安全与数据保留政策

安全计划

我们采用旨在保护平台及其所承载的机密项目、资本和机构信息的管理、技术和组织保障措施，包括访问控制、传输加密、安全响应头与内容安全策略、最小权限管理以及对敏感操作的审计日志。没有任何系统是完全安全的，我们不保证绝对的安全性。

我们监测的内容

对于经过身份验证的平台账户，我们出于安全、合规、可审计和支持目的记录业务与安全活动：

• 身份验证与会话 — 登录／登出、会话时长、IP 地址、基于 IP 的大致位置、网络运营商、设备、浏览器和操作系统。
• 应用内活动 — 打开的页面与模块、查看的项目与资本资料室、查看或下载的文档、提交的表单、搜索，以及提出或处理的访问申请。
• 安全事件 — 登录失败、权限被拒事件、异常下载量、新设备或新地点登录及相关风险指标。

基于 IP 的位置是大致的，并非已核实的实际地址。我们不进行隐蔽的屏幕录制；在需要还原活动过程时，将依据上述事件日志进行整理。我们不出售活动数据。

分级管理访问

对监测与分析的访问按角色并基于“必要知悉”原则加以限制，且每一次管理访问本身也会被记录：

• Analytics Viewer — 仅限汇总分析。
• Security Admin — 登录、IP、安全与风险记录。
• Compliance Admin — 审计日志、法律标记以及公共记录审查。
• Platform Admin — 运营与使用情况分析。
• Super Admin — 全面可见，且所有访问均被记录。

数据保留期限

以下为基准目标；确切期限由法务审查，并可能因法域和法律保全要求而有所不同：

• 安全事件日志 — 1–7 年
• 审计日志 — 3–7 年
• 登录／会话记录 — 1–3 年
• 文档访问日志 — 3–7 年
• 页面与交互分析 — 12–24 个月
• 汇总／去标识化分析 — 保留更长时间
• 导出日志 — 3–7 年
• 支持记录 — 2–5 年
• 已删除账户记录 — 仅在法律必要范围内保留
• 敏感的部落事务（Tribal Affairs）记录 — 适用经治理机构批准的特殊保留与删除规则，并具备数据主权保护和严格的访问控制。

保障措施与治理

• 对所有监测与分析实行基于角色的访问控制。
• 数据最小化——我们只收集监督与安全所必需的数据，绝不多收。
• 敏感字段脱敏与导出控制，敏感导出须经批准。
• 任何涉及监控敏感性的功能在发布前均须经法律审查。
• 不出售用户活动数据；除已披露内容外不存在隐藏跟踪。

原型阶段说明

在平台的原型阶段，活动仅在当前浏览器内为演示目的进行采集，不收集仅存在于服务器端的信号（例如 IP 地址和地理位置）。当安全后端部署后，将启用权威的服务器端采集、仅追加的审计日志以及强制执行的保留期限。届时本说明将相应更新。

报告问题

如需报告安全漏洞，或就活动如何被监测或保留提出关切，请联系 applied@thecefa.org。