منظومة الأمن.

بيانات شركتك كلها تبقى في المملكة العربية السعودية (الدمام): قاعدة البيانات، والتخزين، والخزنة، والعامل، ووحدة التحكم.

الاستثناء هو استدعاء النماذج اللغوية خارج السعودية. نصوص الوكيل تمر عبر بوابة الخصوصية أولاً؛ أما تصنيف واستخراج ملفات PDF فيُرسل حالياً إلى Gemini ويُسجَّل كنقل عبر الحدود إلى أن تكتمل OCR/التنقيح داخل المملكة في المرحلة الثانية.

لاستنتاجات النص التي تمر عبر بوابة الخصوصية، تُستبدل أرقام الهوية، ومراجع حالات نجم، والجوال، والآيبان، وأسماء حاملي الوثائق برموز تحفظ الشكل. تصنيف واستخراج ملفات PDF ليسا مُرمَّزين مسبقاً بعد.

خزنة الرمز إلى النص في قاعدة بيانات داخل المملكة. حلقة مفاتيح KMS حالياً في الاتحاد الأوروبي، مع مسار انتقال إلى HSM سعودي في مستوى المحفظة. كل وصول للخزنة — قراءة أو كتابة — يُلحَق بسطر تدقيق يُسمّي الفاعل، والمطالبة، والغرض.

لكل ضابط في إطار مؤسسة النقد للأمن السيبراني، وECC-2، ونظام حماية البيانات، آليةٌ مُسمَّاة في المنتج. ملحق اتفاقية معالجة البيانات يوسّع كل سطر إلى نص الضابط ومسار الدليل.

الجلسات تستخدم ملفات تعريف ارتباط مدعومة بـ JWT، مع إلغاء من جانب قاعدة البيانات. ستة أدوار بصلاحيات كتابة مختلفة: nizam_admin، وnizam_ops، وcarrier_admin، وcarrier_ops، وcarrier_reviewer، وviewer. المصفوفة مطبوعة في اتفاقية معالجة البيانات.

انتحال موظفي الشركة يكون للقراءة فقط. كل جلسة انتحال تعرض لافتة للمشغّل وتكتب سطر تدقيق يفحصه العميل. إدخالات التدقيق الإدارية مُلحَقة فقط، عبر مُحفِّزات قاعدة البيانات، وتحمل بريد الفاعل، والفعل، والهدف، ومُعرِّف الطلب، وIP مُجزَّأ، ووكيل المستخدم.

ثلاث شدّات: شدّة ١ (انقطاع أو كشف بيانات مؤكد) تُستلم خلال ١٥ دقيقة، شدّة ٢ (جزئي) خلال ساعة، شدّة ٣ (منخفضة) خلال أربع ساعات عمل.

التأثير المؤكد يُطلق إشعاراً إلى الشركة خلال ٤٨ ساعة، وإلى المكتب الوطني لإدارة البيانات خلال ٧٢ ساعة وفق المادة ٢٦ من نظام حماية البيانات. تقرير المراجعة اللاحقة يُسلَّم خلال ١٥ يوم عمل، ومعه الخط الزمني، والسبب الجذري، والثغرة، والتزامات المعالجة.

ما لم يُنشر بعد، ومتى سيُنشر.