Trung tâm tin cậy
Tổng quan công khai về bảo mật, quyền truy cập, nhà cung cấp và tính sẵn sàng của NexaFile. Trang này không phải SLA theo hợp đồng.
Kiểm soát truy cập
- Workspace được tách theo tổ chức; quyền Owner, Admin và Member giới hạn chức năng theo vai trò.
- Tài liệu riêng tư theo người tạo trừ khi được assign hoặc share rõ ràng trong workspace.
- MFA và recovery code được hỗ trợ; recovery code được băm và MFA secret được mã hóa trong cơ sở dữ liệu.
Mã hóa và truyền dữ liệu
Kết nối trình duyệt production sử dụng HTTPS. Mật khẩu được băm bằng scrypt. OAuth credential và MFA secret lưu trong cơ sở dữ liệu được mã hóa bằng khóa ứng dụng. Tài liệu lưu trên object storage được mã hóa phía ứng dụng trước khi upload theo cấu hình production hiện tại.
Kiểm chứng kết quả AI
NexaFile đối chiếu các finding quan trọng với nội dung trang nguồn khi có thể, hiển thị source coverage/confidence và đánh dấu finding chưa đủ evidence là cần human review. Đây không phải cam kết rằng AI luôn chính xác.
Nhà cung cấp dịch vụ
NexaFile sử dụng một số nhà cung cấp dịch vụ đáng tin cậy để vận hành nền tảng, xử lý thanh toán, cung cấp AI và kết nối các dịch vụ cloud. Việc sử dụng từng nhà cung cấp phụ thuộc vào tính năng mà khách hàng lựa chọn.
- DigitalOcean: hạ tầng ứng dụng và lưu trữ dữ liệu.
- OpenAI API: xử lý AI cho nội dung được người dùng chủ động gửi để phân tích.
- Polar: hosted checkout để xử lý thanh toán, thuế và biên nhận cho các giao dịch áp dụng; Polar đảm nhiệm vai trò Merchant of Record.
- Resend: gửi email xác minh tài khoản, bảo mật và thông báo dịch vụ.
- Google: đăng nhập, Google Drive và các dịch vụ Google được người dùng chủ động kết nối.
- Microsoft: đăng nhập và kết nối OneDrive/SharePoint theo quyền mà người dùng hoặc tổ chức cho phép.
- Cloudflare: DNS, bảo vệ edge và chống lưu lượng tự động/bot.
NexaFile cũng cung cấp API và developer tools cho tích hợp hệ thống. Các công cụ client như Postman có thể được khách hàng sử dụng để gọi API nhưng không phải là nhà cung cấp xử lý dữ liệu mặc định của NexaFile.
Xem chi tiết về phạm vi xử lý dữ liệu, bảo mật và quyền riêng tư →
Vận hành và sự cố
Health và readiness được giám sát định kỳ; sự cố công khai được ghi tại trang Trạng thái. NexaFile áp dụng logging, rate limiting, audit records và quy trình xử lý sự cố. Không hệ thống nào có thể cam kết bảo mật tuyệt đối.
Tính sẵn sàng và SLA
NexaFile không công bố SLA uptime hoặc service credit chung cho tất cả gói. Các tỷ lệ SLA của nhà cung cấp hạ tầng không phải SLA của NexaFile. Nếu order form doanh nghiệp có SLA riêng, chỉ SLA đã ký đó áp dụng.
Phạm vi kiểm soát công khai
| Lĩnh vực | Biện pháp công khai | Giới hạn tuyên bố |
|---|---|---|
| Danh tính & truy cập | MFA · Passkeys · RBAC · audit records | Không đồng nghĩa với chứng nhận bên thứ ba. |
| Dữ liệu | HTTPS · encrypted application secrets · workspace isolation | Vị trí và retention cụ thể phụ thuộc cấu hình, nhà cung cấp và hợp đồng. |
| Vận hành | health/readiness monitoring · rate limiting · incident records | Số liệu quan sát không phải SLA hợp đồng. |
Nhà cung cấp phụ trợ và luồng dữ liệu
Danh sách trên nêu các nhà cung cấp đang được công bố và mục đích chính. Phạm vi dữ liệu thực tế phụ thuộc tính năng khách hàng sử dụng. Không phải mọi tài liệu đều được gửi tới mọi nhà cung cấp.
NexaFile không tuyên bố SOC 2, ISO 27001 hoặc chứng nhận tương tự nếu chưa có báo cáo/chứng chỉ độc lập còn hiệu lực để cung cấp.
Quản trị, bằng chứng và cập nhật
- Tuyên bố công khai phải mô tả biện pháp đang vận hành và không được nâng cấp thành chứng nhận, SLA hoặc bảo đảm chưa ký.
- Thay đổi trọng yếu về nhà cung cấp, phạm vi OAuth, retention hoặc cách xử lý dữ liệu phải được phản ánh trong Trust Center hoặc tài liệu pháp lý liên quan.
- Khách hàng doanh nghiệp có thể yêu cầu DPA, bảng câu hỏi bảo mật hoặc bằng chứng kiểm soát hiện có; khả năng cung cấp phụ thuộc tính bảo mật và thỏa thuận áp dụng.
Mô hình trách nhiệm chung
NexaFile bảo vệ nền tảng và kiểm soát do mình vận hành. Khách hàng chịu trách nhiệm quản lý người dùng, phân quyền workspace, bảo vệ thiết bị và tài khoản cloud, chọn dữ liệu hợp pháp để xử lý, kiểm tra kết quả AI và thu hồi quyền khi không còn cần thiết.
Báo cáo vấn đề bảo mật
Gửi mô tả, thời điểm, URL bị ảnh hưởng và bước tái hiện; không gửi mật khẩu, API key hoặc tài liệu nhạy cảm trong email. [email protected]
