النطاق والمسؤولية
تسري هذه السياسات على منصّة Watsy التي تشغّلها ربوع قرطاج للتجارة العامة محدودة المسؤولية شركة خاصة، وعلى كل من يصل إلى أنظمتها أو بياناتها: موظفين ومتعاقدين ومزوّدي خدمات.
- مسؤول الأمان والخصوصية: مدير الشركة. يعتمد هذه السياسات، ويتابع تنفيذها، وهو نقطة الاتصال لكل استفسار أمني أو يخصّ الخصوصية.
- البيانات المحمية: بيانات حسابات التجّار، ومحادثاتهم مع عملائهم ووسائطها، ورموز الربط بمنصّات المراسلة، وبيانات الدفع التي نراها.
- تكمّل هذه الوثيقة سياسة الخصوصية وتعليمات حذف البيانات ولا تحلّ محلّهما.
سياسة أمن المعلومات
نبني الأمان على ثلاثة مبادئ: أقلّ صلاحية لازمة، والحاجة إلى المعرفة، والدفاع على عدّة طبقات بحيث لا يكفي اختراق ضابط واحد للوصول إلى البيانات.
- الحوكمة: يعتمد مسؤول الأمان هذه السياسات ويراجعها مرة في السنة على الأقل، وبعد كل تغيير جوهري في المنصّة أو حادث أمني.
- السرّية: يلتزم كل من يُمنح وصولاً إلى بيانات التجّار بالسرّية كتابةً قبل منحه الوصول.
- التوعية: يتلقّى كل من له وصول توعية أمنية عند انضمامه ومرة في السنة على الأقل (التصيّد، وحماية كلمات المرور، والتبليغ عن الحوادث).
- أجهزة العمل: يجب أن تعمل أجهزة العمل بتشفير كامل للقرص، وحماية من البرمجيات الخبيثة مفعّلة ومحدَّثة، وقفل تلقائي للشاشة خلال 15 دقيقة على الأكثر، وتحديثات أمنية تلقائية.
- فصل البيئات: بيئة التجربة معزولة عن الإنتاج بقاعدة بيانات وتخزين منفصلين، ولا تُنسخ إليها بيانات تجّار حقيقيين.
- المزوّدون: لا نعتمد مزوّداً يعالج بيانات التجّار إلا بعقد معالجة يُلزمه بحدود ما نطلبه، وقائمتهم منشورة في سياسة الخصوصية.
سياسة التحكّم بالوصول
يُمنح الوصول على أساس الحاجة إلى المعرفة وأقلّ صلاحية لازمة، ويُسحب فور انتفاء الحاجة.
داخل حساب التاجر
- ثلاثة أدوار بصلاحيات متدرّجة: المالك (الإعدادات والفوترة)، والمدير (إدارة الفريق والعمل اليومي)، والموظف (المحادثات فقط).
- الصلاحيات تُفرض في الواجهة البرمجية وفي قاعدة البيانات نفسها بعزل على مستوى الصف، فلا تصل مؤسسة إلى بيانات مؤسسة أخرى حتى لو أخطأ التطبيق.
- كلمة المرور 10 أحرف على الأقل، وتُرفض الكلمات الشائعة وما يحوي اسم المستخدم أو بريده. وتسجيل الخروج يُنهي الجلسة على كل الأجهزة.
طاقم المنصّة
- لكل عضو في الطاقم صلاحيات محدّدة بالقسم الذي يعمل فيه، ولا يستطيع أحد منهم منح صلاحيات الإعدادات أو إدارة الطاقم — هذا القيد مفروض في قاعدة البيانات.
- كل اطّلاع من الطاقم على بيانات تاجر، وكل إجراء على حسابه، يُسجَّل باسم من قام به ووقته.
- يُتحقَّق من أن الحساب غير موقوف مع كل طلب، فيسري الإيقاف فوراً.
البنية التحتية
- الدخول إلى الخوادم بمفاتيح تشفير فقط: كلمات المرور معطّلة، ودخول المستخدم الجذر معطّل.
- أدوات الإدارة والمراقبة غير مكشوفة للإنترنت، ولا تُفتح إلا عبر نفق مشفّر.
- التحقّق بخطوتين إلزامي على كل حساب إداري لدى مزوّدي الاستضافة وقاعدة البيانات والتخزين والنطاق والمستودع البرمجي ومنصّات المراسلة.
- الأسرار التشغيلية لا تُحفظ في المستودع البرمجي، وتُمرَّر إلى الخدمات وقت التشغيل.
المنح والمراجعة والسحب
- يعتمد مسؤول الأمان كل وصول إداري قبل منحه.
- تُراجَع الصلاحيات الإدارية مرة في السنة على الأقل، ويُسحب ما لم يعد لازماً.
- عند انتهاء عمل أي شخص يُسحب وصوله في يوم انتهائه نفسه.
- تُحفظ سجلّات الوصول الإداري والأحداث الحسّاسة 12 شهراً على الأقل.
حماية البيانات والشبكة
- أثناء النقل: كل اتصال بالمنصّة عبر TLS 1.2 أو 1.3 فقط.
- رموز الوصول والأسرار: مشفّرة بخوارزمية AES-256-GCM قبل حفظها، فلا تُقرأ نصّاً حتى من القاعدة.
- عند التخزين: قاعدة البيانات وتخزين الوسائط مشفّران لدى مزوّديهما بمعيار AES-256، والنسخ الاحتياطية خارج الموقع مشفّرة.
- الرسائل الواردة: نتحقّق من توقيع كل Webhook قبل قبوله، فلا تُقبل رسالة مزوّرة.
