信息安全委员会
统筹信息安全制度、职责分工、风险评估和事件处置，监督产品、技术及项目团队执行安全要求。
治理与资质01 02 03
企业EAP信息安全治理
公司明确管理责任、制度要求、系统标准和事件处置流程。
ISO 27001信息安全管理体系
管理人员、流程、系统、供应商、访问权限和安全事件，定期开展检查与改进。
网络安全等级保护第二级
相关系统按照网络安全等级保护第二级要求建设和管理，项目采购阶段可提供适用证明材料。
制度摘要
信息安全管理制度
杭州袋虎信息技术有限公司通过以下制度要求管理客户信息与EAP数据。
- 01
治理职责
管理层批准制度并配置资源，信息安全、法务、人力和系统责任人按职责开展工作。
- 02
信息分类
公司将心理咨询、测评、危机、医疗健康和可识别的EAP使用信息列为重点保护对象。
- 03
访问控制
账号由本人使用，权限与岗位、任务和期限对应，敏感权限接受专项审查。
- 04
使用与流转
信息查询、下载、导出、打印、传输和对外提供执行用途、范围及审批要求。
- 05
EAP信息隔离
企业项目方接收项目运营与匿名汇总信息，员工个人咨询、测评和危机记录由授权专业人员管理。
- 06
事件响应
发现误发、越权、异常登录或泄露风险后，责任团队报告事件、控制影响、保留证据并完成整改。
内容摘自《杭州袋虎信息技术有限公司信息安全管理制度》。
安全控制01 02 03 04 05 06
人员、权限、系统和操作记录管理
用途管理
收集信息时说明预约、咨询、测评、风险处置或项目运营用途，并按约定范围使用。
最小必要
根据服务内容收集必要信息，控制字段范围、留存数量和数据流转。
角色权限
员工、咨询师、项目运营、企业管理员和技术人员使用不同权限，人员只访问完成职责所需的内容。
传输与存储
对数据传输、存储、备份和恢复设置安全控制，管理复制、下载、导出和外部共享。
访问审计
对关键访问、权限调整、数据导出和异常操作保留必要记录，用于问题追踪和安全审计。
人员管理
通过保密义务、岗位授权、安全培训、权限变更和离岗回收管理内部人员的数据访问。
数据全生命周期
EAP数据处理流程
项目按照收集、存储、使用、报告和删除环节管理数据用途与责任。
- 01
收集与告知
向员工说明信息用途、使用范围、保密原则、人身安全风险处置规则和可选操作。
- 02
传输与存储
按数据类型和系统边界设置传输与存储规则，敏感信息使用约定渠道。
- 03
使用与访问
依据岗位和项目角色授权，咨询、测评与运营数据分别管理。
- 04
报告与导出
企业只获得约定范围内的匿名汇总信息，小样本和多维组合受到限制。
- 05
留存与删除
按照业务目的、合同约定和适用要求设置留存期限，到期后按规则删除或匿名化。
信息权限
员工信息与企业项目报告
员工个人信息
咨询谈话、个人测评反馈和身份信息按照专业保密规则管理，员工使用服务前可了解信息用途和权限。
企业项目报告
企业接收项目进度、资源覆盖、匿名使用情况和群体趋势，用于项目运营与组织改善。
人身安全风险
发生明确自伤、他伤或现实人身危险时，专业人员按照预案联系相关责任人，并控制信息使用范围。
安全事件响应01 02 03 04
信息安全事件处置流程
发现与报告
系统监测、内部报告和项目反馈发现异常后，责任人员启动事件报告。
研判与控制
信息安全团队确认影响范围、数据类型和风险，限制异常访问及数据流转。
处置与沟通
相关责任团队按事件等级处理，并依据合同和适用要求开展沟通。
复盘与改进
责任团队追踪原因、修复问题、调整权限或流程，并记录整改结果。
采购问答
EAP隐私与数据安全常见问题
企业可以查看哪些EAP信息？
企业接收项目进度、资源覆盖、服务使用和匿名趋势报告。员工个人咨询内容由提供服务的专业人员按照保密规则管理。
企业心理测评结果如何管理？
员工接收个人测评反馈，企业接收匿名组织报告。小样本部门、特殊岗位和多维组合采用单独的汇总规则。
发生人身安全风险时如何处理？
专业人员发现明确自伤、他伤或现实人身危险后，按照知情说明和项目预案采取行动，并向参与处置的人员提供必要信息。
采购阶段可以核验哪些安全材料？
企业可根据项目范围核验ISO 27001信息安全管理体系、等保二级相关材料、数据流程、权限说明、安全事件响应机制和合同数据条款。
获取EAP隐私与数据安全资料
壹点灵可根据项目系统、服务方式和员工范围提供信息安全资质、数据流程、权限规则及合同条款建议。