安全聲明

上次更新時間：2020 年 7 月 7 日

本安全聲明適用於 SurveyMonkey Inc.、SurveyMonkey Europe UC、SurveyMonkey Brasil Internet Ltda. 以及其附屬企業（統稱為「SurveyMonkey」）提供的產品、服務、網站及應用程式；除非另外說明，這些產品、服務、網站及應用程式以「SurveyMonkey」和「Wufoo」為品牌名稱。在本聲明中，我們將這些產品、服務、網站及應用程式統稱為「服務」。本安全聲明也構成 SurveyMonkey 及 Wufoo 客戶的使用者協議一部分。

SurveyMonkey 非常重視客戶對於我們的信任，並讓我們保護他們的資料。我們會負責嚴密保護您的個人資訊並確保資料的安全；同時，我們還致力在以下所列安全作業過程中完全公開透明化。我們的隱私權政策也詳細說明我們處理資料的方式。

SurveyMonkey 的資訊系統及技術基礎架構託管在獲得 SOC 2 認可的世界級資料中心。在我們的資料中心，實體安全控管包括全天候監控、攝錄機、訪客記錄、門禁要求，以及專用放置 SurveyMonkey 硬體的機櫃籠。

SurveyMonkey、Wufoo 及 SurveyMonkey 符合支付卡行業的資料安全標準 (PCI DSS 3.2)，因此可按照這些標準安全地接收或處理信用卡資訊。SurveyMonkey 每年都會重新接受此項合規性認證。SurveyMonkey 已經取得 ISO 27001 認證。

對於 SurveyMonkey 技術資源的存取，只能透過安全的連接（如 VPN、SSH）進行，並且需要多因素驗證。我們的生產密碼政策有複雜性、過期及帳戶鎖定的規定：另外，不允許重新使用以前的密碼。SurveyMonkey 會根據最小權限原則來授予需知權限、每季度會審視權限，且會在員工離職時立即撤銷權限。

SurveyMonkey 會維護資訊安全政策，並且最少每年一次會定期審查和更新這些政策。員工必須每年確認這些政策並接受額外培訓，如 HIPAA 培訓、安全編碼、PCI 及特定工作安全性和技能發展，和/或關鍵工作職務的穩私權法培訓。培訓表旨在遵循所有適用於 SurveyMonkey 的規範及法規。

SurveyMonkey 在雇用員工時會進行背景調查（在相關法律及國家允許或通融的範圍內）。此外，SurveyMonkey 會向所有員工 (必須知道的人) 傳達其資訊安全政策，要求新員工簽署保密協議，並提供持續的隱私權及安全培訓。

SurveyMonkey 還有一個專門的信任與安全性組織；主要負責應用程式、網路及系統安全等事務。這個團隊還會負責安全合規、教育及事故回應。

SurveyMonkey 擁有備有記錄的漏洞管理程式，該程式包括定期掃瞄、識別及修復伺服器、工作站、網路設備及應用程式上的安全性漏洞。所有網路 (包括測試及生產環境) 都透過我們信任的第三方供應商進行定期掃瞄。我們會依優先順序進行重要的伺服器程式修補，並視情況進行其他程式修補。

我們還會定期進行內部及外部滲透測試，並針對發現的任何結果嚴重程度進行修復。

我們使用安全的 TLS 密碼協定對您傳輸的資料進行加密。我們還對 SurveyMonkey 及 Wufoo 資料進行靜態加密。

我們的開發團隊採用安全編碼技術及最佳實務，特別會針對 OWASP 十大 Web 資安漏洞 (OWASP Top Ten)。開發人員入職後，每年都會接受 Web 安全應用程式開發實務的正式培訓。

開發、測試及生產環境是分開進行。在部署到生產環境之前，所有變更均經過同行評審並進行記錄，以達致效能、稽核及司法鑒定之目的。

SurveyMonkey 設有資產管理政策；該政策涵蓋了資訊和資產的識別、分類、保留及處置。公司發給的裝置都配備有全硬碟加密及最新的防毒軟體。只有公司發給的裝置才可存取公司網路及生產網路。

SurveyMonkey 會維護安全事故回應政策及程式，包括初始回應、調查、客戶通知 (至少符合相關法律的要求)、公開通訊及補救。我們對這些政策進行定期審查，並且每半年進行一次測試。

雖然已盡最大努力，但沒有任何透過網際網路的傳輸方法和電子存放方式是絕對安全的。我們無法保證絕對安全性。但是，如果 SurveyMonkey 發現安全性漏洞，我們會通知受影響的使用者，以便他們能採取適當的預防步驟。我們的違規通知程序遵守相關的國家級、州及聯邦法律和法規所規定的義務，並符合適用於我們的任何業界規範或標準。我們致力於讓客戶充分瞭解任何與其帳戶安全性相關的問題，並為客戶提供所有必要資訊，幫助他們履行自己的監管報告義務。

SurveyMonkey 資料庫會交替進行完整備份和增量備份，並且定期進行驗證。備份會經過加密並儲存在生產環境中，以保持其機密性及完整性；我們會對備份進行定期測試，以保證其可用性。除此之外，SurveyMonkey 也維護一份正式的業務持續計畫 (BCP)，這份 BCP 會定期測試和更新，以確保計畫在災難狀況下的有效性。

保護資料安全也是您的責任，您需要使用符合複雜規定的密碼，並將密碼存放在安全的地方，以確保帳戶的安全性。您還應確保自己的系統有足夠的安全性。我們提供 TLS 以安全傳送調查問卷的回覆，但是您必須負責確保您的調查問卷設定為可使用該功能 (若適用)。如需更多有關保護調查問卷的資訊，請瀏覽我們的客戶支援中心。本文是為 SurveyMonkey 客戶撰寫，但其中某些指導原則同樣適用於我們的 Wufoo 客戶。

應用程式及基礎架構系統會將資料記錄到集中管理的記錄儲存體中，以便獲得授權的 SurveyMonkey 工作人員進行故障排除、安全審查及分析。這些記錄將依監管規定保存。若發生影響客戶帳戶的安全事故，我們會為客戶提供合理協助及記錄存取權。