الثقة · الأمن والامتثال

الأمان، قال بوضوح.

وضع إدارة علاقات العملاء والمحاسبة والموارد البشرية ومكتب المساعدة على منصة واحدة يثير أسئلة حقيقية. في ما يلي كيف نجيب عنها — بالتصميم وبالبنية وبشكل افتراضي. البريد الإلكتروني [email protected] إذا لم يكن أي مما يلي كافيًا.

الهندسة المعمارية وحماية البيانات

ما هو فعلًا صحيح.

لا مسرحية شارات. هذه هي البنية التي تحمي بياناتك — قابلة للتحقق في كيفية بناء المنصة وتشغيلها، وليس في شهادة مؤطّرة.

المجموعة التقنية
حزمة تشغيل ذاتية الاستضافة
يتم تشغيل كل من البريد وقاعدة البيانات ووقت تشغيل التطبيق على بنية تحتية يتم تشغيلها بواسطة Mewayz — وليس SaaS تابعة لجهة خارجية. لا تدخل بيانات عملائك أبدًا في نظام بائع آخر.
بحكم التصميم
الذكاء الاصطناعي
ذكاء اصطناعي بمفتاحك الخاص
تعمل ميزات الذكاء الاصطناعي على مفتاح API الخاص بك لدى OpenAI أو Anthropic أو Google — أنت تختار المزوّد وشروط بياناته، ويمكنك إيقاف الذكاء الاصطناعي تمامًا. نحن لا ندرّب أبدًا على بياناتك.
مفتاحك · مزوّدك
المستأجر
عزل قاعدة بيانات لكل مستأجر
تعمل كل مساحة عمل في قاعدة بياناتها الخاصة، منفصلة على مستوى إطار العمل (Stancl tenancy v3.10) — وليست صفوفًا مشتركة مُصفّاة حسب معرّف الحساب. بيانات شركة واحدة لا يمكن لأي شركة أخرى الاستعلام عنها أبدًا.
مُنفَّذ
ENC
تشفير في كل مكان
AES-256 أثناء التخزين، TLS 1.3 أثناء النقل. المصادقة متعددة العوامل متاحة على حسابات المسؤولين. ينتهي التشفير داخل بنية تحتية نشغّلها نحن.
نشط
PCI
Stripe PCI DSS
تتم معالجة بيانات البطاقة بواسطة Stripe (PCI DSS Level 1)، وفي الهند بواسطة Razorpay (متوافق مع RBI). Mewayz لا يقوم أبدًا بتخزين أرقام البطاقات الأولية.
عبر المعالج
EDGE
حافة Cloudflare
تجلس الحماية من DDoS و CDN و DNS أمام كل طلب. تُصفّى حركة المرور الخبيثة قبل أن تصل إلى التطبيق.
نشط
CSP
دفع مقفل
إن form-action في Content-Security-Policy مقيّد بـ checkout.stripe.com وbuy.stripe.com — فلا يمكن إعادة توجيه نماذج الدفع إلى أي مكان آخر.
مُنفَّذ
DPA
متوافق مع اللائحة العامة لحماية البيانات + DPA
تتوفر اتفاقية معالجة بيانات قبل التوقيع ويتم توقيعها تلقائيًا عند الدفع. تصدير بنقرة واحدة لجميع بياناتك بصيغ قياسية في أي وقت.
عند الطلب
بنية تحتية مخصصة وإقليمية

عزل يكون ملموس، وليس مجرد مرشّح.

تضع معظم المنصات كل عميل في قاعدة بيانات واحدة كبيرة مشتركة وتفصلك بـ account_id عمود. Mewayz لا. يحصل كل مستأجر على قاعدة بياناته وبيئته الخاصة - ويحصل كل شريك ذو علامة بيضاء على صندوق معزول بالكامل خاص به.

01

قاعدة بيانات لكل مساحة العمل

توجد سجلاتك في قاعدة بيانات متوفرة لمساحة العمل الخاصة بك فقط - وليس في جدول مشترك مفصول بعامل تصفية. لا يوجد أداء صاخب للجار، ولا يوجد سطح استعلام بين المستأجرين، ولا يوجد "واحد سيء". WHERE خطر "تسريب البند يصل إلى الجميع".

02

علامة بيضاء معزولة البيئات

يُزوَّد كل شريك علامة بيضاء بمستخدم Linux وقاعدة بيانات ومساحة ملفات خاصة به — تلقائيًا، في نحو دقيقتين. تبقى عملاء الشريك وملفاته وبياناته داخل صندوق ذلك الشريك. لا شيء يختلط.

