可持续发展与科技

数字钥匙、门禁卡与对讲机：谁掌控公寓楼的入口？

门禁已经成为分契治理问题，而非设施运维问题。门禁卡、移动凭证、对讲机应用和审计日志，决定谁能进入楼栋、撤销门禁的速度，以及业主法团对哪些数据承担法律责任。本文是面向澳洲楼栋的实务指南。

2026年5月7日 · 13 分钟阅读

本文目录本指南涵盖什么

本指南涵盖什么

为什么门禁现在是业主法团承担的治理问题，而非外包给楼栋经理的设施任务。
如何为楼栋每一道门、每一部电梯、每一处车库、机房和包裹区绘制一张门禁地图。
老式 125 kHz 门禁卡与现代 MIFARE DESFire 凭证之间的加密差距，以及为何 Aliexpress 上 20 澳元的克隆设备是必须重视的现实理由。
在签署一笔每户 $800 至 $3,500 的对讲机更换项目之前，应当先问什么。
1988 年《隐私法》、澳洲隐私原则和各州《监视设备法》如何适用于门禁日志。
管理员离任问题：当掌握管理员权限的楼栋经理、分契管理人或承包商离开时会发生什么。

任何尝试盘点一栋 30 户楼栋实际在外流通了多少张门禁卡的人都知道：答案几乎总是“比登记的多，且没人完全确定都在谁手里。”这才是这份指南真正的起点。

1990 年代公寓楼的大门是用本地五金店配的黄铜钥匙开的。2026 年楼栋的大门可能由以下任一方式控制：一张门禁卡、住户手机上的蓝牙凭证、短租房东发来的二维码、承包商的 PIN 码、车牌识别摄像头、仅限快递的投递码、电梯楼层限制名单，以及一个由境外第三方运营的对讲机应用。

便利是真实的。治理难题也是。业主法团如今是凭证系统的托管方——这些系统决定谁能进入楼栋、对每一次进入采集了什么数据，以及一旦系统失灵或被攻破会发生什么。

门禁现在属于治理，而非设施

过去三十年里，楼栋门禁多被当作设施事务。分契管理人拿着总钥匙。楼栋经理发放门禁卡。卡丢了的费用出现在季度报表上。除了换一只锁芯，业主法团并没有真正的暴露面。

有三件事改变了这个格局。

凭证现在是数据。 现代对讲机或门禁控制器会记录每一次事件：谁进入、走哪道门、何时。这些日志是关于可识别居民的个人信息。系统由业主法团委托并买单，因此就是要回答“数据如何收集、储存、谁可访问、如何处置”的那个主体。

凭证现在通过软件而非硬件来撤销。 作为升级是合理的，但前提是业主法团知道如何撤销。如果唯一知道管理员密码的人是两年前合同已结束的承包商，那便是降级。

威胁模型变了。 短期出租、外卖配送、包裹快递、NDIS 支持人员、保洁员、遛狗员、地产中介、各类工人。楼栋不再是一份可知名单的封闭环境。一栋 60 户的楼栋，在一个典型月份里可能有 200 到 300 张活跃凭证在外流通。

旧的设施式回答（“楼栋经理负责门禁卡”）解决不了上述任何一件事。分契委员会需要书面的门禁政策、门禁登记册、隐私立场，以及系统或其管理员消失时的应对方案。

门禁地图

先从一份书面地图开始：列出楼栋里每一个受控的通行点、运营它的凭证系统，以及由谁管理。

通行点	常见控制方式	常见失败模式
步行大门	门禁卡、对讲机呼叫开锁、移动凭证	住户搬走后旧卡从未停用
车库卷帘门	遥控器、刷卡读头、车牌识别	遥控器被原住户的亲友继续使用
步行车库门	刷卡读头，有时与正门共用	尾随通行——楼栋最常见的入侵方式
电梯	按凭证限定楼层	“总卡”被授权全楼层并被分享
信报箱 / 包裹房	密码、应用或储物柜对接	大堂便签条上写着快递码
垃圾房	常常不上锁或共用钥匙	被当作楼栋侧门使用
机房 / 水泵房	承包商钥匙或总卡	工程完成多年后承包商仍保留通行权
屋顶 / 公共露台	门禁卡，有时按时段开放	预约系统与凭证系统各自为政
泳池 / 健身房	门禁卡，常与正门共用一张	停用一张卡却把住户挡在无关区域外
储物笼	挂锁或门禁卡	没有记录哪一户拥有哪把储物笼钥匙

