الأمان في Spun

أين توجد بياناتك

ألمانيا أولًا، مع خلية بيانات واحدة في الولايات المتحدة

يشغّل Spun خليتي بيانات. تقع eu-1 في نورنبرغ، ألمانيا، على البنية التحتية لشركة Hetzner، وتضم مستوى التحكم والغالبية الكبرى من المنظمات. وتقع us-1 في ماناساس، فرجينيا، على البنية التحتية لشركة netcup. يقع فيها اليوم مقر منظمتين، وكل منظمة أخرى مقرها في ألمانيا.

لا يُخمَّن مكان الاستضافة من الموقع الذي صادف أن كنت فيه عند التسجيل. لا تُربط أي دولة بخلية بعينها، لذلك تُنشأ المنظمات الجديدة على خلية الاتحاد الأوروبي. مقر منظمتك في خلية واحدة فقط، وتبقى بياناتها في تلك الخلية إلى أن يقرر أحد نقلها عن قصد.

تُخزَّن الوسائط، أي الصور والفيديو والصوت والمستندات المرفقة، في Cloudflare R2، ولا تُقدَّم إلا عبر روابط موقّعة يقتصر كل منها على عنصر واحد، ولا تُقدَّم أبدًا من عنوان حاوية تخزين عام.

تتبع مدة الاحتفاظ بالبيانات باقتك. تذكر كل باقة مدة سجل الرسائل الخاصة بها في صفحة الأسعار: 90 يومًا في Starter، وسنة واحدة في Pro، وبلا حدود في Max. تُحذف الرسائل الأقدم من هذه المدة، وترفع الترقية المدة وتتيح استيراد سجل أقدم من جديد. وضمن مدتك، تبقى البيانات إلى أن تحذفها أو إلى أن يزيلها إعداد احتفاظ أقصر تضبطه أنت. أدوات الحذف والتصدير الموضحة أدناه هي الآلية لذلك.

إخفاء البيانات الشخصية

ما الذي يُزال، ومتى

يعمل الإخفاء على خادمنا قبل أن يغادره الطلب. تُستبدل القيم المكتشفة بعناصر نائبة مبهمة، ولا تُرسل أبدًا إلى المتصفح أو إلى المزوّد الخريطةُ التي تربط كل عنصر نائب بقيمته الأصلية.

قاعدة واحدة ثابتة في كل الإعدادات: تُزال أرقام البطاقات، وتفاصيل الحسابات المصرفية وIBAN، والمستفيدون، وأرقام الهوية الوطنية، وأرقام جوازات السفر، ومفاتيح API والرموز المميزة من كل ما يُستخدم لبناء فهارس البحث. يغطي الاكتشاف 10 مجموعات لغوية، ويتحقق مما يمكن التحقق منه: أرقام البطاقات وأرقام الهوية الإسرائيلية يُتحقق منها بالمجموع الاختباري، لا بمطابقة النمط وحدها.

ينتمي العنصر النائب إلى الطلب الواحد الذي أنشأه. يضع كل تشغيل على عناصره النائبة وسمًا بقيمة عشوائية، ولا يُعاد إلى نص حقيقي إلا العناصر النائبة التي تحمل وسم ذلك التشغيل. لذلك فإن رمزًا منسوخًا من سلسلة ردود مقتبسة، أو رمزًا يخترعه نموذج، لا يطابق شيئًا ويبقى كما هو بدل أن يُملأ برقم حقيقي لشخص ما.

عندما تكتب ميزة ذكاء اصطناعي شيئًا سترسله، تُعاد القيم الحقيقية على خادمنا بعد أن يجيب النموذج: تصل مسودة البريد الإلكتروني إلى نافذة الكتابة كاملة، لأن وجود عنصر نائب في صندوق وارد العميل خلل. وعندما تكتب شيئًا تقرؤه فقط، مثل ملخص سلسلة بريد إلكتروني، لا تُعاد القيم. تبقى العناصر النائبة ظاهرة، إذ لا فائدة من كتابة بيانات شخصية حقيقية في سطر لا يُعرض إلا للقراءة. وفي نافذة كتابة البريد الإلكتروني يمكنك فتح "ما يراه الذكاء الاصطناعي" قبل أن تطلب أي شيء، وقراءة السلسلة تمامًا كما يتلقاها المزوّد، وصولًا إلى كل عنصر نائب ونوع المعلومة التي يمثلها.

