ERPFlow 的安全措施

• 您的数据在数据库里就已隔离

  每张表都带有行级安全策略，默认拒绝，因此一次查询只可能返回属于您组织的行。这道边界由 PostgreSQL 强制执行，而不是由应用代码把关：某个处理函数写错了，也无法把另一家公司的数据从这里放出去。

• 托管在欧盟境内

  您的数据存放在德国的服务器上。在服务正常运行的过程中，数据不会离开欧盟；我们用到的每一家次级处理者都公开列出，包括它做什么、在哪里运营。

• 传输中和静态存储时都加密

  所有流量都走 TLS。静态数据在磁盘上加密，数据库备份和上传的文件也一样。备份单独加密，因此拿到一份副本、却没有密钥的人什么也做不了。

• 每个人只看得到角色允许的内容

  基于角色的访问控制覆盖每一种资源，精确到每一个操作。谁能查看发票、谁能编辑员工记录、谁除了自己的预订以外什么都看不到，都由您决定。权限在每一次请求时都在服务器端校验，而不是藏在界面里。

• 每一次改动都有日志

  新增、修改和删除都会进入活动日志，可以按用户、记录和操作检索。库存和资产的变动另有一条不可更改的轨迹：某个数字看着不对时，您可以准确看到是什么改的、由谁负责。

• 自动加密备份

  数据库按计划自动备份并加密，恢复流程有文档、也演练过，而不是假定它能用。

• 所有东西都能带走

  随时可以下载整个组织：一个压缩包装着导出为 CSV 的每一条记录，可以直接再导入回来；另一个压缩包装着您上传的全部文件。没有导出费，不用提工单，也没有私有格式。离开是点一个按钮，不是一场谈判。

• GDPR 落在做法上，不只写在政策里

  我们公开次级处理者清单，受理《通用数据保护条例》（GDPR）下的访问和删除请求，并把分析统计放在明确同意之后：您同意之前，不会加载任何跟踪 Cookie。我们的隐私声明用平实的语言写清楚了收集什么。

• 密钥只存放在服务器端

  数据库凭据、API 密钥和签名密钥保存在服务器上，仅限需要它们的服务使用——不在代码里，不在工单里，也不在笔记本电脑上。角色变更或人员离职时，访问权限和凭据会被立即收回。

• 团队受保密约束并接受培训

  所有获准接触客户数据的人都以书面形式承诺保密，并按其职责接受数据保护和信息安全培训，至少每年复训一次。我们的数据处理附录将这两项承诺写入合同（第 5.1 和 5.2 条）。

• 数据泄露将在 72 小时内通知

  如果个人数据泄露影响到您的数据，我们会及时通知您——最迟不超过知悉后 72 小时——说明发生了什么、涉及哪些数据以及我们正在采取的措施。该时限是我们数据处理附录中的合同承诺（第 10 条），而非努力目标。

更多细节： 次级处理者名录 · 隐私声明