BaanMe 隐私政策

生效日期: 2026-06-29

---

1. 引言与适用范围

本隐私政策说明 [LEGAL ENTITY NAME — registered controller entity, to be confirmed]（"BaanMe"、"我们"或"我们的"）在您使用 BaanMe 消费者房产市场（包括我们位于 https://baanme.com 的网站以及我们的 iOS 和 Android 移动应用程序，合称"本服务"）时，如何收集、使用、披露、传输、保留和保护个人数据。

BaanMe 是一个面向消费者的市场，用于浏览和发现泰国可供租赁或购买的房屋。它让您可以保存搜索和房源、设置新匹配提醒、向房地产经纪人发送咨询、在应用内与经纪人发消息，并通过第三方支付服务提供商支付某些与房产相关的水电及电信账单。

本政策依据泰国 《个人数据保护法》佛历2562年（公元2019年）（"PDPA"）发布。如果您依据其他法律也享有相关权利（例如，若您在欧盟/英国，则适用欧盟/英国 GDPR；若您在中国大陆，则适用中华人民共和国《个人信息保护法》），可能会适用额外的保护措施；[counsel to confirm the operator's position on GDPR/UK GDPR and PIPL overlap]。

数据控制者。 此处所述个人数据的数据控制者为 [LEGAL ENTITY NAME — registered controller entity, to be confirmed]，一家在泰国注册成立的公司，注册办事处位于 [REGISTERED OFFICE ADDRESS, Bangkok, Thailand]。

请将本政策与我们的服务条款一并阅读。如果您不同意本政策，请勿使用本服务。

---

2. 我们收集的个人数据

我们收集以下类别的个人数据。并非每个类别都适用于每位用户；我们收集的内容取决于您如何使用本服务。

• 账户身份与凭证 — 您的姓名、电子邮件地址（必须唯一）、经过安全哈希处理的密码、电子邮件验证状态，以及内部账户/会话标识符和令牌。如果您使用访客/匿名浏览，则包括一个匿名标记以及能在您日后注册时将您的活动关联到真实账户的标识符。
• 联合登录（OAuth）数据 — 当您使用 Google 或 Apple 登录时：提供商账户标识符、OAuth 令牌和授权范围，以及您的提供商资料中包含的姓名/电子邮件。
• 验证与一次性令牌 — 电子邮件验证令牌、密码重置令牌，以及用于电子邮件提醒订阅的确认/退订令牌。
• 联系方式 — 您提供的电话号码、LINE ID 以及其他消息/联系标识符，以便经纪人联系您或我们向您发送通知。
• 向经纪人的咨询 — 您的姓名、电子邮件、电话、LINE ID、您发送的自由文本消息、相关房产、您的语言，以及来源界面。
• 应用内消息与对话 — 您与经纪人交换的消息内容（文本、图片、看房请求、联系名片、位置卡片）、对话参与者，以及已读/送达标记。
• 已保存的房产、项目和搜索 — 您保存的房源和项目、您保存的搜索查询，以及您为新匹配提醒订阅设置的筛选条件和频率。
• 搜索与查询日志 — 您的搜索词、关联的会话标识符、您的用户代理（user-agent）、您的 IP 地址、结果元数据，以及所使用的语言。
• 资料与上传的图片 — 您的头像以及您上传的任何图片（例如，您在对话中附加的图片）。
• 评价与评分 — 当您对经纪人、项目或区域进行评价时：您的显示名称、评分和评价文本。
• 财务/账单支付数据（敏感 — 见第 5 节） — 当您使用账单支付功能时：账单金额和币种、收款方代码和类别、账单参考号和条形码、账单上的客户姓名、OCR（文本识别）输出、扫描的账单图片，以及支付服务提供商的交易参考（发票号、收费参考、支付令牌、托管支付页面 URL）。
• 护照/机器可读区（MRZ）身份数据（敏感 — 见第 5 节） — 如果您使用读取护照的文档预填功能：您的姓名、出生日期、护照号码和有效期、性别、国籍、护照图片，以及一个有效性标记。此项仅在征得您明确同意后收集。
• 产品分析事件流 — 描述您如何与本服务互动的事件（例如，页面或屏幕浏览、房产浏览、搜索和联系操作），以及匿名标识符和账户标识符、会话标识符、页面/路径和来源页（referrer）、您的设备、屏幕、区域设置、时区和连接信息、您的 IP 地址（及其哈希形式）、您的用户代理（及其解析形式），以及大致地理位置（国家、地区、城市）。此类数据的收集和使用受您的同意选择约束（见第 4 节和第 9 节）。
• 营销归因与广告标识符 — 活动参数（如 UTM 标签）、广告点击标识符（如 gclid、fbclid、ttclid）、来源页和着陆页，以及在移动应用上的安装归因数据，并且——仅在您于 iOS 上授予应用追踪透明度（App Tracking Transparency）权限后——通过我们的归因服务提供商获取您的设备广告标识符（IDFA）。
• 用于广告转化衡量的哈希化 PII — 对诸如您的电子邮件、电话、姓名和城市/国家等标识符进行的不可逆（SHA-256）哈希，用于匹配广告转化（见第 6 节和第 8 节）。仅在您同意的情况下才会发生此项。
• 同意与选择退出记录 — 您的同意状态、其决定时间、您的应用追踪透明度决定，以及分析选择退出记录。
• 推送令牌与通知记录 — 您的推送通知令牌、设备平台和标识符，以及我们向您发送的通知及其送达状态的记录。
• 精确与粗略地理位置 — 来自您手机 GPS 的精确设备位置，仅在您授予位置权限时收集，用于附近房产搜索；以及从您的 IP 地址推导出的粗略位置，用于默认区域检测和分析。
• 诊断、崩溃和性能遥测 — 崩溃报告、性能追踪以及设备/操作系统信息，在您登录后可能与您的账户关联。
• AI 衍生数据 — 由自动化模型衍生的数据，例如图像分类/嵌入、账单 OCR 字段以及护照字段提取（见第 5 节和第 10 节）。