يقلل الإخفاء ما يراه المزوّد، لكنه لا يسترجع أي شيء سبقت معالجته، ونقول ذلك في نافذة التأكيد لا في حاشية.

الوصول

من يمكنه الوصول إلى ماذا

تفرض قاعدة البيانات العزل بين المنظمات، ولا يعتمد ذلك على تذكّر كود التطبيق للتصفية. لجداول المستأجرين سياسات أمان على مستوى الصفوف مرتبطة بالمنظمة في الجلسة الحالية، فالاستعلام الذي يفتقد هذا السياق لا يعيد شيئًا.

ينطبق دوران على فريقك، مدير المنظمة ومستخدم المنظمة، إلى جانب دور مسؤول المنصة الذي يحمله فريق Spun لأغراض الدعم. ويُحدَّد نطاق الوصول إلى صندوق الوارد بشكل منفصل أيضًا: قراءة وكتابة، أو قراءة فقط، أو وصول محدود بمرشّح لا يرى فيه العضو إلا المحادثات المطابقة للمرشّح المضبوط له. وتحمل المحادثات المشتركة مع منظمة أخرى دورها الخاص فوق ذلك، من مشاهد إلى عضو فريق ومدير وصولًا إلى التحكم الكامل، فلا تعني مشاركة محادثة تسليم الحساب.

محادثات الدعم مع Spun، والتذاكر المقدَّمة من صندوق وارد، مرئية لمالك الحساب وللأعضاء الذين يسمح لهم المالك. ولا يرى عضو صندوق الوارد المشترك محادثة الدعم البشري إلا إذا كانت مشاركته تتضمن هذه الصلاحية، ويرفض الخادم الطلب عندما لا تتضمنها، بدل الاكتفاء بإخفاء علامة التبويب.

تأتي الهوية من Firebase، وتتوقف عند ذلك. تُستخرج العضوية والمنظمة النشطة والدور من قاعدة البيانات في كل طلب، ولا يُعتمد على أي شيء في الرمز المميز لإثباتها.

بعض الأشياء تخص شخصًا واحدًا لا المنظمة. الأهداف الشخصية والتأملات المكتوبة عنها أوضح مثال: سياسات الأمان على مستوى الصفوف الخاصة بها مرتبطة بالعضو وبالمنظمة معًا، فلا يستطيع المدير أو زميل الفريق أو زميل صندوق الوارد المشترك قراءتها حتى داخل الحساب نفسه، وتفرض قاعدة البيانات ذلك لا الواجهة باختيار ما تعرضه. أدواتنا الإدارية ترى الأعداد فقط، لا النص أبدًا. ويستثني التصدير على مستوى المنظمة نصوص التأملات بالكامل، ولا يحتويها إلا التصدير الشخصي للشخص نفسه. وحذف تأمل يخفي أيضًا نسخه المتبقية في Spun Chat لذلك الشخص، فلا تبقى الكلمات في مكان ثانٍ.

