ملحق أمن البيانات
نسخة عمل 2026-10-25.v2 – بانتظار المراجعة القانونية
يصف هذا الملحق كيفية حمايتنا للبيانات التي نعالجها في زوليا لك ولشركة الوساطة التي تعمل لديها. ويُشكّل جزءًا من شروط الاستخدام وشروط المكتب لدينا، ويسري إلى جانب شروط معالجة البيانات. وهو يصف التزاماتنا بموجب المرسوم بقانون اتحادي رقم (45) لسنة 2021 بشأن حماية البيانات الشخصية، ولا ينتقص منها.
الاستضافة والموقع
- S1.1 نخزّن البيانات في زوليا ونعالجها لدى Microsoft Azure في منطقة UAE North (دبي): الخوادم وقاعدة البيانات ومساحة تخزين الملفات ومفاتيح التشفير والسجلات والنسخ الاحتياطية. وتعمل كذلك في منطقة UAE North الخدماتُ التي تقرأ النصوص في المستندات وتحوّل الكلام إلى نص.
- S1.2 لا تغادر البيانات دولة الإمارات إلا في الحالات التالية:
- (أ) نماذج الذكاء الاصطناعي: يُعالَج المحتوى المُستبدَل برموز بديلة لمهام الذكاء الاصطناعي لدى Amazon Bedrock في مراكز بيانات داخل الاتحاد الأوروبي، مع حظر المناطق الأخرى؛
- (ب) رسائل النظام الإلكترونية: تمرّ رموز تسجيل الدخول والإشعارات والرسائل الواردة إلى مكتب الدعم عبر Amazon Simple Email Service في فرانكفورت بألمانيا؛
- (ج) التحقق من الهوية: عندما تبدأ شركة وساطة عملية تحقق من الهوية في ملف «اعرف عميلك»، يرفع الشخص الخاضع للتحقق المستندات إلى مزوّد خدمة التحقق من الهوية لدينا في الاتحاد الأوروبي (أيرلندا)؛ وننقل النتيجة فور انتهاء التحقق إلى خزنة «اعرف عميلك» المشفّرة الخاصة بشركة الوساطة داخل دولة الإمارات، ونجعل المزوّد يحذفها، وذلك بعد شهر واحد على الأكثر؛
- (د) WhatsApp: تمرّ الرسائل التي ترسلها أنت أو شركة الوساطة أو تتلقيانها عبر حساب WhatsApp Business الخاص بكما من خلال Meta بصفتها مزوّدكما الخاص.
- S1.3 يُستضاف موقعنا الإلكتروني zolia.ai بصورة منفصلة، ولا يعالج البيانات الموجودة في زوليا. ويُقدَّم التطبيق من بيئتنا داخل دولة الإمارات.
التشفير
- S2.1 أثناء النقل: جميع الاتصالات مشفّرة. ولا يُقدَّم التطبيق إلا عبر HTTPS (TLS) مع HTTP Strict Transport Security؛ ولا تقبل مساحة تخزين الملفات إلا TLS 1.2 أو أعلى؛ ولا تقبل قاعدة البيانات إلا الاتصالات المشفّرة.
- S2.2 أثناء التخزين: تُشفَّر قاعدة البيانات ومساحة تخزين الملفات على مستوى المنصة؛ وتستخدم مساحة تخزين الملفات طبقة تشفير ثانية على مستوى البنية التحتية.
- S2.3 تشفير إضافي للبيانات الحساسة: تُشفَّر مستندات الهوية وحقول «اعرف عميلك» والملفات السرية تشفيرًا إضافيًا بمفاتيح خاصة بكل شركة وساطة أو مساحة شخصية. والمفاتيح الرئيسية مفاتيح RSA في وحدة أمان مادية (HSM) ضمن Microsoft Azure Key Vault (Premium، FIPS 140-3 المستوى 3) في منطقة UAE North؛ ولا يمكن تصديرها، وتُجدَّد تلقائيًا كل 12 شهرًا.
- S2.4 يمكن استعادة المفاتيح المحذوفة خلال 90 يومًا، ولا يمكن إزالتها نهائيًا قبل انقضاء هذه المدة (حماية من الحذف النهائي).
