跳转至正文

信任与合规

安全问卷概览

用于采购与安全审查的回答，源自公开的 Capgo 页面及文档。如需获取 SOC 2、ISO 27001 的详细控制映射及已完成的 问卷，请访问 信任中心 （需签署 NDA 后申请访问）。认证报告不通过电子邮件分发。

最后更新日期：2026年10月6日。

本页使用指南

各章节汇总了公开的 Capgo 资源，并在注明处提供了经批准的供应商问卷答案（控制 ID 以标签形式显示）。有关合同条款，请参考链接中的原始资料。如需获取 SOC 2 Type 2、ISO 27001:2022 及报告 PDF，请访问 信任 capgo.app （需签署 NDA，而非通过邮件）。以下项目属于 未公开的信息主题 仍需要访问信任门户或联系 security@capgo.app。

相关页面： 信任与合规 , 安全策略 , 子处理者 , DPA , 企业版 .

公司与产品

  • 法律实体： Digital Shift OÜ (注册号 code 14236508), Sepapaja 6, 15551 Tallinn, Estonia。美国账单客户与 CodepushGo, LLC 签约，该公司为特拉华州有限责任公司，地址为 131 Continental Dr, Suite 305, Newark, DE 19713。 法律声明 .
  • 产品： 适用于 Capacitor、Ionic、Cordova 和 Electron 应用的 Live Update (OTA)，以及基于 Capgo Cloud 的 iOS 和 Android Native Build。 Live Updates , Native Build .
  • 开源信息： Updater 插件及 Capgo 插件采用 MPL-2.0 协议；后端采用 AGPL-3.0 协议，并支持自托管。 GitHub .
  • 部署选项： 提供 Capgo Cloud 托管服务，以及企业托管、专属、混合和授权自托管方案。 企业版 .
  • 适用法律： 爱沙尼亚；CodepushGo, LLC 的客户适用特拉华州法律，根据 服务条款 .

供应商问卷答案

谁负责安全职能？ OS.3
CEO 是指定的首席信息安全官，负责安全策略、治理、战略、威胁与漏洞管理以及事件响应，并由工程团队提供支持。
您是否在合同中要求所有供应商进行背景调查？ HR.2
否。我们的基础设施供应商会在经过审计的 SOC 2 和 ISO 27001 体系下对其员工进行筛选，我们会每年进行审查。所有 Capgo 员工在获得访问权限前都会经过背景调查。
您是否每年至少进行一次模拟钓鱼演练？ HR.4
否。网络钓鱼意识已纳入 onboarding 和年度安全培训，且所有账户均强制执行 MFA。
离职时是否记录了资产回收和权限移除流程？ HR.6
是。我们的离职清单涵盖了在 1 个工作日内回收公司资产并移除所有访问权限。

托管与分包商

关于 DPA 分包商、处理地点及传输机制的权威列表请参阅 subprocessors 页面 （而非 trust portal 中的 subprocessors 计数器）。当前的 DPA 分包商包括：

  • Supabase, Inc. (英国伦敦): 主要数据库、身份验证、账户数据、应用及 bundle 元数据、设备标识符。
  • Cloudflare, Inc. (全球，含美国): edge CDN, Workers, Durable Objects, R2, 安全服务, Live Update 交付。
  • Google Cloud (香港、东京、悉尼、约翰内斯堡、米兰、吉达、孟买、圣保罗、哥伦布斯)：数据库只读副本及 区域基础设施。
  • Scaleway SAS (法国巴黎)：Native Build 基础设施、产物及工作流数据。

客户 CI 不属于 Capgo DPA 子处理商： Capgo 不会关联客户的 GitHub 仓库或从中拉取源码。典型的 自动化流程使用客户 CI（例如 GitHub Actions）配合 Capgo API token 来 upload bundles 或提交 Native Build 请求。 GitHub Actions 集成 , CI/CD 集成 .

