您把广告账户和业务数据的访问权交给我们。我们把这件事看得很重。下面是我们保护它的具体做法。
安全架构
从第一天起，安全就是核心需求，不是事后再补的东西。
处处加密
- 您的浏览器或 API 客户端与本服务之间的连接采用 TLS 加密
- 静态数据 AES-256 加密（AWS RDS）
- 备份加密存储，支持按时间点恢复
- 所有接口强制 HTTPS，没有例外
基础设施
- 数据库、缓存和事务邮件托管在 AWS eu-west-1（爱尔兰）
- 部分服务商在欧盟以外处理数据：详见子处理方页面
- 自动扩缩容，部署零停机
- 通过 AWS Shield Standard 防御 DDoS
访问控制
- OAuth 2.0 / OIDC 身份认证
- 基于角色的访问控制（RBAC），权限细到单项
- 管理员模拟登录，全程记录操作日志
- JWT 令牌短时效，配合刷新令牌轮换
团队数据隔离
- 工作区之间数据完全隔离
- 查询限定在会话范围内，不存在跨租户数据外泄
- 角色层级在 API 层强制生效
- 团队成员看不到其他团队的数据
数据处理
- 软删除，保留期可配置
- 按请求删除数据，符合 GDPR
- 我们不出售您的个人数据
- 数据采集最小化。需要什么就存什么，多余的不存
API 安全
- 所有接口都有速率限制
- 用严格的结构定义校验输入（TypeBox）
- 参数化查询防止 SQL 注入（Prisma ORM）
- 强制启用 CORS、Helmet 与安全响应头
合规与认证
我们遵守的规则，以及我们所依赖的已获认证的服务商。
已生效
符合 GDPR
为每位企业客户提供数据处理协议（DPA）、公开子处理方名单，并按请求删除数据。
已生效
Stripe 支付（PCI DSS）
所有支付处理都由 Stripe 完成。我们的服务器上从不存储信用卡数据。
我们的承诺
我们清楚这里的分量。您接入的是管理着真实预算的广告账户，有时每月几十万。一次安全事故不只是数据泄露，它意味着广告系列被暂停、收入损失、信任崩塌。
所以安全对我们来说不是一个功能，而是其他一切建立其上的地基。每一行代码、每一个 API 接口、每一条数据流，都是按照“有人正在试图攻破它”的假设来设计的。
如果您有安全方面的问题、顾虑，或者想详细了解我们的架构，请写信到 security@wevion.ai。我们很乐意聊。
数据处理协议
我们的数据处理协议（DPA）自动适用于所有企业客户，并且是服务条款的一部分。它涵盖处理范围、子处理方、数据主体权利以及数据泄露通知。您可以在我们的网站上阅读，有任何问题请发送到 privacy@wevion.ai。
漏洞披露
我们欢迎以负责任的方式披露安全漏洞。如果您发现潜在的安全问题，请发送到 security@wevion.ai。我们希望您在公开披露之前，给我们合理的时间去调查和修复。对于善意报告漏洞的研究人员，我们不会采取法律行动。
安全常见问题
最后更新：2026年10月15日