数据归属与安全说明

一、数据归属

二、两种部署方式

两种方式功能一致，区别在于运行环境归属与授权形态。详见产品定价。

三、多租户数据隔离

SaaS 环境采用行级隔离：每一条业务数据都带租户标识， 所有查询在服务端强制带上当前租户条件，租户标识来自登录凭证而不是前端传参。 不同公司的数据在同一套系统里互相不可见，也不可能通过改参数越权访问。

四、企业内部权限边界

• · 司机端不包含任何价格与金额字段——相关数据不会下发至客户端，而非前端隐藏。
• · 客户端仅可见自有单据与账户余额，不可见采购价、供应商信息及其他客户数据。
• · 一线员工的看板金额与毛利为独立权限项，关闭后仍可查看车次与吨量数据。
• · 审批职责分离：不可审核本人录入的预付款，不可审批本人发起的付款。

角色与权限的完整划分见 角色与权限。

五、变更留痕

业务单据关键字段的变更（车辆、液源、供应商、客户与价格）逐条记录： 变更字段、变更前后值、操作人与操作时间。登录与系统操作另有独立日志。 批量追溯调整须先逐单预览调整前后金额，已对账单据自动排除，不影响已结算账目。

六、技术安全措施

• · 传输：全程 HTTPS。
• · 登录口令：采用 bcrypt 哈希存储，任何人（含我方）均无法反查原始密码。
• · 敏感字段展示：手机号、身份证、银行账号在列表中脱敏显示，完整值按权限在详情页展示。
• · 接口：参数化查询防注入、输出转义防 XSS、按 IP 限流。
• · 附件：通过接口访问并校验归属，不暴露文件系统路径。

七、备份（SaaS 环境）

• · 数据库每日增量备份，保留 30 天；
• · 每周全量备份，保留 12 周；
• · 附件文件备份保留 3 年。

私有化部署的备份策略由客户运维团队执行，我方在实施阶段提供脚本与操作说明。

八、其他事项

如有合规方面的要求（等级保护、内部审计、集团 IT 评审等），可在产品演示时提出，我们将如实说明当前的支持情况。