Onplana 的安全
你的项目数据至关重要。我们用企业级安全、加密、访问控制、审计日志和数据隔离来保护它，让你专注于交付项目，而不是担心数据泄露。
正在为你的组织评估 Onplana？ 阅读附答案的安全评审，AI 数据处理排在最前。
安全支柱
从身份验证到基础设施，安全贯穿 Onplana 平台的每一层。
全面加密
- 所有传输中的数据使用 TLS 1.2+
- 静态数据使用 AES-256 加密
- 所有端点强制使用 HTTPS
- 数据库连接使用 SSL 加密
身份验证和访问
- 双重身份验证（TOTP + 10 个一次性备用码）
- 在租户内重置 2FA（由组织的所有者或管理员执行，并有权限保护）
- 通过 SAML 2.0 和 OIDC 实现 SSO（Enterprise），带域名验证
- SCIM 2.0，支持按租户停用并记录变更
- 防暴力破解锁定（基于 Redis，以 Postgres 作为后备）
- 一次性交换码，URL 中不含 JWT
- 令牌版本控制和全局退出登录
- IP 允许列表（Enterprise）
审计和合规
- 只追加的审计日志，带结构化的前后对比
- 六种保留配置：STANDARD / GDPR / HIPAA / FINRA / SOC 2 / CUSTOM
- 属于多个组织的人员适用最严格的保留规则
- 安全事件流（登录、密码更改、2FA、SCIM）
- 审计日志可导出为 CSV 或 JSON，支持筛选和时间范围
- 合规评分仪表板（2FA、令牌范围、保留、IP）
- 受治理项目的变更控制委员会
基础设施
- 托管在 Microsoft Azure 上，这是一家符合 SOC 2 的云服务提供商
- 每个租户的数据在每次查询中都限定在其所属组织内
- 自动备份，支持时间点还原
- DDoS 防护和请求频率限制
- 定期漏洞扫描
数据保护
- 租户隔离：组织之间永远看不到彼此的数据
- 带回收站的软删除（30 天内可恢复）
- 通过部署在你的 Azure 订阅中的专用实例实现数据驻留（Enterprise+）；托管服务在单一区域运行
- 你的数据绝不会用于训练 AI 模型
- 随时可以导出数据（没有锁定）
组织控制
- 五个内置角色，外加自定义角色（Business 方案及以上）
- 细粒度的权限键（组织和项目）
- 只有所有者能修改权限矩阵（防止权限提升）
- 最后一位所有者保护：唯一的所有者不能被降级
- 管理员不能重置所有者的 2FA（权限隔离）
- 访客席位管理，按方案设限
- 访问评审，显示 2FA 状态、上次登录时间和不活跃标记
生产环境防护
- 启动时检查：缺少密钥或密钥格式错误时服务不会启动
- 单一用途的 JWT 密钥（身份验证、SSO 状态、计费、日历）
- Helmet 安全头（HSTS、CSP、X-Frame-Options、COOP/CORP）
- 按路由的频率限制（身份验证、OAuth、AI、按租户的 SCIM）
- 使用 HMAC-SHA256 签名的 Webhook，并防范 SSRF
- 部署时校验构建 SHA（不会悄无声息地落后于版本）
你的文档
把合同、计划或客户文件上传到 Onplana 后会发生什么。
私有且加密的存储
上传的文件保存在 West US 的 Azure Blob Storage 中，由 Azure Storage 进行静态加密，并复制到第二个区域（East US）。存储账户不接受来自公共网络的流量，只能通过专用终结点访问。没有任何容器是公开的，账户也没有共享访问密钥，因此 Onplana 通过托管标识访问它。
传输中加密
你的浏览器与 Onplana 之间、Onplana 与存储之间都只使用 HTTPS，最低为 TLS 1.2。
只能从应用中打开
每次下载都经过已登录的应用，由它确认文件属于你的组织。项目文件还要求有该项目的访问权限，受限文件夹只对与之共享的人打开。存储的文件不存在公开链接。
入口处检查
文件的真实类型从其内容读取，并与允许的类型列表比对，可执行文件被排除在外。每个文件最大 100 MB，并受你方案的存储容量限制。
版本和回收站
每份文档都保留版本历史，所有方案均如此。删除的文件连同内容进入回收站，默认保留 30 天，使用 HIPAA 和 FINRA 保留配置时保留六年。
在组织外共享
外部收件人用通过邮件收到的六位数代码打开共享的文件，代码有效期为 15 分钟。只有经过验证的发件人才能共享，发送次数有每小时上限，共享者可以随时撤销访问。所有者和管理员可以为链接设置默认有效期，并且Professional 方案及以上，所有者可以禁止其他所有角色在组织外共享文件。
Office 文件留在 Onplana 中
在浏览器中编辑的 Word、Excel 和 PowerPoint 文件，在 Onplana 自己的 Azure 环境中由 Onplana 的编辑服务打开，而不是在外部编辑器中打开。
记入审计日志
上传、下载（在应用中打开或由智能体读取的文件）、版本还原以及从浏览器中 Office 编辑器的保存都会记入审计日志，删除、共享和撤销、任务附件的添加和移除以及从回收站的还原也是如此（Enterprise 方案及以上）。每条记录都注明来源客户端，例如 Web 应用或通过 MCP 的智能体；同一个人在一小时内重复下载同一文件只记一条。
分步说明详情： 你的文件如何受到保护 （英文）.
