数据主权与合规

页面顶部有三个标签，恰好对应这三个问题，也是它们该走的顺序：

顺序不是随意的。删除前必须先有一份客户拿得到的完整副本——这是产品里唯一一处不可逆的动作，所以它被放在最后，并且被三道闸门挡着（见附录 A）。

出问题时按症状查故障排查表，要确认上限与配额查限制与配额速查表，遇到不认识的词查全套共用的术语表——三张表都在首页「随时可查」里。

客户尽调时问的三件事都在这一页上：你们存了什么、凭什么存这么久、能不能给我一份可以带走的证明。这一章把第一个标签页从上到下拆开讲。

进入「安全 > 数据主权与合规」，页头写的是 数据保留与合规。顶部三个标签依次是 保留与合规证明、组织数据导出、数据删除，默认停在第一个。页头右上角写着审计记录多少条，旁边是刷新按钮，页面数据靠它重新拉一次。

上传原件的存储目的地 — 导出和删除都以这里为准

保留策略表下面一块是 上传原件的存储目的地，一行写清原件存在哪、这套部署用的是什么盘、上次自检是什么时候、当前承载了多少件原件。它值得先看：导出与删除都以这里为准。同一行还把最容易被误解的一点直说了——切换目的地不会迁移已有原件，旧原件仍留在原来的目的地。点开这一行进入「部署与存储详情」，里面的 在资料来源页更改 是改目的地的入口，改动本身不在这一页做。

合规与保留态势 — 页面替你下的那句结论

页面最下面的折叠区叫 合规与保留态势——它只报结论，不改任何东西。结论以徽章的形式并排给出：第一个是总判断，例如「可以继续试用并准备交付证明」；后面跟着 保留策略 6 类 这样的口径徽章，以及一条橙色的提醒，写明还有几项证明声明是随部署提供的。

徽章下面是四个信息格：审计记录 是当前条数；最近事件 是最后一条审计记录的时间；导出格式 写审计明细能导成什么，取值是 CSV / JSON；证明生成 是这份合规证明生成于什么时候。客户问「审计能给我什么格式」，答案就在这一格里。

图上最下面还有一个折叠区，写着它会展开三件事：能不能继续、要关注什么、下一步是什么。界面精简后这个折叠区已去掉，这三段改收在结论徽章旁边的 ? 里，悬停或点开即可看到。

这一块右上有两个出口：复制合规摘要 把这段判断复制成文字，直接贴进给客户的邮件或纪要；下载合规证明 下载成文件。两者拿到的是同一段结论的两种形态。

数据保留策略 — 逐条讲清留多久、放哪、到期怎么办

最上面一块是 保留策略，表头是 数据类别、保留多久、状态；点数据类别的名字，侧边会打开这一条的 存放与加密、到期后与可得证据 和保留理由。到期后与可得证据 这一项是最值得逐条读的：它同时写了「到期之后会发生什么」和「你能拿到什么证据」，例如超期记录按部署的归档策略处理、已下载的合规证明不受影响。

状态 列的徽章写 已生效。每一行数据类别下面还有一行小字标明这条策略的来源：系统默认策略 是产品内置的，部署配置 由这套部署决定。可以改的行，行末是 调整策略 按钮；不能改的行，那个位置改写一句「由部署配置，控制台不可改」。

每一条的侧边详情最后还有一项 技术参考。工程口径的细节——字段名、清理任务、执行时机——收在这里，平时不占版面，要向工程或审计交代时再展开。各项保留期的实际取值见 限制与配额速查表。安全控制与合规声明 下面还有一个 当前限制 按钮，写的是这套部署眼下还差哪几项，和顶部那条橙色提醒说的是同一件事。

安全控制与合规声明 — 两类行讲的是两回事

折叠区里的 安全控制与合规声明 是一张表，标题旁写着几项控制、几项声明，每行名字后标着它是「安全控制」还是「合规声明」。标成 安全控制 的行讲的是产品这一侧已经做到的事，逐条带状态徽章：

