权限表第一版，有三个人写了“需要全部”。

产品说要看原始围度和动作记录，不然不知道衬衫该怎么改；客服说顾客问尺码时，不能每次都从头问一遍；许柠替投放组写的是“需要可用人群特征”，后面加了括号：最好能和购买、退货打通。

三种需要放在一起，几乎等于全公司都能看。

我问：“投放为什么需要知道某个人腰围多少？”

许柠把笔帽扣上：“不需要某个人。我需要知道某类页面吸引来的顾客，最后买了什么、退了什么。”

“那就别在权限表里写全部。”

“数据组现在不给汇总，我只能申请原表再自己算。”

问题从一句贪方便，拐到了公司没有能力按需要提供结果。把她的账号关掉很快，若不给替代路径，下一次活动开始前，原表还会被谁从群里发过去。

刘嘉把现有路径投到墙上。顾客在客服对话里主动提供的身高、腰臀围和穿着感受，会跟着工单保存；早期研究表里有联系方式、身体数据和照片授权；衬衫项目把联系方式分开了，动作记录仍能通过编号回到参与者。为了做复盘，有人把几个来源导进过临时表，再把链接发到项目群。

群成员变过，表的权限没跟着变。

最麻烦的一张表名叫“高腰围咨询”。名字已经有问题，内容更糟。创建人删掉了姓名，以为这就叫匿名，订单尾号、账号昵称、手机号后四位、咨询时间和具体围度却还排在同一行。客服顺着工单能找回人，产品也能凭试穿日期猜到参与者。

“这不算看不出是谁。”刘嘉说。

表的创建人是去年离职的兼职数据员。她当时为了核推荐准确率，把不同系统的字段临时拼在一起，项目结束后没人负责关表。我们没有把责任全推给一个已经离开的人。是谁提需求、谁批准共享、谁在项目结束后没复核，同样要补进记录。

技术先把外部访问关掉，内部改为指定经手人可见。原表涉及仍在处理的交易和本次争议，不立刻粉碎；分析副本停止使用，能删除的按核清范围处理，不能确认流向的标记待追踪。

已经离职的人账户停了，临时合作人员的外部邮箱却还有两处显示“可查看”。技术人员当场取消共享，秦舒拦住他继续批量删除。

“先固定现状。”她说，“哪些是无业务必要的副本，哪些涉及正在处理的顾客请求，哪些属于争议中需要最小保存的材料，要分开。权限收紧可以立刻做，删除要留范围和依据，别为了今天看起来干净，把该保存的证据也抹了。”

我让刘嘉把“已全部删除”从整改模板里去掉。没核完的只能写已停用链接、已取消访问或待确认，不能把愿望当结果。

权限重新分成几条路。

客服只能在当前工单里看顾客为本次推荐主动提供的信息，工单结束后不再拥有整批导出权；产品人员看研究编号、所需围度与动作结果，联系方式由指定经手人分开管理；内容组只拿取得对应授权的素材；许柠和数据组使用去标识后的汇总，不能从广告账户反查某个顾客的身体记录。

财务问：“参与费付款怎么核姓名？”

付款需要真实收款人，不能用研究编号替掉。我们把付款凭证和研究内容分开，财务核金额、合同与收款，不需要同时看第三颗扣子在什么动作下张开。

技术提议给每个研究编号再加一串随机标识。许柠问，这是不是做完就叫匿名数据。

“只要公司里还有一张对应表能找回本人，就不能装成谁也认不出。”刘嘉说，“只是降低日常接触，映射表要单独管。”

我让他把这句话写进操作说明。换个编号可以减少误看，不会神奇地消灭个人信息，也不能因此无限保存。