資料安全
把客戶機密交給 AI 之前，
先看 Donna 怎麼守
律師對客戶負保密義務。用 AI 工具，不該等於把卷宗交給看不見的外人雲端。
Donna 從架構就為律師的保密義務而設計：每間事務所專屬金鑰加密、每晚異地備份、送進 AI 的內容不被拿去訓練；卷宗能留在自家伺服器，想清想搬一鍵搞定。
免費註冊 →第一道 · 存進去的，安全
資料庫多安全、金鑰怎麼管、AI 怎麼處理
「資料放進去，到底安不安全？」這是律師最先問、也最該問的一題。Donna 從幾個層面回答：儲存時加密、每間事務所專屬金鑰、每晚異地備份、 以及卷宗送進 AI 時的處理原則。 這些都發生在你看不到的底層，所以這裡用示意圖把它講清楚。
加密儲存
資料躺著、傳輸中，都是加密的
你的瀏覽器
TLS 加密連線
Donna 後端
僅授權存取
加密資料庫
AES-256 靜態加密
資料庫採託管式 PostgreSQL：硬碟上的資料以 AES-256 靜態加密，連線一律走 TLS 傳輸加密。就算實體硬碟被人拿走，沒有金鑰也是一堆亂碼。
每所專屬金鑰 · KMS
再加一層：每間事務所一把專屬金鑰
客戶內容
文件·摘要·對話·權杖
每所專屬金鑰加密
一所一把·互不互通
Google Cloud KMS
根金鑰永不出雲
除了資料庫硬碟層加密，Donna 在應用層再加一層：文件內容、AI 摘要、對話、雲端連線權杖，都用「每間事務所專屬的金鑰」加密。這些金鑰由 Google Cloud KMS 保管、根金鑰永不離開雲端——一所的金鑰打不開另一所的資料，最高權限的維運存取也受 KMS 控管、可即時撤銷。
每晚異地備份
所謂「備份」，是這樣運作的
正式資料庫＋雲端檔案
日常運作
每晚自動匯出
pg_dump · 排程
異地備援保存
Backblaze B2 · 留存 30 天
備份不是「複製一份放旁邊」就好——放旁邊，機房一出事就一起沒了。Donna 每晚自動把整個資料庫匯出（pg_dump），連同雲端原始檔一起送到「另一家、另一個地點」的 Backblaze B2 異地保存，並保留最近 30 天的每日版本。誤刪、勒索軟體、機房災難，都能回得來。
送進 AI 的處理原則
送進 AI 的卷宗，不會被拿去訓練
你的提問＋卷宗
當下這一次運算
Claude（Anthropic）
不用於訓練模型
回應給你
即時生成
把問題與卷宗送進 Claude（Anthropic）運算時，依其 API 政策，你的內容不會被用於訓練模型，只為了當下生成這次回答。AI 運算的那一瞬間需在 Donna 伺服器記憶體即時解密讀取，Donna 伺服器用完不另存；Anthropic 端的資料處理依其 API 政策辦理（詳見隱私權政策）。
第二道 · 放哪裡，你決定
不強制搬家：卷宗可以留在你自己的儲存空間
很多系統的第一步，是要你把所有卷宗「上傳到它的雲端」——對律師來說，這一步就過不去。 Donna 把這件事交還給你：案件可以繼續留在律所慣用的 OneDrive、Google Drive、自家 NAS， 也可以選用 Donna 雲端，由你決定，而且隨時能換。
選好之後，連線的邏輯也很乾淨：Donna 會在你的儲存空間裡自建一個專屬的「Donna 資料夾」，只看這個資料夾——夾外的私人檔案一律不讀、不動。 之後每開一件新案，它會在裡面自動長出對應的子資料夾（閱卷資料、本所書狀、對造書狀、開庭筆錄……）。
既有案件要納管也很有彈性：你可以選擇「複製」一份進來分類（不動你的原檔）， 也可以選擇「直接移動」到 Donna 資料夾中， 看你想保留雲端原檔還是整個搬進來。丟進來的檔案，AI 會自動判讀屬於哪一案、該歸到哪個子夾。
想看完整的儲存選擇與分類邏輯？讀 多元儲存後端 這篇。
第三道 · 想走，隨時能走
一鍵打包、一鍵清空，去留你說了算
設定頁的「律所資料管理」先讓你看到目前的資料量 （幾件案子、幾段對話、儲存用了多少），再給你幾個按鈕。一鍵打包下載：依案件分目錄，每案含原始檔、 Donna 產出的書狀、含完整對話歷史的 case.json，外加律所資訊與 README—— 拿到就是一份可離線保存、可交接給接手律師的完整副本。
不想用了，也清得乾淨：可單獨清空 AI 產出書狀（對話歷史保留），或清空全部資料與原檔（保留帳號本身、可重新開始）。這種不可逆的動作，Donna 一律加上確認頁二次把關—— 要你輸入律所名稱、看清楚「哪些檔案會被刪、刪了回不來」，按下確認才真正執行，絕不會在你還沒看清前就動手。
想看完整的打包格式與搬家流程？讀 一鍵搬家與匯出 這篇。
律師為什麼該在意這些
- 律師倫理規範與個資法下，客戶資料的保管責任在律師身上——資料放哪、誰能存取、出事能不能交代，都得說得清楚。
- 多數 SaaS 要你把全部檔案上傳到它的雲端、條款裡還埋著「可用於改善服務」。Donna 反過來：原檔可以留在自家儲存，資料庫內容以每所專屬金鑰加密，送進模型運算的內容也不會被拿去訓練。
- 能不能全身而退，比能不能進來更重要。Donna 把備份、打包、清空、搬家全攤在同一頁，按鈕自己按——資料的去留，自始至終律師說了算。
資料留在自有空間，每所專屬金鑰加密
達成隱私、保密、安全