الأمان وحماية البيانات

1. التزامنا

الأمان جزء أساسي من تصميم المنصة وليس إضافة لاحقة. نطبق مبدأ أقل صلاحية ممكنة، ونفصل بيانات المؤسسات على مستوى قاعدة البيانات، ونراجع مسارات الوصول الحساسة باستمرار.

2. عزل المؤسسات

تعتمد المنصة على Postgres Row-Level Security (RLS) لعزل بيانات كل مؤسسة. الاستعلامات تمر عبر جلسة المستخدم أو خدمة خادم محدودة الصلاحيات، ولا يُسمح للمتصفح بالوصول المباشر إلى الجداول الحساسة خارج السياسات المحددة.

3. التشفير

• التواصل بين المتصفح والخدمة يتم عبر HTTPS/TLS.
• رموز التكاملات ومفاتيح الذكاء الاصطناعي تُشفَّر باستخدام AES-256-GCM قبل التخزين.
• الأسرار لا تُعاد إلى المتصفح، وتُقنَّع في السجلات ونتائج التنفيذ.
• كلمات المرور تُدار عبر Supabase Auth ولا نراها أو نخزّنها كنص صريح.

4. التحكم بالوصول

يفصل النظام بين صلاحيات المستخدم العادي ومدير المؤسسة والمدير الأعلى للمنصة. عمليات الإدارة الحساسة مثل تعليق الحساب أو الانتحال المؤقت تُسجَّل في سجل تدقيق، والانتحال يتطلب صلاحية عليا وينتهي تلقائياً.

5. الموافقة البشرية

الإجراءات الحساسة في مسارات العمل، مثل الإرسال الخارجي أو الكتابة في خدمات Google، تمر عبر بوابة موافقة بشرية. يمكن للمستخدم مراجعة البيانات المعلقة قبل السماح بالتنفيذ أو رفضه.

6. توقيع Webhooks

تتحقق المنصة من توقيعات مزودي القنوات (مثل Meta وTelegram) قبل معالجة الأحداث. مسارات العمل التي تُستدعى عبر Webhook تتطلب توقيع HMAC-SHA256 صحيحاً لكل مسار، ومقارنة ثابتة الزمن.

7. السجلات والمراقبة

نسجل أحداث الأمان والاستخدام وسجلات التدقيق لتمكين التحقيق في الحوادث. الوصول إلى السجلات مقيّد، ولا نضع الأسرار أو الرموز الكاملة في السجلات.

8. الإفصاح المسؤول عن الثغرات

إذا اكتشفت ثغرة أمنية، فلا تستغلها أو تصل إلى بيانات الآخرين. أبلغنا عبر تذكرة دعم بعنوان «إفصاح أمني» مع وصف تقني كافٍ لإعادة الإنتاج. سنراجع البلاغ ونرد خلال مدة معقولة، ونمتنع عن الملاحقة القانونية للبحوث الحسنة النية التي تلتزم بهذه القواعد.

9. حدود ومسؤولية مشتركة

لا نقدّم في هذه الصفحة أي شهادة أمنية لم نحصل عليها. الأمان مسؤولية مشتركة: نحن نحمي المنصة، وأنت مسؤول عن حماية بيانات دخولك ومفاتيحك وصلاحيات التكاملات التي تمنحها. أبلغنا فوراً عن أي نشاط مشبوه.