Zentrum24 Academy 資訊安全

最後更新 2026年9月8日

Zentrum24 Academy 係為受規範之製藥與生命科學組織之法規遵循及 GxP 訓練所打造之多租戶 SaaS 學習管理系統（LMS）。其管理以角色為基礎之訓練指派、SCORM 課程、測驗、21 CFR Part 11 電子簽章、PDF/A 完訓證書，以及防竄改之稽核軌跡。由於我們的客戶身處法規監督之下，安全性與資料完整性在我們的產品中係列為第一級要求，而非事後補強之事項。

本文件說明 Zentrum24 Academy 如何保護客戶及終端使用者之資料：其於何處運行、租戶如何隔離、資料如何加密、存取如何控管，以及我們如何維持受規範訓練紀錄所要求之稽核完整性。本文件亦誠實陳述我們的法規遵循態勢——包括哪些獨立查證尚在我們的藍圖之中，而非業已取得。

文件負責單位：Zentrum24 LLC 資訊安全。最後審閱：2026年9月8日。版本：1.0。

基礎架構 & 代管

Zentrum24 Academy 代管於 Vercel（應用程式代管），由 Supabase 提供受管理之 PostgreSQL 資料庫及物件儲存，並由 Stripe 提供付款處理。主要代管區域：AWS us-east-1 (Northern Virginia, United States)。目前不提供區域性資料落地選項。

運算。本應用程式運行於 Vercel 受管理之無伺服器平台，並置於其全球邊緣網路之後。並無客戶可存取之主機伺服器須予修補或管理；底層主機之維護由平台供應商負責。
資料庫。應用程式資料儲存於 Supabase 所提供之受管理 PostgreSQL 資料庫，並於靜態儲存時加密。
物件儲存。所上傳之檔案及所產生之產出物（例如課程包及證書）儲存於私有物件儲存貯體（Supabase Storage），並啟用伺服器端加密且封鎖公開存取。
速率限制。於正式環境部署中，速率限制之狀態維護於本應用程式之 PostgreSQL 資料庫中。
交易性電子郵件。通知及系統郵件透過 Resend（Resend, Inc.）遞送，並備有直接 SMTP 傳輸作為備援。

網路隔離。Zentrum24 Academy 應用程式（Vercel）及其受管理資料庫（Supabase）運行於受管理之雲端平台。該資料庫並未開放供一般公眾使用；存取係透過應用程式層，並以遵循最小權限原則之受限憑證加以中介。

租戶隔離

Zentrum24 Academy 為多租戶架構：多個客戶組織共用同一應用程式與資料庫，而其資料於邏輯上維持分離。我們於資料庫層執行該項分離，而非僅止於應用程式碼層。

PostgreSQL 資料列層級安全性（RLS）。以租戶為範圍之資料表均設有 RLS 政策，依作用中之租戶識別碼過濾每一次查詢。縱使應用程式層之檢查有所疏漏，資料庫本身亦不會回傳其他租戶之資料列。
非超級使用者之應用程式角色。本應用程式係以專用之非超級使用者 PostgreSQL 角色連線，並受 RLS 拘束。特權作業（資料庫遷移與初始資料建置）使用另一獨立之管理角色，運行中之應用程式並不使用該角色。此意謂應用程式邏輯之瑕疵無法提權以繞過租戶隔離。
每次請求之租戶脈絡。租戶識別碼係自通過驗證之工作階段推導而得，並於該次請求期間套用至資料庫工作階段，使 RLS 政策於每一次讀取與寫入時均針對正確之租戶進行評估。

此處所謂縱深防禦，係指租戶隔離於兩個獨立層級——應用程式授權與資料庫 RLS——分別執行，因此單一疏失不致演變為跨租戶之資料外洩。

加密

傳輸中

所有連往 Zentrum24 Academy 之連線均以 TLS 保護。流量於平台邊緣以 HTTPS 提供，內部服務與資料庫間之通訊亦同樣加密。工作階段 Cookie 標記為 httpOnly 及 Secure，因此不會暴露予用戶端指令碼，且僅於加密連線上傳輸。

靜態儲存

靜態儲存之資料於整個技術堆疊中均予加密：受管理之 PostgreSQL 資料庫、物件儲存（伺服器端加密），以及相關之備份與快照均經加密。特別敏感之應用層密鑰另有一層保護，詳見下文「應用程式安全」。

