信任

租户的家，房东的钱，
还有凌晨三点响起的电话

这需要把保障措施做进产品里，而不是写在政策里承诺。以下是它的确切工作方式——包括那些不如我们期望那么完美的部分，也如实说明。

数据隔离

任何机构都看不到另一家机构的数据

隔离由两套机制独立执行，任何一套失效都不会演变成数据泄露。

行级安全，已启用并强制执行

每张存放客户数据的表都启用并强制执行 Postgres 行级安全，连表的所有者也受其约束。

每条查询都指定机构

此外，产品执行的每条查询都明确指定您的机构。两层保护，隔离从不依赖单一控制——也不依赖某人记得写 WHERE 条件。

tenant isolation

ALTER TABLE maintenance_issues ENABLE ROW LEVEL SECURITY;
ALTER TABLE maintenance_issues FORCE ROW LEVEL SECURITY;

SELECT … FROM maintenance_issues WHERE organisation_id = <your agency>;

数据存放位置

静态数据存放于法兰克福	数据库——租约、报修、合规记录、工单——托管于欧盟法兰克福。
阿联酋与新加坡：依合同跨境传输	对于阿联酋（PDPL）和新加坡（PDPA）的机构，数据存放在法兰克福属于跨境传输，已在数据处理协议中约定，并附有相关法律要求的保障措施。
呼叫短信：默认在美国处理	非工作时间的短信和电话经由 Twilio 发送，Twilio 默认在其美国区域处理消息内容。由于呼叫内容包含租户地址和原话，设置页面会显示当前使用的区域。也可以改为配置欧盟（爱尔兰）区域。
邮件经由 Resend 发送	房东审批和提醒通过 Resend 以邮件发送。
我们不存储的内容	不存储 NRIC 或 FIN 号码，也不存储移民身份。新加坡的准证核查只记录核查日期和准证到期日。

确定性分级

报修分级依据成文规则，在我们自己的基础设施上运行。没有任何第三方 AI 模型读取租户报修来决定优先级。

有歧义就上调。读不懂的语言会被上调并交给人工。规则一旦上调了优先级，没有任何东西能把它调低。

132 项以上自动化测试覆盖英语、阿拉伯语、德语和中文的规则。如果某次改动导致系统认不出"燃气味"，构建会失败，而不是让一户人家出事。

审计记录与链接

报修按原文保存，连同触发的规则、每一次呼叫、谁在何时确认，以及房东的每个决定——均以机构的工作语言记录。

凌晨四点被叫醒的人不该还要输密码。确认、审批和房东页面链接都带有无法猜测的令牌，数据库只允许每个令牌访问它所对应的那一条记录。

房东的同意或拒绝只记录一次，金额以询问时为准，无法被悄悄覆盖。

Concierge Legend 不是紧急服务机构：它为租户提供正确的本地电话并叫醒您自己的员工，但应对紧急情况的责任仍在机构和房东。独立安全测试和正式认证尚未完成；我们会如实说明持有什么、何时取得。

在您做出任何承诺之前，我们都会书面答复。