نظرة عامة على الأمان

الإصدار: 1.2 · تاريخ النشر: 16 أكتوبر 2026 · تاريخ النفاذ: عند القبول لمساحات العمل الجديدة؛ ولمساحات العمل التي قبلت إصدارًا سابقًا، في التاريخ الذي تحدده ستاك في إخطارها وفق البند 20 من شروط خدمة ستاك للعملاء · النص المعتمد: النص الإنجليزي (البند 23.9 من شروط خدمة ستاك للعملاء)

الجهة المُصدِرة: STAK Global, LLC، وهي شركة ذات مسؤولية محدودة مؤسسة في ولاية ديلاوير بالولايات المتحدة الأمريكية (رقم الملف 10798493)، وتملك ستاك (STAK) والخدمات. للتواصل: [email protected].

تشرح النظرة العامة على الأمان هذه، بلغة مبسطة، كيف نحمي بيانات منشأتك ونحتفظ بنسخ منها كما في تاريخ نفاذ هذا الإصدار، ونحدّثها عند تغير ذلك. وهي وثيقة إعلامية، أما التزاماتنا التعاقدية فتجدها في اتفاقية معالجة البيانات. ويكون للمصطلحات المعرّفة في شروط خدمة ستاك للعملاء المعنى ذاته في النظرة العامة على الأمان هذه.

1. باختصار

• بياناتك مشفرة أثناء انتقالها وأثناء تخزينها في أنظمتنا.
• بيانات كل منشأة معزولة عن غيرها على مستوى قاعدة البيانات نفسها.
• نُنشئ نسخًا احتياطية مستمرة، ونحفظ نسخًا يومية وشهرية في بلد آخر محمية من الحذف المبكر.
• لا نخزن أرقام البطاقات، ولا نتسلم أموالك ولا نحتفظ بها.
• يُسجَّل كل تغيير مهم في سجل تدقيق لا يستطيع أي مستخدم تعديله.
• لا نحمل حاليًا شهادة ISO 27001 ولا تقرير SOC 2، وسنذكر ذلك هنا عند حصولنا عليهما.

2. أين تُحفظ بياناتك

2.1 تعمل الخدمات على البنية السحابية لAmazon Web Services في منطقة فرانكفورت بجمهورية ألمانيا الاتحادية، وتُنسخ النسخ الاحتياطية إلى منطقة منفصلة لديها في جمهورية أيرلندا. ويتيح هذا الفصل الاحتفاظ بنسخة من بياناتك حتى لو تعطلت منطقة الاستضافة الرئيسية بأكملها.

2.2 قد ننقل الاستضافة مستقبلًا إلى منطقة أخرى، ونخطرك بذلك قبل 30 يومًا على الأقل. ولا يُعد نقلًا تشغيلُ الخدمات مؤقتًا من النسخ الاحتياطية في جمهورية أيرلندا عند فقد منطقة الاستضافة الرئيسية، ونخطرك به دون تأخير.

2.3 تقدّم الخدمات STAK Global, LLC، وهي شركة مؤسسة في الولايات المتحدة الأمريكية. ويخضع مزوّد الاستضافة لدينا وبعض مزوّدي الخدمات أيضًا لقانون الولايات المتحدة الأمريكية. ونحمي بياناتك من أي وصول حكومي غير مشروع على النحو المبين في البند 13 من اتفاقية معالجة البيانات: فلا نفصح عن البيانات إلا بناءً على طلب ملزم، ونخطرك ما لم يحظر القانون ذلك، ونقصر الإفصاح على الحد الأدنى، ونعترض على الطلبات التي نرى بصورة معقولة أنها غير مشروعة. وتُشفَّر بياناتك أثناء تخزينها وأثناء نقلها.

3. التشفير

3.1 تُشفَّر كل الاتصالات بالخدمات باستخدام بروتوكول TLS 1.2 أو أحدث، ويتحقق التطبيق من هوية خادم قاعدة البيانات عند كل اتصال به.

3.2 تُشفَّر قواعد البيانات والأقراص والملفات والنسخ الاحتياطية ومخزن الأسرار أثناء تخزينها بمعيار AES-256، بمفاتيح تُدار عبر خدمة إدارة المفاتيح لدى Amazon أو يديرها مزوّد الاستضافة.

3.3 تُشفَّر ملفات العاملين لديك والسجلات السريرية تشفيرًا إضافيًا داخل التطبيق بمفاتيح مستقلة، وتُحفظ مفاتيح الربط بمزوّدي خدمات الدفع وغيرهم في مخزن أسرار منفصل مشفر بمفتاح مستقل.

4. عزل بيانات كل منشأة

4.1 يحمل كل سجل من سجلات بيانات المنشأة في قاعدة البيانات معرّف المنشأة التي يتبعها. وتفرض قاعدة البيانات نفسها قواعد أمان على مستوى الصف، تمنع التطبيق من قراءة سجلات منشأة أخرى أو كتابتها، وهي طبقة حماية مستقلة عن منطق التطبيق.

