Evernote 用戶將至關重要的筆記、工作、想法等千萬信息委託我們保管。這種深厚的信賴來自我們對資料安全的縝密保護。此文件係說明我們如何保護用戶的資料安全。Evernote 的安全系統是不斷升級的核心環節之一，如我們針對產品有新增任何安全性服務和提升資安層級，將會持續在此更新說明。
Evernote 有一個致力維護安全性的團隊。保護用戶的資料安全是該團隊的核心任務。我們執行的安全性計畫涵蓋下列項目：產品安全性、系統架構的控制 (實體上與內部上)、公司政策、員工自覺性、侵入感應、和評估活動。
我們的資安團隊主持公司內的事件回應能力計畫 (IR Program)，並負責指導其他員工如何回報可疑的活動。IR 團隊擁有應變守則和工具可隨時因應資安問題，並會持續評估各種新科技，致力強化任何對系統、服務和員工的攻擊都能快速偵測。
我們定期為基礎系統以及所有應用程式進行弱點評估並修復可能影響顧客資料安全性的漏洞。我們的資安團隊並長期對新工具進行衡量，以增加上述資安評估的廣度與深度。
Evernote 使用多組防火牆、負載平衡設備和 VPN 來界定我們的網路數據。我們使用上述工具來控制有哪些服務會暴露到網際網路，並將「運作」的內網與其他數據系統區隔。我們依據企業運作需求控管對運作內網的存取權限且強力驗證此權限。
Evernote 絕不會將您的密碼以純文字儲存。當我們必須安全儲存您的帳戶密碼做認證時，我們使用 PBKDF2 (Password Based Key Derivation Function 2) 機制即一組獨特的 salt 在每組認證上。我們選取的 hashing 次數是在使用者體驗與密碼破解複雜度之間取得平衡。
儘管我們不強迫用戶設定高複雜度的密碼，我們的密碼強度檢測器鼓勵您選擇高強度的密碼。我們對單一帳戶及單一 IP 位置的失敗登入嘗試次數均有限制，以減緩密碼猜測的攻擊。
Evernote 提供所有用戶兩步驟驗證機制 (2SV)，亦稱為「雙因素認證」或多因素認證。我們的兩步驟驗證機制是根據以時間為基礎的一次性密碼 (TOTP)。所有用戶都能在本機行動裝置上透過驗證碼生成應用程式產生一組驗證碼，或選擇以簡訊接收驗證碼。
您可以直接轉寄郵件到您在 Evernote 專屬的郵件地址，建立一篇新記事。為了要避免惡意內容，我們採用商業性的防毒掃描引擎過濾所有電子郵件。
您收到來自 Evernote 的電子郵件時，我們希望您很有信心地知道這封信確實來自 Evernote。我們發布一份強制執行 DMARC 的政策來強化您對 Evernote 的電子郵件真實性的信心。我們每封從下列網域發送的電子郵件都使用 DKIM 加密簽署，且是從我們在 SPF 紀錄中公佈的 IP 位置之一發送。
Evernote：
保護我們的網際網路對向服務對您的資料安全來說至關重要。我們的安全性團隊採用一個應用程式安全性控管程式來保護程式安全，並針對普遍的資安重點進行週期性的審查，包括 CSRF、注入攻擊 (XSS, SQLi)、狀態管理、URL 導入和 Clickjacking 攻擊手法。
我們的網路服務使用 OAuth 認證所有第三方應用程式。OAuth 讓您能夠順暢連結到第三方應用服務，而無需將您的登入資訊提供給對方。只要您在 Evernote 成功認證，我們會回傳認證 token 到客戶端，並從此處開始認證的訪問。這麼做讓第三方應用服務在也無須將您的使用者帳號及密碼儲存在您的裝置中。
所有從用戶端應用程式與我們伺服器聯絡的動作均通過一個定義明確的 thrift API。讓所有通訊皆通過此 API 中介，我們就可以建立認證檢查在應用程式結構的基礎結構裡。伺服器裡無直接物件存取，每個客戶認證 token 在每次存取伺服器時都會檢查，以確保用戶端經過認證且擁有存取某特定記事或記事本之權限。欲知更多詳情，請造訪 dev.evernote.com。
Evernote 服務採用 multi-tenant 結構，且不會將您的資料與其他使用者的資料做區隔。您的資料可能與其他用戶的資料共同存在一個伺服器上。我們將您的資料視為您個人私有，除非您與他人分享，否則不允許其他人存取。
