ記録は 24 時間で消えます（research authority の retention alarm、2026-09-15 から）。「ZDR」は「推論ログを持たない・学習に使わない・テキストは 24 時間以内に消える」の意味です。台帳と監査ログに残るのは数値と id だけです。