安全说明
本页说明保护七望 AdPilot 所处理广告数据的技术与管理措施。这是摘要，关于数据处理的正式承诺以我们的隐私政策与服务条款为准。
控制措施一览
以下每项措施都对应其所防范的具体风险。
| 控制领域 | 我们的做法 | 防范的风险 |
|---|---|---|
| 传输安全 | 所有连接均使用 TLS 1.2 及以上版本，包括我们与 Amazon Ads API 之间。本网站已启用 HSTS。 | 传输过程中凭证与数据被截取 |
| 静态加密 | 数据库、对象存储与备份均使用 AES-256 或同等级加密标准。凭证存放在独立的密钥管理服务中，绝不写入应用配置文件、源代码、日志或 URL。 | 存储介质失窃或备份泄露导致数据暴露 |
| 凭证处理 | 授权令牌绝不写入源代码、前端代码、日志输出或 URL。访问令牌仅在单次请求的生命周期内驻留内存。 | 通过日志、代码仓库或来源页泄露凭证 |
| 凭证轮换 | 应用凭证在到期前按计划轮换，并保留一个刻意设置的并存窗口，确保轮换过程中没有任何线上请求失败。 | 长期存续的凭证暴露 |
| 访问控制 | 基于角色的最小权限访问。只读角色无法触发任何改动；具备写入能力的角色无法修改权限、账单与客户联系信息。人员岗位变动时立即复核权限，且至少每季度复核一次。 | 内部人员越权操作与权限过度授予 |
| 账号唯一性 | 每个服务账号对应一名具名人员，不设共享账号，不使用默认账号或通用口令。凭证通过密钥管理服务分发，不经邮件或聊天工具传递。 | 账号被共享后无法定位操作人，责任无法追溯 |
| 异常登录处置 | 检测到异常登录特征（异地、非常用设备、异常频次或短时间多次失败）时，自动锁定该账号并要求重新验证身份。锁定期间相关接口调用一律拒绝，告警同步到值班人员，由本人与主管共同确认后才解锁。 | 账号被盗用后持续可用，攻击者能持续访问客户数据 |
| 租户隔离 | 不同客户的数据存放于相互隔离的逻辑分区。客户之间互不可见，且一个客户的数据绝不会被用于训练或调优服务另一个客户的模型。 | 跨客户数据泄露 |
| 授权范围 | 服务只申请实现其功能所必需的 API 权限范围。绝不读取买家个人隐私数据，也绝不需要你的亚马逊密码。我们遵守接口的调用配额与节流限制，不通过多账号、多区域或拆分请求的方式绕开配额。 | 对敏感数据的过度访问 |
| 变更安全 | 所有自动改动都受你配置的护栏约束。执行前会记录被改对象的原值。每次动作均携带幂等键，确保重复触发不会产生重复改动。 | 对真实广告账户产生非预期或重复的改动 |
| 审计日志 | 每一次执行的改动都会记录账户、触发规则、改动前后数值、时间戳、操作人与接口返回结果。记录防篡改，且客户可随时导出。 | 改动无法被发现或无法追责 |
| 接口韧性 | 出站调用具备限流与指数退避机制。除限流外的客户端错误不重试，避免故障规则反复执行。 | 部分执行、重试风暴与重复写入 |
| 可用性 | 基础设施具备监控与告警，覆盖服务健康状态与错误率，并按经过测试的计划执行备份。 | 服务中断影响广告管理 |
| 事件响应 | 我们维护书面的事件响应流程，涵盖发现、遏制、调查、向受影响客户通知与整改，并定义明确的分级标准与升级路径。 | 安全事件响应迟缓或无序 |
| 网络层防护 | 服务部署在防火墙与安全组之后，仅开放必要的对外端口。数据库、缓存与密钥管理服务不暴露公网地址，管理端口仅允许经 VPN 或跳板机访问。 | 服务被直接暴露在公网并遭扫描或攻击 |
| 终端与存储 | 涉及亚马逊数据的存储与处理只发生在公司管理的服务器上。禁止将广告数据、广告账户授权信息或接口凭证存放在个人电脑、移动设备或个人云盘中。 | 数据经由不受控的终端流出或被长期保留在个人设备上 |
| 配合审计 | 在亚马逊提出要求时，我们配合其对服务的安全审计、问卷与证据核查，并保留完整的操作日志与执行记录供追溯。 | 无法向亚马逊证明控制措施实际生效 |
