从存储到删除，
管理数据的去向。

将业务记录与个人信息分离。

零售业务系统保存代理 ID、订单、商品及配送状态，保险库保存姓名、地址和电话。获准的配送流程仅读取必要内容。

订单系统：订单 ID / 代理 ID / 商品 / 配送状态
保险库：与代理 ID 映射的加密姓名、地址、电话
配送：仅在获准期间读取必要字段

分离存储可减少订单数据库被盗时地址的直接暴露。但订单历史与代理 ID 结合其他信息仍可能识别个人，代理 ID 不保证匿名性。

收集时

明确用途与留存期限。不收集无关字段，不在错误或访问日志中记录请求正文。

存储时

分离密文与解密权限，将复制副本、缓存和分析副本纳入管理。

使用时

按字段和用途授权，仅返回必要数据，并追踪向合作方传输后生成的新副本。

本节的搜索索引、合作方删除通知和不可逆密钥销毁是集成设计示例。当前地址 API 不提供搜索、自动合作方删除通知或备份即时物理清除。实际范围请参阅集成指南。 使用与接入指南

如何搜索加密数据？

随机 nonce 使相同邮箱产生不同密文，无法进行普通的精确匹配。优先使用代理 ID 或订单 ID。确需匹配个人信息时，另行设计搜索索引。

精确匹配示例：带密钥的 HMAC。

按规则规范化邮箱，并使用租户、字段专属搜索密钥计算 HMAC。查询时重复计算，授权后验证源数据。索引值用于匹配，并非可解密的密文。

普通哈希允许猜测候选邮箱或电话。HMAC 密钥被盗后也可能被猜测。重复值与频率仍可见，应限制搜索 API 的批量查询。

子串、前缀和范围搜索可能暴露额外信息并增加处理成本。需综合评估功能、泄露与性能。轮换搜索密钥还需重建索引。

本节的搜索索引、合作方删除通知和不可逆密钥销毁是集成设计示例。当前地址 API 不提供搜索、自动合作方删除通知或备份即时物理清除。实际范围请参阅集成指南。 使用与接入指南

删除究竟意味着什么？

从界面移除并不够。先阻止读取，再处理源记录、索引、缓存、副本及合作方数据，同时记录备份留存与恢复行为。

1. 停止使用：拒绝新读取，撤销令牌与授权。
2. 删除活跃数据：移除源记录、索引及副本，使缓存失效。
3. 通知合作方：请求删除并追踪已完成与待完成事项。
4. 处理备份：记录到期前残留内容，保存删除记录，避免恢复后重新使用。

通过销毁密钥使数据不可读。

密码学擦除使必要密钥无法恢复，需要专用密钥，并清除备份、封装密钥、缓存及可恢复的服务副本。销毁共享密钥也会影响其他用户。

可逆的密钥禁用不等于永久擦除，也不会移除已读取明文或用其他密钥加密的副本。应分别追踪访问阻断、活跃数据删除及备份到期。

安全恢复，避免已删除数据重新出现。

恢复昨天的备份可能找回今天已删除的地址。应隔离恢复，重新应用删除记录及当前撤销状态，验证后再开放访问。删除记录不能仅保存在同一旧备份中。

RPO：可接受的数据丢失时间窗口

15 分钟目标意味着最多可能丢失最近 15 分钟的更新。请确认实际复制、备份及测试结果。

RTO：恢复服务所需时间

两小时目标不仅包括数据库恢复，还包括密钥、权限、删除重放与验证。这些数值为示例，不是服务保证。

恢复检查

验证有效数据可解密、已删除数据不可读取、旧令牌被拒绝，以及密钥故障时停止处理且不暴露信息。

审计证据

记录操作方、目标引用、时间、结果及密钥版本，不将个人信息或原始令牌写入日志。

用于评估设计的证据。

检查数据位置图、解密权限、搜索泄露、删除状态与恢复测试结果，评估存储、使用及销毁全过程的保护。