先找到資料，
再組織答案。
來源規格・待驗證知識查找（RAG）
來源提到向量與關鍵字搭配查找：前者找語意相近的內容，後者保留明確詞彙線索。這是查找方法，不代表每次都一定找到正確答案。
實際引用、版本與命中範圍需後台紀錄和反例測試；不宣稱逐輪完整追溯或零錯誤。
- 有資料
- 要能核對使用的是哪份內容與版本；管理員紀錄、顧客看到的引用需分開確認。
- 缺資料或問題不清楚
- 先追問或停止，必要時交給人；不以生成文字補出不存在的規則。
- 資料互相衝突
- 先釐清版本與有效範圍，再決定使用哪一份；不能用一張示意圖證明衝突已解決。
會回答，
不等於可以任意操作。
技能／串接範圍・待驗證技能管理
來源提到以 Markdown 定義技能，依意圖選擇對應處理方式。新增、修改、啟用後是否需要審核或重新發布，以及不同技能如何隔離，都要依實際產品確認。
MCP 要分清楚兩個方向。
AI 呼叫工具
AI 為了完成需求讀取資料或執行動作。查詢與寫入的權限、使用者確認與失敗處理應分開。
外部管理系統
外部工具透過 MCP 管理 SupaTalk 的資料或能力。身分驗證、租戶範圍與操作稽核要另行確認。
外部資料源
已收錄擴充方向，但來源沒有完整連接器清單與同步頻率。不能推論你的電商、訂房或會員系統已可直接連接。
正式接入前要確認：誰可讀／寫、哪些動作需確認、如何留紀錄、逾時／失敗怎麼處理。本機示意不呼叫任何產品工具。
記得住之前，
先決定該記什麼。
記憶功能與政策・待確認AI 記憶不是默默記下所有人。
這是來源描述的管理流程；手動新增、整併／壓縮、刪除等能力，仍需逐項驗證。跨次使用還涉及穩定身分，不能保證任何訪客都能正確辨識。
來源提到匿名訪客不保留長期記憶，不能外推為「不留任何資料」。日誌、Cookie、備份與模型供應商處理屬不同範圍。
資料種類、用途告知、保存期限、刪除與備份、租戶隔離及身分綁定都待確認。現有 vendor 隱私政策不可直接拿來證明記憶功能已受完整涵蓋。
- 對話萃取草稿
- 管理員確認
- 後續對話使用
想查一段回覆，
要找得到線索。
稽核範圍・待驗證先限制能做什麼，
再談能幫上什麼。
防護方向・非保證目前沒有可公開的完整防護測試或認證報告；不作零風險、全面法遵或不會被攻擊的承諾。
- 個資與敏感內容
- 輸入分類、資料最小化、個資遮罩與敏感內容處理是來源方向，實際涵蓋範圍與例外需確認。
- 提示詞注入
- 客人或外部資料的指令不應任意改寫系統規則。需用反例測試查核，不能只憑關鍵字清單宣稱全面阻擋。
- 工具權限
- 讀取、修改、訂單等動作分開授權；重要操作保留確認與人工處理，不把能呼叫工具等同可任意操作。
供應商名稱，不是安全證書。
以下列出來源提到的分工，尚未用部署與資料流證據核實；不是目前線上架構圖。
| 供應商 | 來源角色 | 仍需查核 |
|---|---|---|
| Cloudflare | DDoS 防護相關 | 實際套用範圍、服務與設定；不能外推為全部邊緣架構。 |
| AWS | 備份相關 | 資料種類、區域、保留與還原測試；不是已驗證的災難復原保證。 |
| Vercel | Firewall 相關 | 實際部署與防護範圍；不使用「物理防火牆」等錯誤分類。 |
| OpenAI／Google Gemini | 模型服務 | 實際模型路由、傳送資料與供應商條件；品牌不代表延遲或服務水準。 |
隱私要分四個範圍看。
銷售網站
目前本機示意沒有表單或產品資料上傳；正式網站仍需確認分析工具、Cookie 與主機日誌。
vendor 訊息中繼
既有政策說明的服務範圍。保留原文，不自行把它延伸成所有商家功能的承諾。
商家應用
知識、訂單、身分與記憶的用途、保存及刪除，需由產品與政策責任人確認。
模型與其他供應商
哪些資料交由第三方處理、保存或備份，需核對實際資料流與適用條款。
本次不修改法律條文；正式公開前，需由責任人確認服務名稱、範圍與資料處理說明是否一致。