Capgo 也会在控制器端使用自有业务服务（子处理商页面列出的示例包括 Stripe、Bento、PostHog、CodeRabbit 和 SonarCloud）。 当客户使用自己的开发者账号进行应用商店发布时，Apple 和 Google 是独立的控制器。

本指南中介绍的 信任页面 指出 Cloudflare、Supabase 和隔离的 CI pipeline 均强制执行 MFA、密钥管理及安全环境，且关键供应商均维持每年审核的 SOC 2 认证。

关于托管问题，请优先查看子处理者列表，而不是法律声明中可能未反映当前供应商的旧托管说明。

供应商问卷答案

客户使用哪个 URL 访问托管的应用？ HAS.7
https://console.capgo.app
服务托管在哪里？ HAS.8
云服务提供商：在 Cloudflare Workers 上以 serverless 运行，伦敦有托管的 Supabase PostgreSQL，Google Cloud 只读副本，巴黎的 Scaleway 用于 Native Build。当前列表见子处理者页面。
服务是否托管在你们运营的 colocation 机房中？ HAS.9
不。Capgo 不运营 colocation 机房，也没有自有数据中心。
在多租户服务中，客户数据是如何实现隔离的？ HAS.10
逻辑多租户隔离。通过 PostgreSQL Row Level Security 和基于角色的授权实现组织级别的数据库记录隔离。Bundles 存储在对象存储中，并按组织和应用路径进行划分。客户可以使用自己的密钥启用端到端 Bundle 加密。
每个客户是否拥有独立的数据库凭据或 Schema？ HAS.11
不为每个客户提供独立的数据库。租户隔离是通过 Row Level Security 和应用层授权实现的，而非通过每个租户独立的数据库凭据。
管理员如何管理生产环境？ HAS.21
通过云服务商的 Web 控制台及其基于 TLS 的 CLI 和 API 进行管理，并使用受 MFA 保护的账户和权限受限的 API token。生产数据库和 SSH 访问不会暴露在公网中。
哪些常见的生产环境控制措施尚未部署？ HAS.28
我们不运行专用的 SIEM 或企业级 VPN。Cloudflare 在边缘侧提供 DDoS 防护和 Web 应用防火墙，生产主机默认拒绝所有访问，且管理访问需通过受 MFA 保护的服务商控制台。
数据库是否在非特权服务账户下运行？ HAS.31
是。数据库采用由 Supabase 运营的托管 PostgreSQL。应用连接使用专用的非超级用户角色，面向用户的访问受行级安全性 (Row Level Security) 保护。
应用层是否在非特权服务账户下运行？ HAS.32
是。Web 层运行在 Cloudflare Workers 的沙箱 V8 isolates 中，我们的 code 无法接触到操作系统或 root 账户。
您是否制定了物理安全策略？ PE.1
是，每年进行审查和批准。Capgo 没有办公室或数据中心。该策略涵盖远程办公、终端设备以及对云服务商设施的监督。
哪些物理控制措施保护您的环境？ PE.2
Capgo 没有办公室或数据中心。所有生产环境均运行在 Cloudflare、Supabase、Google Cloud 和 Scaleway 的设施中，这些设施的物理控制均通过独立审计，我们会每年进行审查。
您的设施是否允许访客进入？ PE.4
Capgo 不适用。我们采用全远程办公模式，没有自有办公场所。数据中心访客控制由我们的云服务商负责。

数据驻留与区域

对于标准的 Capgo Cloud，Supabase 在英国伦敦处理主数据库、身份验证、账户数据、应用与 bundle 元数据以及设备标识符。Google Cloud 在香港、东京、悉尼、约翰内斯堡、米兰、吉达、孟买、圣保罗和哥伦布提供数据库只读副本及区域基础设施。Bundle 存储与 Live Update 交付使用 Cloudflare 的全球基础设施（包括美国）。若需更高控制权，Enterprise 用户可以使用 Live Update 路径的区域端点路由，或采用授权的自托管部署。最新的子处理商列表包含完整的供应商、位置及传输详情。

欧盟插件数据路径 (需手动开启): 设置 updateUrl, statsUrl，以及 channelUrl 至完整的欧盟端点: https://plugin.eu.capgo.app/updates, https://plugin.eu.capgo.app/stats，以及 https://plugin.eu.capgo.app/channel_self. 这三项必须同时设置，以确保相关的 Live Update 数据存储在欧洲。 数据位置文档 .

