早上八点四十，野月会议室的白板还留着昨晚的红线批注，梁舒已经把另一张表投到了屏幕上。
表名很长：《用户数据样本外发前合规核验表》。下面分了四列：数据来源、授权版本、脱敏规则、可外发状态。第一行就是五月试吃报名表。
唐棠坐在投屏旁边，手里攥着一叠打印出来的旧表单。那是野月最早做低糖酸奶试吃时用的报名页，页面底色还是临时找设计套的米白模板，问题也很朴素：姓名、手机号、所在区域、职业、是否控糖、是否愿意参加后续访谈。
最后一行授权文案只有一句话——「我同意野月为本次试吃活动联系我，并接收相关活动通知。」
梁舒把这句用黄色标出来，旁边备注：V0.8，未包含融资尽调、第三方核验、统计分析披露用途。
会议室里安静了几秒。
秦知远昨晚还在催投资方的反馈，今早看到这行字，脸色也沉下来：「如果只是脱敏统计，不能用吗？」
陈砚秋翻开外部法务的意见邮件：「要分层。汇总统计不涉及识别到个人，一般风险较低；但对方要一千条用户数据样本，还要授权证明和脱敏前后映射规则说明。哪怕我们把手机号、姓名去掉，只要保留购买时间、城市、职业、复购次数、客诉标签，组合起来也可能重新识别。早期表单没写第三方尽调用途，不能直接外发。」
唐棠的指尖在纸边上压出一道折痕：「那五月那批试吃用户，很多都是我们最真实的种子用户。夜班护士组、控糖妈妈组、加班人群，复购最漂亮的都在里面。」
「漂亮不是授权。」林听晚把桌上的外发清单抽出来，第一页右上角已经盖了「暂停」两个字，「从现在起，用户级样本不出公司。已经准备好的名单撤回，资料室权限改成只读，下载口径关掉。」
梁舒立刻在后台操作。资料室里原本有一个给投资方开放的「底层数据」文件夹，她把文件夹改名为「待合规复核」，外链失效，访问权限只保留林听晚、陈砚秋、梁舒和数据负责人四个人。系统弹出确认框时，她没有犹豫，点了确定。
五分钟后，权限日志导出到桌面。日志上清楚记录着昨晚二十一点十七分，梁舒上传了《复购样本_预备版》；二十一点二十二分，投资方账号预览过文件夹目录，但没有下载；今早八点四十三分，外链被关闭，下载权限被撤销。
陈砚秋看完说：「这份日志要保存。不是为了证明我们没问题，是证明我们发现问题后没有继续扩大风险。」
林听晚点头：「加进资料室，文件名写清楚——《用户数据权限日志_0317》。以后每一次开放、关闭、下载，都要有时间、账号、授权人、用途。」
唐棠把早期报名表一张张摊开。五月初用的是V0.8，五月底改过一次，加了「同意用于产品改进和用户研究」，标成V1.0；六月私域小程序上线后，授权文案升级到V1.2，写了「同意野月在必要范围内处理本人提交的信息，用于活动履约、售后服务、产品调研及经营分析」；七月法务介入后才有V2.0，单独列出第三方服务商、投资尽调中以脱敏方式提供样本、用户可撤回授权等条款。
梁舒把四个版本贴到白板上，中间用红线分开。越早的版本越短，也越刺眼。
「我们不能把所有历史用户一刀切。」林听晚拿起笔，在白板上写下三类，「第一类，V2.0之后报名或购买，且没有撤回授权，可纳入脱敏样本池；第二类，V1.0到V1.2，只能用于内部统计和产品改进，除非补充授权，否则不外发用户级样本；第三类，V0.8，只保留汇总口径，不进样本池。」
秦知远看着被划掉的大半名单，低声算了算：「这样一千条可能不够。」
「不够就说不够。」林听晚没有把笔放下，「我们可以补授权，可以让第三方现场核验，可以把抽样范围改成合规样本池。不能为了凑数，把用户交出去。」
这句话让唐棠的肩膀松了一点。她最怕的不是加班补材料，而是为了融资把过去那些信任过她们的人变成一行没有边界的数据。
上午十点，见山投资的电话打进来。投资经理语速很快：「林总，我们内部会下午三点要看底层样本。昨天清单里写得很明确，用户数据样本、授权证明、脱敏清单都要给到。现在外链突然关了，是有什么问题吗？」
林听晚把免提打开，让团队都能听见。
「是有问题。」她说，「我们复核时发现早期试吃报名表的授权范围不足以覆盖第三方尽调。为避免越权使用用户数据，野月暂停外发用户级样本。今天会先提交合规说明、授权版本清单、脱敏流程和权限日志，用户样本在完成筛选或补充授权后再开放核验。」
电话那头明显不太满意：「这会影响尽调进度。坦白说，很多公司都会提供脱敏数据，你们是不是把问题复杂化了？」
「脱敏不是把姓名手机号删掉就结束。」林听晚回得很平，「你们要求的是可抽查、可回溯的样本。可回溯意味着公司内部仍有映射表，映射表如果没有授权边界，风险在我们这里，也在接收方那里。我们不把合规风险转嫁给投资人，也不让用户承担。」
对方停了一下，语气放缓：「那你们的替代方案是什么？」