• 导出自审计 —— 徽章 已启用：导出这个动作本身会进审计。
• 敏感明文禁止 —— 徽章 已强制：这一条不是可选项，被强制打开。
• 传输与落盘加密 —— 徽章 由部署配置：由这套部署决定，控制台不负责。
• 审计导出脱敏 —— 徽章 已启用：审计明细导出时敏感字段自动脱敏。

三种徽章代表三种不同的强度：已启用 是打开着的、已强制 是关不掉的、由部署配置 是控制台管不着的。对客户交代时这三者不能混着说。

标成 合规声明 的行列的是 ISO 27001、等保这类条目，状态写的是 随部署提供。

在可改的那一行行末点 调整策略，编辑区在侧边抽屉里打开，标题写明在改哪一条，例如 调整“审计日志”的保留策略。

四个字段

• 保留多久 —— 承诺的最短保留时间，例如「不少于 180 天」。
• 为什么保留 —— 依据，写给审计看的，例如安全追溯、合规留痕、导出自审计。
• 存在哪里 —— 这类数据的存放位置与加密方式。
• 本次调整原因 —— 这一次为什么改，占位文字给的例子是「对齐组织内审保留周期」。

底部两个按钮：保存策略 落盘，旁边的取消按钮放弃这次调整。

编辑区在侧边抽屉里，不改那张表

编辑区在侧边抽屉里打开，背后那张表一列都不动：表头自始至终是 数据类别 / 保留多久 / 状态。要对着屏幕给客户念数字，看的还是原来那几列。

有一处名字对不上，值得先知道：编辑区的标题用的是这条策略的短名，例如 调整“审计日志”的保留策略，而表格里那一行写的是 操作与访问审计记录。同一条策略，两处叫法不同——按行的位置认，别按名字找。

切到 组织数据导出。这里做的是全量导出：这个组织在产品里的全部数据，打成一个客户能下载的包。标题下的副标题写明了两件事：导的是完整、按组织隔离的数据包；校验通过后仅可下载一次。

「仅可下载一次」不是提醒，是这条链路的硬约束。安排导出之前先把「谁来下、下到哪」定好，不要先导完再找人。

导出范围与安全边界

第一块卡片标题是 导出范围与安全边界，副标题写明粒度与格式：完整组织数据、tar.gz。开头一句先讲导全不全：导出器使用固定登记清单；新增业务表或数据源未登记时会失败关闭，不会静默漏数。也就是说，宁可这次导出失败，也不给你一个悄悄少了一张表的包。

下面四条带勾的是导出包里装了什么：组织、成员、身份源、角色与权限；组织资料、知识、授权与治理状态；助手、技能、工作流、场景与任务配置；会话、计费、配额、连接器及组织审计账本。客户问「我的数据是不是都能拿走」，逐条念这四行。

卡片最后一行讲安全边界：文件保存在私有目录、包文件权限收紧；服务端和浏览器都会核对大小与 SHA-256；校验只读；下载成功后服务端立即删除私有文件。

导出任务列表

第二块 导出任务 列出历次导出，标题右侧是条数和刷新按钮。每条记录一行标识、一个状态徽章、一个 第 1 次尝试 这样的重试计数，第二行是创建时间、过期时间、数据（多少个数据集 / 多少条记录）和大小，第三行是两个摘要：archive 是产物摘要，manifest 是清单摘要。这两个值就是 第 4 章 里校验要核对的东西。

状态徽章写 已过期 的那条，下面会多出一行红字：「私有文件已按保留期物理移除，请发起新的导出。」还有一个徽章是 已下载：那份包的一次性下载已经用掉了，行内会写明何时下的，以及服务端文件已删除、不能重复下载。已下载 和 已过期 的结局一样——包都不在了，区别只是前者被客户拿走了，后者没有。

