§01السرية
التحكم في الدخول
• مكاتب في مبنى به خدمة أمنية؛ لا يُسمح بدخول غير المصرح لهم.
• غرف عمل قابلة للقفل؛ والمستندات في خزائن قابلة للقفل.
• لا توجد غرف خوادم خاصة: تتم المعالجة حصرًا لدى مقدِّمي خدمات الاستضافة الذين لديهم مراكز بيانات في الاتحاد الأوروبي تتمتع بضوابط دخول معتمدة خاصة بها.
التحكم في الوصول
• جميع حسابات الشركة ووصول المسؤولين محمية بالمصادقة الثنائية.
• الأجهزة الطرفية محمية بكلمة مرور أو تسجيل دخول بيومتري (بصمة الإصبع/التعرّف على الوجه)؛ وقفل تلقائي للشاشة بعد 20 دقيقة على الأكثر.
• تتم إدارة كلمات المرور حصرًا في برامج إدارة كلمات المرور.
• استخدام شاشات الخصوصية عند العمل المتنقل؛ وتفعيل جدار الحماية والآليات الوقائية لأنظمة التشغيل؛ وتثبيت التحديثات الأمنية تلقائيًا.
• يتم حظر الوصول فورًا للأشخاص الذين يتركون العمل.
التحكم في صلاحيات الوصول
• مفهوم الأدوار والصلاحيات: يقتصر الوصول إلى بيانات العملاء على المالك والأشخاص المكلفين بالتشغيل والتطوير؛ ويتمتع موظفو المبيعات بصلاحيات محدودة فقط.
• عزل المستأجرين على مستوى قاعدة البيانات (Row-Level-Security): لا يرى كل عميل إلا بيانات حسابه الخاص حصرًا.
• الوصول عبر API فقط بمفاتيح خاصة بالعميل وقابلة للإلغاء؛ وتُخزَّن المفاتيح كـ Hash فقط.
التحكم في الفصل
• فصل منطقي للبيانات لكل عميل (مستأجر).
إخفاء الهوية / تقليل البيانات
• يتعرّف lead.box على الشركات، وليس على أفراد معينين؛ ولا يتم إنشاء ملفات تعريفية للأشخاص الطبيعيين.
§02النزاهة
التحكم في النقل
• يتم النقل بشكل مشفّر حصرًا (TLS/HTTPS)؛ وتُرسَل إخطارات الويب (Webhooks) بتوقيع HMAC.
التحكم في الإدخال
• تسجيل التغييرات والوصول الإداري (سجل التدقيق).
§03التوافر والقدرة على التحمل
• نسخ احتياطي يومي تلقائي للبيانات لدى مقدِّم خدمة الاستضافة في الاتحاد الأوروبي.
• الاستضافة على بنية تحتية سحابية زائدة عن الحاجة في الاتحاد الأوروبي؛ ومراقبة الأعطال والأخطاء.
§04إجراءات المراجعة المنتظمة
• فحوصات أمنية منتظمة للتطبيق (بما في ذلك عمليات الفحص الأمني الآلي، ومراجعة قواعد الوصول).
• حماية البيانات عبر تصميم التقنية والإعدادات المسبقة الصديقة للخصوصية.
التحكم في إسناد المعالجة
• يتم اختيار المعالِجين الفرعيين بعناية ولا يتم إشراكهم إلا بموجب اتفاقية معالجة بيانات. إذا تمت معالجة البيانات خارج الاتحاد الأوروبي/المنطقة الاقتصادية الأوروبية، فلا يتم ذلك إلا على أساس قرار ملاءمة صادر عن المفوضية الأوروبية (مثل EU-US Data Privacy Framework) أو البنود التعاقدية القياسية للاتحاد الأوروبي (المادة 46 من اللائحة العامة لحماية البيانات (GDPR)).
• يلتزم الموظفون وشركاء التوزيع بالسرية بموجب عقد.
إدارة الحوادث
• يتم إبلاغ العميل بانتهاكات حماية البيانات دون تأخير، وفي موعد أقصاه 72 ساعة من العلم بها.
مفهوم الحذف
• إنهاء الخطة يوقف عملية الجمع؛ ويظل الحساب قائمًا حتى طلب حذفه.
• بناءً على طلب العميل، يتم حذف الحساب وجميع البيانات المرتبطة به في غضون 30 يومًا.