PropSeek DPO 与数据泄露通报条款（DPO and Data Breach Notification Terms）

1. 适用范围

1.1 本条款说明 PropSeek 平台（App 与官网）的数据保护官（DPO）设置，以及数据泄露的评估、通报与通知流程。

1.2 运营主体为 Redland Pte. Ltd.（UEN 202304648K）。本条款依据《个人数据保护法 2012》（PDPA）及其附属条例制定。

2. DPO 指定与联系方式

2.1 我们依据 PDPA 第 11(3) 条指定至少一人负责确保本机构遵守 PDPA。

2.2 DPO 联系方式（依据 PDPA 第 11(5) 条公开）：

• 职务：数据保护官（Data Protection Officer）
• 邮箱：dpo@propseek.homes

2.3 公开方式：官网页脚「隐私与 DPO」、隐私政策锚点 /privacy#dpo，并运营主体在正式上线前通过 ACRA BizFile+ 完成 DPO 联系信息登记。

2.4 DPO 职责：

1. 就 PDPA 合规向机构提供意见并监督执行；
2. 受理与处理数据主体请求（访问、更正、撤回同意、导出、删除）；
3. 制定与维护数据泄露响应流程并组织演练；
4. 作为与 PDPC 的联络点；
5. 确保对外隐私文档与实际做法一致。

3. 数据泄露的认定

3.1 数据泄露指导致或可能导致个人数据被未授权访问、收集、使用、披露、复制、修改或丢失的事件，包括误发、丢失设备或凭证、被入侵、内部越权访问等。

3.2 仅在本机构内部发生的未授权访问或披露，依 PDPA 第 26B(4) 条不须通报，但仍须内部立案与整改。

4. 评估流程与时限

4.1 发现疑似泄露后 24 小时内立案（内部目标）。

4.2 评估须「合理且迅速」（PDPA 第 26C(2) 条）。内部目标为 7 天内完成评估；PDPC 指南的参考上限为 30 个日历日，超过须能向 PDPC 说明理由。

4.3 评估内容：

1. 泄露性质、涉及的个人数据类别与人数；
2. 是否造成或可能造成重大损害（依《个人数据保护（数据泄露通报）条例 2021》第 3 条及附表所列数据类别判断，例如姓名或证件号码与附表数据结合、账号标识与密码或验证码结合）；
3. 是否影响 500 人及以上（同条例第 4 条）；
4. 是否已采取补救使损害不太可能发生（如强加密且密钥未泄露、即时撤销凭证）；
5. 是否属法定不须通报或不须通知个人的情形。

4.4 评估结论记入泄露台账，包括时间线、决策人与依据。

5. 通报 PDPC

5.1 评估结论为须通报的，在完成评估后 3 个日历日内向个人数据保护委员会（PDPC）通报（PDPA 第 26D(1) 条）。

5.2 通报使用 PDPC 指定渠道，内容包括：泄露性质、数据类别与人数、原因、已采取与拟采取的补救措施、联络人。

5.3 DPO 为通报责任人；DPO 不在时由其指定的代理人执行，并在 24 小时内告知 DPO。

5.4 通报模板与操作步骤由运行手册（WP-68）维护，桌面演练（WP-86）每年至少一次。

6. 通知个人

6.1 可能造成重大损害的，须在通报 PDPC 的同时或之后通知受影响个人（PDPA 第 26D(2) 条）。仅因影响 500 人及以上而须通报、但不会造成重大损害的，只须通报 PDPC。

6.2 通知方式：App 推送加电子邮件，中英双语；内容包括泄露性质、涉及的数据类别、已采取的措施、您可采取的保护措施、我们的联系方式。

6.3 例外（PDPA 第 26D(5)、(6) 条）：

1. 已采取补救使重大损害不太可能发生；
2. 已有技术保护使数据无法被理解（如强加密且密钥未泄露）；
3. 执法机关或 PDPC 指示不通知。

6.4 采用例外须书面记录理由与决策人。

7. 数据中介的通知义务

7.1 为我们处理数据的服务商（数据中介）发现泄露须「无不当延迟」通知我们（PDPA 第 26C(3) 条）。我们要求服务商在发现后尽快通知，目标为 24 小时内。

7.2 服务商清单见《隐私政策》第 6 章（AWS、Cloudflare、Twilio、Google、Apple、Expo、Sentry、Anthropic、Crisp、OneMap 等）。

7.3 收到服务商通知后，我们按第 4 章启动评估。

8. 记录、培训与演练

8.1 泄露台账至少保留 3 年。

8.2 运行手册（WP-68）包括：立案模板、评估清单、PDPC 通报模板、个人通知模板、联络人名单与升级路径。

8.3 桌面演练（WP-86）每年至少一次，覆盖发现、评估、通报、通知与复盘。

9. 如何报告疑似泄露

9.1 如您发现账号异常、疑似数据泄露或有人冒用 PropSeek 名义钓鱼，请立即：

• 泄露与隐私事项发邮件给 DPO：dpo@propseek.homes；账号与安全事项发邮件给客服：support@propseek.homes；
• 使用 App 内举报入口。

9.2 请不要在公开渠道张贴您的证件号码或验证码。PropSeek 工作人员不会向您索要验证码。

10. 与 PDPC 的关系

10.1 我们依法配合 PDPC 的调查与指示。

10.2 您有权就我们的数据处理向 PDPC 投诉（https://www.pdpc.gov.sg）。

11. 联系

11.1 DPO：dpo@propseek.homes。

11.2 客服：support@propseek.homes；官网 /support。