概览
简要回答
| 问题 | 响应 |
|---|---|
| 我们的数据存储在哪里？ | 在欧盟：数据库和文件存储在位于德国法兰克福的 Supabase。 |
| 数据是否加密？ | 是的：传输中使用 TLS 加密，静态存储由托管服务商加密。连接所用的令牌（Jira、Azure DevOps、Teams、Slack）还会由 UAT Studio 再次使用 AES-256 加密；任何人都无法读取。 |
| 用户如何登录？ | 使用其 Microsoft 工作账户（Microsoft Entra ID），或通过邮件接收的一次性验证码。使用 Microsoft 登录时，适用您组织自己的登录规则，包括第二步验证。使用邮件验证码时，管理员可通过身份验证器应用添加两步验证；工作区可要求所有管理员启用。没有可泄露的密码，只有受邀者才能进入。 |
| 我们的 IT 部门是否需要批准该应用才能使用 Microsoft 登录？ | 仅当您的组织只允许 IT 部门批准应用时才需要。UAT Studio 仅向 Microsoft 请求登录和基本个人资料权限（openid、profile、email、User.Read）。管理员可以通过此批准链接为整个组织一次性批准。 |
| 谁能看到什么？ | 按工作区和项目分配角色：管理员、测试人员（仅限自己的项目和分组）、干系人（仅可查看）和开发人员（仅限问题）。数据库会对每个请求强制执行这些规则。 |
| UAT Studio 支持团队能看到我们的数据吗？ | 只有在您许可的情况下才能看到，且仅限管理员选定的有限时间。每次访问和更改都会记入审计日志。 |
| 有审计日志吗？ | 有，记录对测试用例、结果、问题、人员和访问权限的每次更改，包括操作人和时间。管理员可以将其导出到 Excel。 |
| 我们的数据会被用来训练 AI 吗？ | 不会。AI 测试设计是可选的附加组件；发送给它的用户故事、流程描述和问题文本不会用于训练 AI，测试人员的姓名也不会被发送。 |
| 我们可以使用自己的 AI 模型吗？ | 可以。管理员可以连接贵公司的模型：Microsoft Foundry / Azure OpenAI（OpenAI 模型或 Claude；也是接入 Microsoft Copilot 的途径）、OpenAI、Anthropic、Amazon Bedrock，或 Google Gemini 和 Vertex AI。这样，文本会在您自己的合同和区域范围内发送给您自己的服务商，而不会经由 UAT Studio 发送给 Anthropic。密钥加密存储，无法读取。 |
| 我们能向审计人员证明测试了哪些内容吗？ | 能。管理员可以为每次 UAT 下载一个证据包：PDF 格式的 go/no-go 报告、每个步骤的每条结果、问题及其历史记录、每次签核、审计日志和截图，每个文件都附有 SHA-256 校验值。整个证据包的校验值也会保存在审计日志中。 |
| 是否支持无障碍访问？ | UAT Studio 以 WCAG 2.1 AA 级（EN 301 549）为目标。每次发布都会对每个界面进行自动检查；尚未进行独立审核。请参阅无障碍声明。 |
| 我们能导出自己的数据吗？ | 能，随时都可以：每个项目都可导出到 Excel，整个工作区的全部内容连同文件可一次性下载。应您的要求，我们会删除工作区。 |
托管
托管和子处理者
UAT Studio 是 Salvion（KvK 42076990）的产品。我们使用以下服务提供商（子处理者）来运行它：
| 服务提供商 | 用途 | 地点 |
|---|---|---|
| Supabase | 数据库、登录和文件 | 欧盟（德国法兰克福） |
| Cloudflare | 托管应用和网站，防御攻击 | 全球网络；不存储您的测试数据 |
| Resend | 发送邮件（邀请、登录验证码、通知） | 欧盟（爱尔兰） |
| Anthropic | AI 测试设计（测试用例，以及问题的摘要和整理），仅当您的工作区使用该附加组件且未连接自己的 AI 模型时 | 美国，依据欧盟标准合同条款（SCC） |
您自行设置的连接（Jira、Azure DevOps、Teams、Slack、Zapier、Make、webhook）会按照您的配置，将数据发送到您在这些服务中的账户。
安全
UAT Studio 的安全措施
- 数据库中的访问规则。每次读写都会根据用户角色进行检查，即使有人直接调用 API 也不例外。
- 使用 Microsoft 登录（Microsoft Entra ID，适用于所有使用 Microsoft 365 的组织），或使用邮件发送的一次性验证码；只有受邀的地址才能进入，且仅限 Microsoft 已确认的邮箱地址。
- 两步验证，通过身份验证器应用实现；工作区可要求所有管理员启用。使用 Microsoft 登录即视为第二步验证。
- 连接所用的令牌和密钥使用 AES-256（AES-GCM）加密，加密密钥与数据库分开保存；仅显示最后四个字符。API 密钥只以指纹形式存储。
- 文件（截图、证据）仅通过短时有效的链接提供给有权访问该项目的人员。
- 审计日志记录每次更改，包括操作人和时间，也包括支持团队的访问。
- 每次发布在进入生产环境前，都要经过安全规则和界面的自动化测试。
隐私
隐私与 GDPR
对于您工作区中的数据，您的组织是数据控制者，Salvion 是数据处理者。我们会与您签订数据处理协议（verwerkersovereenkomst）；请通过 [email protected] 索取。我们的隐私声明说明了我们自己处理哪些数据。
UAT 小提示测试环境往往是生产环境的副本。请尽可能使用测试数据，并请测试人员对包含个人数据的截图进行裁剪或模糊处理。
采购
采购 UAT Studio
- 凭发票付款，可按项目、按月或按年。我们会在发票上注明您的采购订单号。
- 从 14 天免费试用开始：无需信用卡，没有任何承诺义务。
- 无需按用户购买许可证：包含所有业务测试人员，因此测试人员数量变化永远不需要重新审批。
- 供应商准入：我们会填写您的供应商表格，并应要求提供公司信息和银行信息。
问题
安全问卷
请将您的安全问卷或供应商问卷发送至 [email protected]。我们通常会在几个工作日内回复。