数据放在哪里， 谁能看到。

一、存在哪里

记录存在应用服务器自己的磁盘上，不挂在任何公共网盘里。拍下的照片与识别出的图形按业务类型分一级目录存放——扫描、题干、解析、图形、其他，各走各的路径，路径里再按年月分一层。

读图分两档：点开预览时取原图，列表与卡片取服务端按固定档位生成的缩略图。缩略图另有自己的缓存目录，原图删除时一并清掉，不留悬空的副本。

二、存了什么，没存什么

教学要用的那几项存着；这台系统用不着的东西不伸手要。

三、谁能看到

业务记录按录入的教师隔离：同一名学生，由哪位教师录进去的那一条就归哪位教师，他人录的同一道题互不可见。这道边界只管业务记录，账号能不能看见某个学生，另由校区与学段决定。

看学生的个人信息

四、换设备

记录存在服务器那侧，本机只留登录状态与少量设置（主题、菜单排法这类）。在手机上拍了一半，换到电脑上接着批注；换一台设备登录同一个账号，错题本、批注、试卷记录原样都在。

账号由学校管理员统一开通，不开放自助注册，用户名就是手机号；教师端与家长端的账号都走这一条路。密码忘了由学校管理员重置，学生没有账号。

五、保留与备份

数据库每晚跑一次全量备份，上传的图片一并打包，连同配置一起存档，留十四天。十四天之内要回看某一天，从备份里取。

思小行留下的那几类同样在教师手里：会话可归档或删除，长期记忆可逐条删除，技能、流程、自动化与 MCP 登记可停用或删除。备份里那一份按十四天的周期自然过期。

六、数据与第三方

错题、题目、班级通知、学期账单这些业务内容的存储，以及哪一条给谁看的权限判断，都在学校或机构自己部署的那台服务器上：图片、错题、学生档案从教师的设备直达这台服务器，中间不经公共网盘、不经别人的对象存储。送达是另一层：同一条通知的标题与正文为了送到手机上，会临时经第三方推送服务的通道转发，这条链路在本节第三段写明。因此这一页不声称业务数据完全不经第三方中转。

例外是你在思小行里主动使用的外部能力：调用模型、联网抓取或使用教师登记的 MCP 服务器时，这次调用所需的提问、附件或参数会发往对应服务处理；这些服务由机构或教师登记，调用记录留在本机审计里。业务数据的存储仍不经过第三方云服务。

还有一条送达链路要说清：为把班级通知与提醒送到教师与家长的手机，设备的推送标识与通知的标题正文会经第三方推送服务（极光推送）的通道转发；这只覆盖通知的送达路径，业务数据本身不交给推送服务存储。

识别与拟稿要调用大模型的那几件事，属于另一套口径：哪几件事用了模型、教师在哪一步签字、哪些数据会交出去处理，写在 AI 与人工复核那一页。