# 信任中心：认证、审计与数据保护 - 规范 URL: https://www.broadnet.me/zh/trust - 语言: zh-CN - 最后更新: 2026-10-19 - 发布方: BroadNet (https://www.broadnet.me) - 上述页面的 Markdown 版本，根据渲染后的页面生成。 所有证据，尽在一处。 这是BroadNet的合规证据中心——包含了采购或安全审核人员在审核供应商时所需的认证、证明、数据处理控制、子处理商及披露流程。详细报告需签署保密协议（NDA）后获取；审核人员首先需要查看的所有内容都在这里。 [索取安全资料包](https://www.broadnet.me/zh/contact?topic=security-package) [审计报告（需签署保密协议）](https://www.broadnet.me/trust/audit-reports) 由信任与合规部门维护·最后更新 October 2026 已通过审计与认证 - ISO/IEC 27001:2022 — 信息安全 - ISO/IEC 27018 — 云隐私（个人数据） - ISO 9001 — 质量管理 - ISO 22301 — 业务连续性 - SOC 2 Type II — 报告需签署NDA - 符合GDPR标准；可根据要求提供数据处理协议 证书副本及审计报告将在签署保密协议（NDA）后根据要求提供至[trust@broadnet.me](mailto:trust@broadnet.me)。 采购文件 ## 采购审核人员无需通过销售电话即可立即查阅的内容。 以下摘要为公开信息。完整的审计报告和证书副本受NDA保护，可根据要求发送。 [数据处理协议（DPA） 标准数据处理协议包含欧盟标准合同条款，并已纳入每份主服务协议（MSA）中。BroadNet作为处理者，客户作为控制者。 阅读数据处理协议](https://www.broadnet.me/legal/dpa) [子处理商列表 当前的子处理商列表，在启用新的子处理商前至少会提前30天通知。 查看列表](https://www.broadnet.me/legal/sub-processors) [安全调查问卷（SIG / CAIQ） 申请完整的SIG / CAIQ问卷、渗透测试执行摘要和证书副本。我们将在一个工作日内回复。 申请方案包](https://www.broadnet.me/zh/contact?topic=security-package)各市场的托管数据位置 各市场的客户数据托管位置，以及如何指定区域。 按市场查看 认证与证明 ## 关键指标，经审计验证。 BroadNet针对国际认可的信息安全、质量和业务连续性标准进行持续的第三方审计。每份证书副本和报告均可在签署共同NDA的前提下根据要求提供。 | 标准 | 认证范围 | 颁发者 | 审核周期 | 证书与验证 | |---|---|---|---|---| | ISO/IEC 27001:2022 | ISMS覆盖消息平台、运营商产品、客户数据处理及供应商关系。 | 经认可的认证机构（名称见证书） | 年度监控 · 3年重新认证 | 在NDA（保密协议）框架下的证书与适用性声明。 [在IAF CertSearch上进行验证](https://www.iafcertsearch.org/) （搜索“BroadNet”） | | ISO/IEC 27018 | BroadNet云消息服务中的个人身份信息（PII）保护。ISO/IEC 27018是扩展了ISO 27001 ISMS的云隐私实践规范。 | 经认可的认证机构（名称见证书） | 通过ISO 27001 ISMS评估 | 证书副本已根据NDA提供。 [在IAF CertSearch上进行验证](https://www.iafcertsearch.org/) （搜索“BroadNet”） | | ISO 9001:2015 | 用于电信消息产品设计、交付和支持的质量管理体系。 | 经认可的认证机构（名称见证书） | 年度监控审计 | 证书副本已根据NDA提供。 [在IAF CertSearch上进行验证](https://www.iafcertsearch.org/) （搜索“BroadNet”） | | ISO 22301 | 业务连续性管理——包括事件响应、恢复目标和供应商故障场景。 | 经认可的认证机构（名称见证书） | 年度审计 · 每年测试业务连续性计划 | 受NDA保护的证书和连续性计划摘要。 [在IAF CertSearch上进行验证](https://www.iafcertsearch.org/) （搜索“BroadNet”） | | SOC 2 Type II | 信任服务标准：在定义的报告期内，确保安全性、可用性和机密性。 | 独立CPA事务所 | 年度报告期 | 完整报告受保密协议保护。SOC 2报告不会在公共注册库中发布。 [申请方案包](https://www.broadnet.me/zh/contact?topic=security-package) | | GDPR | 欧盟《通用数据保护条例》（Regulation (EU) 2016/679）：BroadNet作为处理者，依据数据处理协议处理客户的个人数据。 | 欧盟法规（合规要求，而非证书） | 持续义务 | 包含欧盟标准合同条款的数据处理协议。 [阅读数据处理协议](https://www.broadnet.me/legal/dpa) | 正在进行中：GSMA SAS-SM (Subscription Manager)针对eSIM业务的认证。目前尚未获得该认证，因此未列入已持有的认证名单。 MobileValidate由BroadNet运营，属于BroadNet的ISO认证和数据保护协议（DPA）的覆盖范围。 验证：最新的证书副本和审计报告可在签署保密协议（NDA）后根据要求向[trust@broadnet.me](mailto:trust@broadnet.me). BroadNet此外还是GSMA准会员以及移动生态系统论坛（MEF）的成员。 我们遵循的框架 ## 隐私与行业框架。 除认证标准外，BroadNet作为数据处理方所执行的控制措施，也与客户须遵守的数据保护和行业监管制度保持一致。 [GDPR Article-28处理者控制、包含欧盟SCCs的标准DPA、数据最小化以及Article-17删除权工具。可根据要求提供仅限欧盟境内的通道。 GDPR合规状况](https://www.broadnet.me/compliance/gdpr) [UAE PDPL 2021年第45号联邦法令：法律依据、数据主体权利、违规通知以及跨境传输控制。 UAE PDPL](https://www.broadnet.me/compliance/pdpl-uae) [沙特PDPL 符合SDAIA执行标准的同意管理、数据最小化、跨境传输限制以及72小时数据泄露通知要求。 沙特PDPL](https://www.broadnet.me/compliance/pdpl-saudi) ### 符合HIPAA标准 BAA可用性将在签约期间确认。提供PHI安全模板、受限日志记录、AES-256静态加密以及传输中的TLS 1.3。 [SOC 2信任服务 安全性、可用性和机密性标准已通过独立的SOC 2 Type II报告验证。 SOC 2](https://www.broadnet.me/compliance/soc2) [ISO 27001 ISMS 经过认证的管理系统，而非单一时间点的快照——控制措施经过持续审计与维护。 ISO 27001](https://www.broadnet.me/compliance/iso27001) 行业成员身份 ## 深入行业标准制定机构。 BroadNet是全球定义消息服务、信令及互联互通标准的行业组织成员——每个组织都链接到了关于其会员范围的简短说明。 [GSMA准会员 GSMA准会员 消息服务工作组、信令安全指南以及互联文档周期。 阅读说明](https://www.broadnet.me/trust/gsma) [MEF（移动生态系统论坛） MEF（移动生态系统论坛） A2P消息服务行为准则、发送者ID最佳实践以及消费者保护计划。 阅读说明](https://www.broadnet.me/trust/mef) [GLF（ITW全球领导者论坛） GLF（ITW全球领导者论坛） 由运营商主导的批发互联、欺诈防护和消息服务标准化。 阅读说明](https://www.broadnet.me/trust/glf) ### 运营商社区 批发消息服务互联与质量论坛。 ### 区域监管机构 获得TDRA（阿联酋）、CST（沙特）、NTRA（埃及）、TRC（约旦）以及我们路由市场中同等机构的认可。 ### GSMA开放网关 符合消息服务、欺诈防护和身份验证的电信级网络API标准。 文档与政策库 ## 审核人员所需的一切信息。 包含详情页面及可下载的政策文件。标记为NDA的项目将在双方签署保密协议后共享——您可以通过申请安全包来获取这些文件的合集。 [NDA 审计报告（受限访问） ISO 27001、9001、22301及SOC 2报告均受保密协议（NDA）保护。 打开](https://www.broadnet.me/trust/audit-reports) [说明 ISO/IEC 27001 ISMS范围、证书及适用性声明说明。 打开](https://www.broadnet.me/trust/iso-27001) [说明 ISO 9001 质量管理体系说明及范围。 打开](https://www.broadnet.me/trust/iso-9001) [说明 ISO 22301 业务连续性管理 — RTO/RPO和桌面演练。 打开](https://www.broadnet.me/trust/iso-22301) [说明 SOC 2第二类 信任服务准则全覆盖；报告需签署NDA后提供。 打开](https://www.broadnet.me/trust/soc-2-type-ii) [政策 数据处理协议 包含欧盟标准合同条款（SCCs）的标准数据处理协议（DPA），已自动纳入每份主服务协议（MSA）中。 打开](https://www.broadnet.me/legal/dpa) [政策 子处理商列表 当前的子处理商，变更将提前30天通知。 打开](https://www.broadnet.me/legal/sub-processors) [政策 数据驻留 您的数据存储位置，以及如何指定区域。 打开](https://www.broadnet.me/security/data-residency) [政策 违规通知政策 72小时通知与协同披露。 