安全
最後更新：2026年10月28日
本頁列出目前保護 MaterialPro 服務的安全措施，供負責評估我們的 IT、財務及風險審核人員參考。如你的安全問卷涉及本頁未有涵蓋的事項，請電郵給我們，我們會直接回覆。
寄存及基礎設施
- 應用程式在 Vercel 上運行，伺服器函數位於新加坡。
- 工作空間資料及上載檔案儲存在 Supabase（PostgreSQL 資料庫及檔案儲存），由 Amazon Web Services 在新加坡寄存。
- 發票及送貨單由專用的文件處理程式讀取，該程式寄存在 Railway。
- 應用程式錯誤會回報至 Sentry，讓我們能盡快找出並修正問題。
加密
- 所有連接 MaterialPro 的連線均使用 TLS（HTTPS）。HTTP 嚴格傳輸安全（HSTS）會要求瀏覽器只透過 HTTPS 連線。
- 資料庫及檔案儲存中的靜態資料，由 Supabase 在 Amazon Web Services 上以 AES-256 加密。
工作空間隔離
- 各工作空間的記錄在資料庫中以 PostgreSQL 列級安全（row-level security）分隔，已登入的用戶只能讀取屬於自己工作空間的資料。
- 每個 API 請求在讀取或修改資料前，亦會核查用戶目前所屬的工作空間及角色權限。
登入及存取控制
- 成員以發送至其電郵地址的一次性驗證碼登入。索取驗證碼設有次數限制，以防止猜測及濫用。
- 成員可使用驗證器應用程式（TOTP）啟用雙因素認證，工作空間擁有人亦可要求所有成員啟用。
- 管理員可為成員重設雙因素認證。重設後，該成員的所有工作階段會被登出，而重設操作會記錄在活動記錄中。
- 以角色為本的權限控制每位成員可查看及執行的操作。擁有人及管理員可按團隊的工作方式設定角色。
- 停用或移除成員後，該成員會即時失去工作空間的存取權。
審計記錄
- 使用商務版時，審計日誌會記錄每項資料變更：由誰作出、何時作出，以及變更前後的數值。管理員可篩選日誌並匯出為 CSV。
付款
- 信用卡資料在 Stripe 寄存的頁面上輸入。Stripe 是獲 PCI DSS 第 1 級認證的付款服務供應商。MaterialPro 從不接收或儲存完整的信用卡號碼。
AI 功能
- 當你使用 AI 功能（例如讀取發票或送貨單）時，相關文件及所需內容會經 OpenRouter 傳送至執行該任務的 AI 模型。請在批核訂單、發票或付款前核對 AI 的輸出結果。私隱政策第 3.1 節有更詳細的說明。
離開時你的資料
- 大部分畫面，包括採購單、發票、供應商及收貨記錄，均可隨時將記錄匯出為 CSV。
- 如你決定停用 MaterialPro，我們可應要求為你準備整個工作空間的完整匯出，包括附件。請電郵至 support@materialpro.io 安排。
- 工作空間擁有人可在設定中刪除工作空間。刪除後，工作空間的資料會從我們的運作系統中永久清除；服務供應商備份中的副本則按其備份週期到期失效。
認證
- MaterialPro 目前未持有 SOC 2 或 ISO 27001 認證。我們樂意協助填寫你的安全問卷，並可進一步說明上述任何措施。
報告安全漏洞
如你認為發現了 MaterialPro 的安全漏洞，請將詳情及重現步驟電郵給我們。請勿存取或更改其他客戶的資料，並在公開披露前給予我們合理時間修正問題。我們會確認收到你的報告，並向你通報進展。