受监管的买家和公共部门
Onplana 只在 Microsoft Azure 上运行，可以作为托管服务，也可以作为 Enterprise+，即由 Onplana 在你的 Azure 订阅中配置和运营的专用部署。它不是一个需要你安装的软件包。当规定要求工具在你的边界内运行时，Enterprise+ 就是答案。对于我们被问到的每项要求：托管服务做什么、Enterprise+ 做什么，以及我们不声称什么。
FedRAMP 和机构授权
托管服务: 托管服务没有任何 FedRAMP 授权，也没有机构的运行授权（ATO）。
Enterprise+: Enterprise+ 在你的 Azure 订阅中、在你选择的区域运行，密钥在你自己的 Key Vault 中。由于由 Onplana 运营，部署的责任是共担的，按运营合同中的约定执行。Microsoft 将其使用的数据、安全、边缘和 AI 服务（Azure Database for PostgreSQL、Key Vault、Storage、Front Door、Azure OpenAI）列为在 Azure Government 中正式可用，而 Azure Government 本身已获得 FedRAMP High 以及 DoD IL2、IL4 和 IL5 授权。Azure Government 中的部署按每个客户单独确定范围和报价：请与我们联系。
我们不声称的内容: Onplana 本身的 FedRAMP 授权、机构的运行授权或影响级别。
HIPAA
托管服务: HIPAA 保留配置会把删除的文件保留六年，可以在全组织范围内强制双重身份验证，不活跃的会话会过期，审计日志导出从 Enterprise 起可用。
Enterprise+: 你的项目、文件和审计日志位于你订阅中的数据库和存储账户中。
我们不声称的内容: HIPAA 合规。如果你的项目将包含受保护的健康信息，请在放入 Onplana 之前先询问我们。
ITAR 和 CMMC
托管服务: 托管服务不是为受出口管制的技术数据或受控非密信息设计的。请不要把这些数据放进来。
Enterprise+: Enterprise+ 把数据保存在你的 Azure 订阅和你的区域中。Azure Government 中的部署使用那里可用的 Azure OpenAI 模型，不使用 Claude 提供商。在表单中告诉我们你的边界，报价会说明 Onplana 如何在其中运营部署。
我们不声称的内容: ITAR 合规或任何 CMMC 级别。
GDPR 和数据驻留
托管服务: 托管服务在单一区域 West US 运行。DPA 以欧盟标准合同条款以及英国和瑞士的附录覆盖国际传输，列出了每个子处理者，并且每个方案都提供 GDPR 保留配置和数据导出。
Enterprise+: 当数据必须留在你选择的区域时，Enterprise+ 在该区域的你的 Azure 订阅中运行。
我们不声称的内容: 托管服务中按区域选择数据驻留的开关。
任何东西都不离开我们的网络
托管服务: 托管服务是一项云服务。有人使用 AI 功能时，它会调用 Anthropic 或 Azure OpenAI；子处理者页面列出了每个处理数据的服务，AI 功能也可以关闭。
Enterprise+: 在 Enterprise+ 中，数据留在你的订阅里。它调用的外部服务（例如 AI 提供商）在项目范围中约定，AI 功能也可以关闭。
我们不声称的内容: 任何东西都不离开你的网络。Onplana 运营该部署，因此我们的团队会访问它以进行运营和更新。
为受监管的组织或公共部门采购？ 咨询 Enterprise+.
