隐私

谁在运营

公会尚未注册。在注册之前，本站由其发起人 Leonard Chow 在新加坡运营。联系方式：dinggege125@gmail.com。公司注册后，本页会写上公司名与 UEN。

你登录时我们拿到什么

Google 或 Apple 告诉我们三件事：一个永久的用户标识、你的邮箱地址、以及你账号上的显示名。我们只申请这些，也只收到这些——请求的权限范围是 openid email profile，没有别的。我们永远拿不到你的密码。

如果你用 Apple 登录并选择「隐藏邮箱」，我们保存的是 Apple 给的中转地址。我们没有办法看到你的真实邮箱，也不会去试。

一个会话 Cookie（guild_session）让你保持登录 30 天。它只装一个随机令牌，带 HttpOnly 与 Secure，我们这边只存它的哈希。登录过程中另有两个 10 分钟的短期 Cookie 用于防止请求伪造。除此之外没有任何 Cookie。

你发布时我们拿到什么

项目信息

你自己填的：标题、说明、楼栋邮编、户型、风格、预算区间、日期。每一项都由你决定填不填。

照片

只存图像本身。位置信息在入库之前就被从每个文件里剥掉——EXIF、XMP 和内嵌文本一律在服务端剥离，所以手机拍的照片不会把这户人家的 GPS 坐标公开出去。

楼层

只有「低层」或「高层」两个值。本站不提供填门牌号的输入框，因为邮编加户型加确切楼层就能锁定到唯一一户。

产权证明

如果你要认领某套房屋为业主，你上传的文件在审核之后会被销毁。留下的是审核结论——通过还是驳回、谁审的、哪天审的。文件本身不留。

发票

用于确认这单活确实发生过。金额是否公开由你决定；选择不公开，依然算作已核验。

你写入时我们收集什么，以及永远不收集什么

阅读本站不会记录关于你的任何东西。不记 IP 地址、不记设备标识、不记任何访客级别的行——查自己那栋楼、浏览登记册、读这一页，都不记。页面浏览与外链点击只记某一天、某个对象、一个计数，其中没有任何能追溯到个人的东西。所有页面上没有第三方分析或广告追踪，内容安全策略也从根上阻止它们加载。

但写入会记录网络上下文，因为登记册真正会被欺诈的地方在写入侧——设计师编造一个业主来确认自己的活、一个人操作多个账号。当你创建项目、上传照片、邀请对方、确认、或评分时，我们保存：一个存在 Cookie 里的随机设备标识；你的网络运营商及其 ASN；Cloudflare 报告的规划区（例如「义顺」）；以及你的 IP 地址与浏览器标识的单向哈希。地址本身永远不入库——哈希用服务端持有的密钥加盐，所以「这两个账号是否在同一网络」可以回答，而「这是哪个地址」不可以。这些行在 90 天后被删除，执行删除的是同一个跑检查规则的定时任务。

如果你运行宽带测速，结果不带任何账号标识入库——服务端会拒绝携带账号标识的提交。它记录的是速度、你自行申报的宽带运营商、Cloudflare 报告的规划区（例如「义顺」）、以及你自己选择填写的邮编。不含你的地址，不含你的身份。

我们删不掉什么，以及为什么

有两类记录在结构上是永久的，你在发布之前应该知道。

审核快照记录每次决定时作品的原貌。审计日志记录每一次审核操作。两者都是只增不改的：数据库在物理上拒绝对它们执行 UPDATE 与 DELETE，这条拒绝对我们自己同样生效。正是它让公会能够证明，自己对竞争对手的作品和对自己的作品是同一套标准。

所以：你的账号、你的项目、你的照片，都可以应你要求移除。但「某个决定曾经作出、由谁作出」这件事会留下。已发布作品的计数、以及任何驳回的理由，都属于这份记录。

数据存在哪里，还有谁看得到

本站运行在 Cloudflare 上（Workers、D1、R2）。Cloudflare 代表我们处理请求并存储数据库与上传文件，流量可能经过新加坡境外的服务器。我们不出售数据，也不与任何其他公司共享。除了页面上已经公开的内容之外，不向设计师、公司或广告主提供任何信息。

你的权利

根据新加坡《个人资料保护法》（PDPA），你可以要求查阅我们持有的关于你的资料、要求更正、并撤回同意。发邮件至 dinggege125@gmail.com，我们会在 30 天内答复。撤回同意意味着关闭你的账号、并将你的作品从公开页面移除，但受限于第 05 节所述的永久记录。