安全与您的数据
HarvestFlow 在哪里运行、各工作区如何彼此隔离、谁能看到您的数据、AI 能看到什么，以及我们目前还没有的东西。
HarvestFlow 在哪里运行、谁能看到您的数据、AI 能看到什么，以及我们目前还没有的东西。
最近审阅：2026年11月6日
您的数据在哪里
HarvestFlow 运行在 Google Cloud 上。应用程序运行在 Google 悉尼区域（australia-southeast1）的 Cloud Run 上，并由自动化流程从我们的源代码部署。
数据库（Firestore）和文件存储（Cloud Storage）同样位于 Google 悉尼区域。
本页面以及我们公开网站的其他页面，都是由 Google 全球网络（Firebase Hosting）提供的静态文件。应用程序和您工作区的数据则不同：它们来自位于悉尼的应用程序。
您的记录以及您上传的文件存储在悉尼。我们使用的部分服务会在澳大利亚境外处理个人信息，其中包括我们的 AI 服务提供商和为您的工作区传送邮件的服务。每家服务商处理信息的地点列在“子处理方”一节中。
如何保护
传输中与存储时
与 HarvestFlow 的每个连接都通过 HTTPS 加密；应用程序还会告知浏览器在一年内（包括子域名）持续使用 HTTPS。
Google 默认对 HarvestFlow 存放在其服务中的全部数据进行静态加密，使用 AES-256，密钥由 Google 管理。HarvestFlow 不使用客户自管密钥。
税号与银行账号
在 Easy HR（HarvestFlow Care）中，税号（TFN）和银行账号还会逐字段加密，采用 AES-256-GCM，密钥由我们持有。每个加密值都与其所属工作区、员工和字段绑定，无法被挪到其他记录上；我们的密钥可以轮换，而不会丢失旧的加密值。
每当有人查看这类值时，系统会在解密之前先在访问日志中写入一条记录。已存储的值可以被清除，清除操作与其日志记录要么一同保存，要么都不保存。
返回内容与文件
HarvestFlow 接口返回的、包含您数据的内容都标记为私有，共享缓存不会保留副本。
附加到记录上的文件以 10 MB 为上限，其内容会与声称的文件类型进行核对。文件通过会过期的链接下载，且只有在确认该文件属于您的工作区之后才会签发链接。
谁能看到
您的团队
在您的工作区内，访问权限按角色和权限项划分，由所有者决定谁拥有哪些权限。在 HarvestFlow Grow 中，销售代表只能看到自己的记录，除非所有者开启团队视图。在 HarvestFlow Care 中，服务人员登录后看不到您的收费标准，也看不到一次上门服务的成本。
您的浏览器从不直接连接数据库。每一次读取和写入都经过我们的服务器，服务器会先核验已签名的会话及其所属的工作区。
我们自己的访问
为了处理支持请求，我们的运营人员可以打开您工作区的只读视图。该视图两小时后自动失效，不能创建、修改或删除任何内容，并且每一次打开都会记录在我们的审计日志中。打开该视图无需您的许可。
我们的运营人员对客户账户执行的操作，例如打开只读视图、更改方案、解除被屏蔽的邮箱地址或删除账户，都会记录在我们的审计日志中。每次查看 Easy HR 加密值都会记录在单独的访问日志中；预约、发票和产品等记录也各自保留更改记录。
我们运营控制台自身的登录受第二重验证保护：一个验证器代码，并配有一次性恢复代码。其密钥以加密形式存储，已使用的代码不会被再次接受。
客户的登录目前还没有第二重验证。这已列入我们的路线图，上线时本页会注明。
工作区隔离
彼此独立的工作区
我们平台上的每个机构都运行在同一套应用程序和同一个数据库上，托管于悉尼。将它们彼此分开的，是由我们的服务器强制执行的边界：每条记录都带有其所属工作区的标识，每个已登录的请求在读取或写入任何内容之前，都会与发出请求者所属的工作区进行核对。这种隔离从不依赖您的浏览器。
专属工作区
专属工作区是平台上一个独立的机构：拥有自己的配置、模板、品牌和数据空间，其中没有任何其他机构。它不是独立的硬件，也不是独立的数据库，而是同一道边界，只围绕您的机构划定。它的登录账户只存在于其中：同时为其他机构工作的人，会在那里另外持有一个独立的登录账户；一个工作区的管理员无法接触另一个工作区中的任何账户。
如何核验
