信任中心 | EcoVadis

认证

质量管理 (ISO 9001)

EcoVadis 的使命是“引导所有企业迈向可持续发展的世界”，EcoVadis 的四大核心使命目标是：

凭借卓越的方法论，提供独立、可信且可付诸行动的可持续发展评级与洞察。
帮助尽可能多的企业持续改进其商业实践，为构建再生型、公平的经济做出贡献。
为员工营造包容的学习环境，提供有意义的工作，并赋能新一代可持续发展从业者。
在我们的生态系统中推动集体行动，加速向可持续发展世界的转型。

EcoVadis 已建立通过 ISO 9001 认证的质量管理体系 (QMS)（请参阅证书). 借助流程管理体系，我们积极地追求精益求精，使每一名员工都能在安全振奋的工作环境中第一时间顺利完成工作。我们量身定制的自研 IT 平台为这一切提供了支持，指导员工顺利完成整个流程。

我们听取方法委员会等专门机构的建议，力求不断改进流程。

员工培训计划

所有新员工在入职期间均须参加质量与信息安全培训，并通过设有及格分数的测验验证培训成效；全体员工每年还须参加强制性复训，并在培训后完成测验。

纠正和预防措施

通过识别改进领域实现持续改进，以消除不符合项或防止其再次发生。例如，我们在评估流程中使用质量工具来检测不符合项并提供反馈。

客户投诉

客户和供应商的投诉以及内部问题均通过事件管理平台进行报告、记录和管理。所有事件均由相关方定期审查，并在规定时限内解决。

内部审计

内部审计计划以三年为周期：信息安全审计每年开展两次，所有内部流程每年至少接受一次质量审计。审计结果将在管理评审会议上进行审查和讨论。

信息安全 (ISO 27001)

EcoVadis 通过全球化的云端 SaaS 平台提供全面的企业可持续发展评级服务，该平台托管于全球最受信赖的云托管服务商之一 Microsoft Azure。

我们致力于提供最高水平的信息安全保障并持续改进，以在不断演变的信息安全威胁环境中保护所有利益相关方的数据。为此，EcoVadis 建立了信息安全管理体系 (ISMS)，并定期接受独立第三方审计，以确保符合 ISO/IEC 27001 标准（请参阅[证书]和[适用性声明]）。 (please see the certificate and statement of applicability).

我们的 ISMS 使我们能够在业务流程和服务中系统地实施和维护信息安全，并根据风险评估结果确定和采取必要的安全措施。

信息安全治理

我们的信息安全政策定期接受审查和更新，以确保其及时性、准确性，并持续符合适用的合规要求和行业最佳实践。我们拥有一支专门的内部团队，负责开发、维护和监控信息安全。我们的组织内部在全球范围内确定了优先事项，为保护组织资产提供统一的战略视野。

资产管理和租赁

我们对所有与服务相关的资产维护准确且最新的清单。我们根据法律要求、价值、重要性以及未经授权的披露或修改的敏感性，对信息进行正式分类。我们采用 Azure 多租户服务，并实施逻辑隔离，确保客户之间的数据完全隔离。

第三方风险管理

对于可能访问、处理、存储、传输信息或提供 IT 基础设施组件的供应商，我们制定了信息安全要求。我们定期对有权访问我们的网络或敏感数据的供应商开展网络安全和数据安全风险评估，并正式跟踪和落实明确的后续行动。

安全运营与事件响应

我们的全天候安全运营中心 (SOC) 持续监控并保护系统和数据。我们已经实施了强有力的措施，以确保采用一致和有效的方法来管理信息安全事件。我们的安全事件管理流程包括维持书面程序、尽一切合理努力减轻后果以及通知客户。

业务连续性与灾难恢复 (BCP)

我们确保信息处理设施具备足够的冗余度，以满足可用性要求。我们持续监控服务性能、可用性和真实用户体验（请参阅我们平台的正常运行时间报告，其中会持续监控服务性能、可用性和真实用户体验）。我们根据确定的备份策略定期进行和测试备份。

意识、教育与培训

全体人员均须接受强制性、持续性的信息安全意识、教育和培训。该计划旨在与 EcoVadis IT 安全标准保持一致，对员工进行有关 IT 系统的安全操作实践的教育，并确保了解适用的安全威胁。我们经常进行模拟网络钓鱼活动，以提升网络安全意识并测试员工的响应流程。

