安全条款
与义务
我们的安全承诺不会埋没在法律术语中。以下明确说明我们如何保护您的数据、我们对您的期望，以及我们如何处理安全事件。
范围与适用性
本安全条款构成 Exponent Solutions Pvt. Ltd. 与客户之间主服务协议或适用订单的一部分。本条款界定了双方在 Exponent 服务、平台和咨询项目交付中的安全义务。
本条款适用于涉及处理、存储、传输或访问客户数据的所有服务合作，包括云基础设施、软件开发、AI 与 ML 部署、SaaS 集成和托管 IT 运营。
适用对象
涵盖实体
所有签有涉及数据处理、云基础设施或托管服务的有效协议的客户。
涵盖内容
安全边界
由 Exponent 管理或访问的所有环境，包括云、本地和混合组件。
法律关系
合同层级
本条款是对您主服务协议的补充。如有冲突，除非明确覆盖，以主服务协议条款为准。
管辖
适用法律
受印度法律管辖，由哈里亚纳邦古尔冈法院管辖，并须遵守适用的数据传输法规。
重要提示
我们的安全义务
Exponent 在所有服务交付环境中保持企业级控制，并通过评审、测试和审计计划持续改进防护措施。
技术安全控制
静态与传输加密
存储数据采用 AES-256 加密，传输数据采用 TLS 1.3。
网络安全
跨环境的防火墙、WAF、DDoS 缓解和网络隔离。
7×24 小时监控
持续的 SOC 监控，具备自动威胁检测与告警。
漏洞管理
频繁的漏洞扫描、补丁修复和定期渗透测试。
备份与恢复
具备异地冗余的自动备份和书面化的恢复目标。
安全 SDLC
符合 OWASP 的 SDLC，包含代码评审和 CI 流水线中的安全扫描。
- ✓通过年度第三方审计保持 SOC 2 Type II 认证
- ✓每年进行 ISO 27001 复审评估
- ✓应要求向客户提供安全报告和摘要
- ✓至少每年对所有可访问数据的员工进行安全培训
- ✓保持专职安全运营能力，并具备事件升级机制
- ✓对拥有生产访问权限的人员进行背景调查
您的安全义务
安全遵循共同责任模型。Exponent 保障平台和基础设施层的安全，客户则须在自身环境和用户操作中维持基本控制。
共同责任模型
凭证与访问管理
执行强密码策略，对特权用户启用 MFA，并在员工离职时立即撤销账号。
事件报告
发现疑似安全事件后 24 小时内报告至 security@exponentsolutions.ai。
客户端终端安全
确保所有访问 Exponent 环境的系统及时更新操作系统和安全补丁。
数据分类
共享前先对数据分类，避免上传超出批准敏感级别范围的数据。
安全意识培训
确保业务用户完成年度安全意识培训，降低人为因素风险。
季度访问审查
定期审查用户访问权限，并在各团队中保持最小权限分配。
数据保护
Exponent 依据严格的数据保护框架对客户数据进行分类和处理，并按数据类别和处理场景执行相应控制。
| 数据分类 | 示例 | 加密 | 访问级别 | 保留期限 |
|---|---|---|---|---|
| 高度机密 | 个人身份信息、财务记录、健康数据 | AES-256 + HSM | 仅限知悉必要者 | 依 DPA 约定 |
| 机密 | 业务逻辑、API 密钥、凭证 | AES-256 | 仅限授权团队 | 合同期 + 90 天 |
| 内部 | 项目文档、服务配置 | 传输中 TLS 加密 | 项目团队 | 合同期 + 30 天 |
| 公开 | 营销素材、公开 API | 标准 | 不受限制 | 无限期 |
服务终止时，所有被归类为机密或更高级别的客户数据将按合同和监管义务安全删除。可应要求提供删除证明。
数据可携带性
事件响应
Exponent 制定了书面化的事件响应计划，明确时间线、责任人和沟通渠道。响应义务按严重级别划分。
正在发生的泄露 / 数据外泄
立即开始遏制。优先通知客户，并依法律要求配合监管机构。
未经授权的访问尝试 / 服务中断
快速分级、受控补救，并在根因分析后提交正式事件报告。
发现漏洞 / 违反政策
调查并制定修复计划，明确责任人并进行安全治理审查。
安全不合规
在常规安全维护窗口内处理，并保留关闭证据。
事件报告渠道
访问控制
对生产系统和客户数据的访问遵循最小权限策略、基于角色的控制和身份保障标准。
- ✓所有具有高级权限的用户访问生产环境均须 MFA
- ✓执行基于角色的访问控制并定期审查访问权限
- ✓特权会话受到监控和审计
- ✓所有访问事件均被记录，并按审计要求保留
- ✓角色变更或离职后及时撤销访问权限
- ✓敏感运维任务使用限时访问
在合同和合规约束下，客户可以申请处理其数据的环境的访问日志。
安全审计
Exponent 定期接受外部安全评估，并维持正式审计计划，以验证控制措施和运营有效性。
SOC 2 Type II
年度独立审计
年度审计，涵盖安全性、可用性和保密性控制。报告可在签署保密协议后提供。
ISO 27001
ISMS 认证
信息安全管理体系认证，每年复审并定期进行监督审核。
渗透测试
第三方测试
每年由认证团队进行第三方渗透测试。执行摘要可提供给企业客户。
客户发起的审计
支持审计权
企业客户可在提前通知、签署保密协议并合理安排时间的前提下申请行使审计权。
第三方供应商
Exponent 设有供应商风险管理流程。可访问客户数据的分处理方在引入前须按基本安全要求进行评估，并定期复审。
在合同或数据处理协议有要求时，我们会提前告知客户分处理方的重大变更。
对分处理方的异议权
责任与补救
安全事件的责任依据适用协议条款处理，包括责任限额、免责条款和服务补偿规定。
- ✓Exponent 投保了职业责任险和网络责任险
- ✓对于因 Exponent 过失导致的事件，我们将合理配合泄露响应
- ✓可根据约定的 SLA 承诺适用服务补偿
责任限制
条款更新
Exponent 至少每年审查一次本安全条款，并可能根据法律变化、行业标准和安全最佳实践进行更新。
- ✓重大变更前通过邮件通知主要账户联系人
- ✓在相关情况下通过产品内或门户发布更新通知
- ✓公布带生效日期的版本历史
在更新条款生效日之后继续使用服务即表示接受。如有疑问，请在更新生效前联系 legal@exponentsolutions.ai。