資訊安全

代管與基礎架構

• 應用程式在 Vercel 上執行，伺服器函式位於新加坡。
• 工作空間資料與上傳檔案儲存在 Supabase（PostgreSQL 資料庫與檔案儲存），由 Amazon Web Services 在新加坡代管。
• 發票與送貨單由專用的文件處理程式讀取，該程式代管於 Railway。
• 應用程式錯誤會回報至 Sentry，讓我們能盡快找出並修正問題。

所有處理客戶資料的服務提供者，均列於子處理者頁面。

加密

• 所有連到 MaterialPro 的連線均使用 TLS（HTTPS）。HTTP 嚴格傳輸安全（HSTS）會要求瀏覽器只透過 HTTPS 連線。
• 資料庫與檔案儲存中的靜態資料，由 Supabase 在 Amazon Web Services 上以 AES-256 加密。

工作空間隔離

• 各工作空間的紀錄在資料庫中以 PostgreSQL 資料列層級安全性（row-level security）區隔，已登入的使用者只能讀取屬於自己工作空間的資料。
• 每個 API 請求在讀取或變更資料前，也會核對使用者目前所屬的工作空間與角色權限。

登入與存取控制

• 成員以寄送至其電子郵件信箱的一次性驗證碼登入。索取驗證碼設有頻率限制，以防止猜測與濫用。
• 成員可使用驗證器應用程式（TOTP）啟用雙因素認證，工作空間擁有者也可要求所有成員啟用。
• 管理員可為成員重設雙因素認證。重設後，該成員的所有工作階段都會登出，重設操作也會記錄在活動紀錄中。
• 角色權限控管每位成員可檢視與執行的操作。擁有者與管理員可依團隊的工作方式設定角色。
• 停用或移除成員後，該成員會立即失去工作空間的存取權。

稽核軌跡

• 使用商務版時，稽核日誌會記錄每筆資料變更：由誰變更、何時變更，以及變更前後的數值。管理員可篩選日誌並匯出為 CSV。

付款

• 信用卡資料在 Stripe 代管的頁面上輸入。Stripe 是通過 PCI DSS 第 1 級認證的金流服務商。MaterialPro 從不接收或儲存完整的卡號。

AI 功能

• 當您使用 AI 功能（例如讀取發票或送貨單）時，相關文件與必要的脈絡會經由 OpenRouter 傳送至執行該任務的 AI 模型。請在簽核訂單、發票或付款前檢查 AI 的輸出結果。隱私權政策第 3.1 節有更詳細的說明。

離開時您的資料

• 大多數畫面，包括採購單、發票、廠商及驗收紀錄，都能隨時將紀錄匯出為 CSV。
• 若您決定停止使用 MaterialPro，我們可依您的請求準備整個工作空間的完整匯出，包含附件。請寄送電子郵件至 support@materialpro.io 安排。
• 工作空間擁有者可在設定中刪除工作空間。刪除後，工作空間的資料會從我們的運作系統中永久清除；服務提供者備份中的副本則依其備份週期屆期失效。

認證

• MaterialPro 目前未取得 SOC 2 或 ISO 27001 認證。我們很樂意協助填寫您的資安問卷，並可進一步說明上述任何措施。

通報資安漏洞

若您認為發現了 MaterialPro 的資安漏洞，請將詳細內容與重現步驟寄電子郵件給我們。請勿存取或變更其他客戶的資料，並在公開揭露前給我們合理的時間修正。我們會確認收到您的通報，並向您說明處理進度。

資安聯絡窗口：support@materialpro.io

相關文件

• 隱私權政策
• 子處理者
• 服務條款