「读不到」和「没有」不是一回事

导出任务这一块有三种「列表上什么都没有」，它们说的是三句不同的话，读者最需要看图确认的恰恰是这里：把读取失败当成「本组织没有导出」，会让人以为客户的副本从来没做过。三种状态都由标题右侧那行小字先说明。

红字里会点名原因：读取被服务端拒绝（当前账号在本组织没有读取权限）、登录状态失效、服务端未能返回列表、网络中断——是四类原因，不是一句「暂时不可用」。「没有权限」是能拿去找平台方的，「网络抖了一下」不是，所以这句话要读完。

点 发起全量导出，产品在后台开始打包，顶部给一条确认：全量导出任务已发起，页面会自动刷新进度，生成期间不会暴露文件路径或导出内容。进度自己会刷，不用一直手点。

点 校验并自查。产品会重新读一遍产物，核对清单校验值、数据集数与记录数，并把结论写成一份可复核的报告。

证据要看四项，不要看状态字段

完整性与再导入自查通过 这块里的「业务写入 0」是最容易被跳过、也最要紧的一项：它说明这次校验是把包重新读了一遍、并没有往业务库里写任何东西。校验本身不污染生产数据，这句话就是证据。

另外三项是数据集数、记录数与已核对的体积，它们要和 第 3 章 里那条记录上的 archive、manifest 摘要一起看。四项都对上了，这份导出才算就绪。

一次性下载

校验通过之后，行末的「校验并自查」变成 重新校验，旁边多出绿色的 一次性下载。这是客户真正拿到副本的那一步，而且按名字说的：只能点一次，下载成功后服务端立即删除私有文件。

切到 数据删除。这一页做的是产品里唯一不可逆的动作，所以先把页面结构认清再动手。

上面这块叫「删除请求」，不叫「组织退订」

很多人以为这一页是「上面组织退订、下面个人删除」两张卡片。不是。上面这块的标题是 删除请求，它是一份请求列表；发起组织退订 只是挂在这个标题旁边的一个红字按钮，页面上并没有叫「组织退订」的卡片。找不到那张卡片是正常的。

列表默认只显示进行中的请求；已经结束的收在下面一行链接后面，写成「显示已结束的 N 条」这样的字样，数字随实际条数变化，点开随时可查。展开之后同一个位置换成 只看进行中，点它收回去。

行首那个徽章，是判断进度的唯一信号

每条请求行首都有一个状态徽章，行内写清这次删除的范围——个人删除 · 员工 X 与 组织退订 · 整个组织 一眼可分。徽章的取值贯穿后面几章：

下面这块：删除某一位员工的数据

第二块卡片 删除某一位员工的数据，说明写得很直白：只清除这位员工个人的数据——账号、会话、个人授权；组织的知识、账单与记录保留，其中的归属会换成不可还原的标识。它还专门补了一句，说明这与上方的「组织退订」不是同一件事——那会清除整个组织。

填 员工标识，点 发起个人删除，这条路径就开始了，见 第 6 章。

发起之后，这条请求出现在 删除请求 列表里，徽章是 已提交，页面下方同时展开 执行删除 面板——不用再去点那一行，它已经选中了。

面板一次只给一步。此刻框里写着「确认后开始冷静期。这段时间是这位员工或组织撤销的最后机会，期间数据不会被动到。」，框里就是 确认删除，开始冷静期 按钮。这一步的面板上没有「执行删除」按钮，也没有确认短语输入框——它们要等确认之后才出现。取而代之的是一句红字说明还差什么，和一句预告：完成上一步之后，这里会要求逐字输入「删除员工 <标识> 的个人数据」，然后才能执行删除。面板最底部是 撤销该请求。

冷静期与确认短语是两道独立的闸门

点确认之后进入冷静期。立刻改口的是面板，不是列表：面板上多出一行红字写冷静期还剩多久，并出现确认短语输入框；而列表里这条请求的徽章这一刻还是「已提交」。徽章要等列表重新读取——点标题旁的刷新，或者重新进这一页——才会变成 冷静期。所以判断冷静期开没开始，看面板；看徽章会慢一拍。