驗證 & 存取控制

多因素驗證（MFA）。使用者得註冊以 TOTP 為基礎之 MFA（相容於標準驗證器應用程式），並搭配一次性備用碼供帳戶復原之用。使用者於重新驗證其密碼及一組目前有效之 TOTP 代碼後，得重新產生備用碼。
單一登入（SSO）。透過 SAML 之企業單一登入並搭配 SCIM 佈建，於 Pro 方案層級提供，並依租戶個別設定。啟用 SSO 後，使用者透過客戶之身分識別提供者進行驗證，且相符之使用者得以即時（just-in-time）方式佈建為學習者。
以角色為基礎之存取控制（RBAC）。存取權限由明確區分之角色——租戶管理員、作者、主管及學習者——加以規範，另有主管層級架構以提供團隊範圍之可視性。使用者僅得於其角色所授予之範圍內檢視及執行操作。
工作階段處理。工作階段使用儲存於 httpOnly Cookie 中之無狀態簽章 JWT。工作階段設有閒置逾時；於所設定之無活動期間屆滿後，使用者將被登出並須重新驗證。作用中之工作階段會於有活動時重新簽發，且不致造成過度之 Cookie 更替。
密碼政策。密碼以 bcrypt 進行雜湊。管理員得設定複雜度要求、密碼歷程（以防止重複使用），以及密碼到期間隔，於期限屆至時要求使用者於下次登入時強制變更。
速率限制 & 帳戶鎖定。敏感端點（例如登入、SSO 啟動及證據匯出）依租戶及使用者個別施行速率限制。於短時間內重複登入失敗將觸發暫時性帳戶鎖定；管理員得解鎖帳戶並檢視相關之稽核事件。

應用程式安全

輸入驗證。請求於伺服器邊界即依嚴格之綱要進行驗證，其後始執行任何業務邏輯，藉此降低格式錯誤或惡意輸入到達資料或下游系統之風險。
最小權限存取。雲端平台之存取遵循最小權限原則：應用程式元件僅持有其所需之權限，且管理性功能與執行時期之應用程式角色相互區隔。資料庫角色亦以相同方式限縮範圍（詳見「租戶隔離」）。
密鑰管理 & 信封加密。高度敏感之所儲存密鑰——包括各使用者之 MFA 密鑰及各租戶之 SSO 用戶端密鑰——係以信封加密（AES-256-GCM）保護，其主金鑰保存於主要資料存放區之外。加密後之值以具版本且自我描述之格式儲存，俾使金鑰與格式得以隨時間輪替。
雙人控管。就受控內容之工作流程，課程之作者或提交者不得同時擔任其核准者；發布須經另一名審核者之電子簽章。此職務分離係由應用程式強制執行，而非僅仰賴政策規範。

稽核 & 資料完整性

受規範之訓練紀錄，其可信度僅及於其背後之證據。Zentrum24 Academy 之設計即在使該等證據具備防竄改性且足資佐證。

雜湊鏈結稽核軌跡。安全及紀錄相關事件係寫入僅可附加之稽核日誌，其中每一筆條目均以密碼學方式與前一筆連結。任何變更、刪除或重排歷史條目之嘗試均將破壞該鏈結，並可經由驗證加以偵測。用於雜湊之時間戳記係固定為所記錄之值，使驗證具備決定性。
21 CFR Part 11 電子簽章。電子簽章將簽署人之身分、簽章之意義，以及所簽署之特定紀錄與時間戳記相互繫結。簽署須經重新驗證（重新輸入密碼），且簽章與其紀錄相互連結，因此無法被移植或事後否認。
證據包。管理員得匯出經簽章之證據包（訓練紀錄及稽核日誌，並附具經簽章之清單檔），以支援查廠稽查及內部稽核，該清單檔並以密碼學雜湊予以繫結。

可用性 & 韌性

受管理資料庫之韌性。正式環境之 PostgreSQL 資料庫係以受管理服務（Supabase）提供，其可用性與容錯移轉由供應商管理。
自動擴充之運算資源。無伺服器應用層（Vercel）會自動擴充以吸收需求之變化，狀態異常之執行個體並會自動汰換。
備份 & 時間點還原。受管理之 PostgreSQL 資料庫（Supabase）支援自動化加密備份及時間點還原（PITR），可於所設定之保存期間內還原至選定之時點。還原程序應定期測試；復原目標（RTO/RPO）係於營運面加以定義——。
健康檢查。存活性與就緒性端點使平台得以偵測狀態異常之執行個體並繞行之。