بروكسي ذاتي

ما هو البروكسي الذاتي، وما الذي يمكنه رؤيته

تصل كل جلسة واتساب مرتبطة إلى واتساب من عنوان إنترنت ما. لا يربط Spun أي رقم مباشرة من مركز بيانات البوابة. قبل عرض رمز QR، تؤكد الدولة التي تستخدم فيها واتساب عادة، ثم يستخدم الاتصال الجديد دون بروكسي ذاتي أحد مسارين مُدارين. إذا كان لدى بوابة واتساب اتصال إقليمي في تلك الدولة، تمر الجلسة عبره (ويظهر باسم اتصال Spun)، وهو جزء من خدمة البوابة المدرجة أصلًا في قائمة المعالجين الفرعيين لدينا. وإذا لم يكن لديها اتصال كهذا، تمر الجلسة عبر عنوان إنترنت منزلي في تلك الدولة توفره شبكة البروكسي المذكورة في القائمة نفسها (ويظهر باسم اتصال مؤقت). يسجّل Spun الدولة المؤكدة، ولا يمكن تعديلها بعد الربط. وفي الاتصالات المؤقتة يتحقق دوريًا من أن الاتصال يخرج فعلًا من تلك الدولة، ويوقف الاتصالات الجديدة مؤقتًا إذا أظهر التحقق خلاف ذلك. وإذا لم يتوفر أي من المسارين لدولتك، لا يظهر رمز QR ويُعرض عليك البروكسي الذاتي بدلًا من ذلك.

البروكسي الذاتي هو البديل الاختياري: تتصل قناة واتساب الخاصة بك عبر عنوان IP تتحكم فيه أنت. تشغّل برنامج نفق صغيرًا على جهاز كمبيوتر، أو على Spun Box (جهاز توجيه صغير تملكه ويُعدّ بالبرنامج نفسه)، في مقر عملك، فتخرج جلسة واتساب لقناتك إلى واتساب من هناك. وكل ما يلي ينطبق أيضًا على Spun Box، وتُرسل كلمة مرور جهاز التوجيه إلى جهاز التوجيه فقط عبر شبكتك المحلية أثناء الإعداد، ولا تُرسل أبدًا إلى Spun.

أيًا كان المسار المستخدم، لا يمر عبره إلا جلسة واتساب نفسها. أما الوسائط (الصور والفيديو والرسائل الصوتية والمستندات) فتُنزَّل وتُرفع بين بوابة واتساب وواتساب مباشرة، ولا تمر أبدًا عبر جهازك أو اتصال Spun أو الاتصال المؤقت.

المسار كالتالي: تتصل بوابة واتساب بمنفذ على خادم ترحيل تابع لـ Spun، ويمرر خادم الترحيل هذا الاتصال عبر نفق TLS فتحه جهازك باتجاه الخارج، ثم يجري جهازك الاتصال الأخير بواتساب. ولأن النفق يُفتح باتجاه الخارج، لا حاجة إلى كشف أي شيء على شبكتك: لا إعادة توجيه للمنافذ، ولا قاعدة جدار حماية للاتصالات الواردة.

ولكي يرى المديرون سبب انقطاع قناة، يُبلغ برنامج البروكسي الذاتي أيضًا عن الشبكة التي يتصل بها جهازه: نوع الاتصال، واسم شبكة Wi-Fi حيث يسمح نظام التشغيل بقراءته، وبصمة أحادية الاتجاه لعنوان العتاد الخاص بالموجّه (لا يُخزَّن العنوان نفسه)، وعنوان الإنترنت العام. يسجّل Spun حدثًا فقط عندما تتغير الشبكة، ويعرضه لمديري المنظمة في سجل البروكسي ضمن الإعدادات. وعندما يجري مدير فحصًا للاتصال، أو يفشل الربط، يفتح Spun أيضًا اتصالًا تجريبيًا من ذلك الجهاز إلى موقعه وإلى WhatsApp Web، ويسجّل فقط النتيجة واسم أي منتج تصفية أجاب بدلًا من الموقع. وعندما يجيب مرشّح بدلًا من WhatsApp Web، يحتفظ Spun أيضًا بسلسلة الشهادات العامة لذلك المرشّح (شهادات فقط، وليس مفتاحًا أبدًا) كي يطلب من مزوّد واتساب لديه الوثوق بذلك المرشّح، ويُبلغ فريقه مرة واحدة، ويرى المدير على الشاشة أن الفريق قد أُبلغ. وعندما يكون منتج التصفية منتجًا يتعرّفه Spun، قد يسمح Spun بذلك الفحص للجهاز تلقائيًا كي يجتاز التحقق من الدولة، ويستطيع المدير إيقاف ذلك في أي وقت من خلال فحص الاتصال الآمن للجهاز في الإعدادات. لا يجمع البرنامج الشبكات المحفوظة، ولا قوائم الشبكات القريبة، ولا عناوين الجهاز نفسه، ولا تُبلغ الهواتف عن اسم أي شبكة. وعندما يفشل البروكسي الذاتي، يجمع Spun أيضًا بيانات تشخيص الأعطال لأغراض الدعم: معلومات اتصال الجهاز (الحالة، وعنوان الخروج، ونتائج الاختبارات) والسجل الخاص ببرنامج الوكيل، وتُحفظ لمدة 30 يومًا ولا يراها إلا فريق الدعم في Spun.