استبدال البيانات برموز بديلة والذكاء الاصطناعي
- S3.1 قبل إرسال أي محتوى إلى نموذج ذكاء اصطناعي، يستبدل زوليا عناوين البريد الإلكتروني وأرقام الهواتف وأرقام IBAN وأرقام البطاقات وأرقام الهوية والأسماء المعروفة لزوليا وغيرها من البيانات الشخصية برموز بديلة. ويبقى جدول الربط داخل بيئتنا في دولة الإمارات، ولا يُدوَّن في السجلات.
- S3.2 لا تُرسَل مستندات الهوية وبيانات التحقق من الهوية مطلقًا إلى أي نموذج ذكاء اصطناعي.
- S3.3 يُتحقَّق من الصلاحيات قبل وصول أي بيانات إلى نموذج ذكاء اصطناعي.
- S3.4 لا تُدرَّب نماذج الذكاء الاصطناعي على بيانات عملائك.
التحكم في الوصول
- S4.1 المستخدمون: تسجيل الدخول بمفتاح مرور أو برمز يُستخدم لمرة واحدة؛ وصلاحيات قائمة على الأدوار داخل كل شركة وساطة؛ ويمكن إنهاء الجلسات والأجهزة فورًا.
- S4.2 الفصل: تُفصل كل شركة وساطة وكل مساحة شخصية في قاعدة البيانات بأمان على مستوى الصفوف في كل جدول، وكذلك في مساحة تخزين الملفات والبحث والمهام الخلفية ومعالجة الذكاء الاصطناعي.
- S4.3 موظفونا: الوصول الإداري شخصي، ومحمي بعامل تحقق ثانٍ، ومُسجَّل؛ ولا يوجد حساب إداري مشترك. ولا يمكن الوصول إلى الخوادم إلا عبر شبكة إدارية مشفّرة؛ ومنافذ الوصول عن بُعد إلى الخوادم مغلقة أمام الإنترنت. ولا يمكن الوصول إلى قاعدة البيانات من الإنترنت. ولا تقبل مساحة تخزين الملفات الوصول إلا من خوادمنا وبهوية من بيئتنا فقط؛ ومفاتيح التخزين معطّلة.
- S4.4 لا وصول افتراضيًا: لا يصل موظفونا ولا أدوات الذكاء الاصطناعي التي نستخدمها في التطوير والأعمال المكتبية إلى البيانات الموجودة في زوليا. ولا يصل موظفو الدعم إلى أي مساحة إلا بموافقة العميل على طلب محدد، ولمدة محدودة، مع التسجيل، أو عند الضرورة القصوى لأغراض الأمن أو بحكم القانون، مع الإبلاغ لاحقًا.
- S4.5 تسجيل الوصول الحساس: يُسجَّل كل اطلاع على بيانات «اعرف عميلك».
الاختبار والتقييم
- S5.1 يُفحص كل تغيير في الشيفرة البرمجية تلقائيًا بحثًا عن الأسرار المكشوفة والثغرات المعروفة في المكتبات وصور الحاويات وأنماط الشيفرة غير الآمنة؛ وتوقف النتائجُ الحرجة، والنتائجُ العالية التي مضى عليها أكثر من 14 يومًا، الإصدارَ. ويُجرى فحص كامل أسبوعيًا.
- S5.2 يغطي الاختبار الآلي فصل شركات الوساطة بعضها عن بعض.
- S5.3 نختبر استعادة قاعدة البيانات شهريًا، ونجري تمرينًا على الاستعادة كل ستة أشهر على الأقل، وتمرينًا على الحوادث مرة في السنة.
- S5.4 قبل معالجة أي بيانات هوية حقيقية، يُجري مختبِر مستقل اختبار اختراق.
التوفر والاستعادة
- S6.1 تُنسخ قاعدة البيانات احتياطيًا بصورة تلقائية، ويمكن استعادتها إلى أي لحظة خلال آخر 35 يومًا. وتُخزَّن النسخ الاحتياطية على نحو متكرر عبر مناطق توفر متعددة في دبي.
- S6.2 تُحفظ إصدارات الملفات؛ ويمكن استعادة الملفات والمجلدات المحذوفة خلال 35 يومًا. وتُحفظ السجلات التي يجب ألا تُغيَّر في مساحة تخزين محمية من الكتابة.
- S6.3 أهدافنا ألا يتجاوز فقدان البيانات ساعة واحدة، وأن تُستأنف الخدمة خلال 8 ساعات كحد أقصى بعد حادث جسيم. وهذه أهداف، لا ضمانات للتوفر.
