Z6.07.4Processing-location transparency设计研究
处理位置的选择应对用户可见而非完全掩盖
别名: 处理位置透明 · data residency disclosure · 数据去向可见
概念解释
数据在哪处理——本地、云端、还是混合中的哪一段——对用户是黑盒时，用户无法把隐私偏好转化为购买与配置决策。「可见」指处理位置是可发现的产品事实：买前能查到、配置里能看懂、变更时能知道。这不是道德呼吁而是市场机制的前提：消费者拿不到信息，就无法用购买投票，隐私就退出竞争维度。
这条知识针对的现实：默认上云的厂商没有动机宣传这一点（「云处理」在营销上无卖点、在隐私上是减分项），于是货架上的一切看起来一样——「智能」「看家」「云存储」，处理位置的信息被系统性抹去。
机制
可见性为什么改变行为与市场：
- 决策发生在购买与配置时刻，输入是认知。 用户对「这设备怎么处理数据」的理解是隐私决策的主要输入，其中权重最高的变量就是处理位置（它决定谁能触达）。认知缺位时，决策退化为比拼分辨率与价格——隐私维度从需求侧消失。
- 掩盖造成逆向选择。 当「本地优先」的产品无法把这点变成可验证的卖点，认真做隐私的厂商得不到市场回报，省下本地算力成本的云依赖产品反而更便宜——隐私信息不出现在货架上，「用购买投票」的机制整体失灵，劣币驱逐良币。
- 可见还服务故障预期。 知道设备依赖云的用户，对断网行为的预期是准确的（「云功能会停」）；不知道的用户把断网故障当成设备坏了。处理位置是降级行为的解释变量，掩盖它等于同时掩盖了系统的失效模式。
掩盖的具体形态值得点名：处理位置藏在第 40 页隐私政策里、固件更新后悄然改变数据去向、营销页写「安全加密」但不写数据去哪——技术上没有撒谎，认知上全部遮蔽。
怎么研究
- 消费者认知研究：度量用户对家用设备数据处理的认知（本地还是云、存多久、谁能访问）与现实的一致率——智能家居访谈显示误解率很高，为「掩盖存在」提供基线。
- 标签实验：模仿能效标签的做法，给产品信息页加入处理位置标签（本地处理/云处理/混合 + 数据类型），比较有标签前后用户的选择分布与支付意愿变化——直接检验可见性对市场的作用。
- 变更感知研究：追踪固件更新前后数据流向的实际变化，与用户被通知的程度对照，度量「悄然变更」的发生率。
方法论注意点：支付意愿的测度要防社会期许偏差——口头重视隐私与真实付费是两回事，用强制选择（配对比较、预算约束下的取舍）比直接问更可靠。
边界
- 可见不等于可懂。 把「边缘计算」「混合架构」扔给用户不构成可见性；要翻译成「谁能看到你的数据」级别的事实（影像不出家门 / 上传厂商云保存 7 天）。信息组织比术语诚实更关键。
- 粒度因产品形态而异。 DIY 用户（自建 NAS 摄像）能读架构细节；托管用户（买订阅套餐）需要的是结论级标签（几档徽标）。一套粒度打天下要么吓退新手要么糊弄行家。
- 可见性义务不等于选择权。 让用户「看见」处理位置与让用户「选择」处理位置是两步；很多产品技术上无法给选择（模型就在云上），此时的义务是如实标注，而不是假装有选项。
怎么落地
- 产品页与包装标注处理位置：用「数据是否离开家庭网络」作为一级事实呈现，附数据类型与留存时长；与分辨率、续航并列成规格表的一行。
- 设置内常驻「数据去向」一览：每类数据（影像、语音、事件、遥测）当前的处理位置与出口，一处可查；架构随配置变化时实时更新。
- 变更随版本明示：固件更新改变了数据流向的，在更新说明首页写明（不是埋在第 7 条），并在设置里留下变更历史。
- 给「本地优先」可验证的凭据：本地声明配独立的验证手段（离线全功能演示、第三方审计标志），否则声明本身沦为新的营销话术。
- 验证办法：随机抽用户问「你的摄像头数据存在哪、处理在哪」——能答到类别级（本地/云/混合+大概去向）的比例是可见性成效；再抽购买场景测处理位置信息对选择的影响权重。