预约演示

架构

数据处理

LayerT 保存什么、保存在哪里、保存多久，以及它从不收集什么。本文的写法旨在让您的隐私团队无需开会即可填写其记录。

本文描述截至 2026年10月3日 已实现的 LayerT。尚未实现的内容均已标注。

LayerT 存储什么

数据位置保护方式保存期限
来自您目录的人员：姓名、电子邮件、职位、上级、在职状态Postgres访问控制；您的目录是数据来源在您目录中存在期间；已停用人员的数据为审计记录而保留
组和成员关系Postgres访问控制以您的目录为准
设备：每个设置了 LayerT 的浏览器、所属人员、其密钥的公钥部分、它是在等待、已获批准还是已被拒绝、作出该决定的时间，以及最近一次在线时间Postgres访问控制。密钥的私钥部分从不离开浏览器已吊销的设备在闲置 90 天后删除
审计事件：规则、页面地址、字段以及匹配的值。对于表单规则，值是该字段的文字；对于粘贴规则，值是粘贴的文字Postgres访问控制；默认可读。每条规则可以选择保留其值的方式：按输入原样、部分遮盖，或完全不保留。该设置在事件到达时在服务器上应用默认 365 天，可配置
输入规则匹配到的输入文字：规则匹配时的整个字段，最多 10,000 个字符Postgres，作为审计事件的值与任何匹配到的值相同与审计日志同存续
文件规则匹配到的文件：文件的名称、类型和大小、它交给页面的方式，以及 LayerT 是否能够读取它。从不包含文件中的文字Postgres，随审计事件保存与任何匹配到的值相同与审计日志同存续
人员为越过阻止继续而给出的理由，按其原话保存Postgres，随审计事件保存访问控制。如果当事人把被阻止的值写进了理由，而规则隐藏或遮盖值，那么它在理由中同样会被隐藏或遮盖与审计日志同存续
访问请求：值、网站、人员给出的理由Postgres访问控制关闭后 180 天，除非有当前有效的例外依赖于它
共享账号密码、验证器设置密钥和保密登录字段PostgresAES-256-GCM 信封加密，每个账号一个数据密钥直到账号被删除或密钥被替换
显示的登录字段（例如账户 ID）和账号备注，以及每条备注的编辑历史Postgres访问控制直到账号被删除
共享账号会话Postgres访问控制结束后 180 天
您添加的网关：名称、区域、主机名、LayerT 为它测得的地址，以及它的健康状况Postgres访问控制网关被移除后仍会保留，以备审计追溯
已路由的会话：会话经由哪个网关出去，以及供应商看到的地址Postgres访问控制。会话的网关凭据仅以哈希形式保存与会话同存续
会话录制对象存储AES-256-GCM，每段录制一个新密钥，在设备上加密默认 90 天，可在 7 到 365 天之间配置
录制索引：哪个会话、哪些页面、时间信息Postgres访问控制随录制一起删除
签名策略版本PostgresEd25519 签名最新的 20 个，以及最近 30 天内的所有版本
登录结果：共享账号登录是否成功，以及在哪一步停止。不含值或页面文本Postgres访问控制90 天
设备信息：扩展程序版本、浏览器自己报告的安装方式、浏览器、操作系统Postgres访问控制与设备记录同存续
通知及其投递记录Postgres访问控制；通知从不包含密钥或完整的值30 天
访问审查：谁确认了哪个人员仍然需要哪个账号，以及审查报告Postgres访问控制；每份报告和 CSV 都附有 SHA-256 校验和7 年
您连接的共享邮箱：连接信息和登录凭据，以及所有者对其为组织邮箱地址的确认Postgres登录凭据采用与共享账号密码相同的信封加密直到该邮箱被移除
已连接共享邮箱中邮件的副本对象存储；发件人、主题和日期存于 PostgresAES-256-GCM，每个邮箱一个数据密钥。LayerT 提取出的验证码和链接也会加密默认 30 天，最长 365 天。邮箱断开连接 7 天后删除
谁阅读了共享邮箱中的哪封邮件，以及谁看到了哪个验证码Postgres访问控制与审计日志同存续

您的规则会记录什么

LayerT 只读取您的规则所指定的字段。规则匹配时，LayerT 会记录匹配到的内容，对于输入规则则会记录该字段的文字，以便审计人员核查这一判定。规则可以遮盖或隐藏其值。

  • 默认可读。 表单或粘贴规则匹配到的值会被发送到 LayerT 的服务器，并以可读形式保存，以便审计人员能看到被拦下的是什么。
  • 输入规则会保留整个字段，而不仅是匹配的部分，最多 10,000 个字符。
  • 文件规则会保留文件的名称、类型和大小、它交给页面的方式，以及 LayerT 是否读取了它。它从不保留文件中的文字。
  • 任何规则都不会读取 LayerT 填写的密码或验证码。 无论采用哪种触发方式，规则都会跳过 LayerT 填写的密码、一次性验证码或机密登录字段，因此共享账号的密码不可能进入规则的记录。
  • LayerT 填写的用户名仍会被判定。 在共享账号登录过程中，覆盖该页面的登录规则仍然会看到 LayerT 填写的用户名。它会放行这次登录，并将其记录为一次例外，同时记录用户名。
  • 输入规则从不读取密码框或一次性验证码框，也不读取 LayerT 填写的字段。
  • 表单或粘贴规则读取它所指定的字段，其中可能包括某人自己输入了内容的密码框。 这样的值会以可读形式记录，除非该规则设置为遮盖或隐藏其值。
  • 该设置在服务器上应用。 浏览器始终发送该值。每条规则的选择（按输入原样、部分遮盖，或完全不保留）在存储任何内容之前在 LayerT 的服务器上应用。值不会在浏览器中脱敏。
  • 页面地址只随事件一起记录：规则匹配时、有人申请例外时，以及在报告共享账号登录是否成功时（不含查询字符串）。不会保存或发送已访问页面的列表。
  • 等待发送的事件保存在浏览器中。 扩展程序的存储中可能保存着尚未发送的事件，包括匹配到的值，直到它们送达为止。
输入规则就是监控. 针对聊天输入框的输入规则会记录当事人在匹配内容前后写下的文字。请将其视为对员工的监控：告知您的员工您的规则会记录什么，并对其进行评估，就像开启录制之前那样。LayerT 在录制之前会要求所有者做出声明，而对规则没有这样的步骤，因此这项评估要由您来做。