这张地图的存在是为了回答四个问题。系统里有多少张活跃凭证？每一张分配给了谁或哪个用途？谁可以发放、谁可以撤销？日志在哪里？

回答不了这四个问题的楼栋，并不是在控制门禁。它是在期望门禁处于受控状态。

老式门禁卡与现代凭证

澳洲公寓楼门禁里最常被忽视的问题，是您手上的这张门禁卡很可能并不安全。在老楼栋里，模式高度一致。

125 kHz EM 与 HID Prox 卡。 大约 2000 到 2015 年间在澳洲公寓楼最主流的技术。这些卡在被读取时传输一个固定的序列号——没有加密、没有认证、没有重放保护。Aliexpress 上 $15 到 $30 的手持复制器三秒之内就能复制任意一张。YouTube 上有数百万次播放的教学视频。锁匠、配钥匙铺甚至部分商场柜台都把门禁卡复制做成了零售服务。

如果您楼栋的门禁卡在大约 2018 年之前安装、且系统未明确指定 MIFARE DESFire 或同等级别，应假定它们可被克隆。把这种卡视为便利凭证，而非安全凭证。

MIFARE Classic。 一种 13.56 MHz 的卡，在部分 2010 年代中期的升级中使用过。其加密自 2008 年起便被破解。新装项目不应再选用。如果您楼栋使用的是 Classic 卡，请规划迁移。

MIFARE DESFire EV2 / EV3。 目前公寓门禁的安全基线。AES 加密、卡与读头之间的双向认证、滚动标识符。消费级设备无法克隆。在任何新的系统招标中明确写入 EV2 或 EV3。在采购时，DESFire 与老式 125 kHz 卡之间的差价不大——通常每张 $5 至 $25 对 $2 至 $8，但安全差距是“凭证”与“纪念品”之间的差距。

移动凭证（蓝牙与 NFC）。 通过应用发放、基于手机的凭证。一般采用 AES 加密协议并叠加设备级认证。多数方面比老式门禁卡更强，但会引入供应商绑定和平台依赖问题，见下文。

分契委员会要问的不是“我们的门禁卡能不能用”。要问的是“我们的门禁卡在密码学上是否现代，如果不是，何时迁移”。

报给住户的换卡价能反映系统的本质。在 125 kHz 系统上对每张补卡收 $30 至 $100 的楼栋，是从一颗 $5 的元件身上回收成本。在 DESFire 系统上收同样金额则更接近真实成本回收。无论哪种情况，回收价应在业主法团决议中确定并加以说明，而不是在前台临场拍板。

对讲机更换项目：签字之前要问什么

对讲机更换是分契委员会会运作的最大额可选资本项目之一。一整套带移动凭证和电梯整合的 IP 对讲机与门禁系统，每户通常落在 $800 至 $3,500 之间，取决于楼栋规模、布线状况以及整合多少通行点。一栋 60 户的楼栋因此可能面对 $50,000 至 $200,000 的项目。

澳洲市场已经向少数几家供应商集中。了解谁在本地经营，有助于分契委员会准确解读报价。

成熟的模拟与 IP 音视频对讲机。 Aiphone（日本，在澳洲住宅分契方案中占有率高，IX 与 IXG IP 系列广泛部署），Comelit（意大利，Ultra 与 Mini 系列在新建项目中常见），BPT/CAME（意大利，Mtm 系列及 IP 变种），Fermax（西班牙），Honeywell（部分大楼栋使用的传统商用级），2N（捷克，IP 对讲机在混合用途楼栋中很强），以及通过 Intercoms.com.au 等渠道经营的澳洲分销商和系统集成商。

以云为先、带移动凭证的 IP 对讲机。 Akuvox（广泛的 SmartPlus 平台）、BUTTERFLYMX（源自美国，正在澳洲扩张，原生移动优先）、2N MyApp（叠加在 2N 硬件上的云端层）。

