الأمن ومعالجة البيانات

تجيب هذه الصفحة عن الأسئلة التي يطرحها فريق الامتثال أو أمن المعلومات قبل البرنامج التجريبي. وهي تصف المنتج كما يعمل اليوم؛ وحيث يكون أمرٌ ما مخططًا له لا منفّذًا، نذكر ذلك صراحةً.

النشر

الإنتاج: يُثبَّت في حساب السحابة الخاص بالشركة (AWS أو Azure أو Google Cloud، في المنطقة التي تختارها الشركة) أو على خوادمها. تبقى بيانات التداول والمعاملات والعملاء في تلك البيئة؛ ولا نستضيفها ولا نتلقاها.

البرنامج التجريبي: التثبيت نفسه، أو نسخة مخصّصة نشغّلها للشركة داخل منطقتها. لا تحتوي النسخة إلا على بيانات تلك الشركة، وتُحذف في نهاية البرنامج التجريبي ما لم يعقبه ترخيص.

البيئة التجريبية العامة: بيانات اصطناعية افتراضيًا. عندما يرفع الزائر ملفاته، تُستبدل الأسماء وأرقام الحسابات ومعرّفات العملاء والأجهزة وعناوين IP برموز داخل المتصفح قبل إرسال أي شيء. كل بيئة تجريبية مخطط مستقل في قاعدة البيانات، خاص بالزائر، ويُحذف بعد سبعة أيام.

الصلاحيات والمساءلة

مستخدمون بأسمائهم في دورين: المحلّلون يقترحون القرارات، ومسؤولو الإبلاغ عن غسل الأموال يوافقون عليها أو يعيدونها. لا يمكن لأحد أن يوافق على اقتراحه.

يُكتب كل إجراء، من إنشاء الحالة إلى تقديم بلاغ الاشتباه، في سجل تدقيق لا يقبل إلا الإضافة. يحمل كل قيد تجزئة القيد السابق له؛ ويُعاد التحقق من السلسلة كلما فُتح السجل، ويحمل ملف الأدلة لكل حالة تجزئة SHA-256 خاصة به.

يُحفظ التغيير على الحالة وقيد التدقيق الخاص به في معاملة قاعدة البيانات نفسها. لا يوجد مسار يغيّر حالة دون تسجيل من قام بذلك.

محاولات تسجيل الدخول محدودة، والجلسات موقّعة وتنتهي بعد اثنتي عشرة ساعة، وتُرفض الطلبات القادمة من مواقع أخرى. الدخول الموحّد (SAML/OIDC) والمصادقة متعددة العوامل مخطط لهما في تثبيتات الإنتاج.

الكشف والنماذج اللغوية

الكشف قائم على قواعد وحتمي: البيانات والعتبات نفسها تنتج دائمًا التنبيهات نفسها، وكل تنبيه يسرد السجلات التي يستند إليها.

النموذج اللغوي اختياري ولا يكتب إلا النص. قبل أي استدعاء، تُستبدل أسماء العملاء ومعرّفاتهم وأرقام الحسابات والمحافظ برموز. يجب أن تستشهد كل جملة بصف من الأدلة وإلا حُذفت، ويرى المراجع نص القاعدة ونص النموذج جنبًا إلى جنب.

تختار الشركة نقطة نهاية النموذج: Azure OpenAI أو AWS Bedrock داخل منطقتها، أو نموذجًا مفتوح الأوزان على أجهزتها. لا يدرّب مرقب النماذج على بيانات العملاء.

حماية البيانات

تُشفَّر البيانات أثناء النقل باستخدام TLS. وتُشفَّر قواعد البيانات الخاصة بخدماتنا المستضافة (الموقع، البيئة التجريبية، نسخ البرنامج التجريبي) أثناء التخزين من قِبل المزوّد.

تُحفظ ملفات الحالات وسجلات التدقيق للمدة التي تفرضها التزامات حفظ السجلات على الشركة، مثل خمس سنوات بموجب قواعد مكافحة غسل الأموال في الإمارات وثماني سنوات بموجب قواعد MASAK التركية. وفي تثبيت الشركة الخاص، تتحكم الشركة في مدة الحفظ.

المعالجون من الباطن لخدماتنا المستضافة: Vercel (الاستضافة)، وNeon (قاعدة البيانات)، وResend (إرسال البريد)، وNamecheap (صندوق البريد)، وIPinfo (البحث عن الشبكة لأحداث الموقع). لا يُستخدم أيٌّ منهم داخل تثبيت الشركة الخاص.

الإبلاغ عن ثغرة

راسلنا على hello@marqib.com مع كلمة «Security» في الموضوع. نؤكد الاستلام خلال يومي عمل ونبقيك على اطلاع حتى تُعالج المشكلة. ملف security.txt متاح على marqib.com/.well-known/security.txt.