「第一，今天十二点前提交《授权文案版本表》，列明V0.8到V2.0的适用时间、字段、用途和限制。第二，提交《用户Id脱敏表》，只展示脱敏后Id、城市层级、购买月份、复购次数、场景标签，不含姓名、手机号、详细地址、医院科室等直接或高风险字段。第三，映射规则只在公司本地加密保存，不外发。第四，第三方可以现场核验：由你们指定的合规律师或审计人员到野月会议室，在白名单电脑上查看原始授权记录和抽样映射，全程不拍照、不拷贝，核验后出具工作底稿编号。第五，所有进入样本池的用户，补充撤回权说明。」
投资经理没有马上说话。旁边传来翻纸声，有人在记。
周既白也在线，但他只问了一句：「如果现场核验，对投资方来说最关心的是样本真实性。你们能不能让第三方既确认授权，又确认这些复购不是人为挑出来的？」
林听晚看向数据负责人：「可以。抽样规则写死，先从合规样本池按用户Id哈希尾号抽取，再由第三方现场抽十条反查订单和授权记录。抽样脚本留存，不能临时换人。」
她转回电话：「我们会把抽样规则写进流程。你们能看到方法，不能拿走原始个人信息。」
「下午三点之前能给到多少？」投资经理问。
「合规说明和流程可以给。样本不承诺三点。」林听晚的声音没有抬高，「如果这导致你们内部会延后，我们接受。野月不会用不完整授权换一轮更快的尽调。」
这次连秦知远都没有插话。
电话挂断后，会议室像被按下快进。梁舒负责授权版本表，唐棠回到私域后台，把每一次报名页上线截图、文案变更记录、发布时间挖出来；陈砚秋和外部法务一起写撤回权说明，措辞反复改了三遍。
最初版本写「用户可联系客服撤回授权」，林听晚划掉，改成「用户可通过小程序设置页、客服电话或私域客服三种方式撤回；撤回不影响撤回前基于授权已完成的处理，但公司将在五个工作日内停止后续外发样本使用，并在样本池中标记退出」。
「要让用户看得懂。」她说，「不要写成只给律师看的话。」
唐棠照着这句话，把说明页改成问答式：「我撤回后还能购买吗？」「可以，撤回数据样本授权不影响下单、售后和会员权益。」「我的信息会给谁看？」「仅在脱敏后用于经营分析或尽调核验，涉及第三方现场核验时，不提供可复制的原始个人信息。」
用户Id脱敏表也重新生成。原来的表里还有「医院名称」「班次备注」「详细社区」这些字段，数据负责人一列列删掉，只保留到城市和场景层级。用户Id从原始手机号后四位加注册时间的组合，改成不可逆哈希值，前缀统一为Ym-U。订单编号另做脱敏，和用户Id之间只保留内部映射，映射文件加密后存进本地服务器，权限日志单独记录。
梁舒看着新表，问：「夜班护士组如果去掉医院名称，会不会影响证明场景？」
「用场景标签和购买时间证明，不用具体医院证明。」林听晚说，「如果第三方要核验真实性，到现场看授权和订单，不把哪个医院、哪个科室带出门。」
下午两点二十，四份文件终于压缩成一个新的资料包：《用户数据合规说明_0317》。里面没有一条可直接识别个人的信息，却比昨晚那份漂亮样本厚得多。
首页是授权文案版本表，V0.8那一行被标成灰色，限制用途写得清清楚楚：仅用于对应试吃活动联系及通知，不纳入对外用户级样本。第二份是用户Id脱敏表，字段旁逐项说明保留理由。第三份是权限日志，记录暂停外发和权限撤销。第四份是第三方现场核验流程，从预约人员、签署保密承诺、白名单电脑、禁止拍摄复制，到核验底稿编号、离场删除临时缓存，每一步都有负责人。
陈砚秋把压缩包发出前又检查一遍：「这会让他们觉得我们麻烦。」
「麻烦比侥幸便宜。」林听晚说。
三点零六分，见山的投资经理回了邮件。语气比上午正式许多：认可野月暂停外发的处理，建议次日上午安排合规顾问现场核验；用户级样本数量可在合规样本池内重新确认，不以原一千条作为硬性前提。
秦知远盯着「不以原一千条作为硬性前提」几个字，才慢慢吐出一口气：「这关算过了？」
「只是没有踩雷。」陈砚秋提醒他。
林听晚没有庆祝。她让数据负责人把合规样本池重新跑一遍，剔除V0.8用户、标记撤回入口、按新脱敏规则生成复购曲线。
傍晚六点，曲线出来了。总样本少了一截，几组早期漂亮数据被灰掉，但夜班护士组仍然稳。连续八周复购率没有明显下滑，客单价也没有靠大额券撑起来。
唐棠刚想高兴，客服工单的筛选结果跳了出来。同一组用户下面，配送时段投诉被标成深橙色：夜班前送不到、凌晨柜门满格、早上下班取货时冷藏柜断电提示频繁。
梁舒把投诉原话念出来：「『不是不好吃，是我下夜班拿到的时候已经温了。』『能不能别卡在交班那半小时送？』『便利柜在门诊楼，夜班从住院部过去太远。』」
会议室没人再提那条稳定的复购曲线。
林听晚把夜班护士组单独圈出来，在旁边写了四个字：现场验证。
「合规后留下来的样本，才值得继续看。」她合上电脑，「明天别在会议室里猜配送时段。去医院便利柜蹲点，看她们到底在哪个环节被耽误。」