安全管理
Sytance 在託管服務、軟件開發生命週期和支援營運中採取技術與組織安全措施。我們根據所處理的資訊、服務架構、可信威脅及對客戶的潛在影響，選擇並審查這些措施。
本頁是公開概覽，不是審計報告、認證、滲透測試結果或合約安全附件。客戶特定的安全、鑒證、資料位置或通知要求必須透過適用商業流程約定。
身份驗證與存取控制
- 存取控制以個人使用者帳戶和角色權限為基礎。
- 客戶管理員負責管理組織和工作區成員，並分配相應角色。
- 對客戶內容的請求會依據租戶、工作區和對象級存取規則進行檢查。
- 身份驗證工作階段使用由伺服器設定、具有 HttpOnly 屬性的 Cookie，並在正式環境中實施跨站請求保護。
- 獲授權的管理支援存取僅限於相關客戶的範圍，並保留存取記錄。
租戶與資料保護
- 應用程式和資料庫控制措施有助分隔不同租戶的記錄。
- 正式環境面向外部的瀏覽器和 API 通訊透過 HTTPS 保護傳輸。
- 客戶文件和媒體透過需要身份驗證的路由交付，而不是透過不受限制的公開連結交付。
- 特定預覽和下載使用有時限的存取連結。
- 已知的憑據、令牌、Cookie、秘密資訊等敏感欄位會從常規應用日誌中排除或經過脫敏處理。
- 資料存取僅限於所需的服務功能、客戶指示、支援需求或營運職責。
安全開發與變更
- 設計和評審相關功能時，我們會考慮安全要求與架構。
- 程式碼審閱和自動檢查有助於在部署前識別缺陷。
- 變更透過受控的構建和部署流程交付，並實現開發活動與生產運維相分離。
- 軟件依賴項和已報告漏洞會根據與服務的相關性、可利用性、暴露程度和潛在影響進行評估。
監控與事件回應
在適當情況下，我們會記錄或監控與安全相關的身份驗證、權限、管理、應用和基礎設施事件，以支援檢測、調查和責任追溯。
身份驗證介面及部分公開介面設有速率限制和防濫用措施。對於疑似事件，我們按流程開展初步研判、控制影響、調查、補救、恢復和事後檢討。
如果事件需要通知客戶或監管機構，我們會依據適用法律和相關客戶協議發出通知。
疑似帳戶失陷請聯絡 support@sytance.com；疑似漏洞或資料暴露請聯絡 security@sytance.com。報告應包含受影響帳戶或資產、時間及觀察到的行為，但不要發送密碼、工作階段令牌或不必要的客戶文件。進一步證據可另行約定安全傳遞方式。
我們代表客戶處理受影響個人資料時，事件通知和協作適用服務條款附錄 A。首次通知不等待全部事實確定，調查推進後繼續補充資訊。
AI 輔助處理
AI 輔助操作在需要身份驗證的產品工作流程內運作。服務會發送與所請求功能相關的指令和工作區上下文，生成結果仍須由客戶評審。
漏洞管理
潛在漏洞可能透過開發檢查、營運監控、軟件依賴項資訊、客戶或研究人員報告及針對性安全評估發現。我們會綜合嚴重程度、可利用性、暴露程度、受影響的資料和使用者、漏洞遭主動利用的證據及可用的緩解措施等風險因素，對問題進行驗證並確定處理優先次序。
外部研究人員可透過協調披露流程報告疑似漏洞。該政策說明獲授權的研究活動、報告要求、回應目標、安全港條款和披露協調方式。
安全諮詢與保障資訊
客戶和潛在客戶可透過 hello@sytance.com 或現有業務聯絡人，在實際需求範圍內諮詢安全問題或申請相關資料。現有客戶如懷疑帳戶遭入侵，或發現服務運行中的安全問題，應聯絡 support@sytance.com。
疑似漏洞請依據漏洞披露政策私下報告至 security@sytance.com。
我們可在適當的保密和存取安排下提供安全資訊，以避免暴露其他客戶的資訊或可被利用的技術細節。申請安全資料不代表獲准開展滲透測試。合約審計權及法定監管權限仍按適用協議及法律處理。
