سياسة الأمان وحماية البيانات

نظام إدارة المكاتب القانونية – حصيف

تاريخ السريان: 01/01/2025 الإصدار: 3.0 آخر تحديث: 29/07/2026

1. المقدمة

1.1 تصف سياسة الأمان وحماية البيانات هذه ("السياسة") التدابير الأمنية الإدارية والتقنية والتنظيمية التي تنفذها شركة المقر لتقنية المعلومات ("المقر"، "نحن") لحماية نظام إدارة المكاتب القانونية حصيف ("المنصة") والبنية التحتية (كما هي محددة في شروط الاستخدام) التي تعمل عليها، والبيانات المعالجة داخل المنصة.

1.2 تكمل هذه السياسة ويجب قراءتها بالاقتران مع شروط الاستخدام وسياسة الخصوصية، وتُعد جميعها جزءاً لا يتجزأ من اتفاقية الترخيص المبرمة مع العميل وتُقرأ كوحدة واحدة.

1.3 تهدف هذه السياسة إلى تزويد العملاء بفهم دقيق وشفاف للتدابير الأمنية التي تحمي نسخ التثبيت والبيانات الخاصة بهم. تنفذ شركة المقر التدابير الأمنية بناءً على أفضل الممارسات المعيارية في صناعة البرمجيات بجهود معقولة تجارياً، وتحسّن مكانتها الأمنية باستمرار. ولا يشكل أي شيء في هذه السياسة ضماناً لنتائج أمنية مطلقة أو معفية من المخاطر السيبرانية العالمية المتجددة.

2. بنية المنصة وعزل البيانات

2.1 بنية نسخة التطبيق المخصصة (Single-Instance Architecture)

2.1.1 تُقدَّم المنصة كخدمة سحابية مستضافة لعدة مكاتب محاماة ومنظمات قانونية مستقلة. يحصل كل عميل على نسخة تطبيق مخصصة ضمن بنية نسخة التطبيق الواحدة المخصصة (Single-Instance Architecture)، معزولة منطقياً وبرمجياً على مستوى التطبيق وقاعدة البيانات لكل عميل؛ حيث تشمل كل بيئة نشر مخصصة للعميل:

(أ) نسخة قاعدة بيانات مخصصة ومحمية، وغير مشتركة مع أي عميل آخر؛
(ب) مساحة تخزين ملفات منفصلة ومعزولة منطقياً عن جميع بيئات نشر العملاء الآخرين؛
(ج) إعدادات تطبيق مستقلة، ومتغيرات بيئة مستقلة، ومفاتيح تشفير، وإدارة جلسات خاصة؛
(د) بيئة تشغيل معزولة منطقياً تعمل على بنية تحتية سحابية مُدارة باحترافية؛
(هـ) عمليات نسخ احتياطي وتحديث وصيانة مستقلة تُنفَّذ لكل بيئة نشر على حدة.

2.1.2 لا تتم مشاركة قواعد بيانات العملاء أو دمجها مع بعضها البعض مطلقاً؛ ولا تُخزن بيانات العملاء مطلقاً في قواعد بيانات مشتركة. تكون بيانات كل بيئة نشر منفصلة بنيوياً ومنطقياً، ولا يمكن الاستعلام عن البيانات أو الوصول إليها أو مشاركتها عبر بيئات نشر العملاء المختلفة من خلال طبقة التطبيق. ولا يمكن لأي عميل الوصول إلى بيانات عميل آخر عبر المنصة. وتُدير شركة المقر البنية التحتية، بينما يحتفظ كل عميل بالملكية الكاملة لبياناته.

2.2 عزل النطاق والشبكة

2.2.1 يتم الوصول إلى كل نسخة تثبيت واستخدامها عبر نطاق مخصص (Domain) أو نطاق فرعي (Subdomain) مخصص للعميل. نطاق ملفات تعريف الارتباط محصور بنطاق نسخة التثبيت، ولا تحدث أي مشاركة لملفات تعريف الارتباط أو الجلسات عبر نسخ التثبيت المختلفة.

2.2.2 تضمن آليات التحكم والربط على مستوى الشبكة ونظام أسماء النطاقات (DNS) توجيه حركة المرور الخاصة بكل نسخة تثبيت حصرياً إلى الحساب والمستودع البرمجي المناسب وقاعدة البيانات المخصصة له.

