信任中心：认证、审计与数据保护
这是BroadNet的合规证据中心——包含了采购或安全审核人员在审核供应商时所需的认证、证明、数据处理控制、子处理商及披露流程。详细报告需签署保密协议（NDA）后获取；审核人员首先需要查看的所有内容都在这里。
- ISO/IEC 27001:2022 — 信息安全
- ISO/IEC 27018 — 云隐私（个人数据）
- ISO 9001 — 质量管理
- ISO 22301 — 业务连续性
- SOC 2 Type II — 报告需签署NDA
- 符合GDPR标准；可根据要求提供数据处理协议
证书副本及审计报告将在签署保密协议（NDA）后根据要求提供至trust@broadnet.me。
采购审核人员无需通过销售电话即可立即查阅的内容。
以下摘要为公开信息。完整的审计报告和证书副本受NDA保护，可根据要求发送。
关键指标，经审计验证。
BroadNet针对国际认可的信息安全、质量和业务连续性标准进行持续的第三方审计。每份证书副本和报告均可在签署共同NDA的前提下根据要求提供。
| 标准 | 认证范围 | 颁发者 | 审核周期 | 证书与验证 |
|---|---|---|---|---|
| ISO/IEC 27001:2022 | ISMS覆盖消息平台、运营商产品、客户数据处理及供应商关系。 | 经认可的认证机构（名称见证书） | 年度监控 · 3年重新认证 | 在NDA（保密协议）框架下的证书与适用性声明。 在IAF CertSearch上进行验证 （搜索“BroadNet”） |
| ISO/IEC 27018 | BroadNet云消息服务中的个人身份信息（PII）保护。ISO/IEC 27018是扩展了ISO 27001 ISMS的云隐私实践规范。 | 经认可的认证机构（名称见证书） | 通过ISO 27001 ISMS评估 | 证书副本已根据NDA提供。 在IAF CertSearch上进行验证 （搜索“BroadNet”） |
| ISO 9001:2015 | 用于电信消息产品设计、交付和支持的质量管理体系。 | 经认可的认证机构（名称见证书） | 年度监控审计 | 证书副本已根据NDA提供。 在IAF CertSearch上进行验证 （搜索“BroadNet”） |
| ISO 22301 | 业务连续性管理——包括事件响应、恢复目标和供应商故障场景。 | 经认可的认证机构（名称见证书） | 年度审计 · 每年测试业务连续性计划 | 受NDA保护的证书和连续性计划摘要。 在IAF CertSearch上进行验证 （搜索“BroadNet”） |
| SOC 2 Type II | 信任服务标准：在定义的报告期内，确保安全性、可用性和机密性。 | 独立CPA事务所 | 年度报告期 | 完整报告受保密协议保护。SOC 2报告不会在公共注册库中发布。 申请方案包 |
| GDPR | 欧盟《通用数据保护条例》（Regulation (EU) 2016/679）：BroadNet作为处理者，依据数据处理协议处理客户的个人数据。 | 欧盟法规（合规要求，而非证书） | 持续义务 | 包含欧盟标准合同条款的数据处理协议。 阅读数据处理协议 |
正在进行中：GSMA SAS-SM (Subscription Manager)针对eSIM业务的认证。目前尚未获得该认证，因此未列入已持有的认证名单。
MobileValidate由BroadNet运营，属于BroadNet的ISO认证和数据保护协议（DPA）的覆盖范围。
验证：最新的证书副本和审计报告可在签署保密协议（NDA）后根据要求向trust@broadnet.me. BroadNet此外还是GSMA准会员以及移动生态系统论坛（MEF）的成员。
隐私与行业框架。
除认证标准外，BroadNet作为数据处理方所执行的控制措施，也与客户须遵守的数据保护和行业监管制度保持一致。
GDPR
Article-28处理者控制、包含欧盟SCCs的标准DPA、数据最小化以及Article-17删除权工具。可根据要求提供仅限欧盟境内的通道。
UAE PDPL
2021年第45号联邦法令：法律依据、数据主体权利、违规通知以及跨境传输控制。
沙特PDPL
符合SDAIA执行标准的同意管理、数据最小化、跨境传输限制以及72小时数据泄露通知要求。
符合HIPAA标准
