系统、数据、权限与业务连续性

10.1 系统架构

正在绘制业务流程…

系统分层原则：房屋和主体主数据唯一；每次委托、核验、挂牌和合同有版本；政府/银行/门锁等外部结果保留原回执；业务系统只引用，不伪装成权威来源。第三方平台“认证”状态、电子签“签署成功”、支付“处理成功”和智能锁“在线”都要与对应官方、合同、银行和现场事实对账。

10.2 十一类主数据

主数据	所有者	关键字段	变更门
城市/门店/主体	法务财务	营业主体、备案/牌照、地址、收款开票	变主体触发合同资金数据重审
物理房屋	房源质量	楼盘楼栋房号令牌、用途、设施	改造/拆分不得人工造新房规避
权属/授权参考	核验合规	查询来源时点、权利人、限制、代理	到期/变更置待核，不覆盖历史
委托	房源/经纪	服务、期限、独家、价格、费用、撤销	书面版本和签章
房况说明	核验/维修	用途、面积口径、设施瑕疵、安全	现场变化重新实勘
挂牌	渠道	房源、图文、价费、渠道、状态、到期	先审批后分发，全渠道下架
客户	客源运营	联系授权、需求、预算、用途、偏好	敏感字段按目的限制
合同产品	法务运营	经纪/主租/代管模板、收费、版本	地区/角色变化不共用
支付/账户	资金	主体、银行、监管/押金属性、退款	新账户独立回拨和双批
供应商	采购维修	服务范围、资格、账户、价格、SLA	建档、验收、付款分离
人员/角色	HR/IT	实名/资格、门店、权限、代理期限	入转调离即时撤权

10.3 最小权限矩阵

高风险动作	发起	批准	执行/复核	日志
将待核房源改为可发布	房源拓展	核验/合规	渠道发布	来源、时点、批准、版本
修改权利人/收款账户	业务/财务	独立授权人	资金回拨复核	原新值、证据、操作者
导出业主/客户资料	业务负责人	隐私/数据	IT限时脱敏	字段、目的、接收人、删除日
开住户房门	租客请求/紧急事件	租务/安保按场景	双人/受控执行	房、人员、依据、时间
修改已签租金/佣金	经纪/租务	合同和财务授权	冲正/补充协议	原版、新版、当事人同意
押金扣款/退款	租务发起	财务/授权人	资金原路支付	进退场、报价、批准、结果
全渠道强制下架	核验/客服/合规	预授权规则	渠道系统	原因、范围、失败队列
历史合同/回执访问	案件负责人	角色预授权	只读并审计	查询人、案件、对象

经纪人不需要看客户完整证件图就能安排普通带看；渠道运营不需要看到业主银行账户；维修人员不需要知道租客职业收入；总部BI不需要明文门牌和姓名。数据产品按“完成任务最小字段”设计，不能先把所有资料汇总再谈权限。

10.4 隐私与反骚扰

业主身份、产权、住址、空置时间、门锁、租金账户，租客身份、家庭、收入、工作、看房轨迹和支付能力，组合后高度敏感。个人信息保护和数据安全规则提供目的、最小必要、权限、委托处理、事件和跨境的基础入口。[SRC-NPC-PIPL-2021][SRC-NPC-DATA-SECURITY-LAW-2021] 2023经纪服务意见还明确要求经纪机构依法保护个人信息，未经当事人同意不得收集个人和房屋状况信息，不得发送商业短信或拨打营销电话。[SRC-K04-SAMR-BROKERAGE-SERVICE-OPINION-2023]

客户撤回营销同意，不等于删除依法需保存的签约/财税/争议证据；应分数据目的停止营销并按保留表处理。经纪人离职后不得带走私人通讯录、看房单和业主证件。房屋照片发布前去除家庭照、证件、快递单、门锁密码和可识别儿童/住户信息。

10.5 故障降级

故障	立即控制	临时运行	恢复对账
房源核验接口不可用	待核房不发布	保存申请和失败时间，按当地允许路径咨询	回执补回、去重、核状态
渠道同步失败	停新增或手动收紧，禁止重复帖	授权人员逐渠道下架/更正	房源—帖子全量对账
电子签故障	不收空白签名或代签	使用经批准合法备用方式	签署人、版本、时间补核
支付/银行故障	不重复扣、暂停陌生账户	按批准替代方式	银行流水、租押属性、退款逐笔认领
智能锁故障	作废风险权限、保护住户	双人机械钥匙应急	开门日志、换锁、全部临时权撤销
租务ERP不可用	冻结高风险改租、退押	编号应急账单/工单	防重补录、AR/AP/押金/钥匙核对

每季度组合演练“月底收租+渠道故障+一套漏水+门锁离线+一笔退款失败”。验收是没有错房、错人、重复收付、越权入户或遗失证据，并非只看系统恢复时间。