تعمل خوادم الترحيل في نورنبرغ وماناساس، ويُستخدم الأقرب منها إلى جهازك. تفحص عمليات التحقق من السلامة كل إعداد باستمرار، وتصنّفه غير سليم ثم غير متصل عندما يتوقف عن الاستجابة. وعندما يكون خادم الترحيل نفسه معطلًا، يُميَّز ذلك عن تعطل جهازك كي لا تتلقى إنذارًا كاذبًا. لا ينقل Spun أي خط بين البروكسي الذاتي والاتصال المُدار من تلقاء نفسه: المنظمة التي تستخدم البروكسي الذاتي تبقى عليه، وينتظر خطها بدل التحول إلى بديل عندما تكون كل الأجهزة غير متصلة، ولا يمكن إزالة آخر جهاز يحمل جلسة مرتبطة حتى يتولى جهاز آخر المهمة أو يُفصل واتساب.

المزوّدون

من غيرنا يتعامل مع بياناتك

34 معالجًا فرعيًا، منشورون في قائمة واحدة توضح ما يفعله كل منهم، وما يمكنه رؤيته، وأين يعمل. الفئات:

تستحق إحدى هذه الفئات الإشارة إليها لأنها ترسل تفاصيل جهات الاتصال خارج Spun: إثراء جهات الاتصال. عندما تفعّلها منظمة، يستطيع المستخدم طلب ملف مهني عام لجهة اتصال محفوظة واحدة في كل مرة. لا يغادر Spun إلا اسم جهة الاتصال تلك ورقم هاتفها ودولة الرقم، ولا يغادره أبدًا محتوى الرسائل ولا قائمة بجهات اتصالك. تُحذف استجابة المزوّد الخام خلال 7 أيام، ولا يُحتفظ إلا بالحقول المهنية المدرجة في قائمة السماح، ويستطيع المدير حذف كل ما أعاده المزوّد عن جهة اتصال في أي وقت. الرقم المخصص للولايات المتحدة مؤشر على أهلية الاستفادة من الميزة، وليس دليلًا على مكان إقامة أي شخص.

لا يستعلم Spun من واتساب أبدًا للبحث عن رقم شخص. يسجّل فقط المعرّفات التي تصل مع حركة الرسائل العادية، والمحادثة التي لا تتضمن رقمًا تعمل مثل أي محادثة أخرى.

العقود

اتفاقية معالجة البيانات

بالنسبة لبيانات عملائك، أنت المتحكم في البيانات وSpun هو معالج البيانات. اتفاقية معالجة البيانات (DPA) متاحة عند الطلب، وتغطي قائمة المعالجين الفرعيين أعلاه، وعمليات النقل الدولية، والحدّين المذكورين في هذه الصفحة: أن التزام إقامة البيانات ينطبق على البيانات التي يخزّنها Spun لا على النسخ الخاصة ببوابة واتساب أو بشركة Meta، وأن المحادثات التي تجمع منظمتين تُستضاف مركزيًا في ألمانيا.