BAA可用性将在签约期间确认。提供PHI安全模板、受限日志记录、AES-256静态加密以及传输中的TLS 1.3。
SOC 2信任服务
安全性、可用性和机密性标准已通过独立的SOC 2 Type II报告验证。
ISO 27001 ISMS
经过认证的管理系统，而非单一时间点的快照——控制措施经过持续审计与维护。
深入行业标准制定机构。
BroadNet是全球定义消息服务、信令及互联互通标准的行业组织成员——每个组织都链接到了关于其会员范围的简短说明。
GSMA准会员
消息服务工作组、信令安全指南以及互联文档周期。
MEF（移动生态系统论坛）
A2P消息服务行为准则、发送者ID最佳实践以及消费者保护计划。
GLF（ITW全球领导者论坛）
由运营商主导的批发互联、欺诈防护和消息服务标准化。
运营商社区
批发消息服务互联与质量论坛。
区域监管机构
获得TDRA（阿联酋）、CST（沙特）、NTRA（埃及）、TRC（约旦）以及我们路由市场中同等机构的认可。
GSMA开放网关
符合消息服务、欺诈防护和身份验证的电信级网络API标准。
审核人员所需的一切信息。
包含详情页面及可下载的政策文件。标记为NDA的项目将在双方签署保密协议后共享——您可以通过申请安全包来获取这些文件的合集。
ISO 27001、9001、22301及SOC 2报告均受保密协议（NDA）保护。
ISMS范围、证书及适用性声明说明。
质量管理体系说明及范围。
业务连续性管理 — RTO/RPO和桌面演练。
信任服务准则全覆盖；报告需签署NDA后提供。
包含欧盟标准合同条款（SCCs）的标准数据处理协议（DPA），已自动纳入每份主服务协议（MSA）中。
当前的子处理商，变更将提前30天通知。
您的数据存储位置，以及如何指定区域。
72小时通知与协同披露。
BroadNet如何处理访客、潜在客户及终端用户数据。
合同、可接受使用政策及管辖法律。
平台、账户、运营及电信控制。
数据驻留、保留、加密与密钥。
关于客户及终端用户数据的存储、保护及最终销毁方式，详见数据处理协议（DPA）及安全概览。
| 控制 | BroadNet如何执行 |
|---|---|
| 数据驻留 | 默认托管于中东和北非（MENA）地区；也可提供欧盟、美国及新加坡的托管服务。可根据需求提供仅限欧盟的路由；企业合同可提供GCC境内数据驻留。 |
| 数据保留 | 消息内容标准保留期为90天，企业级方案可配置长达7年。针对医疗行业，Webhook日志默认会清除PII/PHI数据。 |
| 传输中加密 | 针对所有API和Webhook流量的TLS 1.3。 |
| 存储数据加密 | 针对静态客户数据采用具有租户级密钥派生功能的AES-256加密。 |
| 加密密钥管理 | 在记录在案的密钥仪式程序下，通过HSM提供托管支持（eSIM签名密钥至少符合FIPS 140-2 Level 3标准）。 |
| 访问控制 | 基于角色的访问控制（RBAC），管理员必须使用2FA，并对所有更改状态的操作进行不可篡改的审计日志记录。 |
| 删除权 | 通过API提供的GDPR Article-17工具 — 支持客户根据手机号码哈希、消息ID范围或租户发起批量删除。 |
| 跨境转账 | 适用时包含欧盟标准合同条款（2021）以及英国国际数据传输协议（IDTA）；并跟踪充分性认定情况。 |
各市场的托管数据位置
| 市场 | 数据托管地 | 获取方式 |
|---|---|---|
| 阿联酋及更广泛的GCC地区 | 默认托管于MENA地区：大多数生产消息服务运行在BroadNet在该地区运营的Tier-3设施上，包括迪拜数据中心。 | 标准。GCC数据驻留已写入企业协议中。 |
| 沙特阿拉伯 | 沙特境内：BroadNet在利雅得运营数据中心，以确保KSA账户的客户数据留存在本地，符合沙特PDPL法规。 | 按需提供。 |
| 欧盟 | 托管于欧盟；欧盟流量可隔离至仅限欧盟的通道和存储。 | 按需提供。跨境数据传输受欧盟标准合同条款（2021）管辖。 |
| 美国 | 托管于美国。 | 取决于合同条款。 |
| 新加坡 | 托管于新加坡。 | 取决于合同条款。 |
数据驻留政策包含详细说明，且区域将在您的合同中固定。 阅读数据驻留政策
适用于采购工具和AI智能体的机器可读版本： compliance.json（认证、数据驻留、数据处理） · sla.json（运行时间、服务抵扣、支持目标）
