سياسة الأمن والاحتفاظ بالبيانات

برنامج الأمن

نطبّق ضمانات إدارية وتقنية وتنظيمية مصممة لحماية المنصة وما تحتويه من معلومات سرية عن المشاريع ورأس المال والمؤسسات. وتشمل هذه الضمانات ضوابط الوصول، وتشفير النقل، وترويسات الأمن وسياسة أمن المحتوى، والإدارة بأقل الامتيازات، وتسجيل التدقيق للإجراءات الحساسة. ولا يوجد نظام آمن تمامًا، ونحن لا نضمن أمنًا مطلقًا.

ما الذي نراقبه

بالنسبة إلى حسابات المنصة الموثَّقة، نسجّل النشاط التجاري والأمني لأغراض الأمن والامتثال وقابلية التدقيق والدعم:

• المصادقة والجلسات — تسجيل الدخول / الخروج، ومدة الجلسة، وعنوان IP، والموقع التقريبي المستند إلى عنوان IP، ومزوّد الشبكة، والجهاز، والمتصفح، ونظام التشغيل.
• النشاط داخل التطبيق — الصفحات والوحدات التي تُفتح، والمشاريع وغرف رأس المال التي يُطّلع عليها، والمستندات التي تُعرض أو تُنزَّل، والنماذج المُرسلة، وعمليات البحث، وطلبات الوصول المقدَّمة أو المبتوت فيها.
• الأحداث الأمنية — محاولات تسجيل الدخول الفاشلة، وأحداث رفض الصلاحية، وحجم التنزيل غير المعتاد، وعمليات الدخول من جهاز جديد أو موقع جديد، ومؤشرات المخاطر ذات الصلة.

الموقع المستند إلى عنوان IP تقريبي وليس عنوانًا فعليًا مُتحققًا منه. ونحن لا نجري تسجيلًا خفيًا للشاشة؛ وعند الحاجة إلى إعادة تركيب مسار النشاط، يُجمَّع ذلك من سجل الأحداث الموصوف أعلاه. ونحن لا نبيع بيانات النشاط.

الوصول الإداري (متدرج)

الوصول إلى المراقبة والتحليلات مقيَّد بحسب الدور وعلى أساس الحاجة إلى المعرفة، وكل وصول إداري يُسجَّل بدوره:

• Analytics Viewer — تحليلات إجمالية فقط.
• Security Admin — سجلات تسجيل الدخول وعناوين IP والأمن والمخاطر.
• Compliance Admin — سجلات التدقيق والتنبيهات القانونية ومراجعة السجلات العامة.
• Platform Admin — التحليلات التشغيلية وتحليلات الاستخدام.
• Super Admin — رؤية كاملة، مع تسجيل جميع عمليات الوصول.

جدول الاحتفاظ بالبيانات

ما يلي أهداف مرجعية؛ وتخضع المدد الدقيقة لمراجعة المستشار القانوني وقد تختلف بحسب الولاية القضائية وأوامر الحفظ القانوني:

• سجلات الأحداث الأمنية — من 1 إلى 7 سنوات
• سجلات التدقيق — من 3 إلى 7 سنوات
• سجلات تسجيل الدخول / الجلسات — من 1 إلى 3 سنوات
• سجلات الوصول إلى المستندات — من 3 إلى 7 سنوات
• تحليلات الصفحات والتفاعلات — من 12 إلى 24 شهرًا
• التحليلات الإجمالية / المجرَّدة من التعريف — تُحفظ لمدة أطول
• سجلات التصدير — من 3 إلى 7 سنوات
• سجلات الدعم — من 2 إلى 5 سنوات
• سجلات الحسابات المحذوفة — بالقدر الذي يقتضيه القانون فقط
• السجلات الحساسة الخاصة بشؤون القبائل (Tribal Affairs) — قواعد خاصة للاحتفاظ والحذف معتمدة من الحوكمة، مع حماية سيادة البيانات وضوابط وصول صارمة.

الضمانات والحوكمة

• وصول قائم على الأدوار إلى جميع أدوات المراقبة والتحليلات.
• تقليل البيانات — نجمع ما يتطلبه الإشراف والأمن، لا أكثر.
• إخفاء الحقول الحساسة وضوابط التصدير، مع اشتراط الموافقة على عمليات التصدير الحساسة.
• مراجعة قانونية لأي ميزة حساسة من حيث المراقبة قبل إطلاقها.
• عدم بيع بيانات نشاط المستخدمين؛ ولا تتبع خفي يتجاوز ما نفصح عنه.

إشعار المرحلة الأولية

خلال المرحلة الأولية للمنصة، يُلتقط النشاط داخل المتصفح الحالي فقط لأغراض العرض التوضيحي، ولا تُجمع الإشارات الخاصة بالخادم وحده (مثل عنوان IP وتحديد الموقع الجغرافي). وسيبدأ العمل بالالتقاط المعتمد من جانب الخادم، وتسجيل التدقيق القابل للإضافة فقط، والاحتفاظ المُلزم عند نشر الواجهة الخلفية الآمنة. وسيُحدَّث هذا الإشعار تبعًا لذلك.

الإبلاغ عن مشكلة

للإبلاغ عن ثغرة أمنية أو عن أي قلق بشأن كيفية مراقبة النشاط أو الاحتفاظ به، تواصل عبر applied@thecefa.org.