永不离开笔记本电脑的数据

  • 在录制的会话之外，在任何规则都未指定的字段中输入的任何内容。录制中包含什么，见会话与录制。
  • 文件中的文字。针对文件文字的规则在浏览器中读取它以作出判断。它从不发送，也从不存储。
  • 每个浏览器为自己生成的密钥的私钥部分。
  • 您员工的浏览历史、任何规则都未覆盖的页面，以及 Cookie 值。LayerT 不收集这些数据。
  • 原始录制密钥，在其被交出一次用于封装之后。
  • 在录制的会话期间，人员在表单字段和富文本编辑器中输入的内容：它在输入位置被遮盖，然后才进行任何加密。录制仍会显示页面在内容被输入之后回显的内容，以及页面和请求的地址。

扩展程序接收什么

贵组织中每个已获批准的浏览器都会收到贵组织的签名策略。该策略包含规则，以及规则所需的已批准例外和按人员设置的配置，例如公司电话号码或已批准的个人账号。请将策略视为贵组织的内部数据。

群组成员关系不在策略中。每个浏览器还会单独收到一份签名应答，其中列明其使用者自己所属的目录群组，有效期 24 小时。它从不会收到其他任何人的。

对于经由网关出去的共享账号，处于该会话中的人的浏览器还会收到：使用哪个网关、仅用于该会话的凭据，以及供应商将看到的地址。

共享账号密码、保密登录字段和验证器代码只会发送到拥有活动会话的人员的已注册浏览器，只在登录需要时发送，并且 LayerT 从不将其存储在浏览器中。

密钥离开 LayerT 服务器还有另一种途径：密码请求。某人提出申请并说明原因，要求查看密码、验证器设置密钥或保密字段。必须由另外两个人批准，其中一人必须是所有者或合规官。随后，申请人需在最近 10 分钟内重新登录，才能在控制台中查看一次。该值会被标记为已查看，账号负责人会被要求更改它。

删除

  • 人员： 在您的目录中停用某人会立即终止其访问权限。其记录会为审计记录而保留，直至保留期限结束。
  • 贵组织： 当组织关闭时，LayerT 会将其数据保留 30 天宽限期，然后一次性删除全部数据（包括已存储的录制），并记录一份删除回执。
  • 录制和旧记录： 由每日保留期限任务自动删除，每一次录制删除都会被记录。
  • 共享邮箱副本： 超过该邮箱的保留期限后删除；邮箱断开连接 7 天后也会删除。

带走您的数据

所有者可以将整个组织的数据导出为一个 zip 文件，其中包括每一段保留的录制，这些录制已被解密，以便在 LayerT 之外观看。清单文件列出了每个文件的 SHA-256 校验和。导出中从不包含密码、验证器设置密钥或保密字段，并且每次生成导出都会写入审计日志。

所有者、IT 管理员、合规官和审计员可以将审计日志本身导出为 CSV 或 JSON Lines。除非导出者勾选包含选项，否则输入的值不会包含在导出中。

子处理者与数据位置

LayerT 将运行在两家基础设施提供商之上。每一家都只按照 LayerT 的指示、依据数据处理协议处理您的数据。

提供商签约实体计划用途
Google CloudGoogle Cloud EMEA Limited（爱尔兰）控制台、API 和 Worker、数据库、录制存储、日志和密钥服务。区域：米兰（europe-west8）。密钥和数据库备份：Google 的欧盟多区域
CloudflareCloudflare, Inc.（美国）layert.net 的 DNS，以及发送通知邮件

如果贵组织连接了 Slack，审批人的通知会通过您自己的 Slack 工作区发送，适用您与 Slack 之间的协议。您的身份提供商和 MDM 也归您所有，因此它们不是 LayerT 的子处理者。

上线之前. LayerT 尚未投入生产，因此以上是计划中的配置，而不是正在运行的配置。目前 LayerT 运行在只保存模拟数据的测试环境中。最终的子处理者名单（包括任何备用电子邮件提供商）、向欧盟以外传输数据时的保障措施，以及数据驻留选项，将在首位客户上线之前在此发布。

如果您正在填写处理活动记录

  • 目的： 控制人员在工作设备上登录哪些账号，将您的规则应用于表单、粘贴、输入的文字以及交给页面的文件，代理对共享账号的访问，并为这三者保留审计记录。
  • 数据主体： 浏览器中设置了 LayerT 的您的员工和外包人员。
  • 特殊类别数据： LayerT 并不有意处理此类数据。规则的记录保存的是规则匹配到的内容，因此其中包含什么取决于您编写的规则，而输入规则会保留整个字段。录制可能会捕获供应商页面显示的任何内容，这正是录制需要所有者先做出声明的原因。
  • 法律依据： 由您确定。LayerT 要求所有者在任何录制发生之前将其记录下来。