- الشبكة: جدار حماية لا يفتح إلا منافذ الويب المشفّر والإدارة المقيّدة، والخدمات الداخلية لا تنشر أي منفذ للإنترنت.
- صدّ الإساءة: تحديد لمعدّل الطلبات على الحافة وفي الواجهة البرمجية، وأشدّه على صفحات الدخول.
- المتصفّح: سياسة أمان محتوى صارمة بمفتاح عشوائي لكل طلب، وترويسات أمان على كل صفحة.
- الوسائط: تُقدَّم بروابط موقّتة لا بروابط دائمة مكشوفة.
- موقع الخوادم: خوادم التطبيق في ألمانيا.
إدارة الثغرات
- كل تغيير برمجي يمرّ بفحص آلي لتبعيّاته، ويُمنع دمج أي تغيير فيه ثغرة حرجة.
- تحديثات الأمان لنظام التشغيل تُثبَّت تلقائياً.
- نُجري تقييماً خارجياً لسطح المنصّة دورياً. آخر تقييم داخلي في 29 أيلول/سبتمبر 2026، وعولجت كل نتائجه في اليوم نفسه، ونحتفظ بتقاريره.
- تقييمات مستقلّة يمكنك التحقّق منها الآن: Mozilla HTTP Observatory (A+) وQualys SSL Labs (A+)، بتاريخ أيلول/سبتمبر 2026.
- مُهل المعالجة: الحرجة خلال 7 أيام، والعالية خلال 30 يوماً، وما دونها في دورة التحديث التالية.
النسخ الاحتياطي والاستمرارية
- نسخة احتياطية يومية لقاعدة البيانات، ونسخة مشفّرة خارج الموقع محمية من الحذف لمدة محدّدة.
- نسخة احتياطية لوسائط المحادثات تحتفظ بالمحذوف 14 يوماً فقط ثم يُمحى نهائياً (كما في سياسة الخصوصية).
- نختبر الاسترجاع فعلياً، لا نكتفي بوجود النسخ؛ آخر اختبار ناجح في 29 أيلول/سبتمبر 2026.
المراقبة والسجلّات
- فحص لتوفّر المنصّة كل دقيقة يشمل قاعدة البيانات والطوابير، وتنبيهات فورية عند الأعطال وعند تجاوز حدود الموارد.
- رصد آلي للأعطال البرمجية والمهام المجدولة.
- السجلّات التقنية تُنقّى آلياً من كلمات المرور والرموز والأسرار قبل كتابتها.
- الأحداث الحسّاسة واطّلاع الطاقم على بيانات التجّار مسجَّلة كما في القسم 3.
سياسة الاستجابة للحوادث
الحادث الأمني أي حدث يهدّد سرّية البيانات أو سلامتها أو توفّرها: وصول غير مصرّح به، أو تسرّب، أو اختراق حساب، أو تعطّل واسع، أو ثغرة تُستغلّ فعلاً.
| المرحلة | ما نفعله | المهلة |
|---|---|---|
| الرصد والتقييم | تسجيل الحادث وتحديد خطورته (حرج، عالٍ، متوسّط، منخفض) ونطاقه | خلال 24 ساعة من اكتشافه |
| الاحتواء | عزل ما تأثّر، وسحب الرموز والمفاتيح المكشوفة وتدويرها، وإيقاف الحسابات المخترقة | فوراً للحرج والعالي |
| المعالجة والتعافي | إزالة السبب، والاسترجاع من نسخة سليمة عند الحاجة، والتحقّق قبل العودة إلى التشغيل | بحسب الخطورة |
| الإخطار | إخطار التجّار المتأثّرين بما حدث وما يمسّهم وما فعلناه، وإخطار الجهات الرقابية ومنصّات المراسلة الشريكة حيث يلزم | دون تأخير غير مبرَّر، وخلال 72 ساعة من التأكّد إن مسّ بيانات شخصية |
| المراجعة | تقرير مكتوب بالسبب الجذري والدروس والإجراءات التصحيحية | خلال 14 يوماً من إغلاق الحادث |
- نحفظ الأدلّة والسجلّات المتعلّقة بالحادث، ونوثّق كل حادث وقراراته.
- نُجري تمريناً على هذه الخطة مرة في السنة على الأقل، ونحدّثها بما يكشفه.
- للتبليغ عن حادث تشتبه به: support@watsy.pro.
التبليغ عن ثغرة
إن وجدت ثغرة أمنية في Watsy فنرحّب بتبليغك ونشكرك عليه.
- أرسل إلى support@watsy.pro بعنوان يبدأ بـ[Security]، مع وصف الثغرة وخطوات إعادة إنتاجها وأثرها المتوقّع.
- نؤكّد الاستلام خلال 3 أيام عمل، ونطلعك على المعالجة حتى إغلاقها.
- نطلب منك: ألّا تصل إلى بيانات غيرك أو تعدّلها أو تحذفها، وأن تكتفي بالحدّ الأدنى لإثبات الثغرة، وألّا تنشرها قبل معالجتها.
- خارج النطاق: هجمات حجب الخدمة، والهندسة الاجتماعية، والوصول المادي، والبريد المزعج.
- لا نتّخذ أي إجراء قانوني ضدّ من يلتزم بهذه الشروط بحسن نيّة. ولا نقدّم حالياً مكافآت مالية.
- هذا التوجيه منشور آلياً في security.txt بحسب المعيار RFC 9116.
مراجعة هذه السياسات
يعتمد مسؤول الأمان هذه السياسات ويراجعها مرة في السنة على الأقل. يظهر تاريخ آخر تعديل في رأس الصفحة، وأي تغيير جوهري يُعلن هنا.