24.9°N · 121.3°E資安與信任
資安，是可以被檢驗的。
我們現在做了什麼、誰負責什麼、哪些不宣稱。寫給需要核准廠商的那個人。
- 全站 HTTPS
- 沒有廣告或分析追蹤碼
- 公開表單只能寫入
- 沒有公開的管理後台
我們怎麼做
最小權限
每個帳號、金鑰與工具，只拿到完成工作所需的權限；預設不留常開的通道。
資料屬於你
資料是你的，隨時匯出，或要求我們刪除。我們不拿它訓練 AI 模型。
金鑰不進程式碼
金鑰與密碼放在受管控的環境設定裡，不放在程式庫，也不放在截圖。
攻擊面小
公開頁面是靜態的，沒有公開的管理後台，也沒有第三方的廣告或分析腳本。
高風險由人確認
AI 與自動化的工作裡，高風險的動作要等人確認，系統做了什麼也有紀錄。
誠實的界線
我們不承諾 100% 安全，只承諾把已知風險降到可管理，出事時照實告訴你。
誰負責什麼
資安是共同責任。事先寫清楚，就不會有誤會。
你
- 決定誰能存取你的系統，人員離職時撤銷權限
- 保管自己的帳號密碼
- 依你所屬行業的規範，處理你自己客戶的個資
- 在 30 天驗收期內檢查交付內容
凡圖
- 以最小權限建置，金鑰不進程式碼
- 只在約定時段遠端連線，結束即撤銷
- 讓相依套件維持在受支援、已修補的版本
- 備份並定期驗證；事件影響你的資料時，盡快通知你
雲端服務供應商
- 實體與基礎設施的安全
- 依其託管服務提供的傳輸與儲存加密
- 平台的可用性
以這個網站為例
這裡的每一項，都能用瀏覽器自己檢查。
全站 HTTPS
連線加密，並通知瀏覽器只能用 HTTPS（HSTS）。
瀏覽器端的防護
嚴格的內容安全政策、禁止被嵌入框架、禁止猜測內容類型、嚴格的來源標頭政策，並關閉相機、麥克風與定位權限。
沒有追蹤
沒有分析或廣告腳本。唯一的 cookie 是你的語言偏好。
只能寫入的表單
聯絡表單只能新增詢問，無法讀取任何一筆。有隱藏欄位陷阱、送出速度檢查、頻率限制與伺服器端驗證。
沒有公開的管理後台
沒有登入頁可以攻擊：內容放在我們的程式庫，由建置發布，不是透過網頁後台編輯。
軟體保持最新
我們依公開的漏洞資料庫檢查正式環境的相依套件，有修補版就更新。
通報管道
security.txt 檔案告訴研究人員怎麼聯絡我們。
自己檢查
shellcurl -sI https://getvanture.com/en | grep -iE "strict-transport|content-security|x-frame|x-content-type|referrer-policy|permissions-policy"
curl -s https://getvanture.com/.well-known/security.txt這些指令會顯示瀏覽器收到的標頭，以及我們的資安聯絡檔案。
有護欄的遠端交付
多數專案不需要到府。遠端連線是這樣運作的。
- 1
說明範圍
寫下我們需要接觸什麼，以及為什麼。
- 2
由你授權
透過你自己的桌面遠端連線軟體，條件由你決定。
- 3
固定時段
只在約定時間連線，你全程看得到畫面。
- 4
結束即撤銷
完成後撤銷授權，不留常駐的遠端通道。
- 5
書面交接
裝了什麼、裝在哪、哪些憑證由誰保管。
我們不經手你的網銀、付款與財務憑證。
涉及 AI 時
我們對 AI 功能與代理套用的規則。
你的資料，你的界線
AI 功能只在你自己的資料範圍內運作；哪些資料送到哪個模型，開工前寫清楚。
最小權限的代理
代理只拿到完成任務所需的權限。
只用經過審查的技能
只使用經過審查的技能，不隨意安裝社群外掛，每次變更都留紀錄。
由人做決定
對外的 AI 會表明自己是 AI，重要決定由人確認。
你的資料與聯絡表單
這裡蒐集什麼
只有你在聯絡表單填的內容（稱呼、Email、選填的電話與 LINE、你的訊息），以及為了安全而記錄的基本伺服器紀錄。
保留多久
詢問資料在我們最後一次聯繫後 12 個月刪除。若有合作，紀錄依合約與法令保存。
你的權利
你可以依個人資料保護法，請求查詢、更正或刪除你的資料。
出事時
事件影響你的資料時，我們一知道就通知你，說明已知的情況，並協助止損。
我們沒有的東西
先講清楚，不要讓你事後才發現。
- 目前沒有任何第三方認證（例如 ISO/IEC 27001 或 SOC 2）。
- 沒有獨立的滲透測試報告可以提供。
- 我們是兩人團隊。如果你的要求需要大型的專責資安團隊，請及早告訴我們，我們會直說適不適合。
我們會回答廠商資安問卷，並且告訴你哪些項目的答案是「沒有」。
- 1
寄信到下方信箱，說明你發現了什麼，以及如何重現。
- 2
歡迎善意的研究。請不要存取、修改或留存他人的資料。
- 3
我們會確認收到你的通報，並讓你知道處理進度。