產品經理面試：如何設計 SaaS 資料駐留控制？
題幹與適用場景
一個 B2B SaaS 服務在多個雲區域運作，客戶希望「資料留在德國」，同時要求高可用、客服排障和跨區災備。請定義承諾涵蓋的資料類型與處理活動，設計區域選擇、複製、備份、維運存取和退出機制，並說明如何驗證承諾沒有停留在行銷文案。
面試官考察點
- 能否區分靜態資料、備份、日誌、遙測、支援工單和模型處理的駐留邊界。
- 是否把客戶選擇、寫入路由、複製護欄、金鑰和人員存取設計成閉環。
- 能否解釋駐留、主權、可用性和災備之間的真實取捨。
- 能否定義可稽核證據、異常告警和客戶溝通，而非只給區域下拉選單。
回答前需要釐清的問題
- 客戶要求的是儲存位置、處理位置、人員存取位置，還是法律管轄範圍？
- 哪些資料屬於客戶內容，哪些是帳戶元資料、日誌、備份和支援附件？
- 允許單區域故障時暫停寫入，還是必須跨區恢復？
- 雲供應商的區域控制、服務依賴和金鑰託管能力分別是什麼？
- 客戶需要自助證明、稽核匯出，還是合約級承諾與例外流程？
30 秒回答框架
我會先把駐留拆成儲存、處理、複製和人員存取四類邊界，再為每種資料建立分類清單。客戶選擇區域後，路由、資料庫、物件儲存、備份、日誌和金鑰策略必須共同生效；不能依賴單一區域標籤。對故障明確暫停、降級或跨區的取捨，所有例外都產生告警和稽核證據。上線前用實際寫入、複製和恢復演練驗證承諾。
分步驟深入解答
第一步：定義承諾對象
把客戶內容、搜尋索引、衍生檔案、備份、日誌、遙測、帳單和支援附件列成資料目錄，逐項標註儲存、處理、複製、保留和人員存取位置。把「區域」定義為可驗證的地理邊界和服務依賴，不能把雲控制台的 region 名稱直接當作法律保證。
第二步：設計租戶區域選擇
租戶建立時選擇可用的駐留方案，保存不可任意修改的策略版本。策略服務應向所有寫入路徑提供唯一判定，避免某個非同步任務繞過路由。遷移需要明確審批、雙寫窗口和完成證明，不能讓客戶改下拉選單就宣稱歷史資料已經遷走。
第三步：建立複製與備份護欄
資料庫複製、物件版本、快照、佇列和快取都要繼承租戶區域策略。跨區複製只有在客戶明確允許或故障策略授權時開啟；備份保留時間、刪除延遲和金鑰位置應可查詢。第三方郵件、分析和日誌供應商也必須納入資料流圖與合約評估。
第四步：處理可用性與災備取捨
如果嚴格駐留禁止跨區複製，區域故障時可能只能暫停寫入、提供唯讀副本或等待恢復。把 RPO、RTO、資料新鮮度和可接受遺失寫進每個駐留方案，允許客戶在合規與可用性之間選擇。跨區恢復時應先取得授權，再記錄臨時區域和回遷狀態。
第五步：限制維運與支援存取
支援人員、承包商、跳板機和遠端除錯工具都可能處理客戶資料。使用最小權限、區域綁定、短時授權和全量稽核；優先使用脫敏樣本，生產匯出必須有審批和過期時間。客戶選擇「德國駐留」不等於所有維運人員天然位於德國，應單獨驗證人員與控制平面邊界。
第六步：提供可驗證證據
客戶入口網站展示租戶策略、資料類型、區域、複製狀態、備份位置、金鑰和例外。後台持續檢查物件桶、資料庫、日誌管道和服務依賴的實際位置，發現漂移就阻斷新寫入並告警。稽核匯出應包含時間、策略版本、資源、操作人和證據來源，避免只輸出一張靜態證明頁。
第七步：設計遷移、退出與溝通
區域變更先做影響評估和資料清單，再執行加密傳輸、校驗、雙寫、切換和舊副本清理。客戶退出時說明匯出格式、刪除窗口、備份過期和第三方保留。發生故障或例外時，產品、法務、支援和工程使用同一狀態機對外說明影響、修復進度與後續證明。
高品質示範回答
我會把駐留定義成儲存、處理、複製和人員存取四個可稽核邊界，先建立客戶內容、日誌、備份、遙測和支援附件的資料目錄。租戶選擇區域後，所有寫入、非同步任務、備份、金鑰和供應商整合都讀取同一策略；跨區災備必須明確授權。嚴格駐留與可用性衝突時提供暫停、唯讀或延遲恢復的選項，並把 RPO/RTO 寫入產品方案。上線前演練寫入、複製、恢復、維運存取和退出，入口網站持續展示策略版本與證據，漂移立即阻斷並告警。
常見錯誤
- 只承諾主資料庫區域，遺漏備份、日誌、快取、遙測和支援附件。
- 把雲區域名稱當成完整的資料主權或人員存取承諾。
- 宣稱跨區災備免費且沒有合規影響，忽略 RPO、授權和回遷。
- 只有靜態合規 PDF，沒有對實際資源和供應商位置的持續檢查。
- 允許客戶隨時切換區域，卻不處理歷史副本、雙寫和刪除證明。
追問及應對
追問一：嚴格駐留下區域故障怎麼辦？
先依客戶選擇的 RPO/RTO 提供暫停寫入、唯讀服務或等待本區恢復。若要跨區恢復，必須預先定義授權、臨時區域、加密和回遷證據，不能把「高可用」默認為允許跨境複製。
追問二：日誌和遙測也算客戶資料嗎？
應按欄位和處理目的分類。包含租戶識別、請求內容或可關聯個資的日誌需要納入策略；純聚合指標可單獨評估，但不能因為叫遙測就自動排除。
追問三：如何衡量產品是否成功？
同時看駐留策略啟用率、資源漂移發現時間、例外關閉時間、稽核匯出成功率、遷移完成率和因策略導致的可用性影響。客戶續約和合規稽核回饋是結果指標，不能只看銷售承諾數量。
追問四：雲供應商保證等於 SaaS 保證嗎？
不等於。雲供應商的區域、服務依賴和人員控制只是底層能力，SaaS 仍需驗證自身路由、備份、供應商、金鑰和支援流程，並明確合約例外。
追問五：客戶如何證明你沒有跨區複製？
提供帶策略版本的資源清單、複製和備份狀態、金鑰位置、存取稽核及異常告警記錄，並允許第三方按約定抽樣驗證。證據應能追溯到實際資源和時間窗口。