这样，广告主A没有暴露自己真正的消费者ID；媒体B也没有透露自己这些ID背后的属性；第三方C，帮助A和B完成了数据匹配，也计算出A消费者的共性特征，却也不知道这些特征具体是什么。只要C信守诚信，不泄露A交给他的加密的消费者ID，那么整个过程，就是相当安全的。

这就是隐私计算在数字营销上的一个非常典型且重要的应用。

—对交集ID进行保密的进一步优化—

基于可信硬件技术的安全屋

上面的“匿踪安全求交”需要加入很多“噪声”，同时对第三方的计算能力的要求很高。而且，还要确保第三方是诚实可信的。因此，在实践中，采用这种方法并不多。大部分时候，广告主和媒体都怕麻烦，媒体会直接在自己的服务器内辟出一个所谓的“安全屋”，然后让这个安全屋扮演上面第三方C的角色，发挥安全求交或是逆踪求交的作用。

这是目前最常见的实现方式，但谈不上小标题所说的优化，只能算是简化。这种简化，多多少少有点“自欺欺人”的味道。

当然，这种方法也不能说一无是处，媒体会强调，广告主的数据会在“可信硬件技术”之下被隔离保护起来，对广告主数据的操作，也是在这些硬件内进行的，并不会被泄露到这些硬件之外。

可信硬件技术，也在行业中被俗称为“数据安全岛”。

可信硬件技术主要解决下面的问题：

1. 数据独立（data separation）：存储在某个分区中的数据不能被其他的分区读取或篡改。也就是说，广告主用于安全求交的ID，是不会被放到除可信硬件之外的地方的。

2. 时间隔离(temporal separation)：公共资源区域中的数据不会泄露任意分区中的数据信息。计算资源，例如CPU，也有专门隔离的时间切片，来处理可信硬件中的数据。

3. 信息流控制（Control of information flow）：除非有特殊的授权，否则各个分区之间不能进行通信。

4. 故障隔离（Fault isolation）：一个分区中的安全性漏洞不能传播到其他分区。如果媒体严格采用可信硬件技术及管理，确实能够确保广告主提供的ID不被挪作他用。当然了，媒体是不是都能严格自律，我们可以看他们获得的执行标准的认证，比如《信息安全技术 可信执行环境服务规范》认证之类。不过认证这东西也不能100%全信，具体哪个媒体合格，哪个媒体不合格，就不在本文讨论的范围了。

全匿名下的安全求交（尚无定论）

上面的方法，对那些“较真”的广告主而言，可能是不可接受的。有些广告主，一定要求自己上传的ID不能被媒体知晓，那怕是加密后，并且媒体保证只用这些ID做撞库也不行。因此，他们迫切需要知道，是否有比“匿踪安全求交”更优化的方法解决这个问题。

目前，隐私计算的技术解决方案提供商可能已经找到了解法。这个解法，颇有些“釜底抽薪”的味道。简单讲，任何求交的过程，都必然会导致交集ID被求交的双方共同掌握（安全求交），或是被第三方掌握（匿踪安全求交）。那么，如果能够不做求交，就实现跟求交一样的效果，把广告主ID和媒体ID匹配的用户的属性直接计算出来，就不存在广告主的消费者ID被媒体知晓的情况了。

在2022年的一个新闻稿中，某个数据科技公司提到，他们的技术能够：“无需安全求交、不泄露交集ID、在全匿名数据集下进行联邦学习的技术难题，真正符合《数据安全法》和《个人信息保护法》的要求，进一步加强了用户数据安全和隐私保护。”

真的可以吗？我的客户和我见过的媒体都还没有采用，所以，我暂时还不能给出肯定的回答。但看到这个消息，至少让我觉得这个方向是有可能的。

ID求交（撞库）和可信硬件环境下的数字营销应用场景

广告主的消费者ID和媒体的用户的ID打通，本质上就是广告主私域用户的ID，和媒体的公域人群的ID的打通。一旦打通，很多数字营销的应用就变得可能。

应用一：Retargeting

Retargeting：广告主把那些在自己的私域中留下了各种行为和痕迹，但却没有实现最终转化的人的ID收集起来，然后把这些ID跟媒体的ID做安全求交，之后在媒体上给这些人投放定向广告。比如，某次大促，广告主A花了一个亿，引流到自己的私域小程序上，并获得了1000万个OpenID。然后，这1000万个OpenID中，有100万个发生了购买行为，剩下900万个没有购买。于是，广告主A又找腾讯，把这900万OpenID跟腾讯广告做安全求交，随之对这900万人进行定向的朋友圈广告投放。