入职前

根据法律和监管规定，我们在招聘过程中对所有候选人进行系统的背景调查。此外，在法律允许的地区，我们会对所有新员工进行犯罪记录核查，例如美国员工。

访问控制

EcoVadis 信息系统和网络域的访问权限及特权，均基于角色的访问控制 (RBAC) 模型进行分配，并严格遵循“按需知悉”和“最小权限”原则。

客户访问管理

客户可自主控制其用户环境。客户平台管理员可管理用户账户，包括创建和停用账户。平台访问主要通过用户名和密码验证进行保护；对于提出申请的企业，我们可向提出请求的公司提供单点登录 (SSO) 功能（如需了解更多信息，请联系您日常对接的商务联系人）。

加密技术

所有数据在静态存储和传输过程中，均采用行业认可的加密算法和方法进行保护。根据既定的行业最佳实践，安全地存储和管理机密信息。

运营安全

变更管理与安全加固

对组织、业务流程、信息处理设施和系统产生影响的变更，均受到正式管控。我们遵循严格的安全加固指南，包括针对操作系统的 CIS（互联网安全中心）基准测试，以及针对云服务的 Microsoft Azure 加固指南。

监控与威胁管理

我们部署监控和检测技术，以识别、预防和管理我们基础设施中的恶意软件、漏洞及其他与安全相关事件。

通信安全

内部服务和服务器的网络访问均受到限制和保护。我们使用 Web 应用防火墙（WAF——详细信息见此处，并采用 Azure Front Door 云内容分发网络 (CDN)，以确保高性能、可扩展性和安全的用户体验。

系统采购、开发与维护。

我们遵循行业标准，将安全性融入软件开发生命周期 (SDLC)。所有新开发项目在部署前均须经过强制性测试和验证流程。我们的开发、测试和操作环境是分开的。

我们的平台托管在位于欧盟的 Microsoft Azure 数据中心。根据云服务的共享责任模型，物理安全控制属于 Microsoft 的责任范围。点击此处查看有关相关控制措施的更多信息。

为确保我们的平台持续保持完整性和韧性，我们实施了多层次安全计划。我们的方法结合了自动化实时监控与跨多个安全领域的深度人工分析。这种深度防御策略包括：

安全测试

应用程序安全测试：除了我们的专家定期开展人工和自动化审查外，还 集成了用于深度代码分析的静态应用程序安全测试 (SAST)、用于监控开源依赖关系的软件组合分析 (SCA) 和用于评估应用程序运行状态的动态应用程序安全测试 (DAST)。
基础设施审查： 依托我们的云安全态势管理 (CSPM) 解决方案，以及不同的漏洞扫描平台和自动化工具。
安全访问： 除 Web 应用防火墙 (WAF) 等边界控制措施外，我们的安全访问服务边缘 (SASE) 框架还为全球员工提供安全的加密连接，确保安全政策始终如一地应用在离用户最近的“边缘”。
独立验证： 除了内部审查和认证外，我们还聘请信誉良好的第三方安全公司进行年度渗透测试。

整改目标

我们根据安全发现项的严重程度确定整改优先级。我们通过结构化整改目标，确保关键风险得到及时处理：

严重——7 天
高——1 个月
中——3 个月
低——不设具体截止日期

尽管我们致力于在上述时限内完成整改，但最终整改计划可能会根据修复的复杂程度和具体风险情境进行调整。

独立验证

此外，独立审计机构和行业标准评级计划表也验证了我们对安全的承诺：

ISO 27001: 我们使用该标准作为信息安全管理的主要参考。
标准化评估： 我们维护包括 Cybervadis、CyberGRX 和 Whistic 在内的主要安全风险平台的最新概况。评估结果可按需提供。
云服务提供商认证： Microsoft Azure 认证可在服务信任门户中查看

信息安全治理

我们的信息安全政策定期接受审查和更新，以确保其及时性、准确性，并持续符合适用的合规要求和行业最佳实践。我们拥有一支专门的内部团队，负责开发、维护和监控信息安全。我们的组织内部在全球范围内确定了优先事项，为保护组织资产提供统一的战略视野。