一份简短的清单，变更提前30天通知。
BroadNet刻意保持极小的分处理商规模。大部分生产消息服务运行在MENA地区由BroadNet运营的Tier-3数据中心；仅有极少数第三方支持非MENA地区的业务负载及运营工具。
我们使用的工具及其原因
- 基础设施— BroadNet中东和北非地区Tier-3数据中心（主中心）；非中东和北非地区业务使用区域云。
- 事务性邮件— 仅用于账户及警报通知。
- 状态页面— 用于托管公开的故障沟通信息。
- 分析— 自托管；不使用第三方工具或Google Analytics。
协同披露，定期测试。
BroadNet定期进行第三方渗透测试，并执行协同漏洞披露流程。发现任何问题请及时报告——我们会快速响应。
报告漏洞
发送电子邮件security@broadnet.me，或在 /.well-known/security.txt. 阅读机器可读的政策及首选语言。
渗透测试
定期进行独立的渗透测试；执行摘要将在签署NDA的前提下提供给评估人员。
修复SLA
高严重性漏洞将在30天SLA内完成修复；关键问题将立即优先处理。
采购问题，已回答。
安全和采购团队最常问的问题。此处未涵盖的内容均包含在安全方案包中。
BroadNet拥有哪些认证和证明？
BroadNet符合ISO/IEC 27001（信息安全）、ISO/IEC 27018（云端个人数据保护）、ISO 9001（质量管理）和ISO 22301（业务连续性）标准，持有涵盖安全性、可用性和机密性的SOC 2 Type II报告，并遵守GDPR（可提供数据处理协议）。其eSIM基础设施的GSMA SAS-SM（订阅管理器）认证正在进行中。BroadNet也是GSMA准会员以及移动生态系统论坛（MEF）的成员。
我可以获取审计报告和证书以进行采购审核吗？
是的。在签署共同保密协议（NDA）的前提下，我们会向潜在及现有企业客户提供证书副本、ISO 27001适用性声明、SOC 2 Type II报告以及最新的渗透测试执行摘要。您可以向trust@broadnet.me申请评估包，我们通常会在一个工作日内回复。
你们是否签署数据处理协议（DPA），是否有分处理商列表？
每份主服务协议（MSA）均包含一份纳入了欧盟标准合同条款（SCC）的标准数据处理协议（DPA）——在GDPR项下，BroadNet担任处理者，客户担任控制者。我们发布最新的分处理商列表，并在启用任何新的分处理商前至少30天通知客户，以便其提出异议。
客户数据存储在哪里，我们可以选择存储区域吗？
根据合同，BroadNet支持MENA（中东和北非）驻留（默认）、欧盟驻留、美国驻留和新加坡驻留托管。应要求，欧盟客户数据可以隔离在仅限欧盟的通道和存储中；企业级协议可提供GCC（海湾合作委员会）数据驻留。跨境传输受欧盟SCCs及相关地区附加条款的约束。
数据是如何加密的，密钥是如何管理的？
所有API和Webhook流量在传输过程中均使用TLS 1.3。静态数据使用基于租户密钥派生的AES-256进行加密。eSIM订阅管理平台的密钥托管运行在符合FIPS 140-2 Level 3最低标准的HSM中，并遵循文档化的双重控制密钥仪式程序。
您保留消息内容多久？
标准层级的消息内容保留90天，企业层级最高可保留7年，具体可根据合同配置。针对医疗工作负载，Webhook日志中的PII和PHI默认会被清除，并且通过API提供GDPR第17条删除权工具，以供客户发起批量删除。
您是否支持HIPAA工作负载？
BroadNet符合HIPAA标准。如果您计划发送PHI，请先告知我们您的HIPAA要求；BAA可用性将在签约期间确认。控制措施包括PHI安全模板、受限日志记录、AES-256静态加密以及传输中的TLS 1.3。HIPAA合规性是一项合同与控制承诺，而非认证。
如何报告安全漏洞？
请发送电子邮件至security@broadnet.me或查看 /.well-known/security.txt以了解协调披露政策和首选语言。BroadNet定期进行第三方渗透测试，并在签署保密协议（NDA）的情况下分享执行摘要；高严重性漏洞将在30天服务等级协议（SLA）内完成修复。
需要安全合规包
进行采购审核吗？
我们将在签署NDA后，于一个工作日内为您发送证书副本、SOC 2报告、渗透测试摘要、已完成的安全问卷（SIG/CAIQ）、DPA模板及分处理者列表。