الأمان

Proyecta هي منصة يتدفق فيها كودك المصدري ومطالباتك وبيانات مشاريعك عبر أنظمة الذكاء الاصطناعي وبيئات تنفيذ معزولة. حماية تلك البيانات هي أساس كيفية بنائنا للخدمات. تلخص هذه الصفحة ممارساتنا الأمنية بلغة واضحة؛ وهي تكمّل سياسة الخصوصية وشروط الخدمة وقائمة المعالجين الفرعيين الخاصة بنا.

للاستفسارات الأمنية أو مراجعات الأمان للمؤسسات أو للإبلاغ عن ثغرة، تواصل مع security@proyecta.dev.

1. البنية التحتية والاستضافة

تعمل الخدمات على Google Cloud Platform، على Google Kubernetes Engine في منطقة us-central1 التابعة لـ Google في الولايات المتحدة. يقع أمام نقاط النهاية العامة لدينا موازن تحميل من الطبقة 7 تديره Google مع Google Cloud Armor، يوفّر الحماية من هجمات حجب الخدمة الموزعة (DDoS) وقواعد جدار حماية تطبيقات الويب وتحديد معدل الطلبات؛ وتُقدَّم الملفات الثابتة عبر Google Cloud CDN. توفّر Cloudflare خدمة DNS الرسمية (authoritative) والتحقق من شهادات TLS، والتسليم عبر شبكة الحافة (edge) للتطبيقات التي ينشرها المستخدمون (*.proyecta.live).

لا تملك قواعد بياناتنا عنوان IP عامًا: لا يمكن الوصول إليها إلا عبر الشبكة الخاصة لـ Google Cloud. تُنسخ احتياطيًا كل يوم، ويمكننا استعادتها إلى أي لحظة خلال آخر 7 أيام.

تمر معظم طلباتنا إلى Anthropic، مزودنا الرئيسي لنماذج الذكاء الاصطناعي، عبر خادم وسيط تشغّله Proyecta خارج Google Cloud، ويُوصَل إليه عبر نفق Cloudflare موثَّق ومشفَّر. يحتفظ هذا الخادم بنسخ من الطلبات والردود التي يمررها حتى نتمكن من تشخيص المشكلات.

نحن لا نشغّل مراكز بياناتنا الخاصة. يحتفظ مزودو الخدمات السحابية لدينا بشهادات أمن البنية التحتية المستقلة الخاصة بهم، وتُنشر قائمة محدّثة بمزودي الخدمة الذين يعالجون البيانات نيابةً عنا على صفحة المعالجين الفرعيين.

2. التشفير

• أثناء النقل: يتم تشفير جميع حركة المرور بينك وبين الخدمات باستخدام TLS 1.2 أو أعلى، وكذلك اتصالات خدماتنا بقواعد بياناتنا.
• في حالة السكون: قواعد بياناتنا وتخزين الملفات والنسخ الاحتياطية على Google Cloud مشفّرة في حالة السكون بمفاتيح تديرها Google.
• الأسرار: تُحفظ بيانات اعتماد المنصة في Google Cloud Secret Manager. وتُخزَّن الرموز (tokens) وبيانات الاعتماد الخاصة بالخدمات التي توصلها، بما في ذلك مزودو الدفع، مشفّرةً في قاعدة بياناتنا. ولا يوضع أيٌّ منهما في الكود من جانب العميل.

3. ضوابط الوصول

• وصول محدود. الوصول إلى أنظمة الإنتاج وبيانات العملاء مقصور على موظفي Proyecta المعتمدين. تمنح أدوات الإدارة لدينا كل موظف حسابه الخاص ودورًا يحدّ مما يمكنه فعله.
• تسجيل النشاط. تُسجَّل الإجراءات التي يتخذها الموظفون في أدوات الإدارة لدينا، بما في ذلك كل مرة يدخل فيها أحد الموظفين إلى حساب عميل لمساعدته. وفي التطبيقات المبنية باستخدام Proyecta، تُسجَّل كل مرة يفتح فيها أي شخص السجل السريري لأحد العملاء.
• التزامات السرية. الموظفون الذين لديهم وصول إلى المحتوى ملزمون بالتزامات السرية.

كما هو موصوف في سياسة الخصوصية الخاصة بنا، يصل الموظفون المعتمدون إلى المحتوى فقط حسب الضرورة لتقديم الدعم وتصحيح المشكلات والحفاظ على الموثوقية أو الامتثال للالتزامات القانونية.

4. التعامل مع كودك وبيانات الذكاء الاصطناعي

هذا هو السؤال الذي يهم معظم العملاء، لذا نوضحه بصراحة:

• نحن لا ندرب نماذج الذكاء الاصطناعي على محتواك. لا نستخدم كودك أو مطالباتك أو بياناتك لتدريب نماذج الذكاء الاصطناعي أو ضبطها، ولا نرسل محتواك إلى مزودي الذكاء الاصطناعي بغرض تدريب نماذجهم.
• كيف نستخدم محتواك. نستخدم محتواك لتقديم الخدمات لك. ويطّلع فريقنا أيضًا على المشاريع ومحادثات الذكاء الاصطناعي عند الحاجة لدعمك ولاكتشاف المشكلات وإصلاحها.
• مزودو الذكاء الاصطناعي من الأطراف الثالثة. لتوليد الردود، تُرسَل المدخلات عبر واجهات برمجة التطبيقات (API) الخاصة بمزودي الذكاء الاصطناعي إليهم: Anthropic وGoogle لنماذج اللغة، وGoogle وOpenAI لتوليد الصور، وDeepgram لتحويل الكلام إلى نص، وElevenLabs لتحويل النص إلى كلام، وTavily للبحث على الويب وقراءة صفحات الويب. تعالج Anthropic وGoogle وOpenAI هذه المدخلات بموجب شروط واجهات برمجة تطبيقات لا تسمح لها، بصيغتها الحالية، بتدريب نماذجها على مدخلات العملاء. نحن لا نتحكم في هؤلاء المزودين، ويخضع تعاملهم مع البيانات لشروطهم الخاصة التي ينبغي عليك مراجعتها بشكل مستقل (انظر القسم 10.2 من الشروط).
• تحليلات المنتج. نستخدم PostHog لفهم كيفية استخدام الخدمات: الصفحات التي تمت زيارتها والإجراءات المتخذة وتسجيلات الجلسات، كما هو موضح في سياسة ملفات تعريف الارتباط الخاصة بنا. يراجع فريقنا هذه البيانات لتحسين الخدمات ولمساعدة العملاء.

