الثقة والأمان
نتعامل مع بياناتككأنها بياناتنا.
ممارسات أمنية بمستوى المؤسسات، ومعالجون فرعيون معلنون. لا تطمينات مبهمة — التزامات محددة، مكتوبة.
ست التزامات نطبّقها فعلًا.
تشفير في كل مكان
تشفير AES-256 لجميع البيانات المخزَّنة أثناء السكون. وTLS 1.3 للبيانات أثناء النقل. وتُحفظ بيانات اعتماد العملاء ومفاتيح الـ API في خزائن مشفّرة، ولا تُكتب في الشيفرة المصدرية أبدًا.
لا تدريب على البيانات
لا تُستخدم بيانات العملاء ومحادثاتهم ومستنداتهم لتدريب نماذج الذكاء الاصطناعي أبدًا. ويستخدم تكاملنا مع Claude واجهة الـ API بإعدادات عدم الاحتفاظ بالبيانات حيثما تتوافر.
فريق خضع للتحقق من الخلفية
يخضع كل مستشار قد يصل إلى أنظمة العملاء أو بياناتهم للتحقق من خلفيته. وتُمنح الصلاحيات على أساس أقل قدر من الامتيازات وتُراجَع كل ربع سنة.
ارتباطات تبدأ باتفاقية سرية
نوقّع اتفاقيات سرية متبادلة قبل أي مكالمة تحديد نطاق قد تكشف معلومات حساسة. وتبقى ملكيتك الفكرية لك — تُسلَّم المستودعات والـ prompts ومجموعات التقييم بسلاسة.
بيئات معزولة
تُفصل نسخ العملاء وبياناتهم منطقيًا. وتستخدم بيئات التطوير والاختبار والإنتاج بيانات اعتماد مختلفة وتجزئة للشبكة.
سجل تدقيق افتراضيًا
يُسجَّل كل إجراء يتخذه الوكيل. ويُوثَّق كل تغيير في الإعدادات. وتحصل على وصول كامل إلى السجلات وأدلة التشغيل وتاريخ التغييرات منذ اليوم الأول.
ما هو قائم اليوم.
فعّال
الامتثال لـ GDPR
اتفاقيات معالجة البيانات متاحة عند الطلب
فعّال
التحقق من الخلفية
يُتحقَّق سنويًا من جميع العاملين المتعاملين مع العملاء
ما يحمله الفريق من شهادات فعلًا.
شهادات ServiceNow يحملها الأفراد لا الشركات، وهي إشارة الكفاءة الوحيدة التي نستطيع نشرها دون الحاجة إلى إذن عميل. وهذه هي ما يحمله فريق التسليم.
للدقة: هذه شهادات ممارسين يحملها أفراد الفريق. وليست مستوى شراكة مع ServiceNow — لسنا شريكًا لـ ServiceNow، ونقول ذلك في صفحة من نحن أيضًا. وسنخبرك بمن يحمل أي شهادة تحديدًا، بالاسم، أثناء تحديد النطاق.
- CTACertified Technical Architect
- الشهادة المعمارية العليا في ServiceNow. تهمّ حين يكون السؤال هل سيصمد التصميم عبر ثلاث ترقيات، لا هل يمكن بناء نموذج.
- ArchXشهادة على مستوى المعمار
- شهادات مسار المعماريين، وتغطي تصميم المنصة ونمذجة البيانات واستراتيجية النسخ عبر منظومة تطبيقات متعددة.
- CSACertified System Administrator
- خط الأساس للمنصة — الإدارة والإعداد وانضباط الترقية الذي يقوم عليه كل ارتباط.
- CADCertified Application Developer
- تطوير تطبيقات محدّدة النطاق على واجهات مدعومة، وهو ما يُبقي التطبيق المخصص قابلًا للترقية.
- CISCertified Implementation Specialist
- شهادات تنفيذ خاصة بمنتجات عبر الوحدات التي ننفّذها — الشهادة التي ترتبط بمنتج مسمّى لا بالمنصة عمومًا.
- Micro-certificationsاعتمادات مستهدفة للقدرات
- شهادات ServiceNow أضيق نطاقًا لقدرات بعينها، تُحدَّث مع صدور إصدارات المنصة.
الأطر التي تهمّ جهتك التنظيمية.
بنود الامتثال أعلاه عنّا نحن. أما هذه القائمة فعنك أنت. فاستبيان الأمان الخليجي يطرح مجموعة أسئلة تختلف عن نظيره الأمريكي أو الأوروبي، والجواب الصادق عن معظمها معماري لا شهادة.
للدقة في ما يزعمه هذا القسم: نصمّم ونهيّئ وفق عائلات الضوابط هذه ونعطيك الربط كتابةً. لسنا معتمدين وفق أي منها، وحيث يتطلب إطار ما تدقيقًا معتمدًا، فذلك التدقيق يخصك أو يخص مُقيِّمك. ومن يقول لك غير ذلك فهو يبيعك شيئًا.
