الثقة والأمن والامتثال في LiveGRC

تُخزَّن بيانات العملاء في بيئة الإنتاج (قاعدة البيانات والمصادقة والتخزين) في AWS eu-central-1 (فرانكفورت، ألمانيا)، وتعمل طبقة التطبيق والحافة على بنية سحابية مُدارة في مناطق الاتحاد الأوروبي والولايات المتحدة.

لا. لا تستضيف LiveGRC داخل المملكة اليوم ولا تقدّم أي التزام بإقامة البيانات في السعودية. والاستضافة داخل المملكة بند في خارطة الطريق ولا يجوز تقديمها كمتاحة أو وشيكة.

نعم. تُقدَّم جميع نقاط النهاية للتطبيق وواجهات البرمجة والمصادقة عبر TLS.

التشفير عند التخزين موروث من منصة قاعدة البيانات والتخزين المُدارة، ومستودعات الأدلة خاصة. ولا نُشغّل مفاتيح يديرها العميل، ولا نملك تصديقاً مستقلاً على إعدادات التشفير لدى المزوّد.

أمن مستوى الصف مُفعّل على كل جداول التطبيق، وتُقيَّد جداول الأعمال بحسب المؤسسة عبر دالة تحقق من نوع security definer. وتُخزَّن الأدوار في جدول مخصص ولا تُقرأ إطلاقاً من تخزين المتصفح. أما الوصول المميّز فيوجد فقط في وحدات خادمية لا يمكن لكود الواجهة استيرادها.

نعم. تكتب الجداول الحساسة الحالة قبل التغيير وبعده في سجل تدقيق غير قابل للتعديل. ولا يملك العملاء أي صلاحية إضافة أو تعديل أو حذف عليه، وتُربط القيود بسلسلة تجزئة عبر مُشغِّل في قاعدة البيانات ليصبح العبث قابلاً للكشف. وتحمل القيود هوية المستخدم المصادق وطابعاً زمنياً من الخادم، وتُسجَّل عمليات التصدير.

نعم. القائمة الحالية — المزوّد والخدمة وغرض المعالجة وموقعها حيثما تم التحقق — منشورة في مركز الثقة وتُعد جزءاً من ملحق معالجة البيانات. وتُوسم المواقع غير المتحقق منها بأنها قيد التحقق بدل تأكيدها.

لا نستخدم محتوى العملاء لتدريب أي نماذج، ويُرسل المحتوى إلى مزوّد النموذج من طرف ثالث بموجب شروط تستثني التدريب على المحتوى المُرسل. ويعكس ذلك إعداداتنا وشروط المزوّد، ولم نُجرِ تدقيقاً مستقلاً على المزوّد.

المساعد استشاري وللقراءة فقط: يصيغ ويشرح ولا يعتمد ولا يقيّم ولا يعدّل السجلات. ويُنقَّح السياق الحساس للخصوصية قبل خروج المحفزات من المنصة، وتُطبَّق حدود معدل تفشل مغلقة لكل مستخدم ولكل منشأة، وتُشترط المراجعة البشرية قبل استخدام أي مخرجات. والمخرجات ليست استشارة قانونية ولا حكماً بالامتثال.

إجراء موثّق بأدوار محددة (قائد الحادث، ومسؤول التشغيل، ومسؤول الاتصال) يغطي الاحتواء والتقييم وقرار الإشعار والمعالجة والمراجعة اللاحقة، مدعوماً بقائمة تمرين مكتبي جرى تنفيذها داخلياً. وعند عملنا كمعالج نُخطر العملاء المتأثرين دون تأخير غير مبرر بعد علمنا بأي اختراق للبيانات الشخصية وندعم إشعاراتهم للجهة التنظيمية ولأصحاب البيانات.

نعم. توفّر منصة قاعدة البيانات نسخاً احتياطياً آلياً مُداراً مع إمكانية الاسترجاع الزمني، وتُنفَّذ عمليات الاستعادة من مزوّد المنصة عند الطلب، ويوجد دليل موثّق للتعافي والاستمرارية.

يمكن طلب حذف البيانات أو إعادتها عند انتهاء الاشتراك، ويُنفَّذ ذلك كإجراء إنهاء يديره مشغّل المنصة مع مراعاة الالتزامات النظامية بالاحتفاظ، لا كحذف ذاتي بنقرة واحدة. وقيود سجل التدقيق غير قابلة للتعديل ويُحتفظ بها بعد حذف السجلات الأصلية للحفاظ على كشف العبث. ولا يوجد اليوم إجراء محذوف مُختبر لكامل بيانات المنشأة.

نعم جزئياً. يمكن للمالك والمسؤول تنزيل حزمة JSON منظمة لسجلات حوكمة المنشأة من الإعدادات، كما تدعم كل وحدة التصدير إلى CSV وExcel وPDF، وتُسجَّل جميع عمليات التصدير. وتغطي الحزمة السجلات المنظمة فقط، أما الملفات المرفوعة وسجل التدقيق وفواتير الاشتراك فتُقدَّم بشكل منفصل عند الطلب.

نخضع لنظام حماية البيانات الشخصية بصفتنا معالجاً لمحتوى العميل ومتحكماً في بيانات حساباتنا، وندعم التزامات العميل تعاقدياً عبر ملحق معالجة البيانات وضوابط المنصة. ولا يوجد لدينا أي شهادة امتثال للنظام أو تسجيل لدى سدايا أو موافقة حكومية، ولا ندّعي ذلك.

لا. لا تحمل LiveGRC حالياً شهادة ISO 27001 وليست تحت تدقيق اعتماد. ويُدعم إطار ISO 27001 داخل المنصة كإطار حوكمة والتزام يمكن للعملاء إدارة برامجهم وفقه.

لا. لا يوجد تقرير SOC 2 من النوع الأول أو الثاني ولا أي تصديق تدقيق من طرف ثالث.

يمكن للعميل تصدير سجلاته قبل الإنهاء أو عنده. ثم تُنفَّذ الإعادة أو الحذف بموجب ملحق معالجة البيانات وسياسة الاحتفاظ المنشورة، مع مراعاة الالتزامات النظامية بالاحتفاظ بسجلات الفوترة والتدقيق.

تحدد اتفاقية مستوى الخدمة المنشورة التزام التوافر وأهداف الاستجابة للدعم ونوافذ الصيانة وآلية أرصدة الخدمة. ولا يُبلَّغ عن التوافر إلا حيث توجد أدلة قياس، ولا يُقر أي رصيد دون دليل مقاس.

يدير العميل مستخدميه وإسناد الأدوار لديهم، وينفّذ مراجعات دورية للوصول، ويحمي بيانات الاعتماد ويفعّل التحقق متعدد العوامل حيثما وفّره مزوّد هويته، ويقرر ما يُدخَل من بيانات شخصية إلى المنصة وأساسها النظامي، ويتحقق من أي مخرجات مدعومة بالذكاء الاصطناعي قبل الاعتماد عليها.