信息分级政策

本政策确立 OORT Labs 的统一信息分级方案：如何按敏感度对每一项信息资产分类，以及在其完整生命周期——创建、存储、使用、传输、共享、保存与销毁——中每一等级适用的最低保护控制。

目的是确保所施加的保护与未授权披露、篡改或不可用所造成的影响相称，既避免关键数据保护不足，也避免为公开信息过度投入不必要的成本。

适用范围包括：

• 在 OORT Flows 平台上传输、处理和存储的客户数据（流程内容、文档、提示词、输出、附件及执行元数据）；
• 平台运营数据（日志、遥测、配置、集成凭据）；
• OORT Labs 企业信息（源代码、技术文档、合同、员工数据）；
• 由次级处理者与已集成 AI 模型提供商保管的信息；
• 信息所依附的任何载体——数字、纸质或口头。

本政策对所有员工、实习生、服务提供商以及可接触 OORT Labs 或其客户信息资产的第三方均具有约束力。

当适用等级存疑时，在信息所有者正式裁定之前，以候选等级中最严格的分级为准。

OORT Labs 采用四个等级，由低到高排列敏感度。每一项信息资产仅对应一个等级。

在未明确分级的情况下，所有客户数据默认按保密处理，所有敏感个人数据默认按受限处理。

分级由信息安全三大经典维度上的最大潜在影响，加上法律与监管影响共同决定：

• 保密性——信息被不应访问者获知会造成多大损害？
• 完整性——信息被未授权或无法察觉地篡改会造成多大损害？
• 可用性——信息在既定 RTO/RPO 之外不可用会造成多大损害？
• 法律与监管影响——披露是否构成违反 LGPD、GDPR、合同保密义务或行业规范？
• 对数据主体的影响——是否存在歧视、欺诈，或对自然人造成人身、精神或财产损害的风险？

适用聚合规则：单独为内部级的数据集合，若其组合可支持敏感推断或重新识别数据主体，则应升级为保密或受限。

当出现实质性情境变化时——新合同、流程中出现新数据类型、监管变化——应重新评估分级，且至少每年复核一次。

所有内部、保密或受限级资产必须以可见且持久的方式加注标识。公开级信息无需标识。

• 文档与演示材料： 在每页页脚标注（例如：保密 — OORT Labs）；
• 电子邮件： 保密或受限事项在正文首行标注；
• 代码仓库与系统： 在仓库、存储桶、数据表或集合层级设置分级元数据；
• OORT Flows 中的流程与智能体： 按流程可配置的分级属性，并据此约束运行时施加的控制；
• 物理介质与纸质件： 在页眉及运输封套上标注；
• 口头沟通： 涉及保密或受限内容时，须在交谈开始时声明等级。

标识随信息的副本、摘录与衍生件一并延续。受限文件的摘录仍为受限级，除非经信息所有者正式降级。

下表为适用控制的下限。合同、行业规范或流程风险评估可要求更严格的控制。

信息分级是个人数据保护制度的补充，而非替代。所采用的映射关系如下：

被分为受限级的数据须具备书面记载的特定法律依据、必要性与相称性评估，并在适用时开展数据保护影响评估（DPIA）。

OORT Flows 集成了 AI 模型提供商。信息分级决定哪些内容可以发送给哪一提供商以及在何种条件下发送：

• 流程中流转的内容不用于训练 OORT Labs 的模型，也不为此目的提供给第三方；
• 仅在具备零数据留存合同条款或留存受限且可审计的前提下，才认证接入的提供商；
• 受限信息仅在经过敏感数据过滤（PII、PHI、密钥）或在流程中留有明确审批记录后，方可发送至模型；
• 凭据、密钥与机密绝不纳入发送给模型的提示词、上下文或附件；
• AI 生成的输出继承其生成输入中的最高分级；
• 包含保密或受限内容的执行日志，适用与源数据相同的访问与保存控制；
• 可依据分级等级及客户的数据驻留要求，限制提供商与处理区域的选择。

与这些流程相关的算法风险、人工监督与透明度控制，详见负责任 AI 与合规承诺。

信息仅在实现目的、履行法律与监管义务以及与客户所签合同所必需的期间内保存。

• 保存： 各类数据的保存期限载于隐私政策及适用合同；期满后自动删除，或经信息所有者批准后删除；
• 降级： 降低等级须经信息所有者正式批准，并记录日期、理由与责任人；
• 数字介质销毁： 依等级采用安全删除、覆写或加密密钥销毁；
• 物理介质销毁： 交叉碎纸或焚毁，受限级须出具销毁证明；
• 返还客户： 合同终止后，按约定格式导出数据，并在约定期限内从生产与备份环境中删除；
• 法律保全（legal hold）： 在保存义务存续期间暂停销毁，并记录范围与理由。

向第三方共享保密或受限信息须同时满足以下条件：

1. 具备可论证的必要性与特定目的，且限于最小必要数据；
2. 存在包含保密条款（NDA）的有效合同；涉及个人数据的，另需签署数据处理协议（DPA）；
3. 按分级等级对第三方开展相称的安全评估，并定期重新评估；
4. 存在跨境传输时，采用适当的国际传输机制（标准合同条款、充分性认定或同等保障措施）；
5. 登记共享记录——共享内容、对象、时间、期限及法律依据；
6. 第三方须维持同等分级，并在合作关系结束时承担返还或销毁义务。

次级处理者的最新名单可应客户要求提供，详见隐私政策。

以下行为构成违反本政策（不限于此）：给予低于应有的分级、未经授权移除标识、向超出其权限等级的接收方共享信息、将保密或受限数据存放于未认证的服务，以及未按适用程序销毁信息。

• 任何疑似情形均须立即上报安全渠道，不得自行尝试修复；
• 事件应在知悉后 24 小时内完成分诊、遏制，并就严重程度及对数据主体的影响作出定级；
• 涉及个人数据的事件按响应预案处理：存在重大风险时通知巴西国家数据保护局（ANPD）及数据主体；适用 GDPR 时，在 72 小时内通知欧盟主管机关；
• 受影响客户按合同 SLA 获得通知，说明影响范围、已采取措施与建议；
• 故意违规者将承担纪律处分，并视情况承担合同与法律责任。

• 新员工入职时开展强制性信息分级培训，并每年复训，留存完成记录；
• 定期内部审计执行情况，包括标识抽样检查、访问权限复核与销毁流程测试；
• 按负责任 AI 与合规承诺中所述的安全计划，维持独立审计与相关认证；
• 本政策的例外仅在经正式书面化后有效，须载明期限、业务理由、补偿性控制，并经信息安全部门与 DPO 批准；
• 本政策至少每年复核一次，或在发生重大监管、技术或组织变化时复核。

本政策以 ISO/IEC 27001/27002（A.5.12 信息分级、A.5.13 信息标记、A.5.14 信息传输）、ISO/IEC 27701 及 NIST 网络安全框架的控制措施为基础。

关于特定资产分级的疑问、例外申请与事件报告，请通过以下渠道联系：

• 信息安全与事件： [security@oortlabs.com]
• 数据保护官（DPO）： [dpo@oortlabs.com]
• 一般隐私事务： [privacy@oortlabs.com]
• AI 治理： [ai-governance@oortlabs.com]

本政策的实质性变更将合理提前通知客户，并体现在上方的版本信息中。