TPN（The Property Network）— 隐私政策

生效日期：2026-06-29

1. 我们是谁以及本声明的适用范围

本隐私政策（"政策"）说明 [LEGAL ENTITY NAME — registered controller entity, to be confirmed]（以 TPN（The Property Network）、"TPN"、"我们"、"我方"或"我们的"名义经营）如何就 TPN 专业房产网络收集、使用、披露、传输及以其他方式处理个人数据——该网络是一个多重房源服务（MLS）与联合代理（co-broking）网络，包含中介机构仪表盘与员工管理、潜在客户开发、客户关系管理（CRM）工具，以及通过我们位于 https://thaipropertiesnetwork.com 的网站、我们的应用程序和我们的应用程序编程接口（合称"服务"）提供的相关功能。

就本政策所述、与 TPN 专业网络相关的个人数据——即代理人、中介机构员工和组织的账户，以及联合代理网络的运营——而言，我们是数据控制者。本政策依据并旨在遵守泰国的 2562 佛历年（2019 年）个人数据保护法（"PDPA"）。

本服务面向在泰国经营的持牌房地产代理人和中介机构以及隶属于这些组织的员工用户。这是一项面向企业（business-to-business）的专业服务。

关于共享基础设施的说明。 TPN、面向消费者的市场平台"BaanMe"以及白标"Agent Websites"运行在同一个共享的技术后端之上。当我们代表运营自有白标 Agent Website 的组织处理个人数据时，该组织为控制者，而我们依据单独的数据处理协议作为其数据处理者；该安排在 Agent Websites 文档和服务条款中说明，而非在本 TPN 政策中说明。

控制者联系方式：

• 控制者：[LEGAL ENTITY NAME — registered controller entity, to be confirmed]
• 注册办公地址：[REGISTERED OFFICE ADDRESS, Bangkok, Thailand]
• 隐私联系方式：[PRIVACY CONTACT EMAIL — e.g. [email protected]]
• 数据保护官（DPO）：[DPO / DATA-PROTECTION CONTACT EMAIL — e.g. [email protected]] （依据 PDPA 第 41 条任命 DPO 一事[under review by the operator]；见第 14 节）

