安全聲明

上次更新時間：2023 年 8 月 1 日

本安全聲明適用於 SurveyMonkey Inc.、SurveyMonkey Europe UC、SurveyMonkey Brasil Internet Eireli 以及上述公司旗下附屬公司 (統稱「SurveyMonkey」) 提供的產品、服務、網站及應用程式；除非另外說明，這些產品、服務、網站及應用程式的品牌為「Momentive」、「SurveyMonkey」、「Wufoo」和「GetFeedback」。這些產品、服務、網站和應用程式在本聲明中統稱為本「服務」。本安全聲明也構成 SurveyMonkey 及 Wufoo 客戶的使用者協議一部分。

SurveyMonkey 非常重視客戶讓我們保護其資料的這份信任。我們會負責嚴密保護並保障您的個人資訊，亦致力確保下列詳述的安全性措施完全公開透明化。我們也在隱私權聲明中詳細說明了我們處理您的資料的方式。

SurveyMonkey 的資訊系統及技術基礎架構是由 SOC 2 認可的世界級資料中心所託管。這些資料中心的實體安全控管包括全天候監控、攝影機、訪客記錄、門禁措施，以及您可預期任何高安全性資料處理設施必定會採取的措施。

SurveyMonkey 實施的治理、風險管理和合規性作業與最受全球認可的資訊安全框架一致。SurveyMonkey 已經取得 ISO 27001 認證。此外，SurveyMonkey Enterprise 產品符合 HIPAA 標準，而且我們的 SurveyMonkey、Wufoo 和 SurveyMonkey Apply 產品皆通過了支付卡行業的資料安全標準 (PCI DSS 3.2) 認證。

任何存取 SurveyMonkey 技術資源的行為都只能透過安全的連接 (如 VPN、SSH) 進行，並且需要多因素驗證。我們的生產密碼政策有複雜性、期限及帳戶鎖定等規定，且不允許重複使用舊密碼。SurveyMonkey 會依據職能所需、採最低權限原則來授予存取權，每季執行一次權限審查，且當員工離職時會立即撤銷權限。

SurveyMonkey 維持、定期審查並更新其資訊安全政策，最少每年一次。員工必須每年確認這些政策並接受與其職務有關的額外訓練。訓練旨在確保員工遵循所有適用於 SurveyMonkey 的規範及法規。

SurveyMonkey 在雇用員工時會進行背景調查（在相關法律及國家允許或通融的範圍內）。此外，SurveyMonkey 會向所有員工 (必須知道的人) 傳達其資訊安全政策，要求新員工簽署保密協議，並提供持續的隱私權及安全培訓。

SurveyMonkey 有專責的信任與安全性組織；該組織主要掌管應用程式、雲端、網路及系統的安全。該團隊亦負責處理安全性合規、教育及事故回應等事務。

SurveyMonkey 擁有備有記錄的漏洞管理程式，該程式包括定期掃瞄、識別及修復伺服器、工作站、網路設備及應用程式上的安全性漏洞。所有網路 (包括測試及生產環境) 都透過我們信任的第三方供應商進行定期掃瞄。我們會依優先順序進行重要的伺服器程式修補，並視情況進行其他程式修補。

我們還會定期進行內部及外部滲透測試，並針對發現的任何結果嚴重程度進行修復。

SurveyMonkey 使用以 AES 256 為基礎的加密技術對我們資料中心中的所有靜態資料進行加密。此外，SurveyMonkey 使用以下方式對所有動態資料進行加密：(i) 透過公有憑證頒發機構所產生的 2048 位元 RSA 憑證，適用於與 SurveyMonkey 資料中心以外實體的通訊，以及 (ii) 透過內部憑證頒發機構所產生的 RSA 256 憑證，適用於資料中心內的所有資料。

我們的開發團隊採用安全編碼技術及最佳實務，特別會針對 OWASP 十大 Web 資安漏洞 (OWASP Top Ten)。開發人員入職後，每年都會接受 Web 安全應用程式開發實務的正式培訓。

開發、測試及生產環境是分開進行。在部署到生產環境之前，所有變更均經過同行評審並進行記錄，以達致效能、稽核及司法鑒定之目的。

SurveyMonkey 設有資產管理政策；該政策涵蓋了資訊和資產的識別、分類、保留及處置。公司發給的裝置都配備有全硬碟加密及最新的防毒軟體。只有公司發給的裝置才可存取公司網路及生產網路。

SurveyMonkey 設有安全事故回應流程，包括初始回應、調查、通知客戶 (至少符合相關法律要求)、公開通訊及補救。這些流程會被定期審查，且每半年測試一次。

雖然已盡最大努力，但沒有任何透過網際網路的傳輸方法和電子存放方式是絕對安全的。我們無法保證絕對安全性。但是，如果 SurveyMonkey 發現安全性漏洞，我們會通知受影響的使用者，以便他們能採取適當的預防步驟。我們的違規通知程序遵守相關的國家級、州及聯邦法律和法規所規定的義務，並符合適用於我們的任何業界規範或標準。我們致力於讓客戶充分瞭解任何與其帳戶安全性相關的問題，並為客戶提供所有必要資訊，幫助他們履行自己的監管報告義務。

備份資料會經過加密並儲存在生產環境中，以保持其機密性及完整性。SurveyMonkey 運用的備份策略可確保最低的停機時間和資料遺失。業務持續方案 (BCP) 會定期測試和更新，以確保計畫在災難狀況下的有效性。

保護資料安全也是您的責任，您務必使用足夠複雜的密碼，並將密碼存放在安全的地方，以保障帳戶的安全性。您也應確保自己的系統有足夠的安全性。我們提供 TLS 以確保調查問卷回覆能安全地傳送，但是您必須負責將調查問卷設定為在適當的時候使用該功能。如需更多有關保障調查問卷的資訊，請瀏覽我們的客戶支援中心。

應用程式及基礎架構系統會將資料記錄到集中管理的記錄儲存體中，以便獲得授權的 SurveyMonkey 工作人員進行故障排除、安全審查及分析。這些記錄將依監管規定保存。若發生影響客戶帳戶的安全事故，我們會為客戶提供合理協助及記錄存取權。