安全问卷概览

各章节汇总了公开的 Capgo 资源，并在注明处提供了经批准的供应商问卷答案（控制 ID 以标签形式显示）。有关合同条款，请参考链接中的原始资料。如需获取 SOC 2 Type 2、ISO 27001:2022 及报告 PDF，请访问 信任 capgo.app （需在该处签署 NDA，而非通过邮件）。以下项目属于 未公开的信息主题 仍需要访问信任门户或联系 security@capgo.app。

相关页面： 信任与合规 , 安全策略 , 子处理者 , DPA , 企业版 .

• 法人实体： Digital Shift OÜ (注册号 code 14236508), Sepapaja 6, 15551 Tallinn, Estonia。美国客户的合同方为 CodepushGo, LLC，一家特拉华州有限责任公司，地址为 131 Continental Dr, Suite 305, Newark, DE 19713。 法律声明 .
• 产品： 适用于 Capacitor、Ionic、Cordova 和 Electron 应用的 Live Update (OTA)，以及在 Capgo Cloud 上的 iOS 和 Android Native Build。 实时更新 , Native Build .
• 开源协议： Updater 插件及 Capgo 插件采用 MPL-2.0 协议；后端采用 AGPL-3.0 协议，并支持自托管。 GitHub .
• 部署方式： 提供 Capgo Cloud 托管服务，以及企业级托管、专用、混合及授权自托管方案。 企业版 .
• 适用法律： 爱沙尼亚；CodepushGo, LLC 的客户则适用特拉华州法律，依据 服务条款 .

DPA 子处理商、处理地点及传输机制的权威列表请见 subprocessors 页面 （而非 trust portal 中的 subprocessors 计数器）。当前的 DPA 子处理商包括：

• Supabase, Inc. (英国伦敦): 主要数据库、身份验证、账户数据、应用及 bundle 元数据、设备标识符。
• Cloudflare, Inc. (全球，含美国): edge CDN, Workers, Durable Objects, R2, 安全服务, Live Update 交付。
• Google Cloud (香港、东京、悉尼、约翰内斯堡、米兰、吉达、孟买、圣保罗、哥伦布斯)：数据库只读副本及 区域基础设施。
• Scaleway SAS (法国巴黎)：Native Build 基础设施、产物及工作流数据。

客户的 CI 不属于 Capgo 的 DPA 子处理商： Capgo 不会关联客户的 GitHub 仓库或从中拉取源码。典型的 自动化流程是使用客户的 CI（例如 GitHub Actions）配合 Capgo API token 来 upload bundles 或提交 Native Build 请求。 GitHub Actions 集成 , CI/CD 集成 .

Capgo 也会在控制器端使用自有业务服务（子处理商页面列出的示例包括 Stripe、Bento、PostHog、CodeRabbit 和 SonarCloud）。 当客户使用自己的开发者账号进行应用商店发布时，Apple 和 Google 是独立的控制器。

该 信任页面 表明 Cloudflare、Supabase 以及隔离的 CI pipeline 均强制执行 MFA、密钥管理和安全环境，且关键供应商均维持每年审查的 SOC 2 认证。

关于托管问题，请优先参考分包商列表，而非可能无法反映当前供应商情况的旧版 imprint 托管说明。

对于标准的 Capgo Cloud，Supabase 在英国伦敦处理主数据库、身份验证、账户数据、应用与 bundle 元数据以及设备标识符。Google Cloud 在香港、东京、悉尼、约翰内斯堡、米兰、吉达、孟买、圣保罗和哥伦布提供数据库只读副本及区域基础设施。Bundle 存储与 Live Update 分发使用 Cloudflare 的全球基础设施（含美国）。若需更高控制权，Enterprise 用户可针对 Live Update 路径使用区域端点路由，或采用授权的自托管部署。最新的子处理商列表包含完整的供应商、位置及传输详情。

欧盟插件数据路径 (需手动开启): 在 updateUrl, statsUrl，以及 channelUrl 至完整的欧盟端点: https://plugin.eu.capgo.app/updates, https://plugin.eu.capgo.app/stats，以及 https://plugin.eu.capgo.app/channel_self. 这三项必须同时设置，以确保相关的 Live Update 数据存储在欧洲。 数据位置文档 .