叠加在对讲机硬件之上的门禁控制平台。 SALTO KS（云端）与 SALTO Space（本地部署）、Kone KEN/KSM（当电梯整合是核心需求时）、OneSafe（在部分小型楼栋中使用的澳洲本土门禁平台）。

硬件选择不及分契委员会签字前应问的十个问题重要。

持卡人与事件日志数据存储在哪里？澳洲、美国、欧洲，还是别处？
谁是数据的控制方？供应商、分契管理人、楼栋经理还是业主法团？
交付时谁拥有管理员权限？管理员变更时该账号如何过户？
例行操作（添加用户、撤销用户、重置 PIN）是否可以不经供应商即可完成？
业主法团能否在任何时候以可用格式导出完整的凭证名单、事件日志和配置？
合同结束或供应商被收购时会发生什么？硬件在没有云端的情况下能否继续工作？
固件升级路径是什么？由谁支付？
离线行为如何？网络中断时正门是否仍能为住户开启？
紧急服务能否在没有云端系统的情况下进入楼栋？
支持的 SLA 是什么，包括夜间与周末的锁门求助，费用是多少？

最便宜的报价往往在第 5、6、7 题上失分。配备漂亮的住户应用与坚不可摧的专有管理后台的系统，八年后离开时往往最痛。

盘点每一处受控通行点
核查所有活跃凭证
对比供应商报价
核查数据可携条款
由业主法团持有管理员账户
业主法团决议并签署合同

一条让业主法团始终掌控自家门禁系统的采购流程。

供应商绑定陷阱

云端对讲机系统让楼栋通行的便利度大幅提升，也带来了一类黄铜钥匙年代不存在的风险。

一个典型套路。开发商在建造阶段指定了一套云端对讲机系统。交付时把管理员登录信息交给分契管理人或楼栋经理。五年后，业主法团决定更换分契管理人或将楼栋管理转为内部运营。前任经理掌握着管理员账户。供应商的售后只对登记在册的管理员账户负责，而不对业主法团负责。凭证数据库、事件日志和配置都不可携。业主法团这才发现：它并不拥有自家的大门。

您可能以为这种事少见。其实并不。这种套路在澳洲多个楼栋反复上演。出问题后的修复方式就是重建：换发每一张门禁卡、对每一台读头重新编程，往往还要更换控制器硬件——因为固件被许可在前任管理员的账户上。

结构性的修复在合同层面，而非技术层面。在签署任何门禁或对讲机项目之前，分契委员会都应以书面形式取得：

确认业主法团是数据控制方和账户持有人。
一项条款，要求随时可以以书面格式无成本地完整导出数据。
一项条款，要求供应商在业主法团指示下不阻挠地将管理员权限移交给后继管理员。
一项条款，规定若云端关系终止，硬件可在离线或本地模式下继续运行。
一项离场条款，规定关系结束时数据如何返还和删除。

分契管理人、楼栋经理和供应商都是业主法团与其门禁系统交互的路径。他们当中没有一方拥有这套系统。拥有它的是业主法团。

移动凭证与自带手机的通行方式

基于手机的凭证已是新装项目的标准选项。分契委员会的立场应当是审慎权衡，而非条件反射。

定价模式不同。移动凭证平台通常按每位活跃用户每月 $3 至 $8 收费，叠加在硬件成本之上。一栋 60 户、100 张活跃凭证的楼栋，每年要为软件支付 $3,600 至 $9,600 的经常性费用。这是预算里实打实的一笔，而非一次性支出。