- S6.4 نحدّ من عدد الطلبات لكل عنوان ومساحة ووظيفة، وتُنبّهنا التحذيرات إلى الأخطاء والتأخيرات.
حوادث اختراق البيانات الشخصية
- S7.1 نُبلغ شركة الوساطة (بصفتها المتحكِّم)، أو نُبلغك أنت فيما يخص مساحتك الشخصية، فور علمنا بأي اختراق للبيانات الشخصية يمسّ بياناتها أو بياناتك، ونرسل في جميع الأحوال إشعارًا أوليًا خلال 24 ساعة، حتى لو كانت المعلومات لا تزال ناقصة.
- S7.2 يبيّن الإشعار، بقدر ما هو معروف، طبيعة الاختراق، وفئات الأشخاص والسجلات المعنية وعددها التقريبي، والعواقب المحتملة، والتدابير المتخذة أو المقترحة، وجهة اتصال. ونوافي بالمستجدات، ونوثّق كل اختراق بتسلسل زمني.
- S7.3 ندعم المتحكِّم في الإخطارات التي يلتزم بها تجاه مكتب الإمارات للبيانات وتجاه الأشخاص المعنيين.
الموظفون والمعالِجون الفرعيون
- S8.1 يلتزم كل من لديه حق الوصول إلى البيانات في Biturai L.L.C-FZ بواجب سرية مكتوب، ولا يصل إلا إلى ما تقتضيه مهامه.
- S8.2 نستعين بالمعالِجين الفرعيين التاليين:
- Microsoft (Azure)
- الخوادم وقاعدة البيانات وتخزين الملفات وإدارة المفاتيح والتعرّف على النصوص والكلام والسجلات والنسخ الاحتياطية
الموقع: UAE North (دبي) - Amazon Web Services
- نماذج الذكاء الاصطناعي (Amazon Bedrock) بمحتوى مُستبدَل برموز بديلة؛ ورسائل النظام الإلكترونية واستقبال رسائل مكتب الدعم (Amazon SES)
الموقع: الاتحاد الأوروبي؛ فرانكفورت، ألمانيا - Didit
- التحقق من الهوية في ملفات «اعرف عميلك» التي تبدؤها شركة وساطة
الموقع: الاتحاد الأوروبي (أيرلندا)، لمدة شهر واحد كحد أقصى
- S8.3 نُبلغك داخل التطبيق قبل 30 يومًا على الأقل من إضافة معالِج فرعي أو استبداله. وإذا اعترضت، يمكنك التوقف عن استخدام الوظائف المعنية أو إنهاء العقد قبل التغيير.
الاحتفاظ والحذف
- S9.1 عند حذف حسابك، نحذف بياناته بعد 30 يومًا من طلبك؛ وتنتهي مدة الاحتفاظ بالنسخ الموجودة في النسخ الاحتياطية خلال 35 يومًا إضافية.
- S9.2 عندما تتوقف شركة وساطة عن استخدام زوليا، يمكنها تصدير بياناتها؛ ثم نحذف بياناتها ونُتلف مفاتيحها، وتنتهي مدة النسخ الاحتياطية خلال 35 يومًا، ما لم يُلزمنا القانون بالاحتفاظ بالبيانات مدة أطول.
- S9.3 تُحفظ سجلات التطبيق مدة أقصاها 90 يومًا، وسجلات الأمن (تسجيلات الدخول ومحاولات الوصول المرفوضة والوصول إلى المفاتيح والتغييرات الإدارية) مدة 365 يومًا. وتُحفظ السجلات دون محتوى شخصي قدر الإمكان؛ إذ تُزال تلقائيًا عناوين البريد الإلكتروني وأرقام الهواتف وأرقام الهوية وأرقام IBAN.
القانون والتغييرات والإثبات
- S10.1 يصف هذا الملحق التزاماتنا بموجب المرسوم بقانون اتحادي رقم (45) لسنة 2021، ولا سيما المواد 8 و9 و20، ولا ينتقص منها.
- S10.2 لا يجوز لنا تكييف التدابير مع التطور التقني إلا إذا لم ينخفض المستوى العام للحماية. ونصف التغييرات الجوهرية في إصدار جديد من هذا الملحق.
- S10.3 نقدّم عند الطلب المعلومات اللازمة لإثبات التزامنا بهذا الملحق، بما في ذلك ملخصات اختبارات الأمن.