我们如何让一份签名站得住脚。

签署之前，签署人会看到电子记录同意书并且必须接受。该接受与签名一并保存，而不是默认成立。

每一个关键节点——创建、发送、查看、签署、拒签、作废，以及对方给出的理由——都会连同时间、IP 地址、所用浏览器和设备写入审计日志。

审计表只允许追加。修改或删除某一行的权限在数据库层面就已被撤销，所以无论是我们的员工还是我们自己的应用，都无法倒填日期或抹掉一条记录。

名字出现在文件上并不等于签了字。只有当属于某人的每一个签名框和缩写签名框都留下真实签迹时，此人才被记录为已签署。填写文字、日期、金额或勾选框，永远不会被当作签名。

下载、打印、邮件附件、挂号信——每一次都有自己的编号，并记录谁取走、何时取走、来自哪个地址和设备。在 XOsign 内打开文件不算外发，也不会被记录。

该登记簿只有你自己的账户能读取，由数据库本身强制执行。任何人——包括我们——都无法通过应用修改或删除其中一行；只有当你删除账户时它才消失。

付费方案下，每份副本都带有一个隐蔽标记，可在打印、复印、扫描和截屏后继续存在，因此外泄的一页可以对应回它来自的那次外发。免费账户没有这些：没有登记，也没有标记。

每一张存放账户数据的表都带有绑定到你账户的 Postgres 行级安全策略。隔离由数据库本身强制执行，而不是靠应用代码记得去过滤。

每条连接使用 TLS，Supabase 的 Postgres 与存储在静态时使用 AES-256。能够绕过这一点的密钥只存在于服务端函数内部；浏览器永远拿不到。

错误监控被配置为只接收错误本身，别的什么都不收——不收用户 IP、不收 Cookie、不收认证请求头，也没有会话录制。我们的客户在屏幕上看到的是他们客户的合同，所以监控无权看到它。

你的合同绝不会被用来训练模型，我们的 AI 运行在零留存配置下。支付信息留在 Stripe——我们只保存一个客户标识。

你今天就可以为自己的账户开启验证码。团队所有者可以要求团队全员开启，并设有宽限期、事先提醒和针对个人的延期——没有人会在工作进行到一半时被挡在外面。我们自己的内部工具一直都要求它。

立即下载我们保存的关于你的全部记录摘要，或申请完整打包——你的记录、审计时间线和每一个文件——通过邮件以链接送达。每个账户每天一次完整导出，位于「设置 → 隐私」。

上传的文件保持你上传时的原样。如果你要一份可编辑副本，那份副本是独立的工作文档：原件仍然附着且未被触碰，其他所有功能仍在原件上运行。

你今天就可以在账户设置中申请删除。删除会安排在 30 天后执行，以便误操作可以撤销，之后数据被清除。审计日志会有意保留——一份你能抹掉的法律记录就不是法律记录。无需注册即可创建的演示账户，会在创建七天后被清除。

我们以 WCAG 2.1 AA 为目标。该声明会明确说明哪些已经做到、哪些还没有。

SOC 2 Type II 审计已在规划中。我们尚未启动，今天也不声称拥有任何认证。