- NCA ECCالسعودية
- الضوابط الأساسية للأمن السيبراني، وهي إلزامية للجهات الحكومية والبنية التحتية الوطنية الحرجة. نربط التحكم في الوصول إلى المنصة، والتسجيل، وإدارة التغيير، ووصول الأطراف الثالثة بعائلات الضوابط ذات الصلة، ونسلّمك هذا الربط.
- PDPLالسعودية
- نظام حماية البيانات الشخصية، وتنفّذه سدايا. والموافقة والاحتفاظ ونقل البيانات عبر الحدود قرارات تصميم في أي سير عمل يحمل بيانات شخصية — نحسمها قبل البناء لا بعده.
- PDPLالإمارات
- المرسوم بقانون اتحادي رقم 45 لسنة 2021. وتعمل كيانات المناطق الحرة في DIFC و ADGM وفق أنظمة حماية بيانات خاصة بها، فالمجموعة التي تمتد بين البر الرئيسي والمنطقة الحرة عليها أن تستوفي أكثر من نظام.
- معايير NDMOالسعودية
- معايير مكتب إدارة البيانات الوطنية للتصنيف والجودة والاحتفاظ. والتصنيف يقود إعداد المنصة، لذا مكانه مرحلة التصميم.
- SAMA CSFالسعودية
- إطار الأمن السيبراني للبنك المركزي السعودي، وينطبق على البنوك وشركات التأمين وشركات التمويل. وإدارة التغيير والوصول المميّز هما الموضعان اللذان تدخل فيهما منصة سير العمل مباشرةً في النطاق.
- DESC / TDRAالإمارات
- متطلبات مركز دبي للأمن الإلكتروني للجهات الحكومية في دبي، إلى جانب تنظيم الهيئة الاتحادية TDRA. وكثيرًا ما تخضع البرامج متعددة الإمارات لكليهما.
من يلمس بياناتك أيضًا، ولماذا.
نُبقي هذه القائمة قصيرة ومحدّثة. وإن أضفنا معالجًا فرعيًا قد يصل إلى بيانات العملاء، فإننا نُخطر العملاء المعنيين قبل 30 يومًا.
| المورّد | الغرض | البيانات المعنية | الموقع |
|---|---|---|---|
| Anthropic | Claude API — استدلال الذكاء الاصطناعي وردود الوكلاء | نصوص المحادثات، دون بيانات شخصية للعملاء ما لم تُشارَك صراحةً | الولايات المتحدة (مع عدم الاحتفاظ بالبيانات حيثما يتوافر) |
| Vercel | استضافة الموقع الثابت والدوال الطرفية | محتوى الموقع، وما يُرسل عبر النماذج، والتحليلات | شبكة حافة عالمية |
| ServiceNow | تنفيذ المنصة والخدمات المُدارة | إعدادات المنصة، وبيانات سير العمل، وسجلات الحوادث | نسخة العميل — تحت تحكم العميل |
ماذا يحدث إذا ساء شيء.
نحتفظ بخطة مكتوبة للاستجابة للحوادث تُراجَع كل ربع سنة. وكل مستشار يعرف مسار التصعيد.
مراقبة آلية مع قنوات إبلاغ للعملاء.
يُخطَر العملاء المتأثرون بالحادث المؤكَّد، مع تقييم أولي.
يُنشر الإصلاح، ثم يُشارَك تحليل السبب الجذري مع إجراءات وقائية.
جهات اتصال الأمان
لاستبيانات الأمان وطلبات التدقيق وبلاغات الحوادث.
وجدت ثغرة؟ راسل security@ifbash.com بالتفاصيل. نرد عليك وننسب الفضل للباحثين الذين يبلّغون بمسؤولية.
تبقى بيانات العميل في المنطقة التي تحددها حيثما أمكن تقنيًا. وتكون نسخ ServiceNow مرتبطة بمنطقة افتراضيًا.
في أعمال ServiceNow تقيم البيانات في نسخة ServiceNow الخاصة بك — ولا نستضيفها نحن. وفي الوكلاء الذين نبنيهم، تُعالَج بيانات المحادثات عبر Claude API (في الولايات المتحدة، بإعدادات عدم الاحتفاظ بالبيانات) ولا تُخزَّن إلا حيث تهيّئ أنت الاحتفاظ صراحةً. وتُخزَّن بيانات نماذج الويب في البنية الطرفية لـ Vercel.
هل تحتاج إلى استبيان الأمان لدينا؟
نشارك حزمة الأمان الكاملة — الاستبيان وقائمة المعالجين الفرعيين وخطة الاستجابة للحوادث — بموجب اتفاقية سرية خلال يوم عمل واحد.