除第 5 节所述的身份证件和账单支付数据外，我们不会刻意收集特殊类别数据。请勿在自由文本字段中（例如，在咨询、消息或评价中）提交敏感个人数据，除非确有必要。

---

3. 数据的来源

我们通过以下方式收集个人数据：

• 直接来自您 — 当您创建账户、完善资料、提交咨询、向经纪人发消息、保存搜索、订阅提醒、撰写评价、上传图片、扫描账单或护照，或联系我们时；
• 自动收集 — 当您使用本服务时，通过您的设备以及我们的分析、日志、安全和诊断系统收集（例如，IP 地址、设备数据、搜索日志和事件数据）；以及
• 来自第三方 — 当您选择联合登录时来自 Google 或 Apple，以及来自我们的基础设施提供商（例如，从网络/IP 数据推导出的粗略位置）。

---

4. 处理目的与合法依据

我们仅在拥有 PDPA 第 24 条规定的合法依据（对于敏感数据，则为第 26 条要求的明确同意或例外情形）的情况下处理个人数据。我们所依据的合法依据为：与您履行合同；您的同意；我们的正当利益（与您的权利和自由相权衡）；以及遵守法律义务。

致法律顾问的说明。 下表的合法依据是基于代码支撑的数据清单得出的初步判定。泰国对"正当利益"的解读不如欧盟宽泛；最终的逐目的依据是一项法律判断，必须予以确认。在以同意为依据之处，非必要追踪器在获得同意之前不得触发。

下表将每项目的对应到所使用的数据类别、合法依据和保留方式。

在我们以同意为依据之处，您可以随时撤回同意（第 11 节），且撤回与给予同意一样便捷。撤回同意不影响撤回前已进行的处理。

---

5. 敏感个人数据

我们处理的某些数据属于敏感个人数据或身份证件数据，根据 PDPA 第 26 条享有更高级别的保护。我们仅在征得您明确同意（或法律顾问确认的狭义合法例外情形）的情况下进行处理，并采取更高级别的保障措施。

