API 与数据保留

本页面涵盖 Claude API（api.anthropic.com）、Claude Platform on AWS 以及 Claude in Microsoft Foundry，在这些场景中 Anthropic 是数据处理者。在 Amazon Bedrock 和 Google Cloud's Agent Platform 上，云提供商是数据处理者；请参阅这些平台的数据保留和合规文档以了解其对应的控制措施。

Anthropic 为 Claude API 提供两种数据处理安排："zero data retention"（零数据保留），即 ZDR 和 HIPAA 就绪。功能资格表列出了每种安排所涵盖的 API 功能。有关这些安排之外的 Anthropic 标准保留政策，请参阅商业数据保留政策和消费者数据保留政策。

Anthropic 如何处理数据保留

不同的 API 和功能有不同的存储需求。如果某项功能不需要存储客户的提示或响应，则它可能符合 ZDR 资格。如果某项功能必须进行存储，Anthropic 会在以下承诺下设计尽可能小的保留范围：

• 未经您明确许可，保留的数据绝不会用于模型训练。
• 仅保留功能运行在技术上所必需的内容。对话内容（您的提示和 Claude 的输出）默认不会被保留；例外情况是受管辖模型（Covered Models），它们要求 30 天的保留期。
• 保留的数据会按照最短的实际可行 "time to live"（生存时间），即 TTL 进行清除，并且 Anthropic 致力于让客户能够控制数据的保留时长。保留了哪些内容，以及在适用特定 TTL 时的保留时长，均记录在各功能的页面上。

有几种保留模式不属于本页所述的 ZDR 和 HIPAA 安排。通过 Compliance API 可访问的数据遵循其自身的保留模式。Activity Feed 保留数据 6 年。来自 claude.ai 的聊天、文件和项目内容遵循您的组织在 claude.ai > Organization settings > Data and privacy 中设置的保留政策。本地会话记录（来自用户机器上的会话，例如 Cowork 和 Claude Code 等应用中的会话）默认存储 6 年，或者在设置了有限的自定义对话保留期时，按您组织的自定义对话保留期存储（即同一 claude.ai 设置）。远程会话记录（云端的 Cowork）保留 6 年。Compliance API 不会捕获 ZDR 生效的本地会话，也不会捕获已启用 HIPAA 就绪的组织的任何本地会话。

零数据保留（ZDR）

在 ZDR 安排下，Anthropic 在返回 API 响应后不会静态存储客户的提示或响应。要为您的组织申请 ZDR，请联系 Anthropic 销售团队。ZDR 按组织启用；每个新组织都需要由您的客户团队单独启用 ZDR，且启用不会自动扩展到同一账户下的其他组织。

ZDR 涵盖的范围

• Claude Messages 和 Token Counting API： ZDR 适用于这些端点中功能资格表所列的符合资格的功能。依托于 /v1/messages 但在表中标记为"否"的功能（例如代码执行）不在涵盖范围内。
• Claude Code： 当 Claude Code 与来自商业组织（即受 Anthropic 商业服务条款约束的组织，区别于消费者 Claude 账户）的 API 密钥一起使用，或通过已启用 ZDR 的 Claude Enterprise 使用时，ZDR 适用。如果在 Claude Code 中启用了指标日志记录，则使用统计等生产力数据不受 ZDR 约束，可能会被保留。完整详情请参阅 Claude Code ZDR 文档。
• Claude Platform on AWS： Claude Platform on AWS 遵循与第一方 Claude API 相同的数据保留政策。ZDR 可按需提供；请联系您的 Anthropic 客户代表以启用。

ZDR 不涵盖的范围

• Claude Console： Claude Console 中的任何使用，包括 playground。
• Claude Managed Agents： Claude Managed Agents 是有状态资源；会话记录会一直保留，直到您将其删除。
• Claude 消费者产品： Claude Free、Pro 和 Max 计划，包括这些计划的客户使用 Claude 的网页、桌面或移动应用或 Claude Code 的情况。
• Claude Teams 和 Claude Enterprise 产品界面： 这些界面不符合 ZDR 资格。例外情况是通过已启用 ZDR 的 Claude Enterprise 使用的 Claude Code；请参阅 ZDR 涵盖的范围。
• Claude for Excel： 目前不符合 ZDR 资格。
• Claude Fable 5.1、Claude Mythos 5.1、Claude Fable 5 和 Claude Mythos 5： 这些模型要求 30 天的数据保留，除非获得 Anthropic 明确授权，否则在 ZDR 下不可用。请参阅特定模型的数据保留要求。
• 第三方集成： 由第三方网站、工具或其他集成处理的数据不在涵盖范围内，尽管其中一些可能提供类似的服务。请审查每项服务的数据处理做法。
• "Cross-Origin Resource Sharing"（跨源资源共享），即 CORS： 具有 ZDR 安排的组织不支持 CORS。要从基于浏览器的应用程序发起 API 调用，请通过后端代理服务器路由请求。有关代理模式和 API 密钥处理，请参阅 API 安全指南。
• 被标记的内容和法律保留： 请参阅无论何种安排均适用的保留。

