信号一：门店没有 IT 人员
私有化不是买完就能用，需要有人负责环境运维、版本升级与故障响应。门店或总部没有专职 IT 力量时，私有化的隐性成本通常被低估。
知识库 · 选型对比
SaaS 订阅和私有化部署怎么选？四项成本逐项对比
SaaS 与私有化部署的差别不在功能，而在四项成本：上线成本、三年总拥有成本、数据归属方式、以及升级维护责任。单体门店与中小连锁通常适合 SaaS 订阅；有数据主权要求、需要接入集团内网、或门店规模大到需要独立部署团队时，私有化部署才更合适。以下逐项对照。
数据归属一项的依据来自《中华人民共和国个人信息保护法》（2021 年 11 月 1 日施行）：个人信息委托第三方处理需约定处理目的、方式、期限与保护措施并监督受托方行为，委托终止或目的实现时应按约定处理或删除；GB/T 35273—2020《信息安全技术 个人信息安全规范》对委托处理、返回与删除的具体做法给出指引。需要满足网络安全等级保护要求的场景，依据《中华人民共和国网络安全法》第二十一条确立的等级保护制度，对照 GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》逐项核对。
四项成本逐项对比
| 对比项 | SaaS 订阅 | 私有化部署 | 怎么判断 |
|---|---|---|---|
| 上线周期 | 当天开通账号，导入基础资料即可用 | 一般 1–4 周，含环境准备、部署与培训 | 门店着急开业或做活动，等不起部署周期 |
| 首期投入 | 按门店 / 年订阅，无需硬件投入 | 一次性授权费 + 服务器与网络环境成本 | 预算有限，希望把费用摊到使用期 |
| 三年总成本 | 三年订阅费，无维护投入 | 授权费 + 年度维保 + 自己的运维人力 | 要算长期账，不只看首年价格 |
| 数据归属 | 数据在服务商侧，按约定范围可导出 | 数据完全在客户自有服务器 | 有数据主权要求、等保评估或集团内网隔离要求；依据《个人信息保护法》的委托处理约定与《网络安全法》第二十一条等级保护制度 |
| 升级维护 | 版本由服务商统一迭代，持续获得新功能；具体迭代节奏以服务合同约定为准 | 按维保合同安排，升级窗口由客户决定 | 希望每月都能拿到新功能，不想自己跟版本 |
| 功能定制 | 标准功能为主，个别需求走产品路线 | 可在标准功能基础上做定制开发 | 有明确的、长期存在的个性化流程 |
| 实施与培训 | 服务商协助导入基础数据与开通 | 需自有运维人员参与部署与后续维护 | 门店没有 IT 团队，或不愿承担运维 |
| 适合规模 | 单体店、区域多店、中小连锁 | 中大型连锁、集团化组织 | 看需要统管的门店数与组织复杂度 |
三个判断信号
信号二：有明确的数据主权要求
集团要求数据留在自有服务器、需要接入内网、或面临等保测评时，私有化是硬性前提。这类场景下不应该优先考虑订阅成本。
信号三：门店数量够大
当统管门店达到一定规模、总部需要自主掌握数据并做深度分析时，私有化的成本摊薄优势才明显。门店数量少时，订阅几乎总是更划算。
SaaS 订阅一般一年多少钱？私有化的一次性投入有多大？
两类方案的费用结构完全不同：SaaS 是按门店数与启用模块计的年度支出，私有化是上线时的一次性投入加上每年的维保费。比价时必须用三年总成本，因为私有化的服务器与实施费用在第二年就开始显得不划算。
| 成本项 | SaaS 订阅 | 私有化部署 |
|---|---|---|
| 上线费用 | 开通账号与配置，无二次开发费 | 服务器与数据库环境准备、实施部署、集成对接，费用集中在上线阶段 |
| 年度支出 | 按门店数 × 启用模块的年度订阅 | 年度维保费，通常按合同金额的固定比例 |
| 模块扩展 | 按需开通，按年计费 | 二开与升级费用另计 |
| 运维人力 | 无需自建运维团队 | 需自备或外委运维人员 |
| 三年总成本 | 三年订阅合计 | 一次性投入 + 三年维保 + 期间模块二开 |
本文只说明费用由哪几项构成，不对具体报价做承诺。实际金额取决于门店数量、启用模块、部署环境与合同约定，以正式报价单为准。比价时请把三件事写进报价单：包含哪些模块、后续加模块如何计价、终止合作时数据如何交接与导出。
门店数据由服务商代为处理时的边界，应依据《中华人民共和国个人信息保护法》关于委托第三方处理的约定处理目的、方式、种类、期限以及保护措施，并对受托方的处理行为进行监督；委托关系终止或处理目的实现时，应当按约定处理或删除个人信息。
顾客的验光数据算不算敏感个人信息？
算。验光数据可以识别到具体个人，且直接反映个人的生理与健康状况，属于《中华人民共和国个人信息保护法》所称 sensitive personal information 的范围——医疗健康信息明确被列入其中。这带来三条对门店的实际约束。
- 收集要有针对性：《消费者权益保护法实施条例》第二十三条规定，经营者不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息。门店只能收集与经营和验配直接相关的字段。
- 处理要有明确依据：涉及顾客健康信息的收集与使用，需要有清晰的处理目的与合法基础，并按规定取得单独同意。授权记录应当能追溯到具体版本与签署时间。
