مركز الثقة
بيانات الهوية هي أكثر ما يشاركه مستخدموك حساسية. يحميها Zoi ID في كل خطوة، ويمنح فرق الأمان والامتثال لديك ما تحتاج إليه لتوافق بثقة.
الأمان في كل طبقة
الحماية جزء من طريقة بناء Zoi ID وتشغيله، من أول سطر في الكود إلى آخر يوم في مدة الاحتفاظ.
تشفير في كل مكان
أثناء النقل وأثناء التخزين، بمفتاح منفصل لكل ملف ولكل سجل هوية.
البيانات تبقى في الاتحاد الأوروبي
تُخزَّن بيانات الهوية في ألمانيا، على بنية تحتية مخصصة لـ Zoi ID.
لا قوالب للوجه
تُقارَن الوجوه في خدمات معزولة، وفي الذاكرة فقط. ولا يُخزَّن أي قالب بيومتري.
وصول بأقل الصلاحيات
موظفون محددون بالاسم، وصلاحيات حسب الدور، وسجل تدقيق للإضافة فقط يوثّق كل اطلاع وكل قرار.
قرار بأربع أعين
التطابقات المحتملة مع العقوبات وPEP تحتاج إلى مراجعَين مستقلَّين. وتذهب الاعتراضات إلى مراجع آخر.
مُختبَر ومُتحقَّق منه
اختبارات أمان آلية مع كل تغيير. وكل إصدار موقَّع ويُتحقَّق منه قبل تشغيله.
موقع تخزين البيانات
تُخزَّن بيانات الهوية وتُعالَج في ألمانيا (الاتحاد الأوروبي). والوصول إليها من أي مكان آخر مقصور على موظفين محددين بالاسم، ومسجَّل دائمًا.
- التخزين
- بنية تحتية مخصصة في ألمانيا، منفصلة عن كل أنظمة Zoi الأخرى.
- النسخ الاحتياطية
- تُشفَّر قبل أن تغادر بنيتنا التحتية، وتُحفظ داخل الاتحاد الأوروبي.
- حافة الشبكة
- شبكة حافة عالمية تحمي كل اتصال. ولا تُخزَّن هناك بيانات مقدمي الطلبات.
- الوصول من خارج الاتحاد الأوروبي
- مراجعون ومسؤولون محددون بالاسم ومدرَّبون فقط. وفي كل مرة يفتحون فيها بيانات شخصية، يُكتب ذلك في سجل التدقيق.
- الشركة والدور
- Zoi Labs LLC، شركة في ولاية وايومنغ بالولايات المتحدة. معالِج لبيانات المستخدمين النهائيين لدى الشريك. ومتحكِّم في سجلات العقوبات وسجلات الأمان وبصمات الاحتيال.
- عمليات النقل
- تتضمن اتفاقية معالجة البيانات البنود التعاقدية النموذجية للاتحاد الأوروبي (Module Two).
- مشفرة أثناء النقل بإصدار حديث من TLS.
- مشفرة أثناء التخزين بـ AES-256، بمفتاح منفصل لكل ملف ولكل سجل هوية.
- كل عنصر مشفر مرتبط بسجله. وإذا نُسخ إلى سجل آخر فلن يُفتح.
- تُدار المفاتيح وفق سياسة مكتوبة، وتُحفظ بعيدًا عن البيانات التي تحميها.
- تُشفَّر النسخ الاحتياطية قبل أن تغادر بنيتنا التحتية.
- لا تُخزَّن قوالب للوجه. تُقارَن الوجوه في الذاكرة، ولطلب واحد فقط.
الوصول والتشغيل
تحكم صارم في من يرى ماذا، وسجل لكل ما يفعله.
- وصول بأقل الصلاحيات: حسابات محددة بالاسم، وصلاحيات حسب الدور، ووصول فقط حيث يتطلبه العمل.
- كل اطلاع على بيانات شخصية، وكل قرار، وكل إجراء إداري يُكتب في سجل تدقيق للإضافة فقط، ويُحفظ 10 سنوات.
- يتدرب المراجعون على دليل مكتوب قبل أن يحصلوا على الوصول.
- يعمل تحليل الوجه والحيوية والوثائق في خدمات معزولة داخل بنيتنا التحتية الخاصة. ولا تذهب أي بيانات هوية إلى خدمة ذكاء اصطناعي خارجية.
- مفاتيح API الخاصة بالشركاء محدودة النطاق، ولا تُخزَّن إلا كتجزئات. وكل Webhook موقَّع.
- تدعم لوحة الشريك مفاتيح المرور (passkeys) وتطبيقات المصادقة، وتسجّل كل تغيير في المفاتيح والإعدادات والأعضاء.
- كل عملية حذف تُسجَّل، وتُطبَّق من جديد بعد أي استعادة من نسخة احتياطية.
- نبني ونختبر ببيانات اصطناعية فقط.
اختبارات أمان مستمرة
تعمل فحوص آلية مع كل تغيير وبشكل دوري. والنتائج عالية الخطورة توقف الإصدار.