账户与控制台数据: 公开文档中描述了插件数据路径的欧盟 (EU) 选项。关于账户或控制台数据的独立欧盟选项尚未公开说明（参见 差异点 ).

严格的数据驻留： 通过授权自托管，您可以完全控制基础设施、日志、保留策略及网络边界。 符合 HIPAA 标准的部署选项 .

加密

  • 传输中： 使用 HTTPS/TLS 进行数据传输。 合规文档 , DPA .
  • 静态存储： 根据合规文档和 DPA 安全措施，在适用情况下对平台数据进行静态加密。
  • 可选 bundle 加密（客户密钥）： 使用客户托管密钥的端到端 bundle 加密（Encryption V2 采用 RSA-4096 和 AES-256-GCM）。 加密文档 . 防止被 Capgo、存储服务商和 CDN 泄露；但并不能让已发布的 Web 资产无法被逆向工程。
  • 完整性： Bundle 会通过校验和验证；可选择使用自有密钥按应用加密。 合规文档 .
  • API 密钥： 安全 API 密钥会经过哈希处理；原始密钥值不会存储在 Capgo 服务器上。 组织安全文档 .

供应商问卷答案

客户数据在数据库和对象存储中是否静态加密？ HAS.13
是。我们的云服务商会对数据库、备份和对象存储进行 AES-256 静态加密，密钥由服务商的密钥管理系统进行存储和轮换。此外，客户可以使用自己的密钥对对 bundle 进行端到端加密。
每个客户是否拥有用于平台存储的独立加密密钥？ HAS.14
平台存储不提供。服务商管理的密钥在租户间共享。对于 bundle，客户可以启用端到端加密，使用自己的 RSA 密钥对，而 Capgo 永远不会持有其私钥。
能够访问加密生产数据的人员是否可以获取加密密钥？ HAS.15
平台密钥无法获取。静态数据的加密密钥存储在云服务商的密钥管理系统中，Capgo 人员无法访问。端到端 bundle 加密的私钥仅由客户持有。
客户能否为平台存储加密提供客户自管密钥 (CMK)？ HAS.16
平台存储不支持。客户可以使用自己的密钥对对 bundle 进行端到端加密，从而确保 Capgo 不持有该内容的密钥。

身份验证与访问控制

客户控制权

  • SSO (SAML 2.0): 企业版方案；通过 DNS TXT 进行域名验证；可选择强制执行 SSO；新 SSO 用户将分配 read 角色。 企业版 SSO 文档 .
  • MFA: 组织超级管理员可以要求所有成员开启 2FA；未开启 2FA 的成员将被禁止访问 Web dashboard 和 CLI。 组织安全文档 .
  • 密码策略: 可配置最小长度 (6 到 128)，以及大写字母、数字和特殊字符的要求。
  • API 密钥： 强制使用安全 (哈希) 密钥，并可选择设置有效期 (1 到 365 天)。
  • RBAC: 组织角色（超级管理员、管理员、账单管理员、成员）和应用角色（管理员、开发者、上传者、只读），支持按 Channel 覆盖权限。 功能文档 .

Capgo 人员

访问权限仅限于因支持、防滥用和运维可靠性而确有需要的授权人员；相关人员均依据以下协议接受 GDPR 和数据隐私培训： DPA .

密码和邮箱更新流程可能取决于 Supabase Auth 会话和重新验证设置。 安全策略 .

