معايير الأمان

في ProcureLabs، يُعد الأمان أساسياً لمنصتنا. تصف هذه الصفحة التدابير المعمول بها لحماية بيانات المشتريات الخاصة بك، وما تغطيه هذه التدابير وما لا تغطيه.

الامتثال للشهادات

تشفير البيانات

أمان البنية التحتية

• البنية التحتية السحابية: تُستضاف على AWS، الحاصل على شهادات SOC 2 وISO 27001 وPCI DSS. وهذه شهادات AWS وليست شهادات ProcureLabs.
• عزل البيانات: يُفعّل الأمان على مستوى الصفوف في جداول قاعدة البيانات التي تحتوي على بيانات العملاء، بحيث لا تُرجع استعلامات المستخدم الذي سجّل الدخول سوى صفوف مؤسسته. ولا تمر مهام الخلفية والمسارات الإدارية التي تعمل بامتيازات مرتفعة للوصول إلى قاعدة البيانات عبر الأمان على مستوى الصفوف؛ بل تطبّق عامل تصفية المستأجر في شفرة التطبيق.
• التوافر: منطقة AWS واحدة (سنغافورة)؛ ولا يوجد تجاوز للفشل بين المناطق
• التعافي من الكوارث: نسخ احتياطية لقاعدة البيانات مع استرداد إلى نقطة زمنية، يوفّرها مضيف قاعدة البيانات لدينا (Supabase)

التحكم في الوصول

مراقبة الأمن والاستجابة

• إدارة الثغرات: يُفحص كل طلب دمج بحثًا عن الأسرار المُرتكبة (Gitleaks) والثغرات الحرجة القابلة للإصلاح في التبعيات (Trivy).
• الاستجابة للحوادث: يتولى مؤسس ProcureLabs معالجة الحوادث باستخدام أدلة الاستجابة للحوادث في المنصة، ويُخطر العملاء المتأثرون عبر البريد الإلكتروني.
• يمكن الإبلاغ عن المشكلات الأمنية إلى جهة اتصال الأمن لدينا أدناه.

أمن معالجة بيانات الذكاء الاصطناعي

صُممت ميزات الذكاء الاصطناعي لدينا مع مراعاة الأمن والخصوصية:

• معالجة OpenAI تدعم OpenAI المحادثة والتحليل وتقييمات Decisions المحدودة لاختيار الأدوات وأدلة المشتريات. رهناً بإذن العميل الساري والإعداد الإقليمي المتفق عليه، تتلقى Decisions سياقاً وأسئلة جرى تقليلها وحجب البيانات الحساسة فيها للغرض المسموح به. لا تُستخدم بيانات واجهة OpenAI API لتدريب النماذج إلا باشتراك صريح. قد تحتفظ Decisions بحالة ذاكرة التخزين المؤقت المشفرة للمطالبات لمدة تصل إلى 24 ساعة، وبسجلات مراقبة إساءة الاستخدام المعتادة لمدة تصل إلى 30 يوماً، مع مراعاة الاستثناءات الأمنية أو المتعلقة بالسلامة أو القانونية المعمول بها.
• الإذن بمعالجة Decisions تتطلب معالجة Decisions تعليمات سارية من العميل وإذناً للغرض والحساب والمعالج والنقل إلى الولايات المتحدة المحددين. يؤدي تعطيل الذكاء الاصطناعي أو سحب الصلاحية المعنية إلى منع طلبات Decisions الجديدة. وتظل الإجراءات ذات العواقب خاضعة للضمانات المطلوبة والمراجعة المستقلة.
• يخضع الاحتفاظ لفئة البيانات المعنية وتعليمات العميل وأوامر الحفظ القانوني وشروط المزود. ولتاريخ المحادثات والمحتوى المشتق وسجلات التدقيق وسجلات المزود شروط احتفاظ منفصلة. تُعالج طلبات الحذف بموجب اتفاقية معالجة البيانات والقانون المعمول به.
• يمكن للمسؤولين تعطيل ميزات الذكاء الاصطناعي الاختيارية
• يمكن للمسؤول تعطيل ميزات الذكاء الاصطناعي للمؤسسة بأكملها، أو يمكن لكل مستخدم تعطيلها لنفسه
• سجل تدقيق بالقرارات المتعلقة بالإجراءات المقترحة من الذكاء الاصطناعي

