小吃快餐店在点餐小程序里收手机号和人脸，合规底线是：扫码点餐环节的手机号设为选填，取餐用取餐号；顾客侧不做人脸识别，员工侧刷脸必须先告知、单独同意并给替代方案。判断一个字段该不该收，只看它是不是完成这笔订单必需，不是就必须允许顾客跳过；会员、营销和复购属于另一件事，要单独征得同意。
先分场景：顾客侧能省则省，员工侧另走一套流程
点餐小程序里的手机号和”人脸”是两件不相干的事。顾客扫码下单时留的手机号属于顾客个人信息，员工刷脸打卡属于门店内部管理。这两类场景的判断标准、告知方式、留存期限都不一样，混在一起处理最容易出错。
顾客扫码点餐：手机号只在需要短信通知或会员绑定时才有用
扫码点餐的核心动作是”下单—付款—取餐”，这三步用取餐号就能闭环。手机号真正有用途的场景只有三个：需要用短信把取餐码发到顾客手机上、顾客自愿注册会员攒积分、顾客明确同意接收营销信息。前两个由门店自己决定要不要做，第三个必须单独拿到同意。所以除非门店确实要靠短信或会员运营，扫码点餐页面的手机号应当默认不填、可以跳过。
顾客侧人脸识别：在点餐环节没有必须做的理由
顾客点餐不依赖人脸。人脸支付由支付机构在自己的页面内完成验证，门店的小程序通常只拿到”支付成功”的结果，不接触人脸图像；门店如果想自己做”刷脸领券””刷脸积分”，就要按收集人脸信息来处理，还要面对顾客不愿配合、设备投入、误识别申诉等一串问题。对一家 20—40 平方米的小吃档口来说，这类玩法的收益和投入不成比例，不做可以让门店少一层合规负担。
员工侧刷脸：不能用”食品安全要求”当强制理由
《餐饮服务食品安全操作规范》（2023）对从业人员健康与个人卫生提出了要求，门店用健康证台账、晨检记录、纸质签到同样可以落实这些要求，刷脸并不是规范里指定的方式。门店要用刷脸做考勤或晨检，理由只能是自己的管理需要，并且要做到三件事：提前书面告知用途和保存期限、让员工单独确认同意而不是混在劳动合同里、提供工牌打卡或签到表这类替代方式。
手机号字段怎么改：从”必填”降到”可选”的五个动作
把必填改成可选，不涉及复杂的系统改造，按下面五步走一遍就能落地。
- 列出小程序当前所有采集字段，逐个写清”用来干什么”，写不出用途的直接删掉。
- 把手机号从必填改成选填，取餐凭证改成取餐号加叫号屏或语音播报。
- 会员注册和营销短信各做一个勾选框，默认不勾，取消入口放在小程序”我的”页面里。
- 授权弹窗用一句大白话说清为什么要这个信息、给谁看、保存多久、怎么撤回，不要只丢一个用户协议链接。
- 后台记录每次同意的时间、入口和文案版本，顾客撤回后同步停止短信推送。
改成选填之后会掉多少单，可以用门店自己的数据算一遍。以一家 22 平方米、开在二线城市商场负一层的炸串档口为例（示例/测算）：营业时间 11:00—21:30，日均 176 单，其中堂食扫码点餐 96 单、外卖平台 80 单，堂食客单价 23.5 元。假设手机号改成必填后有 9.4% 的顾客在授权页退出、转去柜台口头点单，每天约 9 单回流柜台；柜台单均处理比扫码多约 45 秒，一天多出约 405 秒人工，按店员时薪 24 元折算约 2.7 元/天，全年按 350 天约 945 元。金额不大，压力在峰值：12:00—13:00 该店通常有 34 单，回流 3 单就会让收银台排队从 3 人变成 4—5 人。
反过来，如果门店坚持用短信发取餐码，按 0.045 元/条的示例单价计算，96 单全部发短信是 4.32 元/天，全年 350 天约 1512 元；改用取餐号加叫号屏可以省下这笔钱，也不必因此收集手机号。
人脸识别：顾客侧不建议上，员工侧要写清告知、留存和退出
人脸信息属于敏感个人信息，处理门槛比手机号高一档。小吃快餐店守住”顾客侧不做、员工侧做全流程”这两条，基本不会踩线。
顾客侧：门店不留底
顾客想用刷脸支付时，让验证发生在支付机构自己的页面里，门店不在自己的小程序里做人脸采集、不保存人脸图像，也不把刷脸结果写成会员标签。刷脸领券、刷脸积分这类玩法，一旦顾客投诉或要求删除，处理成本往往高于活动本身带来的复购。