供应商问卷答案

远程访问您的网络是否需要使用 VPN？ AC.11
否。没有可连接的企业网络。员工通过云服务商控制台和 API 管理生产环境，均使用 TLS 并强制 MFA。生产数据库和 SSH 访问不暴露在公网。
是否强制在 15 分钟或更短时间内自动锁屏并重新验证密码？ AC.12
是。我们通过设备合规代理，在所有终端上强制执行并监控自动屏幕锁定和密码重新验证。
访问权限的配置是否采用基于角色的最小权限控制，并在发放凭证前经过审批？ AC.13
是。访问权限通过基于角色的访问控制（RBAC）按最小权限原则配置，并在发放凭证前需审批。
用户变更角色时是否会重新审查其访问权限？ AC.14
是。我们的合规监控平台会在角色变更时提醒安全负责人更新访问权限，且所有访问权限也会定期审查。
是否有一项符合行业标准、由安全领导层负责并每年审批的密码策略？ AC.15
是。我们记录在案的密码和登录策略由信息安全官负责，并由高级管理层每年审查和批准。
用户在首次登录时是否必须重置或设置自己的密码？ AC.16
是。我们不发放可重复使用的初始密码。新用户会收到一次性邀请或临时凭证，首次登录时必须设置自己的密码，并强制启用 MFA。
初始密码或邀请链接是否随机生成，且对每个用户唯一？ AC.17
是。邀请链接和任何临时凭证都是随机生成的，且对每个用户都是唯一的。
在投入生产使用前，是否更改了厂商默认的账户和设置？ AC.18
是。生产环境运行在托管的 serverless 服务上，不存在厂商默认账户；所有默认设置在投入使用前，都会根据我们的配置管理控制进行审查和加固。
是否使用集中式目录服务进行员工身份管理？ AC.22
是。Google Workspace 是我们的中央身份目录，所有账户都强制执行两步验证 (2-Step Verification)，并用于登录支持该功能的各种核心系统。
密码是否按固定周期过期？ AC.23
无固定轮换周期。遵循 NIST SP 800-63B 标准，密码不会按固定时间表轮换。一旦发现任何泄露迹象，将立即更改密码，且所有系统均强制执行 MFA。
员工密码是否要求至少 8 个字符，并包含大写字母、小写字母、数字和特殊字符？ AC.24
是的，通过我们的身份提供商设置，员工账户必须满足此要求，且所有系统均需 MFA。
是否强制执行密码历史记录检查？ AC.25
员工密码没有固定的历史记录规则。通过所有系统强制执行 MFA 以及使用密码管理器生成唯一密码，来降低密码复用风险。
是否会自动拦截常用密码？ AC.25.1
是的。我们的身份提供商会拒绝弱密码和常用密码。
是否只有已注册且合规的设备才能访问内部系统？ AC.29
公司不设企业内网。内部系统仅限已登记且在册的终端访问，且这些终端必须通过加密、恶意软件防护、补丁更新及屏幕锁定等设备合规性检查。
闲置账号是否会在无活动后自动禁用？ AC.30
未设置闲置计时器。员工离职后，其访问权限将在 1 个工作日内被移除；此外，信息安全官会定期进行访问权限审查，以识别并移除未使用的账号。
是否对所有拥有远程生产环境管理权限的员工强制执行 MFA？ HAS.20
是。所有拥有生产环境及其他关键系统访问权限的员工账号均强制执行 MFA。
是否为所有 Capgo Cloud 应用用户提供并强制执行 MFA？ HAS.20.1
是。所有用户均可使用 TOTP MFA，且组织管理员可以对其所有成员强制执行 MFA，从而阻止任何未启用 MFA 的用户访问 dashboard 和 CLI。