面向企业的安全功能
Enterprise 和 Enterprise+ 方案为有严格合规要求的组织提供更多安全功能：
Microsoft Entra 配置指南： 用 SAML 配置 SSO （英文） · 配置 SCIM 预配 （英文）。同样的配置也适用于 Okta、OneLogin、JumpCloud、Ping 以及任何 RFC 7644 或 SAML 2.0 身份提供商。
OAuth 凭据和第三方令牌
所有 OAuth 访问令牌和刷新令牌（来自 Google、Microsoft、Box、Dropbox 以及其他所有集成的提供商）在写入我们的数据库之前，都会使用 AES-256-GCM 进行静态加密。加密密钥在 Azure Key Vault 中管理，绝不与加密数据存放在一起。断开集成时，Onplana 会立即在提供商处撤销令牌（如果提供商支持按令牌撤销），并把连接记录标记为已删除，该记录会在 30 天后被永久删除。
我们的安全实践
安全开发
代码评审和以安全为重点的测试是每个发布周期的一部分。
事件响应
有文档化的事件响应流程，定义了严重级别和升级路径。
依赖管理
自动监控第三方依赖中的已知漏洞。
最小访问
内部对生产系统的访问遵循最小权限原则，并强制使用 MFA。
数据处理
严格的数据访问、保留和删除策略。开发机器上不存放客户数据。
安全评审，附答案
供应商安全问卷中的问题，附上我们的回答以及每个回答的来源页面。AI 数据处理排在最前。
AI 数据处理
- Onplana 使用哪些 AI 提供商？
- Anthropic 的 Claude API 和 Microsoft 的 Azure OpenAI 服务。Onplana 同时运营两者，并决定由哪一个处理请求，另一个作为后备，例如在某个提供商中断时切换到另一个。 来源： 子处理者 （英文）
- AI 请求在哪里处理？
- Anthropic 在美国。Azure OpenAI 在 Onplana 位于 Azure East US 2（美国）的 Azure OpenAI 环境中，不与 OpenAI Inc. 共享数据。 来源： 子处理者 （英文）
- 哪些数据会发送给 AI 提供商？
- 项目文本、任务描述，以及在有人使用 AI 功能时传给该功能的任何自由文本：风险检测、计划生成、状态报告和应用内聊天。 来源： 子处理者 （英文）
- 我们的数据会被用来训练 AI 模型吗？
- 不会。发送给 AI 提供商的项目数据只用于生成对该请求的回答，任何客户数据或对话内容都不会被用来训练 AI 模型。 来源： 隐私政策，第三节 （英文）
- AI 提供商会保留我们的提示吗？
- AI 处理是实时进行的，提供商不会在请求持续时间之外保留数据。根据 Anthropic 的政策，API 输入不会用于训练，请求完成后也不会保留。 来源： 隐私政策，第三节 （英文）
- 我们可以使用自己的 AI 提供商或 API 密钥吗？
- 不可以。Onplana 运营这两家 AI 提供商并保管其凭据；不存在由客户提供的 AI 提供商。 来源： 隐私政策，第三节 （英文）
- AI 功能可以关闭吗？
- 可以。AI 功能可以随时关闭，不影响核心平台。 来源： 隐私政策，第三节 （英文）
- Onplana 有人会读我们与 AI 的对话吗？
- 在付费方案中不会。在免费方案中，与应用内 AI 助手的对话可能会经过针对错误回答和滥用的自动审查。如果发现问题，拥有平台管理员权限的 Onplana 团队成员可以查看相关摘录，每次查看都会记入内部审计日志。 来源： 隐私政策，第三节 （英文）
- 每个方案包含哪些 AI 功能？
- 带项目上下文的 AI 聊天包括免费版在内的所有方案可用；AI 风险检测Professional 方案及以上可用。每次使用 AI 都计入方案的 AI 令牌额度。 来源： 定价
托管和数据位置
- Onplana 托管在哪里？
- 在 Microsoft Azure 上，位于 West US（美国）：Container Apps、Postgres Flexible Server、Redis、Blob Storage 和 Key Vault。 来源： 子处理者 （英文）
- Onplana 是多租户的吗？租户之间如何隔离？
- 是的。每次查询都限定在其所属的组织内，并在请求中间件中再次校验，因此组织之间永远看不到彼此的数据。 来源： DPIA 支持材料 （英文）
- 我们的数据能留在我们选择的区域或订阅中吗？
- 托管服务在单一区域运行。如需数据驻留，Enterprise+ 是由 Onplana 在你的 Azure 订阅中配置和运营的专用部署，加密密钥也保存在那里。 来源： 安全