3. أمان البنية التحتية

3.1 إدارة البنية التحتية المستأجرة

3.1.1 تشمل البنية التحتية الخوادم السحابية الافتراضية (VPS)، والشبكات، ووحدات التخزين، والبرمجيات الأساسية التي تُستضاف عليها نسخ التثبيت، والتي تستأجرها، أو تملكها، أو تُديرها شركة المقر لتقنية المعلومات من خلال مراكز بيانات عالمية موثوقة. وتحتفظ شركة المقر بالسيطرة المنطقية والرقابة التشغيلية الكاملة على جميع مكونات هذه البنية التحتية المستأجرة.

3.1.2 توظف شركة المقر لعمليات إدارة البنية التحتية موظفين ومهندسين أكفاء يمتلكون التدريب والصلاحيات المناسبة، ويخضع جميع الموظفين الذين لديهم وصول تقني إلى الخوادم لآليات التحكم الصارم في الوصول والالتزامات القانونية بالسرية المطلقة.

3.2 تحصين أمان الخوادم (Server Hardening)

3.2.1 تنفذ شركة المقر ممارسات معيارية صارمة لتحصين أمان الخوادم، بما في ذلك:

(أ) إزالة أو تعطيل الخدمات والمنافذ والبروتوكولات غير الضرورية؛
(ب) تطبيق تحديثات وإصلاحات الأمان لنظام التشغيل دورياً؛
(ج) تقييد الوصول المباشر للجذر (Root) أو لوحات التحكم للموظفين والمهندسين الأساسيين المصرح لهم فقط ولأغراض الصيانة؛
(د) تشغيل جدران حماية شبكية متطورة (Firewalls) ومضادات فيروسات تفحص الملفات المرفوعة فوراً، وأنظمة كشف ومنع التسلل وحظر حركة المرور الخبيثة.

3.3 تحديثات النظام والبرامج

3.3.1 تنفذ شركة المقر إصلاحات الأمان والتحديثات لأنظمة تشغيل الخوادم، وخوادم الويب، وخوادم قواعد البيانات، وبيئة تشغيل لغة (PHP)، وكافة المكونات الأساسية وفقاً لجدول دوري منتظم.

3.3.2 يتم تطبيق إصلاحات الأمان الحرجة وثغرات يوم الصفر بسرعة معقولة تشغيلياً، وقد يتطلب ذلك نوافذ صيانة طارئة تُنفذ فوراً ودون إشعار مسبق لحماية الأنظمة وبيانات العملاء من الأخطار الداهمة.

4. آليات التحكم في الوصول

4.1 التحكم في الوصول القائم على الأدوار لمهندسي الشركة (RBAC)

4.1.1 تنفذ شركة المقر بروتوكولات حظر وتحكم قائم على الأدوار لضمان وصول موظفيها التقنيين فقط إلى الأنظمة الضرورية لوظائفهم وصيانتهم التشغيلية وبمبدأ "الحد الأدنى من الصلاحيات اللازمة".

4.1.2 يُحظر على موظفي أو مهندسي شركة المقر تصفح بيانات العميل، أو نسخها، أو تصديرها، أو الاحتفاظ بها، ولا يتم الدخول على الأنظمة إلا لوجود حاجة تشغيلية مثبتة وموثقة.

4.2 مستويات الوصول والدعم الفني

4.2.1 الوصول على مستوى التطبيق: للمشكلات التقنية التي تظهر داخل واجهات المنصة وطبقة التطبيق، يلتزم العميل بتزويد فريق الدعم بصلاحية وصول مؤقتة أو إنشاء حساب دعم محدد الصلاحيات من قِبل المسؤول، مع تفويض كتابي صريح. يتيح هذا الدخول التنقل في الواجهة، وتوجيه معالجة الأخطاء دون الاطلاع على محتوى الملفات المرفوعة المشفرة.

4.2.2 الوصول على مستوى البنية التحتية: للمشكلات الهيكلية العميقة (مثل إعدادات الخوادم، الترقيات الشاملة، أو صيانة نظام الملفات وقواعد البيانات)، يملك مهندسو شركة المقر الحق في الوصول المباشر إلى البنية التحتية والخوادم المستأجرة والملفات وجداول قواعد البيانات (عبر SSH أو لوحات تحكم cPanel أو أداة phpMyAdmin). هذا الوصول محكوم قانونياً بالتزامات السرية الصارمة وضوابط تتبع الوصول.

4.2.3 توثيق سجلات الوصول: يتم توثيق وتسجيل كافة عمليات دخول موظفي الشركة لغايات الصيانة أو الدعم الفني ضمن سجلات المنصة الداخلية أو سجلات الخادم الأمنية العامة (Server Logs).

