مركز الثقة

كل ما يمكننا إخباركم به عن كيفية تأمين المنصة، وأين تُحفظ بياناتكم، وما الشهادات التي نمتلكها — بما في ذلك تلك التي لا نمتلكها.

🛡️SOC 2

🏅ISO 27001

🇪🇺GDPR

💳PCI DSS

⭐CSA STAR

🏥HIPAA

🔐NIST

🇹🇷KVKK

أطر نلتزم بها أو نسعى للحصول عليها فعليًا — حالة كل شهادة موضّحة في الجدول أدناه.

حالة النظام، تُفحص كل 5 دقائقstatus.cyber-sec-pro.com ←

مكان حفظ البيانات والخصوصية

تُخزَّن في كندا، على خوادم نديرها بأنفسنا.

مكان التخزين الأساسي

كندا 🇨🇦

تُخزَّن بيانات الحساب ونتائج الفحص والسجلات في تورونتو بكندا، على خوادم نملكها ونديرها. وتُنسخ أيضًا نسخ احتياطية ليلية مشفّرة إلى Cloudflare R2، الذي ليس له موقع ثابت؛ والمفتاح لدينا وحدنا. ولا يتلقى كل معالج من الباطن مذكور أدناه إلا ما تحتاجه خدمته.

التشفير أثناء التخزين

AES-256-GCM

تُشفَّر الأسرار وبيانات الاعتماد المحفوظة بخوارزمية AES-256-GCM. ومفتاح التشفير منفصل عن مفتاح توقيع الرموز، ويوجد في بيئة الخادم فقط، ولا يُكتب أبدًا في قاعدة البيانات أو النسخ الاحتياطية أو المستودع.

التشفير أثناء النقل

TLS 1.3

تستخدم حركة البيانات عبر الواجهة البرمجية والويب بروتوكول TLS 1.3 مع السرية التامة للأمام، وتقتصر مجموعات التشفير على أقوى الإعدادات المتاحة.

لا التقاط لحركة المرور

أبدًا

لا نلتقط حركة الشبكة ولا نخزّنها أبدًا. أما ما يُخرجه الفحص — مخرجات الأداة والنتائج المستخلصة منها — فيُحفظ لتتمكن من قراءته وإنشاء التقارير، ويُحذف بعد 90 يومًا.

ما الذي نحتفظ به

لا التقاط للحزم أبدًا

بيانات الاعتماد التي تُدخلها لفحصٍ ما تُمرَّر إلى أداة الفحص في الذاكرة ولا تُخزَّن أبدًا

مخرجات الفحص تراها مؤسستك فقط، ولا يراها أي عميل آخر

تُحذف نتائج الفحص تلقائيًا بعد 90 يومًا، وسجلات التدقيق بعد سنة

مبادئ معالجة البيانات

1تحديد الغرض — لا تُجمع البيانات إلا لأغراض الفحص الأمني المعلنة

2تقليل البيانات — نجمع الحد الأدنى الضروري فقط

3الشفافية — تعرفون دائمًا ما الذي نحفظه ولماذا

4تحكّم المستخدم — يمكنكم تصدير بياناتكم أو حذفها في أي وقت

التشفير أثناء النقل والتخزين

بروتوكول TLS 1.3 مع السرية التامة للأمام في كل اتصال. وتُشفَّر الأسرار وبيانات الاعتماد المحفوظة بخوارزمية AES-256-GCM بمفتاح يُحفظ منفصلًا عن مفتاح توقيع الرموز.

تنفيذ معزول

تعمل عمليات الفحص على الخادم داخل حاوية فحص مخصصة، بعملية واحدة لكل مهمة. ويُقسَّم الأمر إلى وحدات قبل إدراج قيمكم، فلا تتدخل أي صدفة أوامر، وكل استعلام مقيّد بمؤسستكم.

ضوابط متوائمة مع SOC 2

صُمِّمت البنية التحتية وفق معايير SOC 2 Trust Services Criteria (الأمن، التوافر، السرية، الخصوصية). ولم يُستكمل تدقيق Type II بعد — وجدول الأطر أدناه يبيّن حالة كل إطار بدقة.

