我們設計時遵循的三條原則
所有權歸您
廣告帳戶、像素、分析工具和CRM始終以您的名義開設。我們透過您授予、並可隨時撤銷的用戶或合作夥伴權限開展工作。我們從不索取密碼。
始終堅持最小權限
員工只能看到其角色所需的內容。客戶只能看到自己的工作區。每項敏感操作都會留下事後無法編輯的審計記錄。
以證據為準，而非空口斷言
報告的數字附帶來源平台、帳戶、日期範圍、幣種和採集時間，便於您與平台原生儀表板進行核對。
產品內置的控制措施
強制雙重身份驗證
每個客戶和員工帳戶都必須先登記身份驗證應用程式（Google Authenticator或任何TOTP應用程式），才能開啟儀表板或營運控制台。
- 登記時提供QR碼和手動密鑰，並以第一個驗證碼確認。
- 一次性恢復碼，僅以雜湊值儲存。
- 登入和MFA事件會寫入審計日誌。
兩層租戶隔離
每個客戶工作區在應用程式的程式碼中隔離，並在數據層內部再次隔離，因此即使程式碼中漏掉一項檢查，也無法返回其他客戶的記錄。
- 每個請求都在固定了工作區和角色的範圍內運作。
- 每次讀寫都在伺服器端進行授權；角色判斷從不信任瀏覽器。
- 自動化測試會嘗試跨租戶存取報告、支出、任務、發票和媒體計劃。
委託式平台存取
我們透過Google Ads經理帳戶關聯、Meta Business合作夥伴權限、LinkedIn帳戶角色及各平台的同類功能申請存取權限。您可以在平台設定中查看並撤銷每一項授權。
- 不共享登入資訊，不收集密碼。
- 存取狀態在您的儀表板中按帳戶顯示。
僅追加的審計日誌
登入、MFA變更、角色和存取權限變更、帳單事件、報告發佈和數據匯出都會被記錄。資料庫拒絕對審計記錄進行編輯或刪除。
- IP地址在儲存前經過假名化處理。
- 密鑰和令牌從不寫入日誌。
加密傳輸和嚴格的安全標頭
所有流量均使用TLS並啟用HSTS。應用程式會發送內容安全政策、框架保護、嚴格的引用來源政策和限制性的權限政策。
- 會話Cookie設定為HttpOnly、Secure和SameSite=Lax。
- 登入和表格端點設有速率限制。
銀行卡支付不經過我們的系統
結帳、發票和帳單入口由通過PCI DSS認證的支付服務供應商運作。銀行卡號從不會到達我們的伺服器。支付狀態只會根據經過簽名和驗證的事件發生變化，且每個事件只處理一次。
- 重複的事件不會產生任何影響。
- 除非您的訂購單另有約定，媒體支出不透過FOCUSADS收取。
簽名數據接入
效果證據只能透過經過加密簽名、有時效限制且一次性使用的請求進入平台，因此採集的數據無法被偽造或重放。
- 過期或重複的請求會被拒絕。
- 更正以修訂版本的形式儲存；已發佈的報告版本無法更改。
分佈於125個以上國家並全程加密
本服務透過覆蓋125個以上國家的分佈式網絡提供，傳輸和儲存均已加密。生產環境和測試環境完全分離，測試環境從不被搜尋引擎收錄。
- 密鑰儲存在託管的密鑰儲存中，各環境分開，從不寫入原始碼。
- 每次更改都會執行依賴項、密鑰和程式碼掃描。
數據處理概覽
- 資料控制者
- 網站諮詢和帳戶的資料控制者為THEFOCUS LTD；您工作區中的數據，控制者為您（客戶）。
- 適用法律
- 英國GDPR、《2018年資料保護法》和PECR。
- 特殊類別資料
- 不接受。不得上載健康或其他敏感數據，也不得將其用於定位。
- 資料外洩通知
- 在我們知悉後48小時內，及時通知客戶，不作不當拖延。
- 保留
- 審計日誌保留24個月；客戶記錄保留至合同期滿後6年；未轉換的諮詢保留24個月。
- 子處理者
- 在「子處理者」頁面按類別列出：基礎設施和託管、支付、電郵和分析（僅在取得同意時）。具體名單可在儀表板中查看，也可應要求提供給客戶。
發現了漏洞？
請透過聯絡表格報告，並選擇「安全報告」。請附上受影響的網址、重現步驟和影響。請勿存取不屬於您的數據，也不要干擾服務運作。我們會在兩個英國工作日內確認收到報告，並持續向您更新進展，直至修復上線。
發送安全報告我們不聲明的內容
- 我們目前未持有ISO 27001或SOC 2認證。如有變化，本頁面會註明並附上證書詳情。
- 除非頁面註明具體計劃，我們並非本網站提及的各廣告平台的官方合作夥伴。
- 任何安全控制措施都無法消除所有風險。我們會說明現有措施，以及出現問題時如何應對。
你們需要我們廣告帳戶的密碼嗎？ 不需要。我們透過各平台自身的權限系統申請存取，例如Google Ads經理帳戶關聯或Meta Business合作夥伴權限。您在平台中批准，並可隨時撤銷。
其他客戶能看到我們的數據嗎？ 不能。工作區在應用程式的程式碼中隔離，並在數據層再次隔離，我們還會自動測試跨租戶存取嘗試。
雙重身份驗證是可選的嗎？ 不是。每個客戶和員工帳戶在存取儀表板或營運控制台之前，都必須設定身份驗證應用程式。
我們的數據託管在哪裏？ 託管在覆蓋125個以上國家的分佈式加密網絡上。向英國境外的傳輸依賴私隱聲明和「子處理者」頁面中所述的認可保障措施。