الأمان
الأمان في DueVestor
كيف نحافظ على أمان بياناتك وبيانات موضوعاتك أثناء النقل وعند التخزين وفي مواجهة التهديدات الداخلية.
التشفير
TLS 1.2+ أثناء النقل (منتهية عند Cloudflare بتشفيرات حديثة). تُشفَّر نسخ قاعدة البيانات الاحتياطية قبل مغادرتها الخادم.
ضوابط الوصول
يقتصر الوصول إلى بيئة الإنتاج على مؤسس واحد مشغّل. تمر العمليات الإدارية الحساسة عبر سجل مراجعة (ADR-058) مع احتفاظ لمدة سنتين. وصول API معتم لكل مفتاح (مُجزَّأ بـHMAC-SHA256؛ ADR-056) — لا يمكن إعادة استخدام مفتاح مسرَّب من قاعدة بيانات دون سر التطبيق.
جدار الحماية للتطبيقات والحماية من هجمات DDoS
يعمل DueVestor خلف شبكة Cloudflare من مستوى Pro، مما يوفر جدار حماية لتطبيقات الويب (WAF) وتخفيفاً تلقائياً لهجمات DDoS وتصفية الروبوتات على حافة الشبكة. تحمي قواعد WAF المُدارة من أنماط هجوم OWASP Top 10 قبل وصولها إلى طبقة التطبيق.
الإبلاغ عن ثغرة أمنية
أرسل بريدًا إلكترونيًا إلى [email protected] يتضمن وصفًا للثغرة وخطوات إعادة الإنتاج ودرجة CVSS المقترحة منك. نلتزم بالإقرار بالاستلام خلال 72 ساعة والإصلاح أو التفسير خلال 30 يومًا. لا توجد مكافآت مالية في الإصدار الأول؛ ويمكننا منحك اعترافًا علنيًا في تقرير ما بعد الحادثة إن رغبت في ذلك.
ما الذي نرسله إلى نماذج اللغة الكبيرة
يتم إعداد التقارير على Google Cloud Vertex AI (EU Multi-Region)، مع Amazon Web Services Bedrock (eu-central-1) كمسار أوروبي ثانٍ. Anthropic للاحتياط فقط: إذا تعذّر الوصول إلى المسارين الأوروبيين، يتوقف التقرير مؤقتاً ولا تتم معالجته عبر Anthropic على خوادم في الولايات المتحدة إلا بعد موافقة صريحة ومسجَّلة من العميل (مدة احتفاظ المزوّد: 30 يوماً). بيانات الموضوع المرسلة إلى Anthropic تُرسل بموجب عقد يحظر التدريب — ولا تُستخدم لتدريب النماذج.
المعالجون الفرعيون
تستعين DueVestor بالمعالجين الفرعيين التاليين لتقديم الخدمة. نُخطر العملاء قبل 30 يومًا من إضافة أي معالج فرعي يعالج بيانات شخصية خاصة بالاتحاد الأوروبي.
| المورّد | الغرض | المنطقة |
|---|---|---|
| RunPod | Hosting — application, database, workers | EEA |
| Cloudflare | CDN + DNS + WAF + DDoS protection + file storage (R2) | Global |
| Google Cloud (Vertex AI) | LLM inference — first European route | EU Multi-Region |
| Amazon Web Services (Bedrock) | LLM inference — second European route | EU (eu-central-1) |
| Anthropic | LLM inference — fallback only, consent-gated for reports (no-training contract) | US |
| Resend | Transactional email | US |
| Twilio | SMS / phone verification | US |
| PayPal | Credit purchases | US |
| GitHub | Source code hosting (no user data) | US |
هل تحتاج إلى اتفاقية معالجة بيانات موقّعة؟
يمكن للعملاء طلب اتفاقية معالجة بيانات (DPA) موقّعة.
عرض اتفاقية DPA / توقيعها →