会员建档：用“最小化”把风险砍掉一半
实体店做会员，最容易踩坑的不是系统贵不贵，而是一上来就要手机号、身份证、人脸。监管在2026年1月的权威问答里把“敏感个人信息”说得很清楚，像生物识别、金融账户、未满十四周岁信息都算，泄露后风险更大。
- 能不收就不收：生日、地址、职业这类“好看但没用”的字段，默认别填。
- 能选填就选填：手机号用来找回权益可以，但别做“必须项”，给顾客“会员码/小票码”也能用。
- 别把人脸当唯一通行证：同一目的有替代方案时，别强推刷脸。
授权同意：把“我同意”做成可追溯证据
现实里最常见的纠纷是：顾客说没同意，你说他点过。解决办法就一句话：同意要分层，证据要留痕。
- 分开勾选：办会员/积分是一件事，短信营销、社群拉新、把数据给第三方（比如外包短信/CRM）是另一件事，别绑在一个勾里。
- 留痕要够用：保存同意时间、门店/设备、同意内容版本号、操作人（导购工号）、截图或日志哈希。
- 外包要管住：2026年1月湖南网信办就因“擅自分包+监督流于形式”开出罚单，企业及主管人员分别被罚到30万元、3万元；合同里要写清用途、期限、删除、审计、违约责任。
数据泄露应急处置SOP：按小时跑，不按天拖
别等出事才临时建群。参考上海网信办在2026年1月披露的案例，开放端口、弱口令、没加密、没日志，都会被认定为“防护不到位”。门店建议把SOP贴墙上：
- 0-2小时：先止血——关停可疑账号、断开外联、封禁端口、冻结导出权限；保全日志和现场证据。
- 2-8小时：分级评估——泄露了什么（手机号/消费记录/支付信息）、影响多少人、是否含敏感信息；同步法务与负责人。
- 8-24小时：对外动作——按法规要求尽快通知相关方，给出风险提示和补救措施（改密、警惕诈骗、客服专线）。
- 24-72小时：复盘整改——补齐加密、最小权限、双人审批导出、定期漏洞扫描；更新培训话术，避免导购私自用表格存顾客信息。
门店今天就能照做的3条落地建议
- 把会员表单改成“必填不超过2项”，其余全部选填，并写清用途。
- 做一张“同意记录卡”：每次营销同意、第三方共享同意都能查到版本和日志，保存周期建议按至少3年管理，方便自证。
- 把应急SOP演练一次：模拟“导购账号被盗导出名单”，跑完止血、取证、通知、复盘四步，找出最慢的环节并限时优化。
