1. 安全治理
深圳市渡九洲科技有限公司将数据安全纳入产品和服务管理。相关负责人协调权限审批、风险评估、漏洞处置、事件响应和供应商安全要求。本政策至少每年或在重大业务与监管变化后复核。
2. 访问控制原则
- 最小权限：平台权限、系统角色和数据库访问仅限完成获批职责所需范围。
- 按需知悉：仅向具备明确业务需求且完成授权的人员开放受保护数据。
- 角色分离：管理、开发、运维和业务访问按角色划分，敏感操作执行额外审批或复核。
- 定期复核：人员变动时及时调整权限，并至少每年开展访问权复核。
- 身份保护：管理访问使用强认证策略；禁止共享个人账号和明文传递凭据。
3. 数据保护基线
生产数据通过 TLS 1.2 或更高版本传输；敏感凭据和适用的个人数据在存储时采用行业通行的加密或等效保护。密钥与业务数据分离管理，禁止将生产密钥写入公开代码。对导出、下载和共享功能实施权限校验与日志记录。
4. 第三方平台授权与令牌
电商平台、广告平台、应用商店、游戏登录或其他第三方服务连接采用其支持的授权机制。授权令牌仅用于客户或用户启用的功能，按应用与环境隔离，并限制可接触人员。我们不要求用户提供第三方平台登录密码。授权撤销、过期或服务终止后，相关令牌将停止使用并按计划删除。
5. 日志、监控与备份
对登录、授权、关键数据变更、同步任务和管理操作保留必要日志，用于故障排查、安全审计和事件调查。日志访问受到限制并按分类期限保留。备份实施访问控制和恢复验证，并按轮换计划清除。
6. 安全开发与漏洞管理
变更需经过代码审查、测试和发布控制。我们持续关注依赖与基础设施风险，按风险等级跟踪修复，定期开展漏洞扫描或等效检查；高风险问题优先处置。安全问题可通过 service@dujiuzhou.com 负责任地报告。
7. 事件响应政策
安全事件按识别、遏制、调查、修复、恢复和复盘流程处理。我们会保存必要证据、评估影响范围，并在适用法律、合同或平台政策要求的期限内通知受影响客户或有关方。事件流程至少每年演练或桌面推演一次。
8. 供应商与人员
可接触受保护数据的供应商须经过与风险相适应的评估并承担保密和安全义务。相关人员接受数据保护与安全意识培训，违反政策可能导致权限取消和进一步处理。
9. 客户与合作方责任
企业客户和合作方应维护授权账号安全、仅授予适当人员访问、及时移除离职人员权限，并向我们报告可疑活动。不得将系统用于未经授权的数据获取、侵权内容传播或违反目标平台政策的操作。
10. 联系与披露
请勿在首次报告中发送真实客户数据、密码或访问令牌。请通过 service@dujiuzhou.com 提供问题概述、受影响范围和复现方式，我们会确认接收并协调后续处理。