开篇：一句话结论

数据主权这个词听起来很大，落到贸易公司其实就是三件事：客户名单归谁、进货渠道谁能看、不想用的时候能不能完整拿回。结论是——先把这三件事谈成可执行的动作，再谈系统选型，否则买什么都是事后补救。本文给四个自问、一张数据分级表、三条能立刻做的控制动作：确认数据存放位置、跑通一次完整导出、把导出权写进账号权限。三件事做完，主权才从口号变成条款。

一、热点场景还原：老板半夜在群里问的那句话

老林在华强北做现货贸易十几年，公司三十来人，账上最值钱的东西不是库存，是一份客户名单和一份进货渠道表。这份名单里记着谁要什么料、什么时候要、能接受什么价；渠道表记着哪个代理给什么价、哪家的账期能谈到多少天。

去年下半年，他把报价和库存搬到了一个云端系统里。搬家过程很顺，销售在手机上也能开单，一开始皆大欢喜。变化发生在一次饭局上：同行提到，某家云平台的商务跟他聊起「你们这个行业的客户大概有多少家、客单价在什么区间」。老林听着不舒服——不是说他家的数据被卖了，而是他突然意识到一件事：这些数据确实存在别人的机房里，谁能看，他说不清。

那天晚上十点多，他在公司群里发了一句话：我们的客户名单，到底在谁的机器上？

这个问题不好答，但它精准。据行业公开分析，2025年一项SaaS数据丢失审查发现，74%的组织曾丢失过SaaS数据，多数源于操作失误与访问权限问题，而非仅供应商倒闭——这是境外与行业公开的统计口径，不等于国内贸易商的现状，但它提示了一个方向：数据丢失的高发原因不是平台跑路，是权限和使用环节。另有境外公开报道显示，勒索与数据窃取团伙ShinyHunters在2024至2026年集中攻击SaaS聚合点，常通过窃取的凭据与未强制多因素认证的账号批量导出数据，2026年3月的ZenBusiness事件泄露约511.8万个唯一邮箱地址。这些案例都发生在境外，但它们共同说明一件事：暴露面往往出在「谁拿着钥匙」，而不是「机房在哪」。

这类取舍的完整对照，放在了本地部署形态的对比口径专题里。

二、核心方法：把主权拆成四个自问和一张分级表

1. 四个自问：问完就知道自己有没有主权

原理：主权不是一种感觉，是四个问题的答案。

  • 数据存在哪台机器上？能不能指出来那台机器在哪个房间。
  • 谁能看？除你公司的人之外，还有谁能打开这些数据，凭什么打开。
  • 能不能随时导出完整副本？导出的格式是不是通用格式，下次还能不能打开。
  • 停用的时候呢？通知期多久，过期之后数据还在不在，多久被删除。

具体做法：把这四个问题发给现在的软件供应商，要求书面回答，逐条记下来。答不上来的那条，就是你当前的风险点。

常见错法：只问「你们安全吗」。安全是形容词，问不出答案。要问可验证的动作：放在哪、谁能开、怎么拿回。

2. 一张数据分级表：先分级，再谈控制

原理：不是所有数据都值得同等保护。先分级，防护成本才花得对。

级别内容举例暴露后果控制要求
一级客户名单、联系方式、跟进记录客户被撬、跟单断档导出权限只给老板与主管，操作留痕
二级协议价、历史成交价、进货成本议价能力外泄，毛利被压按角色授权，销售只看自己客户的价
三级供应商渠道、账期、返点约定渠道被同行复制限定账号数，离职当天停用
四级公开型号、常规报价单模板影响有限常规管理即可

怎么用：一级到三级的数据，原则上不应该出现在个人手机相册、私人微信收藏、私人网盘里。检查方法很土但有效——让每个销售自己报一句：你手上有没有存过客户名单在私人设备里？报出来的，就是你要收口的口子。

常见错法：全公司数据一个权限级别。所有人都看得见成本价，等于把二级数据当成四级在管，出事只是时间问题。

3. 三条能立刻做的控制动作

第一，确认存放位置。问清数据文件落在哪台设备、哪个目录。本地部署的形态下，这一步通常很好答；云端形态下，要问到可用区与备份位置。

第二，跑通一次完整导出。别等停用那天才第一次导出。现在就导一次，看看导出来的东西能不能打开、关联关系还在不在（报价关联客户、订单关联出库）。很多系统导出来的表是平的，关联一断，历史报价就废了。

