أمن مبني على مستوى المؤسسات.

البنية التحتية

تستضيف مارجرو على Amazon Web Services (AWS) منطقة الرياض (me-central-1)، مع نُسَخ احتياط مشفّرة في منطقة أيرلندا (eu-west-1) لضمان استمرارية الخدمة. AWS حاصلة على شهادات SOC 2 Type II، ISO 27001، PCI DSS، وامتثال لمتطلبات الهيئة الوطنية للأمن السيبراني السعودية.

عزل العملاء

كل عميل (متجر) معزول منطقياً عن غيره عبر بنية multi-tenant مع تدقيق الوصول على مستوى كل استعلام. لا تختلط بياناتك مع بيانات أي تاجر آخر.

التشفير

• في النقل: TLS 1.3 إلزامياً لكل اتصال (المتصفح، الـ API، التكامل مع سلة).
• في التخزين: AES-256 لقواعد البيانات، الملفات، النسخ الاحتياطية.
• إدارة المفاتيح: AWS KMS مع تدوير سنوي إجباري.
• كلمات المرور: bcrypt مع salt فردي لكل حساب.

التحكم في الوصول

• صلاحيات مبنية على الدور (RBAC) داخلياً
• المصادقة الثنائية إلزامية لكل موظف
• وصول مهندسي مارجرو إلى بيانات الإنتاج محدود، مسجَّل، ويتم بناءً على مبدأ "أقل امتياز"
• تدقيق ربع سنوي لصلاحيات الموظفين

سجلات التدقيق

كل وصول إلى بيانات العملاء يُسجَّل تلقائياً (المستخدم، الوقت، الفعل، النتيجة). السجلات تُحفَظ ٩٠ يوماً قابلة للاسترجاع، وسنة كاملة للأرشيف.

اختبارات الأمن

• سنوياً: اختبار اختراق خارجي من شركة متخصصة معتمدة
• ربع سنوي: مراجعة الكود الأمنية
• أسبوعياً: مسح أوتوماتيكي لاكتشاف الثغرات (Snyk + Dependabot)

النسخ الاحتياطي والتعافي من الكوارث

• نسخ احتياطية تلقائية كل ٦ ساعات
• هدف نقطة الاسترجاع (RPO): ١٥ دقيقة
• هدف زمن الاسترجاع (RTO): ٤ ساعات
• اختبار استعادة كامل ربع سنوياً

استجابة الحوادث

لدينا فريق استجابة للحوادث متاح ٢٤/٧. في حال أي خرق:

• الاحتواء خلال ساعتين
• تحليل الأثر خلال ٢٤ ساعة
• إخطار العملاء المتأثّرين خلال ٧٢ ساعة كحد أقصى
• تقرير ما بعد الحادث (post-mortem) خلال ١٤ يوم

الامتثال

• نظام حماية البيانات الشخصية السعودي (PDPL)
• متطلبات الهيئة الوطنية للأمن السيبراني (NCA)
• متطلبات هيئة الاتصالات والتقنية (CITC) للتسويق الرقمي
• متطلبات ZATCA لحفظ سجلات الفوترة
• SOC 2 Type II — قيد التحضير (٢٠٢٦)

الإبلاغ عن الثغرات

إذا اكتشفت ثغرة أمنية، أبلغنا فوراً على security@margrow.com. نلتزم بـ:

• الرد خلال ٢٤ ساعة
• التحقّق خلال ٧٢ ساعة
• المعالجة بناءً على الخطورة (P1: ٢٤ ساعة، P2: ٧ أيام، P3: ٣٠ يوم)
• منح المُبلِّغ ائتماناً علنياً (إن رغب)