资产管理和租赁

我们对所有与服务相关的资产维护准确且最新的清单。我们根据法律要求、价值、重要性以及未经授权的披露或修改的敏感性，对信息进行正式分类。我们采用 Azure 多租户服务，并实施逻辑隔离，确保客户之间的数据完全隔离。

第三方风险管理

对于可能访问、处理、存储、传输信息或提供 IT 基础设施组件的供应商，我们制定了信息安全要求。我们定期对有权访问我们的网络或敏感数据的供应商开展网络安全和数据安全风险评估，并正式跟踪和落实明确的后续行动。

安全运营与事件响应

我们的全天候安全运营中心 (SOC) 持续监控并保护系统和数据。我们已经实施了强有力的措施，以确保采用一致和有效的方法来管理信息安全事件。我们的安全事件管理流程包括维持书面程序、尽一切合理努力减轻后果以及通知客户。

业务连续性与灾难恢复 (BCP)

我们确保信息处理设施具备足够的冗余度，以满足可用性要求。我们持续监控服务性能、可用性和真实用户体验（请参阅我们平台的正常运行时间报告，其中会持续监控服务性能、可用性和真实用户体验）。我们根据确定的备份策略定期进行和测试备份。

意识、教育与培训

全体人员均须接受强制性、持续性的信息安全意识、教育和培训。该计划旨在与 EcoVadis IT 安全标准保持一致，对员工进行有关 IT 系统的安全操作实践的教育，并确保了解适用的安全威胁。我们经常进行模拟网络钓鱼活动，以提升网络安全意识并测试员工的响应流程。

入职前

根据法律和监管规定，我们在招聘过程中对所有候选人进行系统的背景调查。此外，在法律允许的地区，我们会对所有新员工进行犯罪记录核查，例如美国员工。

访问控制

EcoVadis 信息系统和网络域的访问权限及特权，均基于角色的访问控制 (RBAC) 模型进行分配，并严格遵循“按需知悉”和“最小权限”原则。

客户访问管理

客户可自主控制其用户环境。客户平台管理员可管理用户账户，包括创建和停用账户。平台访问主要通过用户名和密码验证进行保护；对于提出申请的企业，我们可向提出请求的公司提供单点登录 (SSO) 功能（如需了解更多信息，请联系您日常对接的商务联系人）。

加密技术

所有数据在静态存储和传输过程中，均采用行业认可的加密算法和方法进行保护。根据既定的行业最佳实践，安全地存储和管理机密信息。

运营安全

变更管理与安全加固

对组织、业务流程、信息处理设施和系统产生影响的变更，均受到正式管控。我们遵循严格的安全加固指南，包括针对操作系统的 CIS（互联网安全中心）基准测试，以及针对云服务的 Microsoft Azure 加固指南。

监控与威胁管理

我们部署监控和检测技术，以识别、预防和管理我们基础设施中的恶意软件、漏洞及其他与安全相关事件。

通信安全

内部服务和服务器的网络访问均受到限制和保护。我们使用 Web 应用防火墙（WAF——详细信息见此处，并采用 Azure Front Door 云内容分发网络 (CDN)，以确保高性能、可扩展性和安全的用户体验。

系统采购、开发与维护。

我们遵循行业标准，将安全性融入软件开发生命周期 (SDLC)。所有新开发项目在部署前均须经过强制性测试和验证流程。我们的开发、测试和操作环境是分开的。

我们的平台托管在位于欧盟的 Microsoft Azure 数据中心。根据云服务的共享责任模型，物理安全控制属于 Microsoft 的责任范围。点击此处查看有关相关控制措施的更多信息。

为确保我们的平台持续保持完整性和韧性，我们实施了多层次安全计划。我们的方法结合了自动化实时监控与跨多个安全领域的深度人工分析。这种深度防御策略包括：

安全测试

应用程序安全测试：除了我们的专家定期开展人工和自动化审查外，还 集成了用于深度代码分析的静态应用程序安全测试 (SAST)、用于监控开源依赖关系的软件组合分析 (SCA) 和用于评估应用程序运行状态的动态应用程序安全测试 (DAST)。
基础设施审查： 依托我们的云安全态势管理 (CSPM) 解决方案，以及不同的漏洞扫描平台和自动化工具。
安全访问： 除 Web 应用防火墙 (WAF) 等边界控制措施外，我们的安全访问服务边缘 (SASE) 框架还为全球员工提供安全的加密连接，确保安全政策始终如一地应用在离用户最近的“边缘”。
独立验证： 除了内部审查和认证外，我们还聘请信誉良好的第三方安全公司进行年度渗透测试。

