بنية الأمان
ما تفعله svdy فعليًا لحماية بياناتك اليوم. لا ادعاءات شهادات لم نحصل عليها. الجدول الزمني المباشر لـ SOC 2 على /trust/soc2؛ القائمة الكاملة للمعالجين الفرعيين على /trust/sub-processors.
أمن البنية التحتية
ضوابط ملموسة تعمل في الإنتاج:
• نشر AWS Multi-AZ في us-east-1 — RDS Postgres مع نسخ متماثل متزامن، ECS Fargate عبر مناطق توافر متعددة، S3 مع نسخ متماثل عبر AZ. الهدف المعماري: 99.95٪ وقت تشغيل.
• التشفير أثناء النقل: TLS 1.2+ على كل نقطة نهاية عامة (svdy.com / qutime.com / pureoa.com / id.svdy.com / api.svdy.com)، مع أهلية HSTS preload وأجنحة تشفير حديثة فقط. حركة المرور الداخلية بين الخدمات أيضًا TLS فقط.
• التشفير في حالة السكون: AES-256 على RDS و S3 ومجلدات EBS؛ مُدار عبر مفاتيح AWS KMS مع وصول مُدقق. الأسرار المُشفرة من جانب العميل (رموز OAuth، عناوين webhook التكامل) تستخدم Fernet (AES-128-CBC + HMAC-SHA256) فوق تشفير القرص.
• عزل الشبكة: لا توجد نقاط نهاية RDS / Redis عامة — تصل خوادم التطبيق إلى قواعد البيانات عبر شبكات VPC الفرعية الخاصة وقواعد Security Group؛ وصول bastion هو JIT فقط مع تسجيل التدقيق.
• إدارة الأسرار: بيانات اعتماد الإنتاج تعيش في AWS Secrets Manager، وليست أبدًا في شيفرة المصدر أو ملفات البيئة. وثائق التشغيل لتدوير المفاتيح موثقة؛ تدوير المفاتيح هو معلم المرحلة 2 من SOC 2.
حماية البيانات
ما يحدث لبياناتك من البداية إلى النهاية:
• العزل متعدد المستأجرين: كل استعلام قاعدة بيانات يُنطاق بـ organization_id في طبقة ORM؛ تحقق اختبارات التكامل من أن الاستعلامات بين المستأجرين لا تُعيد أي صفوف. لا يوجد وصول SQL خام لشيفرة التطبيق.
• تسجيل التدقيق: كل تعديل إداري (إنشاء / تحديث / حذف موظف، جدول، إدخال حضور، تغيير فوترة) مُسجل مع الفاعل، الهدف، القيم قبل/بعد، عنوان IP، والطابع الزمني. الاحتفاظ يعتمد على الطبقة: 7 أيام (Free) / سنة واحدة (Starter+) / 3 سنوات (Pro+).
• النسخ الاحتياطية: لقطات RDS تلقائية يومية، يتم الاحتفاظ بها لمدة 30 يومًا؛ استرداد نقطة في الزمن لأي ثانية ضمن نافذة الاحتفاظ. تُختبر عمليات الاستعادة ربع سنويًا وفق دليل التشغيل للتعافي من الكوارث.
• تدفق حق المحو: تتدفق طلبات حذف GDPR / CCPA عبر /admin/identity/users — تُجهل PII الموظفين (الاسم، البريد الإلكتروني، الهاتف، القالب البيومتري) مع الحفاظ على سجلات الحضور المجمعة التي يحتاجها المتحكم (مؤسستك) للامتثال لقانون العمل. انظر سياسة الخصوصية §4 للآلية الكاملة.
• البيانات البيومترية (التعرف على الوجه للحضور): تُجمع فقط عندما يوافق الموظف صراحةً عند الاستخدام الأول (المادة 9(2)(أ) من GDPR). تُخزن قوالب الوجه كتجزئات أحادية الاتجاه — لا يتم الاحتفاظ بالصورة الأصلية أبدًا. يمكن لمسؤولي المؤسسة تعطيل التعرف على الوجه عالميًا في قواعد الحضور؛ يمكن سحب الموافقة في أي وقت في الملف الشخصي للموظف.
الأمن التشغيلي
كيف نُشغّل الأمان كوظيفة:
• ممارسة الهندسة: كل تغيير في الشيفرة يمر بمراجعة pull request مع موافقة مراجع واحد على الأقل. تتطلب التغييرات ذات الصلة بالأمان (المصادقة، التشفير، IAM) مراجعًا إضافيًا مُعينًا للأمان.
• إدارة التبعيات: Python عبر Poetry بإصدارات مقفلة؛ JavaScript عبر ملف قفل Bun. تُكشف التبعيات الضعيفة عبر GitHub Dependabot وتُعالج بترتيب الأولوية.
• التحكم في الوصول: الوصول للإنتاج للقراءة فقط افتراضيًا؛ الوصول للكتابة يتطلب تذكرة تغيير موثقة. يُلغي إنهاء عمل المهندسين كل الوصول خلال 24 ساعة من المغادرة.
• الاستجابة للحوادث: دليل تشغيل داخلي يُغطي التحديد → الاحتواء → الاستئصال → التعافي → مراجعة ما بعد الحادث. تُطلق حوادث Severity-1 التزامًا بإخطار العملاء خلال 24 ساعة (سياسة الخصوصية §6).
• مراجعة أمن الموردين: يخضع كل معالج فرعي مُضاف (حاليًا 5 مُدرجين على /trust/sub-processors) لمراجعة موثقة — DPA قائم، استبيان أمني مُراجع، نطاق البيانات مُقلل.
الشهادات والإقرارات
نلتزم بخارطة طريق عامة ومؤرخة بدلاً من الادعاءات بأثر رجعي. التقدم المباشر:
• SOC 2 Type II — مستهدف الربع الأول 2027. لم يُعتمد بعد. تم اختيار Vanta + A-LIGN (قرار مُسجل 24/05/2026). الجدول الزمني العام بـ 8 معالم على /trust/soc2؛ يُصدر التقرير الربع الثالث 2027.
• بنية جاهزة لـ GDPR — اكتملت موجة تدقيق الخصوصية 1-4 (تقليل البيانات، حق المحو، بوابات الموافقة، المعالجة البيومترية بموجب المادة 9). لم تُعتمد رسميًا من قبل منظم (لا يوجد لـ GDPR هيئة اعتماد رسمية)؛ نُقدم DPA الخاص بنا عند الطلب على /trust/dpa.
• ISO 27001 — لم يبدأ بعد. قد يتبع SOC 2 في 2027 أو 2028 حسب طلب عملاء enterprise UE.
• خاص بالصناعة (HIPAA / PCI-DSS / FedRAMP) — ليس في النطاق اليوم. تستهدف svdy إدارة القوى العاملة للشركات الصغيرة والمتوسطة؛ PHI الرعاية الصحية / بيانات حاملي البطاقات / أحمال عمل الحكومة الفيدرالية خارج حالة استخدامنا حتى تُضاف صراحةً.
بحاجة لتعبئة استبيان أمني، أو إجراء العناية الواجبة للموردين، أو الإبلاغ عن ثغرة؟ راسلنا على security@svdy.com — نؤكد الاستلام خلال يوم عمل واحد ونرد خلال 3 أيام.