2. 我们收集的个人数据

我们收集下列各类个人数据。每一类别中的具体数据取决于您如何使用本服务。

1. 账户身份与凭据 — 您的姓名、电子邮件地址（唯一）、经哈希处理的密码、电子邮件验证状态，以及内部身份验证标识符（用户/会话 ID、会话令牌、匿名访客标志、令牌版本）。
2. 联合登录（OAuth）数据 — 当您使用 Google 或 Apple 登录时的访问/刷新/ID 令牌、您的提供商账户 ID、所授予的权限范围，以及从您的提供商资料中获取的显示名称和电子邮件。
3. 电子邮件验证与一次性令牌 — 验证与密码重置令牌、组织员工邀请令牌，以及电子邮件提醒确认/退订令牌。
4. 联系方式 — 电话号码、LINE ID、WhatsApp/Telegram 标识符、社交或联系方式 URL，以及组织电话/网站。
5. 代理人/中介机构专业记录 — 员工角色和 RBAC 权限（读取/创建/更新/删除）、组织成员资格、法定公司名称、联系人、邀请码、组织品牌标识，以及订阅套餐（免费/专业/机构）。
6. 房源列表与机密房源数据 — 房源描述、规格、配套设施和图片，以及机密字段：房源所有者的标识符、内部备注、来源链接和单元号；连同租赁/出售定价、佣金和租赁合同条款。
7. 咨询 — 当寻房者联系代理人时：发送者姓名、电子邮件、电话、LINE ID、自由文本消息、语言区域、来源产品，以及感兴趣的房产。
8. 应用内消息/对话 — 消息内容（文本、图片、房产卡片、看房请求、联系人卡片、位置卡片）、参与者、已读/送达水印，以及最后一条消息的预览。
9. 已保存的房产、项目和搜索 — 已保存的房源/项目 ID、已保存的搜索查询字符串，以及搜索订阅筛选条件。
10. 搜索与查询日志 — 搜索查询文本、可选的用户 ID、会话 ID、用户代理（user-agent）、IP 地址、结果元数据和语言。
11. 潜在客户与销售 CRM 联系人 — 姓名、电话、电子邮件、机构名称、角色、营销归因标识符（UTM 参数、gclid/fbclid/ttclid）、引荐来源（referrer），以及 CRM 管道数据（阶段、备注、跟进日期、流失原因）。其中包括从消费者市场平台分配给 TPN 代理人的潜在客户。
12. KYC 身份证件图像 — 在代理人身份验证过程中提交的自拍照和身份证图像，以及提交时间戳。敏感数据——见第 4 节。
13. 护照/机读区（MRZ）身份数据 — 名/中间名/姓、出生日期、护照号码和有效期、性别、国籍、护照图像，以及 MRZ 有效标志，用于预填官方文件。敏感数据——见第 4 节。
14. 个人资料与用户上传的图片 — 头像、房源列表图片，以及博客/内容图片。
15. 评价与评分 — 作者显示名称、评分（1–5）、结构化评分、评价对象（代理人/项目/地区），以及任何评价举报。
16. 产品分析事件流 — 诸如页面浏览、房产浏览、搜索和发起联系等操作的事件，连同匿名 ID、唯一 ID（distinct ID）、可选的用户 ID、会话 ID、路径和引荐来源，应用/设备/屏幕/语言区域/时区/连接详情、原始 IP 地址（以及经哈希处理的 IP）、用户代理（原始和已解析）以及大致地理位置（国家/地区/城市）。
17. 营销归因与广告标识符 — UTM 参数；点击标识符（gclid、fbclid、ttclid、li_fat_id、msclkid、gbraid、wbraid）；引荐来源；首次触达/最后触达归因；以及，在我们的移动应用中，设备广告标识符（在您授予 App Tracking Transparency 权限后）和安装归因上下文。
18. 用于广告转化的哈希 PII — 经 SHA-256 哈希处理的电子邮件、电话、姓名、城市、国家以及经哈希处理的外部用户 ID，用于匹配广告转化（见第 5、7、8 节）。
19. 同意与退出记录 — 您的同意状态 cookie 值（未知/接受/拒绝）、您存储的同意状态和决定时间、分析退出记录，以及您的 App Tracking Transparency 决定。
20. 推送令牌与通知送达记录 — 推送通知令牌、平台、应用品牌和设备 ID，以及通知台账（接收方地址、渠道、状态、提供商消息 ID、负载）。
21. 地理位置 — 精确设备位置（仅当您在我们的移动应用中授予位置权限时）和粗略的、由 IP 推导的位置（国家/地区/城市）。
22. 诊断/崩溃与性能遥测 — 崩溃堆栈跟踪、性能跟踪、应用/操作系统/设备详情，以及请求 ID；在您登录后我们可能会将其与您的身份关联。
23. AI 衍生数据 — 图像风格嵌入、房间/设施分类与反馈、房产去重匹配候选、护照 MRZ 提取。
24. PII 访问审计日志 — 员工访问个人数据的内部记录（被访问的用户、原因、查询哈希、行数和时间）。

我们通过以下方式收集这些数据：来自您（当您注册、创建房源、提交咨询或内容，或上传文件时）；来自第三方（您的 Google/Apple 登录提供商）；以及自动收集（分析事件、日志、cookie、设备信号，以及由 IP 推导的地理位置）。

3. 处理目的与合法依据

依据 PDPA，每一项处理目的都必须基于一项合法依据（第 24 条），其中同意（第 19 条）用于分析和广告，而明示同意（第 26 条）用于敏感数据。下表将我们的目的对应到各数据类别、我们所依据的合法依据，以及保留期限。凡保留期限尚未确定者，均以方括号占位符形式出现，是有待我们审查的待办事项（见第 12 节）。

下文的合法依据判定为初稿立场，有待泰国合资格法律顾问确认。泰国对"正当利益"的解读不如其他某些司法管辖区那样宽泛；凡我们依据正当利益处理之处，我们均保留一份书面的利益平衡评估。

凡依据为合同之处，提供数据是使用相关功能所必需的，不提供该数据您即无法使用该功能。凡依据为同意之处，提供数据是可选的，您可以拒绝或撤回而不会失去对核心服务的访问（您只是不会获得该可选功能，例如分析或广告测量）。

