隱私
這是什麼
界定 Hermes 可以儲存、擷取、揭露或送往模型提供者之資訊的政策邊界。
白話解釋
想像快遞員把信封交給陌生人檢查前，先遮掉住家地址，同時在內部保留真實地址以便送達。Hermes 也能分開「模型看見的內容」與「只留在本機的內容」：識別碼先雜湊、電話號碼在進入 LLM 上下文前移除，而底層路由資料不變。
為什麼重要
記憶與保留政策都受隱私邊界約束：什麼可以儲存、日後可以擷取，以及哪些內容實際送往外部模型提供者、哪些只留在本機。使用者為避免敏感專案資料送到託管 API 而改用本機模型時，這條邊界尤其具體。Slack 團隊知識庫等工作流程壓力更大，因為精選知識集合可能比任何單一訊息揭露更多資訊。
運作方式
gateway/session.py 的 build_session_context_prompt() 會接收呼叫端選擇的 redact_pii 值與平台是否可安全處理個人識別資訊。兩項條件都允許遮蔽時，它會先移除電話號碼，並把使用者或聊天 ID 換成可重現的雜湊值，再建構送往 LLM 的上下文。原始識別碼仍留在閘道路由層，因此回覆可以送回正確對話，模型上下文卻不必取得原始值。
具體範例
管理員在可安全處理個人識別資訊的訊息平台開啟 privacy.redact_pii。新訊息到達後，build_session_context_prompt() 會在組裝模型上下文前移除寄件人的電話號碼，並把聊天識別碼換成穩定雜湊；結果是模型收到可區分參與者的遮蔽上下文，真實路由值則只留在本機閘道層。
如何連結
「隱私」屬於「記憶」系列。最直接相關的概念包括：「保留政策」、「記憶工具」、「代理執行環境」、「個人作業系統」。這些連結描述教學關係，不取代來源證據。
來源證據
gateway/session.py#<file>— 結構性原始碼對應；此檔案包含工作階段上下文的識別碼雜湊與個人識別資訊遮蔽路徑，只作檔案層級佐證，不延伸到未列出的呼叫細節。