مركز الثقة
المعالجون الفرعيون
- GitHub, Inc. — United Statesخارج المملكة
- Google LLC — United Statesخارج المملكة
- Zenlayer (center3 and IMMIX data centres, Riyadh) — Riyadh, SAداخل المملكة
- notify-hub (Bin Askar) — Frankfurt, Germanyخارج المملكة
- payments-hub (Bin Askar) with DineroPay — Frankfurt, Germany (payments-hub); DineroPay per its own termsخارج المملكة
مصفوفة المسؤولية المشتركة
| مراكز البيانات والأمن المادي | مزوّد السحابة المسجّل لدى هيئة الاتصالات |
| الشبكة والحماية من هجمات حجب الخدمة | المنصة |
| Kubernetes وتحديثات النظام | المنصة |
| عزل المستأجرين (شبكة، موارد، بيئة معزولة) | المنصة |
| شهادات TLS | المنصة |
| تشفير الأسرار والنسخ الاحتياطية | المنصة |
| النسخ الاحتياطي اليومي لقواعد البيانات | المنصة |
| اختبار الاستعادة | العميل (بأدوات المنصة) |
| كود التطبيق ومكتباته | العميل |
| محتوى الأسرار ومتغيرات البيئة | العميل |
| صلاحيات الفريق والتحقق بخطوتين | مشتركة |
| تصنيف البيانات | العميل |
| إبلاغ سدايا عن الحوادث (خلال 72 ساعة) | العميل بصفته المتحكم؛ المنصة تبلغ العميل دون تأخير |
| سجلات التدقيق (غير قابلة للتعديل) | المنصة |
اتفاقية معالجة البيانات
مسودة — بانتظار المراجعة القانونية- الأطراف والدور: العميل هو المتحكم في البيانات، والمنصة معالِج يعمل وفق تعليماته الموثقة فقط، طبقاً لنظام حماية البيانات الشخصية ولائحته التنفيذية.
- موقع البيانات: تُخزَّن بيانات العميل وتُعالَج داخل المملكة العربية السعودية فقط، ويمنع قفل المناطق نشر أي مورد خارجها. يوضح تقرير موقع البيانات الموقّع كل عنصر وموقعه.
- المعالجون الفرعيون: القائمة أدناه منشورة، ويُشعَر العميل قبل 30 يوماً من إضافة معالج جديد، وله حق الاعتراض.
- الأمن: تشفير أثناء النقل والتخزين، عزل المستأجرين، تحقق بخطوتين، سجل تدقيق غير قابل للتعديل، اختبار اختراق كل 6 أشهر.
- الحوادث: تُبلغ المنصة العميل دون تأخير غير مبرر، وخلال 24 ساعة كحد أقصى، بما يمكّنه من إبلاغ سدايا خلال 72 ساعة.
- حقوق أصحاب البيانات: تساعد المنصة العميل في الاستجابة لطلبات الوصول والتصحيح والحذف.
- انتهاء الخدمة: يمكن للعميل تصدير بياناته، ثم تُحذف حذفاً لا رجعة فيه مع شهادة حذف.
- التدقيق: للعميل وللجهات الرقابية (ومنها البنك المركزي السعودي للجهات الخاضعة له) حق المراجعة والتدقيق.
الشهادات
البنية التحتية: موروثة من مزوّدي السحابة (فئة C لدى هيئة الاتصالات، Tier III، ISO 27001). المنصة: اختبار اختراق خارجي، ثم ISO 27001 و27017 و27018 وSOC 2 ومطابقة ضوابط الأمن السيبراني (ECC-2 وCCC-2) مصدّقة من جهة سعودية — حسب خارطة الطريق.