不属于任何工作区的登录会话，在读取任何内容之前就会被拒绝。
HarvestFlow 拥有一千多个自动化测试文件。其中，隔离测试会核验一个工作区无法读取或更改另一个工作区的记录；一致性测试则在 HarvestFlow Care 和 HarvestFlow Grow 上运行同一组检查。
登录
密码只以单向哈希（bcrypt）形式存储，绝不以明文保存。
每次登录最长有效 30 天。更改密码或角色、或停用某个登录账户，都会立即结束其所有现有会话。
多次登录失败会被限流；公开表单和其他公开接口也各有自己的频率限制。
重设密码和账户激活链接只能使用一次、会过期，并且只以哈希形式存储。
AI 与您的数据
Ask Harvi 助手
从工作区记录中读取的姓名、电话号码、电子邮箱、地址与金额，绝不会发送给 AI 模型；模型看到的只是占位符，真实的值只会在协调员的屏幕上还原。
AI 阅读来信（HarvestFlow Grow）
AI 阅读来信默认关闭，须由工作区所有者开启。
开启后，每封到达“邮件接收”地址的邮件，其主题和正文会发送给 AI 模型，本工作区已知的姓名和联系方式会先被隐藏。AI 会给出邮件类型、一句话摘要、提到的产品以及紧急程度。该解读结果与邮件一起保存，保存期限与邮件相同，只用于调整未匹配邮件的顺序和建议的按钮——AI 从不发送、归档或更改任何内容。
粘贴的对话（HarvestFlow Grow）
您粘贴的文本会作为记录保存在联系人的时间线上，其前一部分会由 AI 模型读取，读取前会先隐藏本工作区已知的姓名和联系方式。AI 会建议一项任务或阶段调整；在您点击按钮之前，不会有任何更改。
草稿、摘要与简介（HarvestFlow Grow）
草稿只显示给提出请求的员工，且不会被保存；只有该员工发送后才会发出，发出的邮件属于该员工本人，记录会注明它由 AI 起草。
商机摘要和商机邮件不会被保存；关系简介与联系人一同保存，并随联系人一同删除。
AI 服务提供商
我们的 AI 功能会把文本发送给由我们的 AI 服务提供商运行的 AI 模型，仅用于生成所请求的结果，我们不会要求该服务提供商存储这些文本。
根据该服务提供商针对付费服务的条款（2026年3月23日起生效），其不会使用提示词或回复来改进自己的产品，仅会在有限期间内记录它们，用于发现和防止违反其政策的行为，以及进行其依法须作的法律或监管披露。
我们可以为任何工作区或全部工作区关闭 AI 功能；HarvestFlow Care 和 HarvestFlow Grow 的各个方案都为工作区的 AI 用量设定了每日和每月上限。
发给您客户的消息
在 HarvestFlow Grow 中，只有在已记录某人的同意依据时，才会向其发送商业邮件或短信；每封商业邮件都带有一键退订。在所有版本中，永久退信或将邮件标记为垃圾邮件的邮箱地址会对所有工作区屏蔽；回复 STOP 即可停止接收后续短信。
数据的保留与删除
您自己的副本
在 HarvestFlow Care 和 HarvestFlow Grow 方案中，工作区所有者可以随时下载工作区记录的副本，格式为包含数据和电子表格的 ZIP 文件，默认每天最多三次。每次下载都会被记录，Easy HR 的加密值不会包含在副本中。
删除
删除联系人时，与其往来的邮件和短信、随这些邮件而来的附件、关于其粘贴的对话，以及与这些消息一同保存的 AI 读取结果，也会一并删除。其线索、商机、报价、订单和发票则保留在您的记录中。
工作区或账户关闭时，我们会先向其管理员提供必须保留的记录的导出文件，随后删除数据，通常在关闭确认后 30 天内完成。
在 HarvestFlow Care 中，若某个工作区存有已定稿的服务记录，在完成涵盖全部这些记录的导出之前，我们自己的工具会拒绝删除该工作区。
AI 工作数据
Ask Harvi 的工作数据只在明确规定的较短期限内保留：对话在最后一轮后保留 30 天，每次请求的记录保留 90 天，用户要求其忘记的事项在提出后保留 30 天。“未匹配邮件”中等待处理的消息保留 30 天。用户通过 Ask Harvi 确认的更改，会作为该更改的记录保留。
备份与持续运行
数据库保留 7 天的时间点历史记录，并有保留 2 周的每日备份。我们最近一次演练数据恢复是在2026年11月6日。
应用安全