03

مثيل تطبيق واحد لكل منطقة

Mewayz يدير مثيل تطبيق وقاعدة بيانات وبيئة منفصلة في كل منطقة. يتم إنشاء بياناتك وتبقى في المنطقة التي تختارها عند التسجيل - الاتحاد الأوروبي أو الولايات المتحدة أو آسيا والمحيط الهادئ - لذا فإن الإقامة وزمن الاستجابة المنخفض هما الإعداد الافتراضي، وليس وظيفة إضافية.

كيف نفكّر في الأمان

ستة المبادئ.

هذه هي القواعد التي يصمم وفقها فريق الأمان لدينا. إنها ليست طموحات — إنها البوابات التي يجب أن تجتازها الميزة قبل أن تُطلق.

01

بيانات العملاء بيانات العملاء.

نحن لا نبيع رؤى مجمّعة. نحن لا ندرّب نماذج تعلم آلي على سجلاتك. نحن لا نقرأ رسائل البريد الواردة لمواءمة المنتج مع السوق. بياناتك هي المنتج الذي نستضيفه، وليست مادة خام.

02

زر التصدير هو عقد الثقة.

نقرة واحدة في الإعدادات تصدّر كل شيء بتنسيقات قياسية. نجعل المغادرة سهلة عمدًا. أفضل عميل هو من يعرف أنه يستطيع المغادرة ويختار ألا يفعل.

03

التشفير أثناء التخزين وقيد النقل.

AES-256 في حالة السكون. TLS 1.3 أثناء النقل. إدارة المفاتيح عبر AWS KMS مع خيار المفتاح المُدار من قبل العميل على مستوى الوكالة. لا تقسيم «سنشفّر العملاء المميزين».

04

أقل امتياز حسب افتراضي.

يصل الموظفون إلى بيانات العملاء فقط تحت التدقيق، وفقط عندما يفتح العميل تذكرة دعم تطلب منهم ذلك، وفقط للسجلات التي تتعلق بها التذكرة. كل وصول مُسجَّل، إلى أجل غير مسمى.

05

إقامة البيانات اختيارك.

اختر منطقة الاتحاد الأوروبي أو الولايات المتحدة أو آسيا والمحيط الهادئ عند التسجيل. تبقى البيانات داخل المنطقة افتراضيًا. النسخ المتماثل عبر المناطق اختياري، بموافقة صريحة في اتفاقية معالجة البيانات.

06

الإفصاح خلال 72 ساعة.

إذا وقع لدينا حادث أمني يؤثر على بيانات العملاء، فإننا نُخطِر العملاء المتأثرين خلال 72 ساعة من تأكيد التأثير. دون استثناءات، ودون نوافذ تأخير معتمدة من العلاقات العامة.

إقامة البيانات · أنت تختار المنطقة

ثلاثة المناطق.

اختر عند التسجيل. لا يمكن تغييره بعد تحميل البيانات دون ترحيل مخطط له. المعالجون الفرعيون لكل منطقة مدرجون في بوابة الثقة.

المنطقة مناطق التوفر الأساسية استضافة بواسطة النسخ الاحتياطية المعالجات الفرعية
الاتحاد الأوروبي فرانكفورت · دبلن · ستوكهولم AWS eu-central-1، eu-west-1، eu-north-1 داخل المنطقة · 35 يومًا الاتحاد الأوروبي فقط
الولايات المتحدة فرجينيا · أوريغون · أوهايو AWS us-east-1, us-west-2, us-east-2 داخل المنطقة · 35 يومًا الولايات المتحدة فقط
آسيا والمحيط الهادئ سنغافورة · طوكيو · مومباي AWS ap-southeast-1 وap-northeast-1 وap-south-1 داخل المنطقة · 35 يومًا إقليمي
الأمن التشغيلي

التفاصيل المملّة، بقي بسيطًا.

07

وقت التشغيل و المرونة.

اتفاقية مستوى خدمة بوقت تشغيل 99.95% على خطة Business، و99.99% على خطة Agency. عمليات نشر متعددة مناطق التوافر مع تجاوز فشل تلقائي. تشغيل أدلة التعافي من الكوارث المختبرة ربع سنويًا. صفحة حالة عامة على status.mewayz.com.

08

النسخ الاحتياطية و الاستعادة.

استرداد لأي لحظة زمنية في آخر 35 يومًا. لقطات كل ساعة لآخر 7 أيام. يُختبر الاسترداد شهريًا. هدف وقت الاسترداد 4 ساعات؛ هدف نقطة الاسترداد 15 دقيقة.

09

الهوية و الوصول.

تسجيل الدخول الموحد عبر SAML 2.0 / OIDC على خطة Business وما فوق. توفير SCIM على خطة Agency. المصادقة متعددة العوامل مطلوبة لجميع حسابات المسؤولين. وصول قائم على الأدوار مع 14 دورًا افتراضيًا بالإضافة إلى أداة إنشاء أدوار مخصصة.

