Adapty 是数千款移动应用的订阅基础设施层，代表我们的客户处理数十亿美元的订阅交易。
这一地位带来了明确的责任：您和您的用户托付给我们的数据必须得到审慎处理，接受非我们雇员的人员审计，并由不依赖于任何个人的控制措施加以保护。
本页面介绍我们如何做到这一点。
认证
SOC 2 Type II
一家独立的注册会计师事务所对我们的安全性、可用性和保密性控制措施进行审查，并出具 SOC 2 Type II 鉴证报告，涵盖报告期内这些控制措施的运行有效性。客户和潜在客户可在签署 NDA 的前提下获取当前报告。您可以向您的客户经理团队或通过 [email protected] 申请获取。
隐私法规
Adapty 严格以数据处理者的身份处理最终用户数据，仅根据我们的数据处理协议按照客户有记录的指示行事。我们的处理实践旨在满足以下法规的要求：
- GDPR（欧盟和英国）；
- LGPD（巴西）。
如果您所在的司法管辖区有上文未列出的特定要求，请联系我们——我们通常能够满足这些要求。
我们如何保护数据
加密
所有客户数据在传输过程中（TLS 1.2+）和静态存储时均使用行业标准的加密算法进行加密。
网络和基础设施
生产环境运行在经过加固的行业标准环境中，服务之间实行网络分段，入站和出站流量受到限制，并对少数能够访问生产环境的工程师实行最小权限访问。访问生产环境需要多重身份验证，且访问会被记录。
持续监控
我们的基础设施和应用的日志会集中汇总，异常情况会触发自动告警，并有值班工程师 24/7 待命以响应事件。
安全开发
每一项代码变更在进入生产环境之前，都必须经过同行评审、自动化静态分析以及 CI 中的安全检查。我们会跟踪依赖项并按既定计划进行修补，同时维护清晰的部署流水线，记录谁在何时发布了什么内容。
运营实践
人员
所有员工均须在入职时及此后每年完成安全意识培训。公司所有支持 MFA 的系统均强制启用 MFA。对客户数据的访问受到限制，会被记录并定期审查。
供应商
我们在基础设施、数据处理或安全方面所依赖的每一家第三方，在接入前都要经过有记录的审查，并定期接受重新评估。关键供应商须持有同等认证（通常为 SOC 2 Type II 或 ISO 27001）。
韧性
我们按既定计划执行加密备份，在关键服务之间保持冗余，并测试我们的灾难恢复程序，确保恢复是我们实际演练过的流程，而不是打算在压力之下临时摸索的事情。
事件响应
我们制定了成文的事件响应计划，其中规定了明确的严重级别、沟通规程和事后复盘。
报告漏洞
如果您认为发现了 Adapty 的安全问题，请发送电子邮件至 [email protected]。我们会调查每一份可信的报告，与报告者合作进行修复，并对遵循负责任披露原则的研究人员予以致谢（除非他们希望保持匿名）。
企业级安全审查
Enterprise 客户和潜在客户可以通过 [email protected] 申请获取以下材料：
- 最新的 SOC 2 Type II 报告（需签署 NDA）；
- 已填写的安全问卷（CAIQ、SIG 或您自己的格式）；
- 信息安全政策摘要；
- 渗透测试摘要。