使用体验上的好处也是真实的。开通即时。撤销即时。丢卡成本接近零，因为没有实体卡可换。审计日志更丰富。

值得权衡的风险。

平台依赖。 用着旧款手机、冷门安卓机、或者把蓝牙关掉的住户，可能事实上被挡在门外。每一套移动凭证系统都需要为不能或不愿使用应用的住户保留门禁卡这一备选。

账户可携性。 凭证通常绑定到一个电邮地址。租客更换时，注册需要被干净地转移或撤销。分契委员会应就此设定一条规则，而不要假设分契管理人或楼栋经理已经设好。

后台电池与蓝牙依赖。 部分平台要求蓝牙保持开启、应用在后台运行。iOS 的后台进程管理可能与此冲突。签字之前用真实住户手机做测试。

隐私。 移动凭证应用可能收集设备标识符、位置数据和使用模式。读清楚应用收集了什么，再判断是否要求住户对此知情同意。

合理的立场。把移动凭证作为可选项，提供给愿意使用的住户。为不愿使用的住户保留 DESFire 门禁卡。永远不要把安装应用作为楼栋通行的前提条件。

承包商通行：最常见的入侵口

如果对一套门禁系统做诚实的审计，最一致的发现是——承包商凭证的数量远超分契委员会想象。

它来自非正式的累积。一个水管工要为 14 户的翻新工程通行。分契管理人把一张总卡“借给你用一周”。水管工把活分包给一个铺砖工，那张卡被铺砖工在面包车里放了三个月。接替前任的保洁员拿到了同一张卡。消防巡检员有一份。一年下来，楼栋里多了三四张没人盯着的“备用”总卡。

来自悉尼某楼栋的一次真实审计。系统里有 80 多张活跃门禁卡，楼栋只有 60 户。多余凭证里约一半是前租客、卡从未被停用。另一半属于承包商，没有任何书面授权、也没有归还日期。

修复方式是流程性的，不是技术性的。

按承包商和工程发放承包商凭证，而不是一张匿名“总卡”。
完工时要求归还，并由一笔小额押金（$50 至 $100）来约束。
在发放时对每张承包商凭证设置自动失效。通常一次性到场为 24 小时，或合同工期再加七天，取较短者。现代系统原生支持限时凭证。
每季度审计活跃承包商凭证，撤销任何已超出最近一次完成工作范围的卡。
把常规保洁员、园艺工、泳池公司、电梯技师和消防技师视为具名凭证，而非总卡持有者。

总卡只存在于保险柜里，配有书面签出日志，仅在没有其他凭证可用时由楼栋经理或分契管理人领出使用。

短期出租与门禁人流的波动

短期出租住宿带来的门禁波动，是底层门禁卡与对讲机系统当初鲜有应对设计的。一户作为短租挂牌的房子，一年内可能接待 40 到 60 位不同的客人，每位客人又会带上伴侣、朋友、保洁员、换洗布草服务和交接钥匙的中介。

数字相当显眼。运营方估计，凡有三处以上活跃短租挂牌的楼栋，30% 到 40% 的通行事件来自非住户。有活跃短租挂牌的楼栋，其对讲机日志与没有挂牌的楼栋差异显著。

分契委员会的立场要先看附例是否允许短租使用（另文专述）。在确实发生短租的任何楼栋，门禁规则应明确：

是否允许临时通行码或访客凭证，以及如何发放。
是否可将实体门禁卡交给客人，遗失与找回流程如何运作。
保洁员、副房东和钥匙交接中介是否需要登记、由谁承担成本。
谁是该户的负责人。即使日常发放由中介执行，业主仍承担责任。
短租客滥用门禁构成附例违规，责任归属于业主。

隐私与门禁日志：隐私法与各州监视法

门禁日志属于个人信息。一条记录显示卡号 0042 在周六 23:47 进入了后侧步行门，对于持有住户花名册的人来说，就是一条“可识别的人在可识别的地点、可识别的时间”的记录。

两层法律适用。

1988 年《隐私法》（联邦）与澳洲隐私原则（APP）。 该法适用于“APP 实体”。年营业额超过小企业门槛（目前为 300 万澳元）的业主法团默认是 APP 实体。门槛以下的业主法团一般不受该法约束，但有两个重要例外。一旦它提供医疗服务、买卖个人信息、或以特定方式与联邦政府订立合同，它就会受其约束。无论强制适用与否，在大规模处理住户数据时，业界最佳实践已向“对齐《隐私法》”靠拢。澳洲信息专员办公室（OAIC）也将 APP 视为任何此类组织的实务基线。