应用二：Look-alike

跟Retargeting其实本质没有什么区别，只是多了一个步骤，即look-alike的步骤。还是上面那个例子，广告主A觉得对900万个没有购买的投放一次广告，人数有点少。于是就找腾讯广告说，我跟你安全求交后，请你帮我找到跟这100万购买人群类似的更多的人。于是腾讯广告基于这100万购买人群的共性特征，帮助广告主A找到了3000万个跟这100万人类似的人。随之对这3900万（3000万look-alike的人，加上900万retargeting的人）人进行广告投放。

应用三：基于一方、二方数据的联合人群圈选

这个是一个非常有意思的应用，是目前比较高端的应用。媒体可能只对部分大型广告主开放该功能。具体实现如下：

1. 广告主将自己的消费者ID，以及每个ID对应的属性标签，在加密后，上传到媒体提供的可信硬件环境中。
2. 媒体与这些ID进行安全求交。
3. 求交之后，能够匹配到的ID，媒体也把这些ID对应的媒体端所拥有的属性数据，上传到该硬件环境中。
4. 此时，这个硬件环境中，也就是数据安全岛中，就集合了交集ID，以及每个ID所对应的广告主的一方属性标签，和媒体的二方属性标签。
5. 媒体基于这些ID和属性标签，以及基于这个可信硬件环境，为广告主提供一个圈选人群的界面。广告主在这个界面中，根据自己的需求，基于一方、二方的属性标签，进行人群圈选。比如，广告主A，跟媒体通过安全求交，匹配了1000万人。这1000万人，广告主自己的标签是过去一年内的购物数据和私域内的互动行为数据。而媒体端，则是这1000万人的社会属性和兴趣爱好数据。基于联合人群圈选的解决方案，广告主A可以选择，在过去3个月内购买了某类商品，且兴趣爱好是旅游的一线城市的20-30岁的女生。
6. 圈选之后，媒体基于圈选结果得到的ID，进行广告投放，或是按照广告主A的要求做其他营销触达。或者，广告主也可以先基于自己的一方数据标签，圈选出人群，然后再看这些人群的二方属性是什么。从而更好地洞察自有消费者。比如，广告主A基于自己的一方数据，圈选出3个月内购买某类商品的人群，然后再在这个界面上要求媒体对这些做画像。媒体会提供这些人的二方属性的统计报告。

应用四：数据下发

所谓数据下发，是指媒体基于ID求交之后，将个体级别的数据传输给媒体。最典型的，就是“会员通”。

广告主将自己的会员ID加密后，上传给电商平台提供的“会员通”服务指定的可信硬件环境中（例如，阿里的聚石塔、京东的云鼎），ID在这里进行求交。求交之后能匹配上的ID的会员相关的数据，会传输给广告主。

应用五：Leads打分或决策判断

指在ID求交之后，第二方或者第三方为广告主提供是否应该为该ID进行某项营销行为的判断决策。比如，汽车广告主，将收集到的线索（leads）ID，通过安全求交的方法与运营商的数据相匹配。匹配后，运营商提供一个线索价值的打分返回给广告主。运营商为什么能做这样的事情，在这篇文章就不介绍了，如果感兴趣，欢迎上我的线下课《数据化增长：数据驱动的新数字营销》（点击查看具体课程介绍）。

安全求交之外的隐私计算应用

安全求交并不是隐私计算在数字营销中的唯一应用。我们前面讲过，安全求交本质上是“纵向联邦学习”。同样，“横向联邦学习”在数字营销中也有应用。

比如，我们如果有1000万个汽车购买者的私域数据样本，就能计算出，购车人在私域中做出的哪些行为（或行为的组合），就意味着他们要买车了。这个计算的结果，就是“购车预测模型”。

但可惜，每个汽车主机厂最多的样本也只有200万个。于是多个主机厂联合起来，他们不分享任何的ID给彼此（不做安全求交），而是各自基于自己的样本先计算一个“粗糙的”购车预测模型。然后各自把自己计算的模型结果上传到一个第三方，第三方基于这些车厂的模型，整合出一个新的模型。并把这个新的模型下发给各个主机厂，再次做计算，以优化这个模型的“梯度”。

