人脸识别售饭机的人脸数据怎么采、怎么存、怎么删，一页讲清楚
告知同意、最小必要、可替代可退出——食堂刷脸结算的合规底盘
人脸信息属于敏感个人信息。食堂、学校、医院等单位使用人脸识别售饭机完成就餐结算，属于"为履行管理职责、以人脸作为身份凭证"的场景，落地时应把以下三件事做到位：
在采集点显著位置公示采集目的、使用范围与保存期限；采集前取得被采集人的单独同意，涉及未成年学生时同步告知监护人，并留存授权材料。
只采集实现就餐结算所必需的信息，留存期限与用途匹配；不将人脸数据用于考勤之外的场景，不向无关第三方提供。
保留刷卡、扫码等非人脸的就餐方式，且餐补与价格规则完全一致；人员离职、离开学校或撤回同意时，及时删除对应人脸模板。
设备与系统层面配合单位落实合规要求
人脸特征值（非原始照片）在设备本地加密保存，不向厂家或第三方平台上传人脸信息。
人脸信息经脱敏处理并以特征值形式存储，无法反向还原为可辨识照片。
后台按管理员、财务、档口等角色划分操作权限，人脸库操作留有记录，便于内部审计。
支持按人员删除人脸模板、批量清空人脸库并导出删除记录，方便单位落实数据清理义务。
同一台终端保留 IC/CPU 卡与二维码支付，不愿刷脸的人员可正常就餐，不改规则不加价。
可提供人脸采集授权协议模板与设备数据处理说明，协助单位完成告知、授权与项目验收留档。
上线前自查一遍，投标与验收时也用得上
人脸信息采集告知书：说明采集主体、目的、方式、范围、保存期限、查询与删除途径。
被采集人授权同意书（学生由监护人签署）；替代方案的告知说明。
与设备供应商签署，明确数据归属、存储位置、保密义务与删除责任。
人脸数据管理制度、操作权限清单、人员离职或离校的数据清理流程。
设备数据存储与加密说明、日志留存与审计说明（可由供应商配合提供）。
客户在选型和上线阶段最常问的几个问题
人脸信息属于敏感个人信息，合规的关键是三件事：一是采集前以显著方式告知采集目的、范围与保存期限；二是取得被采集人单独同意，并提供刷脸之外的替代方式；三是遵循最小必要原则，只采集实现结算所必需的信息并做好安全防护。满足这些前提的食堂消费场景可以合规落地，具体方案建议由使用单位与法务共同确认。
琛宝人脸识别售饭机的做法是：人脸特征值在设备本地加密存储，不向厂家或第三方平台上传人脸信息与照片；消费流水按客户配置同步到客户自有的管理后台，数据归属与访问权限由使用单位掌握。
应保留替代方案。设备同一台终端同时支持人脸、IC/CPU 卡刷卡与二维码扫码，不愿刷脸的人员可继续用卡或手机扫码就餐，两种方式的餐补与账务规则完全一致，不因支付方式产生差异。
建议准备：人脸信息采集告知书与授权同意书（含采集目的、范围、保存期限、退出方式）、数据处理协议（明确设备供应商的责任边界）、内部人脸数据管理制度与操作权限清单，以及涉及员工或未成年学生时的家长告知流程。
保存期限应遵循最小必要原则，由使用单位在告知书中明确约定，人员离职或离开学校后应及时删除对应人脸模板。琛宝设备支持按人员删除人脸信息、批量清空人脸库并导出删除记录，便于单位落实数据清理义务。
可配合提供设备数据存储说明、权限管理说明、加密与脱敏机制说明等技术文件，协助使用单位完成内部审计与项目验收；涉及法律意见的部分，由使用单位与法务或专业机构确认。
说明：本页内容为琛宝智能结合行业通用做法整理的合规要点，供使用单位在方案设计阶段参考，不构成法律意见，也不替代使用单位与法务或专业机构的最终确认。具体合规义务以现行法律法规及主管部门要求为准。