4.2 لا يملك حساب قاعدة البيانات الذي يستخدمه التطبيق صلاحية تجاوز هذه القواعد.

5. حماية الدخول

5.1 يمكن الدخول باستخدام ما يلي:

• رمز تحقق يُرسل عبر WhatsApp إلى رقم موثق؛
• مفتاح المرور، ببصمة الوجه أو الإصبع؛
• حسابات Google أو Apple أو Microsoft.

ويمكن استخدام تطبيق المصادقة خطوةً ثانيةً للتحقق بعد الدخول. ولا نستخدم كلمات المرور.

5.2 يمكنك اشتراط التحقق الثنائي لأدوار محددة، وتصل إلى المالكين والمسؤولين تنبيهات عند تغيير أي مستخدم لوسائل التحقق. ويُنبَّه كل مستخدم عند الدخول إلى حسابه من جهاز جديد. وفي الباقات التي تتضمن ذلك، يمكنك كذلك تحديد مهلة خمول الجلسات، وتصل إلى المالكين تنبيهات عند دخول أي مستخدم من جهاز جديد.

5.3 يحصل كل موظف على دور وصلاحيات محددة، ويمكن تقييد وصوله بفروع معينة. ويستخدم الموظفون على الأجهزة المشتركة رمز تعريف شخصيًا (PIN) من ستة أرقام، ويُقفل الدخول به بعد خمس محاولات خاطئة.

6. سجل التدقيق وكشف التلاعب

6.1 يُسجَّل كل تغيير مهم في سجل تدقيق، مع هوية من أجراه ووقته ومصدره وعنوان بروتوكول الإنترنت. ولا يستطيع أي مستخدم تعديل هذا السجل أو حذفه، إلا أن تنفيذ طلب محو بيانات أحد عملاء العميل يزيل هويته من قيود السجل مع إبقاء الفعل وفاعله ووقته. ويُحذف السجل مع بيانات العميل عند الإنهاء وفق الشروط.

6.2 تُربط القيود المحاسبية بسلسلة تكشف أي تعديل لاحق عليها، ويمكنك التحقق من سلامتها من صفحة الأمان.

7. النسخ الاحتياطي والاستعادة

7.1 نُنشئ نسخًا احتياطية مستمرة من قواعد البيانات، تتيح استعادتها إلى أي لحظة خلال آخر 35 يومًا. ونُنشئ كذلك نسخًا يومية تُحفظ 35 يومًا، ونسخًا شهرية تُحفظ 12 شهرًا، ونسخة منطقية من قاعدة البيانات كل ليلة تُحفظ 35 يومًا في تخزين مقفل.

7.2 تُنسخ النسخ الاحتياطية اليومية والشهرية إلى أيرلندا. وتمنع سياسة خزائن النسخ الاحتياطي في فرانكفورت وأيرلندا أي شخص، بما في ذلك فريقنا، من حذف أي نسخة قبل انقضاء مدة الاحتفاظ بها أو تغيير هذه المدة. وتُقفل الخزائن كذلك بوضع الامتثال (Compliance mode) لدى مزوّد الاستضافة، وهو وضع مصمم بحيث لا يستطيع أحد، بما في ذلك من قد يستولي على أحد حساباتنا لدى مزوّد الاستضافة، حذف أي نسخة خلال أيامها الخمسة والثلاثين الأولى.

7.3 نختبر كل شهر استعادة قاعدة البيانات من النسخ الاحتياطية. ونسعى إلى ألا يتجاوز فقد البيانات 15 دقيقة عند تعطل قاعدة البيانات، وإلى ألا يتجاوز 24 ساعة عند فقد منطقة الاستضافة بأكملها، وفق أهداف الاستعادة الواردة في اتفاقية مستوى الخدمة.

7.4 نحتفظ بالنسخ الاحتياطية لاستعادة الخدمة، لا لتكون أرشيفًا لك. لذا صدّر بياناتك بانتظام من صفحة الباقة والفواتير أو من كل تطبيق.

8. المدفوعات والأموال

8.1 صُممت الخدمات بحيث لا تمر أرقام البطاقات عبر أنظمتنا ولا تُخزن لديها، إذ يكون الدفع في صفحات مزوّدي خدمات الدفع أو عبر أجهزتهم وتطبيقاتهم المعتمدة لقبول البطاقات. ولا تتضمن شاشات الخدمات أي حقل لأرقام البطاقات أو رموز أمانها، ويمكنك أن تطلب من صفحة الأمان فحص الحقول النصية بحثًا عن أرقام بطاقات أُدخلت فيها خطأً.