資料生命週期：匯出 & 刪除

資料匯出。客戶保有其資料之所有權。管理員得匯出訓練紀錄、稽核日誌及完訓證書，並得透過版本化之 REST API，使用受限範圍之各租戶 API 權杖進行程式化存取。
刪除 & 離場。於契約終止時或收到書面請求時，客戶資料將依適用合約及資料處理協議之條款予以刪除或返還。請注意，特定受規範之紀錄（例如已簽署之訓練完成紀錄及稽核條目）可能受保存要求之拘束；刪除實務應調和客戶之隱私請求與該等法規保存義務。
隱私請求。我們於適用範圍內協助客戶履行 GDPR／UK-GDPR 下之資料主體請求。隱私相關詢問請逕寄至 contact@zentrum24.com。

漏洞管理 & 責任揭露

相依套件與平台之維護。我們監控相依套件及平台元件是否存在已知漏洞，並依風險優先順序套用更新。受管理之平台服務（Vercel、Supabase）之底層主機及基礎架構修補，由其供應商負責。
變更管制。變更於發布前均須經版本控制及持續整合檢查（包括建置與型別安全關卡）。
責任揭露。我們歡迎資安研究人員提出報告。請將疑似漏洞回報至 contact@zentrum24.com。請於公開揭露前給予我們合理時間進行調查與修補，並請勿於測試期間存取、修改或外洩屬於其他客戶之資料。我們將確認合法之回報，並持續向回報者說明修補進度。

法規遵循態勢

Zentrum24 Academy 之設計旨在協助客戶履行其於規範受管訓練紀錄之各項標準下所負之義務。我們精確描述我們的態勢，並將我們已建置之產品能力與我們尚未取得之獨立查證明確區分。

本平台設計所支援之標準

21 CFR Part 11——電子紀錄與電子簽章：與身分繫結之電子簽章、簽署時之重新驗證，以及防竄改之稽核軌跡。
EU Annex 11——電腦化系統：存取控制、稽核軌跡、資料完整性及可用性實務，均與該附錄之期待相符。
ICH Q9——將品質風險管理思維運用於訓練及受控內容工作流程之設計與執行方式。
GAMP 5——以風險為基礎之電腦化系統驗證生命週期方法；Zentrum24 Academy 之建置使客戶得於其自身品質系統內對其進行驗證。
SCORM 1.2 / 2004——以標準為基礎之課程互通性。
GDPR / UK-GDPR——個人資料處理之隱私設計實務，並輔以資料處理協議。

所謂「設計所支援」該等標準，係指 Zentrum24 Academy 提供客戶所需之技術控制措施；其本身並不等同於對客戶特定實作之驗證。就特定預期用途所為之正式電腦化系統驗證，仍屬 Zentrum24 Academy 與客戶之共同責任。

獨立查證——藍圖（尚未取得）

SOC 2。SOC 2 查核已列入我們的藍圖，目前進行中／規劃中。Zentrum24 Academy 目前並未持有 SOC 2 報告，本文件中之任何陳述均不得解讀為主張該報告存在。俟查核完成後，我們將於簽署保密協議之前提下提供報告。
獨立滲透測試。第三方滲透測試已列入規劃，作為我們持續進行之資安計畫之一部分。倘已有完成之測試，其摘要或查證信函得於簽署保密協議之前提下分享；在此之前，我們不表示已執行獨立之滲透測試。

我們將於取得各項查證時更新本節。我們不會宣稱我們並未持有之認證、稽核或測試結果。

次處理者

Zentrum24 Academy 使用少數次處理者以交付本服務。我們為客戶維護一份最新清單，重大變更並依資料處理協議予以通知。

Vercel Inc.——應用程式代管及內容傳遞；美國。
Supabase——受管理之 PostgreSQL 資料庫及物件儲存；美國。
Stripe, Inc.——付款處理及訂閱帳務；美國。
電子郵件／SMTP 供應商——交易性電子郵件；尚未選定供應商（將於上線前補列）。

共同責任摘要

安全是一種夥伴關係。Zentrum24 Academy 負責平台本身之安全——即前述之基礎架構、租戶隔離、加密、應用程式安全及稽核完整性。客戶則負責平台之中的安全：管理其使用者與角色、落實 MFA 與 SSO 政策、保管管理員憑證與 API 權杖、訂定保存與存取覆核實務，並就其特定之受規範用途對系統進行驗證。

聯絡方式

安全 & 漏洞回報：contact@zentrum24.com
隱私／資料主體請求：contact@zentrum24.com
一般／銷售／信任相關詢問：contact@zentrum24.com

Zentrum24 LLC, 1621 Central Ave, Cheyenne, Wyoming 82001, USA。準據法：美國 Wyoming 州。本白皮書僅供參考之用，其內容得予變更，且除 Zentrum24 LLC 與客戶間所簽署之合約另有明示規定者外，不創設契約義務。