- 我们需要安装什么吗？
- 不需要。Onplana 是一项托管服务，通过 Web 应用、REST API 和面向 AI 智能体的 MCP 服务器使用，另有可选的桌面、手机和浏览器应用，它们只与 Onplana 的服务通信。 来源： DPIA 支持材料 （英文）
加密
- 传输中的数据是否加密？
- 是的。每个连接都使用 TLS 1.2 或更高版本，所有端点强制使用 HTTPS，数据库连接也经过加密。 来源： 安全
- 静态数据是否加密？
- 是的。Postgres、Blob Storage 和 Key Vault 中的静态数据使用 AES-256 加密。 来源： DPIA 支持材料 （英文）
- 存储的文件如何受到保护？
- 文件保存在 West US 的 Azure Blob Storage 中，静态加密，并复制到 East US。存储账户不接受来自公共网络的流量，通过专用终结点访问，没有公共容器，也没有共享访问密钥，每次下载都经过已登录的应用。 来源： 安全，你的文档
- 已连接服务的令牌如何保管？
- 来自 Google、Microsoft、Box、Dropbox 和其他提供商的 OAuth 访问令牌和刷新令牌在写入之前使用 AES-256-GCM 加密，密钥在 Azure Key Vault 中。断开连接时，如果提供商支持，会在提供商处撤销令牌，记录会在 30 天后被永久删除。 来源： 安全
身份和访问
- 你们支持单点登录吗？
- 支持，SAML 2.0 和 OIDC，带域名验证，Enterprise 方案及以上。有 Microsoft Entra 的配置指南，任何 SAML 2.0 身份提供商都可以使用。 来源： 安全
- 你们支持 SCIM 预配吗？
- 支持，SCIM 2.0，可按租户停用并记录变更，Enterprise 方案及以上。 来源： 安全
- 有多重身份验证吗？
- 有。TOTP 双重身份验证，带 10 个一次性备用码，包括免费版在内的所有方案。组织的所有者或管理员可以重置成员的双重身份验证。 来源： 安全
- 能把访问限制在我们的网络内吗？
- 能，使用 IP 允许列表，Enterprise 方案及以上。 来源： 安全
- 角色和权限如何控制？
- 五个内置角色，权限矩阵Professional 方案及以上可用，自定义角色Business 方案及以上可用。只有所有者能修改矩阵，最后一位所有者不能被降级，管理员不能重置所有者的双重身份验证。 来源： 安全
- 会话如何管理？
- 令牌版本控制，支持全局退出登录，并有一个会话注册表来执行不活跃超时。 来源： DPIA 支持材料 （英文）
- 如何防止暴力破解登录？
- 重复失败的尝试会触发锁定，登录、OAuth、AI 和 SCIM 路由各有自己的频率限制。 来源： 安全
日志和监控
- 有审计日志吗？可以导出吗？
- 有，Enterprise 方案及以上：只追加的审计日志，记录每次修改前后的值，可导出为 CSV 或 JSON，支持筛选和时间范围。 来源： 安全
- 可以把审计日志传到我们的 SIEM 吗？
- 可以，Enterprise 方案及以上。Microsoft Sentinel、Splunk、Elastic 或 Datadog 使用只有单一权限范围的令牌轮询 Onplana API，该令牌只能读取你组织的审计日志，别无其他。Sentinel 有现成的连接器，其他平台使用各自的通用 REST 轮询器。 来源： 文档，将审计日志发送到 SIEM （英文）
- 安全事件会被记录吗？
- 会。安全事件流记录登录、密码更改、双重身份验证的修改和 SCIM 活动，访问评审显示每个成员的双重身份验证状态、上次登录时间以及是否不活跃。 来源： 安全
- 文件访问会被记录吗？
- 会，Enterprise 方案及以上。上传、下载（包括由智能体读取的文件）、版本还原、浏览器中 Office 的保存、删除、共享和撤销都记入审计日志，每条都注明来源客户端。 来源： 安全，你的文档
保留、删除和备份
- 我们能决定数据保留多久吗？
- 能。六种保留配置（Standard、GDPR、HIPAA、FINRA、SOC 2 和 Custom），属于多个组织的人员适用最严格的那一种，由每日删除作业执行。 来源： 安全
- 删除的项目会怎样？
- 它们进入回收站，默认 30 天内可以恢复；使用 HIPAA 和 FINRA 配置时，删除的文件保留六年。 来源： 安全，你的文档
- 我们能导出自己的数据吗？
- 能，随时导出，没有锁定。每个人也可以在“设置”的“隐私和数据”中导出自己的数据。 来源： DPIA 支持材料 （英文）
