六大支柱——审计过的,而非营销文案。
传输中的每次请求使用 TLS 1.2+。数据库、对象存储和备份采用 AES-256 静态加密。密钥保存在独立的密钥管理系统中,绝不写入代码。
每位客户运行在逻辑隔离的工作区中。所有查询在中间件层按工作区 ID 限定范围,您的线索和管道数据对其他任何租户都不可访问。
基于角色的访问控制、登录端点的暴力破解锁定(每 IP + 账户 5 次失败 → 15 分钟冷却)、以及有时限的访问审查。Alphorix 员工仅在严格需要且留有审计痕迹的情况下访问客户工作区。
托管在通过 ISO 27001 / SOC 2 认证的一线云提供商数据中心。OWASP 推荐的 HTTP 安全头(HSTS、X-Frame-Options DENY、nosniff、Referrer-Policy、Permissions-Policy、COOP/CORP)在每个响应上强制执行,公共端点在应用层进行速率限制。
每小时进行时间点数据库快照,保留 30 天。备份加密存储,恢复演练每季度进行。
CRM 内部每一次敏感操作——登录、线索导出、用户变更、权限授予——都会记录在管理员可访问的不可变审计日志中。
此清单上的每一项控制今日已上线。
当正式认证仍在进行而非完成时,我们如实说明——绝不会用"合规"来表示"正在做"。
融入您的合规计划而设计。
Alphorix 作为您的数据处理者,并遵守数据主体请求(访问、更正、删除、可携性)。数据处理附录可依申请提供。
我们的内部控制遵循 AICPA SOC 2 信任服务准则(安全性、可用性、机密性)。正式认证已列入 2026 年路线图。
持卡人数据仅由 Stripe 处理。Alphorix 从未看到或存储完整卡号——我们仅保留后 4 位和卡片品牌用于显示。
对有数据驻留要求的客户,我们可以在年度方案上于特定区域预置工作区。详情请联系 legal@alphorix.net。
一份活的应急剧本,而非抽屉里的 PDF。
当出现故障或疑似安全事件时,我们的值班工程师会遵循一份已记录并演练过的运行手册。受影响的客户在范围确认后立即被通知——依据 GDPR 从不晚于确认后 72 小时。
报告漏洞 →- 确认报告< 1 个工作日
- 分诊与定级< 3 个工作日
- 关键修复窗口< 7 天
- 违规时通知客户< 72 小时