4.3 آليات التحكم على مستوى التطبيق للعميل

4.3.1 يملك العميل (المسؤول) عبر لوحة التحكم الصلاحية المطلقة والمنفردة لإنشاء وتعديل حسابات مستخدميه الداخليين، وتعيين الأدوار (مسؤول، محامٍ، موظف، محاسب) وتحديد صلاحيات الاطلاع والتعديل لكل منهم وفق مبدأ الحد الأدنى من الصلاحيات.

4.3.2 لا تتدخل شركة المقر، ولا تتولى، ولا تملك أي سلطة أو رقابة إدارية أو برمجية على توزيع ومنح هذه الصلاحيات الداخلية وحمايتها، والعميل وحده يتحمل التبعات القانونية لسوء إدارة الصلاحيات في مكتبه.

5. التشفير ونطاق الحماية التقنية

5.1 التشفير أثناء السكون (Encryption at Rest)

5.1.1 تُطبِّق المنصة تقنية التشفير أثناء السكون على الملفات والمستندات المرفوعة من قِبل العميل كملحقات (مثل وثائق القضايا، ملفات الأرشيف، وصكوك الأحكام). وتُشفَّر هذه الملفات بالكامل باستخدام خوارزمية معيار التشفير المتقدم (AES-256) قبل حفظها على القرص الصلب للخادم.

5.1.2 عدم تشفير قاعدة البيانات: البيانات الهيكلية والنصية المُدخلة عبر النماذج الرقمية للحقول (مثل: أسماء الموكلين، أرقام الهويات، تفاصيل وتواريخ القضايا، الملاحظات المكتوبة، وبيانات الفواتير) تُخزَّن في قاعدة البيانات المخصصة لنسخة التثبيت بصيغة نصية مباشرة (غير مشفرة برمجياً على مستوى التطبيق)، وذلك لتمكين ميزات البحث والفرز والتقارير. وتُحمى هذه البيانات الهيكلية عبر ضوابط أمن خوادم قاعدة البيانات والتحصين السيبراني للبنية التحتية.

5.2 إدارة وتأمين مفاتيح التشفير

5.2.1 يتم تعيين مفتاح تشفير فريد وخاص بكل نسخة تثبيت، ويتم حفظه وإدارته بشكل آمن ومحمي برمجياً ضمن ملفات الإعدادات والبيئة الخاصة بالتطبيق والمخصصة للعميل (ملف .env خارج مجلد الوصول العام للإنترنت public_html).

5.2.2 تتولى شركة المقر تأمين وحفظ واستنساخ ملفات الإعدادات والمفاتيح برمجياً كجزء من بنية النظام والنسخ الاحتياطي العام للخادم، ولا يتم تزويد العميل بنسخة يدوية منها منعاً لتعقيد العمليات السحابية أو تلف البيانات في حال فقدانه لها. ويحظر تماماً إعادة توليد المفتاح أو تعديله بعد بدء رفع الملفات منعاً لتلفها النهائي.

5.3 إقرار العميل بنطاق الحماية

5.3.1 يوافق ويقر العميل صراحةً على المحدوديات التقنية التالية:

(أ) أن التشفير بمفتاح AES-256 يقتصر على الملفات والمستندات المرفوعة، ولا يشمل الجداول البرمجية لقاعدة البيانات.
(ب) أن النظام يقوم بفك تشفير الملفات تلقائياً وبشكل شفاف بمجرد طلبها من مستخدم مصرح له يمتلك صلاحية الوصول عبر التطبيق، أو من فريق الدعم لتشخيص مشكلة فنية بطلب العميل.
(ج) أن مهندسي البنية التحتية يمتلكون بحكم طبيعة إدارة السيرفرات وقواعد البيانات القدرة التقنية على الوصول إلى الخوادم ورؤية الجداول النصية عبر phpMyAdmin، وأن هذا الوصول محكوم قانونياً بالتزامات السرية الصارمة وضوابط تتبع سجلات الخادم.
(د) أن اختيار العميل لنوعية البيانات التي يدخلها وحساسية الملفات التي يرفعها يشكل الركيزة الأساسية في أمان بياناته.

6. البيانات أثناء النقل

6.1 جميع الاتصالات وحركات تدفق البيانات بين متصفح المستخدم والمنصة مشفرة ومؤمنة بالكامل باستخدام بروتوكول أمان طبقة النقل المتطور (SSL/TLS)، وتلتزم شركة المقر بتوفير وتجديد هذه الشهادات لكافة نسخ التثبيت ونطاقاتها وعناوينها.

6.2 الاتصالات الداخلية بين مكونات البنية التحتية المستأجرة (بين خادم الويب ومحرك قاعدة البيانات) محمية ومحصورة بالكامل بآليات التحكم الداخلي على مستوى نظام التشغيل والشبكة المعزولة محلياً.

