我们碰你们的数据，
碰哪些、碰多深、怎么退

这一页不讲技术，只讲三件事：我们收什么、谁能看到、怎么删掉。业委会最该怕的不是我们收数据，是我们收了什么却说不清。所以先写清楚。

一句话结论

我们只收三样：你是谁、你住哪个小区、怎么联系你。
不收身份证号，不收人脸，不收银行卡，不收精确门牌号。

业主自己扫码，自己填，自己授权。我们不代填，不从物业台账里导，不买任何名单。

一 · 收什么，不收什么

我们收这三样

我们不收

信息	用来干什么	不收会怎样
身份类型	决定你进去看到哪一页。业主看自己的账，物业看工单，业委会看全量公示。不同身份不同权限，这是系统的根。	所有人看到同一页，等于没有权限，账也就不敢公示。
小区名称	把账挂到具体小区上。同一个业主在不同小区有两套房，就分别归到各自小区。	数据混在一起，谁也算不清自己小区那本账。
联系方式	只在两种时候用：一是你有事找我们，二是核账结果需要通知你。	查完账找不到人，等于白查。

《个人信息保护法》第六条写的是「最小必要」——收集个人信息应当限于实现处理目的的最小范围。我们按这条做，不是按「能收多少收多少」做。

角色	能看到	看不到
业主本人	只看自己自己小区的公共收益公示、自己的账户与工单记录	其他业主的任何信息
商户	只看自己自己的进场合同、结算记录	小区账本、业主信息
物业	本小区范围本小区工单、维修、支出明细	其他小区数据、业主联系方式
业委会	本小区范围本小区收支公示、账户余额、汇总报表	业主个人身份明细
街道社区	辖区汇总辖区内各小区汇总数据、上报口径	任何一户的具体信息
我们的内部人员	按工单授权处理具体问题时临时开通，处理完关闭，全程留痕	无授权不得查看任何用户数据

一句话：越往上看到的越是汇总，越往下看到的越是自己。没有人能看到全部明细，包括我们自己的老板。

存在国内服务器，不出境

数据存放在境内云服务器，不做跨境传输。数据库对外不开放，只有应用层能读，读操作全部记日志。

传输加密，存储脱敏

传输走 HTTPS。手机号在数据库里加密存储，后台页面默认打码显示，需要完整号码时必须单独申请并留痕。

不外卖，不共享，不做画像

不向任何第三方出售、出租、交换用户数据。不用这些数据做广告投放画像，不做用户行为变现。

随时可删，删就删净

发一封邮件到 tokendock@qq.com，写清小区和联系方式，说明要删除。七个工作日内删除完成并回信确认。不需要理由，不需要违约金，不影响已交付的账。

合作结束，数据全留给业委会

如果合作中止，已经做出来的账本、合同清单、核对记录，全部整理成文件移交业委会，我们不扣留，不用来谈条件。

《民法典》第二百八十二条建设单位、物业服务企业或者其他管理人等利用业主的共有部分产生的收入，在扣除合理成本之后，属于业主共有。

《民法典》第九百四十三条物业服务人应当定期将服务事项、负责人员、质量要求、收费项目、收费标准、履行情况，以及维修资金使用情况、业主共有部分的经营与收益情况等以合理方式向业主公开并向业主大会、业主委员会报告。

《个人信息保护法》第六条处理个人信息应当具有明确、合理的目的，并应当与处理目的直接相关，采取对个人权益影响最小的方式。收集个人信息，应当限于实现处理目的的最小范围。

《个人信息保护法》第十三条取得个人同意，可以处理个人信息。业主自己扫码填写，就是本人的同意，我们不用「默认同意」，不做「捆绑授权」。

《个人信息保护法》第四十七条个人有权要求删除其个人信息。我们把这条件做成一个邮件就能触发，不需要走流程、不需要审批。

情况	我们的处理
数据泄露	我们第一时间书面告知涉及的业委会和业主，说明泄露范围、原因、已采取的措施，并承担相应法律责任。不隐瞒、不拖延、不甩锅给技术。
用错数据	如果因为我们的原因导致业主权益受损，我们承担赔偿责任，不推给物业、不推给系统。
业委会担责吗	业委会只是同意我们在小区做核算这件事，不接触数据、不管理数据、不承担数据处理责任。数据处理的责任在我们这边。

还有三句实话，一起写在这里。

要更细的说明，直接问。

扫码选「业委会」，或发邮件 tokendock@qq.com。
可以要求我们出一份针对你们小区的数据处理说明。