Capgo Cloud 控制台支持哪些登录方式？ HAS.27
用户通过邮箱、密码及 TOTP MFA 进行登录，客户可以强制要求所有成员使用 MFA。企业版支持可选强制执行的 SAML 2.0 SSO。CLI 和 CI 访问使用具有作用域的 API 密钥，并支持可选的强制过期机制。
在固定次数登录失败后，账号是否会被锁定？ HAS.35
没有针对单个账号的固定锁定机制。登录尝试会受到我们身份验证提供商的速率限制，且客户可以为所有用户强制执行 MFA 或 SAML SSO。
特权员工是否拥有生产数据库的直接访问权限？ HAS.30
是，但受到严格限制。直接访问生产数据库的权限仅限于 2 名经授权的工程师，受 MFA 保护，不对公网开放，并会定期进行审计。
您的资产清单是否识别了面向互联网的系统？ AM.2.1
是。我们的基础设施清单和架构图识别了所有面向互联网的端点。
数据和介质的安全处置是否受正式协议管理？ AM.3
是。处置流程遵循我们的数据分类、保留与删除策略。数据中心的存储介质销毁由我们的云服务商在经过审计的控制下执行。
是否至少每 12 个月定义并审查一次安全配置基线？ AM.5
是。我们根据配置管理控制定义云服务和端点的配置基线，并至少每年根据我们的策略进行一次审查。
操作系统是否针对必要的端口、协议和服务进行了加固？ AM.6
生产环境：是。采用托管平台上的 serverless 架构，入口流量仅限于指定端点的 HTTPS，并执行默认拒绝的防火墙规则。Scaleway macOS build runners 是 Capgo 进行 Native Build 时运行的主要操作系统。
员工设备部署了哪些端点保护措施？ CO.4
所有端点均运行恶意软件防护和全盘加密，并由我们的设备合规代理进行监控。我们未部署 Host IPS 和 USB 端口拦截。客户数据在我们的云生产系统中进行处理。
员工端点是否部署了全盘加密？ CO.5
是。所有终端都强制启用全盘加密并受监控。数据库和云端备份在我们的云服务商处均处于静态加密状态。我们不会将备份写入可移动介质。
您是否使用 DLP 工具监控出站流量和 USB？ CO.5.1
否。客户数据存放在受访问控制的云系统中，终端已完全加密并受监控，数据处理规则已在我们的《可接受使用政策》和《数据分类政策》中明确定义。
防火墙规则是否定期进行审查或重新认证？ CO.8
是。生产环境的入站规则默认拒绝，且仅限 HTTPS 端点，并作为配置与访问审查的一部分至少每年审查一次。
您是否维护显示入站和出站连接的网络拓扑图？ CO.9
是。我们的架构和网络拓扑图展示了系统边界，以及 Capgo、我们的云服务商与客户之间的连接，并随系统清单同步维护。
员工是否可以使用个人电脑阅读公司邮件？ CO.14
员工可以使用已注册并纳入设备合规代理的个人笔记本电脑，该代理会强制执行磁盘加密、恶意软件防护、屏幕锁定和补丁更新。访问邮箱需要 MFA。
远程访问公司邮箱是否需要 MFA？ CO.15
是。所有 Google Workspace 账号均在域级别强制启用两步验证。
用户需要多久用 MFA 重新认证一次？ CO.16
每次新登录或使用任何新设备时都需要 MFA。会话时长遵循我们的 Google Workspace 会话控制设置（目前受信任会话为 14 天）。