账户与控制台数据: 公开文档中说明了插件数据路径的欧盟 (EU) 选项。关于账户或控制台数据的独立欧盟选项尚未公开说明（参见 差异点 ).

严格的数据驻留： 通过授权自托管，您可以完全控制基础设施、日志、保留策略及网络边界。 符合 HIPAA 标准的部署选项 .

• 传输中： 使用 HTTPS/TLS 进行数据传输。 合规性文档 , DPA .
• 静态存储： 根据合规文档和 DPA 安全措施，在适用情况下对平台数据进行静态加密。
• 可选的 bundle 加密（客户密钥）： 使用客户管理的密钥实现端到端 bundle 加密（Encryption V2 使用 RSA-4096 和 AES-256-GCM）。 加密文档 . 防止 Capgo、存储提供商及 CDN 泄露数据；但并不能让已发布的 Web 资产无法被逆向工程。
• 完整性： Bundle 会进行 checksum 校验；可选择用自有密钥按应用加密。 合规文档 .
• API 密钥： Secure API 密钥会经过哈希处理；原始密钥值不会存储在 Capgo 服务器上。 组织安全文档 .

客户控制权限

• SSO (SAML 2.0): 仅限 Enterprise 方案；通过 DNS TXT 进行域名验证；可选择强制执行 SSO；新 SSO 用户将自动分配 read 角色。 Enterprise SSO 文档 .
• MFA: 组织超级管理员可以要求所有成员开启 2FA；未开启 2FA 的成员将被禁止访问 Web dashboard 和 CLI。 组织安全文档 .
• 密码策略: 可配置最小长度 (6 到 128)，以及大写字母、数字和特殊字符的要求。
• API 密钥： 强制使用安全 (哈希) 密钥，并可选择设置有效期 (1 到 365 天)。
• RBAC: 组织角色（超级管理员、管理员、账单管理员、成员）与应用角色（管理员、开发者、上传者、读取者），支持按 Channel 进行权限覆盖。 功能文档 .

Capgo 人员

访问权限仅限于因支持、防止滥用及保障运维可靠性而需要权限的授权人员；所有人员均接受过符合以下协议的 GDPR 和数据隐私培训： DPA .

密码和邮箱更新流程可能取决于 Supabase Auth 会话及重新验证设置。 安全策略 .

• 客户审计日志： 针对登录、权限变更、bundle、channel 和组织变更的审计追踪。 功能文档 根据 Enterprise 页面说明，Enterprise 版本包含审计日志、90 天组织统计数据以及 90 天设备日志。
• 监控： 提供专属运行手册、24/7 全天候监控，以及由创始人主导的事件响应预案，详见 信任页面 .
• 服务状态： 公开的服务可用性与故障信息请访问 capgo 应用状态 （参见 支持政策） ).
• 个人数据泄露通知（处理者）： 在获悉后不得无故拖延，最迟 48 小时内通过电子邮件通知客户并定期更新，依据 DPA .
• 更新故障保护机制： 如果更新服务在 3 秒内未响应，插件将取消请求并根据以下规则正常启动应用： 支持政策） .

• 备份、冗余、加密以及符合 DPA 安全标准的访问控制。
• 根据企业版及分处理商文档，提供区域复制和只读副本。
• 企业版可用性 SLA： 每月 99.9%，并提供 10% 至 30% 的服务抵扣额度。 SLA .