与亚马逊的数据保护要求
作为正在申请加入亚马逊合作伙伴计划的服务方，我们按亚马逊数据保护要求的标准履行以下义务。
- 事件上报时限与渠道：涉及亚马逊数据的安全事件，我们在发现后 24 小时内按要求上报亚马逊，并同步提供我们掌握的受影响范围与处置进展。 Selling Partner API 一侧的报告发送至亚马逊指定的安全事件邮箱 security@amazon.com；广告一侧的安全事件通过 Amazon Ads Partner Network 的支持渠道提交。
- 不代亚马逊通知：未经亚马逊书面要求，我们不代其向监管机构或客户发出通知，也不对外描述亚马逊的处理决定。
- 预案复核频率：事件响应预案至少每 6 个月复核一次，复核后更新流程、演练并留存记录。相关控制措施至少每季度复核一次权限配置。
- 证据留存：事件的发现、遏制、调查、上报与整改全过程均留存记录，包括时间戳、操作人、接口返回结果与对外沟通，保存期限不短于隐私政策所述的删除时间表。
数据保护政策与可接受使用政策的其余义务
除上述事件响应要求外，我们按亚马逊的数据保护政策（DPP）与可接受使用政策（AUP）履行以下义务。这些是我们实际执行的做法，不是声明性的条款。
- 风险评估每年由管理层评审：我们每年对数据安全风险做一次正式评估，评估结果提交管理层评审并留存结论。评审结论若指向新的控制措施，会进入当年的整改计划。
- 指定事件管理联系人：安全事件的对外联络由 secure@qiwangkj.com 承接，该邮箱由工程团队直接处理，不经过普通客服流程。向亚马逊上报安全事件时，我们以公司名义统一提交，不以个人名义。
- 数据删除方式：数据删除按 NIST SP 800-88 的方法执行，涉及数据载体的介质做不可恢复处理，而非仅做逻辑删除。亚马逊要求我们出具书面销毁证明的，我们按要求提供。
- 数据归属清晰可辨：来自亚马逊的数据存放在独立的数据存储中，不与自有业务数据混存；每条记录都带有数据来源标识，可以在需要时按来源追溯。
- 数据删除的时限：收到亚马逊要求删除的通知、你撤销授权、我们自行认定已无权访问，或我们参与服务的资格终止——这四种情形中最先发生的那一种，我们在 30 天内彻底安全删除相关信息，包含仍在运行的在线实例。亚马逊要求我们书面证明销毁的，我们按要求提供。
- 账簿记录保存至协议终止后 12 个月：与亚马逊数据处理相关的操作记录，在协议终止后继续保存 12 个月。亚马逊要求我们书面认证合规的，我们按要求提供书面认证。
- 分包商每年评估一次：我们每年对参与数据处理的分包商做一次风险评估，评估内容包括其安全措施与政策是否与我们自身的要求同等严格。评估结果影响是否继续合作。
- 人员变动后 24 小时内停用访问：员工、承包商与第三方人员的账号，在离职、合同终止或岗位变更后的 24 小时内被禁用或移除，不再具备对亚马逊数据的任何访问权限。不再需要的服务账号与程序化凭证，以及在发现疑似泄露时，立即撤销。
- 员工每年接受数据保护与信息安全培训：所有接触亚马逊数据的人员（员工、承包商与第三方）都要完成数据保护与 IT 安全意识培训，培训至少每年一次；新入职人员在首次接触该数据前完成。
- 漏洞扫描与渗透测试：我们对生产环境每 30 天做一次漏洞扫描，重大变更后补一次，代码在发布前先过一遍静态扫描。渗透测试至少每年一次，由外部团队按行业通行的方法执行，覆盖网络边界、云环境、应用层接口与存储系统。发现的问题进入整改计划，跟踪到关闭为止。
- 组织变更 30 天内告知亚马逊：如发生合并、收购、业务所有权转移，或我们产品与服务范围发生重大变化，我们会在 30 天内通知亚马逊。 Selling Partner API 一侧通过 Amazon SP-API Solution Provider Support（developer.amazonservices.com/support）提交这次告知。我们为此维持书面政策。