سجل تدقيق للإضافة فقط

تُكتب العمليات ذات الصلاحيات في سجل تدقيق للإضافة فقط، مقيّد بمؤسستكم ويمكن الاستعلام عنه من لوحة التحكم. وتُحفظ السجلات لمدة سنة.

المصادقة متعددة العوامل والدخول الموحّد والأدوار

مصادقة متعددة العوامل عبر TOTP مع رموز احتياطية تُستخدم مرة واحدة. والدخول الموحّد عبر SAML 2.0 وOIDC وLDAP / Active Directory في الخطة المؤسسية. ويُطبَّق التحكم بالوصول حسب الدور على الخادم لا في الواجهة.

سلسلة أدوات نتولى صيانتها

نتولى نحن إعادة بناء صور الماسحات وقوالب الثغرات ونشرها. فلا تحدّثون ماسحًا ولا ترقّعون جهاز Kali.

تقليل البيانات

نحفظ البيانات الوصفية للفحص والنتائج، لا حركة البيانات الخام. ومدة الاحتفاظ قابلة للضبط، ويمكنكم تصدير بياناتكم أو حذفها في أي وقت. المادة 5(1)(c) من اللائحة العامة لحماية البيانات.

مراقبة المنصة

تحديد لمعدل الطلبات بمستويات تكلفة على كل نقطة وصول، وكشف إحصائي للسلوك الشاذ في نشاط الحساب، ومراقبات صحية تعيد تشغيل أي خدمة متعطلة دون انتظار تدخل بشري.

security.txt (RFC 9116)

ملف جهة الاتصال الأمنية لدينا، متوافق تمامًا مع معيار IETF RFC 9116. تكتشفه محركات البحث وباحثو الأمن تلقائيًا.

# CyberSec Pro Security Policy

# RFC 9116 Compliant

Contact: mailto:security@cyber-sec-pro.com

Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure

Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments

Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure

Hiring: https://cyber-sec-pro.com/careers

Preferred-Languages: en, tr

Canonical: https://cyber-sec-pro.com/.well-known/security.txt

Expires: 2027-07-31T23:59:59.000Z

الوصول المباشر إلى security.txt

الإفصاح المسؤول

1النطاق

داخل النطاق:

cyber-sec-pro.com ونطاقاته الفرعية
app.cyber-sec-pro.com — منصة SaaS
api.cyber-sec-pro.com — واجهة REST البرمجية

خارج النطاق:

الهندسة الاجتماعية والتصيّد
حجب الخدمة (DoS/DDoS)
الأمن المادي
خدمات الأطراف الثالثة التي لا نشغّلها

2قناة الإبلاغ

أبلغوا عن الثغرات الأمنية عبر: security@cyber-sec-pro.com

نموذج التقرير:

الموضوع: [SECURITY] وصف موجز
الأصل المتأثر: عنوان URL أو نقطة نهاية
نوع الثغرة: XSS أو SQLi أو IDOR …
خطوات إعادة الإنتاج: 1، 2، 3 …
الأثر: تسريب بيانات، تصعيد امتيازات …
درجة CVSS (اختياري)
إثبات المفهوم أو لقطات الشاشة

3اتفاقية مستوى الاستجابة

الرد الأول: ≤ 24 hours
تحديث الحالة: ≤ 72 hours
الإصلاح أو الاستثناء: ≤ 90 days

4الحماية القانونية

لن نتخذ أي إجراء قانوني بشأن البلاغات الملتزمة بهذه السياسة
تبقى هوية المُبلِّغ سرية
تُضاف الأسماء إلى قائمة الشرف بعد إصلاح الثغرة
يُمنع الاختبار دون إذن كتابي

أطر الامتثال

4/10 ممتثل

SOC 2 Type IIقيد الإنجاز

ضوابط SOC 2 مطبّقة (تدقيق Type II مخطط له)