4. 敏感个人数据（PDPA 第 26 条）

某些处理涉及敏感个人数据，PDPA 对其施加了更高的要求保护。在 TPN 上，这包括：

• 代理人 KYC 验证图像 — 您在代理人身份验证过程中提交的自拍照和身份证图像。我们就此处理依据您的明示同意 （确切的第 26 条依据，以及面部图像是否被视为生物识别数据，均为有待法律顾问处理的待办事项——见第 14 节）。
• 护照/MRZ 身份数据 — 仅在您明示同意的情况下收集，于每次提交时获取，用于预填官方文件。

针对这些文件的特定保障措施。 敏感图像（KYC 自拍/身份证和护照图像）存储在一个独立的私有对象存储桶中；它们绝不公开，也绝不被处理成公开的图像变体。内部访问通过一个受访问控制的代理进行路由，该代理以私有、no-store 的缓存方式、在受限内部网络后将其提供。您可以随时撤回同意并请求删除这些文件（见第 11 和 12 节）。

我们不会有意收集其他特殊类别的数据（例如种族或民族出身、政治观点、宗教信仰、健康、性行为或工会成员身份）。请勿在自由文本字段、房源、消息或评价中提交此类数据。

5. Cookie 及类似跟踪技术

我们使用 cookie 及类似技术。非必要的跟踪器在您给予同意之前不会触发。

严格必要（始终开启；无需同意）：

• 会话 cookie — 让您保持登录状态（已签名；SameSite=Lax；生产环境中 Secure；仅限主机）。
• OAuth 状态 cookie — 保护 Google/Apple 登录流程免受跨站请求伪造攻击。
• 同意 cookie（pl_consent） — 存储您的分析/广告同意决定（未知/接受/拒绝），最长保留 1 年。

非必要（仅在您接受后；您可以拒绝或撤回）：

• 匿名 ID 与归因 cookie — 用于分析身份拼接和首次/最后触达营销归因。
• 产品分析 SDK（PostHog） — 第一方产品分析；分析客户端以禁用状态构建，仅在明确"接受"时才激活，且在"拒绝"时事件被丢弃。
• 广告/同意模式标签（Google Consent Mode v2 接线；广告平台测量） — 在授予同意之前默认为拒绝。
• 移动安装归因 SDK 和设备广告标识符 — 在我们的移动应用中，安装归因跟踪和广告标识符受 iOS App Tracking Transparency（ATT） 提示和同等控制的限制；除非您允许跟踪，否则它们不会运行。

您可以随时使用应用/网站中的同意控件（这会重置 pl_consent 决定）、应用内分析退出，以及——在 iOS 上——您设备的跟踪设置，来更改或撤回您的同意。

6. 自动化处理与画像分析

我们以下列方式使用自动化处理：

• 广告转化匹配与重定向 （画像分析；基于同意） — 当您已同意时，经哈希处理的标识符和某些行为事件会与 Meta、Google 和 TikTok 共享，以测量广告转化，并通过这些平台构建受众和进行重定向。您可以随时通过撤回同意来反对此项（第 11 节）。
• AI 图像分类与嵌入 — 房源图片会被自动按房间/设施分类并嵌入，以支持相似房源搜索和图库分组。这不会对您产生法律或类似的重大影响。
• 房产去重 — 一个多阶段匹配器（图像、地理位置、单元号、风格嵌入加上一个模型裁定器）识别可能重复的房源。
• 潜在客户分配 — 消费者潜在客户在按地区范围的基础上广播给符合条件的组织，并由首个响应的代理人原子化地认领。
• OCR/MRZ 提取 — 护照图像通过 MRZ 解析进行读取以预填字段，您在使用前进行确认。

上述运营自动化均不会在没有人工参与的情况下做出对您产生法律或类似重大影响的决定；广告画像分析是主要的画像分析活动，受同意限制且可被反对。我们还会为未同意分析的访客生成一个聚合的、无 cookie 的每日访客哈希，该哈希仅用于聚合计数，不会单独识别您的身份。