- تحليل ثابت لكل الكود لدينا
- فحص التبعيات بحثًا عن الثغرات المعروفة، مع تحديثات أمان سريعة
- فحص الأسرار في كل إيداع وفي السجل الكامل
- فحص البنية التحتية والإعدادات
- اختبار عشوائي (Fuzzing) للكود الذي يقرأ الشرائح والوثائق والصور
- اختبار ديناميكي لتطبيق الويب وواجهة API
الاستجابة للحوادث واستمرارية العمل
خطة واضحة لما يحدث عند وقوع مشكلة، والتزامات ثابتة تجاه الشركاء الذين يعتمدون علينا.
- خطة الاستجابة
- خطة مكتوبة للاستجابة للحوادث تغطي الاحتواء والتقييم والإخطار، مع مهلة محددة لكل سوق نخدمها.
- إخطار الشريك
- نخبرك دون تأخير غير مبرر، وخلال 36 ساعة كحد أقصى، بأي خرق لبيانات شخصية يمس مستخدميك.
- السلطات
- حيث نكون نحن المسؤولين، نُخطر السلطات والأشخاص المتأثرين خلال المدة التي يحددها القانون، وهي عادة 72 ساعة.
- الاستمرارية
- نسخ احتياطية مشفرة داخل الاتحاد الأوروبي، وإجراءات استعادة مكتوبة خطوة بخطوة.
الاحتفاظ بالبيانات
هذه هي المدد الافتراضية. قد يوقف الحجز القانوني احتساب المدة.
| البيانات | تُحفظ حتى |
|---|---|
| جلسة لم تُرسل أبدًا | 7 أيام بعد إنشائها. |
| جلسة مفتوحة (قيد المعالجة أو المراجعة) | 60 يومًا كحد أقصى، ثم تنتهي. |
| صور الوثيقة، وبيانات الشريحة، والفيديو | 90 يومًا بعد القرار النهائي. 24 ساعة إذا كان الشخص دون السن الأدنى. فورًا عند سحب الموافقة أو طلب الحذف. |
| بيانات الهوية (الاسم، وتاريخ الميلاد، ورقم الوثيقة، والعنوان) | ما دام حساب المستخدم لدى الشريك موجودًا والهوية غير ملغاة. وبحد أقصى 5 سنوات بعد آخر تحقق. |
| مفاتيح كشف التكرار، والقرارات، ونتائج الفحص دون بيانات شخصية | 5 سنوات بعد آخر جلسة، لمنع الاحتيال. |
| سجلات فحص العقوبات | 10 سنوات، كما تتطلب قواعد سجلات العقوبات. |
| سجل التدقيق | 10 سنوات. |
| النسخ الاحتياطية | 30 يومًا. |
كل عملية حذف تُسجَّل وتُطبَّق من جديد بعد أي استعادة من نسخة احتياطية.
المعالجون الفرعيون
شركات تعالج بيانات شخصية لصالح Zoi ID. وكل منها ملزمة باتفاقية معالجة بيانات مكتوبة.
| الشركة | ما تقوم به | الموقع |
|---|---|---|
| Hetzner Online GmbH | استضافة الخوادم. تحتفظ بكل ما يخزّنه Zoi ID، ودائمًا مشفرًا أثناء التخزين. | ألمانيا (الاتحاد الأوروبي) |
| Cloudflare, Inc. | حماية الشبكة وTLS وDNS وتخزين النسخ الاحتياطية المشفرة. | شبكة حافة عالمية. النسخ الاحتياطية في الاتحاد الأوروبي. |
| Google LLC | Play Integrity: إجابة بنعم أو لا عن التطبيق والجهاز. لا تتضمن بيانات هوية. | الولايات المتحدة |
| Apple Inc. | App Attest: إثبات أن الطلب يأتي من تطبيق iOS الأصلي. لا يتضمن بيانات هوية. | الولايات المتحدة |
يتلقى الشركاء إشعارًا قبل 30 يومًا من إضافة معالج فرعي أو استبداله، ويمكنهم الاعتراض.
الإبلاغ عن ثغرة
وجدت مشكلة أمنية؟ اكتب إلى official@zoi.network. نرحب بالأبحاث التي تتم بحسن نية، ونرد خلال 3 أيام عمل.
افتح security.txt- أخبرنا بما وجدته وكيف يمكن تكراره.
- استخدم حسابات اختبار خاصة بك وبيانات اصطناعية فقط. لا تفتح بيانات أشخاص آخرين.
- لا هجمات حجب الخدمة، ولا هندسة اجتماعية، ولا اختبارات ضد معالجينا الفرعيين.
- امنحنا وقتًا لإصلاح المشكلة قبل أن تنشرها.
المستندات العامة
متاحة بموجب اتفاقية عدم إفصاح
- مطابقة الضوابط مع SOC 2 وISO/IEC 27001:2022
- استبيانات مكتملة بصيغة CAIQ v4 وSIG Lite
- نموذج قصير بأسئلة الأمان التي يطرحها المشترون أكثر من غيرها
- سياسات أمن المعلومات لدينا
- وثائق التصميم الأمني وتقييم أثر حماية البيانات لدينا
- بنود تعاقدية لاختبار اختراق تجريه أنت أو لتقييم مستقل
شخص حقيقي خلف كل حساب
يُطلق Zoi ID قريبًا. يحصل شركاء الوصول المبكر على مفاتيح بيئة الاختبار، وتواصل مباشر مع فريقنا، وإعداد يناسب أسواقهم.
أو راسل official@zoi.network