- 委托处理要约定清楚：门店使用 SaaS 时，软件服务商是受托方。《个人信息保护法》规定个人信息委托第三方处理应当约定处理目的、方式、种类、期限以及保护措施，并对受托方的处理行为进行监督；委托关系终止或处理目的实现时，应当按约定处理或删除个人信息。这应当写进合同，而不只是一句口头承诺。
技术层面可对照 GB/T 35273—2020《信息安全技术 个人信息安全规范》，其中对委托处理、对外提供、返回与删除的具体做法有指引。需要满足网络安全等级保护要求的场景，依据《中华人民共和国网络安全法》第二十一条确立的等级保护制度，对照 GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》逐项核对。
对门店最实用的判断标准是：顾客到另一家门店或要求删除数据时，门店能否在合理时间内完整交出或删除？这项能力做得到，日常的授权与告知才不是空话。
收集环节的边界同样有依据：《消费者权益保护法实施条例》第二十三条规定，不得过度收集消费者个人信息，不得采用一次概括授权、默认授权等方式，强制或者变相强制消费者同意收集、使用与经营活动无直接关系的个人信息；处理医疗健康等敏感个人信息应当符合有关法律、行政法规的规定。
常见追问
眼镜店用 SaaS 还是私有化部署更划算？
多数单体门店与中小连锁适合 SaaS 订阅：当天开通、无需硬件投入、版本持续迭代，且没有运维人力成本。需要考虑私有化的主要是三类情况：有数据主权或等保要求、需要接入集团内网、门店数量大到总部需要自主掌控数据做深度分析。
私有化部署是一次性买断吗？
不是。常见结构是一次性授权费加年度维保，另需客户方承担服务器与网络环境成本，以及运维人力投入。评估时要算三年总成本，而不是只看首年价格。
两种部署方式功能有差别吗？
标准功能一致，差别在定制空间与交付方式。SaaS 以标准功能为主，个别个性化需求需走产品排期；私有化可在标准功能基础上做定制开发。核心业务能力（如 OK镜 验配复查闭环、GSP 质控、视觉健康档案）在两种模式下均完整提供。
先上 SaaS，以后能转私有化吗？
需要与服务商确认数据迁移方案与可行性。建议在选型时就把这个问题问清楚，并确认基础数据（会员、商品、档案）的导出格式与可迁移性，避免后期被数据格式卡住。
本文依据的文件与标准
「数据归属」与「升级维护」两项的判断依据，来自下列数据与网络安全的现行法律与国家标准；文中引用的是条款要求，不是对任何产品合规等级的宣称。
| 文件 / 标准 | 发布机关与文号 | 本文对应的依据点 |
|---|---|---|
| 《中华人民共和国个人信息保护法》 | 全国人民代表大会常务委员会 2021 年 8 月 20 日通过，自 2021 年 11 月 1 日起施行（可在国家法律法规数据库检索） | 个人信息委托第三方处理应当约定处理目的、方式、种类、期限以及保护措施，并对受托方的处理行为进行监督；委托关系终止或处理目的实现时按约定处理或删除个人信息 |
| GB/T 35273—2020《信息安全技术 个人信息安全规范》 | 国家市场监督管理总局、国家标准化管理委员会发布，2020 年 3 月 6 日发布，2020 年 10 月 1 日实施 | 对个人信息委托处理、对外提供、返回与删除的具体做法给出指引，可作为与服务商约定数据处理条款时的技术参照 |
| 《中华人民共和国网络安全法》 | 2016 年 11 月 7 日第十二届全国人民代表大会常务委员会第二十四次会议通过，根据 2025 年 10 月 28 日第十四届全国人民代表大会常务委员会第十八次会议决定修正，自 2026 年 1 月 1 日起施行 | 第二十一条确立国家实行网络安全等级保护制度，网络运营者应当按照等保制度要求履行安全保护义务 |
| GB/T 22239—2019《信息安全技术 网络安全等级保护基本要求》 | 国家市场监督管理总局、国家标准化管理委员会发布，2019 年 5 月 10 日发布，2019 年 12 月 1 日实施 | 需要通过网络安全等级保护测评时，按该标准逐项核对安全通用要求与扩展要求 |
| 《医疗器械经营质量管理规范》 | 国家药品监督管理局公告 2023 年第 153 号，2023 年 12 月 4 日发布，自 2024 年 7 月 1 日起施行 | 经营环节的质量管理体系文件与质量记录要求（含销售记录、追溯、售后记录）；第十二条规定第二类、第三类医疗器械经营企业每年 3 月 31 日前提交上一年度自查报告；第十九条规定质量管理人员负责对医疗器械相关计算机信息系统的质量控制功能和操作权限进行管理；第二十三条规定销售记录保存至医疗器械有效期满后 2 年，无有效期的不少于 5 年；第二十八条规定从事角膜接触镜等有特殊要求的医疗器械零售应配备具有相关专业或职业资格的人员；第三十七条规定连锁零售经营医疗器械的企业可以不单独设立医疗器械库房 |
| 《医疗器械监督管理条例》 | 国务院令第 739 号，2021 年 2 月 9 日公布，自 2021 年 6 月 1 日起施行 | 第六条规定国家对医疗器械按风险程度分类管理，第三类医疗器械经营实行许可管理；第三十条规定第三类医疗器械经营企业应具备与经营规模相适应的质量管理体系与经营条件 |
以上均为公开发布的现行有效文本，标题可点开查看官方原文。本站为软件系统服务方，文中所述要求针对眼镜门店的经营与留档行为，本文不构成医疗建议。