موقع تخزين البيانات

تُخزَّن جميع بيانات العملاء في منطقة واحدة. وتعالج ميزات الذكاء الاصطناعي البيانات التي تحتاج إليها لدى مزودي الذكاء الاصطناعي في الولايات المتحدة. ولا تتوفر حاليًا مناطق تخزين إضافية.

الحوكمة

• نحتفظ بسياسة مكتوبة لأمن المعلومات، تتضمن فهرسًا لسياساتنا وإجراءاتنا، وتُراجع مرة واحدة سنويًا على الأقل.
• نحتفظ بمدونة سلوك مكتوبة تغطي النزاهة والسرية وتضارب المصالح.
• لدى ProcureLabs ثلاثة مؤسسين. ويتحمل David Hodge، الرئيس التنفيذي والمدير، مسؤولية الأمن وحماية البيانات. ويجري توثيق ترتيبات مراجعة المؤسس الشريك والتعافي المستقل والتحقق منها.
• نحتفظ بسجل مكتوب للمخاطر، يُراجع مرة واحدة سنويًا على الأقل وقبل إجراء تغييرات جوهرية.
• نحتفظ بعملية مكتوبة لفحص ومراجعة المعالِجين الفرعيين لدينا. وتتولى AWS وSupabase توفير الأمن المادي للخوادم التي تشغّل ProcureLabs؛ ولا ندير أي مراكز بيانات خاصة بنا.
• نحتفظ بخطة مكتوبة لاستمرارية الأعمال، تُراجع مرة واحدة سنويًا على الأقل.
• لدينا إجراء مكتوب لاختبار استعادة قاعدة بياناتنا من النسخة الاحتياطية. وقد اكتمل اختبار استعادة لقاعدة البيانات فقط، وأُزيلت النسخة المؤقتة. ولا تزال استعادة التطبيق بالكامل والمصادقة وتخزين الكائنات، والوصول المستقل من قِبل مشغّل بديل، بحاجة إلى التحقق.

إدارة التغيير وسلامة المعالجة

• تصل تغييرات التعليمات البرمجية إلى فرعنا الرئيسي عبر طلبات دمج يجب أن تجتاز فحوصات خط الأنابيب المطلوبة، بما في ذلك فحص الأسرار وفحوصات ترحيل قاعدة البيانات وفحصًا للتأكد من أن بيانات الأمن والخصوصية في هذا الموقع لا تزال مطابقة للتعليمات البرمجية. ولا يُنشر الإصدار الإنتاجي إلا من ذلك الفرع. ويفشل اختبار آلي إذا أزيل فحص مطلوب أو سُمح له بالفشل.
• تُسجَّل نقاط الضعف المعروفة في التعليمات البرمجية في خطوط الأساس وفي سجل أدلة الامتثال لدينا. ويُحظر التغيير الذي يضيف نقطة ضعف جديدة، مثل معالج أخطاء يتجاهل الخطأ بصمت أو بيان منشور تغيّرت التعليمات البرمجية الداعمة له، إلى أن تُصلح أو تُسجّل.
• تفحص معظم نقاط الكتابة في واجهة API لدينا نص كل طلب مقابل مخطط مُعلن، وترفض الطلب غير المطابق مع خطأ 400.
• يسجل كل تشغيل لمحركات الكشف لدينا، لكل كاشف، ما إذا كان قد اكتمل وعدد النتائج التي أعادها، أو أنه فشل. ويُسجَّل الفشل على أنه فشل، وليس أبدًا على أنه «لا توجد نتائج».