账户安全与隐私保护

数据安全和隐私保护是我们平台的最高优先级。本文将详细介绍我们的安全措施、隐私政策，以及您可以采取的账户保护方法。

平台安全架构

数据传输安全

我们采用业界领先的加密技术保护您的数据传输：

TLS 1.3 协议：所有数据传输均使用最新的 TLS 1.3 加密
HTTPS 强制跳转：自动将 HTTP 请求重定向到 HTTPS
证书验证：使用 EV SSL 证书，浏览器地址栏显示绿色安全标识
前端加密：敏感数据在浏览器端预加密后再传输

安全传输示意图

数据存储安全

您上传的所有文档和数据都经过严格保护：

加密存储

AES-256 加密：文件存储使用军事级别的 AES-256 加密算法
密钥分离：加密密钥与数据分离存储，多层防护
数据库加密：敏感字段（如邮箱、手机号）采用不可逆哈希加密

访问控制

身份验证：每个请求都需要有效的身份令牌
权限隔离：用户只能访问自己的数据，无法查看他人信息
操作日志：所有数据访问和操作都有完整审计日志

数据备份

异地多副本：数据在多个地理位置备份，防止单点故障
自动备份：每日自动备份，保留最近 30 天的版本
灾难恢复：RTO（恢复时间目标）≤ 4 小时，RPO（恢复点目标）≤ 1 小时

数据存储架构

网络安全防护

DDoS 攻击防护

部署在全球 CDN 节点，自动识别和拦截攻击流量
峰值防护能力：500 Gbps

Web 应用防火墙（WAF）

实时检测和阻止 SQL 注入、XSS 等常见攻击
智能识别异常流量模式

入侵检测系统（IDS）

7x24 小时监控可疑活动
自动告警和应急响应

账户安全设置

密码安全

密码要求

为保障账户安全,我们要求密码必须满足以下条件：

长度至少 8 个字符
包含大写字母（A-Z）
包含小写字母（a-z）
包含数字（0-9）
包含特殊字符（如 !@#$%^&*）

示例强密码：MyPass@2025!

密码最佳实践

✅ 推荐做法：

使用密码管理器生成和存储复杂密码
不同网站使用不同密码
定期更换密码（建议 3-6 个月）
避免使用生日、姓名等容易被猜到的信息

❌ 避免的做法：

使用简单密码（如 123456、password）
多个网站共用同一密码
在公共场所登录后不退出
将密码告诉他人或写在纸上

双重认证（2FA）

开启双重认证可大幅提升账户安全性：

什么是双重认证？

除了密码外，登录时还需要提供第二个验证因素：

手机验证码：通过短信接收 6 位数字验证码
邮箱验证码：通过邮件接收验证码
身份验证器 App：使用 Google Authenticator、Microsoft Authenticator 等应用生成动态验证码

开启步骤

登录后点击右上角头像 → “账户设置”
选择”安全设置”选项卡
找到”双重认证”区域，点击”开启”
选择验证方式（推荐使用身份验证器 App）
按提示完成绑定和验证

使用身份验证器 App

推荐应用：

Google Authenticator（iOS / Android）
Microsoft Authenticator（iOS / Android）
Authy（支持多设备同步）

设置流程：

下载并安装身份验证器 App
在平台上选择”身份验证器”方式
使用 App 扫描屏幕上的二维码
使用 App 显示的 6 位验证码完成绑定

安全提示：请妥善保存备份密钥，在手机丢失时可用于恢复账户访问。

双重认证设置

登录安全

查看登录历史

您可以随时查看账户的登录记录：

进入”账户设置” → “安全设置”
点击”登录历史”
查看每次登录的时间、IP 地址、设备类型

如发现可疑登录：

立即点击”这不是我”按钮
系统会自动强制退出所有设备
建议立即修改密码并开启双重认证

会话管理

自动登出：30 分钟无操作自动退出登录
设备记忆：常用设备可选择”记住我”，7 天内免登录
远程登出：可在任意设备上强制其他设备退出登录

找回密码

如果忘记密码，可通过以下方式重置：

通过邮箱找回

在登录页点击”忘记密码”
输入注册邮箱
查收邮件中的重置链接（有效期 1 小时）
点击链接，设置新密码

通过手机找回

选择”手机找回”选项
输入绑定的手机号
接收并输入短信验证码
设置新密码

无法接收验证码？

邮箱未收到：检查垃圾邮件文件夹，将我们的域名加入白名单
手机未收到：确认号码正确，尝试语音验证码
都无法使用：联系客服进行人工验证（需提供注册信息和身份证明）

隐私保护政策

数据收集范围

我们仅收集必要的信息来提供服务：

必需信息

注册信息：邮箱、手机号（用于账户管理）
企业信息：公司名称、联系人（用于开具发票）
使用数据：上传的文档、查询记录（用于服务提供）

自动收集信息

技术数据：IP 地址、浏览器类型、设备信息（用于安全分析）
Cookie 数据：用于保持登录状态和改进用户体验

不收集的信息

与服务无关的个人信息
敏感信息（如身份证号、银行卡号）
通讯录、位置等手机权限数据

数据使用原则

您的数据仅用于以下目的：

提供服务：AI OCR 识别、HS 编码推荐等核心功能
改进算法：优化 AI 模型（您可选择退出）
安全防护：检测异常行为和潜在攻击
客户支持：响应您的咨询和反馈