打开](https://www.broadnet.me/security/breach-notification) [政策 隐私政策 BroadNet如何处理访客、潜在客户及终端用户数据。 打开](https://www.broadnet.me/legal/privacy-policy) [政策 服务条款 合同、可接受使用政策及管辖法律。 打开](https://www.broadnet.me/legal/terms-of-service) [概览 安全概览 平台、账户、运营及电信控制。 打开](https://www.broadnet.me/zh/security) 数据处理 ## 数据驻留、保留、加密与密钥。 关于客户及终端用户数据的存储、保护及最终销毁方式，详见数据处理协议（DPA）及安全概览。 | 控制 | BroadNet如何执行 | |---|---| | 数据驻留 | 默认托管于中东和北非（MENA）地区；也可提供欧盟、美国及新加坡的托管服务。可根据需求提供仅限欧盟的路由；企业合同可提供GCC境内数据驻留。 | | 数据保留 | 消息内容标准保留期为90天，企业级方案可配置长达7年。针对医疗行业，Webhook日志默认会清除PII/PHI数据。 | | 传输中加密 | 针对所有API和Webhook流量的TLS 1.3。 | | 存储数据加密 | 针对静态客户数据采用具有租户级密钥派生功能的AES-256加密。 | | 加密密钥管理 | 在记录在案的密钥仪式程序下，通过HSM提供托管支持（eSIM签名密钥至少符合FIPS 140-2 Level 3标准）。 | | 访问控制 | 基于角色的访问控制（RBAC），管理员必须使用2FA，并对所有更改状态的操作进行不可篡改的审计日志记录。 | | 删除权 | 通过API提供的GDPR Article-17工具 — 支持客户根据手机号码哈希、消息ID范围或租户发起批量删除。 | | 跨境转账 | 适用时包含欧盟标准合同条款（2021）以及英国国际数据传输协议（IDTA）；并跟踪充分性认定情况。 | ### 各市场的托管数据位置 | 市场 | 数据托管地 | 获取方式 | |---|---|---| | 阿联酋及更广泛的GCC地区 | 默认托管于MENA地区：大多数生产消息服务运行在BroadNet在该地区运营的Tier-3设施上，包括迪拜数据中心。 | 标准。GCC数据驻留已写入企业协议中。 | | 沙特阿拉伯 | 沙特境内：BroadNet在利雅得运营数据中心，以确保KSA账户的客户数据留存在本地，符合沙特PDPL法规。 | 按需提供。 | | 欧盟 | 托管于欧盟；欧盟流量可隔离至仅限欧盟的通道和存储。 | 按需提供。跨境数据传输受欧盟标准合同条款（2021）管辖。 | | 美国 | 托管于美国。 | 取决于合同条款。 | | 新加坡 | 托管于新加坡。 | 取决于合同条款。 | 数据驻留政策包含详细说明，且区域将在您的合同中固定。 [阅读数据驻留政策](https://www.broadnet.me/security/data-residency) 适用于采购工具和AI智能体的机器可读版本： [compliance.json（认证、数据驻留、数据处理）](https://www.broadnet.me/ai/compliance.json) · [sla.json（运行时间、服务抵扣、支持目标）](https://www.broadnet.me/ai/sla.json) 数据驻留 中东及北非 · 欧盟 · 美国 · 新加坡 留存 90天 → 7年（按层级） 传输中 TLS 1.3 静态存储 AES-256 · 租户级密钥 [阅读数据驻留政策 →](https://www.broadnet.me/security/data-residency) 子处理商 ## 一份简短的清单，变更提前30天通知。 BroadNet刻意保持极小的分处理商规模。大部分生产消息服务运行在MENA地区由BroadNet运营的Tier-3数据中心；仅有极少数第三方支持非MENA地区的业务负载及运营工具。 ### 我们使用的工具及其原因 - 基础设施— BroadNet中东和北非地区Tier-3数据中心（主中心）；非中东和北非地区业务使用区域云。 - 事务性邮件— 仅用于账户及警报通知。 - 状态页面— 用于托管公开的故障沟通信息。 - 分析— 自托管；不使用第三方工具或Google Analytics。 ### 变更通知方式 在启用任何新的分处理商之前，至少会提前30天通知客户，以便在处理任何数据之前留出审查或提出异议的时间。权威且最新的列表维护在分处理商页面上，并由DPA引用。 [查看当前的子处理商列表 →](https://www.broadnet.me/legal/sub-processors) 公司与法律 ## 您在合同层面签署的合作伙伴。 即平台背后的集团实体，以及规范双方关系的政策文件。 ### BroadNet Technologies Sarl **成立于** 2003 **HQ** 阿拉伯联合酋长国迪拜 **法律形式** Sarl（有限责任公司） **签约** 由服务您所在市场的BroadNet分支机构签署；具体签约主体以您的协议为准。 **监管机构** TDRA（电信与数字政府监管局） **覆盖范围** MENA全境，并与非洲、亚洲、欧洲及拉美地区的合作伙伴建立了协作关系 ### 法律文件 - [服务条款](https://www.broadnet.me/legal/terms-of-service) - [隐私政策](https://www.broadnet.me/legal/privacy-policy) - [可接受使用政策](https://www.broadnet.me/legal/acceptable-use) - [数据处理协议](https://www.broadnet.me/legal/dpa) - [子处理商列表](https://www.broadnet.me/legal/sub-processors) - [Cookie政策](https://www.broadnet.me/legal/cookie-policy) 漏洞披露与测试 ## 协同披露，定期测试。 BroadNet定期进行第三方渗透测试，并执行协同漏洞披露流程。发现任何问题请及时报告——我们会快速响应。 ### 报告漏洞 发送电子邮件security@broadnet.me，或在 /.well-known/security.txt. 阅读机器可读的政策及首选语言。 ### 渗透测试 定期进行独立的渗透测试；执行摘要将在签署NDA的前提下提供给评估人员。 ### 修复SLA 高严重性漏洞将在30天SLA内完成修复；关键问题将立即优先处理。 [查看security.txt](https://www.broadnet.me/.well-known/security.txt) [security@broadnet.me](mailto:security@broadnet.me) 合规常见问题 ## 采购问题，已回答。 安全和采购团队最常问的问题。此处未涵盖的内容均包含在安全方案包中。 **BroadNet拥有哪些认证和证明？** BroadNet符合ISO/IEC 27001（信息安全）、ISO/IEC 27018（云端个人数据保护）、ISO 9001（质量管理）和ISO 22301（业务连续性）标准，持有涵盖安全性、可用性和机密性的SOC 2 Type II报告，并遵守GDPR（可提供数据处理协议）。其eSIM基础设施的GSMA SAS-SM（订阅管理器）认证正在进行中。BroadNet也是GSMA准会员以及移动生态系统论坛（MEF）的成员。 **我可以获取审计报告和证书以进行采购审核吗？** 是的。在签署共同保密协议（NDA）的前提下，我们会向潜在及现有企业客户提供证书副本、ISO 27001适用性声明、SOC 2 Type II报告以及最新的渗透测试执行摘要。您可以向trust@broadnet.me申请评估包，我们通常会在一个工作日内回复。 **你们是否签署数据处理协议（DPA），是否有分处理商列表？** 每份主服务协议（MSA）均包含一份纳入了欧盟标准合同条款（SCC）的标准数据处理协议（DPA）——在GDPR项下，BroadNet担任处理者，客户担任控制者。我们发布最新的分处理商列表，并在启用任何新的分处理商前至少30天通知客户，以便其提出异议。 **客户数据存储在哪里，我们可以选择存储区域吗？** 根据合同，BroadNet支持MENA（中东和北非）驻留（默认）、欧盟驻留、美国驻留和新加坡驻留托管。应要求，欧盟客户数据可以隔离在仅限欧盟的通道和存储中；企业级协议可提供GCC（海湾合作委员会）数据驻留。跨境传输受欧盟SCCs及相关地区附加条款的约束。 **数据是如何加密的，密钥是如何管理的？** 所有API和Webhook流量在传输过程中均使用TLS 1.3。静态数据使用基于租户密钥派生的AES-256进行加密。eSIM订阅管理平台的密钥托管运行在符合FIPS 140-2 Level 3最低标准的HSM中，并遵循文档化的双重控制密钥仪式程序。 **您保留消息内容多久？** 标准层级的消息内容保留90天，企业层级最高可保留7年，具体可根据合同配置。针对医疗工作负载，Webhook日志中的PII和PHI默认会被清除，并且通过API提供GDPR第17条删除权工具，以供客户发起批量删除。 **您是否支持HIPAA工作负载？** BroadNet符合HIPAA标准。如果您计划发送PHI，请先告知我们您的HIPAA要求；BAA可用性将在签约期间确认。控制措施包括PHI安全模板、受限日志记录、AES-256静态加密以及传输中的TLS 1.3。HIPAA合规性是一项合同与控制承诺，而非认证。 **如何报告安全漏洞？** 请发送电子邮件至security@broadnet.me或查看 /.well-known/security.txt以了解协调披露政策和首选语言。BroadNet定期进行第三方渗透测试，并在签署保密协议（NDA）的情况下分享执行摘要；高严重性漏洞将在30天服务等级协议（SLA）内完成修复。 ## 需要安全合规包进行采购审核吗？ 我们将在签署NDA后，于一个工作日内为您发送证书副本、SOC 2报告、渗透测试摘要、已完成的安全问卷（SIG/CAIQ）、DPA模板及分处理者列表。 [索取安全资料包](https://www.broadnet.me/zh/contact?topic=security-package) [trust@broadnet.me](mailto:trust@broadnet.me)