資安與合規

JazzNode 存在的意義，是讓音樂人、場地方與粉絲能信任一個單一平台，掌握真正重要的演出。這份信任建立於三大原則：儲存愈少愈好、建立於通過稽核的基礎架構、誠實揭露我們做了什麼、還沒做什麼。

我們不是大公司，也不假裝自己是。但我們建立於通過大企業稽核標準的供應商之上——因此，相同等級的保障也套用到您在這裡的資料。

JazzNode 僅採用少數幾家精挑細選的供應商。每一家都持續維護獨立第三方稽核:

• Stripe（金流）: PCI DSS Level 1——信用卡產業最高等級認證。Stripe 處理所有卡片資料,JazzNode 永遠不儲存、處理或傳輸原始卡號。
• Supabase（資料庫、身份驗證、儲存）: SOC 2 Type 2、ISO 27001、符合 HIPAA。資料靜態加密、Row Level Security 強制執行使用者層級存取控管。
• Vercel（託管、邊緣網路、建置）: SOC 2 Type 2、ISO 27001。應用程式託管採用加密環境變數與 OIDC 雲端驗證。
• Google（OAuth 登入）: Google Identity Platform，採用 OAuth 2.0 標準。JazzNode 永遠不會看到您的 Google 密碼。
• Resend（交易性電子郵件）: SOC 2 Type 2。採用東京節點以降低亞太延遲。JazzNode 所有網域皆啟用 DKIM、SPF、DMARC。
• AWS S3（檔案儲存）: SOC 2、ISO 27001、PCI DSS。用於個人頭像、場地照片與新聞檔案。

所有進出 JazzNode 的流量均採 TLS 1.2 以上加密。所有 JazzNode 網域啟用 HTTP Strict Transport Security(HSTS)。

靜態資料由基礎架構供應商以 AES-256 加密（Supabase、AWS S3、Vercel）。

票券 QR Code 採用簽章 token，第三方無法偽造或重送。

使用者透過電子郵件/密碼（由 Supabase Auth 使用 bcrypt 雜湊）或 Google OAuth 2.0 登入。JazzNode 從不儲存明文密碼或 Google 憑證。

內部維運拆分為 Owner、Admin、Editor 三層角色。敏感操作——退款、匯款、資料匯出、帳號刪除——須有更高權限並留有記錄。

Row Level Security(RLS)於資料庫層強制執行。即使應用程式出現漏洞，資料庫仍會拒絕未經授權的讀寫。

我們只收集服務運作所需的資料：基本帳號資訊、您購買的票券、您透過平台傳送的訊息。信用卡資料、Google 密碼與生物辨識資料均不儲存於 JazzNode。

使用者可要求刪除帳號，個人資料將於 30 天內清除，但法律要求保存的資料除外（如售票稅務紀錄）。

完整細節請參閱隱私權政策。

正式環境機密金鑰儲存於 Vercel 加密環境變數中。Preview、Development、Production 環境完全隔離。

雲端對雲端驗證採用短效期 OIDC token。任何長效憑證絕不提交至版本控制系統。

內部工具存取權限定期審核；團隊成員調任或離職時立即撤銷。

執行期錯誤與異常透過 Vercel Observability 與 Supabase logs 監控。資安相關事件會標記送交審查。

若發生資安事件影響您的資料，我們將於確認後 72 小時內通知受影響使用者，符合 GDPR 第 33 條的要求。

正式資料庫備有備份與 Point-in-Time Recovery 機制。

若您認為發現資安漏洞，請寄信至 security@jazznode.com。

我們承諾:

• 在 72 小時內確認收到您的回報。
• 持續更新調查進度。
• 在問題解決後，若您同意，公開致謝。
• 對於遵守我們適用範圍與安全港條款、本於善意的研究者，不會採取法律行動。

適用範圍:jazznode.com、*.jazznode.com、JazzNode iOS 與 Android 應用程式。不適用範圍：阻斷服務攻擊、社交工程、實體攻擊，以及任何影響其他使用者服務的研究。

GDPR:歐盟使用者擁有存取、修正、匯出、刪除其資料的權利。我們的服務商支援歐盟資料駐留與標準契約條款。

台灣個資法:娛興喂有限公司依《個人資料保護法》於台灣營運 JazzNode。

台灣消保法第 43 條:我們的售票流程遵循票券定型化契約的分級退票架構。

DMCA:著作權人可向我們的指定代理人提交通知。詳見 DMCA 政策。

我們絕不聲明未取得的認證。誠實揭露現狀如下:

• 目前持有: 繼承自供應商的認證:PCI DSS Level 1(Stripe)、SOC 2 Type 2(Supabase、Vercel、Resend)、ISO 27001(Supabase、Vercel、AWS)。
• 進行中: 採用自動化合規工具進行 SOC 2 整備評估；年度第三方滲透測試；發布 DPA。
• 計畫中: SOC 2 Type 1 認證將視企業客戶需求啟動。SOC 2 Type 2 於 Type 1 及 12 個月觀察期後進行。ISO 27001 與日本 P-mark 依市場需求評估。

資安議題請寄信至 security@jazznode.com。

一般隱私、合規或 DPA 需求，請透過總部聯絡我們。標準 DPA 請見 /legal/dpa。

商用/企業資安問卷，請在主旨加註「security questionnaire」,我們會優先回覆。