الأمان والثقة

ذات صلة: سياسة الخصوصية · شروط الخدمة

1. نظرة عامة#

تتعامل Clevera مع تسجيلات الشاشة، ولقطات المنتجات، وأحياناً عمليات تسجيل الدخول إلى تطبيقاتك الخاصة، لذا فإننا نتعامل مع الأمان كجزء لا يتجزأ من المنتج. نحن نصمم أنظمتنا بناءً على:

• الوصول بأقل صلاحيات ممكنة
• تدفقات بيانات مشفرة
• وصول قصير الأمد للوسائط
• عزل واضح لأي شيء يتصل بالويب المفتوح

2. لمحة سريعة#

3. البنية التحتية#

• التطبيق وقاعدة البيانات. تُدار خوادمنا عبر Laravel Forge على Hetzner في الاتحاد الأوروبي (ألمانيا). قاعدة بيانات Postgres وطابور Redis لا تقبل الاتصالات إلا من خادم التطبيق، وليس من الإنترنت.
• الملفات. يتم تخزين التسجيلات والمرفوعات والوسائط المُنشأة في Amazon S3 في الولايات المتحدة، مع تخزين أصول العلامة التجارية العامة في الاتحاد الأوروبي (السويد). يتم تسليم الوسائط عبر Amazon CloudFront.
• العرض (Rendering). يتم عرض الفيديوهات في متصفحك الخاص افتراضياً، لذا تتم عملية الترميز النهائية على جهازك. عمليات العرض عبر الخادم تتم على AWS Lambda في الولايات المتحدة.
• زيارات الموقع. المكونات التي تزور المواقع نيابة عنك تعمل في مكانين:
  • ماسح الموقع الخاص بنا. يعمل كمستخدم نظام منفصل ومقيد لا يملك وصولاً إلى مفاتيح واجهة برمجة التطبيقات (API) الخاصة بنا. جدار حماية خارجي يمنعه من الوصول إلى الشبكات الداخلية ونقاط نهاية بيانات السحابة الوصفية، مما يحمي من تزوير الطلبات من جانب الخادم (SSRF).
  • استخدام المتصفح. التصفح المدعوم بالذكاء الاصطناعي يعمل في متصفحات سحابية معزولة في Browser Use، خارج بنيتنا التحتية.
• موقع البيانات. تتم معالجة البيانات بشكل رئيسي في الولايات المتحدة والاتحاد الأوروبي. نحن لا نوفر حالياً خيار اختيار موقع إقامة البيانات للعملاء.

4. حماية البيانات#

• أثناء النقل: كل حركة المرور إلى Clevera تستخدم بروتوكول TLS.
• أثناء التخزين:
  • نقوم بتشفير ما يلي على مستوى التطبيق:
    • رموز OAuth للتكامل
    • أسرار تسجيل الدخول الموحد (SSO)
    • مفاتيح واجهة برمجة التطبيقات (API) الخاصة بمزوديك
    • بيانات اعتماد الموقع المؤقتة
    • روابط التنزيل الخاصة بالمزودين
  • يتم تخزين كلمات المرور فقط كقيم هاش (Hashes) أحادية الاتجاه.
  • تعتمد الملفات المخزنة على تشفير مزود السحابة أثناء التخزين (AWS SSE-S3).
• الوصول للوسائط: يتم تقديم الوسائط الخاصة فقط عبر روابط موقعة تنتهي صلاحيتها، عادةً خلال 24 ساعة. تذهب المرفوعات مباشرة إلى التخزين عبر روابط موقعة مسبقاً تُستخدم لمرة واحدة.
• المدفوعات: تتم بالكامل بواسطة Lemon Squeezy. بيانات البطاقة لا تصل أبداً إلى أنظمتنا.
• تقليل البيانات: نرسل لكل مزود ذكاء اصطناعي ما تحتاجه المهمة فقط. على سبيل المثال، تحليلات المشاهدة على الفيديوهات المشتركة تحتفظ فقط بفئة الجهاز والبلد. الوقاية من الإساءة تستخدم قيم هاش (Hashes) مفتاحية بدلاً من عناوين IP الخام.

5. مزودو الذكاء الاصطناعي#

تستخدم Clevera نماذج ذكاء اصطناعي من Google (Gemini)، وAnthropic (Claude)، وOpenAI. كما تستخدم HeyGen للصور الرمزية (Avatars) بالذكاء الاصطناعي.

