# 我的数据在哪里？

本页说明每种安全模式下 XMemo 会存储什么、数据在哪里处理、谁能解密、导出或删除时会发生什么，以及你如何从自己的账号验证实际边界。

- Canonical: https://docs.xmemo.dev/zh/docs/security/where-is-my-data
- Locale: zh-CN
- Content-Locale: zh-CN
- Canonical-Content-Digest: c0058e6fcf05a87e666d8680ed831e494b51ed49b3aad776a01fc3232612a919
- Edition-Digest: 9de841b0d103b8d67e0140a6d7ebc13cc2c68ee8260fd2c8270e1a974ec9d3e1

## 快速对比

## Cloud 托管模式

- XMemo 服务端可以为了服务端语义召回、排序和导出处理记忆内容。
- 这是最方便的模式，但不是零知识模式。
- 删除会移除记忆行和相关元数据；DSAR 导出可以包含明文。

## Keyguard 模式

- 向导会保存 KMS binding，并提交 personal_default_mode = keyguard。
- 召回要求你的 KMS grant 持续有效；撤销 grant 会阻止之后的 decrypt/unwrap。
- XMemo 删除自己的密文和元数据；KMS key 的轮换或销毁由你的租户负责。

## Vault 模式

- XMemo 不能解密 vault memory，不能重置 vault key，也不能在所有设备和恢复包丢失后恢复数据。
- Vault 数据的 DSAR 导出包含密文和 envelope metadata，需要你在本地用设备或恢复包解密。
- 托管语义能力可能受限，除非该功能可基于客户端提供或隐私保护表示运行。

## 生产数据边界

- Managed Postgres：账号、记忆、向量、设置和审计记录的生产存储边界。
- 数据库 RLS/runtime context：属于部署特定控制；必须在目标环境验证 runtime role、migration ledger、runtime-context flag 和 owner/team CRUD matrix。
- Supabase compatibility：适合本地或 OSS 采用，但 service-role 行为不等价于生产加固。