我们处理敏感的客户数据。 以下是我们如何保护这些数据。

我们的安全框架

我们实施符合行业认可框架的安全实践，并保持对适用法规的合规性。

HIPAA — 合规. 支持业务伙伴协议(BAA)的医疗数据处理。有完整的PHI处理程序文档，包含加密和访问控制。

GDPR — 合规. 完全符合欧盟数据保护要求，包括数据主体权利、合法依据文档和删除程序。

ISO 27001 — 对标. 我们遵循ISO 27001信息安全框架的风险管理和安全控制实践。

SOC 2 — 对标. 我们在运营中实施SOC 2的安全性、可用性和保密性原则。

关于认证的说明： 我们遵循公认的安全框架，并在必要时保持法规合规。"对标"表示我们实施框架实践；"合规"表示我们满足监管要求。

技术安全

为传输中和静态的数据提供多层保护。

1. 传输中数据

• 所有网络连接使用HTTPS/TLS加密
• 语音通话使用SRTP（安全实时传输协议）
• 与客户系统的API连接均加密

2. 终端安全

• 所有工作站安装BitDefender终端安全软件
• 实时威胁检测和防护
• 定期安全更新和补丁管理

3. 访问控制

• 所有访问强制要求多因素认证(MFA)
• 基于角色的访问控制(RBAC)
• 所有数据访问的完整审计追踪

"我们根据数据敏感度和客户需求实施技术控制。安全措施可按合作需求定制。"

数据处理

我们收集的数据

• 通话录音 — 静态加密存储，可配置保留期限
• 聊天记录 — 加密存储，可用于质检搜索
• 客户元数据 — 来自CRM集成的姓名、邮箱、工单ID
• 坐席活动日志 — 用于质量保证和合规审计

数据存储位置

• 美国 — 默认位置
• 自定义位置 — 可按客户需求安排

默认数据处理在美国进行。可根据您的监管要求安排自定义数据中心位置。

保留与删除

数据类型	默认保留期	可配置范围
通话录音	90天	30天 - 7年
聊天记录	1年	30天 - 7年
审计日志	2年	固定（合规要求）
坐席绩效数据	1年	30天 - 3年

可按需提供销毁证明。GDPR删除请求在30天内处理。

物理安全

对于有更高安全要求的客户，我们提供具有增强物理管控的安全设施选项。

• 禁止个人电子设备 — 安全工作区域禁止携带手机和个人设备
• 24/7视频监控 — 对所有运营区域进行持续视频监控
• 受控环境 — 封闭窗户，外部无法看到工作区域
• 门禁管控 — 刷卡进入，访客登记制度

"欢迎现场参观。联系我们安排设施参观或运营安全评估。"