数据与安全

这一页写给会问「我的客户名单会不会被别人看到」的老板，也写给需要填安全问卷的 IT。我们尽量说人话，并给出可核对的机制。

数据怎么隔离

每个公司（我们叫「租户」）一个独立空间。默认所有公司共用一个数据库，但每条数据都带公司标识，数据库层面强制只返回属于你公司的行；这不是应用代码里的 if 判断，而是数据库策略。

需要更严的合同，可以升级到独立 schema，或者独立数据库（定制版）。升级过程是导出、校验行数与金额、切换、保留回滚窗口，不是「重建账号」。

公司内部谁能看到什么

公司内部也不是人人可见。角色决定范围：销售只看自己的客户，主管看本组，财务看单据但默认不含客户联系方式，老板看全公司。

客户交接时权限随客户走，7 天后原负责人自动失去访问权。所有权限变更都有记录，能还原「当时谁能看什么」。

平台人员什么时候能看到你的数据

默认看不到。平台运营与财务的控制台只存账号、订阅、用量汇总和账单，不存任何客户、报价明细、样品图与手机号。

只有一种例外：你报障并书面同意后，我们的技术同事可以申请一次限时只读访问，用来定位问题。

• 需要你在工单里明确同意，不是默认勾选。
• 只读，最长 60 分钟，到期自动失效。
• 全程留痕，事后给你一份访问记录。
• 高危操作（删租户、强制改套餐）需要两个人复核，单人做不了。

审计：改不了的历史

业务写入和审计写入在同一个事务里，要么都成功要么都不成功。审计表在数据库层面禁止修改与删除，谁也不能「擦掉」一条记录。

每条记录包含：时间、操作者、当时的角色与数据范围、动作、改前改后。对账有争议、报价被质疑时，这条链就是依据。

随时导出，随时带走

客户、样品、报价、订单、对账都能导出成 Excel，不需要申请、不额外收费。导出记录本身也会写审计，方便你知道谁导过什么。

停用账号后，数据保留 90 天可恢复；超过保留期按合同处理，删除前会通知你。

停用与删除

「停用」是关掉登录、保留数据；「删除」是不可恢复的。两个动作分开，避免误操作。

• 停用：管理员随时可做，恢复也随时可做。
• 删除租户：需要你书面申请 + 平台两人复核，执行前会给一份数据导出包。
• 删除某个客户或样品：软删除，30 天内可恢复。

模型与你的数据

智能体调用大模型时，只传当次任务需要的内容：这次要报的品名、规格、相关样品与历史价。不会把整库数据发出去，也不会把你公司的数据用于训练模型。

不同公司之间的数据在模型调用层面完全隔离，不存在「隔壁公司的报价被学走」。

备份与可用性

数据库每日全量备份 + 持续增量，保留 30 天；备份加密存放，定期做恢复演练。登录服务与业务服务分开部署，登录服务故障时已登录的会话有短期宽限，不打断正在做的审批。

需要具体的 SLA、等保材料或安全问卷，写信到 hello@weaveorder.cn。