我们会定期测试备份的完整性和可恢复性，并每年进行一次恢复演练（详见下方的供应商问卷回答）。具体的 RPO 和 RTO 目标不会在 capgo.app 上公布。

• Code 扫描： 使用 SonarCloud 和 Snyk；根据合规文档，严重问题将被禁止发布到生产环境 信任页面 和 合规文档 .
• Pull request 审查： 根据合规文档，在 Pull request 中使用 CodeRabbit AI 进行审查。
• 渗透测试： 根据 Trust 页面进行独立的渗透测试。供应商、日期和报告详情不公开；如需获取证据，请使用信任门户。
• 补丁修复时限： 根据我们的漏洞管理策略，严重漏洞需在 7 天内修复，高危漏洞需在 30 天内修复（详见下方的供应商问卷回答）。
• 漏洞披露： 报告渠道： GitHub 安全公告 （还包括每个 capacitor-updater 和 CLI） security.txt 规定的 ). Response within 7 business days per the 安全策略 在 7 个工作日内做出响应。付费报告请通过 漏洞赏金计划 .

公开声明包括：

• 已完成 SOC 2 Type 2 (Type II) 认证，详见 合规文档 .
• 已通过 ISO 27001:2022 认证，详见合规文档和 trust portal。
• 可在以下地址查看 SOC 2 Type 1、SOC 2 Type 2、SOC 3、ISO 27001 和 GDPR 的 trust portal 徽章 信任 capgo.app .

如何获取报告： 访问 信任 capgo.app ，SOC 报告、ISO 证据、安全问卷和 NDA 下的控制细节，请使用 Request Access 获取。不要指望通过邮件收到认证 PDF。

企业级安全审查包可包含 SOC 2 报告、DPA 模板和架构说明，详见 Enterprise 页面 ，正式证据仍需通过信任门户流程获取。

完整的 SOC 2 和 ISO 审计报告、审计师意见及详细范围仅可通过信任门户获取。公开营销页面不会转载报告 PDF。

• DPA： 使用产品即自动接受；客户为控制者，Capgo 为处理者；与分处理者之间的 SCC；数据泄露通知与协助义务。 DPA （英文页面最后更新于 2026 年 6 月 10 日）。
• 已签署的 DPA / NDA： 企业版可用，详见企业版页面。
• Updater 收集的数据（默认）： App ID、版本、平台、应用级设备 ID、bundle、channel、OS、plugin 版本、请求国家/地区及 IP。Capgo 默认不收集姓名、邮箱或广告 ID。可选 custom_id 及统计数据 metadata 如果你的应用发送这些信息，则可能包含个人标识符。HIPAA 最低要求的部署应省略这些字段并禁用 allow_device_custom_id. 在适用 GDPR 的情况下，设备 ID 属于匿名化个人数据。 合规文档 .
• 禁用显式统计数据： 在 statsUrl 设为空字符串以停止显式统计报告。 当 updateUrl 保持启用时，Capgo 仍可存储 Live Update 和计费所需的 MAU、设备清单及更新决策记录。 HIPAA 合规文档 .
• 数据保留： 可配置 Bundle 保留策略；运营记录将为服务运行、安全、计费及支持之需进行保留，且无固定公开期限。
• 不销售服务数据： 已在 DPA 中说明，并且 数据政策 .

另请参阅 隐私政策 和 子处理者 （30 天变更通知）。

Capgo Cloud 目前 不 根据 HIPAA 合规文档，被定义为 符合 HIPAA 标准的托管统计数据处理器 。针对医疗保健客户，Enterprise 方案可根据 HIPAA 合规页面包含商业伙伴协议 (BAA) .

针对更严格审查的部署方案包括：使用欧盟端点、禁用显式统计数据（受上述限制）、自托管统计数据以及授权的自托管方案（请参阅 HIPAA 合规页面）。

• 安全团队： security@capgo.app
• 信任门户（问卷调查与认证证明）： 信任 capgo.app
• 漏洞报告： GitHub 安全公告
• 支持渠道： support@capgo.app 请使用您注册账号的邮箱，并遵循 支持政策）
• 企业级支持 SLA： P1 1 小时内响应 (24/7/365)；P2 2 个工作小时内；P3 1 个工作日内；P4 2 个工作日内 遵循 SLA