数据保留、导出与删除政策
生效日 2026 年 5 月 4 日 · 版本 v1.0
生效日： 2026 年 5 月 4 日 · 版本： v1.0 关联： 09-数据处理附件 §10、订阅、计费、取消与退款政策 §7、隐私政策 §6
1. 订阅期内
1.1 客户数据在订阅期内持续保留，由客户自己决定保留多久。 系统提供删除单条记录与批量删除的功能。
1.2 🔴 客户在系统中删除的数据，我们不为客户保留「以防万一」的副本。 删除即从生产数据库移除（软删除与硬删除的差别见 §4.2）。 恢复只能依赖备份，而备份有时间窗口限制（§5）——这是本政策最重要的一句话。
2. 终止后的导出窗口
2.1 订阅终止或到期后，账户进入 30 个日历日的导出窗口： 可登录、可导出、不可新增数据、不可发信。
2.2 我们在终止时与窗口结束前 7 天各发一次提醒，发至账户管理员邮箱。 🔴 管理员邮箱失效导致未收到提醒，不延长窗口——保持该邮箱有效是客户的义务（域天星 SaaS 订阅与服务协议 §17.5）。
2.3 导出能力——照实说明，请务必读完本节：
| 数据 | 自助导出 | 说明 |
|---|---|---|
| 报表（问题、项目、财务汇总） | ✅ CSV | 报表页面内直接下载 |
| 客户、联系人、询盘、订单、报价、产品等业务记录 | 🔴 暂无自助整体导出 | 见下 |
| 邮件全文（EML / MBOX） | 🔴 不提供 | 邮件存放在客户自己的邮箱服务商，请直接从该邮箱导出 |
| 附件 | 🔴 暂无打包下载 | 可在系统内逐个下载 |
🔴 因此，除报表外的整体导出，目前由我们人工协助完成： 在导出窗口内向 legal-privacy-ofac@infini-nova.com 提出书面申请， 我们在 10 个工作日内以 CSV 形式交付业务记录、以打包文件形式交付附件。 此项服务不额外收费，但必须在窗口内提出。 我们不承诺人工导出能还原系统内的全部关联关系与展示格式。
2.4 因违反 可接受使用政策 (AUP)/反垃圾邮件与发信政策 被终止的账户，仍然提供导出窗口与人工导出， 但导出请求需经人工审核，且窗口内不得使用发信功能。
3. 各类数据的保留期
| 数据类别 | 保留期 | 依据 |
|---|---|---|
| 客户业务数据（B 类） | 订阅期 + 导出窗口 + 软删除期（§4.2） | 客户指示 |
| 账户与用户资料 | 同上 | 域天星 SaaS 订阅与服务协议 |
| 计费、交易与税务记录 | 7 年 | 香港税务与公司法保存要求 |
| 条款接受记录（时间戳、版本、IP） | 7 年 | 争议与拒付举证（订阅、计费、取消与退款政策 §9.2） |
| 系统内审计日志 | 与该租户业务数据同期（目前不单独清理） | 安全与取证 |
| 容器运行日志（应用、反向代理） | 按容量滚动：每个容器最近约 100 MB（20 MB × 5 份）。<br>🔴 不按天数保留，高流量下可能只覆盖最近数天 | 运维与滥用调查 |
| 邮件投递日志 | 记录在客户自己的邮箱服务商处，不由我们保留 | — |
| 支持工单（邮件往来） | 3 年 | 服务连续性 |
| 备份 | 见 §5 | 灾难恢复 |
🔴 计费与条款接受记录的 7 年保留，即使客户要求删除也会保留—— 这是法定义务与举证需要，属于删除权的法定例外。我们会如实告知，不会假装已全部删除。
4. 删除
4.1 客户主动要求删除全部数据： 写信到 legal-privacy-ofac@infini-nova.com， 经身份验证（须由账户管理员提出）后，我们在 30 天内从生产系统删除，并书面确认。
4.2 🔴 软删除与硬删除——对照表，请在删除前确认你删的是哪一种：
- 软删除：记录标记为已删除，界面不再显示，数据仍在库中，可由我们协助恢复。
- 硬删除：从生产数据库物理移除，界面上的删除动作一旦完成即不可恢复。
软删除（可恢复）的记录类型： 客户、联系人（供应商侧）、商机、询盘及其附件记录、报价、订单、内部销售订单、 发票、产品、产品分类、价目表、折扣规则、采购合同、供应商、供应商询价、 供应商订单、供应商发票、供应商付款、供应商采购单。
🔴 硬删除（不可恢复）的记录类型——包括下列常用对象： 联系人（客户侧）、线索、商机跟进记录、项目、项目成员、任务/问题、合同、 方案、通知、用户账号、角色与权限绑定、各类明细行（报价行、订单行、发票行）。 删除这些记录前请先导出。
4.3 附件： 🔴 附件删除后立即且永久移除，我们无法恢复任何已删除的附件。
4.4 软删除记录的清理： 目前没有自动清理软删除记录的定时任务。 软删除记录会保留在库中，直到客户要求删除、或账户注销后按 §4.5 处理。
4.5 导出窗口结束后： 由我们在人工复核后执行删除。 🔴 删除客户数据的动作不会由无人值守的定时任务执行—— 执行前必有人工确认，这是防止误删的强制闸门。
5. 🔴 备份：说清楚做不到什么
5.1 实际备份配置：
| 类型 | 覆盖范围 | 保留 |
|---|---|---|
| 每日快照 | 数据库与服务器数据盘 | 14 天 |
| 逻辑备份 | 数据库 | 已建立基线备份 |
| 附件 | 附件对象 | 🔴 无独立备份——删除后无法恢复，见 §4.3 |
5.2 我们无法从已生成的备份快照中定点抹除某一条记录或某一个租户的数据。 技术上做不到，声称做得到是不实陈述。
5.3 因此，删除请求的真实含义是： 从生产系统删除，并不再将该数据恢复到生产环境； 数据库中的残留副本随快照轮换在最长 14 天内自然过期。 GDPR 与 PIPL 下的监管实践普遍接受这一做法，前提是如实说明并有轮换上限。
5.4 备份的加密与访问控制详见《安全措施说明》，该文件依保密约定提供（见 隐私政策 §7）。
6. 降级与超额
6.1 客户降级到额度更小的套餐时，超出新额度的数据不会被自动删除。 存储用量达到额度后，系统拒绝新的上传（返回配额超限错误）， 已有数据仍可访问与下载。我们不会因为超额而删除任何客户数据。
7. 客户自己的保留义务
外贸业务的单证、报关、税务与合同记录，在客户所在地通常有法定保存年限 （内地一般为 10 年（会计档案，《会计档案管理办法》），香港 7 年）。 🔴 这些义务在客户身上。 不要把域天星当作唯一的法定档案库—— 定期导出并另行归档是客户的责任，我们的保留期按本文件执行，不按客户的档案需求执行。
联系： legal-privacy-ofac@infini-nova.com
本页为当前生效版本。条款更新时我们会更新生效日，重大变更会提前通知。