- 申请额外角色时披露关联实体：如后续申请新的接口角色，我们会向亚马逊披露参与本应用或服务的关联实体情况。
- 怀疑用户违规时的处理：如果我们怀疑某个授权用户正在利用我们的服务违反其与亚马逊的协议，我们会通知亚马逊（发送至 spapi-abuse@amazon.com），并阻断该用户对我们应用的访问。
- 不发布亚马逊业务洞察：我们不宣传、发布或分享关于亚马逊业务的见解，也不将这类见解用于自己的业务目的。竞品广告情报只用于客户自己账户内的私有分析。
- 不跨卖家聚合数据：我们不把不同授权用户的数据汇总后提供给任何一方，包括其他卖家。跨站点分析只发生在同一卖家的多个站点之间。
- 新功能上线前先评估负面影响：新功能在面向客户启用之前，先在只读模式下验证它对广告账户的实际影响；对涉及预算与出价的业务关键功能，我们会先小范围启用并确认影响可接受，再扩大范围。发现负面影响时，我们优先提供回滚与停用手段，而不是继续推进。
- 买家个人信息的适用范围：亚马逊数据保护政策中针对买家个人信息（PII）的附加要求，只在接口返回或合并了 PII 时适用。我们不申请任何返回买家个人信息的角色，也不请求受限数据令牌，因此这一组要求对我们不适用。即便如此，在静态加密、日志留存、子处理者管理与资产管控上，我们仍按同等或更严的标准执行。
漏洞报告
如果你发现本网站或服务存在安全问题，我们希望了解并会及时处理。
我们受理三类报告，都发到同一个地址，由对应团队直接处理：
- 数据隐私问题——你怀疑我们收集、使用或共享了超出授权范围的数据，或者认为某条个人数据处理不符合政策。
- 安全事件——发生了或即将发生数据泄露、账号被盗用、接口凭证泄露等事件。
- 滥用行为——你发现有人在滥用我们的服务或接口，例如违反亚马逊政策使用我们的工具，或用我们的服务从事违规广告活动。
涉及亚马逊数据的滥用或安全事件，请一并说明涉及的账户或活动标识，便于我们与亚马逊核对。
报告渠道
请把细节发到这个专用安全邮箱，由工程团队直接处理，不经过普通客服流程。
电话
+86 153 5681 2203（周一至周五 09:00–18:00，UTC+8）
邮寄地址
杭州七望科技有限公司
浙江省杭州市西湖区蒋村街道西溪首座5号楼628室
需要包含的信息
- 问题是什么，影响服务的哪一部分
- 复现步骤，或说明我们需要哪些信息才能复现
- 你判断该问题会带来的影响
- 你已经收集到的任何证明材料或概念验证
内容含敏感信息的话，请加密后再发。我们会在三个工作日内确认收到，修好之前一直跟你同步进展。
我们的承诺：对于善意发现问题、不碰其他客户数据、不影响服务运行、并给了我们合理修复时间才公开的研究人员，我们不会提起法律诉讼。你愿意的话，我们会在更新说明里致谢。
我们如何处理你的授权
以下是我们被问得最多的几个关于客户账户访问权限的问题。
需要你的亚马逊密码吗？
不需要。授权完全通过亚马逊官方的授权流程完成。我们不会索取、也从未收到你的亚马逊密码或双因素验证码。
你们能读取我的买家数据吗？
不能。服务的作用范围限定在广告资源与效果指标。买家姓名、地址、订单级个人信息和支付信息，既不在我们的申请范围内，也不进入我们的处理流程。
你们能改我的价格或 Listing 吗？
不能。服务只作用于广告实体：竞价数值、预算数值与广告活动的启停状态。商品内容、价格、促销与账户设置均不在其作用范围内。
如何停止访问？
你可以随时在亚马逊广告后台撤销授权。撤销后 24 小时内访问即停止，数据按隐私政策所述的时间表删除。服务另提供一个开关，无需撤销授权即可暂停全部自动化。
我们与亚马逊的关系。杭州七望科技有限公司是独立的软件公司，与亚马逊及其任何子公司不存在关联、认可或代理关系，也未获得亚马逊认证或授权。本站提到亚马逊服务，只是说明我们的软件连接的是哪个平台。你与亚马逊之间的协议约束你对亚马逊服务的使用，本站不作任何修改。