اللائحة العامة لحماية البيانات✓ ممتثل

امتثال كامل للمواد 6 و17 و25 و28 و32 و35

ISO 27001:2022قيد الإنجاز

مُصمَّم وفق ISO 27001:2022 (الشهادة قيد الإنجاز)

ISO 27701قيد الإنجاز

إدارة معلومات الخصوصية

NIST CSF 2.0✓ ممتثل

توافق كامل مع الإطار

PCI DSS v4.0قيد الإنجاز

ضوابط متوائمة مع PCI DSS v4.0

HIPAAقيد الإنجاز

ضوابط متوائمة مع HIPAA — تشفير المعلومات الصحية

KVKK✓ ممتثل

قانون حماية البيانات الشخصية التركي

CCPA/CPRA✓ ممتثل

قانون خصوصية المستهلك في كاليفورنيا

CSA STARقيد الإنجاز

تحالف أمن السحابة — متوائم مع الإطار

أهداف الاستجابة للحوادث

أهداف تبيّن مدى سرعة تحركنا بعد اكتشاف الحادث أو الإبلاغ عنه إلى security@cyber-sec-pro.com. يدير CyberSec Pro شخص واحد، لذا يُحتسب الوقت يوميًا من 07:00 حتى 23:00 بتوقيت تورونتو، والبلاغ الذي يصل ليلًا يبدأ احتسابه عند 07:00. أما المهل القانونية للإبلاغ عن اختراق البيانات فتسري على مدار الساعة. هذه أهداف وليست التزامات تعاقدية. يتبع الإجراء مراحل NIST SP 800-61: الاكتشاف والاحتواء والإزالة والاستعادة والمراجعة.

الأولوية	الاستجابة	الإخطار	الحل
P0 — حرجة	≤ ساعة واحدة	≤ 4 ساعات	≤ 24 ساعة
P1 — عالية	≤ 4 ساعات	≤ 24 ساعة	≤ 72 ساعة
P2 — متوسطة	≤ 24 ساعة	≤ 72 ساعة	≤ 7 أيام
P3 — منخفضة	≤ 3 أيام	≤ 7 أيام	≤ 30 يومًا

المعالجون من الباطن

أطراف خارجية تعالج البيانات الشخصية نيابةً عنا (المادة 28 من اللائحة العامة لحماية البيانات). كل اتفاقية لمعالجة البيانات جزء من شروط المزوّد نفسه وقُبلت عند فتح الحساب، ولا نحتفظ بنسخ موقّعة بشكل منفصل. الاستثناء هو Gmail: فهو حساب شخصي، ولا تقدّم Google اتفاقية معالجة بيانات لهذا النوع من الحسابات.

المزوّد	الغرض	الموقع	DPA
Stripe, Inc.	معالجة المدفوعات	الولايات المتحدة (البنود التعاقدية النموذجية للاتحاد الأوروبي + DPF)	✓ سارية
Cloudflare, Inc.	الحماية من DDoS وWAF وCDN وإنهاء TLS وتحليلات الويب دون ملفات تعريف ارتباط وتوجيه البريد الوارد	الشبكة الطرفية العالمية (البنود التعاقدية النموذجية + DPF)	✓ سارية
Brevo (Sendinblue SAS)	رسائل المعاملات، مع تتبّع النقر على الروابط	الاتحاد الأوروبي (البنود التعاقدية النموذجية)	✓ سارية
Google (Gmail)	صندوق بريدنا الوارد: الرسائل المرسلة إلى عناويننا	الولايات المتحدة (البنود التعاقدية النموذجية + DPF)	لا توجد
Cloudflare R2	تخزين خارجي للنسخ الاحتياطية المشفّرة لقاعدة البيانات، يُحتفظ بكل منها لمدة 30 يومًا	توزيع تلقائي دون تحديد ولاية قضائية (مشفّر؛ المفتاح لدينا وحدنا)	✓ سارية
Google Analytics	إحصاءات مجمّعة لاستخدام الموقع	الولايات المتحدة (البنود التعاقدية النموذجية + DPF)	✓ سارية

آخر تحديث: نوفمبر 2026. يُنشر أي تغيير في هذه القائمة هنا وفي سياسة الخصوصية في يوم سريانه. آخر تغيير: حلّت Brevo محلّ Mailjet في 29 سبتمبر 2026، بعد أن أغلقت Mailjet حسابنا. في 30 أكتوبر 2026 صُحّح سطر Brevo ليذكر أن Brevo يتتبّع النقر على الروابط، وهو ما كان يفعله منذ البداية. منذ 4 نوفمبر 2026 لم يعد Gmail ينقل رسائلنا الصادرة؛ أصبح صندوق بريدنا الوارد فقط.

