الأمان والخصوصية في إيفا كور
الأمان في إيفا كور مجموعة ضوابط موجودة في المنتج اليوم: تحقق بخطوتين بتطبيق المصادقة، وأدوار تحصر كل موظف في صفحاته، وسجل تدقيق يراه المالك، وتحديد لمحاولات الدخول. والحقيقة الكاملة عن الاستضافة أن الإنتاج يعمل على us-central1، وأن معالجة الذكاء الاصطناعي تتم خارج المملكة.
هذه الصفحة تقول ما هو قائم في المنتج فقط، وكل بند فيها قرأناه في الشيفرة قبل أن نكتبه. لا نذكر شهادات امتثال لا نملكها، ولا نصف استضافة لا نوفرها. إن احتاجت جهتك شيئاً غير مذكور هنا فاسألنا قبل الاشتراك، وسنجيبك بما هو موجود فعلاً.
تبدأ الحماية عند الدخول: كلمة المرور تُحفظ مجزّأة بخوارزمية bcrypt لا نصاً صريحاً، وكوكي الجلسة لا تقرؤه سكربتات الصفحة، ويُرسل عبر اتصال مشفّر في الإنتاج. ومحاولات تسجيل الدخول واستعادة كلمة المرور ورموز التحقق محدودة العدد في الدقيقة أو الساعة حتى لا يُجرَّب التخمين بلا نهاية.
ثم تأتي الصلاحيات: المالك يدير الفوترة والربط والإعدادات والأعضاء، والعضو يرى ما يخص عمله، وموظف الاتصال يصل إلى صفحات المتابعة فقط، والمالية تصل إلى الحجوزات والعرابين ودفعات المشترين وأرقام المطوّر دون المحادثات والعملاء. وما لم يُدرج صراحةً لموظف الاتصال أو المالية يُرفض له افتراضياً.
وأخيراً الشفافية: سجل التدقيق يخبر المالك من غيّر سعراً أو مالك عميل أو صلاحية أو إعداداً، ومتى. ولا يخبرنا ولا يخبرك بكلمات المرور أو المفاتيح، لأن التفاصيل التي تشبه الأسرار تُحجب قبل عرضها.
التحقق بخطوتين
بعد كلمة المرور يطلب النظام رمزاً من ستة أرقام من تطبيق المصادقة، يتغير كل 30 ثانية. عند التفعيل تحصل على 10 رموز استرداد تظهر مرة واحدة، ويُستهلك كل رمز بعد استعماله. ويستطيع مالك المكتب أن يشترط التحقق بخطوتين على كل الأعضاء، وعندها تُنهى جلسات من لم يفعّله. وإن اشترطه المكتب على موظف لم يفعّله بعد فيُعدّ إعداده في صفحة الدخول نفسها. صلاحية خطوة التحقق خمس دقائق ولمرة واحدة فقط، ومحاولات إدخال الرمز محدودة العدد.
الأدوار والصلاحيات
للحساب دور من أربعة: المالك، والعضو، وموظف الاتصال، والمالية. أعمال الفوترة والربط وإعدادات المكتب وإدارة الأعضاء تقتصر على المالك. وموظف الاتصال والمالية يُحجبان عن كل صفحة غير مدرجة لهما، فإن كتب أحدهما عنواناً آخر في المتصفح فلن يصل إليه. وفي المكاتب التي لها فرق يرى قائد الفريق عملاء فريقه.
سجل التدقيق
يعرض سجل التغييرات للمالك من فعل ماذا ومتى، بوصف عربي لكل إجراء، ويمكن تصفيته بحسب الفئة مثل العملاء والمشاريع والأسعار والحجوزات والفريق والصلاحيات والإعدادات، وتصديره إلى ملف CSV. السجل للمالك وحده، ويتحقق النظام من ذلك قبل قراءة أي سطر. وهو ضمن أدوات الفريق في خطة المكتب.
حماية الجلسات وكلمات المرور
تُحفظ كلمات المرور مجزّأة بخوارزمية bcrypt. وكوكي الجلسة محمية من قراءة سكربتات الصفحة، وتُرسل عبر اتصال مشفّر في الإنتاج، وتنتهي صلاحيتها. وتحدّ المنصة من محاولات الدخول واستعادة كلمة المرور وإدخال رموز التحقق.
الملفات المرفوعة
عند رفع صورة أو ملف PDF لا يكفي اسم الملف ولا نوعه كما يرسله المتصفح، بل يفحص النظام محتوى الملف نفسه، ويقبل أنواعاً محددة فقط هي PDF وJPEG وPNG وWebP وGIF، ويحدّ أبعاد الصور المقبولة.
حقيقة الاستضافة
الإنتاج يعمل اليوم على us-central1، وهي منطقة في الولايات المتحدة. معالجة الذكاء الاصطناعي تتم خارج المملكة. ولا نقول إن بياناتك داخل السعودية لأن هذا غير صحيح اليوم. الاستضافة داخل المملكة متاحة بطلبك على سحابة سعودية بعرض سعر لكل عميل، ويبقى نموذج الذكاء الاصطناعي خارج المملكة حتى في هذه الحالة.
ما لا ندّعيه
لا ندّعي شهادة امتثال لمعيار بعينه، ولا ندّعي أن المنصة معتمدة من جهة بعينها. نصف ما يوجد في المنتج فقط، ومن احتاج مستنداً محدداً لجهته فليطلبه منا وسنجيبه بوضوح عما نملكه وما لا نملكه.
أسئلة شائعة
- كيف أفعّل التحقق بخطوتين؟
- تفعّله من صفحة حسابك باستخدام أي تطبيق مصادقة يولّد رموزاً من ستة أرقام. عند التفعيل تظهر لك 10 رموز استرداد مرة واحدة فاحفظها. وإن أردت أن يلتزم كل فريقك به فاشترطه من إعدادات الفريق.
- ماذا لو فقدت هاتفي وعليه تطبيق المصادقة؟
- تستطيع الدخول برمز استرداد من الرموز العشرة التي حصلت عليها عند التفعيل، ويُستهلك الرمز بعد استعماله. احتفظ بها في مكان آمن خارج هاتفك.
- من يستطيع قراءة سجل التدقيق؟
- المالك وحده يقرأ سجل التدقيق، ويتحقق النظام من دوره قبل قراءة أي سطر. لا يرى الأعضاء ولا موظفو الاتصال ولا المالية هذه الصفحة.
- هل بياناتنا مستضافة داخل السعودية؟
- لا، الإنتاج اليوم على us-central1، ومعالجة الذكاء الاصطناعي تتم خارج المملكة. تتوفر استضافة داخل المملكة بطلبك بعرض سعر، ويبقى نموذج الذكاء الاصطناعي خارجها.
- هل يستطيع الموظف رؤية بيانات لا تخص عمله؟
- لا، لكل دور صفحاته. فموظف الاتصال والمالية يُرفض لهما افتراضياً ما ليس مدرجاً لهما: موظف الاتصال يصل إلى صفحات المتابعة وبعض الصفحات الأساسية فقط، والمالية تصل إلى الحجوزات والعرابين ودفعات المشترين وأرقام المطوّر فقط، والعضو يرى ما يخص عمله.
- هل تحصلون على شهادات امتثال؟
- لا نذكر شهادة امتثال لأننا لا ندّعي شيئاً غير موجود. إن كنت تحتاج مستنداً أو إجابة عن سؤال أمني معين لجهتك فراسلنا وسنجيب بما هو قائم فعلاً.
جاهز تجرّب على مكتبك؟
أنشئ حساب مكتبك وابدأ، أو كلّمنا إذا كان عندك مشروع كبير.