服务水平协议
本附件（“服务水平协议附件”）受第 2.2 条（服务的提供）和第 2.3 条（客户数据的保护）中条款的约束。
严重程度和响应时间汇总表
| 分级 | 故障描述 | 响应 |
| 1 级 | 致命问题，无法做任何有用的工作。 | 在 90% 的情况下可在 2 小时内解决问题。 |
| 2 级 | 严重影响，导致主要功能失效。错误会导致系统间歇性故障。性能问题。 | 如果问题在 24 小时内仍未解决，则根据解决方案或下一次更新的预计时间范围更新状况。 |
| 3 级 | 运行性能下降/影响最小。错误会导致非主要功能失效。 | 定期更新状态，直至问题解决。 |
可用性
| 计划小时数 | 每周 7 天，每天 24 小时。 |
| 计划正常运行时间 | 计划小时数的 99.5%。 |
| 计划停机时间 | 提前告知客户的任何停机时间。 |
通常将维护计划安排在周六进行，以避免对服务交付产生影响，维护时段为：从东部时间凌晨 2 点开始，时长 4 小时。
在本协议期限内的任何既定月份，应可以在 99.5% 的时间提供服务，但与客户协调好的计划维护除外。
安全和灾难恢复附录
A. 一般规定。ServiceChannel.com, Inc.（“公司”、“我们”或“我们的”）认为，信息是一种极其宝贵的资产，必须受到保护。因此，我们制定并实施了一项信息安全计划（“安全计划”），详见本《安全和数据恢复附录》（“附录”）所述。安全计划的目标是有效保护与公司的下属企业、客户和业务合作伙伴相关的个人身份识别信息和其他敏感信息（统称为“敏感信息”）。
B. 定义。就本附录而言，以下术语具有以下含义：
- “数据事件”是指因公司系统受到破坏或损害而导致的敏感信息的任何未经授权的访问或获取、披露、使用或丢失。
- “隐私和安全要求”在适用范围内是指：(i) 与敏感信息的存储和收集相关的法律要求（联邦、州、地方和国际法律、规则、法规以及政府要求）；及 (ii) 与敏感信息的隐私、数据保护、保密或安全相关的公认行业标准。
- “安全协调员”是指负责实施、协调和维护安全计划（包括但不限于人员培训、安全计划保障措施的定期测试以及第三方服务提供商评估）的经理级员工。
- “公司系统”在适用范围内是指公司用于存储、处理和/或传输敏感信息的信息技术系统和设备，包括但不限于公司的网络、数据库、计算机和移动设备。
C. 敏感信息。为明确起见，敏感信息包括：
- 任何可识别个人身份的信息（包括但不限于：姓名、邮政地址、电子邮箱、电话号码、出生日期、社保号码、驾照号码、政府发放的其他身份证件号码、金融账号或者信用卡或借记卡号码）。
- 公司在其业务活动过程中开发、收集、学习或获得的并且可被合理理解为机密信息的所有财务、业务、法律和技术信息，包括归公司客户所有或涉及公司客户的信息。
D. 安全计划。公司应创建、实施和维护安全计划，以纳入合理适当的管理、技术和物理保障措施，从而保护敏感信息的机密性和安全性。公司还应定期审查和更新安全计划，重点关注技术、隐私和安全要求以及行业标准实践的发展。目前，公司系统的保护措施包括：
- 用户身份验证控制措施，包括分配、选择和存储访问凭证的安全方法、仅限授权用户访问以及在数次身份验证失败后阻止访问。
- 访问控制和物理设施安全措施，包括仅限因业务关系而真正需要知悉敏感信息且此类需求得到证明的个人访问敏感信息的控制措施，辅以便于授予、确定、修改和终止访问权限的适当政策、规程和控制措施。
- 定期监控公司系统，以防止敏感信息丢失或者在未经授权的情况下访问或获取、使用或披露敏感信息。
- 技术安全措施，例如防火墙保护、防病毒保护、安全补丁管理和入侵检测。
- 持续的培训和意识培养计划，旨在确保员工和其他代表公司行事的人了解并遵守安全计划的政策、程序和规程。
- 根据定期风险评估、安全计划的综合评估（如第三方评估）以及对保障措施有效性进行的监控和定期测试来持续地调整安全计划。此类审查应至少每年进行一次。如果公司的技术环境或业务管理发生重大变化，影响到公司系统的安全，则应进行额外审查。公司系统已通过 SSAE 18（SOC 1 类型 II 和 SOC 2 类型 II）合规性认证。
E. 访问控制。
- 公司管理层通过制定访问管理政策、对职责和责任进行批准以及以一致的方式对整个公司的安全工作进行协调，为打造一个安全的访问环境提供指导。
- 使用和访问公司系统的权利取决于每个用户的访问权限。访问权限根据具体的业务需求授予（即按照“需知”原则授予），并且仅限于需要此类访问权限以履行公司管理层确定的工作职责的人员。
