预订系统安全：选软件时该问供应商的问题
预订系统安全可以用五个问题来检验：客户数据存放在哪里、如何保护；顾客在哪里输入银行卡；多久备份一次；系统如何更新；出问题时供应商如何响应。如果供应商的回答具体，并且能在后台当场演示给你看，基本就可以放心。
场馆存了哪些数据，为什么预订系统安全很重要
蹦床公园、室内儿童乐园和攀岩馆卖的不只是门票。时间一长，几乎所有敏感信息都会集中到同一个系统里：
- 家庭的姓名、邮箱和电话。
- 未成年人信息，以及监护人在免责声明上的签名。
- 生日派对点心环节登记的过敏信息。
- 消费记录、次卡和会员积分。
- 员工的身份证件、银行账户、工资单和考勤记录。
儿童数据和过敏信息（属于健康数据）最为敏感。离职员工还能登录，或者派对名单在你管不到的渠道里流传，损失的不是技术，而是家长的信任。所以这些问题要在签约前问清楚，而不是出事后再补救。
客户数据：存在哪里，谁能看到
下面这些问题，能区分认真的回答和一句含糊的“放心，很安全”：
- 服务器在哪个国家？对欧盟境内的场馆来说，数据存放在欧盟会让 GDPR 合规简单很多。
- 连接是否加密？后台和线上商店都应始终使用加密连接。
- 有没有按角色分配权限？前台不需要看工资单，教练也不需要导出客户名单。
- 有没有操作日志？有人删除预订或改了价格，你要能查到是谁、什么时候。
- 同意和退订怎么处理？每封营销邮件都要有退订链接，每份签署都要记录文件版本并能撤回同意。
- 如果有 AI 助手，它用什么数据回答？应该用你场馆自己的信息（营业时间、规则、剩余名额），不会的问题转给真人。
- 不再使用时数据怎么办？保留多久、怎么申请导出、何时删除。
不要只听口头承诺，请供应商在演示中现场展示：如何创建角色、操作日志在哪里、如何导出名单。涉及法律的部分（未成年人数据、数据处理协议、保存期限），请与法律顾问核实你的具体情况。
在线支付：谁接触银行卡，钱进谁的账户
很多场馆把两个问题混为一谈：银行卡号在哪里输入，钱最终进哪个账户。
- 银行卡在哪里输入：最稳妥的是顾客在支付网关自己的页面输入，而不是在预订软件的表单里，这样软件既看不到也不保存卡号。
- 款项进哪个账户：使用你银行的虚拟 POS，钱直接进你的账户；如果有中间方，要书面确认到账时间和手续费。
- 何时确认预订：只有支付网关通知付款成功后才确认，否则放弃支付的订单会占住满场场次的名额。
- 有没有测试模式：测试订单不计入销售，可以在真实顾客到来前把流程走一遍。
- 前台可追溯：每位员工用自己的 PIN 登录收银，谁收款、谁打折、谁退款一清二楚。
常见场景：周六下午五点的场次已满，一位家长说已经付款却没收到确认。如果系统只在网关通知后才确认，你查一下付款状态就能依据事实处理，而不是在排队压力下拍板。Redsys 虚拟 POS 的具体做法见在线支付。
备份、更新与事故响应
数据备份
问清楚备份频率、是否自动、保留多久，以及供应商是否真的做过恢复测试。每天营业的场馆至少需要每日备份，丢失一个周六下午的派对预订就已经很麻烦。
系统更新
确认软件是在浏览器里运行，还是要在每台平板和电脑上安装；更新由谁负责；影响日常操作的变化会不会提前告知。装在本地却没人更新的软件，往往是被忽视的风险。
事故响应
书面确认支持渠道、真实的服务时间，以及数据出问题时如何通知你。清楚的服务时间比做不到的承诺更可靠。作为数据控制者，你在 GDPR 下有自己的通报义务，请让法律顾问说明它与供应商合同如何衔接。
同时准备好备用方案：场馆断网时，用实体刷卡机收款、手工登记到场，恢复网络后再录入系统。
场馆自身的安全检查清单
供应商负责一半安全，另一半取决于团队的习惯。
- 一人一个账号，不用“前台1”这类共享账号。
- 员工离职当天收回权限，暑期临时工也一样。
- 最小权限：每个角色只看当班需要的内容。
- 密码各不相同，不要贴在收银台旁边。
- 打印出来的含过敏信息的派对单，结束后收回并销毁。
- 离开前台哪怕一分钟，也要锁定收银和钱箱。
- 每月检查一次操作日志和数据导出记录。
- 定期申请或下载重要数据的导出。
常见错误：用微信或 WhatsApp 发客户名单、把导出文件存在容易丢的 U 盘里、旧网站外包公司仍有后台权限、场馆邮箱和预订后台用同一个密码。
常见问题
选预订系统前，安全方面应该问什么？
核心几点：服务器在哪里、有没有角色权限和操作日志、银行卡在哪里输入、多久备份一次，以及出事故时通过什么渠道联系支持。
让顾客在预订时在线付款安全吗？
只要银行卡在支付网关页面输入而不是在预订软件里，并且付款通知到达后才确认预订，就比较稳妥。
需要和预订系统供应商签数据处理协议吗？
通常需要：供应商代你处理客户数据时，GDPR 要求有合同来规范这种处理。具体应包含哪些内容，请与法律顾问核实。
更换预订系统后，客户数据会怎样？
取决于供应商。签约前问清楚停用后保留多久、如何申请导出、何时彻底删除。
Uelta 如何帮你
Uelta 的数据存放在欧盟服务器，使用加密连接，每天自动备份，并提供角色权限和记录每次修改者的操作日志；员工的身份证件、银行账户和工资以加密方式保存。详情见安全与数据保护。
- 使用你自己的 Redsys 虚拟 POS 时，银行卡在 Redsys 页面输入，从不在 Uelta 输入；钱直接进你的账户，Redsys 通知付款后预订才确认，正式收款前可以先用测试模式。详见在线支付。
- 电子签署记录每个人签的是哪个版本，发送 PDF 副本，并附撤回同意的链接。
- 收银台上每位员工用自己的 PIN 登录，每笔销售都记录经手人。
- 每封营销邮件都带退订链接；考勤记录不会被改写，每次更正都保留是谁、何时、为什么。
- 在浏览器中运行，无需安装；在后台提交工单联系支持，通过邮件回复。取消订阅后数据保留 30 天，删除前可以申请导出。
Uelta 价格为每月 99 € + 增值税，无最短期限。用你自己的数据亲自验证：开始 7 天免费试用。