与门禁系统最直接相关的 APP：

APP 3（对所征求个人信息的收集）： 仅收集运营楼栋功能所合理必需的信息。按门、按凭证记录的事件日志一般可被合理化。与凭证事件相匹配的连续视频未必可以。
APP 5（收集通知）： 住户应当知晓门禁事件被记录、记录什么、谁可以查看、保留多久。在楼栋 CCTV 通知旁张贴的标准通知即可满足。
APP 11（个人信息的安全）： 数据须防止丢失、滥用与未经授权的访问。这与共享管理员账户和被非正式分发的总卡正面冲突。
APP 12（对个人信息的访问）： 住户有权询问关于自己的信息持有情况。分契委员会需要的是流程，而非对申请的恐慌。

OAIC 已为住宅与分契方案在 CCTV 与门禁系统方面发布过非强制性指南。这是最贴近的国家级参考文件，值得通读。

各州与领地的《监视设备法》。 当门禁日志与 CCTV 或音频录制交叉时，州法叠加在《隐私法》之上。具体法规因地而异。

新州： 2007 年《监视设备法》规范光学与监听设备的使用。在对讲呼叫点未经告知采集音频是最常见的合规问题。
维州： 1999 年《监视设备法》。立场类似；音频是主要限制。
昆州： 1971 年《侵犯隐私法》比维州或新州法更窄，聚焦于私人对话中的监听设备。昆州的整体框架较少规定，但对讲音频问题依然存在。
西澳： 1998 年《监视设备法》。
南澳： 2016 年《监视设备法》。
塔州： 1991 年《监听设备法》。
首都领地： 1992 年《监听设备法》和 2010 年《刑事（监视设备）法》。
北领地： 2007 年《监视设备法》。

对任何在对讲机录制音频、或在通行点录制视频的系统，分契委员会的实务问题是：住户与访客是否被告知，录制是否由某项楼栋目的支撑，对录像的访问是否受限，保留期限是否被定义。

综合立场。为门禁日志设定书面保留期（90 天为常见基线；若有书面记录的事件调查需求可更长）。限制谁可以访问日志。避免把日志批量导出到邮箱。任何日志的释出都应与一项书面的分契委员会或分契管理人请求挂钩。把门禁政策与 CCTV 政策互相对照，避免两份文件互相矛盾。

谁在管理系统（以及他们离开时会发生什么）

“管理员离任”问题是公寓门禁中最一致的治理失败。它有三种形态。

持有管理员账户的分契管理人。 业主法团更换分契管理人。前任的电邮地址登记为云端对讲机的管理员。新经理没有权限。供应商只接受登记管理员的指示。前任已转去他处，回应缓慢。

持有管理员账户的楼栋经理。 一位入住式或合同制楼栋经理被解雇或离职。其个人电邮登记为管理员。他在合同结束后仍保留对系统的管理权限。澳洲有书面记录的案例中，一位被解雇的楼栋经理在解雇后数月仍拥有云端对讲机的管理员权限；问题在权限被轮换前已发酵成纠纷。

搭建系统的承包商。 调试时管理员账户被交给集成商或安装商，并从未移交。例行变更都经由他们按次收费。业主法团是在为通行自家楼栋付费。

每一种情形背后是同一个根因：管理员账户没有书面归属。

修复方式。每一套凭证与对讲机系统的管理员账户，都应当落在业主法团拥有的一个通用、角色化身份上。例如，由分契委员会秘书或主席掌管的一个专用电邮地址，凭据保存在业主法团的档案里。分契管理人与楼栋经理在该管理员之下持有操作账户，而不持有管理员账户本身。

无论分契管理人、楼栋经理或承包商何时变更、分契委员会构成是否出现重大变化，都适用同一份交接清单。轮换密码、审计用户账户、撤销不明账户，并在会议记录中写明交接。

丢卡与离场流程

两项流程，看似不起眼实则重要。

丢卡。 住户报告卡丢失或被偷。同一工作日内在系统中撤销该凭证。按已公示的价格发放替换卡（DESFire 凭证通常 $30 至 $80，老系统较低、因为安全价值较低使得回收价也低）。事件记入“户”而非“个人”，下届分契委员会才能看到历史。

