接口数据处理规则与开发者合规说明
接入接口之后，数据流向会变复杂，所以需要把边界讲清楚。本页说明接口调用中涉及的数据范围、应用授权的方式，以及开发者在集成时应承担的责任。
如果你不使用任何接口，只需关注后半部分“客户端内的隐私控制”。
接口涉及的三类数据
- 消息数据：你主动推送的内容，以及回调中携带的事件内容。
- 账号标识：用于定位接收人的用户标识，不含手机号等敏感字段。
- 调用记录：调用时间、应用标识与结果，用于排查与审计。
接口不会读取会话中的历史消息，除非你调用了对应的查询能力，且该能力已在应用授权范围内。
应用授权怎么申请
每个接入应用单独申请凭据，权限按最小可用原则分配：只推送消息的应用，不授予成员管理权限；只接收回调的应用，不授予主动发送权限。
凭据可以随时吊销并重新生成。吊销后旧凭据立即失效，正在使用旧凭据的请求会被拒绝，这一动作不需要停机。
日志留存与查询
调用记录默认保留用于问题排查，保留期限可按部署形态配置。私有化部署时，记录存放在你方环境中，由你方决定保留多久；云托管时按公布的政策执行。
调用记录与聊天内容是两回事：前者记录“谁在什么时候调用了什么接口”，后者是会话本身的内容，两者不混存。
客户端内的隐私控制
隐藏身份
手机号与用户 ID 可对会话参与者隐藏。
应用锁
打开应用需额外验证，限制他人查看会话。
阅后即焚
消息被查看后销毁，减少长期留存。
双向删除
删除动作作用于双方记录，不留单边内容。
这些开关与接口能力互不影响。接口对接完成后，客户端内的隐私设置仍然按你的配置生效。
开发者的责任边界
通过接口推送的内容由调用方负责其合法性与准确性；接收回调后如何存储与使用，同样属于调用方的处理范围。我们提供的是通道与工具，不代替调用方做数据用途判断。
建议在集成前明确三件事：推送内容里是否包含个人信息、回调数据保存多久、谁有权查看调用记录。这三点确定后，多数合规疑问都会自然消解。
隐私相关问答
接口会读取我的聊天记录吗？
不会主动读取。只有在应用被授予查询能力、且你发起对应调用时才会返回结果。
私有化部署时数据存在哪里？
存在你选择的服务器或私有云中，包括消息、文件与调用记录。
隐藏手机号后接口还能定位用户吗？
能。接口使用用户标识而非手机号定位接收人，隐藏只影响会话界面中的展示。
如何联系官方处理隐私问题？
发邮件至 Postmaster@mail.antmessengera.im，说明具体场景。