HIPAA 就绪

Claude API 为处理 "protected health information"（受保护的健康信息），即 PHI 的组织提供 HIPAA 就绪的集成支持。在签署 BAA 并启用 HIPAA 的组织中，您可以使用受支持的 API 功能处理 PHI，同时支持您组织的 HIPAA 合规。符合资格的组织可以直接在 Claude Console 中审阅并签署 BAA，并启用 HIPAA 就绪。与 ZDR 相比，HIPAA 就绪应用了一套更广泛的隐私和安全保障措施（在 PHI 的整个生命周期内对其进行保护的加密、访问控制和审计日志记录），而不是要求立即删除。如果您的组织处理 PHI，则应使用 HIPAA 就绪这一安排；您无需同时使用 ZDR。有关每种安排涵盖哪些功能，请参阅功能资格表。

HIPAA 就绪涵盖的范围

• Claude API： HIPAA 就绪适用于 Claude API（api.anthropic.com）中功能资格表所列的符合资格的功能。

HIPAA 就绪不涵盖的范围

• Claude 消费者产品： Claude Free、Pro 和 Max 计划。
• Claude Console： 通过 Claude Console 界面的使用（支持从 Console 设置中启用 HIPAA 就绪；通过 Console 处理 PHI 不在涵盖范围内）。
• 合作伙伴运营的平台： Amazon Bedrock 和 Google Cloud's Agent Platform。请参阅这些平台的合规文档。
• Claude Platform on AWS 和 Microsoft Foundry： 这些平台上不提供 HIPAA 就绪。
• 第三方集成： 由连接到您应用程序的外部工具或服务处理的数据。
• Claude Code： Claude Code 不在 HIPAA 就绪的涵盖范围内。
• Beta 功能： 处于 beta 阶段的功能通常不在 BAA 的涵盖范围内，除非在功能资格表中明确列为符合资格。
• 被标记的内容和法律保留： 请参阅无论何种安排均适用的保留。

PHI 处理指南

受保护的健康信息（PHI）包括任何可识别个人身份的健康信息。在 Claude API 的语境中，PHI 通常出现在消息内容（提示和 Claude 的响应）、附加文件（图像、PDF）以及与消息内容相关的文件名或元数据中。根据 BAA，以下字段预期不包含 PHI：工作区名称、用户信息（姓名、电子邮件、电话号码）、账单数据和支持工单。

当使用结构化输出或带有 strict: true 的工具时，API 会将 JSON schema 编译为语法，这些语法与消息内容分开缓存。这些缓存的 schema 不享有与提示和响应相同的 PHI 保护。请勿在 JSON schema 定义中包含 PHI。 此限制适用于 schema 属性名称、enum 值、const 值和 pattern 正则表达式。患者特定信息应仅出现在消息内容中，在那里它受到 HIPAA 保障措施的保护。

HIPAA 错误处理

您签署的 BAA 是确定哪些功能在涵盖范围内的官方权威依据。API 也会自动强制执行这些限制。当启用 HIPAA 的组织发送包含不符合资格功能的请求时，API 会返回 400 错误，以防止意外使用您的 BAA 未涵盖的功能：

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "The requested features are not available for HIPAA-regulated organizations without Zero Data Retention: code_execution."
  }
}

错误消息会列出在请求中检测到的不符合资格的功能；请移除它们并重试。"without Zero Data Retention" 这一短语是 API 自身的措辞，不会改变解决方法。功能资格表中"详情"列注明不会被阻止的客户端工具会被接受，但仍不在 HIPAA 就绪的涵盖范围内。

HIPAA 就绪入门

有两种方式可以设置 HIPAA 就绪的 API 访问。大多数组织可以使用 Anthropic 的标准 BAA 直接在 Claude Console 中启用；需要协商 BAA 的组织应与其客户团队合作。

