隐私与资料风险
8.14 界面
Yumo Yumo 处理两类资料：使用者资料与汇总资料。使用者资料涵盖收据内容、消费历史与信任讯号。汇总资料涵盖进入 B2B 资料产品的价格与购物篮组成讯号。
| 界面 | 技术影响 | 公开控制原则 |
|---|---|---|
| 使用者资料曝光 | 可识别收据内容成为目标 | 链下内容与加密储存 |
| 再识别 | 汇总资料可匹配至个别收据或使用者 | k-匿名性与发布群组纪律 |
| 法律资料请求 | 主管机关请求特定使用者资料 | 已公布的隐私政策与程序记录 |
| 管理存取 | 营运团队执行资料处理任务 | 任务范围存取与审计轨迹 |
8.15 控制模型
链下收据内容。 收据品项存放于链下分类帐（04 §4.16）。链上层承载 INT 领取转帐与 Merkle 根承诺；内容于资料层处理。
汇总发布纪律。 B2B 资料产品遵循 k-匿名性与发布群组规则（05 §5.8）。发布群组由具有足够密度的区域、类别与期间群组形成。
任务范围存取。 文件处理工作者与管理工具以相关任务所需的资料范围运作。保留、存取与删除流程连结至隐私政策与营运安全流程。
审计轨迹。 管理存取记录保留供外部审查与内部控制周期。法律资料请求依已公布的隐私政策处理。
8.16 演化
资料托管责任随渐进式在地化与区域结构决策演化。架构目标保持稳定：使用者收据内容保留于链下，汇总资料产品化，完整性证明透过链上承诺提供。