我们承诺：

❌ 不会出售您的数据给第三方
❌ 不会用于广告推送
❌ 不会在未经同意的情况下共享

数据保留期限

数据类型	保留期限	删除方式
上传的文档	30 天	自动删除
识别结果	90 天	自动删除或手动删除
查询历史	1 年	手动删除
账户信息	账户存续期间	注销账户后 30 天内删除
操作日志	6 个月	自动删除

手动删除方式：

进入”数据管理”页面
选择要删除的记录
点击”永久删除”并确认

注意：删除操作不可恢复，请谨慎操作。

第三方服务

我们使用以下可信赖的第三方服务：

云服务商：阿里云（中国）、AWS（国际）
支付服务：支付宝、微信支付（已通过 PCI DSS 认证）
邮件服务：SendGrid（用于发送通知邮件）
分析工具：Google Analytics（您可选择退出）

安全措施：

所有第三方均签署数据保护协议
数据传输和存储均加密
定期进行安全审计

用户权利

根据《个人信息保护法》和 GDPR，您拥有以下权利：

访问权

随时查看和导出您的个人信息

更正权

修改不准确或过时的信息

删除权（被遗忘权）

请求删除您的个人数据（法律要求保留的除外）

撤回同意权

撤回之前授予的数据处理同意

数据可携带权

以常见格式（如 JSON、CSV）导出数据

行使权利的方式：

登录后在”隐私设置”中操作
发送邮件至 privacy@custpro.com
联系在线客服

安全建议

企业用户安全管理

如果您代表企业使用我们的服务：

权限分配：为不同员工设置不同的访问权限
定期审计：每季度检查员工账户活动
离职处理：员工离职后立即撤销其账户权限
数据分类：对敏感商业数据进行标记和加密
培训员工：定期进行安全意识培训

防范钓鱼攻击

常见钓鱼手段：

伪装成官方邮件，要求点击链接”验证账户”
冒充客服，以”系统升级”为由索要密码
创建相似域名的假冒网站

识别方法：

✅ 官方邮件特征：

发件人：@custpro.com
不会要求提供密码
链接指向 https://www.custpro.com

❌ 可疑邮件特征：

发件人域名错误（如 @cust-pro.com）
要求紧急行动（“24 小时内操作”）
语法错误或翻译生硬

遇到可疑邮件：

不要点击任何链接
不要下载附件
转发至 security@custpro.com 报告

公共网络使用

在咖啡厅、机场等公共场所使用平台时：

❌ 避免使用公共 WiFi 处理敏感数据
✅ 使用 VPN 加密连接
✅ 确保 HTTPS 连接（浏览器地址栏有锁图标）
✅ 使用完毕后退出登录

安全认证与合规

我们已通过以下安全认证：

ISO 27001：信息安全管理体系国际标准
SOC 2 Type II：第三方安全审计
PCI DSS Level 1：支付卡行业数据安全标准（如使用支付功能）
等保三级：中国网络安全等级保护（备案中）

合规声明

我们严格遵守以下法律法规：

🇨🇳 中国：《网络安全法》、《数据安全法》、《个人信息保护法》
🇪🇺 欧盟：GDPR（通用数据保护条例）
🇺🇸 美国：CCPA（加州消费者隐私法案）

安全事件响应

应急响应机制

如发生安全事件，我们将：

立即响应（1 小时内）：启动应急预案
影响评估（4 小时内）：确定受影响范围
通知用户（24 小时内）：通过邮件和站内通知
修复漏洞（72 小时内）：采取技术措施补救
报告总结（1 周内）：发布事件报告和改进措施

漏洞奖励计划

我们欢迎安全研究人员负责任地披露漏洞：

奖励标准：

严重漏洞：￥5,000 - ￥20,000
高危漏洞：￥2,000 - ￥5,000
中危漏洞：￥500 - ￥2,000
低危漏洞：￥100 - ￥500

提交方式：发送至 security@custpro.com

联系安全团队

如有安全相关的疑问或发现漏洞：

安全邮箱：security@custpro.com（24小时监控）
紧急热线：+86-xxx-xxxx-xxxx
PGP 公钥：下载公钥