技术与运营措施

最后更新：2024年4月10日

我们的安全保障措施

以下概述了旨在保护我们及客户的信息资产免受滥用、误用或泄露的技术与运营措施（“TOMs”）。如需更多安全与隐私资源，请访问我们的 信任中心。

• 静态与传输中数据加密： 个人数据采用行业标准协议进行加密，以防止在存储和传输过程中被未经授权访问。
• 去标识化： 对个人数据进行转换，在没有额外信息的情况下无法识别个人身份，且相关信息被单独安全保存。
• 访问控制： 基于最小权限原则，仅授权人员可访问个人数据。
• 多因素身份验证 (MFA)： 要求员工使用多种验证方式确认身份，从而显著降低未经授权访问的风险。
• 安全审计与漏洞评估： 定期进行，以识别并修复潜在的安全威胁。
• 数据备份与恢复： 建立稳健的数据备份与灾难恢复流程，确保在发生灾难或数据丢失时个人数据的可用性与完整性。
• 网络安全： 通过防火墙、入侵检测/防御系统 (IDPS) 及其他网络安全措施，防范未经授权的访问和网络威胁。
• 安全开发实践： 将安全编码准则、定期代码审查和安全测试纳入软件开发生命周期。
• 数据保护政策： 定期推广、审查和更新符合欧盟/欧洲经济区 GDPR 的全面数据保护政策与流程。
• 数据处理协议： 与处理个人数据的第三方签署合同，要求其遵守与数据控制者约定同等标准的数据保护条款。
• 员工培训与意识： 每季度定期开展员工培训，涵盖数据保护最佳实践、安全意识及保护个人数据的重要性。
• 事件响应计划： 制定了事件响应计划，以便针对数据泄露或安全事件做出快速有效的应对。
• 数据保护影响评估 (DPIA)： 根据数据保护法规要求，对可能对个人权利和自由造成高风险的处理活动进行 DPIA。未达到监管阈值的数据处理活动也会进行其他类型的风险评估，以确保充分考虑并落实数据保护原则与义务。
• 供应商与第三方管理： 建立尽职调查机制，以评估和监控处理个人数据的供应商及第三方的保护实践。‍
• 合规监控与报告： 建立相关机制以监控对数据保护法律法规的遵守情况，并在必要时向相关利益相关方及监管机构报告。