周既白也線上，但他只問了一句：「如果現場核驗，對投資方來說最關心的是樣本真實性。你們能不能讓第三方既確認授權，又確認這些復購不是人為挑出來的？」
林聽晚看向資料負責人：「可以。抽樣規則寫死，先從合規樣本池按使用者ID雜湊尾號抽取，再由第三方現場抽十條反查訂單和授權記錄。抽樣指令碼留存，不能臨時換人。」
她轉回電話：「我們會把抽樣規則寫進流程。你們能看到方法，不能拿走原始個人資訊。」
「下午三點之前能給到多少？」投資經理問。
「合規說明和流程可以給。樣本不承諾三點。」林聽晚的聲音沒有抬高，「如果這導致你們內部會延後，我們接受。野月不會用不完整授權換一輪更快的盡調。」
這次連秦知遠都沒有插話。
電話結束通話後，會議室像被按下快進。梁舒負責授權版本表，唐棠回到私域後臺，把每一次報名頁上線截圖、文案變更記錄、釋出時間挖出來；陳硯秋和外部法務一起寫撤回權說明，措辭反覆改了三遍。
最初版本寫「使用者可聯絡客服撤回授權」，林聽晚劃掉，改成「使用者可透過小程式設定頁、客服電話或私域客服三種方式撤回；撤回不影響撤回前基於授權已完成的處理，但公司將在五個工作日內停止後續外發樣本使用，並在樣本池中標記退出」。
「要讓使用者看得懂。」她說，「不要寫成只給律師看的話。」
唐棠照著這句話，把說明頁改成問答式：「我撤回後還能購買嗎？」「可以，撤回資料樣本授權不影響下單、售後和會員權益。」「我的資訊會給誰看？」「僅在脫敏後用於經營分析或盡調核驗，涉及第三方現場核驗時，不提供可複製的原始個人資訊。」
使用者ID脫敏表也重新生成。原來的表裡還有「醫院名稱」「班次備註」「詳細社群」這些欄位，資料負責人一列列刪掉，只保留到城市和場景層級。使用者ID從原始手機號後四位加註冊時間的組合，改成不可逆雜湊值，字首統一為YU。訂單編號另做脫敏，和使用者ID之間只保留內部對映，對映檔案加密後存進本地伺服器，許可權日誌單獨記錄。
梁舒看著新表，問：「夜班護士組如果去掉醫院名稱，會不會影響證明場景？」
「用場景標籤和購買時間證明，不用具體醫院證明。」林聽晚說，「如果第三方要核驗真實性，到現場看授權和訂單，不把哪個醫院、哪個科室帶出門。」
下午兩點二十，四份檔案終於壓縮成一個新的資料包：《使用者資料合規說明_0317》。裡面沒有一條可直接識別個人的資訊，卻比昨晚那份漂亮樣本厚得多。
首頁是授權文案版本表，V0.8那一行被標成灰色，限制用途寫得清清楚楚：僅用於對應試吃活動聯絡及通知，不納入對外使用者級樣本。第二份是使用者ID脫敏表，欄位旁逐項說明保留理由。第三份是許可權日誌，記錄暫停外發和許可權撤銷。第四份是第三方現場核驗流程，從預約人員、簽署保密承諾、白名單電腦、禁止拍攝複製，到核驗底稿編號、離場刪除臨時快取，每一步都有負責人。
陳硯秋把壓縮包發出前又檢查一遍：「這會讓他們覺得我們麻煩。」
「麻煩比僥倖便宜。」林聽晚說。
三點零六分，見山的投資經理回了郵件。語氣比上午正式許多：認可野月暫停外發的處理，建議次日上午安排合規顧問現場核驗；使用者級樣本數量可在合規樣本池內重新確認，不以原一千條作為硬性前提。
秦知遠盯著「不以原一千條作為硬性前提」幾個字，才慢慢吐出一口氣：「這關算過了？」
「只是沒有踩雷。」陳硯秋提醒他。
林聽晚沒有慶祝。她讓資料負責人把合規樣本池重新跑一遍，剔除V0.8使用者、標記撤回入口、按新脫敏規則生成復購曲線。
傍晚六點，曲線出來了。總樣本少了一截，幾組早期漂亮資料被灰掉，但夜班護士組仍然穩。連續八週復購率沒有明顯下滑，客單價也沒有靠大額券撐起來。
唐棠剛想高興，客服工單的篩選結果跳了出來。同一組使用者下面，配送時段投訴被標成深橙色：夜班前送不到、凌晨櫃門滿格、早上下班取貨時冷藏櫃斷電提示頻繁。
梁舒把投訴原話念出來：「『不是不好吃，是我下夜班拿到的時候已經溫了。』『能不能別卡在交班那半小時送？』『便利櫃在門診樓，夜班從住院部過去太遠。』」
會議室沒人再提那條穩定的復購曲線。
林聽晚把夜班護士組單獨圈出來，在旁邊寫了四個字：現場驗證。
「合規後留下來的樣本，才值得繼續看。」她合上電腦，「明天別在會議室裡猜配送時段。去醫院便利櫃蹲點，看她們到底在哪個環節被耽誤。」