- 如何删除某个人的账户？
- 自助删除有 7 天的宽限期，期间本人可以撤销。之后，数据会就地匿名化，并由每日删除作业清除。 来源： DPIA 支持材料 （英文）
- 备份是怎么做的？
- 在 Azure Postgres Flexible Server 中每日进行加密备份，支持 7 天内的时间点还原。存储的文件保留版本历史，并复制到第二个区域（East US）。 来源： 子处理者 （英文）
子处理者和合同
- 哪些子处理者会处理我们的数据？
- 主要有：Microsoft Azure、Stripe、Anthropic、Azure OpenAI、Sentry、Azure Communication Services 和 hCaptcha。集成类子处理者，例如 Google、Box、Dropbox、GitHub 和 Jira，只有在你的组织连接它们时才会收到数据。重要变更会提前通知。 来源： 子处理者 （英文）
- 你们签署数据处理协议吗？国际传输如何覆盖？
- 签署。协议在收到请求后一个工作日内发出，签署后的副本在五个工作日内返回，并在适用时以欧盟标准合同条款、英国附录和瑞士附录覆盖传输。 来源： 数据处理协议 （英文）
安全运营
- 你们有事件响应流程吗？
- 有。有文档化的事件响应流程，定义了严重级别和升级路径。数据泄露通知在数据处理协议中规定。 来源： 安全
- 漏洞如何管理？
- 定期漏洞扫描、自动监控第三方依赖，以及每次发布时的代码评审和以安全为重点的测试。 来源： 安全
- Onplana 中谁能访问生产环境？
- 内部对生产环境的访问遵循最小权限并强制使用 MFA，开发机器上不存放任何客户数据。 来源： 安全
- 我们如何报告漏洞？
- 发送邮件至 support@onplana.com。 来源： 安全
- 上传的文件如何检查？
- 文件的真实类型从内容读取，并与允许的类型列表比对，可执行文件被排除在外，每个文件最大 100 MB。 来源： 安全，你的文档
- 外发的 Webhook 是否签名？
- 是的，使用 HMAC-SHA256，Webhook 目标也受到防范服务器端请求伪造的保护。 来源： 安全
合规
- 你们有 SOC 2 报告吗？
- 还没有。SOC 2 已列入我们的路线图。Onplana 托管在 Microsoft Azure 上，这是一家符合 SOC 2 的云服务提供商，并且提供 SOC 2 保留配置。 来源： 安全
- Onplana 有 FedRAMP 授权吗？
- 没有。托管服务没有任何 FedRAMP 授权，也没有机构的运行授权。对于需要自有边界的买家，Enterprise+ 是由 Onplana 在你的 Azure 订阅中配置和运营的专用部署，责任共担，按运营合同中的约定执行。Azure Government 本身已获得 FedRAMP High 授权，在那里的部署按每个客户单独确定范围和报价。 来源： 安全
- Onplana 可以用于受 HIPAA 约束的健康数据吗？
- 我们不声称符合 HIPAA。HIPAA 保留配置会把删除的文件保留六年，并且可以在全组织范围内强制双重身份验证。如果你的项目将包含受保护的健康信息，请在放入 Onplana 之前先询问我们。 来源： 安全
- Onplana 可以存放 ITAR 或 CMMC 数据吗？
- 托管服务不可以：请不要放入受出口管制的技术数据和受控非密信息。我们不声称符合 ITAR，也不声称达到任何 CMMC 级别。Enterprise+ 把数据保存在你的 Azure 订阅和你的区域中。 来源： 安全
- Onplana 能在我们的边界内运行，而且任何东西都不离开我们的网络吗？
- Onplana 只在 Microsoft Azure 上运行，不是一个需要安装的软件包。Enterprise+ 在你的 Azure 订阅中运行，它调用的外部服务（例如 AI 提供商）在项目范围中约定，AI 功能也可以关闭。Onplana 团队会访问该部署以进行运营和更新，因此我们不声称任何东西都不离开你的网络。 来源： 安全
你的评审中有我们没回答的问题？请写信至 support@onplana.com；如需数据处理协议，请前往协议页面 （英文）.
需要在你自己的 Azure 订阅中使用 Onplana？ 了解 Enterprise+ 如何运作.
有安全方面的问题？
先看看上面的安全评审。对于其中没有涵盖的内容，我们很乐意回答你的问卷、提供文档，或讨论你的合规要求。
如需逐项功能的清单，请阅读我们的文档 Security & Compliance Overview （英文）.