第三，把导出权写进权限。谁能导出一级和二级数据，要具体到人和角色，不是默认所有人可导。

这三条和「业务员带走客户资料」是同一件事的两面：一个防外人，一个防内部。内部那一侧的完整做法，可以看这篇：客户资料被带走的防控做法。

4. 别把主权理解成「不上云」

原理：主权是控制权，不是位置。云端也可以有清晰的导出权和删除承诺，本地也可能因为备份没做而丢数据。

具体做法：判断标准回到四个自问，而不是「云还是本地」这个二分法。本地部署的优势在于控制权链条短——机器在你手上，文件在你手上，备份怎么做由你决定；代价是备份和防灾要你自己扛，没有人替你兜底。

关于替代云端的趋势与判断，这篇讲得更细：国产ERP替代SaaS的趋势观察。

三、落到经营：把三个动作固化成月度习惯

人治的版本是：老板想起来就问一句「数据还在吧」，没人能证明在还是不在。机制的版本是：每月最后一个工作日做一次完整导出，导出文件按日期命名存到另一块硬盘，导出记录登记在一张表里——谁导的、导了什么、存哪了。三行字，一年十二行，出事时能救命。

落到系统能力上，能帮上忙的是这几处。太帅ERP是Windows桌面应用、本地部署、内置数据库，数据文件落在本机，导出和备份由你自己执行，不用等第三方排期；资料与权限模块支持客户、供应商、物料库批量导入，60+权限点可以按角色精细授权，谁能看成本价、谁能导出客户名单，是配出来的，不是默认给的；库存与报价在一套账里，导出的表带着关联关系，历史成交价能对得上人、对得上单。

边界也得说清楚。太帅ERP是Windows桌面单机版，没有手机原生端，销售跑客户时想现场查价不方便；服务以远程为主；数据备份要用户自己安排——本地部署把控制权交给你，同时也把备份责任交给了你，没做异地副本，硬盘坏了就是坏了。要不要接受这个取舍，看你更在意哪一头——一头是随时能拿到完整副本，一头是有人替你扛运维。

四、常见误区

  • 本地部署就等于数据安全。错在把位置当成结果。正确的是：本地部署缩短的是控制权链条，备份、权限、离职停用这三件事仍要自己做，没做一样会丢。
  • 云端数据一定被平台拿去用。错在没有依据地推断。正确的是：看合同与条款——数据用途、访问主体、导出承诺三条是否写清楚，没写清楚就要求补上。
  • 导出一次就够了。错在把一次性动作当机制。正确的是：导出要定期做，并且做恢复演练，能恢复的备份才叫备份。

FAQ

数据主权和数据安全是一回事吗？

不是一回事。安全讲的是「别人能不能偷走」，主权讲的是「这份数据归谁、谁能决定它的去向」。安全做得再好，如果导出权不在你手上，主权仍然不完整。

我们全公司就十来个人，有必要搞分级吗？

有必要，而且十来个人更好搞。分级不需要上系统，一张表就能定：客户名单谁可导、成本价谁可看。人少的时候定规矩成本最低，人多了再收口，代价高得多。

云端系统说可以随时导出，我是不是就不用管了？

跑通一次再信。现在就导一次，检查导出格式是否通用、报价与客户的关联是否还在。很多系统的导出是平表，关联一断，历史报价就失去了参考价值。

本地部署会不会更麻烦？

麻烦点不一样。本地部署省掉的是与第三方协调的环节，多出来的是备份与防灾——机器在你手上，责任也在你手上。参照公开安全指南通行的3-2-1做法（三份副本、两种介质、一份异地且脱离主供应商保存），把备份这件事当月度固定动作，麻烦就可控。

写在最后

四个自问、一张分级表、三条控制动作，做完大概需要一个下午。完整口径写在了配套的《为什么IC贸易公司的数据应该留在自己电脑里》篇里：哪些数据该留在本地、留在本地之后备份怎么安排、什么叫「能随时拿回」。数据这件事，早一天谈成条款，就少一天悬着。

主 CTA：继续读：为什么IC贸易公司的数据应该留在自己电脑里 次 CTA：继续读：本地部署ERP和SaaS云ERP的区别：9个维度对比表