الأمان

أمان روتيني لكنه أساسي.

تتعامل معظم منصات الحجز مع الأمان كشارة تفاخر. أما نحن فنتعامل معه كالحد الأدنى من العقد الذي ندين به لكل مشغّل.

PCI-DSS

موروث عبر Stripe/Adyen

لا تلمس بيانات البطاقات خوادمنا أبدًا — تُرمَّز عند البوابة.

GDPR

ممتثل

تصدير وحذف كامل للبيانات، وجاهزية للمادة 17، واتفاقية معالجة بيانات (DPA) عند الطلب.

CCPA

ممتثل

الحق في المعرفة والحذف مصون. إلغاء الاشتراك في البيع غير قابل للتطبيق — فنحن لا نبيع البيانات.

SOC 2 Type I

مخطط له، لم يُجدول بعد

الضوابط قائمة؛ وسنستعين بمدقق عندما يبرر طلب العملاء هذه التكلفة.

عزل المستأجرين

كل صف في قاعدة البيانات مقيّد بمساحة العمل. ويستحيل فعليًا أن يقرأ خلل في مسار كود مساحة عمل ما بيانات مساحة عمل أخرى.

تشفير في كل مكان

TLS 1.3 أثناء النقل. وAES-256 عند التخزين للنسخ الاحتياطية وأي سر نخزنه. وأسرار الدفع الخاصة بكل مساحة عمل مشفّرة بطبقة تغليف (envelope encryption).

وصول بأقل الصلاحيات

صلاحيات قائمة على الأدوار لكل مساحة عمل. صلاحيات دقيقة لكل مجال (المنتجات، والحجوزات، والأعضاء). وتتغير رموز الجلسات مع كل استخدام.

ما نوفره اليوم

  • رموز وصول قصيرة الأمد مقترنة برموز تحديث للاستخدام مرة واحدة. وتؤدي إعادة استخدام رمز تحديث تم تدويره إلى إبطال الجلسة كإشارة اختراق.
  • مفاتيح توقيع خاصة بكل حساب لتكاملات webhook. وسر التوقيع الخاص بك لا يُشارَك عبر مساحات العمل.
  • مفاتيح idempotency على كل نقطة نهاية تُجري تعديلات، بحيث تكون إعادة المحاولة آمنة.
  • سجل تدقيق لكل تعديل في مساحة العمل (من، ومتى، وماذا).
  • تصدير/حذف البيانات عند الطلب، مع مراعاة حقوق الحذف بموجب المادة 17 من GDPR / CCPA.

ما هو قيد التنفيذ

  • المصادقة الثنائية عبر TOTP لأصحاب مساحات العمل — قيد الإطلاق حاليًا.
  • شهادة SOC 2 من النوع الأول — الضوابط قائمة بالفعل؛ وسنستعين بمدقق عندما يطلب أحد العملاء المحتاجين إلى هذه الشهادة ذلك. ويسعدنا تقديم توثيق ضوابطنا في الوقت الحالي.
  • تسجيل الدخول الموحّد SSO عبر SAML / OIDC للمشغّلين الذين لديهم مزوّد هوية مركزي — مخطط له.

الإفصاح المسؤول

الأمان أولاً

وجدت ثغرة أمنية؟ راسلنا على [email protected]. نفرز البلاغ خلال أربع ساعات في أيام العمل. لا يوجد برنامج مكافآت ثغرات بعد، لكن الإفصاح المسؤول يحصل على تنويه علني (اختياري) وشكرنا الصادق.

يرجى عدم تشغيل أدوات فحص آلية ضد بيئة الإنتاج — فنحن نلاحظها، وهي تبطئ عملية الفرز الفعلية. اختبارات لمرة واحدة على مساحة عملك الخاصة مقبولة.

المعالجون الفرعيون

تساعد قائمة قصيرة من المزوّدين في تشغيل المنصة. ولكل منهم اتفاقية معالجة بيانات (DPA) موقّعة معنا، وتم اختيارهم بناءً على سجلهم الأمني. والقائمة الحالية متاحة عند الطلب — راسلنا على [email protected].

أسئلة أمنية قبل الالتزام؟

اسألنا عن أي شيء — توثيق الضوابط، واتفاقية معالجة البيانات، وقائمة المعالجين الفرعيين. أو أنشئ مساحة عمل وافحص المنصة بنفسك.