应用程序的页面执行强制的内容安全策略（CSP）：只运行我们自己的脚本（以及使用验证码的表单上的验证码检查），插件被阻止，表单只能提交到 HarvestFlow，浏览器会把任何违规情况报告给我们。
来自我们服务商的每一个传入 Webhook（包括银行卡付款、邮件投递事件、收到的邮件和短信），在读取之前都会核验其签名或密钥是否有效。
安全事件与泄露通知
如发生影响您工作区的已确认数据泄露，我们会依据“可报告数据泄露”（NDB）计划进行评估，并通知您工作区的管理员发生了什么、以及我们正在采取的措施。我们会把采取的每一步都记录在案。
子处理方
以下是运行 HarvestFlow 部分服务、或为提供服务而从 HarvestFlow 接收信息的服务商（截至2026年11月6日）。若某一行列出两家服务商，则只使用其中一家。
表格还列出了每家服务商处理信息的地点，并链接到每家服务商自己关于其安全、隐私或条款的页面。
| 服务商 | 用途 | 接收的信息 | 处理地点 | 服务商自己的页面 |
|---|---|---|---|---|
| Google Cloud (Cloud Run, Firestore, Cloud Storage, Cloud Scheduler, Cloud Logging, Firebase Hosting) | 运行应用程序、数据库、文件存储、夜间任务、日志和公开网站 | HarvestFlow 存储的全部内容 | 澳大利亚，Google 悉尼区域：应用程序、数据库、文件、备份、夜间任务和日志。公开网站由 Google 全球网络提供。Google 会将我们云设置的管理变更记录保留 400 天，存放在我们无法迁移的全球位置；该记录只记载管理操作，不包含工作区记录。 | Google Cloud: https://cloud.google.com/trust-center |
| Google, the Gemini API | 所有 AI 功能 | 各项 AI 功能发送的文本，详见“AI 与您的数据”一节 | 美国以及 Google 开展业务的其他国家 | Google: https://aistudio.google.com/docs/terms |
| Resend or SendGrid (Twilio) | 发送邮件，并为使用“邮件接收”的工作区接收邮件；两者之一为所有工作区提供服务 | 收件人地址和发出的邮件（含附件）；收到的完整邮件；退信和投诉通知 | 美国 | Resend: https://resend.com/security; SendGrid: https://www.twilio.com/en-us/trust-center |
| Twilio or MobileMessage | 短信（SMS）；每个账户使用两者之一 | 手机号码和每条短信的内容 | Twilio：美国。MobileMessage：澳大利亚。 | Twilio: https://www.twilio.com/en-us/trust-center; MobileMessage: https://mobilemessage.com.au/trust |
| Stripe | 以银行卡支付 HarvestFlow 自身的订阅发票 | 付款人的银行卡信息，在 Stripe 的页面上输入；HarvestFlow 从不接收这些信息 | 美国 | Stripe: https://docs.stripe.com/security |
| Geoapify | 输入时的地址建议，以及为上门记录定位客户地址 | 输入或已存储的街道地址 | 德国 | Geoapify: https://www.geoapify.com/privacy-policy/ |
| Australian Business Register | 在注册时和账户上查询 ABN | 一个 ABN | 澳大利亚 | ABN Lookup: https://abr.business.gov.au/Home/PrivacyPolicies |
| Cloudflare Turnstile | 使用验证码的网页表单上的验证码检查 | 访客的浏览器连接 Cloudflare 以完成检查 | Cloudflare 全球网络中离访客最近的数据中心 | Cloudflare: https://www.cloudflare.com/trust-hub/ |