• 护照/机器可读区身份数据 — 仅为文档预填功能收集，仅在征得您明确同意的情况下（每次写入都需要记录一个同意时间戳）。护照图片存储在一个永不公开的私有存储桶中。您可以根据请求删除此数据。
• 账单支付数据，包括扫描的账单图片 — 当您使用账单支付功能时，账单图片存储在私有存储桶中，并经处理以提取支付字段。账单数据被视为敏感财务信息。
• 更广义的身份证件图像 — 在提供身份验证之处，自拍和身份证图像存储在私有存储桶中，且访问受到限制。

上报法律顾问。 身份证件和面部图像的第 26 条依据及分类（包括任何面部图像是否构成生物识别数据），以及对每一项的明确同意获取，均须予以确认。流向中国的账单图片处理（第 8 节）需高度关注。

我们不会索取、您也不应提供其他特殊类别的数据（例如健康、宗教或政治观点）。

---

6. Cookie、追踪技术和移动追踪

我们在网站上使用 cookie 和类似技术，并在移动应用中使用等效的 SDK 和设备机制。

严格必要（始终开启）。 这些是本服务运行所必需的，不受同意约束：

• 会话 cookie（让您保持登录状态）；
• OAuth 状态 cookie（保护联合登录免受 CSRF 攻击）；以及
• 同意 cookie（记录您的同意选择；存储约一年）。

非必要/受同意约束。 这些仅在您接受之后才会使用，并且可以随时拒绝或撤回：

• 产品分析（我们的第一方分析和我们的分析处理商）——包括匿名分析标识符以及首次/末次接触归因 cookie；
• 与广告平台进行的广告转化衡量（见第 8 节）；以及
• 在网站上，于适用之处，用于分析/广告标签的 Google Consent Mode 接线，在您同意之前默认为"拒绝"。

在您同意之前，同意前的页面浏览仅记录为去标识化的、按站点每日轮换的访客计数；对于那些匿名事件，我们不会存储您的原始 IP 或用户代理，也不会将其转发给我们的分析处理商或广告平台。

移动应用追踪和 iOS 应用追踪透明度（ATT）。 在 iOS 上，在任何跨应用/跨站点追踪发生之前，我们会展示 Apple 的应用追踪透明度提示。我们的安装归因提供商和设备广告标识符（IDFA）仅在您授予 ATT 权限时才会启用；这在我们的 App Store 隐私披露中声明为"追踪"。如果您拒绝 ATT（或尚未决定），则不会使用安装归因和基于 IDFA 的追踪。

您可以在浏览器设置中管理 cookie，通过设备设置（包括 iOS ATT 和 Android 广告 ID 控制）管理追踪，并随时通过应用内/站点内的同意控件更改您的同意（第 11 节）。

---

7. 自动化处理与画像

我们以下列方式使用自动化处理。除针对广告标注者外，这些处理均不会对您产生法律效果或类似的重大影响：

• 广告转化匹配和受众衡量 — 在您同意之处，哈希化标识符和行为事件会与广告平台共享，以衡量转化，并通过这些平台支持受众/重定向。这是用于广告目的的画像。您可以通过拒绝或撤回广告同意（以及在 iOS 上拒绝 ATT）来反对。
• 图像分类和相似房源搜索 — 房源图片会被自动分类和嵌入，以便对图库进行分组并呈现相似房源。
• 账单和护照文本提取（OCR / MRZ） — 自动化模型读取您扫描的账单或护照以预填字段；在数据被使用之前，您会审阅并确认。

