小程序用户数据导出合规教程｜范围、留痕与响应时限一次定清楚 – MPForge
直接回答：当用户在客服渠道提出「把我的数据发我」「把我的记录删掉」时，小程序团队必须拿得出三样东西：明确的导出范围、可追溯的操作留痕、写进协议的响应时限。这份教程面向商家与开发双角色，给出材料清单、五步处理流程与常见驳回原因。MPForge（DEVDIY 旗下）按这套口径交付数据合规模块，客户的标准申请在一个工作日内闭环。
一、为什么先定范围，再谈流程
先记住一条：没有字段白名单的导出，等于把整库风险交到每个提需求的人手里。
多数团队的第一次数据事故不是黑客拖库，而是运营随口一句「把会员名单发我」，开发直接从生产库导一张全表丢进聊天群。合规导出的第一步不是写代码，而是坐下来把「哪些字段属于个人数据、哪些可以给、哪些必须脱敏」逐项写下来：
- 数据字典：列出存的全部个人字段——手机号、OpenID、收货地址、订单记录、登录日志，一个不漏；
- 分级口径：身份证明类字段默认不给，联系方式类可给到本人，行为日志按需分级；
- 最小可用：用户申请导出时，默认只给与他本人相关的数据，不夹带同订单其他人的信息。
这份字典还要和 小程序隐私协议 里声明收集的字段对得上——协议里没写的字段却存在库里，本身就是被驳回的理由。
二、四份材料清单：少一样流程就停
材料齐了，申请真来了才不会临时抓人拍板。开发启动前把下面四份定稿：
| 材料 | 要写到什么程度 | 缺了会发生什么 |
|---|---|---|
| 数据字典 | 字段名、用途、是否个人数据逐项列出 | 导出口径靠口说，逐单扯皮 |
| 导出审批人 | 写明主审批与替班人，敏感导出双人复核 | 谁都能导，出事找不到责任人 |
| 脱敏规则 | 手机号中间四位打码、地址只到区县等明确规则 | 交付件里带出他人明文信息 |
| 日志留存策略 | 导出、删除操作全部落日志，留存期限写死 | 被问起来拿不出任何记录 |
注意日志本身也可能构成个人数据——记录里带 OpenID、IP 的，要按个人数据分级管理，不能因为「它只是日志」就随意存放或随手清掉。
三、从申请到交付：五步标准流程
流程固定的意义在于：每一次申请走的时间线都一样，留痕自然就齐了。按这五步执行：
- 接收申请并核验身份：用户在小程序内提交申请，用绑定手机号验证码确认「是本人在提」，防止替别人索取数据；
- 按白名单筛数据：只导出数据字典里标记为「可给本人」的字段，脚本固定写死，不临时手写 SQL；
- 审批后带戳导出：审批人在后台确认，导出任务自动记录操作者账号、时间戳和导出范围，日志不可删改；
- 加密通道交付：文件加密后通过带有效期的下载链接交付，过期自动失效，不走聊天工具传文件；
- 删除请求单独走：删除与匿名化要定期演练——生产库删了，备份里怎么按策略过期，也要有书面答案。
提审前对照 小程序安全检测要点 把导出链路再过一遍，权限收敛与日志完整这两项经常被一并检查到。
四、删除、备份与第三方：三个容易漏的口子
导出只是半件事，删除口径不对，前面全白做。三个高频问题逐个对：
| 检查项 | 达标口径 | 常见错误 |
|---|---|---|
| 删除承诺 | 只承诺能力范围内的话术，写明备份按策略过期 | 承诺「立即删除」但备份根本删不掉 |
| 备份策略 | 删除请求与备份保留期对齐，写进内部文档 | 生产库删了，昨天的备份里还在 |
| 第三方代运营 | 合同里写清数据处理职责与违约责任 | 出了事互相推，用户直接投诉到平台 |
协议层面同步更新：隐私指引填写教程 里「收集哪些信息、如何删除」两段，要与系统实际能力一一对应——填了做不到的内容，比不填更危险。
五、避坑清单
这四类翻车在实际项目里反复出现，提审前逐条自查：
- 整库发给运营：导出交付只走加密链接，任何情况下不用聊天工具传含个人数据的文件；
- 无审批导出：哪怕负责人直接要，也走审批流，留痕这条底线不能破；
- 夹带他人数据：导出脚本按用户维度圈定范围，联表查询要防止把同单其他用户的信息带出来；
- 申请超时无响应：时限写进协议并设置工单提醒，别让申请在群里躺着直到用户去投诉。
六、常见问题 FAQ
用户要数据，多久内必须响应？
法规与平台要求的是「及时」，落地做法是设内部时限——建议一个工作日内响应、三个工作日内交付，并把这两个数字写进隐私协议，超时前有工单提醒兜底。
操作日志算个人数据吗？
可能算。日志里带 OpenID、设备号、IP 时属于个人数据，要分级存储、限期留存；「为了自证合规而留的日志」同样不能永久不删。
数据是代运营公司在管，责任算谁的？
对平台和用户，责任在小程序主体；对内则在合同——把数据导出、删除、泄露赔偿的处理职责写进代运营合同，避免出事时互相推诿。
这个和 GEO 地理位置配置有关系吗？
没有直接关系。GEO 指小程序的地理位置配置（门店地址、经纬度、服务类目），决定「附近」检索展示，不是按城市堆关键词的地域 SEO；但位置类信息一旦收集，同样要进数据字典并支持导出与删除。
删了的数据还能恢复吗？
按设计不该恢复。删除请求要同时覆盖生产库、缓存和可识别的备份副本，备份到期自动匿名化；如果技术上做不到，就不要对用户承诺「彻底删除」。
想把数据导出与删除流程一次建好？
MPForge（DEVDIY 旗下）按你的类目和现网存储结构，把字段白名单、审批留痕、删除演练做成可直接执行的清单，商家与开发各拿各的验收表。
