防伪系统的数据合规常被当成法务问题搁置，直到上线前才发现验真页的采集逻辑需要重做。
扫码场景会涉及哪些数据
- 直接标识：手机号、会员账号、收货信息（若涉及注册或领奖）；
- 间接标识：设备型号、系统版本、IP 与粗略位置；
- 行为数据：扫码时间、频次、查询结果与页面路径；
- 业务数据：商品码、批次、经销商与流向信息。
四类基本要求
- 最小必要：只采集实现验真与风控目的所必需的信息，位置精度不必要时应做粗化处理；
- 告知同意：验真页应说明采集范围与用途，注册、领奖等动作需单独取得同意；
- 留存期限：为查询日志、审计记录设定明确的保存期限与到期处理方式；
- 安全防护：传输加密、访问控制、操作审计，防止内部人员越权查询。
防伪项目常见的四类风险
| 风险点 | 典型表现 | 整改方向 |
|---|---|---|
| 静默采集 | 验真页无任何说明即记录位置 | 页面公示采集用途，必要时提供关闭选项 |
| 数据超期留存 | 日志长期堆积无清理策略 | 设定留存期限并建立定期清理机制 |
| 权限过宽 | 全公司可查全国扫码明细 | 按区域与角色分级授权，保存审计日志 |
| 接口暴露 | 开放接口无鉴权或弱鉴权 | 启用签名验签、限流与来源校验 |
接口侧的鉴权与验签要求可参考 企业集成开放接口文档。
验真与合规如何两不误
合规并不意味着牺牲风控。常见做法是把风控所需的信息做去标识化处理：风控侧只看设备指纹与粗略位置，业务侧只看必要字段，并通过权限隔离限制可回溯到个人的查询路径。若企业数据不能出内网，则需要评估部署形态，见 一物一码私有化部署指南。
自查清单
- 验真页是否有清晰的用途说明与隐私提示？
- 是否存在注册才能验真的强制前置？
- 查询日志是否有保留期限与清理记录？
- 渠道管理者是否只能查看授权范围内的数据？
- 开放接口是否有鉴权、验签与限流？
- 是否做过一次面向消费者数据的最小必要评估？
验真服务应当无条件可用，数据采集应当有明确边界——两者并不矛盾。
常见问题
扫码验真必须采集位置信息吗？
不是必须。位置主要用于渠道风险识别，可在满足风控需要的前提下做精度粗化，并遵循最小必要原则。
查询记录要保存多久？
应与业务目的、行业监管要求和企业内部制度相匹配，并到期清理，避免无限期留存。
经销商能查看哪些数据？
建议按区域与角色分级授权，经销商仅能查看与自身授权范围相关的数据。