اتفاقية معالجة البيانات (DPA)

يمكن لأي عميل الحصول على اتفاقية لمعالجة البيانات بموجب المادة 28 من اللائحة العامة لحماية البيانات: اطلبها ونرسلها إليك للتوقيع. تصل البيانات الشخصية القادمة من الاتحاد الأوروبي والمملكة المتحدة إلينا في كندا استنادًا إلى قرارَي الكفاية اللذين أصدرهما كلٌّ منهما بشأن كندا، لذا لا يحتاج هذا النقل إلى بنود تعاقدية نموذجية. وتذكر سياسة الخصوصية لدينا كل معالج فرعي وموقعه والبيانات التي يتلقاها.

نطاق الاتفاقية

غرض المعالجة ووسائلها
فئات البيانات الشخصية وفئات أصحابها
قائمة المعالجين من الباطن وآلية اعتماد الجدد منهم
التدابير التقنية والتنظيمية
الإبلاغ عن الاختراقات دون تأخير لا مبرر له وخلال 72 ساعة
النقل الدولي للبيانات والضمانة التي يستند إليها كلٌّ منها

تقييم أثر حماية البيانات

✓ معتمد، نوفمبر 2026

في نوفمبر 2026 أجرينا تقييمًا لأثر حماية البيانات وفق المادة 35 من اللائحة العامة لحماية البيانات (GDPR) للخدمة بأكملها، بما في ذلك عمليات الفحص والتعرّف على الأجهزة والفحوصات الأسبوعية للشبكة. وهو تقييم ذاتي اعتمده مؤسسنا؛ ولم يراجعه أي مسؤول لحماية البيانات (لم يُعيَّن أحد ولا يُشترط ذلك) ولا أي سلطة رقابية. ولم يُصنَّف أي خطر متبقٍّ على أنه مرتفع. نراجعه كل عام وقبل أي تغيير في البيانات الشخصية التي نعالجها. ويمكن للعملاء طلب نسخة منه.

طلب الاتفاقية جهة الاتصال للخصوصية

اختبارات الأمن والتدقيق

اختبارات أمنية داخلية مستمرة باستخدام منصتنا نفسها إلى جانب المراجعة اليدوية. اختبار الاختراق المستقل من طرف ثالث مخطط له، وستتاح التقارير الموجزة لعملاء الخطة المؤسسية بموجب اتفاقية سرية بعد إتمامه.

Automated external scan (weekly)

Nuclei 3.11 + Wapiti 3.2, run against production

2026-09-30ناجح

النطاق: https://app.cyber-sec-pro.com — بروتوكول TLS والترويسات وCORS وقوالب سوء الإعداد وكشف المعلومات، إضافة إلى فحوص XSS وحقن SQL وإعادة التوجيه المفتوحة

النتائج: 0 حرجة، 0 عالية، 0 متوسطة، 14 معلوماتية. Wapiti: 0 ثغرة.

Full-repository security audit

CyberSec Pro Security Team (internal)

2026-08-29تم الإصلاح

النطاق: المصادقة والتفويض وإدارة الأسرار ومفاتيح الواجهة البرمجية والمصادقة متعددة العوامل والدخول الموحّد وإدارة الجلسات، على مستوى المستودع بأكمله

النتائج: تبيّن أن عدة ضوابط لا تعمل فعليًا في بيئة الإنتاج فأُعيد بناؤها، وجرى تدوير الأسرار التي كانت تحميها. وكل إصلاح مثبّت باختبار انحدار.