整改目标

我们根据安全发现项的严重程度确定整改优先级。我们通过结构化整改目标，确保关键风险得到及时处理：

严重——7 天
高——1 个月
中——3 个月
低——不设具体截止日期

尽管我们致力于在上述时限内完成整改，但最终整改计划可能会根据修复的复杂程度和具体风险情境进行调整。

独立验证

此外，独立审计机构和行业标准评级计划表也验证了我们对安全的承诺：

ISO 27001: 我们使用该标准作为信息安全管理的主要参考。
标准化评估： 我们维护包括 Cybervadis、CyberGRX 和 Whistic 在内的主要安全风险平台的最新概况。评估结果可按需提供。
云服务提供商认证： Microsoft Azure 认证可在服务信任门户中查看

欧盟《通用数据保护条例》(GDPR)

EcoVadis 认为，《通用数据保护条例》(GDPR) 是加强和协调欧盟公民个人数据保护的重要一步。作为所提供可持续发展服务的数据控制者，EcoVadis 致力于遵守 GDPR，并在适用于国际数据保护法规的范围内落实最佳实践。

EcoVadis 采用我们通过认证的 ISO 27001 标准作为框架，并将个人数据保护方面整合到其管理体系中。我们采用补充性的 ISO 27701 框架，以满足 GDPR 和数据保护要求。我们的数据保护实践和合规性由第三方审计确认。

对于在欧洲经济区 (EEA) 以外开展的数据处理活动，我们已与子公司签订标准合同条款 (SCC)。

我们始终审慎选择服务提供商（处理者），并要求处理者与我们签订数据保护协议；如在欧洲经济区 (EEA) 以外处理数据，还须签订标准合同条款 (SCC) 或适用有约束力的公司规则 (BCR)，方可为我们提供服务。我们始终优先选择将数据托管在欧洲服务器上的服务订阅方案。我们使用以下处理者提供服务：

法律实体	地址	用途	数据处理与数据传输	其他安全信息
ZenDesk Inc	美国加利福尼亚州旧金山市场街 1019 号 (1019 Market Street, San Francisco)，邮编 94103	Help center	链接	链接
SFDC SAS	SFDC 法国（地址：法国巴黎奥克塔夫·格雷亚尔大道 3 号 (3 Avenue Octave Gréard)，邮编 75007）	CRM and customer support	链接	链接
Microsoft France SAS	微软法国（地址：法国伊西莱穆利诺市罗斯福总统码头 37 号 (37 Quai du Président Roosevelt)，邮编 92130）	Hosting of the Sustainability assessment platform	链接	链接
Google Cloud France	谷歌云法国（地址：法国巴黎伦敦街 8 号 (8 Rue de Londres)，邮编 75009）	Customer communication	链接	链接
Docebo S.p.A. Limited	英国伦敦格雷斯彻奇街 48 号 (48 Gracechurch Street) 6 楼	E-Learning platform	链接	链接
Pendo.io Inc.	美国北卡罗来纳州罗利市费耶特维尔街 150 号 (150 Fayetteville St) #140027601	Platform analytics and customer survey	链接	链接
Productboard Inc.	美国加利福尼亚州旧金山霍华德街 612 号 (612 Howard streetCA)，邮编 94105	Product management and customer survey	链接	链接
Surveymonkey Inc	910 Park Pl, Suite 300, San Mateo, CA 94403, USA	Customer Survey	链接	链接
Aircall SAS	法国巴黎圣乔治路 11 号 (11 Rue Saint Georges)，邮编 75009	Call recording	链接	链接
HubSpot 法国	法国巴黎康巴塞雷斯街 24 号 (24 Rue Cambacérès)，邮编 75008	营销与客户沟通	链接	链接
Vanilla Forums, ULC (Higher Logic)	2045 Rue Stanley, Suite 1000, Montreal, QC, H3A 2V4, Canada	Community Service	链接	链接
ComDocks GmbH (Ingestro)	Grimm 12, 20457 Hamburg, Germany	Self-service data imports	链接	链接
Anthropic Ireland Limited (Claude)	6th Floor, South Bank House Barrow Street Dublin 4 Ireland	Generative AI services for internal workflow automation and advanced coding tools	链接	链接

