常見問題集
Cloudflare 是一家總部位於美國且運營部門遍佈全球（包括印度辦事處）的網路安全、效能與可靠性公司，為世界各地不同規模的企業提供廣泛的網路服務。我們幫助客戶的網站及網際網路應用程式加強安全性，提高業務關鍵應用程式的效能，並消除管理不同網路硬體的成本與複雜性。Cloudflare 的全球網路由遍佈全球的 200 多個 Edge 伺服器提供支援（如這裡所述），這個網路奠定了堅實的基礎，讓我們能夠快速為客戶開發和 部署產品。
Cloudflare 無法存取或控制客戶選擇透過我們的全球網路傳輸、路由傳送、交換和快取的資料。在有限的情況下，Cloudflare 產品可用於儲存內容。但是，無論使用哪種 Cloudflare 服務，對於客戶選擇透過 Cloudflare 全球網路傳輸、路由、交換、快取或儲存的資料，客戶均承擔自行遵守適用法律和獨立合約安排的全部責任。
Cloudflare 代表客戶處理的個人資料的類型取決於所實施的 Cloudflare 服務。Cloudflare 網路上傳輸的絕大部份資料都保留在 Cloudflare 的 Edge 伺服器上，而與此活動相關的中繼資料在我們位於美國及歐洲的主要資料中心中代表客戶處理。
Cloudflare 維護有關我們網路上事件的記錄資料。其中一些記錄資料將包含有關客戶網域、網路、網站、應用程式開發介面 (API) 或應用程式（包括可能適用的 Cloudflare 產品 Cloudflare Zero Trust）的訪客和/或授權使用者的資訊。這類中繼資料包含極其有限的個人資料，其形式通常是 IP 位址。我們於有限時間內在位於美國及歐洲的主要資料中心代表客戶處理這類資訊。
Cloudflare 將安全性視為確保資料隱私的一個關鍵要素。自 2010 年 Cloudflare 成立以來，我們已經發佈了許多先進的隱私增強技術，這些技術通常在業界處於領先地位。除了其他功能外，客戶可以藉由這些工具輕鬆使用 Universal SSL 來加密通訊內容，利用 DNS-over-HTTPS 或 DNS-over-TLS 及加密 SNI 來加密通訊中的中繼資料，並且控制存放其 SSL 金鑰的位置和檢查其流量的位置。
Cloudflare 所維護的安全計畫超過了產業標準。我們的安全計畫包括維護正式的網路安全政策和程序，設立妥當的邏輯和實體存取控制，並在公司和生產環境中實施技術保護措施，例如建立安全設定、安全傳輸和連線，留存記錄，進行監控，以及為個人資料提供適當的加密技術等。
我們目前維護以下驗證：ISO 27001、ISO 27701、ISO 27018、SOC 2 Type II 和 PCI DSS Level 1 合規性。您可以從這裡進一步瞭解我們的認證及報告。
若要檢視 Cloudflare 為保護個人資料（包括從印度傳輸到美國的個人資料）而實施的安全舉措，請參閱我們的標準資料處理增補合約 (DPA) 的附件 2。
2014 年，我們針對 2013 年收到的法律程序發表了我們的第一份透明度報告，並且許下了承諾，除了緊急情況以外，在向任何政府實體提供任何客戶資料前，我們將首先需要進行法律程序，並且每當有法律程序索取客戶的客戶或帳單資訊時，我們會在披露這些資訊前通知我們的客戶，除非受到法律禁止。我們公開表示，我們從未將加密金鑰交給任何政府機構，未曾向任何政府機構提供透過我們網路傳輸的內容，而且也沒有在我們網路上部署執法設備。我們還承諾，如果我們被要求做任何這些事情，我們將「用盡一切法律救濟來保護我們的客戶，以對抗我們認為非法或違憲的請求」。從 Cloudflare 發展歷史的早期開始，我們每年重申這些承諾兩次，甚至在我們的透明度報告中予以詳細闡述。
我們還展示了對公開透明的信念，而且也承諾在必要時透過提起訴訟來保護客戶。2013 年，在電子前沿基金會 (Electronic Frontier Foundation) 的幫助下，我們為保護客戶權利在法律上挑戰了當局發佈的美國國家安全信函 (NSL)（因為其中含有允許政府限制我們向受影響客戶披露 NSL 相關資訊的規定）。Cloudflare 未曾出於回應這一請求而提供任何客戶資訊，但保密規定一直保持效力，直至法院於 2016 年解除相關限制為止。
我們頻繁地聲明自己的立場，即任何政府索取個人資料若與個人居住國的隱私法相衝突都應受到法律挑戰。（例如，請參閱我們有關政府索取資料的透明度報告以及白皮書 Cloudflare 關於資料隱私權和執法機關要求的政策。）與現有的美國判例法和法定框架一致，Cloudflare 可能會基於這樣的法律衝突請美國法院駁回美國當局的個人資料請求。
我們的標準客戶 DPA 額外納入了上述措施作為合約承諾。您可以在我們的 DPA 的第 7 節中查閱這些合約承諾。
（第 702 條。）「外國情報監視法」(FISA) 第 702 條授權美國政府要求獲取美國境外非美國籍人士的通訊內容以滿足外國情報需要。美國政府依據第 702 條使用與特定外國情報目標相關聯的特定「選擇器」(如電子郵寄地址) 來收集通訊內容。因為該權力通常被用來收集通訊內容，所以被要求遵守第 702 條 的「電子通訊服務提供者」通常是電子郵件提供者或有權存取通訊內容的其他提供者。
