题干与适用场景
你的 B2B SaaS 保存客户内容、审计日志、使用事件、附件和备份。企业客户希望设置每类数据保留多久。请判断是否提供可配置的数据保留期限，并定义承诺、安全边界、删除行为、法律保留、定价和验证。
这是一项产品决策，不是一条删除 SQL。欧洲数据保护委员会将存储限制原则落实为基于目的的期限和删除程序；SaaS 还必须处理副本、导出、备份、支持工具和恢复行为。强回答要把客户控制权连接到可证明的删除结果。
面试官考察点
- 是否先确认客户任务，再提出隐私设置。
- 是否把数据类别、目的、保留期限和到期动作分开。
- 是否区分界面偏好与跨系统删除合同。
- 是否处理法律保留、调查、备份和恢复要求。
- 是否评估运营成本，避免出售误导性的合规承诺。
- 是否设计可量化的上线门槛和回滚路径。
公开 PM 面试指引把优先级题视为 reach、impact、confidence、effort 和 risk 的权衡。数据保留还多了一条硬边界：期限缩短只有在删除完整、可审计且不违反义务时才有价值。
回答前需要澄清的问题
- 客户真正要解决的是合规证据、降低泄露影响、存储成本还是数据最小化？优先级会改变功能和指标。
- 哪些数据类别可配置？客户内容、审计日志、备份和账单记录不能共用一个规则。
- 承诺的是删除、匿名化、归档还是从主界面移除？每种都需要不同证据。
- 法律保留、滥用调查、拒付争议和灾难恢复有哪些例外？
- 谁能改设置、何时生效，已经超过新期限的历史数据怎么处理？
30 秒回答框架
我只会对生命周期已盘点、能够执行并验证的数据类别开放可配置期限。先提供少量分层、基于目的的默认值、安全下限、影响预览和明确的法律保留行为。合同要写清涵盖哪些副本、导出、备份和支持工具。先与少数企业客户试点，测量删除完成率和支持负担；在审计证据可复现前，不把功能包装成普遍合规保证。
分步骤深入解答
第一步：把需求绑定到客户任务
分别访谈安全、合规和管理员。合规团队可能需要删除证据，安全团队希望降低泄露影响，管理员可能只是想控制存储成本。若目标是成本，归档可能优于删除；若目标是监管最小化，长期归档也可能不合格。
第二步：建立数据类别矩阵
为每类数据列出目的、负责人、存储位置、保留下限、到期动作和证据。客户内容、原始事件、附件、审计日志、备份和账单记录分别处理。“30 天后删除”还不完整，必须说明搜索索引、副本、导出和快照怎么处理。
第三步：选择安全的产品形态
先提供少量选项，不接受任意日期。给出默认值、批准的期限和与已知义务冲突时的警告，并显示模拟影响和首次删除日期。租户不能把审计日志下调到安全基线以下，也不能静默改变已经签约的承诺。
第四步：定义删除与例外
说明是硬删除、加密擦除、匿名化还是归档，定义排队、重试、幂等和完成记录。法律保留必须冻结符合条件的记录，并显示谁设置了保留。备份要有到期路径；“主数据库已删除”不等于所有副本都消失。
第五步：评估运营成本
估算控制面、存储层转换、删除任务、审计证据、支持、恢复测试和每租户策略评估的成本。只有客户价值明确时，才为高成本类别收取额外费用。基础保护属于服务底线，不能把法律义务包装成可选增值项。
第六步：让承诺可观测
按策略版本记录应删除记录数、已删除数、被保留冻结数、重试时长和审计发现的残留副本。管理员应看到状态、下一步和证据下载。指标包括采用率、完成率、违规、支持联系、恢复失败，而非只有“保存设置”的次数。
第七步：试点并设置停止条件
先影子运行，再让少数租户使用可回退的期限。若删除无法复现、恢复重新带回过期数据、法律保留被绕过或支持无法解释结果，就停止。若客户缩短期限后仍大量导出到自有系统，产品承诺也可能产生误导，应重新界定范围。
第八步：上线后治理
为策略结构和客户条款做版本管理。新增数据类别或降低下限时，要求产品、安全、法务和工程共同审批。存储、供应商、备份或分析链路变化后重新测试。证据不完整时缩小承诺范围，不宣称全局删除。
高质量示范回答
我会只对端到端生命周期已盘点的数据开放可配置期限。内容、日志、事件、附件、备份和账单记录分开处理，提供批准的期限、安全下限、影响预览和明确的法律保留。承诺写清覆盖系统、删除或匿名化动作、备份到期和客户可取得的证据。先与企业管理员试点，测量完成率和残留副本审计；恢复、保留和支持解释全部通过后才扩大包装。如果客户只是想降低成本，我会提供归档，而不把归档冒充删除。
常见错误
- 把一个期限当成完整策略 → 数据类别和副本不同 → 发布有范围的数据矩阵。
- 接受任意日期 → 运营和证据成本无上限 → 提供批准的期限选项。
- 把主库删除称为完成 → 备份和导出仍保留 → 定义完整删除边界。
- 忽略法律保留 → 调查记录丢失 → 冻结符合条件的数据并审计。
- 只看设置保存次数 → 无法证明结果 → 测量完成、残留副本和支持负担。
- 把灵活性卖成合规 → 客户误以为有法律保证 → 分开产品行为和法律建议。
追问及应对
客户要求所有数据只保留一天，怎么办？
先拆分类别和义务。对可配置内容提供最短批准期限，保留安全和账单下限，并解释哪些数据不能跟随该设置。
如何证明备份中的数据已删除？
记录备份保留和到期规则，标记策略版本，抽样恢复测试，并在边界之后验证过期记录不存在或已无法解密。
删除开始后收到法律保留怎么办？
每个破坏性步骤前检查保留状态，让任务幂等并记录竞态。已经不可逆删除的数据无法恢复，产品必须让法务和支持看见这条边界。
期限更短是否应该更便宜？
只有真实降低运营成本时才考虑。基础保护属于服务内容；额外费用可以覆盖灵活策略、证据或高成本类别，不能暗示合规被付费墙隔开。
客户导出文件怎么处理？
说明导出是客户控制的副本，尽可能显示导出事件，不声称删除 SaaS 副本会删除客户下载的文件。
哪个上线指标会让你停止？
任何无法解释的残留副本、被绕过的保留、失败的恢复测试或与合同冲突的支持说明都应停止。采用率高也不能弥补无法验证的承诺。
什么时候选择归档？
客户需要低成本访问或历史分析时选择归档。单独说明访问、安全和最终删除行为，不把归档与活动数据保留混为一谈。