7. أمان الشبكة

7.1 تنفذ شركة المقر تدابير صارمة لأمن الشبكة تشمل:

(أ) جدران الحماية للتحكم بحركة المرور وتقييد الدخول إلى لوحات تحكم الخادم إلا من عناوين (IP) محددة وموثوقة؛
(ب) أنظمة كشف ومنع التسلل لتحديد وحظر حركة المرور المشبوهة أو الخبيثة؛
(ج) تدابير الحماية من هجمات حجب الخدمة الموزعة (DDoS) لحماية المنصة من الهجمات الحجمية؛
(د) عزل حسابات المستخدمين والمستودعات على مستوى نظام تشغيل السيرفر لمنع تداخل الحسابات؛
(هـ) تحديد معدل الطلبات لحظر محاولات تخمين كلمات المرور أو سوء الاستخدام.

8. النسخ الاحتياطي والتعافي من الكوارث

8.1 سياسة النسخ الاحتياطي للبنية التحتية والمدد الزمنية

8.1.1 تقوم شركة المقر بإجراء عمليات نسخ احتياطي دوري وتلقائي لكامل قواعد البيانات والملفات الثابتة وملفات الإعدادات (بما في ذلك ملفات البيئة والمفاتيح المدمجة)، وتلتزم بالاحتفاظ بهذه النسخ الاحتياطية في السيرفر لمدة خمسة (5) أيام متتالية فقط لغايات الطوارئ العامة والتعافي من الكوارث التقنية وتلف الأجهزة.

8.1.2 تفقد النسخ الاحتياطية فاعليتها وتُحذف تلقائياً خارج نطاق مدة الخمسة أيام المتتالية، ولا تتحمل شركة المقر أي مسؤولية قانونية أو تقنية عن استعادة أو جلب أي ملفات أو بيانات قام العميل أو مستخدموه بحذفها خطأً أو عمداً خارج نطاق هذه المدة الزمنية.

8.2 مسؤوليات العميل الأمنية والنسخ الاحتياطي المحلي

8.2.1 تتيح المنصة للعميل (المسؤول) أدوات سحب وتصدير لبياناته وملفاته في أي وقت. ويتحمل العميل وحده المسؤولية الإدارية عن تنفيذ عمليات نسخ احتياطي محلي دوري والاحتفاظ بها في أجهزته أو سحابته الخاصة كخط دفاع إضافي وحماية قصوى لأعماله وموكليه.

8.3 خطة التعافي من الكوارث

8.3.1 تحافظ شركة المقر على خطة طوارئ تقنية لاستعادة البنية التحتية ونسخ التثبيت للعملاء من النسخ الاحتياطية المتاحة في حال حدوث عطل كارثي في السيرفر رغماً عن إرادتها. ولا توفر الشركة ضمانات لمدد زمنية محددة للاستعادة (RTO) أو نقطة زمنية بعينها لفقدان البيانات (RPO)، بل تبذل أقصى جهودها الفنية مع موفر خدمة الـ VPS لاستعادة العمل الطبيعي في أسرع وقت.

9. مراقبة الأمان والاستجابة للحوادث

9.1 تراقب شركة المقر البنية التحتية باستمرار بحثاً عن أحداث الأمان، ومحاولات الدخول غير المصرح به، واكتشاف البرمجيات الخبيثة وسلوك الأنظمة غير المألوف، وتتخذ الإجراءات الفورية للتخفيف من التهديدات.

9.2 تحافظ الشركة على خطة استجابة للحوادث السيبرانية لمعالجة أي خرق أمني واحتوائه. وفي حال وقوع حادث أمني مؤكد أدى ثبوتاً إلى خرق للبيانات الشخصية (Data Breach) يخص بيانات العميل، تلتزم شركة المقر بإخطار العميل المتضرر دون تأخير غير مبرر ومساعدته بالمعلومات الأساسية المتاحة للامتثال لالتزاماته القانونية. ولا يشكل هذا الإشعار اعترافاً بالمسؤولية أو التقصير بل التزاماً بالشفافية والعمل المشترك.

10. إدارة الثغرات الأمنية وأمن التطبيق

10.1 تراقب شركة المقر الثغرات المعروفة في المكونات البرمجية المستخدمة لبناء المنصة (مثل إطار عمل Laravel، بيئة تشغيل PHP، وقاعدة بيانات MySQL)، وتلتزم بسد الثغرات البرمجية الحرجة دورياً (بما يتوافق مع معايير OWASP العشرة الأكثر خطورة).