7. 我们如何以及为何披露个人数据

我们仅在第 3 节所述目的所必需的范围内，向下列各类接收方披露个人数据。

• 联合代理网络中的其他代理人。 这是 TPN 的核心。您提供用于联合代理的房源——及相关专业信息——对网络中的其他代理人可见，以便他们能够向客户呈现共享库存。机密房源字段（所有者标识符、内部备注、来源链接、单元号）受保密控制约束，不属于公开联合代理展示的一部分；另见服务条款。
• 寻房者和交易对手，您通过咨询、消息和潜在客户分配与之沟通的对象，会收到该互动所必需的联系和消息数据。
• 服务提供商（数据处理者），按我们的指示行事——见第 8 节。
• 广告平台（单独的控制者） — Meta、Google 和 TikTok，以及（在移动端）Branch——仅在您已同意的情况下接收经哈希处理的标识符和转化/归因数据（第 8 节）。
• 运营消息 — 目前，一条包含新用户姓名和电子邮件的新注册通知会被发送到内部 Telegram 频道以供运营感知。我们对此透明披露；这是一项审查中的待办事项，我们正在评估限制或停止它（见第 14 节）。
• 当局、法律和公司事务 — 当法律要求时、为响应合法请求、为保护我们的权利或他人的安全，或与公司交易相关时，我们可能会披露个人数据，在每种情况下均以 PDPA 允许的方式进行。

我们不会出售您的个人数据。

8. 服务提供商、广告接收方和其他第三方

我们聘用下列第三方。对于每一方，凡其为我们的处理者者，我们均致力于达成书面数据处理协议；每项协议的存在和状态都是我们正在确认的待办事项（第 14 节）。若干接收方位于泰国境外——见第 9 节。

处理者（按我们的指示行事）：

• Cloudflare — 对象存储（包括用于敏感图像的私有存储桶）、机器人防护（Turnstile）、基于 IP 的地理定位，以及内容分发。
• PostHog（美国） — 第一方产品分析；接收包括 IP 和大致地理位置在内的分析事件（针对已同意的用户）。
• Resend（美国） — 事务性电子邮件（验证、密码重置、提醒、通知）。
• Sentry — 崩溃诊断、跟踪和性能监控；登录后可能包含身份信息。
• Expo Push（美国） — 推送通知送达。
• DashScope / Alibaba Cloud — Qwen 模型（中国） — 文本和图像嵌入。
• OpenRouter（美国网关） — 用于房源描述、替代文本和图像嵌入的 LLM 网关。
• z.ai / Zhipu — GLM（中国） — 网站构建器聊天和博客/SEO 生成。
• Anthropic / OpenAI（美国） — AI 工具和运营助手（可能附带触及个人数据的只读运营查询）。
• Slack（美国） — 可选的内部运营工具。
• MapLibre / MapTiler / PMTiles — 地图渲染和瓦片。

单独的控制者（依据其各自的隐私政策管理您的数据；在适用情况下受同意限制）：

• Meta（Conversions API）、Google Ads（Enhanced Conversions）、TikTok（Events API） — 仅在您已同意的情况下，接收经 SHA-256 哈希处理的电子邮件/电话/姓名/位置、经哈希处理的外部用户 ID、点击标识符和转化事件，用于广告转化测量和受众。
• Google（登录、Maps/地理编码、Consent Mode/GA 接线）和 Apple（Sign in with Apple） — 用于您选择使用的功能。
• Branch（美国） — 移动安装归因和深度链接；仅在获得 ATT 权限后才共享设备广告标识符。
• Telegram、LINE / WhatsApp — 消息渠道（Telegram 也用于第 7 节所述的运营注册通知；LINE/WhatsApp 用于通知渠道和代理人–客户联系）。

其他第三方： 一家外部订阅/计费提供商处理组织订阅计费（提供商 [BILLING PROVIDER — to be confirmed]）；以及我们后台工具中使用的 SEO 数据源，它们不处理 RealtyTable 用户的个人数据。

9. 个人数据的国际传输

运营本服务涉及将个人数据传输至泰国境外，包括传输至：

• 美国（Cloudflare、PostHog、Meta、Google、Apple、TikTok、Sentry、Expo、OpenRouter、Anthropic/OpenAI、Resend、Slack、Branch）；
• 中国（DashScope/Alibaba — Qwen — 用于嵌入；z.ai/Zhipu）；以及
• 新加坡、泰国和其他地区（LINE）。

