储值、银发、话术，任何一条踩线都不是小事
保健品的客诉与监管风险高度集中在这三处。系统不提供“关掉校验”的开关：可以按门店调阈值，但不能绕过留痕。
设计原则
规则前置到录单动作里，而不是月底补台账。校验命中即阻断，审批必须双人，操作人、时间、IP、修改前后值全部入日志。
储值资金归集总部
门店收银只产生销售业绩，资金进入总部账户；本金与赠金分账核算，赠金不可退、不折现、不转赠。卡余额作为预付负债在财务报表单列，退卡必须走审批并原路退款。
60 岁以上办卡留痕
系统按年龄识别银发客群，大额（默认单笔 ≥ 5000 元）、高频（30 天内 ≥ 3 次）、集中办卡（同一导购同日多单）自动预警，必须上传知情件、登记家属关系并由第二人审批。
关怀话术先校验
关怀任务的话术模板按版本管理，发送或拨号前经过违规词库校验：不得诊断疾病、不得承诺疗效、不得建议停药、不得使用绝对化用语。命中即拒绝保存，人工复核后才可放行。
投诉、不打扰、冷静期：三件最容易出事的小事
它们不在财务报表里，却直接决定监管检查与舆情结果。系统把它们做成可查的台账和可执行的规则。
投诉与纠纷台账
受理登记（来源、门店、涉及订单）、处理过程、回访结果、结案归档四段留痕；超时未结案自动提醒店长与合规负责人。
不打扰名单
客户明确拒绝电话、短信或企微触达后，进入全渠道抑制名单；活动、关怀任务、导购外呼在发送前统一校验，避免重复打扰。
冷静期退货退款
按购买时间、商品状态与卡规则计算可退金额，本金与赠金分开处理；退款走审批并原路退回，退款原因与审批链完整留档。
五级数据范围 + 能力点授权
“能看”和“能改”是两件事。数据范围决定看哪些行，能力点决定能做哪些动作，两者组合成角色。
| 层级 | 可见范围 | 典型受限项 |
|---|---|---|
| 总部 | 全公司所有主体、门店、仓库 | 不可修改历史已结账凭证，需红冲 |
| 大区 | 本大区门店与人员 | 跨区数据仅汇总可见 |
| 门店 | 本店会员、订单、库存、员工 | 看不到成本价、其他门店数据 |
| 加盟商 | 本主体门店与本主体往来 | 看不到总部采购成本与其他加盟商 |
| 个人 | 分配给我的客户与任务 | 储值金额、订单金额按角色脱敏 |
人员会流动，权限不能失控
登录失败锁定、密码强度、会话超时是底线；临时授权与审批代理解决店长请假、区域经理出差时的流程断点，到期自动回收。
- 连续登录失败锁定，管理员可解锁并查看来源
- 临时授权限定模块、门店与有效期，到期自动失效
- 审批代理指定代理人，代理期间的审批单独标记
- 角色变更、授权、解锁全部进入审计日志
谁改的、改前是什么、为什么改
所有写操作进入审计日志：登录、建档、改价、退货、退卡、审批、导出、打印。日志可按人、按单据、按时间检索，支持导出给审计方。
- 关键动作强制填写原因（退货、报损、退卡、改价）
- 导出与打印记录用途，敏感字段自动脱敏
- 审批链留痕：提交人、审批人、时间、意见
- 日志保留期可配置，默认 3 年
数据放在哪，由你决定
支持公有云独立库与私有化部署；数据库按租户隔离，不与其它客户混用。备份策略与恢复演练写进实施清单。
部署方式
公有云独立库 / 客户自有服务器 / 内网部署。演示环境与生产环境完全隔离。
备份与恢复
每日全量 + 增量，保留 7—30 天可配；每季度做一次恢复演练并出报告。
数据主权
数据字典与接口开放，合同期内可随时导出；不做数据绑架，不设隐藏限制。