安全政策

最后修改日期：2026年7月20日 | 生效日期：2026年7月20日

1. 安全政策概述

Patenty通过HTTPS连接和项目级访问控制保护用户数据及个人信息。

本安全政策阐述了我们的安全原则和实施措施，提出了所有用户和员工必须遵守的安全标准。

2. 安全目标

我们的安全系统旨在实现以下核心目标：

机密性: 保护信息免受未经授权的访问
完整性: 确保数据的准确性和完整性
可用性: 提供持续稳定的服务
责任性: 对所有活动的跟踪和审计功能

3. 数据安全

数据保护

传输加密: HTTPS连接及生产环境的HSTS策略
存储数据保护: 根据项目所有权及协作者角色和权限检查数据访问
API密钥管理: 通过环境变量进行安全密钥管理
存储与处理地点: 数据库连接配置为首尔区域；AI推理使用全球端点，处理地点可能不同。

数据管理

个人信息最小收集原则
用户可删除已保存的项目，法定留存记录另行保存
将核查备份配置和恢复流程作为运维目标
将审查和更新访问权限作为运维目标

4. 系统安全

云基础设施

应用托管: 使用HTTPS连接的应用托管
数据库: 项目访问权限检查和数据库访问策略
网络防火墙: 评估降低恶意流量及SQL注入风险的措施
安全补丁审查: 评估安全补丁需求

Web应用防护目标

通过CSRF令牌防止跨站请求伪造
输入数据验证和转义以防止XSS
参数化查询以防止SQL注入
安全标头防止点击劫持和内容注入

5. 访问控制

认证

认证平台: 基于OAuth 2.0的认证系统
会话管理: 使用签名会话令牌的安全会话
密码策略: 强密码要求和哈希
账户安全: 评估针对异常登录尝试的防护措施

权限管理

基于角色的访问控制（RBAC）
基于最小权限原则的权限授予
案件级别的细粒度访问权限
将审查和更新权限作为运维目标

6. AI服务安全

第三方AI服务

AI基础设施: Pro Secure和Enterprise使用Vertex AI，普通套餐的适用任务可能经由OpenRouter处理。
OCR服务: 仅在服务器端处理的专业OCR服务（仅发送AI处理所需的最少数据）
API密钥安全: 仅从服务器端可访问的密钥管理
数据最小化: 仅传输AI处理所需的最少数据

AI安全运维目标

发送到AI模型的数据预验证
评估AI响应中的敏感信息泄露风险
AI服务使用的安全日志记录
AI模型更新时的安全影响评估

7. 安全监控

监控运维目标

实时系统状态监控
异常访问模式检测
服务可用性监控
性能异常预警

日志与审计运维目标

在安全与运维所需范围内记录日志
系统事件和错误日志
跟踪数据访问和修改历史
定期日志分析和报告

8. 安全事件响应

响应体系

人员配置: 发生事件时确认响应负责人和升级路径
响应程序: 制定并审查适合事件类型的响应流程
云支持: 与托管和数据库受托方的技术支持团队协调
外部合作: 必要时与安全专家合作

事件通知

即时内部团队通知系统
发生影响客户数据的事故时，自知悉起24小时内向客户发出首次通知，并随确认进度分阶段共享详情
向相关当局报告（必要时）
事后改进计划制定和实施

9. 安全意识与培训计划

员工定期安全培训
分享最新安全威胁信息
安全政策意识和合规检查
社会工程攻击响应培训
安全事件模拟和响应培训

10. 第三方服务安全

Patenty.AI委托以下子处理商提供服务。最新完整列表及处理条件请参阅 /privacy/subprocessors：

应用托管: 使用HTTPS连接的应用托管
数据库: 配置为首尔区域的数据库连接和项目级访问控制
Google Cloud AI: Vertex AI适用Google Cloud标准条款中包含的《云数据处理附录》（CDPA）。未经客户事先许可或指示，Google不会将客户数据用于AI模型的训练或微调。
文档提取: 文档OCR处理，处理条件请参阅子处理商列表。
经济型 AI 路径: 可能处理普通套餐的适用AI任务。OpenRouter请求仅路由至政策规定拒绝数据收集且不保留数据的提供商。

11. 法律合规

我们审查并落实适用于服务的法律要求：

国内法律: 个人信息保护法、信息通信网络法、云计算法
云安全: 云计算发展和用户保护法
基础安全: 审查适用于服务的信息安全要求
国际标准: 逐项评估GDPR、CCPA等境外规则的适用性及所需措施

12. 安全政策管理

我们根据法律、服务配置和数据处理方式的变化审查并更新本政策。

政策变更时，会提前通知用户，重要变更会获得明确同意。

有关安全政策的询问或安全事件报告，请联系：

安全负责人: 李相民（CEO）

邮箱: contact@patenty.ai

地址: 韩国首尔特别市江南区德黑兰路503号，Hybro大厦12层1218室（三成洞）