| Apple, Google and Mozilla push services | 手机和浏览器上的通知 | 设备地址和事件名称，绝不包含记录内容 | 美国 | Apple: https://support.apple.com/guide/security/welcome/web; Google: https://firebase.google.com/support/privacy; Mozilla: https://www.mozilla.org/en-US/security/ |
| Google Fonts | 字体 | 访客的浏览器连接 Google 以加载字体 | Google 全球网络 | Google Fonts: https://developers.google.com/fonts/faq/privacy |
| GitHub | 源代码和自动化部署流程 | 源代码以及部署所需的访问权限；不含任何工作区记录 | 美国 | GitHub: https://github.com/trust-center |
报告安全漏洞
如果您认为发现了 HarvestFlow 的安全漏洞，请通过我们的联系页面与我们联系，并注明这是安全报告。
您也可以写信至 security@harvestflow.net.au，这是我们的 security.txt 文件中列出的地址。
安全研究规则
只针对您自己创建的工作区进行测试。切勿打开、更改、复制或删除任何他人的数据；如果意外接触到，请立即停止，不要保留任何内容，并告知我们。
不得进行拒绝服务测试、发送垃圾信息、实施社会工程，或针对我们的员工或场所进行任何尝试。
请先告知我们，并在公开任何相关内容之前给我们 90 天时间修复问题。
我们服务商的系统属于他们自己：测试这些系统时，请遵守他们自己的规则。
如果您遵守这些规则，我们不会因您的研究而对您采取法律行动，也不会请警方对您采取行动。此承诺仅适用于 HarvestFlow 自己的系统。
认证与审计
HarvestFlow 目前没有 SOC 2 报告，也没有 ISO 27001 认证，且没有任何针对 HarvestFlow 的独立渗透测试记录。我们开始自己的审计时，会在此处注明日期。
我们所使用的云服务涵盖在 Google 自己的报告范围内，Google 会向其客户提供这些报告。
关于 NDIS 数字平台规则。
自 2026 年 7 月 1 日起，NDIS 委员会将“数字平台”作为一类支持进行注册。这一类别涵盖介于参与者与服务人员之间、并经由自身流转计划资金的系统。HarvestFlow 两者都不做——我们是面向服务提供方的运营软件。我们不为参与者匹配服务人员；您的发票由您开给您的客户或其计划管理方，款项付入您的银行账户，而不是我们的。
问题
如果您机构的安全问卷中有本页面未能回答的问题，请与我们联系。
更新记录
- 2026年11月6日: 发布了安全研究规则以及我们对遵守这些规则的研究人员的承诺，并完整说明了我们的 AI 服务提供商记录请求的用途。
- 2026年11月6日: 发布了数据库的备份方式：7 天的时间点历史记录、保留 2 周的每日备份，以及我们最近一次演练数据恢复的日期。同日我们为数据库开启了删除保护，并新增了每日备份计划。
- 2026年11月6日: 发布了我们关于数据泄露通知的承诺：对于已确认的数据泄露，我们会依据“可报告数据泄露”（NDB）计划进行评估，并告知您工作区的管理员。
- 2026年11月5日: 发布了每家服务商处理信息的地点，并附上每家服务商自己页面的链接；我们的日志已迁移至悉尼。同时发布了我们运营控制台自身登录的保护方式，以及我们所使用的云服务涵盖在 Google 自己的报告范围内。
- 2026年11月5日: 我们已将文件存储从 Google 俄勒冈区域迁移至悉尼；关于数据库和文件存放位置的陈述现已发布。
- 2026年11月4日: 新增了用于报告安全漏洞的电子邮箱地址，以及列出该地址的 security.txt 文件。
- 2026年11月3日: 本页已重写：页面上的每一项陈述，都能在产品中或服务商自己公布的条款中得到印证。我们暂时无法印证的陈述已被删除。