HQ Safe Sync 把各門市獨立營運庫的資料，以單向唯讀方式匯總到總部，供跨店檢視、身份候選與報表認證。門市仍是日常開單、預約與會員維護的寫入來源；總部不會改寫門市擁有的業務資料。同步以按需為主，定時增量可選且預設關閉。一般分店系統看不到總部同步功能。
需求是「在總部看齊各店資料，但不交出各店寫入權」。HQ Safe Sync 以來源擁有、單向唯讀、預設關閉、有失敗不推進為底層規範。
總部畫面上，已匯總的會員、發票等資料不可在總部直接改寫，會提示回到來源門市處理。門市仍是真相來源。
總部只用獨立唯讀通道讀取門市庫。連線若帶有寫入權限，系統拒絕同步，亦不會改用網站日常寫入帳號。
總部同步、各來源店與各業務範圍預設都不啟用。未完成授權、金鑰與結構預檢前，不能開始同步。
遇到缺父資料等列級失敗時，進度停在安全位置並重試，不會跳過失敗硬跑完，避免總部出現斷裂資料。
集團通常由多間獨立門市資料庫構成。營運需要在總部看到會員、銷售、預約等資料，但不能交出各店寫入權，也不能讓總部誤改門市擁有的業務資料。
同步控制只存在於總部。可由網頁排程、背景批次或（可選）每日定時觸發。同一時間只處理一條工作線，避免兩次執行互相干擾。
變更操作須經後端權限覆核，不是只靠畫面隱藏按鈕。新功能權限不會自動發給任何人，必須由管理人員明確授權。
| 閘門 | 在保護什麼 | 未通過時 |
|---|---|---|
| 總部專用庫 | 只有標示為總部的系統才提供同步功能 | 一般分店看不到相關頁面 |
| 全域開關 | 即使已是總部庫，未開啟同步也不能執行 | 入隊與處理一律被擋 |
| 來源授權金鑰 | 總部只連接到已雙方確認的來源店 | 拒絕連線，不同步 |
| 唯讀連線 | 來源帳號必須只有讀取權；不會改用網站寫入帳號 | 拒絕連線 |
| 人員權限 | 須具備總部同步相關授權，後端再次檢查 | 無權限者無法進入功能 |
| 畫面變更憑證 | 同步、身份與報表的變更操作須帶本次畫面憑證，後端再次核對 | 拒絕該次變更 |
| 聯絡資料遮罩 | 身份候選只顯示遮罩後的電話／電郵，不把明文帶回畫面 | 列表不含完整聯絡資料 |
| 附件存放範圍 | 待傳檔案只收入總部指定儲存範圍，拒絕越界路徑 | 該檔標記失敗，不寫出範圍外 |
同步按業務範圍分層，且必須連同上游依賴一併啟用。第一次不要一次全開。病歷表單與附件屬較敏感資料，確認總部有需要才納入。
組織主檔員工維度 會員銷售預約 療程庫存人事 財務表單／病歷附件
| 方式 | 適用情況 |
|---|---|
| 依異動時間增量 | 一般主檔與交易表，只抽取變更過的資料。 |
| 現行表與歸檔一併對齊 | 發票、預約（含治療師分派）、療程等會搬入歸檔的資料，避免同一筆在總部重複開新身份。 |
| 只追加新紀錄 | 確認只會往後新增、不會改舊列的流水資料（例如付款紀錄）。 |
| 分段全量對帳 | 沒有可靠異動時間的表，用分段比對補齊差異；成本較高，不是預設加速手段。 |
如項目類型等標準字典，總部按編碼重用同一列，方便跨店對齊。
如付款方式等店舖自訂項目，以來源隔離，避免多店同名互相覆蓋。
從排隊到發佈，每一步都有明確狀態。執行中會持續回報存活；逾時未回應的任務才可收回，正在正常執行的不會被中斷。
「需要繼續」不是故障。歷史銷售與預約本來就不是按一下畫面就能全部搬完。
該範圍已完整同步並可發佈。下一步：查看發佈結果與認證。
因時間或批次上限暫停，進度已保存。下一步：繼續同步，或改由背景批次接續。
連線、結構或資料約束未通過；進度通常不前進。下一步：依錯誤摘要修好來源後再跑。
時間花在「門市唯讀查詢」與「總部逐筆對照寫入」。系統優先保證對照正確，不以一次大量覆蓋換速度。
| 項目 | 對外需要知道的 |
|---|---|
| 畫面操作 | 適合驗證通道與小範圍同步；有執行時限，大表會顯示「需要繼續」。 |
| 背景批次 | 適合歷史資料搬遷；可長時間接續，直到該範圍完成或到達預定時限。 |
| 每日定時 | 預設關閉；開啟後只適合增量，不要指望用它搬完歷史。 |
| 門市負載 | 同步不會改寫門市資料，但仍會查詢。請避開門市高峰與日結時段。 |
| 並行 | 同一時間只跑一條同步工作線，不能靠多開程式加速。 |
入口掛在系統管理。未獲授權無法進入。跨店身份與報表認證是獨立功能，與同步中心分開授權。
管理來源店、預檢、排隊、執行進度、斷點續跑與操作紀錄。日常營運主畫面。
依聯絡資料產生「可能同一人」候選，畫面只顯示遮罩後的電話／電郵。不會自動合併，須由授權人員確認。
查閱銷售與財務匯總是否通過一致性核驗。同步過程中不通過則該範圍不發佈。
第一次不要一次開啟全部業務範圍。先證明通道可用，再逐層加入營運資料。