從儲存到刪除，
管理資料的去向。

將業務記錄與個人資料分離。

零售業務系統儲存代理 ID、訂單、商品及配送狀態，保險庫儲存姓名、地址和電話。獲准的配送流程僅讀取必要內容。

訂單系統：訂單 ID / 代理 ID / 商品 / 配送狀態
保險庫：與代理 ID 對映的加密姓名、地址、電話
配送：僅在獲准期間讀取必要欄位

分離儲存可減少訂單資料庫被盜時地址的直接暴露。但訂單歷史與代理 ID 結合其他資訊仍可能識別個人，代理 ID 不保證匿名性。

收集時

明確用途與留存期限。不收集無關欄位，不在錯誤或存取日誌中記錄請求正文。

儲存時

分離密文與解密許可權，將複製副本、快取和分析副本納入管理。

使用時

按欄位和用途授權，僅回傳必要資料，並追蹤向合作方傳輸後生成的新副本。

本節的搜尋索引、合作方刪除通知與不可逆金鑰銷毀是整合設計範例。目前地址 API 不提供搜尋、自動合作方刪除通知或備份即時實體清除。實際範圍請參閱整合指南。 使用與導入指南

如何搜尋加密資料？

隨機 nonce 使相同電子郵件產生不同密文，無法進行普通的精確匹配。優先使用代理 ID 或訂單 ID。確需匹配個人資料時，另行設計搜尋索引。

精確匹配示例：帶金鑰的 HMAC。

按規則正規化電子郵件，並使用租戶、欄位專屬搜尋金鑰計算 HMAC。查詢時重複計算，授權後驗證來源資料。索引值用於匹配，並非可解密的密文。

普通雜湊允許猜測候選電子郵件或電話。HMAC 金鑰被盜後也可能被猜測。重複值與頻率仍可見，應限制搜尋 API 的批次查詢。

子串、字首和範圍搜尋可能暴露額外資訊並增加處理成本。需綜合評估功能、洩露與效能。輪換搜尋金鑰還需重建索引。

本節的搜尋索引、合作方刪除通知與不可逆金鑰銷毀是整合設計範例。目前地址 API 不提供搜尋、自動合作方刪除通知或備份即時實體清除。實際範圍請參閱整合指南。 使用與導入指南

刪除究竟意味著什麼？

從介面移除並不夠。先阻止讀取，再處理源記錄、索引、快取、副本及合作方資料，同時記錄備份留存與恢復行為。

1. 停止使用：拒絕新讀取，撤銷權杖與授權。
2. 刪除活躍資料：移除源記錄、索引及副本，使快取失效。
3. 通知合作方：請求刪除並追蹤已完成與待完成事項。
4. 處理備份：記錄到期前殘留內容，儲存刪除記錄，避免恢復後重新使用。

透過銷燬金鑰使資料不可讀。

密碼學擦除使必要金鑰無法恢復，需要專用金鑰，並清除備份、封裝金鑰、快取及可恢復的服務副本。銷燬共享金鑰也會影響其他使用者。

可逆的金鑰禁用不等於永久擦除，也不會移除已讀取明文或用其他金鑰加密的副本。應分別追蹤存取阻斷、活躍資料刪除及備份到期。

安全恢復，避免已刪除資料重新出現。

恢復昨天的備份可能找回今天已刪除的地址。應隔離恢復，重新應用刪除記錄及當前撤銷狀態，驗證後再開放存取。刪除記錄不能僅儲存在同一舊備份中。

RPO：可接受的資料丟失時間視窗

15 分鐘目標意味著最多可能丟失最近 15 分鐘的更新。請確認實際複製、備份及測試結果。

RTO：恢復服務所需時間

兩小時目標不僅包括資料庫恢復，還包括金鑰、許可權、刪除重放與驗證。這些數值為示例，不是服務保證。

恢復檢查

驗證有效資料可解密、已刪除資料不可讀取、舊權杖被拒絕，以及金鑰故障時停止處理且不暴露資訊。

審計證據

記錄操作方、目標引用、時間、結果及金鑰版本，不將個人資料或原始權杖寫入日誌。

用於評估設計的證據。

檢查資料位置圖、解密許可權、搜尋洩露、刪除狀態與恢復測試結果，評估儲存、使用及銷燬全過程的保護。