الأمان
التدابير التي تحافظ على خصوصية مستنداتك وتوافرها وملكيتك لها: من التشفير إلى أمان الذكاء الاصطناعي وحتى الإفصاح المسؤول.
يُنشر هذا المستند بالإنجليزية. قد تُقدَّم ترجمات للتسهيل، لكن النص الإنجليزي هو النسخة المُلزِمة قانونًا.
1منهجنا
الأمان مدمج في Nodary لا مضاف إليه لاحقًا. ونتّبع مبادئ الحد الأدنى من الصلاحيات والدفاع المتعدد الطبقات والتهيئة الآمنة افتراضيًا، ونبقي سطح الهجوم صغيرًا بالاعتماد على بنية تحتية مُدارة ومدقّقة. وتلخّص هذه الصفحة التدابير القائمة؛ أما تعاملنا مع البيانات الشخصية فموضّح في سياسة الخصوصية.
2البنية التحتية
يعمل Nodary بالكامل على Amazon Web Services، التي تحمل مراكز بياناتها شهادات مستقلة رائدة، منها SOC 2 Type II وISO 27001.
- تعمل قاعدة البيانات على PostgreSQL مُدارة داخل شبكة افتراضية خاصة (VPC) وغير معرّضة للإنترنت العام.
- تعمل الحوسبة على دوال بلا خوادم معزولة وقصيرة الأجل بصلاحيات IAM محدودة النطاق.
- تُخزَّن الملفات في تخزين كائنات خاضع للتحكم في الوصول عبر روابط موقّعة ومحدودة المدة.
3المصادقة والوصول
- تُجزّأ كلمات المرور باستخدام bcrypt؛ ولا نخزّنها أبدًا كنص صريح ولا نعرضها مجددًا.
- تستخدم الجلسات رموزًا موقّعة من نوع http-only مع إبطال لكل جلسة وخيار «تسجيل الخروج من كل الأجهزة».
- مصادقة ثنائية اختيارية (TOTP) مع رموز احتياطية وحماية من إعادة الإرسال.
- تحكم في الوصول قائم على الأدوار داخل كل مساحة عمل، يُفرض على الخادم مع كل طلب لا مجرد إخفاء في الواجهة.
- التحقق من البريد الإلكتروني، ومقارنة الرموز بزمن ثابت، وروابط تُستخدم مرة واحدة للتحقق وإعادة تعيين كلمة المرور.
4حماية البيانات
- تشفير أثناء النقل (TLS) لجميع الاتصالات.
- تشفير في حالة السكون لقاعدة البيانات وتخزين الملفات والنسخ الاحتياطية.
- عزل صارم للبيانات لكل مساحة عمل، يُفرض مع كل استعلام وعلى مستوى الفوترة والذكاء الاصطناعي.
- نسخ احتياطية آلية ومشفّرة مع استرجاع إلى نقطة زمنية على قاعدة البيانات المُدارة.
5أمان الذكاء الاصطناعي
تعمل ميزات الذكاء الاصطناعي على نماذج أساسية مستضافة داخل AWS (Amazon Bedrock) بموجب اتفاقية تحظر استخدام بياناتك لتدريب تلك النماذج.
6أمان التطبيق
- التحقق من المدخلات على الخادم مع فرض المخطط.
- تقييد المعدل على طبقات متعددة في نقاط المصادقة وواجهات البرمجة والذكاء الاصطناعي، في الذاكرة وبشكل موزّع.
- سياسة أمان المحتوى (CSP) وترويسات استجابة تعزيزية قياسية.
- تسجيل تدقيقي للإجراءات الحساسة وإدارة ظاهرة للجلسات النشطة لكل مستخدم.
- يُتحقق من خطافات الويب بالتوقيع وتُعالَج بشكل عديم التأثر بالتكرار لمنع إعادة الإرسال.
7المدفوعات
تتولى Stripe معالجة المدفوعات، وهي مزوّد معتمد وفق PCI-DSS من المستوى 1. وتُدخل بيانات البطاقة مباشرةً لدى Stripe ولا تمر أبدًا عبر خوادمنا؛ ونحن نخزّن فقط بيانات فوترة وصفية غير حساسة.
8الإفصاح المسؤول
إذا اعتقدت أنك عثرت على ثغرة أمنية، فيرجى إبلاغنا بها سرًا على support@nodary.ai مع تفاصيل كافية لإعادة إنتاجها. وسنؤكد استلام بلاغك ونحقّق فيه على وجه السرعة ونبقيك على اطلاع. ونرجو منحنا فرصة معقولة للمعالجة قبل أي إفصاح علني، وعدم الوصول إلى بيانات ليست ملكك أو تعديلها.
9الإخطار بالخروقات
في حال وقوع خرق للبيانات الشخصية، سنخطر الجهة الرقابية المختصة والمستخدمين المتأثرين ضمن المهل التي تقتضيها اللائحة العامة لحماية البيانات، وسنعمل على احتواء الحادث ومعالجته.