10

سجلات التدقيق و المراقبة.

يُسجَّل كل إجراء في المنصة في سجل تدقيق غير قابل للتعديل. يُحتفظ به لمدة 7 سنوات. قابل للبث إلى Splunk / Datadog / Elastic عبر التكامل. تنبيهات النشاط المشبوه مدمجة.

11

المورّد و إدارة المعالجات الفرعية.

مراجعة أمنية سنوية لكل معالج فرعي. موردو المستوى الأول (AWS، Stripe، Twilio) بعقد مباشر. قائمة المستوى الثاني منشورة؛ إشعار قبل 30 يومًا من إضافة موردين جدد.

12

اختبار الاختراق و الفريق الأحمر.

اختبار القلم الخارجي مرتين في السنة. الفريق الأحمر الداخلي ربع سنوي. برنامج مكافآت الأخطاء مع HackerOne - مكافآت تتراوح من $250 (منخفضة) إلى $10,000 (حرجة). النطاق المنشور، لا حاجة إلى اتفاقيات عدم الإفصاح.

أسئلة شائعة، مشروحة ببساطة

الأمان الأسئلة الشائعة.

أين تقع بياناتي فعليًا؟

على بنية تحتية نشغّلها بأنفسنا — قاعدة بياناتنا وخادم البريد الخاص بنا يعملان على AWS EC2 خلف Cloudflare. لا تُسلَّم إلى سلسلة من بائعي SaaS الخارجيين. هذا ما تعنيه «حزمة مستضافة ذاتيًا»: تبقى بياناتك الأساسية داخل النظام الذي نتحكم فيه. استثناءان، كلاهما تحت سيطرتك: تُعالَج بيانات البطاقة عبر Stripe (PCI DSS المستوى 1) فلا نخزّن أبدًا أرقام بطاقات خام، وتستدعي ميزات الذكاء الاصطناعي OpenAI أو Anthropic أو Google باستخدام مفتاح API الخاص بك — الذي يمكنك تهيئته أو تعطيله.

هل توقّعون اتفاقيات معالجة بيانات مع العملاء؟

نعم. لدينا اتفاقية معالجة بيانات قياسية تقبلها معظم فرق المشتريات كما هي. تُراجَع اتفاقيات معالجة البيانات المخصصة من قبل المستشار القانوني — وعادةً ما تُعتمد خلال 5 أيام عمل.

أين تُستضاف بياناتي؟

في المنطقة التي تختارها عند التسجيل. تبقى بيانات منطقة الاتحاد الأوروبي في الاتحاد الأوروبي. والولايات المتحدة في الولايات المتحدة. وآسيا والمحيط الهادئ في آسيا والمحيط الهادئ. لا تكرار صامت عبر المناطق.

هل يمكن لموظفيكم رؤية بياناتي؟

افتراضيًا، لا. يتطلب الوصول تذكرة دعم يبدأها العميل ومنح دور صريح. كل وصول مُسجَّل ويمكن إظهاره لك عند الطلب.

ماذا يحدث إذا تعرضت لاختراق؟

إشعار خلال 72 ساعة للعملاء المتأثرين. تقرير حادث عام بعد المعالجة. لا نوقّت الإفصاحات حول دورات الصحافة.

كيف أحذف بياناتي؟

ألغِ حسابك في الإعدادات → الحساب. بعد 30 يومًا، تُمسح البيانات من الإنتاج. وتنتهي صلاحية النسخ الاحتياطية بعد 35 يومًا. وتحتفظ سجلات التدقيق ببيانات الحساب الوصفية لمدة 7 سنوات (متطلب قانوني)؛ وتُمسح بيانات المحتوى.

هل تدرّبون الذكاء الاصطناعي على بياناتي؟

لا. لا تُستخدم بيانات العملاء أبدًا لتدريب النماذج. تستخدم ميزات الذكاء الاصطناعي بيانات العملاء للطلب الفوري فقط (مثل صياغة بريد إلكتروني لهذا العميل)، ولا يحتفظ مزوّد النموذج بالطلب.

كيف يمكنني الإبلاغ عن ثغرة أمنية؟

البريد الإلكتروني [email protected] مع التفاصيل وخطوات إعادة إنتاج المشكلة. نرد خلال يوم عمل واحد للبلاغات الحرجة وننسق الإفصاح المسؤول.

الثقة، عبر البنية.

ننشر بوابة ثقة مع كل تقرير ومعالج فرعي وسياسة. أرسل بريدًا إلكترونيًا إلى [email protected] للحصول على الأحدث.