隐性测量的数据留存和使用应区别于用户主动发起的交互数据
别名: 测量数据 vs 操作数据 · 隐性日志 · implicit telemetry
概念解释
点击、发送、明确的停留确认，是用户主动发起的交互，通常带着对结果的知情。注视热图、AOI 时长、在线注意估计，是系统在用户只是观看时测到的。两类数据不能进同一条留存和二次使用管道。测量数据即使已经聚合成热图，仍不是一次授权过的操作日志。这与眼动作为传感器有多敏感是分开的问题：那一条谈轨迹能推断什么；这里谈测量用途下的数据，不能借用“用户点过所以同意留下”的理由。
机制
主动交互有可指出的动作时间、对象和往往一份同意（点了发送就知道发出去了）。隐性测量没有对应的动作，用户可能不知道采集正在发生。把测量日志和点击日志一起送进分析或模型，等于用未同意的观看去解释同意过的点击，推断会看起来更“准”，来源却不对称。
使用上也要分。点击日志可以合理用于“上次你买了这个”；注意测量不该用于“你看了这个所以给你推那个”，除非测量本身被独立告知、可关、可删。会话内用测量做弱适配，用完即弃，是一种把测量留在当次的做法；跨会话画像是另一种，风险高一个量级。
怎么研究
审计现有遥测：哪些字段来自点击/按键，哪些来自注视测量，它们是否进入同一表、同一模型、同一保留期。用户研究测：在说明“我们记下了你看过的区域”之后，有多少人认为这和“记下你点过的”是一回事——用来证明捆绑认知。 法律文本里的“交互数据”经常把测量包进去，技术审计不能跟着用同一个词。把测量数据从训练语料里拿掉，看推荐或自动化还剩多少性能，能揭示产品到底有多依赖未同意的观看。
边界
纯本地、当帧用完即扔的注意估计（只驱动当次弱适配）几乎不构成留存，但仍要告知采集在发生。经独立同意的可用性实验室可以留下测量数据，那份同意不能自动覆盖产品遥测。辅助眼控的命令日志是主动交互，即使载体是注视，也应按命令而不是按隐性测量来管——前提是用户知道那一次是在提交。儿童账户上，测量数据默认不应跨会话。
怎么落地
- 把注视测量字段和点击/提交字段分成存储、访问和控制；测量默认会话内销毁，跨会话使用要单独开关。
- 禁止用“用户使用了产品”作为测量数据二次使用的同意；二次使用写进独立文案。
- 验证：列一张表，每一行是一个字段，标来源（测量 / 主动交互）、保留期、是否进入模型；确认没有测量字段混进主动交互的管道。