Hubspot Inc	美国马萨诸塞州剑桥市运河公园 2 号 (2 Canal Park)，邮编 02141	营销与客户沟通	链接	链接

亚马逊网络服务加拿大公司 (Amazon Web Services Canada, Inc.)	加拿大安大略省多伦多布雷姆纳大道 120 号 (120 Bremner Blvd) 26 楼，邮编 M5J 0A8	托管与可持续发展评估平台集成的 ULULA 服务（人权尽职调查平台）	链接	链接

我们遵循法国数据保护机构 CNIL 和欧洲数据保护委员会关于基于 SCC（或 BCR）向 EEA 以外国家传输数据可采取补充措施的建议。

请在我们的数据隐私声明中了解更多信息

出口管制与制裁合规

EcoVadis 致力于遵守适用于通用在线服务运营商的所有法律法规，包括但不限于法国和美利坚合众国就其服务运营所在地适用的法律。

目的地限制

综合考虑整体业务风险，EcoVadis 的产品和服务不得出口、再出口、转让至以下国家/地区或在其境内使用（如有变更，恕不另行通知）：

克里米亚、顿涅茨克和卢甘斯克地区
古巴
伊朗
朝鲜
叙利亚

此外，与存在较高出口管制或制裁风险的特定目的地进行的交易或与之相关的交易，须遵守强化尽职调查要求。

终端用户限制

根据适用的出口管制和制裁法律禁止与之交易的实体和个人，包括列入任何适用制裁名单（例如欧盟制裁名单、美国特别指定国民 (SDN) 名单、OFAC、联合国安理会制裁名单，以及 EcoVadis 业务所在地的当地名单）的实体和个人，均不得使用 EcoVadis 的产品和服务。

最终用途限制

EcoVadis Services must not be used for any purposes prohibited by Applicable Export Laws, including, without limitation, for the development, design, manufacture or production of nuclear, chemical or biological weapons of mass destruction.

文件与资源

通用条款与条件

通用条款与条件 - US Law

数据隐私声明

平台正常运行时间报告

适用于发起评估企业的标准合同条款

无障碍合规报告（WCAG 版）

适用于被评估公司的标准合同条款

适用于合作伙伴的标准合同条款

ISO 27001:2022

ISO 9001:2015

适用性声明

道德准则

供应商行为守则

EcoVadis《现代奴役声明》

*与任何适用服务相关的开源库或组件。EcoVadis 解决方案有时包括或依赖于开源库。为了遵循开源库的许可要求和被许可人的著作人格权，下表中列出了用于构建我们产品的开源软件 — 请注意，以下所有信息均“按原样”提供，并且可能会由被许可人作出更改：
许可证
AFL-2.1、Apache-2.0、BSD-2-Clause、BSD-3-Clause、CC-BY-4.0、ISC、JSON、LGPL-2.1*、LGPL-3.0*、Microsoft .NET、ASP NET MVC3 EULA、BlueOak-1.0.0、Bouncy Castle License、0BSD、Aduna BSD License、BSD-4-Clause、CC-BY-3.0、CC-BY-4.0、CC-BY-SA-2.0、CC-BY-SA-3.0、CC-PDD、CCC0-1.0、JQuery、MPL-1.1、MulanPSL-2.0、OpenSSL、Python-2.0
库许可证
MIT、MPL-2.0、MS-PL、PostgreSQL、WTFPL、Zlib

* 本应用程序以动态链接方式使用 LGPL 许可证组件，因此专有代码可保持专有。

利益冲突政策

第三方职业行为政策

适用于作为数据进口方的被评估公司的标准合同条款

ESG 评级法规

适用于作为个人信息出境方的中国被评估公司的标准合同条款

人工智能的使用

EcoVadis 以负责任的方式设计、实施和部署 AI 解决方案，密切关注模型的可解释性、监测并遵守可信 AI 的关键原则。

随着生成式 AI 的兴起，我们进行了 AI 安全和 AI 治理投资并确保生成式 AI 解决方案具有适当的安全保障。