您有权按照第 12 节所述反对自动化处理。我们不会做出对您产生法律效果或类似重大影响的纯自动化决定。

---

8. 接收方、披露和第三方

我们仅在为实现上述目的所必需时共享个人数据。我们的接收方分为以下类别。

按照我们指示行事的服务提供商/处理商：

• Cloudflare — 图像/文档的对象存储（包括私有存储桶中的敏感图像）、CAPTCHA、基于 IP 的地理定位，以及 CDN/边缘服务。
• 我们的产品分析处理商（PostHog） — 第一方分析存储/转发（托管于美国）。对于已同意的用户，转发的数据可能包括您的 IP 地址和大致地理位置。
• 2c2p — 为账单支付功能运营托管支付页面的支付服务提供商（见服务条款第 9 节）。2c2p 仅提供收款便利。
• Resend — 发送事务性和通知电子邮件。
• Sentry — 崩溃、错误和性能诊断。
• Expo push — 投递移动推送通知。
• AI/ML 提供商 — 用于图像、OCR 和文本功能，包括 DashScope / Alibaba Cloud (Qwen) 和 z.ai / Zhipu (GLM)，二者均在中国进行处理；以及 OpenRouter、Anthropic 和 OpenAI（美国）。见下方的中国传输说明。
• 消息渠道 — LINE 以及于适用之处的 WhatsApp，用于投递通知或作为经纪人联系渠道。
• 地图提供商 — 用于地图渲染和瓦片。

确定其接收数据自身目的的独立控制者（在需要时我们仅在征得您同意的情况下共享）：

• 广告平台 — Meta（Conversions API）、**Google Ads（Enhanced Conversions）**和 TikTok（Events API）——接收哈希化标识符、点击标识符和转化事件以衡量和优化广告，仅在您已同意之处。
• Branch.io — 移动安装归因和深度链接，仅在 iOS 上获得 ATT 权限后启用。
• Google 和 Apple — 用于联合登录（Google 另外用于 consent-mode/地图），它们会接收相关的资料/同意数据。

房源经纪人和经纪机构。 当您提交咨询或向经纪人发消息时，该咨询/消息中的个人数据（姓名、联系方式、消息）会披露给相关的经纪人或经纪机构，以便他们回复。那些经纪人/经纪机构是独立的企业，对其自身使用您的数据负责。

运营注册通知（为透明起见而披露）。 我们的系统目前在创建新账户时会向内部 Telegram 渠道发送通知，其中包括新用户的姓名和电子邮件。[This disclosure to a third-party messaging channel is flagged for counsel: confirm the lawful basis, restrict it to the minimum necessary, or discontinue it.]

其他披露。 在法律要求时、为执行我们的条款、为保护任何人的权利、安全或财产，或与公司交易相关时（采取适当保障措施），我们可能披露个人数据。

我们不会出售您的个人数据。

致法律顾问的说明。 必须确认与每个处理商签订的书面数据处理协议（PDPA 第 40 条），以及广告平台的控制者关系。无法从源代码确定是否存在已签署的 DPA/子处理商协议。

---

9. 跨境传输

我们的一些提供商在泰国境外处理个人数据，包括在美国、中国和新加坡（以及可能的其他地区）。例如：分析、诊断、电子邮件、推送、广告和若干 AI 提供商位于美国；账单图像 OCR 和某些文本嵌入处理由位于中国的 AI 提供商执行；支付和某些消息提供商在新加坡/泰国及其他地区运营。

泰国在 PDPA 下没有已公布的充分性（"白名单"）清单。因此，我们不依赖充分性认定。相反，我们针对每个目的地依赖 PDPA 第 28-29 条下的一种或多种合法传输机制，这些机制可能包括：您的知情同意（在被告知该目的地可能无法提供与泰国同等的保护之后）；为履行与您的合同或为您的利益所必需；标准合同条款（ASEAN 示范合同条款，或经泰国特定义务调整的欧盟 SCC，包括 72 小时进口方违约报告）；或于适用之处的具有约束力的公司规则。

中国传输 — 具体通知。 当您使用账单支付功能时，扫描的账单图片及从中提取的文本由位于中国的 AI 提供商处理（用于光学字符识别），并且某些房源/搜索文本可能由位于中国的 AI 提供商进行嵌入。中国可能无法提供与泰国同等水平的个人数据保护，且在那里的处理还可能触发中国的**《个人信息保护法》（PIPL）。[Counsel to confirm the precise transfer mechanism and any PIPL obligations for the China-hosted processing.]**