在 Console 中启用（标准 BAA）

1. 1

   打开您组织的隐私设置

   在 Claude Console > Settings > Privacy 中，拥有 HIPAA 管理权限的组织管理员会看到一个 HIPAA compliance 卡片。如果您的组织符合资格但您没有看到启用选项，请让组织管理员完成这些步骤。

2. 2

   审阅并签署 BAA

   下载 Business Associate Agreement（业务伙伴协议）和 HIPAA 实施指南，然后以您组织的授权法律代表身份接受该协议。每个步骤在您下载前一份文档后才可用，并且您的启用将绑定到您所下载的确切 BAA 版本。

3. 3

   启用立即生效

   一旦您接受，HIPAA 就绪控制措施即会应用于您的组织。一旦为您的组织启用了 HIPAA 就绪，该配置即为永久性的，管理员无法禁用。API 会自动强制执行功能限制，对使用不符合资格功能的请求返回错误。有关该错误和客户端工具例外情况，请参阅 HIPAA 错误处理。

联系销售（自定义 BAA）

如果您的组织需要协商或自定义的 BAA，或者您的组织无法使用自助启用，请联系 Anthropic 销售团队。Anthropic 将签署 BAA 并为您的组织启用 HIPAA 就绪。

使用符合资格的功能进行构建

无论您使用哪种途径，请在功能资格表中确认哪些功能受支持，并针对限制 PHI 出现位置的功能查阅 PHI 处理指南。有关详细的配置和合规要求，请参阅 HIPAA 实施指南。

特定模型的数据保留要求

Claude Fable 5.1、Claude Mythos 5.1、Claude Fable 5 和 Claude Mythos 5 被指定为受管辖模型（Covered Models）（请参阅受管辖模型支持文章），并要求 30 天的数据保留；因此，除非获得 Anthropic 明确授权，否则它们均不提供 ZDR。在 Claude API 上，如果组织的数据保留配置不满足此要求，则向 Claude Fable 5 发出的请求会返回 400 invalid_request_error：

{
  "type": "error",
  "error": {
    "type": "invalid_request_error",
    "message": "In order to access this model, your organization or workspace must have data retention enabled."
  }
}

30 天数据保留要求适用于提供受管辖模型的所有场景。在 Claude API（包括 Claude Platform on AWS）上，由 Anthropic 处理保留的数据。在 Amazon Bedrock 和 Google Cloud's Agent Platform 上，保留的数据留存在您的云提供商环境中；请查阅各平台的文档以了解启用步骤。

为工作区启用 30 天保留

具有 ZDR 安排的组织可以通过仅为特定工作区启用 30 天保留，使这些模型在该工作区中可用。组织中的其他工作区保持零数据保留。

1. 1

   打开工作区的隐私控制

   在 Claude Console > Settings > Workspaces 中，选择该工作区并打开其 Privacy controls 选项卡。

2. 2

   开启 30 天数据保留

   为该工作区启用 30 天数据保留设置。

3. 3

   验证

   现在，从此工作区向受管辖模型发出的请求将会成功。没有覆盖设置的工作区继续遵循组织默认设置。

功能资格

下表列出了哪些 Claude API 功能符合 ZDR 和 HIPAA 就绪安排的资格。

每个资格列使用三个值：

• 是： 该功能在该安排下完全符合资格。对于 ZDR，"是"还假定您使用的是不要求 30 天数据保留的模型；无论功能资格如何，受管辖模型在 ZDR 下均不可用。
• 是（有条件）： 您的提示和 Claude 的输出不会被存储，但会短暂保留一个有限的技术产物（在"详情"列中注明）以使该功能正常运行。有关约束这些功能的承诺，请参阅 Anthropic 如何处理数据保留。
• 否： 该功能不符合资格。在 HIPAA 就绪下，API 会阻止包含"否"功能的请求并返回 400 错误，除非该功能的"详情"列另有说明。在 ZDR 下，API 不会阻止这些功能；使用其中某项功能即表示您选择就该特定数据脱离您的 ZDR 安排，并适用该功能自身记录的保留政策。对于 ZDR 标记为"否"的功能通常是有状态的（它们存储作业、文件或容器状态），这就是它们无法实现零保留的原因。

无论何种安排均适用的保留

即使已有 ZDR 或 HIPAA 安排，Anthropic 仍可能在法律要求的情况下，或在数据被 Anthropic 的自动化信任与安全系统标记的情况下保留数据。因此，如果某个聊天或会话被标记，Anthropic 可能会将输入和输出保留最长 2 年。

常见问题

相关资源

• 隐私政策
• 结构化输出
• 提示缓存
• 批处理
• Files API 参考
• Trust Center