الأمن ومعالجة البيانات
ما يفعله مطابق بملف الفاتورة، وما يحفظه ومدة حفظه، وأين يعمل، ومن جهات المعالجة من الباطن لديه، وكيف تُحمى الحسابات، وما لا يملكه. وكل سطر هنا يصف المنتج كما هو؛ أما الوثيقة النظامية فهي سياسة الخصوصية.
ملف الفاتورة
- يُفحص ملف XML للفاتورة، أو أرشيف ZIP منها، أو ملف PDF/A-3 يتضمن ملف XML، في الذاكرة طوال مدة الطلب ويُتخلص منه عند إرسال الرد. ولا يُكتب أبداً على قرص ولا في قاعدة بيانات ولا في سجل، ولا يُرسل إلى أي جهة أخرى.
- يُقرأ الملف بترميز UTF-8 حصراً، ويُرفض أي ترميز مُعلن غيره. ويعمل محلل XML مع تعطيل تعريفات نوع المستند (DTD) وتوسيع الكيانات، ويجري فحص المخطط على مخططات UBL 2.1 التي تتضمنها حزمة أدوات التطوير SDK التي تنشرها الهيئة.
- النتيجة تصدر عن شيفرة حتمية وحدها. ولا يقرّرها أي نموذج لغوي، ولا يستخدم المنتج نموذجاً لغوياً أصلاً.
ما يُحفظ
- حسابك: البريد الإلكتروني الذي تسجّل به، واسم منشأتك، وعدّادات الاستخدام.
- لكل فحص، ما يخلّفه الرفع: من أجراه ومتى، ونوع الملف، وإصدار حزمة القواعد، والنتيجة، وعدد الملفات، ورمز نوع الفاتورة، ولكل ملاحظة معرّف القاعدة ودرجتها ومسار XPath وصورة القيمة ومفتاح الشرح، مع ترتيب الملف في أرشيف ZIP. ولا تُسجَّل أي قيمة من الفاتورة: فصورة القيمة تقول «فارغة» أو «ليست 15 رقماً»، ولا تذكر القيمة نفسها أبداً.
- أي تسمية تكتبها لفحصٍ ما (كاسم عميل أو فرع أو مرجع)، تُحفظ مع الفحص ويمكن لكل عضو في منشأتك الاطلاع عليها.
- تُحذف البيانات الوصفية للملاحظات، مع سجل الفحص الذي صدرت عنه، تلقائياً بعد 12 شهراً من الفحص. وعند حذف الحساب تُحذف بياناته خلال 30 يوماً، ويمكنك حذف حسابك بنفسك من صفحة الأعضاء. أما المنشأة التي ما زال فيها أعضاء آخرون فتحتفظ بعدّادات استخدامها وبياناتها الوصفية للملاحظات.
- ولا يُكتب في أي سجل محتوى من الفاتورة ولا قيمة منها أبداً. ويحمل سطر السجل الخاص بالفحص معرّفات القواعد والأعداد والأزمنة، وتحمل السجلات التشغيلية معرّفات الطلبات ورموز الحالة ورموز الأخطاء.
أين يعمل
يجري الفحص على خوادم Vercel في فرانكفورت (المنطقة fra1). وتحتفظ Supabase ببيانات الحساب والبيانات الوصفية للملاحظات في فرانكفورت. وعليه فإن بيانات الحساب تُخزَّن داخل الاتحاد الأوروبي؛ ولا يقدّم مطابق استضافة داخل المملكة العربية السعودية.
جهات المعالجة من الباطن
تسرد سياسة الخصوصية كل جهة معالجة من الباطن وما تقوم به. وتنشر الجهتان المستضيفتان تقارير أمنية خاصة بهما؛ وهي تقاريرهما، لا تقارير مطابق:
- Supabase (قاعدة البيانات والمصادقة، في فرانكفورت): صفحة الأمن لديها وملحق معالجة البيانات الخاص بها، كما تنشرهما.
- Vercel (الاستضافة): صفحة الأمن وجهات المعالجة من الباطن لديها وملحق معالجة البيانات الخاص بها، كما تنشرهما.
- أما Paddle (المدفوعات) وCloudflare (نظام أسماء النطاقات وتوجيه البريد) وResend (إرسال رسائل البريد الإلكتروني لتسجيل الدخول) فمذكورة في سياسة الخصوصية مع ما تقوم به كل منها.
ويُراسَل مالكو المنشآت بالبريد الإلكتروني قبل 30 يوماً على الأقل من إضافة جهة معالجة من الباطن أو استبدالها، إلا إذا اقتضت أسباب أمنية إجراء التغيير على وجه السرعة، فيكون الإخطار عندها في أقرب وقت تسمح به الظروف.
الحسابات والصلاحيات
- يكون تسجيل الدخول برابط يُرسل بالبريد الإلكتروني ويعمل مرة واحدة. ولا تُستخدم كلمة مرور.
- المصادقة الثنائية عبر تطبيق مصادقة (رمز تحقق TOTP من 6 أرقام) اختيارية. ومتى فعّلها حساب، رفضت قاعدة البيانات نفسها، لا التطبيق وحده، إعطاء بيانات ذلك الحساب لأي جلسة لم تجتز عامل التحقق الثاني.
- لكل جدول أمن على مستوى الصف. والمفتاح الذي يحمله المتصفح لا يمنح شيئاً فوق ما تسمح به تلك السياسات؛ أما المفتاح الذي يتجاوزها فلا تقرؤه إلا شيفرة الخادم، وله إجراء مكتوب لتدويره.
- ويستطيع مالك المنشأة قصر الدعوات على نطاقات بريد إلكتروني محددة.
- ويُعرض مفتاح API مرة واحدة ولا يُحفظ إلا بصمةً بخوارزمية SHA-256. ويُرفض المفتاح المُلغى فوراً، ولكل مفتاح حدّ للطلبات خاص به.
في المتصفح
يحمل كل رد ترويسة Strict-Transport-Security، وترويسة X-Content-Type-Options بقيمة nosniff، وسياسة frame-ancestors لا تسمح لأي موقع بتضمين صفحة في إطار، وسياسة Permissions-Policy ترفض الكاميرا والميكروفون والموقع وUSB. وتُرسل سياسة Content-Security-Policy كاملة في وضع الإبلاغ فقط ريثما تُقرأ تقاريرها؛ وهي لا تحجب شيئاً بعد.
ما لا يملكه مطابق
- ليس لديه تقرير SOC 2 أو ISO 27001 خاص به، ولا تقرير اختبار اختراق. وتقارير المستضيفين تقاريرهم، وروابطها أعلاه.
- ليس لديه رقم منشور لتوافر الخدمة ولا اتفاقية مستوى خدمة. وتعطي صفحة الحالة إجابة آنية واحدة وتربط إلى صفحة الحالة الخاصة بكل مزوّد؛ ولا تنشر سجلاً تاريخياً بعد.
- صيغت مسودة اتفاقية معالجة بيانات لمراجعة المستشار القانوني؛ ولا تُعرض أي اتفاقية حتى يعتمدها المستشار ويُربط إليها من سياسة الخصوصية.
- لا يقدّم استضافة داخل المملكة العربية السعودية.
الإبلاغ عن ثغرة أمنية
راسلنا على support@hayatiq.ai، بالإنجليزية أو العربية. وجهة التواصل نفسها منشورة في ملف security.txt.