上报法律顾问。 必须为每个目的地（美国、中国、新加坡）和每个供应商选择并记录具体的跨境机制；不得将其中任何一项表述为基于充分性认定。

---

10. AI 和机器学习处理

我们使用 AI/ML 来运营某些功能：对房源图片进行分类和嵌入，以进行图库分组和相似房源搜索；读取扫描的账单（OCR）和护照（MRZ 解析）以预填表单；以及支持搜索和内容功能。其中部分处理由位于美国和中国的提供商执行（第 8 节和第 9 节）。在从您的账单或护照中提取的任何数据被使用之前，您会审阅并确认。我们不会使用您的个人数据来做出对您产生法律效果或类似重大影响的纯自动化决定。

---

11. 您的同意以及如何撤回

在我们以您的同意为依据之处——特别是对于非必要的分析、广告转化共享、移动追踪（ATT/IDFA）、精确位置、营销提醒以及第 5 节中的敏感数据功能——该同意是自愿的，且您可以随时撤回，而不影响撤回前处理的合法性。撤回与给予同意一样便捷。您可以：

• 通过网站和应用中的同意控件更改您的 cookie/同意选择（这会将您的同意状态设为接受或拒绝，并停止非必要追踪器）；
• 在您的设备设置中更改您的 iOS 应用追踪透明度决定和您的设备广告 ID 设置；
• 在您的设备设置中关闭推送通知，并通过退订链接或应用内控件从电子邮件提醒中退订；以及
• 在您的设备设置中撤销位置或其他设备权限。

如果您撤回提供某项特定功能所必需的同意（例如护照预填功能），我们可能将无法再提供该功能。

---

12. 您作为数据主体的权利

根据 PDPA（第 30-36 条），在符合法律规定的条件和例外情形的前提下，您享有以下权利：

1. 访问权 — 被告知并获取您个人数据的副本。
2. 更正权 — 使不准确或不完整的数据得到更正。您可以直接在本服务中编辑大部分资料数据；对于其他更正，请联系我们。
3. 删除权 — 使您的个人数据被删除或匿名化。您可以在本服务中删除您的账户；删除以软删除并附带恢复窗口的方式实现，随后约 30 天后硬删除，并级联至相关的个人数据。护照/身份证件数据可根据请求单独删除。
4. 在某些情形下的处理限制权。
5. 数据可携权 — 于适用之处，以机器可读形式接收某些数据，或将其传输给另一控制者。
6. 反对权 — 反对某些处理，包括直接营销和广告画像。您可以通过拒绝或撤回同意（以及通过 iOS ATT）来反对分析/广告处理。
7. 随时撤回同意的权利（第 11 节）。
8. 向泰国**个人数据保护委员会办公室（PDPC）**提出投诉的权利。

如何行使您的权利。 删除、反对和撤回同意可通过本服务实现，如上所述。对于访问、更正（超出自助编辑范围）、限制、可携性以及任何其他请求——这些并非自助功能；请通过 [PRIVACY CONTACT EMAIL — e.g. [email protected]] 联系我们，我们将处理您的请求。我们力求**毫不拖延地、并在任何情况下于法律要求的时限内（通常约为 30 天）**作出回应。在采取行动之前，我们可能需要核实您的身份。

---

13. 数据保留

我们仅在第 4 节所述目的所必需的期限内保留个人数据，此后我们将其删除或匿名化。

• 账户数据 — 保留至您请求删除；以软删除并附带恢复窗口的方式，随后约 30 天后硬删除。
• 护照/身份证件数据 — 可根据请求移除；否则随您的账户一并删除 [exact hard-delete period — to be confirmed]。
• 同意记录 — 同意 cookie 保留约一年；您的同意状态作为您选择的记录予以保留。
• 会话和验证令牌 — 直至它们过期（其生存时间 TTL）。
• 推送令牌 — 直至被撤销（在登出时或设备不再注册时）。
• 分析事件数据 — [retention period for the analytics event store is not yet defined and must be confirmed; the storage-limitation principle requires a defined period or criteria]。
• 与房源相关的咨询、消息、潜在客户、账单记录、评价和搜索日志 — [retention periods are not yet defined and must be confirmed]。

