KIẾN TRÚC
Bên dưới nắp capo có gì.
Một bản phác thảo kiến trúc trung thực. Thành phần, luồng dữ liệu, ranh giới mật mã. Khi bạn cần một câu trả lời kiến trúc cho câu hỏi pháp lý về thuê ngoài, đây là trang bạn mở.
STACK NỀN TẢNG
Chúng tôi vận hành gì — theo từng lớp, được ký, trong EU.
CHI TIẾT TỪNG LỚP
Giải thích theo từng lớp.
Edge
Lưu lượng vào chạy qua một Kubernetes gateway với TLS termination, chính sách WAF và rate limiting ở mức IP và token. Không có CDN Mỹ trong chuỗi. Chứng chỉ đến từ một ACME CA Thụy Sĩ qua DNS-01 challenge — máy chủ DNS đặt tại Thụy Sĩ.
Application
Tầng ứng dụng là mở: một headless CMS tự vận hành cho nội dung, logic nghiệp vụ type-safe cho các quy tắc kinh doanh. Cố ý đi ngược cách tiếp cận "nền tảng" — không có low-code monolith, không có 200 dịch vụ SaaS bỗng nhiên sao chép dữ liệu sang Mỹ trong điều khoản chữ nhỏ.
Agent runtime
Logic agentic nằm ở đây: một orchestrator được triển khai memory-safe, model adapter cho các mô hình host tại EU (cloud Thụy Sĩ, cloud Đức, cụm suy luận riêng), và một policy engine khai báo. Một hành động của agent là một bộ gồm input, phiên bản mô hình, snapshot policy và một quyết định được ký.
Data
Dữ liệu vận hành trong một cụm Postgres managed trên block storage. Tầng backup trong object storage EU. Blob storage tùy độ nhạy cảm trên MinIO riêng hoặc qua một nhà cung cấp S3 EU. Không có nhà cung cấp cloud Mỹ trong tầng dữ liệu. Mã hóa at-rest với khóa do khách hàng nắm giữ (BYOK).
Audit — chuỗi Merkle với Ed25519
Đây là mỏ neo cho mọi tuyên bố pháp lý. Một dấu vết kiểm toán là một chuỗi hash các sự kiện được ký. Mỗi sự kiện mang: dấu thời gian (UTC), tác nhân, hash input, hash phiên bản mô hình, hash phiên bản policy, quyết định, hash lập luận, liên kết tới sự kiện trước. Ký bằng Ed25519. Khóa xoay theo quý; khóa cũ vẫn xác minh được.
Observability
Log, trace và metric ở lại EU — tất cả tự vận hành, không SaaS Mỹ, không hyperscaler Mỹ chạm vào đường telemetry. Telemetry là dữ liệu; dữ liệu tuân theo cùng quy tắc chủ quyền như mọi thứ khác.
TRIỂN KHAI
Ba chế độ triển khai.
Full-prem
- Dữ liệu nằm ở đâu
- Trung tâm dữ liệu của khách hàng
- Dxzio vận hành ở đâu
- Trung tâm dữ liệu của khách hàng, với hỗ trợ vận hành
- Khách hàng điển hình
- Ngân hàng / bệnh viện bang với yêu cầu dữ liệu tuyệt đối
Hybrid
- Dữ liệu nằm ở đâu
- DC khách hàng (dữ liệu) · vùng EU (control plane)
- Dxzio vận hành ở đâu
- Vùng EU + DC khách hàng
- Khách hàng điển hình
- Đa số hãng bảo hiểm, MedTech lớn
EU-cloud
- Dữ liệu nằm ở đâu
- Vùng EU (Helsinki)
- Dxzio vận hành ở đâu
- Vùng EU + vận hành từ Cham
- Khách hàng điển hình
- FinTech, MedTech nhỏ, dự án thí điểm
CHUỖI KIỂM TOÁN MERKLE
Ví dụ: bản ghi chuỗi kiểm toán (đã ẩn danh).