泰国没有已公布的充分性（"白名单"）清单。 因此我们不依赖充分性决定。相反，对于每项传输，我们依据 PDPA 第 28–29 条下的适当合法机制，可能包括：在被告知目的地可能无法提供与泰国同等的保护水平之后，您的知情同意；为履行与您的或为您利益的合同所必需；或适当的保障措施，例如标准合同条款（基于 ASEAN 或 EU 范本条款，并经泰国特定义务调整，包括数据进口方的 72 小时违规报告）或具有约束力的公司规则。

每个目的地/供应商所适用的具体机制——以及与欧盟/英国 GDPR（针对欧盟/英国数据主体）或中国 PIPL（针对中国托管的 AI 供应商以及任何中国大陆用户）的任何重叠——是一项我们正在与法律顾问确认的待办事项（第 14 节）。将房源数据传输至中国被视为高度关注事项。

您可以使用第 16 节中的联系方式，请求了解适用于特定传输的机制的更多详情。

10. 我们如何保护个人数据

我们采取与风险相称的组织和技术措施，包括：

• 经哈希处理的密码和已签名的会话令牌；
• 按品牌限定范围、仅限主机的会话 cookie，生产环境中为 Secure；
• 在传输至广告平台之前对个人标识符进行 SHA-256 哈希处理；
• 为敏感图像（KYC、护照）设置的独立私有对象存储桶，它绝不公开，也绝不被处理成公开变体，仅通过受访问控制的代理以私有、no-store 缓存方式在受限内部网络后提供；
• 一个排除原始 IP 和原始用户代理的分析数据库视图，默认的分析读取者角色仅限于该视图；
• 为未同意的分析设置的每日轮换、加盐、无 cookie 的访客哈希，且对于这些事件不存储原始 IP/用户代理；
• 一个内部 PII 访问审计日志；
• 电子邮件登录/注册上的机器人防护（Cloudflare Turnstile）；
• 电子邮件提醒订阅的双重确认（double opt-in）；
• 应用层速率限制；
• 支付 webhook 签名验证和幂等性，且绝不信任返回 URL 参数（服务器到服务器确认）；
• 用于账户擦除的软删除加上计划的硬删除工作进程；以及
• 用于外部供应商调用的传输中加密（HTTPS）。

我们仅描述我们已验证的措施。我们目前不声明对我们的数据存储进行静态加密或多因素身份验证；这些控制的状态，以及我们数据库和存储的物理托管区域，均为待办事项（第 14 节）。我们将在这些控制得到确认后更新本节。

没有任何传输或存储方法是完全安全的，我们无法保证绝对的安全。

11. 您在 PDPA 下的权利

在遵从 PDPA 中的条件和例外的前提下，您有权：

1. 访问您的个人数据并获取副本。
2. 更正不准确、过时或不完整的数据。
3. 删除、销毁或匿名化您的数据。
4. 限制处理。
5. 数据可携带性 — 以机器可读的形式接收某些数据，并在技术可行的情况下将其传输。
6. 反对处理，包括直接营销和广告画像分析。
7. 随时撤回同意，其便利程度与您给予同意时相同。
8. 向泰国的个人数据保护委员会办公室（PDPC）提出投诉。

这些权利目前在实践中如何运作：

• 删除已实现：删除您的账户会触发软删除，随后在 30 天恢复窗口期后进行硬删除，并级联至依赖的个人数据；您的护照数据可以独立删除。
• 反对/撤回同意通过同意控件、分析退出和 iOS App Tracking Transparency 实现；广告转发以接受的同意为前提。
• 更正可通过编辑您的个人资料和记录来实现。
• 访问、可携带性和限制目前尚未提供自助服务。要行使这些权利——或上述任何权利——请通过 [PRIVACY CONTACT EMAIL] 联系我们，我们将通过我们的隐私团队处理您的请求。

