Bảo mật tại Lotics
Chúng tôi xây dựng Lotics để bảo vệ dữ liệu của bạn trên mọi đường đi. Trang này tóm tắt các thực hành và biện pháp bảo mật đang áp dụng. Về các bên thứ ba xử lý dữ liệu thay mặt chúng tôi, xem trang Bên xử lý dữ liệu.
Hạ tầng & lưu trữ
Lotics chạy trên Render (Hoa Kỳ) với cơ sở dữ liệu PostgreSQL, bộ nhớ đệm được quản lý và đĩa được mã hóa. Tập tin được lưu trong kho Cloudflare riêng tư và chỉ được phục vụ qua một proxy biên có xác thực — đối tượng lưu trữ không bao giờ truy cập được công khai.
Mã hóa
- Trên đường truyền: mọi kết nối đều dùng TLS; lưu lượng thời gian thực dùng WebSocket bảo mật.
- Khi lưu trữ: cơ sở dữ liệu, bộ nhớ đệm và bản sao lưu được mã hóa khi lưu trữ.
- Thông tin đăng nhập tài khoản kết nối: thông tin đăng nhập của các tài khoản bên thứ ba mà bạn kết nối được mã hóa thêm ở tầng ứng dụng (AES-256-GCM) trước khi lưu, bảo vệ vượt trên mã hóa cấp đĩa.
Xác thực & quyền truy cập
- Xác thực đa yếu tố (TOTP, kèm mã dự phòng) có sẵn.
- Mật khẩu được băm bằng thuật toán tốn bộ nhớ, và độ dài tối thiểu được áp dụng.
- Phân quyền theo vai trò điều chỉnh mọi không gian làm việc: thành viên chỉ thấy dữ liệu mà vai trò và quy tắc hiển thị bản ghi của họ cho phép.
- Cô lập theo tổ chức: dữ liệu của mỗi tổ chức và không gian làm việc được tách biệt, và quyền truy cập được kiểm tra lại trên mỗi yêu cầu — trên API, kênh thời gian thực và tác vụ nền.
- Thu hồi quyền tự động: khi một thành viên rời tổ chức, vai trò, tư cách nhóm và các tài khoản kết nối của họ được thu hồi tự động.
- Phiên đăng nhập và khóa API có thể thu hồi riêng lẻ, và việc thu hồi có hiệu lực trên mọi máy chủ ngay lập tức.
Bảo vệ mạng & chống lạm dụng
- Các điểm cuối xác thực và API được giới hạn tần suất để hạn chế dò mật khẩu và thu thập dữ liệu tự động.
- Mỗi phản hồi mang theo các tiêu đề bảo mật HTTP được tăng cường, gồm HSTS, Chính sách Bảo mật Nội dung (CSP), và bảo vệ chống clickjacking lẫn suy đoán kiểu MIME.
An toàn tập tin
Tập tin tải lên được kiểm tra tại ranh giới: nội dung thực thi và mã kịch bản bị từ chối dựa trên chữ ký tập tin — không chỉ theo phần mở rộng — kích thước lưu trữ được xác minh sau khi tải lên, và tập tin được phục vụ dưới dạng tải xuống qua proxy có xác thực nên không thể chạy trong trình duyệt của bạn.
Khả năng phục hồi & sao lưu
Dữ liệu khách hàng chạy trên hạ tầng được quản lý với sao lưu cơ sở dữ liệu tự động, được mã hóa và khôi phục về thời điểm (point-in-time recovery), và tập tin được lưu trong kho lưu trữ đối tượng có độ bền cao.
Ghi nhật ký kiểm toán
Các hành động liên quan đến bảo mật được ghi vào nhật ký kiểm toán chỉ-ghi-thêm. Mỗi mục mang một chữ ký chống giả mạo bằng mật mã, nên mọi sửa đổi về sau hay mục giả mạo đều có thể phát hiện.
Bảo mật ứng dụng
- Mọi thay đổi đều được đồng nghiệp rà soát và phải vượt qua các kiểm tra tự động trước khi phát hành.
- Quy trình tích hợp liên tục chặn các phụ thuộc có lỗ hổng đã biết, và chúng tôi nhận cập nhật bảo mật tự động hàng tuần.
- Bí mật được giữ ngoài mã nguồn và được kiểm tra khi khởi động; quyền truy cập vào chúng được giới hạn.
Quyền riêng tư & quyền dữ liệu của bạn
- Lotics đóng vai trò bên xử lý dữ liệu thay mặt bạn; bạn vẫn là bên kiểm soát dữ liệu của mình.
- Bạn có thể xuất dữ liệu cá nhân và yêu cầu xóa tài khoản, theo một quy trình xóa có xác nhận và giới hạn thời gian.
- Chúng tôi xử lý và lưu trữ dữ liệu tại Hoa Kỳ và tuân theo các thực hành phù hợp với GDPR.
- Chúng tôi không tiếp nhận Thông tin Sức khỏe được Bảo vệ (PHI) — điều này bị cấm theo thỏa thuận của chúng tôi.
Tuân thủ
Các biện pháp bảo mật của chúng tôi được thiết kế và ánh xạ theo Tiêu chí Dịch vụ Tin cậy của SOC 2 và ISO 27001, và chúng tôi đang chuẩn bị cho việc chứng nhận. Chúng tôi tuân theo các thực hành phù hợp với GDPR với vai trò bên xử lý dữ liệu của bạn, kèm tính năng xuất dữ liệu và xóa tài khoản trong sản phẩm. Chúng tôi chưa được chứng nhận — trang này phản ánh các biện pháp đang áp dụng.
Báo cáo vấn đề bảo mật
Nếu bạn phát hiện lỗ hổng hoặc có câu hỏi về bảo mật, vui lòng liên hệ support@lotics.ai.
Cập nhật lần cuối: 24 tháng 6 năm 2026.