- 除非明确指定为公共访问资源，否则将对所有公司资源、系统和应用程序进行访问控制。
- 对于存储敏感信息的地点，只有需要出入此类地点以履行为其指定的工作职能或服务的人员和服务提供商才可出入。如可行，存储敏感信息的存储区域应受到保护，以免受到火灾或洪水等物理危害的潜在破坏或损害。
- 公司的员工、临时工、承包商、顾问和其他工作人员（包括所有与第三方有关联的人员）有责任参与相关维护工作，确保始终以安全方式访问公司系统，且有责任确保公司遵守自身发布的隐私政策。
F. 加密。
- 公司使用业界领先的技术和工艺来保护敏感信息。所有传输中的和静态的敏感信息均进行加密。静态敏感信息采用强密码 AES_256 加密方式进行加密。所有传输中的敏感信息均采用提供 2048 位 RSA 密钥的 SSL 证书进行加密（“强 SSL 安全加密”）。公司通过 SSL/TLS 为所有服务交易实施端对端加密，代表了一种最佳行业做法。如适用，使用 TLSv1.2 等现代协议进行加密处理。公司对通过公司网站传输的客户设施维护信息（包括企业信息和联系信息、服务要求和工作历史记录、报告、建议书和发票）进行加密。信息先被加密，然后再传输到用户的浏览器，并在其中自动解密。对其他数据传输方式（例如 FTP/sFTP/AS2）也可以采用标准安全协议（SSL 或 SSH）进行加密。
G. 系统监控、保护和备份。
- 公司以合理方式监控公司系统，检查是否存在未经授权使用或访问敏感信息的行为。
- 公司雇用至少一名内部技术人员或至少一名外部技术顾问，为公司系统提供支持和日常维护，并报告任何实际或试图攻击或入侵公司的行为。
- 所有存储敏感信息的电脑中均安装恶意软件保护软件。所有操作系统和应用程序至少每年使用其提供商提供的任何现有的安全补丁或其他安全相关增强功能升级一次。如果任何人员使用家用电脑或远程访问设备开展业务，则此类家用电脑或设备也将安装恶意软件保护软件。
- 如果向人员提供诸如笔记本电脑和手持无线接入设备等远程访问设备，则公司会将此类设备贴上标签，并至少每年盘点一次。
- 公司系统中存储的敏感信息将定期备份。所有敏感信息均以冗余方式存储并分布在遍布各地的数据中心中。将部署公司核心系统，以便在数据中心或单个设备发生故障的情况下，有足够的容量来实现流量的负载平衡，并将流量重新路由到其余站点。公司通过采用云部署的方式将其应用程序与其客户的内部服务器隔离开来，以降低未经授权访问公司客户的内部系统的风险。
- 公司对基于云 IP 的冗余电信系统进行维护。这包括公司的电话、呼叫中心和 IVR（交互式语音应答）系统。如果在向公司的主要电信系统传送呼叫时出现问题，则呼叫会自动重新路由到备用系统。
H. 安全计划的评估和调整。
- 公司管理层应定期重新评估在敏感信息的安全和保密方面所面临的可合理预见的内部和外部风险。
- 公司保留随时修订本安全计划中条款的权利。在进行更新前，应提前充分的时间向所有人员发送更新通知。人员有责任理解或设法澄清本文件中概述的任何规则，并熟知本安全计划的最新版本。
- 公司管理层应定期评估并酌情调整安全计划，其中应涉及：(a) 当前的风险评估、管理和控制活动；(b) 公司最高层管理人员使用上述标准确定的新风险或漏洞；(c) 可能对敏感信息的保护造成影响的技术变革；(d) 公司业务的重大变化，包括公司业务的规模、范围和类型的重大变化；(v) 公司现有资源的数量；(vi) 公司存储或持有的敏感信息的数量；(vii) 任何新增的敏感信息的安全和保密需求；及 (viii) 公司管理层认为可能对安全计划造成重大影响的任何其他情况。
I. 人员和服务提供商。
- 公司应对其员工和其他代表其行事的人进行必要且合理适当的监督，以维护敏感信息的机密性和安全。
- 在聘用可能收到敏感信息的任何第三方服务提供商之前，公司应采取合理措施，选择并聘用能够维持适当安全措施以保护敏感信息的第三方服务提供商。
- 公司应在某个人不再受雇或受聘于公司后，尽快终止该个人对公司系统的访问权限。被解雇的人员必须交出可访问/出入公司场所和/或系统的所有钥匙、ID 号、访问代码、胸牌、名片等。
J. 数据事件。
- 如果发生数据事件，安全协调员应对事件进行事后调查，并确定应采取的适当行动，以尽量避免数据事件并减轻后果。
- 安全协调员应负责组建合格的事件响应团队，该团队应负责处理与数据事件相关的事宜。
- 如有必要，安全协调员应在发生数据事件后，对与保护敏感信息相关的业务惯例进行变更。
- 安全协调员应书面记录上述各项，并向管理层提交报告。
K. 安全返还或处置。公司应以安全的方式返还或处置纸质版或电子版敏感信息。