事件响应与数据泄露通知政策
生效日 2026 年 5 月 4 日 · 版本 v1.0
生效日： 2026 年 5 月 4 日 · 版本： v1.0 关联： 《数据处理附件 (DPA)》 §8、服务等级与支持政策 (SLA) §6 安全联系： legal-privacy-ofac@infini-nova.com（🔴 须实际开通并有人值守）
1. 适用范围
本文件涵盖涉及个人信息或客户数据的安全事件：未经授权的访问、泄露、 篡改、丢失，或对可用性的破坏（如勒索软件）。
纯服务中断（不涉及数据）按 `08` §6 处理。 两者同时发生时，本文件优先， 因为它的时限更短。
2. 事件分级
| 级别 | 定义 | 示例 |
|---|---|---|
| S1 | 确认的客户数据泄露或未经授权的对外披露 | 数据库被导出；租户隔离失效导致 A 客户看到 B 客户数据 |
| S2 | 疑似泄露，或已被控制但影响范围待定 | 凭据泄露且日志显示异常登录 |
| S3 | 无数据影响的安全事件 | 被阻断的攻击；已修复的未被利用漏洞 |
| S4 | 客户侧事件 | 客户员工账户被盗（我们协助，但控制者是客户） |
3. 内部流程
发现 → 记录（时间、发现人、初步范围）→ 遏制 → 评估影响 → 通知 → 根除与恢复 → 复盘。
3.1 遏制优先于取证，但遏制过程中必须保全日志与镜像。
3.2 每个事件建立单一书面记录，含时间线与决策依据，保存至少 3 年。
3.3 事件负责人与升级链：
| 角色 | 职责 |
|---|---|
| 事件负责人 / 安全负责人 (Security Officer) | 定级、决定是否及何时通知客户、对外唯一发声人 |
| 备份联系人 | 事件负责人在合理时间内无法联系时接管上述职责 |
🔴 这两个角色均已指定到具体的人，并有书面记录。 出于安全考虑，我们不在本文件中公布任职人姓名与个人联系方式； 对外联络一律经 legal-privacy-ofac@infini-nova.com。 如你的尽调需要确认任职人身份，可依保密约定单独提供。
🔴 本节的意义在于消除「谁该动手」的歧义。 下面所有时限（§4.1 的 48 小时、§8.1 的 10 个工作日）都以有人被实际叫醒为前提； 没有明确的升级链，那些数字只是纸面承诺。
🔴 对外发声人只有一位。 事件期间，其他任何人员——包括销售与支持—— 不得就事件原因、范围或责任对客户或公众作出陈述，只可转述已发出的正式通知。
4. 通知客户
4.1 🔴 S1/S2 事件：在合理确认后不迟于 48 小时通知受影响客户。 理由：GDPR 要求控制者在 72 小时内通知监管机构，我们的时限必须显著短于 72 小时， 否则客户在结构上就不可能合规。
4.2 首次通知至少包含： 已知事实、事件性质、涉及的个人信息类别与大致数量、 可能后果、我们已采取与计划采取的措施、我们这边的联系人。
4.3 信息不全不构成延迟通知的理由。 分阶段通知，先发已知，后续补充。
4.4 通知发至账户管理员邮箱与客户在 《数据处理附件 (DPA)》 中指定的安全联系人（若有）。
5. 谁向监管机构和数据主体通知
🔴 这是本文件最容易搞错的一点：
| 通知对象 | 由谁决定并执行 | |
|---|---|---|
| 客户业务数据（B 类） | 监管机构、受影响的数据主体 | 客户（控制者）——我们提供事实与技术支持 |
| 账户与计费数据（A 类） | 监管机构、受影响的用户 | 我们（控制者） |
我们不会代客户向其买家或监管机构发出通知，也不会阻止客户依法通知。
各法域时限参考：GDPR 72 小时（控制者对监管机构）；PIPL「立即」采取措施并通知； 香港 PDPO 目前为自愿通报。
6. 政府与执法机关的数据请求
6.1 我们仅在收到具有法律强制力的请求时提供数据，并要求其符合形式要件。
6.2 🔴 在法律允许的范围内，我们会在披露前通知客户，使其有机会寻求救济。 法律禁止通知时（如保密令），我们会在禁令解除后尽快告知。
6.3 我们只提供请求明确要求的最小范围，并拒绝过宽的请求。
6.4 我们不提供任何形式的后门或批量访问通道。
6.5 我们目前不发布定期透明度报告。 理由说在明处：透明度报告一旦开始发布就必须按期更新，断更比从未发布更糟—— 它会让人以为这期间没有收到过任何请求。在我们能承诺长期按期更新之前，不开这个头。
但这不影响个案告知： 收到针对你的数据的请求时，我们按 §6.2 在法律允许范围内通知你。
7. 客户的配合义务
客户须：指定并保持有效的安全联系人；在自身发现相关事件时及时通知我们； 配合我们的调查；不在事实查清前对外发布可能误导的声明。
8. 事后
8.1 S1/S2 事件在恢复后 10 个工作日内提供书面复盘： 时间线、根因、影响范围、已完成与计划中的补救、预计完成时间。
8.2 复盘对事不对人。 我们不会为了让报告好看而省略不利事实—— 省略的部分会在下一次事故中原样重现。
9. 投诉
对我们的事件处理不满：legal-privacy-ofac@infini-nova.com。 由未参与原处置的人员复核，15 个工作日内书面答复。 你也可以随时向香港个人资料私隐专员公署 (pcpd.org.hk) 或你所在地的监管机构投诉。
本页为当前生效版本。条款更新时我们会更新生效日，重大变更会提前通知。