• نحن نستخدم هؤلاء المزودين بموجب شروط تجارية لواجهات برمجة التطبيقات (API) لا تسمح بالتدريب على محتواك.
• بعض المزودين يحتفظون ببيانات واجهة برمجة التطبيقات (API) لفترة محدودة، تصل عادةً إلى 30 يوماً، لمراقبة الإساءة.
• ملفات الفيديو التي نرفعها للتحليل يتم حذفها من جانب المزود في غضون ساعات من انتهاء المهمة.
• نحن لا نستخدم محتواك لتدريب نماذج الذكاء الاصطناعي.

6. بحث الذكاء الاصطناعي في المواقع وبيانات الاعتماد#

تعمل ميزة "التسجيل بالذكاء الاصطناعي" وبحث المواقع عبر وكيل ذكاء اصطناعي في متصفح سحابي في Browser Use.

• بيانات الاعتماد تبقى خارج النموذج. بيانات الاعتماد التي تقدمها للمهمة يتم تمريرها إلى المتصفح كأسرار. لا يتم وضعها أبداً في مطالبات (Prompts) نموذج الذكاء الاصطناعي ويتم حجبها من السجلات.
• تخزين قصير الأمد. من جانبنا، يتم الاحتفاظ ببيانات الاعتماد مشفرة فقط أثناء تشغيل المهمة، ثم يتم التخلص منها.
• بحث مقيد. يتم توجيه مهام البحث بعدم تسجيل الدخول، أو إرسال النماذج، أو إجراء عمليات شراء.
• حفظ تسجيلات الدخول اختياري. تكون معطلة افتراضياً ويتم تفعيلها لكل موقع على حدة. يمكنك إزالتها في أي وقت، وتنتهي صلاحيتها بعد 30 يوماً من عدم الاستخدام. يتم حذفها عند حذف حسابك.
• الموافقة. قبل أن يستخدم الوكيل حساباً ما، يجب على الشخص الذي يقوم بإعداد المهمة التأكيد بأنه مخول بمنح Clevera حق الوصول إليه.
• استخدم حساباً تجريبياً. نوصي باستخدام حساب تجريبي أو اختبار مخصص للتصوير.

7. الأدوات المجانية#

تعمل أدواتنا المجانية على clevera.ai/tools بدون حساب، لذا نقوم بحمايتها، وحماية الأشخاص الذين يستخدمونها، بالطرق التالية:

• لا يتم تخزين أي محتوى من جانبنا. تتم معالجة المدخلات والمرفقات والنتائج في الذاكرة وإعادتها ضمن الاستجابة. نحن لا نكتبها على القرص أو في قاعدة بيانات أو في سجلاتنا. قد تحتوي سجلات الأخطاء على رسالة خطأ من مزود الذكاء الاصطناعي، ولكن ليس على مدخلاتك.
• لا توجد نتائج عامة. لا تحصل النتائج على رابط قابل للمشاركة. فهي موجودة فقط في علامة تبويب المتصفح الخاص بك حتى تقوم بنسخها أو تنزيلها.
• الأدوات التي تعمل عبر المتصفح فقط لا تقوم بالرفع. تقوم أدوات الوسائط والآلات الحاسبة الخاصة بنا بمعالجة الملفات على جهازك. وهي ترسل فقط سجل استخدام، ولا ترسل محتوى الملف أبداً.
• فحص الملفات حسب المحتوى. نحن نتحقق من نوع الملف المرفوع من محتواه، وليس فقط من اسمه أو نوعه المعلن.
• حدود الحجم. النصوص حتى 12,000 حرف؛ الصور حتى 4 ميجابايت لكل منها، من 1 إلى 10 في المرة الواحدة؛ الفيديو حتى 20 ميجابايت، أو أول 10 دقائق من فيديو يوتيوب عام. بالنسبة للترجمة، يقوم متصفحك باستخراج أول 3 دقائق من الصوت وإرسال ذلك فقط.
• إزالة البيانات الوصفية. يقوم متصفحك بإزالة البيانات الوصفية للصور، مثل بيانات EXIF وموقع GPS، قبل رفع الصورة.
• لا توجد عناوين IP خام. تستخدم حدود الاستخدام والحظر تجزئة مفتاحية (HMAC) لعنوان IP الخاص بك أو شبكتك.
• فحوصات الروبوتات. تستخدم أدوات الذكاء الاصطناعي خدمة Cloudflare Turnstile.
• حدود الاستخدام والحظر التلقائي. تُطبق حدود يومية وساعية لكل عنوان IP ولكل شبكة. تؤدي الطلبات المرفوضة المتكررة إلى حظر تلقائي لمدة 24 ساعة.
• سقف الإنفاق. يحد سقف الإنفاق من التكلفة التي يمكن أن تتحملها الأدوات المجانية، بحيث لا يمكن استخدامها لتجاوز حدود استخدام الذكاء الاصطناعي.
• الحماية من حقن الأوامر (Prompt-injection). يتم تمرير مدخلاتك إلى نموذج الذكاء الاصطناعي كبيانات، مع إبقائها منفصلة عن تعليماتنا. ترفض قواعد النموذج الطلبات الضارة أو الخارجة عن الموضوع.
• مزودو الذكاء الاصطناعي. تستخدم أدوات الذكاء الاصطناعي المجانية واجهة برمجة تطبيقات Gemini من Google ضمن فئة مدفوعة، وOpenAI لأدوات النصوص عندما نختار ذلك. لا يستخدم أي منهما المدخلات لتدريب نماذجه. وكما هو موضح في القسم 5، قد يحتفظون ببيانات واجهة برمجة التطبيقات لفترة محدودة لمراقبة إساءة الاستخدام.