至于什么是梯度，就不解释了，太技术。你可以简单理解为，就是对这个模型里面的参数什么的进行进一步优化。

这样的过程多来几遍，直到这个模型靠谱了，就能够给每个车企使用了。

你看，每个车企没有把自己的任何样本公开出去，却都得到了靠谱的购车预测模型。

所谓横向联邦学习，这里的横向，就是指，参与计算的各方，他们拥有的样本的ID并不相同，但是这些ID的属性类型是相同的，比如购买者都有在私域中的各种同样的行为类型（查看车型、查看购车金融、询问客服之类的，每个车企的私域都有这些相同的交互功能）、同样的社会属性类型等。而纵向联邦学习，则是样本的ID相同，而ID背后的属性不同。

讲到这里，终于把我想讲的基本上讲完了。不过，还有一些问题我没有能在这里进一步阐述，比如，这些应用场景具体起到什么作用，对不同行业的意义是什么，又如，隐私计算在数字营销中的合法合规性问题。这些内容，就不再写在回答中了，字数不够。大家听我的大课堂了解。

2）CDP导入非会员数据的应用场景有哪些？

Question：

CDP有比较大的一个场景就是应对非会员的。CDP里面的C，是Customer，但实际上跟CRM的C的Customer真不一样。CRM基本上还是会员，但是CDP的C，其实更是Consumer。

CDP的Consumer，也不是仅仅指购买了你的商品的才叫consumer（更不是必须成为会员）。这里的consumer，是指在你能获取数据的数字触点上所有留下数据的消费者（用户），无论他是否买了你的产品。

所以，CDP的非会员数据的应用场景，是非常广泛的。

现在，回到你的问题的正题上。

CDP导入非会员数据。既然是非会员，那么ID可能不是实名信息的可能性大。也就是可能没拿到电话号码。

不过，不妨碍，只要是数字触点，尤其是私域数字触点，都能有ID，例如，微信生态的OpenID和UnionID，网站端有cookie，APP端有OAID，DeviceID，IDFA，以及CAID……

这些数据背后，全部都可以拿这些用户的行为信息。

基于ID和行为，最常见的应用场景，就是在对应的触点生态内进行的消费者运营。其中以微信私域的运营最为常见。

比如，在小程序中，用户只要进入你的小程序，你就能拿到用户的openID，你可以用这些OpenID及背后用户的各种行为，进行人群细分。然后可以在微信朋友圈中基于细分人群追投朋友圈广告。同样，基于这些OpenID，还可以在腾讯广告生态中的其他广告上做圈选投放。

没错，虽然没有年龄性别等个人画像，但是有这些用户的行为数据。此外，这些数据还是可以上传到对应的CDP（比如腾讯广告如翼）去做人群画像的。

另外，在针对性的内容发送和推荐上，这些数据也很有价值。例如，APP端，这些数据可以用来做千人千面的展示。

你的问题中举出的非会员的例子是订单数据。所以，我猜测你更希望看到的是电商相关的场景。在电商端，如果有订单，那么我认为就拿到电话号码了。虽然不是会员，电话号码+订单信息，作为营销的关键数据，价值还是很大的。例如，做look-alike投放，就特别需要这些数据；目前的很多效果类投放，尤其是竞价投放，这些数据对提升投放ROI的价值也很大。

此外，只要有订单数据，其中电话号码又可以上传媒体端DMP，给你做人群画像（个体画像现在不可以了），这样实际上还是可以看到性别年龄兴趣等大致的情况的。

而且电话号码是一个关键性的ID，可以粘合多个触点上同一个用户的数据，这样就能整合消费者的数据。我个人其实不是特别在意是否消费者一定要成为会员，但却总是建议我的客户一定要拿到电话号码。目的真不是为了发个短信，更不是为了打骚扰电话。而是能通过电话号码做数据的整合。

也就是说，虽然不是会员，但是有电话号码的价值很大。

我在这个知识星球里，前面有录视频，介绍手上有电话号码的时候，应该怎么做营销，你可以往前翻回去，看一看。

当然，能成为你的会员，是最理想的状态。