除非您明確刪除記事／記事本，Evernote 會保留您所有資料。如何刪除記事的說明，請見本支援中心的文章。關於 Evernote 資料保留的相關政策，請參考《隱私權政策》中的「資訊刪除」一節。
任何曾用來儲存使用者資料的儲存媒介，我們都會安全地消除或銷毀。我們是依照 NIST Special Publications 800-88 的原則進行此動作。歡迎造訪此部落格文章，了解我們如何安全地銷毀壞掉的硬碟。
我們利用 Google's Cloud Platform ("GCP") 中的各種儲存選項，包括本機磁碟、永久磁碟、Google Cloud Storage buckets。我們亦採用 Google 的加密清除程序，以確保儲存媒介被重新利用時不會暴露私密的客戶資料。
對於欲存取我們服務的用戶端，我們會在 Evernote 伺服器上執行並保存記錄檔，包括網頁伺服器的存取記錄檔和透過我們的 API 執行指令的活動記錄檔。我們也會向用戶端應用程式收集事件資訊。這您可以從您的帳戶設定裡的「存取歷史紀錄」查看與您的帳戶連結的各應用程式最近的存取時間與 IP 位置。
Evernote 採用符合業界標準的加密程序，在數據傳輸過程保護您的資料安全。一般稱為「安全傳輸規範」 (“TLS”) 或「安全電子資料傳輸協定」 (“SSL”加密機制) 。此外，我們在 Evernote 服務 (www.evernote.com) 上亦支援「HTTP 強制安全傳輸技術」("HSTS")。我們支援 Cipher Suite 加密套件和 TLS 安全傳輸規範來對瀏覽器提供高強度的加密保護，並在舊版用戶端需要存取服務時提供版本相容性。我們會繼續提升我們的傳輸安全規格以實現我們對保護您的資訊安全的承諾。
我們對所有 inbound / outbound 電子郵件均支援 STARTTLS。如果您的郵件服務提供者支援 TLS，您的郵件不論送到或來自 Evernote 的傳輸都是加密的。
我們對所有在資料中心和 Google Cloud Platform 之間傳遞的客戶資料都以 IPSEC 協定之 GCM-AES-128 或 TLS 機制加密。
我們從 2016 年底開始逐步將 Evernote 服務遷移到 Google Cloud Platform (“GCP”) 上。儲存在 GCP 裡的客戶資料是由 Google 內建的靜態加密功能保護。更仔細地說，我們利用 Google 伺服器方的加密功能搭配 Google 管理的加密金鑰，依照 AES-256 標準為靜態資料加密，一切透明且自動。 您可以參考此文詳細了解靜態加密功能如何保護您的資料。
我們使用的是一個錯誤容許架構，確保在您需要時 Evernote 都在。
在我們的實體資料中心和雲端架構中都包括：
Google 和我們的主機託管供應商提供容錯的設施服務，包括：電源、HVAC、滅火設施等。
您可以在 https://twitter.com/evernotestatus 與 http://status.evernote.com 找到 Evernote 服務的實況與歷史狀態更新。
Evernote 至少一天會備份一次所有客戶的內容。我們不使用行動式或可攜式媒體來備份。
我們綜合運用雲端服務和實體資料中心來提供 Evernote 服務。
我們的資料中心安置在一個隱密、上鎖的籠子裡，全年 365 天、每天 24 小時都受到嚴密的監控。進入這些設施至少需要具備兩個驗證因子，但亦可能需要第三種生物辨識資料。Evernote 的所有資料中心均通過 SSAE16 SOC (類型 2) 認證，確認我們的基礎架構的實體安全性。只有 Evernote 的營運人員以及資料中心員工得以實際進入這些基礎建設。我們的營運人員在每一次有人進入柵欄內時都會收到警告通知，而所有進入的活動都全程錄影控制中。
雲端服務部分，我們使用的是 Google Cloud Platform。Google 通過多種證書，證明它可以實際保護 Evernote 的資料安全。更多關於 Google Cloud Platform 的安全性請見此文。
Evernote 的所有資料都儲存在美國境內。
更多資訊請見我們的隱私中心。我們並無發布資訊安全監控中心 ("SOC") 報告。