Một bản ghi trong chuỗi hash. Một kiểm toán viên có khóa công khai của dxzio-prod-2026-01-claim-pipeline có thể xác minh chữ ký offline — và đi ngược chuỗi qua prev_event_id.
{
"event": {
"id": "ad_01HKTM7Z2X3F8YBPGRJ5Q0WN1A",
"ts_utc": "2026-04-22T08:32:11.482Z",
"actor": "claim-triage-agent@v1.4.2",
"tenant": "REDACTED-INSURER-LI",
"input_hash": "sha256:b3c4a912e8d4...REDACTED",
"model_version": "claim-triage-llm@2026-03-15",
"policy_version_hash": "sha256:9f4e7b21...REDACTED",
"decision": {
"kind": "auto_approve",
"amount_chf": 1842.5
},
"prev_event_id": "ad_01HKTM6V8K9P2T5QZWN4HBCXMR"
},
"signature": {
"alg": "ed25519",
"key_id": "dxzio-prod-2026-01-claim-pipeline",
"value": "Ej3cJ2UQpa9kQzlR7iVcXvP...REDACTED"
}
}FAQ
Sáu câu hỏi các CISO luôn đặt cho chúng tôi.
Mô hình chạy ở đâu?
Hoặc trong cụm suy luận riêng của chúng tôi tại một trung tâm dữ liệu EU, hoặc tại một nhà cung cấp cloud Thụy Sĩ / Đức không có công ty con Mỹ trong đường dữ liệu. Nhà cung cấp cụ thể được tiết lộ cho khách hàng trong buổi review kiến trúc dưới NDA. Endpoint của hyperscaler Mỹ không bao giờ được gọi nếu không có phê duyệt rõ ràng từ khách hàng — và kể cả khi đó cũng chỉ với dữ liệu không định danh cá nhân.
Điều gì xảy ra khi một subprocessor thay đổi?
Bạn được thông báo trước 60 ngày. Một thay đổi kiến trúc đưa vào subprocessor mới sẽ đi qua change advisory board cùng bộ phận tuân thủ của bạn.
Chuyện này liên quan thế nào tới CLOUD Act?
Chúng tôi là một GmbH Thụy Sĩ không có công ty con Mỹ, không có nhân viên Mỹ, không có dữ liệu Mỹ. CLOUD Act không thể chạm tới chúng tôi vì không tồn tại mỏ neo nào ở Mỹ. Các subprocessor của chúng tôi được chọn theo cùng nguyên tắc.
Quyết định của mô hình tái lập được đến mức nào?
Hoàn toàn, miễn là model artifact còn khả dụng. Chúng tôi giữ mọi model artifact, input và snapshot policy trong WORM storage theo thời hạn lưu giữ của ngành bạn (FINMA: 10 năm · Swissmedic: tới 30 năm cho thử nghiệm lâm sàng).
Nếu công ty các bạn biến mất thì sao?
Mã nguồn, khóa và định nghĩa data pipeline nằm trong hợp đồng ký quỹ tại một công chứng viên Thụy Sĩ (Bühler & Partner, Cham). Điều kiện kích hoạt: phá sản, bán cho một pháp nhân Mỹ, hoặc yêu cầu giải phóng bằng văn bản từ bạn. Bạn có toàn quyền tiếp tục vận hành stack của mình trên phần cứng của mình.
Các bạn so mình thế nào với Vertex AI Agent Platform / Bedrock Agents?
Chúng tôi không so — chúng tôi giải một bài toán khác. Vertex Agent Platform và Bedrock Agents rất tốt khi CLOUD Act không làm phiền bạn. Khi nó làm phiền, có chúng tôi.
REVIEW KIẾN TRÚC
Nếu có gì trên trang này không đúng, hãy viết cho tôi.
- Trang này cố ý chi tiết — một CISO xứng đáng nhận bản phác thảo, không phải bài pitch
- Giả định sai về cơ quan quản chế của bạn? Chúng tôi sẽ sửa
- contact@dxzio.one · phản hồi trong 24h từ nhà sáng lập