我们将毫不迟延地响应，通常在 30 天内。在采取行动前我们可能需要验证您的身份。行使权利是免费的，除非请求明显缺乏依据或过度。

12. 数据保留

我们仅在第 3 节所述目的所必需的期限内保留个人数据，之后我们将其删除或匿名化。我们目前适用的具体期限：

• 账户数据 — 直至删除；先软删除，然后在 30 天恢复窗口期后硬删除。
• 同意决定 — pl_consent cookie 最长 1 年；同意状态保留在您的账户记录中。
• 会话和验证令牌 — 直至其到期（令牌 TTL）。
• 推送令牌 — 直至撤销（登出或取消注册）。
• 护照/MRZ 数据 — 直至您删除该数据或账户，或达到已配置的最长保留期限（以较早者为准）；系统会先清除存储再删除记录，失败任务保持可重试。

对于其他类别——房源、咨询、消息、潜在客户/CRM、评价、搜索与查询日志、诊断、审计日志，以及分析事件流（按月分区，其生命周期尚未确定）——我们尚未最终确定保留计划。这些以方括号占位符的形式出现在第 3 节的表格中，是我们正在与法律顾问一起完成的待办事项（第 14 节）。凡未确定期限之处，我们会在您的账户处于活跃状态且目的持续存在期间保留数据，并定期审查。

13. 儿童

本服务面向专业用户——持牌房地产代理人和中介机构员工——并非面向儿童。我们建议专业账户的最低年龄为 [18 — to be confirmed]，并且在 PDPA 要求的情况下，我们不会在未经父母或监护人同意的情况下故意收集低于适用年龄的儿童的个人数据。最低年龄立场以及是否需要任何年龄验证步骤均为有待法律顾问处理的待办事项（第 14 节）。如果您认为某名儿童向我们提供了个人数据，请联系我们，我们将采取适当措施。

14. 审查中的待办事项

为求透明，以下事项尚未最终确定，正在与泰国合资格法律顾问确认。它们不会减损您的权利：

• 注册法律实体/控制者名称、注册地址、隐私联系方式，以及依据 PDPA 第 41 条的 DPO 任命（鉴于大规模行为监控和敏感数据处理）；
• KYC 身份证/自拍图像（包括面部图像是否属于生物识别）和护照/MRZ 数据的敏感数据（第 26 条）依据和分类；
• 每个美国、中国和新加坡目的地的跨境传输机制，以及任何 GDPR/英国 GDPR 或 PIPL 重叠；
• 大多数数据类别的保留期限和分析事件分区生命周期；
• 我们数据存储的静态加密状态、多因素身份验证，以及物理托管区域；
• 外部订阅计费提供商；
• 最低年龄/儿童立场以及是否需要年龄门槛；
• 与每个供应商的数据处理协议的存在和范围；以及
• 包含姓名和电子邮件的运营性 Telegram 注册通知——是限制（例如仅内部、最小化）还是停止它。

15. 数据泄露

如果发生个人数据泄露，我们将依据 PDPA 第 37(4) 条行事：我们将毫不迟延地，并在可行情况下，在察觉泄露后 72 小时内通知 PDPC（如因不可避免的原因无法满足该期限，则不迟于 PDPA 允许的期限，并附理由）。如果泄露可能导致您的权利和自由面临高风险，我们还将毫不迟延地通知您并描述缓解步骤。

16. 联系我们和投诉

如有任何隐私问题或要行使您的权利：

• 隐私联系方式： [PRIVACY CONTACT EMAIL — e.g. [email protected]]
• 数据保护官： [DPO / DATA-PROTECTION CONTACT EMAIL]
• 控制者： [LEGAL ENTITY NAME — registered controller entity, to be confirmed]
• 注册办公地址： [REGISTERED OFFICE ADDRESS, Bangkok, Thailand]

如果您认为我们的处理违反了 PDPA，您还有权向泰国的**个人数据保护委员会办公室（PDPC）**提出投诉。

17. 本政策的变更

我们可能会不时更新本政策。我们将以新的生效日期发布更新后的版本，并且在变更属于重大变更时，采取合理步骤通知您（例如通过电子邮件或应用内通知）。在更新生效后您继续使用本服务，即在法律允许的范围内构成对更新后政策的认可；凡法律要求重新取得同意之处，我们将予以取得。

生效日期：2026-06-29