服务治理：数据留存、脱敏、敏感工单、渠道权限、文件策略、登录历史与请求人数据请求

服务治理位于「设置 › 服务治理」。它是在平台安全能力（行级隔离、角色和权限、审计轨迹、敏感访问日志和隐私工具早已存在）之上专门为客服打造的一层，管理工单、消息、附件以及处理它们的人。一切默认都是空的：不做任何配置时，客服的运作方式和以前完全一样。

服务治理位于「设置 › 服务治理」。它是在平台安全能力（行级隔离、角色和权限、审计轨迹、敏感访问日志和隐私工具早已存在）之上专门为客服打造的一层，管理工单、消息、附件以及处理它们的人。一切默认都是空的：不做任何配置时，客服的运作方式和以前完全一样。

精细权限 角色矩阵（设置 › 角色）新增了四项权限：ticket_internal_note（查看和撰写内部备注）、ticket_message（为所有人删除一条消息）、ticket_sensitive（打开标记为敏感的工单，并对其进行标记或取消标记）以及 ticket_pii（在不脱敏的情况下查看消息中的个人数据）。任何原本能读取工单的角色都保留了查看内部备注的权限，所以第一天没有人会失去任何东西；管理员现在可以从外部合作伙伴角色或 API 角色中移除这项权限。尚未使用角色和权限体系的租户不受这些权限项的限制。

按数据类别设定留存 留存策略规定已解决的工单按类别保留数据多久：工单本身、客户消息、内部备注、附件和满意度回复各自独立。计时从工单解决那一刻开始；未结的工单无论多久都不会被处理。每条策略在匿名化（保留这一行，但把邮箱、姓名、电话、证件号和卡号等个人数据从中清除，这样数量和 SLA 指标依然可用）和删除之间二选一。附件只能被删除。每晚的清理任务会分批执行这些策略，并把每一次执行都写入一份不可编辑的台账；「留存」标签页展示这份台账，并允许管理员立即为本工作区执行一次清理。没有设置策略的类别会显示为“未声明”，绝不会被默认为“永久保留”。

对话中的脱敏 脱敏规则决定了没有 ticket_pii 权限的人在工单消息中看不到什么。共有三种：个人数据（邮箱、电话、税号、卡号，使用与保护 AI 提示词相同的检测器）、锚定在某种货币上的金额，以及你自己编写的自定义模式（比如某种账号格式或订单编号）。每条规则可以应用于客户消息、内部备注或两者，并用你自选的标记替换匹配到的内容。在你创建第一条规则之前，这个标签页会列出哪些角色能看到全部内容，也可以对一段示例文本预览规则效果。拥有该权限的人始终能看到原文。

敏感工单 任何拥有 ticket_sensitive 权限的人都可以在控制台的工单头部把一个工单标记为敏感，并附上可选的原因。此后只有拥有该权限的人才能打开它，其他人会收到明确的拒绝提示。每一次打开都会被记录到敏感访问日志中（谁、何时、哪个工单），同一个人在十分钟内的重复记录会被去重，避免刷新页面把轨迹灌水。标记和取消标记都会作为安全事件记录在审计轨迹中，管理员无法关闭这项记录。

渠道权限 默认情况下，任何能回复的人都可以在所有渠道上回复。在「渠道」标签页中，管理员可以为某个渠道指定允许使用的角色。为某个渠道写入的第一行规则会把它对其他所有人关闭：从那一刻起，只有列出的角色才能在该渠道回复。没有规则的渠道保持开放。无论在哪个界面，服务器都会在每一次回复时执行这项检查。

文件策略 每个工作区一份策略：允许的扩展名（如果列表不为空，只有这些能通过）、禁止的扩展名（始终拒绝，即便在别处被允许）、低于平台 25 MB 上限的单文件大小限制，以及该策略是否也适用于通过邮件或门户到达的附件。这里没有杀毒扫描，策略只针对文件类型和大小。

登录历史 「登录」标签页显示本工作区成员的登录记录：谁、何时、来自哪个地址和设备，以及密码尝试失败的记录。身份验证本身由身份提供方处理，这里只是服务器所见的一面镜子，一次会话一行，保存在一张不可编辑的表里。

请求人数据请求 当客户要求获取自己数据的副本或要求删除数据时，用他们的邮箱在「数据请求」标签页里处理。如果存在该邮箱对应的联系人，导出和匿名化会使用与联系人记录相同的隐私工具，涵盖消息、满意度回复、并行会话、活动、看板事项和附件。如果没有联系人（比如只写过信从未留下联系人的请求人），系统会直接导出或匿名化按该邮箱能找到的工单、消息和满意度回复。匿名化不可撤销，需要填写原因，并会作为安全事件被记录。

在系统内打开这篇文章 →