撤销的凭证应真正被撤销。有些系统的“停用”只是设置了一个标志位，任何拥有管理员权限的人都可以反向操作。请确认您的系统里“撤销”的真实含义。

租客离场。 一段租约结束。中介通知分契管理人或楼栋经理。发给该租约的所有凭证（门禁卡、移动凭证、车库遥控器、包裹房密码）被停用。新凭证发给入住的新租客。

最常见的失败模式是租客之间的非正式交接：搬走的住户把门禁卡直接递给搬入者，未通知任何人。系统里的凭证还挂在前一个名字下，楼栋因此并不知道屋里实际是谁。修复方式是把“每次租约变更须通知业主法团、并把凭证轮换作为入住前提”作为对管理中介与业主的合同义务。

成本与资本工程规划

针对典型澳洲分契方案的粗略规划矩阵。

项目	参考成本	频次
门禁卡硬件（DESFire）	$5–$25 / 张	按发放 / 换发
向业主回收的换卡费	$30–$100 / 张	按需发放
读头更换	$400–$1,200 / 门	10–15 年周期
整套 IP 对讲机与门禁项目	$800–$3,500 / 户	15–20 年周期
移动凭证平台	每位活跃用户 $3–$8 / 月	经常性
承包商凭证年度审计与重置	$400–$1,500 / 楼栋	每年
电梯门禁整合	$3,000–$15,000 / 部	随主要升级

门禁系统应在资本工程规划中作为独立条目出现，包含下一次更换的预测和持续的卡与凭证更替预算。系统是有生命周期的。把它当作“做一次就结束的事件”，正是楼栋最终发现自己跑着 15 年老控制器、固件早已不再支持的原因。

常见异议与补充检查

“分契管理人已经在管这件事。” 管理不等于所有权。业主法团应当知道是哪个账户在控制系统、谁能导出数据、谁能撤销凭证，以及管理合同结束时会发生什么。

“移动钥匙更方便。” 确实可以。它们也带来手机依赖、可达性问题、短租流动、隐私问题与供应商绑定。楼栋应当为不能或不愿使用移动凭证的住户保留非手机通行路径。

做任何变更前先检查应急通行。 消防进入、电梯应急、车库出入、断电行为以及机械钥匙备份，都应在新对讲机、门禁卡或移动凭证系统上线前确认。

单独审计总卡。 承包商门禁卡是一个问题。总卡是更大的问题。分契委员会应当知道有多少张、谁在持有、是否被记录，以及是否能在正常时段之外打开机房、屋顶、包裹房或公共设施。

分契委员会清单

建立现行门禁地图，覆盖每一道受控的门、闸、电梯与设施。
建立现行凭证登记册：多少张活跃凭证、分别归属于哪一户、哪个承包商或访客。
将凭证与住户花名册比对；撤销任何无主、归属不明或晚于最后已知持有人的凭证。
确认现有门禁卡技术的加密标准，并书面化迁移立场。
标识每一套门禁与对讲机系统的管理员账户，确认由业主法团（而非个人）控制。
按具名承包商发放承包商凭证并设失效日期；每季度审计。
制定书面门禁政策，覆盖发放、撤销、丢卡、租约变更与承包商通行。
制定书面隐私通知，覆盖门禁日志、保留期限与访问权利，并与楼栋 CCTV 通知对齐。
确认系统的离线行为与紧急服务的进入路径。
在资本工程规划中安排下一次对讲机更换，含成本区间和包含数据可携性与退出条款的供应商遴选流程。

关于交叉风险的一点说明

门禁系统并不孤立存在。让住户进入大门的同一套凭证框架，也让快递员进入包裹房、让访客上屋顶、让承包商进入机房、让保洁员进入短租户。一个领域的决定会约束另一个领域的决定。

大门是公共财产。管理员登录属于楼宇

读卡器、控制器、门口机、车库感应线圈和对讲主机是公共财产。业主法团必须使其保持可用，并控制谁可以改动。新州依据是 2015 年《分契方案管理法》第 106 条。维州是 2006 年《业主公司法》第 46 条。昆州 1997 年《业主团体与社区管理法》和西澳 1985 年《分契产权法》是同一义务。

原样更换读卡器是维护。新的 IP 对讲、手机凭证平台，或门口机加装摄像头，是改变。这通常需要特别决议——新州第 108 条，维州第 52 条——以及第 79 条和第 80 条计划下的资本工程科目。因为“安保紧急”就把 8 万澳元对讲从行政基金掏，接下来保费就会迟付。