8.2 تُسوّى أموالك من مزوّد خدمات الدفع إلى حسابك المصرفي مباشرةً، ولا نتسلمها ولا نحتفظ بها.

8.3 يتطلب تغيير الحساب المصرفي المسجل في ستاك لاستلام التسويات تحققًا إضافيًا، ولا يسري التغيير إلا بعد 48 ساعة، ويُنبَّه المالكون فورًا ليتمكنوا من إلغائه.

9. الذكاء الاصطناعي

9.1 لا تُرسل بيانات إلى مزوّد الذكاء الاصطناعي إلا عند طلب مستخدم ميزة من ميزاته، أو رفعه مستندًا لتقرأه إحداها كالإيصالات، أو عند تشغيل خطوة ذكاء اصطناعي في أتمتة أعدّها مستخدم، ويقتصر ما يُرسل على البيانات اللازمة للطلب أو للخطوة.

9.2 لا تُستخدم بياناتك في تدريب نماذج الذكاء الاصطناعي. ولا تعدّل ميزات الذكاء الاصطناعي أي سجل إلا بعد تأكيدك الصريح، أو وفق أتمتة أعدها مستخدم مخوَّل وفعّلها.

10. وصول فريقنا

يقتصر الوصول إلى بيئة التشغيل على عدد محدد من العاملين لدينا المحددين بأسمائهم، ويُشترط فيه التحقق متعدد العوامل، ويُسجَّل بدء كل جلسة وصول. ولا يكون الوصول الإداري إلى الخوادم إلا عبر خدمة إدارة الأنظمة لدى Amazon، دون دخول مباشر إليها. ولا نطّلع على بياناتك إلا لتقديم دعم تطلبه، أو لتشغيل الخدمات وصيانتها واستعادتها، أو للتحقيق في حادث أمني أو في مخالفة مشتبه بها لسياسة الاستخدام المقبول، أو إذا أوجب القانون ذلك.

11. المراقبة والاستجابة للحوادث

11.1 نراقب البنية السحابية آليًا على مدار الساعة، مع تنبيهات فورية لفريقنا. وتُسجَّل كل عملية إدارية على البنية السحابية، وتُرصد التهديدات والصلاحيات الزائدة آليًا.

11.2 إذا وقع خرق للبيانات الشخصية يمس بياناتك، نخطرك دون تأخير غير مبرر، وخلال 24 ساعة من علمنا به متى أمكن ذلك، وفي جميع الأحوال خلال 48 ساعة. ونطلعك على ما حدث وما اتخذناه من إجراءات.

12. الشهادات

لا نحمل حاليًا شهادة ISO 27001 ولا تقرير SOC 2. ولا نحمل كذلك شهادة PCI DSS، لأن الخدمات مصممة بحيث لا تمر بيانات البطاقات عبر أنظمتنا، وإنما تُعالج في صفحات مزوّدي خدمات الدفع أو أجهزتهم وتطبيقاتهم المعتمدة. ويحمل مزوّدو خدمات الدفع الذين تربطهم بالخدمات شهاداتهم الخاصة. وسنذكر هنا أي شهادة نحصل عليها مستقبلًا.

وإذا قبلت الدفع بالبطاقات عبر صفحاتك في ستاك، يُحوَّل المشتري إلى صفحة مزوّد خدمات الدفع الذي تتعامل معه، أو تستخدم أجهزته وتطبيقاته المعتمدة، فلا تجمع صفحات ستاك بيانات البطاقات. وتحقق من التزاماتك وفق معيار PCI DSS لدى مزوّد خدمات الدفع؛ وعادةً ما تستكمل المنشأة التي تعتمد هذا التحويل أقصر استبيان للتقييم الذاتي (SAQ A). ولا تدّعي ستاك حصولها على شهادة PCI DSS.

13. ما يمكنك فعله

• فعّل التحقق الثنائي للمالكين والمسؤولين.
• امنح كل موظف أقل الصلاحيات اللازمة لعمله، وألغِ وصول من يغادر فورًا.
• صدّر بياناتك بانتظام، مرة شهريًا على الأقل.
• اترك أجهزة نقاط البيع متصلة حتى تكتمل مزامنة المبيعات المسجلة دون اتصال، قبل مسح أي جهاز أو تسجيل الخروج منه.
• حدّث أنظمة أجهزتك ومتصفحاتك.
• أبلغنا فورًا عن أي نشاط مريب.

14. الإبلاغ عن ثغرة

إذا اكتشفت ثغرة أمنية، فراسلنا على [email protected]، ونتعامل مع البلاغات بسرية. ونأذن بالاختبار الأمني بحسن نية في الحدود المبينة في البند 10 من سياسة الاستخدام المقبول، ولا نتقدم بأي شكوى أو دعوى ضد من يلتزم بتلك الحدود ويبلغنا بالثغرة دون تأخير.