日志、监控与事件

  • 客户审计日志： 登录、权限变更、bundles、channels 及组织变更的审计追踪。 功能文档 根据 Enterprise 页面说明，Enterprise 版本包含审计日志、90 天组织统计数据以及 90 天设备日志。
  • 监控： 提供专属运行手册、24/7 全天候监控，以及由创始人主导的事件响应预案，详见 信任中心页面 .
  • 状态： 公开的服务运行时间与故障信息请访问 capgo.app 状态 （参见 支持政策） ).
  • 个人数据泄露通知 (处理者)： 根据 DPA 规定，在获悉泄露后 48 小时内通过电子邮件通知客户，并定期更新进展。 DPA .
  • 更新故障保护机制： 如果更新服务在 3 秒内未响应，插件将取消请求并根据 支持策略 .

供应商问卷答案

审计日志是否至少保留三年？ AC.26
否。我们会针对关键系统上的安全相关操作生成审计事件，并通过告警进行审查以检测异常活动。日志根据我们的日志策略及各平台的保留设置进行存储，时间少于三年。
生产环境日志是否接入了 SIEM？ AC.27.1
没有专门的 SIEM。生产日志会收集在云服务商的日志与可观测性工具中，并配置告警以审查异常活动。
部署了哪些网络防御和监控措施？ CO.3
Cloudflare 提供边缘防火墙、Web 应用防火墙 (WAF) 和 DDoS 防护。生产环境主机使用默认拒绝 (deny-by-default) 规则，并使用 Google Workspace 过滤邮件和垃圾邮件。我们不运行专用的 SIEM；通过服务商工具进行日志监控并配置告警。
您的事件响应计划是否涵盖了常见的事件类型？ IE.2
是的。我们的事件响应计划涵盖了恶意软件、拒绝服务攻击 (DoS)、未经授权的访问、未经授权的物理访问、数据丢失、笔记本电脑丢失以及勒索软件。由于我们采用全远程办公模式且没有自有办公场所，物理入侵场景仅适用于终端设备。
您是否聘请了常驻的第三方事件响应公司？ IE.3
目前没有常驻协议。我们的事件响应计划规定，在需要时会聘请外部事件响应公司。
事件响应计划是否至少每年进行一次测试和更新？ IE.3.2
是的。事件响应计划每年由高级管理层进行审查和批准，并且我们会进行年度桌面演练 (tabletop exercise)。
是否设有联系执法部门的协议？ IE.6
是的。我们的事件响应策略规定了对客户及其他利益相关者的通知流程。作为 ISO 27001 计划的一部分，我们还与包括执法部门在内的相关机构保持联系。

备份、可用性与 SLA

  • 通过备份、冗余、加密和访问控制来保障 DPA 安全措施。
  • 根据 Enterprise 及子处理商文档，提供区域复制和只读副本。
  • Enterprise 服务可用性 SLA： 每月 99.9%，若未达标将提供 10% 至 30% 的服务抵扣额。 SLA .

我们会定期测试备份的完整性和可恢复性，并每年进行一次恢复演练（详见下方的供应商问卷回答）。具体的 RPO 和 RTO 指标不会在 capgo.app 上公布。

供应商问卷答案

是否每年至少进行一次备份恢复测试？ CO.6
是。我们会定期进行备份完整性和可恢复性测试，并每年演练一次恢复流程。

漏洞管理与披露

  • Code 扫描： 使用 SonarCloud 和 Snyk；根据 信任页面 以及 合规文档，关键问题将被禁止发布到生产环境。 .
  • Pull request 审查： 根据合规文档，在 pull request 上使用 CodeRabbit AI 进行审查。
  • 渗透测试： 根据 Trust page 进行独立的渗透测试。供应商、日期和报告详情不公开；如需获取证据，请使用 trust portal。
  • 补丁修复时限： 根据我们的漏洞管理策略，严重漏洞需在 7 天内修复，高危漏洞需在 30 天内修复（详见下方的供应商问卷答复）。
  • 漏洞披露： 报告渠道： GitHub 安全公告 （也可通过 capacitor-updater 和 CLI，详见 安全问卷 ）。我们将根据 安全策略 在 7 个工作日内响应。付费报告请通过 漏洞赏金计划 .

