平台每天产生设备、订单、支付三类数据。客户最常问的不是功能，而是「我的订单数据谁能看到」。
三条底线
- 权限最小化：按场站与角色授权，导出行为单独记录，谁能看到哪个场站的哪类数据是可查的；
- 操作留痕：订单改价、补单、退款全部写日志，可以追溯到具体的人与时间；
- 可恢复：数据库每日全量与增量备份，季度做一次恢复演练，恢复时长写进服务说明。
私有化也是一种选择
对数据边界要求更严的客户，可以把平台部署到自己的机房或专有云，数据不出内网，我们只提供部署包与升级支持。
安全是持续动作，不是一张证书。我们更愿意把日志和演练记录直接给客户看，而不是给一个标签。