如我們的透明度報告中所述，Cloudflare 無法存取 Cloudflare 核心服務的此類傳統的客戶內容。此外，Cloudflare 多年來一直公開承諾，我們從未向任何政府提供透過我們網路傳輸的客戶內容的提要，並且，如果我們被要求做上述任何事情，我們將用盡一切法律救濟來保護我們的客戶，以免受到我們認為非法或違憲的請求。
第 12333 號行政命令。第 12333 號行政命令管轄美國情報機關針對美國境外非美國籍人士的外國情報。第 12333 號行政命令中沒有強制美國公司提供協助的規定。
Cloudflare 許下了長期承諾，除了緊急情況外，向任何政府實體提供任何客戶資料存取權限之前，需要先進行法律程序。因此，我們不會遵守第 12333 號行政命令中的自願性資料請求。此外，Cloudflare 一直帶頭宣導為傳輸中的資料（包括內容和中繼資料）提供額外安全性，以防止個人資料遭受任何形式的窺探。例如，我們於 2014 年推出了 Universal SSL，讓所有 Cloudflare 客戶都能免費使用曾經既昂貴又困難的加密技術。就在產品發佈的當週，我們使加密網路的規模擴大了一倍。由於越來越多的法律試圖將加密作為目標，我們甚至還承諾，我們從未應政府或其他第三方的要求而削弱、破壞或推翻任何加密技術。
CLOUD 法案。「澄清海外合法使用資料 (CLOUD) 法案」並未擴大美國的調查權力。對執法部門獲取有效授權令的嚴格要求保持不變。「CLOUD 法案」也適用於存取我們通常不儲存的內容，如上所述。需要注意的 是，執法部門通常會尋求從能夠有效控制資料的實體（即我們的客戶）而不是雲端提供者那裡取得資料。
「CLOUD 法案」為提供者提供了一種機制，可以請法院駁回或修改構成此類法律衝突的法律請求。該程序還允許提供者向其公民受到影響的外國政府披露此類請求的存在，條件是該政府與美國簽署了 CLOUD 法案協議。Cloudflare 已承諾在法律上挑戰構成此類法律衝突的任何命令。迄今為止，我們還沒有收到我們認為構成此類衝突的命令。
最後，請記住，我們的 DPA 承諾，除非法律禁止，否則我們會在能夠確定索取我們代表客戶處理的個人資料的第三方法律程序引發法律衝突時，通知相關客戶。客戶收到有關其個人資料的未決法律請求的通知後，可以尋求干預來阻止披露其個人資料。
印度儲備銀行 (RBI) 指南要求付款系統提供者及其服務提供者、仲介機構、第三方廠商以 及付款生態系統中的其他實體，確保與其所運作之付款系統相關的所有資料都儲存在印度。付款系統資料包括作為付款訊息/指示的一部分收集/傳輸/處理的端對端交易詳細資料，以及與付款或結算交易相關的資訊。這可包括客戶資料（姓名、行動電話號碼、電子郵件、Aadhaar 號碼、PAN 號碼等（如果適用的話））；付款敏感性資料（客戶及受款人帳戶詳細資料）；付款憑證（OTP、PIN 碼、密碼等）；以及交易資料（來源與目的系統資訊、交易參考、時間戳記、金額等）。
對於使用 Cloudflare 最熱門的應用程式層服務（包括我們的內容傳遞網路 (CDN)）的客戶，Cloudflare 不會儲存客戶內容。Cloudflare 僅儲存記錄資料，其中包括有關終端使用者、Cloudflare 與來源之間互動的中繼資料。此資料通常會包括有關請求時間、瀏覽器類型、回應時間以及用戶端與伺服器 IP 位址的資訊。因此，我們認為客戶可以依照 RBI 指南使用 Cloudflare 的服務。然而，我們意識到，一些客戶認為 RBI 指南需要資料當地語系化。我們的「資料當地語系化套件」（如下所述）可幫助實現這一點。
我們體認到，有些印度客戶希望把特定類型的受監管資料保留在印度，而不是傳輸至美國進行處理。為滿足這個需求，我們推出了「資料當地語系化套件」，幫助企業獲得 Cloudflare 全球網路的效能和安全性優勢，同時更輕鬆地針對其資料之保存與及保護地點，在邊緣設定規則和控制措施。
「資料當地語系化套件」把既有產品與若干新功能放在一起搭售︰
Regional Services。Cloudflare 在 100 多個國家/地區的 270 多個城市設有資料中心。結合使用 Regional Services 和 Geo Key Manager 解決方案，客戶能夠選擇儲存 TLS 金鑰和 TLS 終止發生的資料中心位置。透過採用 L3/L4 DDoS 緩解措施於全球吸收流量，而安全性、效能和可靠性功能 (例如 WAF、CDN、DDoS 緩解措施等) 則僅在指定的 Cloudflare 資料中心提供。
無金鑰 SSL。無密鑰 SSL 讓客戶可以儲存並管理其自身跟 Cloudflare 搭配使用的 SSL 私密金鑰。客戶可以使用好幾種系統作為其金鑰儲存處，包括硬體安全模組（即「HSM」）、虛擬伺服器、以及裝載於客戶控制的環境中且運行 Unix/Linux 及 Windows 的硬體。
Geo Key Manager。Cloudflare 擁有真正的國際化客戶群，並且我們也瞭解到，世界各地的客戶對於私密金鑰的放置有不同的監管和法定要求以及不同的風險狀況。秉承這一理念，我們著手設計了一個非常靈活的系統來決定金鑰存放位置。Geo Key Manager 允許客戶限制為僅向特定位置公開其私密金鑰。這類似於無密鑰 SSL，但 Cloudflare 無需在您的基礎結構中執行金鑰伺服器，而是將金鑰伺服器託管到您選擇的位置。