管理员账户必须在业主法团名下，由两名委员会干事作为具名联系人，而不是楼宇管理人的私人 Gmail。管理协议结束时，第 106 条仍要求门能用，并且方案能在同一天撤销该人的权限。不愿导出凭证清单的供应商合同，是下次招标会失败的合同。

没有书面门禁政策和理由就取消住户门禁卡，是方案收集纠纷的方式。欠缴征费有自己的法定路径；除法律和审裁处命令允许特定限制外，它不是把人锁在家门外的许可。在“关掉”某个单元之前先咨询。

日志、隐私和你看不见的凭证

门禁日志识别人。像闭路电视一样对待：书面目的（安保和事件调查）、保存期限，以及谁可以导出的规则。闭路电视指南是姊妹政策。不要把一夜日志贴进群聊。

附则可以要求占用人归还门禁、报告遗失、不得复制卡片。若有人把门禁交给短租房源，用第 146 条或第 155 条通知执行。供应商可以在方案看不见客人名单的情况下发放手机钥匙，是该附则上的一个洞。合同应要求每一张凭证都出现在委员会可以审计的导出中。

消防队进入、断电时车库疏散，以及机械覆盖，属于保持公共财产安全的一部分。停电时锁死的“智能”门是第 106 条失败。在招标中写明失效安全行为，并测试它。

把凭证登记册、供应商管理员详情、隐私通知和资本更换年份放在楼宇自有记录里。门禁系统比每一届委员会活得久。登录也必须如此。

UnitBuddy 的位置

门禁治理首先是一个记录问题，其次才是硬件问题。能掌控自家大门的楼栋，是任何时刻都知道有多少张活跃凭证、每一张归谁、每一套系统由谁管理、系统正在收集住户哪些数据的那一栋。

以“楼栋经理被解雇”的情景为例。合同在周五结束。到周一早晨，分契委员会需要知道：那个人在哪些云端对讲机账户上是登记管理员、哪些门禁卡是个人发给他的、他批准了哪些承包商凭证、哪些供应商售后关系绑在他的个人电邮上。多数情况下，这些信息散落在前楼栋经理的邮箱、分契管理人的文件柜以及没人有登录权限的三个供应商门户里。更糟的是，在它被重建之前，那位前任经理仍持有大门的活动管理员权限。

UnitBuddy 的设计就是要让“周一早晨”从一场六周的调查变成一次五分钟的查询。具体到门禁控制：

门禁地图：楼栋里每一道门、每一次电梯呼叫、每一道车库闸、每一把包裹房锁、每一把机房钥匙、每一台对讲面板和每一把数字锁，附凭证类型和控制系统。
凭证登记册：每一张门禁卡、每一份移动凭证、每一把总钥匙和每一组承包商 PIN，绑定到户、人或承包商，记有发放日期、归还或撤销日期以及原因。
每套云端系统的管理员账户记录，涵盖供应商、账户持有人、合同条款、数据导出权利与离场条款，让业主法团（而非前任分契管理人）拥有自家大门。
对讲机更换与采购历史，含报价、保修、快递网络兼容性，以及谈下的数据可携条款。
承包商离场工作流：合同一结束，针对该承包商凭证的审计在几秒内完成，而不是几天。
丢卡与租约变更的台账：报失、换发、收费、注销，按户、按租约周期可见。
楼栋向住户发布的隐私与数据处理通知，含门禁日志保留期、APP 12 项下的查询流程，以及违规通报触发条件。
各州监视与隐私合规档案，保存适用的《监视设备法》引用，以及任何用于摄像头与门禁整合的同意书。

UnitBuddy 的定位是与分契管理人并肩工作。分契管理人召集会议、提供法律意见、收取征费。UnitBuddy 持有运营层（凭证登记册、管理员账户记录、承包商离场、隐私通知），让分契委员会拥有门禁治理真正需要的“机构记忆”。在实务中，公寓门禁里最容易失效的部件很少是硬件，而是记录的缺失。UnitBuddy 的存在就是为了承载这些记录——当承包商离开、分契管理人轮换或供应商被收购时，楼栋仍然拥有自家的大门。