OneNym登记个人信息
通过已认证的 API 注册地址。Vault 加密保存并返回难以预测的代理 ID。还需设计输入与接入路径，避免在服务器或日志中保留副本。
ONENYM / PRIVACY INFRASTRUCTURE
个人信息，
与业务系统
分离存储。
OneNym Address Vault 将配送地址加密保存，业务系统通过代理 ID 引用。只有获准的应用才能获取允许的字段。
数据分离 / 用途限定 API / 云密钥管理
SEPARATE DATA. CONNECT WORK.架构示例
业务系统
连接订单与客户服务。
订单引用商品与历史记录代理 ID：nym_abc
无需直接持有个人信息，即可连接业务流程。
↓ 指定代理 ID 与用途OneNym API身份验证 → 授权 → 执行
个人信息保险库
加密的个人信息
地址postalCoderecipientName
仅使用获准的记录与字段。
通过云密钥服务管理密钥
Azure Key Vault
分离个人信息限制数据访问减少副本与留存
01 / HOW ONENYM WORKS
不再共享原始数据，
而是调用获准的操作。
业务系统保存代理 ID，保险库保存个人信息。
仅在需要时调用用途限定 API。
引用代理 ID
将代理 ID 与订单及业务记录一起保存。仅知道 ID 并不意味着获得个人信息访问权限。
检查用途与权限
验证请求方、租户、记录、字段及有效期。仅声明用途并不构成授权。
执行获准操作
认证应用并检查组织、订单、用途、字段、到期时间、次数与合同状态。允许字段以明文返回，接收方也需管理存储和日志。
| 项目 | 直接处理个人信息 | 通过 OneNym 分离 |
|---|---|---|
| 业务数据库 | 姓名、邮箱、地址与业务记录 | 代理 ID 与业务记录 |
| 使用方式 | 在应用中读取并处理数据 | 通过用途限定 API 请求操作 |
| 读取权限 | 通常与数据库访问权限绑定 | 按记录、字段、用途及有效期授权 |
| 仅数据库被盗时 | 个人信息可能因存储方式和权限设置而暴露 | 减少从业务数据库直接访问个人信息的路径 |
代理 ID 同样需要保护。减少留存还需处理既有记录、日志及集成合作方的副本。
02 / ADDRESS VAULT
保持业务流程，
减少数据共享。
OneNym Address Vault 将配送地址加密保存，业务系统通过代理 ID 引用。只有获准的应用才能获取允许的字段。
业务应用
订单数据库保存订单号和代理 ID。ID 既不是地址，也不是查询权限。接入不会自动删除已有副本，仍需迁移和清理。
获准的配送合作方
将订单、代理 ID、接收应用、字段与到期时间绑定，并签发有次数限制的令牌。持有令牌本身并不足以访问。
认证应用并检查组织、订单、用途、字段、到期时间、次数与合同状态。允许字段以明文返回，接收方也需管理存储和日志。
删除、备份与恢复
撤销阻止后续获取。地址删除清除活动记录中的密文与封装数据密钥，不会立即清除接收方副本或保留中的备份。合同暂停阻止正常查询，但允许所有者清理。还需约定备份保留及恢复时重新应用删除记录。
03 / TRUST BOUNDARIES
分离密钥，分离权限。
限制安全事件的影响。
不仅加密，还要在存储数据与
获准解密并使用数据的服务之间建立边界。
业务应用
处理代理 ID 与业务记录。
无法直接访问保险库数据库或密钥OneNym API
谁可以使用哪些数据，用于什么目的？
逐请求授权、使用控制与审计记录加密保险库
仅返回允许的地址字段。
将数据访问与密钥访问分离CLOUD KEY MANAGEMENT
用于密钥管理的云基础设施。
地址 Vault 使用 Azure Key Vault 管理 KEK，将保护数据加密密钥（DEK）的密钥使用权限与数据库访问分离。
即使账户被攻破。
登录成功不等于允许读取。还需检查租户、记录、字段与有效期。
即使集成凭据被盗。
限制用途、范围与使用量，保留审计记录及撤销权限的途径。
即使存储数据被盗。
分离密文与解密权限。若密钥使用权限也被攻破，仅靠加密无法保护数据。
分离可以降低风险及潜在影响。已读取的明文、广泛的管理权限和被攻破的解密服务仍需额外保护。
了解加密的作用与局限 →04 / DEPLOYMENT & INTEGRATION
为现有业务流程
增加独立的数据保护边界。
将现有系统连接至 Azure 上的地址 Vault，
在部署时明确存储、管理与运维职责。
接入架构示例
现有业务环境
业务应用与数据库
代理 ID / 订单 / 商品 / 历史记录独立的 OneNym 环境
Vault API / 加密数据 / 密钥管理
按用途限制访问 / 审计日志即使在同一云环境中，也要分离服务身份、权限、网络及管理。仅增加一个数据库不足以形成有效边界。
选择业务流程
梳理数据及其用途，从一个业务流程开始。
使用模拟数据验证
测试登记、代理 ID、读取、执行及权限撤销。
部署与集成
配置权限并连接既有应用，迁移记录并处理残留副本。
确认生产使用条件
明确监控、恢复、删除、更新及双方职责。
需要进行应用集成和数据迁移。架构、范围、价格与运维条款将单独协商。
咨询架构设计05 / TECHNICAL DESIGN
了解设计，
判断是否适合您的需求。
标识符、权限、加密与数据生命周期。
了解具体设计、作用与取舍。
先明确授权与数据处理方式。
- 约定范围、方法、时间及停止条件
- 优先使用模拟数据和 Canary 数据
- 尽量减少真实数据访问与业务影响
详细评估方法将在咨询中说明。
LET’S DESIGN YOUR DATA BOUNDARY
哪些数据
可以不再由您持有？
从您的业务流程和系统开始。
与我们讨论存储、集成及访问设计。