وضعية الأمان والامتثال.

المصادقة

JWT مع كل طلب. البريد الإلكتروني وكلمة المرور مع التحقق. Google OAuth. SAML وOIDC لـ SSO المؤسسي. JWT خاص بكل زائر للواجهات المضمّنة.

التفويض

RBAC على مستوى المشروع (المالك، المسؤول، المحرر، المشاهد). أداة إعادة كتابة نطاق SQL على مستوى AST (مبنية على sqlglot) تُضيف شروط WHERE خاصة بكل مستأجر في كل استعلام. دفاع ثلاثي الطبقات: وسيط العميل، وقائمة السماح على مستوى المصدر، ومُعيد كتابة AST. أي خلل في نموذج اللغة، أو محاولة حقن SQL، أو خطأ في تهيئة القاعدة — تُعترض جميعها بطبقة مستقلة.

التشفير

تشفير Fernet المتماثل لبيانات الاعتماد أثناء التخزين. TLS 1.2+ أثناء النقل. أسرار JWT مشفّرة أثناء التخزين. المفتاح الرئيسي في متغير البيئة، مُدار عبر KMS السحابي.

إقامة البيانات

• كندا: AWS Canada Central، Montréal
• الاتحاد الأوروبي: Hetzner Helsinki
• VPC العميل لمن يشترط ذلك
• نشر معزول داخلي للتصنيفات الحساسة والدفاع

التسجيل والتدقيق

كل استعلام SQL منفَّذ مسجَّل مع المستخدم والمستأجر وبصمة SQL والكمون والحالة واستخدام الرموز. كل عملية كتابة عكسية لـ ERP مُدوَّنة بنص الطلب والاستجابة كاملاً. سجل تدقيق المشروع يشمل كل تغيير في العضوية وإضافة مصدر وإنشاء محادثة. روابط مشاركة للقراءة فقط متاحة للمدققين في مراجعات الامتثال.

الاحتفاظ بالبيانات

بيانات العميل النشط تُحتفظ بها طوال مدة العقد. بيانات العملاء المنتهية خدمتهم: 90 يومًا ثم حذف نهائي. سجلات التدقيق: 7 سنوات. النسخ الاحتياطية: 30 يومًا.