供应商问卷答案

发布生产版本前需要进行哪些安全测试？ HAS.4
每个 pull request 在合并前都会运行自动化测试、linting、静态分析（SonarCloud 及强制性安全扫描）以及自动化的 code 审查；生产环境的变更需经管理层批准。发布 pipeline 中不包含 DAST。我们每年会对运行中的应用程序进行第三方渗透测试。
针对严重和高危漏洞的修复频率是多少？ VM.7
严重漏洞：7 天内修复。高危漏洞：30 天内修复，符合我们的漏洞管理策略。

认证说明及如何申请证明文件

公开声明包括：

  • 已完成 SOC 2 Type 2 (Type II) 认证，详见 合规文档 .
  • 已通过 ISO 27001:2022 认证，详见合规文档及信任门户。
  • 可在以下地址查看 SOC 2 Type 1、SOC 2 Type 2、SOC 3、ISO 27001 和 GDPR 的信任门户徽章 信任 capgo.app .

如何获取报告： 访问 信任 capgo.app ，针对 SOC 报告、ISO 证明、安全问卷及受 NDA 保护的控制细节，请使用“申请访问 (Request Access)”。我们不会通过电子邮件发送认证 PDF 文件。

企业安全审查包可包含 SOC 2 报告、DPA 模板及架构说明，详情请参阅 企业页面 ，正式证明仍需通过信任门户 (trust portal) 流程获取。

完整的 SOC 2 和 ISO 审计报告、审计师意见及详细范围仅可通过信任门户获取。公开营销页面不会展示报告 PDF。

供应商问卷答案

是否设有针对内部合规报告的非报复机制？ CP.3
是的。员工可以通过我们政策中定义的正式渠道报告相关问题，且我们的 Code 商业行为准则保护诚信举报人免受报复。
供应商合同中是否包含安全条款？ OS.7
是的。我们的基础设施提供商协议和 DPA 涵盖了访问控制、违规通知、子处理商安全以及数据所有权。我们通过其独立的 SOC 2 和 ISO 27001 报告行使审计权。
您是否对供应商进行安全尽职调查？ OS.8
是的。我们会通过年度供应商风险评估来识别供应商并进行风险评级，审查其包括访问控制、MFA 和加密在内的安全证明，并在合同中明确安全承诺和事件通知要求。
是否有明确的安全策略例外处理流程？ SP.4
是的。所有例外情况都会根据我们的策略管理与例外处理政策进行记录、风险评估、审批和跟踪。
您是否购买了网络安全保险？ RM.5
目前暂无网络安全保险。

隐私与 DPA

  • DPA： 使用产品即视为自动接受；客户为控制者，Capgo 为处理者；包含与分处理者的 SCC；违规通知及协助义务。 DPA （英文页面最后更新于 2026 年 6 月 10 日）。
  • 已签署的 DPA / NDA： Enterprise 版本可提供，详见 Enterprise 页面。
  • Updater 收集的数据（默认）： App ID、版本、平台、App 范围内的设备 ID、bundle、channel、OS、plugin 版本、请求来源国家及 IP。Capgo 默认不收集姓名、邮箱或广告 ID。可选 custom_id 及统计数据 metadata 若您的 App 发送了个人标识符，则可能包含此类信息。符合 HIPAA 标准的部署应忽略这些字段并禁用 allow_device_custom_id在适用 GDPR 的情况下，设备 ID 属于匿名化个人数据。 合规文档 .
  • 禁用显式统计数据： 设置 statsUrl 将其设为空字符串以停止显式统计报告。 当 updateUrl 保持启用时，Capgo 仍可存储 Live Update 和计费所需的 MAU、设备清单及更新决策记录。 HIPAA 合规文档 .
  • 数据保留： 可配置 Bundle 保留策略；运营记录将为服务运行、安全、计费和支持之需进行保留，且无固定公开期限。
  • 不销售服务数据： 已在 DPA 中说明，并且 数据政策 .

另请参阅 隐私政策 以及 子处理者 （30 天变更通知）。

HIPAA 敏感型部署

Capgo Cloud 是 不会 根据 HIPAA 合规文档，目前被定义为 HIPAA 合规文档 的 HIPAA 合规托管统计数据处理器。企业版计划可为医疗客户提供 HIPAA 合规页面 .

