记忆的使用边界
记住、读取、个性化和执行，需要分别说明范围。
一个助手知道某件事，并不意味着任何任务都可以使用它。用户可能愿意让助手参考工作笔记回答自己的问题，同时不愿把笔记发送给其他人；也可能允许记住一个计划，却没有授权系统持续监控、主动提醒或替自己完成外部操作。个人记忆需要同时表达内容和使用条件。
PersonOS 的设计把这些条件放进记忆的生命周期：写入时记录来源与限制，检索时按任务和接收方筛选，交付时保留必要的约束，执行前再次核对授权，撤回或删除后更新依赖内容。把规则写入提示词有助于解释，但真正的数据和行动边界还需要由具体实现执行。
同一份记忆，在不同任务中有不同范围#
设想用户说：“这些会议笔记可以用来帮我整理待办，不要转发。”当前任务是生成自己的待办时，笔记与用途匹配；如果另一个任务要向外部伙伴发送会议纪要，就需要重新检查接收方和授权。内容相关性只回答“有没有帮助”，无法回答“是否允许交付”。
治理信息应包含数据类别、敏感程度、允许用途、可访问的主体和处理位置。用途必须足够具体，让实现能够判断一次请求是否匹配。含有高敏感内容的整个来源，不应因为其中一句可公开，就被整份放进上下文。
框架借鉴数据隐私词汇表（DPV）对个人数据、处理活动、目的和授权等概念的区分，来组织这些条件。采用相关词汇并不自动形成合规认证，也不替代具体产品的访问控制、部署和审计。
行动权限独立于信息判断#
一条计划可以有很强的证据，助手对用户需要的判断也可以很有把握，这些都不能替代行动授权。检索、个性化、监控、提醒、建议和外部执行带来的影响不同，需要分别控制。
| 使用方式 | 具体含义 | 还需核对 |
|---|---|---|
| 归档与检索 | 保存允许保留的材料，按问题查找。 | 资料范围、用途、接收方。 |
| 个性化 | 让答案参考适用的偏好或当前状态。 | 偏好的条件、时效以及当前任务是否适合使用。 |
| 监控与提醒 | 持续检查变化，在条件满足时主动联系用户。 | 触发条件、频率、渠道与停止规则。 |
| 建议与执行 | 提出下一步，或通过工具产生外部结果。 | 执行权限、当前确认、具体对象与副作用。 |
行动检查（Action Gate）是在外部操作前进行检查的设计职责。它需要使用当前的授权状态，而不只是相信较早生成的上下文里写着“用户允许”。当权限撤回、对象变化或操作超出原范围时，需要停止或重新确认。
助手推断出的潜在意图应当保留为假设。反复查询某门课程，可能意味着想报名，也可能只是替别人收集信息。在证据不充分时，可以把它作为解释问题的候选，不能转成用户已决定的计划，更不能据此安排付款。
存在哪里，与在哪里处理是两个问题#
本地存储并不意味着推理一定在本地运行。数据可以保存在设备上，同时发送给远程模型处理；也可能在云端保存加密副本，而某次解密和读取发生在设备上。框架要求把存储、处理、同步与交付分别说明。
本地优先是一项设计取向：尽可能限制原始敏感资料的流转，按授权决定是否向外提供需要的部分。要实现它，需要具体的存储策略、模型调用边界和访问检查。一个名为 local_only 的字段，只有在所有相关路径都执行该限制时才有效。
保留策略怎样适应不同记忆#
稳定的身份信息、当前计划、历史经历和一次任务的临时上下文，通常不适合使用同一套过期规则。框架设计用 Canonical、Active、Archive 和 Ephemeral 区分这些保留需求。
Canonical 适合重要且相对稳定的内容，仍允许用户修正；Active 保存当前目标和状态，需要复核；Archive 保留历史背景，使用时带上过去的适用范围；Ephemeral 面向短期任务，到期应删除或按规则压缩。这些类别描述使用和保留方式，不代表其中内容天然更可信。
“很久没出现”可能说明一个偏好不再重要，也可能只是近期没有相关任务。因此遗忘不宜只依赖访问频次。要结合信息类别、证据变化、明确的保留要求和可验证的失效条件决定。
删除需要沿着来源关系检查#
当用户要求删除一条资料，系统需要知道哪些记忆原子、情节摘要、链叙述、画像和缓存由它派生。仅从界面隐藏来源，不能阻止旧摘要继续参与回答。能够追溯来源，是纠错与删除传播的前提。
删除一条来源，也不一定意味着所有相似结论都应消失。如果另一份独立且仍被授权的证据支持同一事实，需要区分“删除这份材料”和“不要再记住这个事实”两种请求。实现应说明实际支持哪一种范围，而不是用同一个按钮隐藏差别。
已经交付给外部接收方的内容可能超出本系统的直接控制。可以停止后续交付并请求删除副本，但在没有回执时，不能声称所有副本都已经清除。审计记录也应尽量只保留验证所需的标识与结果，避免再次复制被删正文。
怎样验证边界真正生效#
验证应覆盖权限变化后的再次读取、多个用户之间的隔离、用途不匹配的请求、来源删除后的检索，以及依赖缓存尚未更新的状态。需要同时检查结果内容与执行路径，确认拒绝没有被下游重试、旧缓存或另一条接口绕过。
本章定义的是框架需要表达和执行的约束。某个实现保留了敏感度字段或提供了删除操作，只能证明其中一部分。具体覆盖范围、失败结果和外部副本控制能力，需要按产品与版本独立说明。
参考：Data Privacy Vocabulary 2.0（W3C Community Group 产出，并非 W3C Standard）；W3C PROV-O（用于表达来源关系）。