短语里写的是这位员工，不是整个组织——手打一遍错误的范围，比不给短语更危险。输入框上方那句话说明在确认谁；短语本身只出现在输入框上方一次，不重复第二遍。

这一点值得单独记住：短语填对了按钮还是灰的，不是页面坏了，是冷静期没到。面板上的红字会告诉你卡在哪一条，逐条读就行。冷静期的时长由部署配置决定，取值见 限制与配额速查表。

回到 删除请求 标题旁，点 发起组织退订。这条路径与个人删除走的是同一个面板，但闸门不同：多一道导出闸门。

面板给的下一步是 关联导出并进入下一步，选一份就绪的导出。它就是这次删除的依据，也是客户手上那份副本。就绪的意思见 第 4 章：发起过还不算，必须校验通过。

点确认后同样进入冷静期，面板再要求逐字输入确认短语，只是这次短语确认的是目标组织而不是某位员工。

冷静期结束后，回到这条请求。面板上那几行红字会整条消失，逐字输入确认短语，执行删除 从灰色变成实心红色、可以点。

点下去。清除真的发生，面板当场换成删除证明：一句 已清除：这位员工的个人数据、一句 该请求已结束，不能再执行或撤销。，然后是证明本身——已清除 N 行 的逐表计数，和一个 删除证明校验值：64 位十六进制，覆盖全部内容，拿同样的事实重算一遍能得到同一个值，任何事后改动都看得出来。面板上就这两项，没有完成时间，也没有操作者哈希；执行时间在列表那一行的右端。证明可以随时回来看，刷新、换人、换天都在。

证明里只有计数和校验值，没有任何客户内容。这一点很要紧：这份证明可以原样交给需要回答「到底删了什么」的人；不过在页面上，数据删除标签只有管理员能打开。

上面这张图里，请求列表与删除证明面板都在。要回头核对某一条，点开列表里那条 已完成 的请求，面板会重新给出同一份证明。

把前八章串成一次能向客户交代的操作：先给客户一份验过的副本，再清掉数据，最后拿出一份能复核的证明。

一条走得通的顺序

1. 进「安全 > 数据主权与合规」，先在 保留与合规证明 里点 下载合规证明，或用 复制合规摘要 把当前结论留一份底。这是动手之前的现状快照。
2. 切到 组织数据导出，点 发起全量导出。成功的标志是顶部出现「全量导出任务已发起」，并且 导出任务 列表里多出一条 待校验 的记录。
3. 在这条记录行末点 校验并自查。成功的标志是徽章变成 校验通过，并展开一块 完整性与再导入自查通过，里面的数据集数、记录数与「业务写入 0」都对得上。数字不对就别往下走。
4. 点 一次性下载，把包交给客户。只能下一次，下完服务端就删了私有文件。
5. 切到 数据删除，在 删除请求 标题旁点 发起组织退订。这时 将要清除的范围 会显示未知。
6. 点 关联导出并进入下一步，选刚才那份就绪的导出。成功的标志是范围变成具体的数据集数与记录数，列表徽章变成 导出中。
7. 点确认，进入冷静期。成功的标志是徽章变成 冷静期，面板红字开始倒数。这段时间内数据不会被动到。
8. 冷静期走完后回到这条请求，逐字输入确认短语。成功的标志是红字消失、执行删除 变成实心红色。
9. 点 执行删除。成功的标志是这条请求变成 已完成，并能读到逐表计数与校验值。把这份证明交给客户，这次退订才算交代完。

排查表

不可逆的动作只有一个：执行删除。它前面有三道彼此独立的闸门，任何一道没过都点不动。

三道闸门都在服务端再判一次。控制台把它们照着渲染出来，是为了让运维提前知道卡在哪，而不是点下去才被拒。面板上的红字每消失一行，就是过了一道。