10.2 يتم تطوير وتحديث نظام "حصيف" وفقاً لممارسات البرمجة الآمنة لحماية المدخلات، ومنع هجمات الحقن (SQL Injection)، والحماية من النصوص البرمجية عبر المواقع (XSS)، وتوفير ميزة المصادقة ثنائية العامل (2FA) الإلزامية، وتجزئة وتعمية كلمات المرور عبر خوارزميات تشفير معقدة في الصناعة.

11. مسؤوليات العميل الأمنية

تأسيساً على مبدأ المسؤولية الأمنية المشتركة، يتحمل العميل بشكل كامل ومنفرد المسؤوليات التالية:

(أ) حماية بيانات الاعتماد وسرية كلمات المرور، وفرض تفعيل المصادقة ثنائية العامل (2FA) لجميع موظفيه دون تهاون؛
(ب) إدارة صلاحيات الوصول للموظفين والمتدربين وإلغاء حساباتهم وسحبها فور انتهاء علاقتهم بالمكتب؛
(ج) مراجعة والتحقق من سلامة وجودة أي ربط اختياري يقوم به مع خدمات الطرف الثالث (مثل Google Drive أو ربط الإشعارات بـ WhatsApp Business)، حيث تخرج تلك الشركات وسياساتها عن نطاق سيطرة وحماية شركة المقر؛
(د) تأمين الشبكات المحلية والأجهزة المحميلة التي يستخدمها المحامون للوصول إلى المنصة وتحديث متصفحاتهم بشكل مستمر ومكافحة الفيروسات في أجهزتهم.

12. جدول وملخص معالجة البيانات

يلخص الجدول التالي القواعد الحاكمة لبنية الأمان والمعالجة المطبقة في نظام حصيف:

الجانب والآلية الفنية	الوصف الحاكم والالتزام التعاقدي
هيكلية البنية التحتية	بنية نسخة التطبيق المخصصة (Single-Instance Architecture). نسخة تطبيق وقاعدة بيانات مخصصة لكل عميل على بنية تحتية سحابية مُدارة باحترافية (عبر cPanel).
مراقب البيانات المستقل	العميل (المكتب القانوني) هو المسؤول الحصري عن مشروعية وصلاحية معالجة بيانات موكليه.
معالج البيانات الفني	شركة المقر (تنفيذ الاستضافة، التحديثات الأمنية، الدعم الفني، والنسخ الاحتياطي الروتيني).
التشفير أثناء السكون	معيار (AES-256) للملـفات والمستندات المرفوعة كملحقات فقط، ولا يشمل جداول قاعدة البيانات النصية.
التشفير أثناء الانتقال	بروتوكول (SSL/TLS) لكافة حركات الاتصال والتصفح عبر شبكة الإنترنت.
مفتاح التشفير الرقمي	فريد لكل نسخة تثبيت، يُحفظ برمجياً في ملفات البيئة والإعدادات المحمية بالسيرفر، وتديره الشركة آلياً دون تسليمه يدوياً.
الدعم والوصول الفني	دخول التطبيق عبر حساب دعم مؤقت بطلب العميل، ودخول البنية التحتية عبر (SSH/phpMyAdmin) للمهندسين المصرح لهم وتحت التزام السرية.
أغراض الوصول للبيانات	محصورة حصراً بتقديم الخدمات وصيانة النظام. يُحظر تماماً الإعلان، التسويق، التحليل السلوكي، أو إعادة البيع.
النسخ الاحتياطي للسيرفر	نظام تلقائي يحتفظ بالنسخ الاحتياطية في السيرفر لمدة (5) أيام متتالية فقط لغايات الطوارئ العامة.
الاحتفاظ وحذف البيانات	تُحذف نسخة التثبيت وتُدمر كافة قواعد بياناتها وملفاتها بالكامل تدميراً تقنياً غير قابل للاستعادة خلال مدة أقصاها (30) يوماً من تاريخ إلغاء أو إنهاء الاشتراك الفعلي، وتُحفظ سجلات الفواتير والترخيص لـ 5 سنوات للنظام المالي المعمول به.

13. الامتثال والقانون الحاكم

13.1 تخضع هذه السياسة، وتُفسر، وتُطبق أحكامها وفقاً للقوانين والتشريعات النافذة في دولة ليبيا (بما في ذلك قانون الاتصالات رقم 12 لسنة 2010، وقانون المعاملات الإلكترونية رقم 6 لسنة 2022). وفي حال نشوء أي نزاع يتعذر حله ودياً خلال ثلاثين (30) يوماً، يُحال حصرياً إلى الاختصاص القضائي للمحاكم المختصة في مدينة طرابلس، دولة ليبيا.