致法律顾问的说明。 若干类别的保留期在代码库中未定义。必须设定具体的期限或标准以满足存储限制原则；上述方括号占位符须在发布前解决。

---

14. 安全

我们采取与风险相称的组织和技术措施。这些措施包括：

• 经安全哈希处理的密码和签名的会话令牌；
• 限定于我们域名的仅限主机的会话 cookie，在生产环境中通过 HTTPS 提供；
• 在向广告平台传输前对标识符进行 SHA-256 哈希处理；
• 为敏感图像（账单、身份证件、护照）设立单独的私有存储桶，这些图像从不公开，且仅通过访问受限的内部代理提供；
• 一个排除原始 IP 和用户代理的分析视图，并具有受限的读取访问权限；
• 针对匿名（同意前）事件的去标识化、每日轮换的访客哈希，不存储原始 IP/用户代理；
• 一个记录内部对个人数据访问的访问审计日志；
• 在配置之处于登录/注册时使用 CAPTCHA；
• 针对电子邮件提醒订阅的双重选择确认；
• 应用层的速率限制；
• 带有幂等账本的支付 webhook 签名验证，并且从不信任返回 URL 参数；以及
• 用于账户删除的软删除加预定硬删除流程。

所有与外部提供商的通信都使用传输中加密（HTTPS）。

我们仅描述我们实际采取的措施。我们目前不表示数据已加密静态存储，或已强制执行多重身份验证；[encryption-at-rest and MFA status are to be confirmed by the operator and added here once verified]。没有任何传输或存储方法是完全安全的。

---

15. 数据泄露处理

如果发生个人数据泄露，我们将评估风险，并在需要时毫不拖延地、并在可行情况下于知悉后 72 小时内通知 PDPC（在无法满足 72 小时期限的情况下不迟于 15 天，并附理由说明）。在泄露可能对您的权利和自由造成高风险之处，我们还将毫不拖延地通知受影响的数据主体，并附上对泄露的描述和缓解步骤。[Counsel to confirm the internal incident-response runbook and the importer 72-hour reporting obligations under any standard contractual clauses.]

---

16. 儿童与最低年龄

本服务面向成年人。我们使用本服务的最低年龄为 [MINIMUM AGE — policy decision to be confirmed by counsel] 岁。 [The operator and counsel must decide the minimum-age position and whether an age gate is required; the consumer nature of BaanMe makes this prominent.] 在 PDPA 要求之处，未经父母责任持有人同意，我们不会在知情情况下收集低于最低年龄者的个人数据。如果您认为某位低于最低年龄者向我们提供了个人数据，请通过 [PRIVACY CONTACT EMAIL — e.g. [email protected]] 联系我们，我们将采取适当措施予以删除。

---

17. 数据保护官

[The operator must decide whether a Data Protection Officer is required under PDPA section 41. Given large-scale behavioural monitoring (analytics and advertising) combined with sensitive-data processing (identity documents and bill data), a DPO obligation is likely.] 在已任命之处，您可以通过 [DPO / DATA-PROTECTION CONTACT EMAIL — e.g. [email protected]] 联系我们的 DPO，且 DPO 的详细信息将按要求告知 PDPC。

---

18. 本政策的变更

我们可能会不时更新本政策。当我们做出重大变更时，我们将更新上方的"生效日期"，并通过适当方式（例如应用内或站点内通知，或于适当之处通过电子邮件）通知您。在变更生效后您继续使用本服务即构成对更新后政策的确认，但法律要求额外同意的情形除外。

---

19. 如何联系我们

• 数据控制者： [LEGAL ENTITY NAME — registered controller entity, to be confirmed]
• 注册办事处： [REGISTERED OFFICE ADDRESS, Bangkok, Thailand]
• 隐私联系方式： [PRIVACY CONTACT EMAIL — e.g. [email protected]]
• 数据保护官： [DPO / DATA-PROTECTION CONTACT EMAIL — e.g. [email protected]]
• 网站： https://baanme.com

您还有权向泰国**个人数据保护委员会办公室（PDPC）**提出投诉。

---

本文件为机器生成的初稿，必须在发布前由具备资质的泰国持牌律师审阅。