员工侧：告知、同意、留存、退出四件事
- 告知：书面写清刷脸用于考勤还是晨检、数据存在哪台设备或哪个系统、谁能查看、保存多久，由员工签字确认。
- 同意：单独一份确认文件，不要塞进劳动合同或员工手册让员工一并签字；员工不同意时，不能以此为由扣工资或调岗。
- 留存：只保存比对结果或特征值，不保存原始照片；门店自己设定保存期限并写进告知书（示例/测算：离职后 30 天内删除）。
- 退出：员工离职当天停用账号，按告知书承诺的期限删除或匿名化，并把删除动作记进台账。
备料、出餐、外卖和退款环节的数据边界
合规最终要落到每天的备料、出餐、外卖和退款动作上，这几个环节最容易把顾客手机号顺手扩散出去。
备料和出餐台账不要出现顾客手机号
备料批次记录写批次号、制作时间、保质截止时间就够了，用不到顾客信息；出餐叫号屏只显示取餐号，不要出现”张先生 138****5678″这类组合——在社区店和写字楼店，后四位加姓氏往往就能对应到具体的人。
外卖和退款环节的号码处理
外卖订单的顾客手机号由平台侧处理，门店后台看到的通常是隐私号或虚拟号，配送完成后失效，具体呈现方式以你使用的平台当前设置为准（需核实）。退款核对只需要取餐号加支付流水，不需要顾客手机号；如果店员在纸质本上登记过手机号用于退款，退款完成后应当划掉这一栏或销毁那一页，而不是整本留着。
小程序上架品类要和证照范围对齐
按《食品经营许可和备案管理办法（市场监管总局令第78号）》（2023）的规定，食品经营许可与备案有明确的分类、申请条件以及变更、注销程序。门店在小程序上新增加工品类或零售品类之前，先确认是否需要办理变更，避免出现”小程序里能点、证照上没有”的情况。
常见问题
Q：顾客下单后要求删除手机号，门店应该怎么操作？
A：先在会员和订单后台定位到这条记录，删除或匿名化手机号字段，保留订单号、金额、时间和取餐记录用于对账；如果这个号码已经同步给第三方短信或会员系统，要一并通知对方删除，并把处理时间和操作人记进台账。订单和财务凭证本身按财务、税务要求留存，具体年限需核实，但手机号不能继续留在小票、叫号屏和纸质登记本上。
Q：扫码点餐页面能不能默认勾选”同意接收营销短信”？
A：不能。默认勾选、把营销条款藏在整份用户协议里、用”不同意就不能点餐”换取授权，都不属于有效同意。正确做法是营销短信单独一个勾选框、默认不勾、顾客可以随时在小程序里关闭，并把勾选时间和文案版本记在后台；取餐通知属于完成订单必需，可以和营销授权分开处理。
Q：门店换小程序服务商，老会员的手机号能直接导过去吗？
A：不能默认迁移。换服务商意味着接收方发生变化，需要重新告知顾客并取得同意，或者只迁移去标识化的会员等级和消费记录。门店作为决定收集什么、用来做什么的一方，直接整库导出要承担相应责任；换系统前先把导出字段范围、旧系统数据删除的时间点写进合同。
Q：把小程序和收银系统交给第三方 SaaS 服务商，数据出问题谁负责？
A：门店是决定收集目的和处理方式的一方，服务商属于受托处理方。合同里要写清处理目的、保存期限、能不能再转委托、发生泄露后多久通知门店、合作结束后多久删除或返还数据。只签一份标准服务协议、不约定删除时间，是小吃店最常见的漏洞。
Q：老年顾客不会用小程序，店员用自己的手机号代下单可以吗？
A：可以，但要区分号码归属。用门店统一的工作号或门店专用手机号代下单，员工离职时订单记录不会跟着人走；用员工个人号代下单，一旦员工离职、换号或要求删除个人信息，历史订单的取餐和退款记录就可能对不上。代下单产生的会员积分和营销推送，也要按顾客本人意愿处理，不能默认用店员号码注册会员。
参考资料
- 餐饮服务食品安全操作规范（2023）：餐饮服务从业人员健康与个人卫生、加工制作等环节的操作要求
- 食品经营许可和备案管理办法（市场监管总局令第78号）（2023）：食品经营许可与备案的分类、申请条件、变更与注销程序