8. أمن الحساب#

• المصادقة الثنائية: رموز تطبيقات المصادقة (TOTP)، مع رموز استرداد.
• التحقق من الجهاز الجديد: عند تسجيل الدخول من جهاز أو موقع جديد، نرسل رمزاً لمرة واحدة عبر البريد الإلكتروني. يتم إعادة التحقق من الأجهزة الموثوقة بشكل دوري.
• تسجيل الدخول الموحد (SSO):
  • دعم SAML 2.0 وOpenID Connect في الخطط المخصصة
  • يدعم Okta وMicrosoft Entra ID وGoogle Workspace وOneLogin ومزودي الهوية القياسيين الآخرين
  • يتم تشفير أسرار SSO
• تسجيل الدخول عبر Google متاح لجميع المستخدمين.
• تحديد معدل الطلبات يحمي نقاط نهاية تسجيل الدخول والمصادقة الثنائية والتحقق وواجهة برمجة التطبيقات من هجمات القوة الغاشمة وإساءة الاستخدام.
• أدوار الفريق: المالك، المسؤول، المحرر، ومنشئ المحتوى. يتحكم كل دور فيما يمكن للأعضاء رؤيته وتغييره.
• رموز واجهة برمجة التطبيقات (API tokens) الخاصة بمسجل سطح المكتب مخصصة للتسجيل فقط ويمكن إلغاؤها من ملفك الشخصي.

9. أمن التطبيق#

• مراجعة الكود والاختبارات الآلية عند كل تغيير.
• حماية إطار العمل ضد مخاطر الويب الشائعة، بما في ذلك رموز CSRF، وتطهير المخرجات، واستعلامات قاعدة البيانات ذات المعاملات، وملفات تعريف الارتباط الموقعة.
• تطهير ملفات SVG المرفوعة.
• قيود سياسة أمن المحتوى (Content-Security-Policy) على المواقع التي يمكن تضمينها في التطبيق.
• التحقق من التوقيع على كل خطاف ويب (webhook) وارد (Lemon Squeezy، HeyGen، Amazon SES).
• الاحتفاظ بالأسرار خارج نظام التحكم في المصدر، مع استخدام بيانات اعتماد الخدمة ذات الامتيازات الأقل.

10. الوصول الداخلي#

• يقتصر الوصول إلى بيئة الإنتاج على الموظفين المصرح لهم الذين يحتاجون إليه.
• تتطلب الأدوات الإدارية في التطبيق دور مسؤول منفصل.
• لا يطلع الموظفون على محتوى العميل إلا لتقديم الدعم الذي تطلبه، أو للتحقيق في إساءة الاستخدام أو الحوادث، أو عندما يقتضي القانون ذلك.

11. التسجيل والمراقبة#

• يتم الاحتفاظ بسجلات التطبيق والأمن لمدة تتراوح بين 14 إلى 30 يوماً لاستكشاف الأخطاء وإصلاحها والمراجعة الأمنية.
• نقوم بالتنبيه عند ارتفاع معدلات الخطأ، أو فشل المهام، أو الاستخدام غير المعتاد. يعمل إجراء وقائي للتكلفة اليومية على الحد من الاستخدام المفرط في الحسابات المجانية.
• قياس الاستخدام والائتمان مدمج في Clevera؛ ولا يتم استخدام أي خدمة قياس تابعة لجهة خارجية.