5. عزل بيئة التشغيل

يعمل الكود الذي تولّده الخدمات وتشغّله داخل وحدات (pods) Kubernetes مخصصة، منفصلة لكل مشروع، وفي مساحة أسماء (namespace) مستقلة عن خدماتنا. تمنع قواعد الشبكة بيئات التشغيل من الوصول إلى بعضها البعض أو إلى شبكتنا الداخلية، ولا تسمح بدخول حركة المرور إليها إلا عبر خدماتنا. تُعلَّق بيئات التشغيل الخاملة ثم تُؤرشَف لاحقًا، مما يحدّ مما يمكن أن تؤثر فيه أي بيئة تشغيل منفردة.

6. إدارة الثغرات

• نراقب التبعيات البرمجية لدينا بحثًا عن الثغرات المعروفة باستخدام أدوات آلية، ونطبق التحديثات على أساس الأولوية القائمة على المخاطر.
• الإفصاح المسؤول. إذا كنت تعتقد أنك عثرت على ثغرة أمنية، يرجى الإبلاغ عنها إلى security@proyecta.dev. سنقر باستلام تقريرك، ونحقق فيه على الفور، ونبقيك على اطلاع. يرجى منحنا فرصة معقولة للمعالجة قبل أي إفصاح علني.

7. الاحتفاظ بالبيانات وحذفها

نحتفظ بالمعلومات فقط طالما كان ذلك ضروريًا لتقديم الخدمات والوفاء بالالتزامات القانونية. نحتفظ بحسابك ومشاريعك وسجل محادثاتك، بما في ذلك المطالبات والمخرجات المولَّدة، ما دام حسابك مفتوحًا.

يمكنك أن تطلب منا حذف حسابك في أي وقت، من تطبيق Proyecta ضمن الإعدادات أو عبر app.proyecta.dev/delete-account. وإلى أن نُتمّ الطلب، يمكنك مواصلة استخدام الخدمات وسحب طلبك. نُتمّ الطلب خلال 30 يومًا: نحذف حسابك وبيانات تسجيل الدخول، ومواقعك بكل محتواها، وبيانات عملائك المخزنة فيها، ونلغي أي خطة نشطة. لا نحتفظ إلا بالسجلات التي يفرضها القانون، مثل الفواتير وإيصالات الدفع، وللمدة التي يفرضها القانون. تبقى البيانات المحذوفة في النسخ الاحتياطية لقواعد بياناتنا إلى أن تنتهي صلاحية تلك النسخ. التفاصيل الكاملة في القسم 4 من سياسة الخصوصية.

8. الاستجابة للحوادث

لدينا خطة موثقة للاستجابة للحوادث الأمنية. في حالة وقوع اختراق يمس بياناتك الشخصية، سنخطر العملاء المتأثرين في غضون 72 ساعة من الاكتشاف حيثما كان ذلك ممكنًا، أو في وقت أبكر حيثما يقتضي القانون المعمول به، بما في ذلك طبيعة الحادث والبيانات المتأثرة والإجراءات الموصى بها.

9. المعالجون الفرعيون

نستخدم مزودي خدمات من أطراف ثالثة لتشغيل الخدمات. كل منهم ملزم بموجب شروط معالجة البيانات الخاصة به بحماية البيانات التي يعالجها نيابةً عنا. القائمة الكاملة والحالية — بما في ذلك غرض كل مزود والبيانات التي يعالجها وموقعه — منشورة على صفحة المعالجين الفرعيين، التي تصف كيفية تقديمنا للإشعار بالتغييرات.

10. الامتثال ومراجعات الأمان

• اتفاقية معالجة البيانات. يجوز للعملاء الذين يتصرفون بصفتهم متحكمين في البيانات طلب اتفاقية معالجة بيانات (DPA) تكمل سياسة الخصوصية لدينا بالتزامات إضافية لحماية البيانات. تواصل مع legal@proyecta.dev.
• استبيانات الأمان. يسعدنا إكمال استبيانات أمان البائعين ودعم مراجعات الأمان للمؤسسات — تواصل مع security@proyecta.dev.
• شفافية المعالجين الفرعيين. قائمة المعالجين الفرعيين لدينا علنية ويتم تحديثها باستمرار.

مع نمو Proyecta، نواصل توسيع برنامج الأمان والامتثال الرسمي لدينا. للاطلاع على الحالة الراهنة لأي شهادة أو إقرار محدد، يرجى التواصل وسنشارك أين نقف.

11. التواصل

• تقارير الأمان والثغرات: security@proyecta.dev
• استفسارات الخصوصية: privacy@proyecta.dev
• الطلبات القانونية وطلبات DPA: legal@proyecta.dev