针对更严格审查的部署方案包括：使用欧盟端点、禁用显式统计数据（受上述限制）、自托管统计数据以及授权的自托管方案（请参阅 HIPAA 合规页面）。

生成式 AI

默认情况下，Capgo 不会将客户数据发送给任何 AI 提供商。内部开发仅限在 Capgo 自身的源代码 code 上使用 AI 编程助手。如果客户选择启用构建日志诊断，这些日志将由 Cloudflare Workers AI 按需处理（请参阅 分处理商页面 ），AI 服务不会保留这些数据，也不会将其用于训练。

供应商问卷答案

您是否使用可能会处理客户数据的现成生成式 AI 工具？ GAI.2
默认情况下，客户数据不会被现成的生成式 AI 工具处理。Capgo 仅在 Capgo 自身的源代码 code 开发中使用 AI 编程助手，不会处理客户数据。唯一面向客户的例外是可选的构建日志诊断：当客户选择启用时，这些日志将由已列出的分处理商 Cloudflare Workers AI 按需处理，AI 服务不会保留这些数据，也不会将其用于模型训练。
客户数据是否会被发送到您的环境之外进行 AI 分析？ GAI.3
默认情况下，客户数据不会发送给任何外部 AI 提供商进行分析。唯一的例外是可选的 build-log 诊断：当客户选择启用时，这些 build logs 将由 Cloudflare Workers AI（已在我们的子处理器页面列出）按需处理，AI 服务不会保留这些数据，也不会将其用于模型训练。
您是否会对 AI 输出进行测试，以防止出现不公平或歧视性的结果？ GAI.10
不适用。AI 仅用于技术性的 build-log 诊断和内部开发辅助，不会针对个人做出任何决策。
AI 处理是否避免了对受保护特征的依赖？ GAI.11
是。面向客户的 AI 功能仅处理技术性的 build logs，不使用个人或受保护的特征。
AI 输出是否通过人工审核和监控进行管理？ GAI.12
是。面向客户的 AI 输出仅具参考价值并展示给开发者，由开发者决定后续操作。它不会执行任何自动化操作。该功能为可选启用，并纳入我们的风险评估和供应商管理流程中。
对 AI 组件的访问是否遵循最小权限原则？ GAI.13
是的。AI 功能在我们的生产平台内运行，受同样基于角色的最小权限访问控制约束，且模型服务不会存储客户数据。
您是否维护 AI 模型、数据源和组件的清单？ GAI.15
是的。我们的供应商和系统清单列出了 AI 服务、所用模型以及为其提供数据的数据源。
客户输入在 AI 系统中保留多久？ GAI.16
默认情况下，不会向 AI 服务发送任何客户内容。当客户选择启用 build 日志诊断时，日志会由 Cloudflare Workers AI 按每次请求处理，该服务不会保留这些日志，也不会将其用于模型训练。存储在 Capgo 系统中的 build 日志遵循我们的标准数据保留政策。

联系方式

未公开的信息

以下是问卷中常见的问题，但不会在 Capgo 公开页面上回答。请通过信任门户或发送邮件至 security@capgo.app 获取详情。

  • 超出信任门户范围的 SOC 2 报告周期、范围及审计师函详情
  • 渗透测试供应商、日期及总结报告（年度测试已在漏洞管理项中确认）
  • 已公布的 RPO 和 RTO 数值目标
  • 各系统的确切日志保留周期（需超出“日志、监控与事件”中少于三年的概括描述）
  • TLS 最低版本、密码套件及平台密钥管理轮换详情
  • SCIM 配置管理
  • 数据保护官 (DPO) 或欧盟代表联系方式
  • 合同终止后客户数据的具体删除时限
  • PCI DSS、FedRAMP、CSA STAR 或 TISAX 认证（未公开声明的）