12. الاستجابة للحوادث#

نحن نتبع عملية محددة لفرز الحوادث الأمنية واحتوائها وإصلاحها.

إذا أثر عليك خرق للبيانات الشخصية، فسنقوم بإخطار العملاء المتأثرين دون تأخير غير مبرر، كما يقتضي القانون. بموجب اللائحة العامة لحماية البيانات (GDPR)، نقوم بإخطار السلطات الإشرافية في غضون 72 ساعة عند الاقتضاء.

13. النسخ الاحتياطي والاستمرارية#

• يتم نسخ قاعدة بيانات Postgres احتياطياً يومياً بواسطة Laravel Forge. كل نسخة احتياطية عبارة عن ملف مضغوط مخزن في وحدة تخزين سحابية، ومشفر في حالة السكون بواسطة مزود التخزين، ويتم الاحتفاظ به لمدة 7 أيام. يتم حذف النسخ الاحتياطية القديمة تلقائياً.
• يمكن إعادة نشر خدماتنا من نظام التحكم في المصدر.
• المهام طويلة الأمد، مثل العرض والبحث والتوليد، يتم وضعها في قائمة انتظار وإعادة محاولتها عند الفشل.

14. الاحتفاظ بالبيانات وحذفها#

• محتواك: يتم الاحتفاظ به طالما أن حسابك نشط.
• سلة المهملات: يتم حذف العناصر الموجودة في سلة المهملات نهائياً بعد 7 أيام.
• التسجيلات غير المستخدمة: يتم حذف التسجيلات التي لم تُستخدم في أي فيديو بعد 15 يوماً.
• حذف الحساب يبدأ فوراً. وهو يقوم بـ:
  • إلغاء الاشتراكات
  • إبطال الرموز وعمليات تسجيل الدخول المحفوظة
  • حذف تسجيلات ومقاطع فيديو وملفات الفرق المملوكة نهائياً بعد فترة وجيزة
• النسخ الاحتياطية تنتهي صلاحيتها وفقاً لجدول الاحتفاظ الخاص بها.

التفاصيل الكاملة موجودة في سياسة الخصوصية الخاصة بنا.

15. الامتثال#

• GDPR وUK GDPR وKVKK. نحن المتحكم في بيانات الحساب والفواتير والموقع الإلكتروني. بالنسبة لمحتواك، نحن نعمل كمعالج بموجب ملحق معالجة البيانات الخاص بنا. تستخدم عمليات النقل الدولية البنود التعاقدية القياسية، أو ملحق المملكة المتحدة، أو عقود KVKK القياسية حسب الاقتضاء.
• CPRA. نحن لا نبيع أو نشارك المعلومات الشخصية، ولا نشارك في الإعلانات السلوكية عبر السياقات.
• SOC 2 / ISO 27001. تدقيق SOC 2 الخاص بنا قيد التنفيذ، ومن المتوقع في عام 2027. نخطط للحصول على شهادة ISO 27001 في عام 2027.
• DPA: متاح عند الطلب على team@clevera.ai.

16. المعالجون الفرعيون#

القائمة الكاملة، مع فئات البيانات والمواقع، موجودة في سياسة الخصوصية الخاصة بنا. نقوم بإخطار العملاء بالتغييرات الجوهرية كما تصف اتفاقية معالجة البيانات (DPA) الخاصة بنا.

17. الإفصاح عن الثغرات الأمنية#

إذا كنت تعتقد أنك عثرت على مشكلة أمنية، أرسل بريداً إلكترونياً إلى team@clevera.ai مع التفاصيل وخطوات إعادة إنتاج المشكلة.

يرجى:

• الاختبار فقط على حسابك الخاص
• تجنب الوصول إلى بيانات الآخرين أو تغييرها
• تجنب إضعاف الخدمة
• تجنب الفحص الآلي عالي الكثافة
• منحنا وقتاً معقولاً لإصلاح المشكلة قبل الكشف عنها علناً

سنقوم بالاعتراف بتقريرك، وإبقائك على اطلاع، ونسب الفضل إليك إذا كنت ترغب في ذلك. لن نتخذ إجراءات قانونية ضد الأبحاث التي تتم بحسن نية وتتبع هذه الإرشادات.

18. التواصل#

الأمن والثقة: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye