ما التدابير الأمنية المطبّقة في Sora İK؟
يطبّق Sora İK الاتصال المشفّر وتجزئة كلمات المرور والصلاحيات القائمة على الأدوار وسجل التدقيق معًا. ولا تتضمن هذه الصفحة إلا معلومات معمارية قابلة للتحقق، ويعرض الجدول التالي هذه التدابير مجتمعة.
| المجال | التطبيق |
|---|---|
| التشفير أثناء النقل | TLS 1.2 أو أحدث؛ وTLS 1.3 عند دعمه |
| تشفير البيانات المخزّنة | — |
| حفظ كلمات المرور | تجزئة أحادية الاتجاه بخوارزمية argon2id؛ ولا تُحفظ كلمات المرور كنص صريح |
| الجلسة | رمز وصول قصير العمر؛ وملفات تعريف ارتباط موسومة بـ httpOnly وSecure |
| الوصول | صلاحيات قائمة على الأدوار؛ والتحقق بخطوتين (2FA) |
| سجل العمليات | سجل تدقيق للعمليات الحساسة |
| سجلات النظام (log) | تُقلَّل فيها البيانات الشخصية إلى الحد الأدنى: تُخفى عناوين البريد الإلكتروني جزئيًا، ولا يُحفظ في سجل الدخول من عنوان IP إلا بادئة الشبكة |
| موقع الخوادم | (سيتم تحديده) |
| النسخ الاحتياطي | (سيتم تحديده) |
كيف تُشفَّر البيانات أثناء النقل؟
تُشفَّر كل حركة البيانات بين متصفحك وخوادم Sora İK بإصدارات TLS 1.2 فما فوق، وبـ TLS 1.3 عند دعمه. وتُحوَّل طلبات HTTP غير المشفّرة إلى عنوان HTTPS، ويُطلب من المتصفحات عبر ترويسة HSTS (HTTP Strict Transport Security) استخدام الاتصال المشفّر فقط.
كيف تُحفظ كلمات المرور؟
لا تُحفظ كلمات المرور كنص صريح إطلاقًا، بل تُخزَّن بعد تجزئتها تجزئة أحادية الاتجاه بخوارزمية argon2id. ويُشترط عند تعيين كلمة المرور ألا تقل عن 10 أحرف، ولا تُقبل كلمات المرور الشائعة. وتُحمى محاولات تسجيل الدخول وإعادة تعيين كلمة المرور بحدٍّ لعدد المحاولات، ولا يمكن من ردود هذه الشاشات معرفة ما إذا كان عنوان بريد إلكتروني ما مسجّلًا في النظام.
من يمكنه الوصول إلى أي بيانات للموظفين؟
يتحدد الوصول وفق الدور المسند إلى المستخدم: فبوحدة الأدوار والصلاحيات والأمان يُعرَّف على مستوى الأدوار أيُّ مستخدم يمكنه الاطلاع على أي بيانات للموظفين وتعديلها. وتتطلب المستندات ذات الطبيعة الخاصة صلاحية مستقلة. أما أسماء الموظفين وأقسامهم ومناصبهم ومديروهم فتظهر في الهيكل التنظيمي للمستخدمين في الأدوار الافتراضية. وتشمل وحدة الأدوار والصلاحيات والأمان التحقق بخطوتين أيضًا؛ ويمكن لمالك الشركة جعل التحقق بخطوتين إلزاميًا على مستوى الشركة.
هل تُسجَّل العمليات المنفّذة؟
نعم. تُكتب العمليات الحساسة، مثل الموافقة على الحسابات وتعريف الباقات وتغيير الصلاحيات، في سجل التدقيق (audit log) مع المستخدم المنفّذ ونوع العملية والسجل المتأثر ووقتها. وعند تغيير السجلات في التطبيق تُسجَّل أيضًا الحقول التي تغيّرت؛ كما يدخل سجلَّ التدقيق عرضُ سجلات الأجور والرواتب والمتقدمين والأداء، وإظهارُ رقم الهوية في بطاقة الموظف، وتنزيلُ المستندات. وسيُضاف قريبًا حفظ القيمة السابقة واللاحقة للحقل الذي تغيّر. أما سجلات النظام فتُقلَّل فيها البيانات الشخصية إلى الحد الأدنى: تُخفى عناوين البريد الإلكتروني جزئيًا، ولا يُحفظ في سجل الدخول من عنوان IP إلا بادئة الشبكة.
كيف تتوزع الأدوار بموجب KVKK؟
بالنسبة إلى بيانات الموظفين في Sora İK، تكون الشركة العميلة مسؤول البيانات ويكون Sora İK معالج البيانات. ولا يعالج Sora İK هذه البيانات إلا لتقديم الخدمة ووفق تعليمات العميل، وتنظّم اتفاقية معالجة البيانات التزامات الطرفين. أما بالنسبة إلى زوار الموقع ومرسلي النماذج والأشخاص المفوَّضين بالحسابات، فإن Sora Yazılım Teknolojileri هي مسؤول البيانات، والتفاصيل في إشعار KVKK.
| البيانات | مسؤول البيانات | معالج البيانات |
|---|---|---|
| بيانات موظفي الشركة العميلة (ملف الموظف، والإجازات، وكشف الحضور، والرواتب وغيرها) | الشركة العميلة | Sora İK (Sora Yazılım Teknolojileri) |
| بيانات زوار الموقع ومرسلي النماذج والأشخاص المفوَّضين بالحسابات | Sora Yazılım Teknolojileri | مزوّدو الخدمات المذكورون أدناه (معالجو بيانات مباشرون لهذه البيانات) |
لا يُسقط استخدام Sora İK التزامات مسؤول البيانات بموجب KVKK. وتُسهم اليوم الصلاحيات القائمة على الأدوار، والصلاحية المستقلة للمستندات ذات الطبيعة الخاصة، وتسجيل عرض البيانات الحساسة في الوفاء بهذه الالتزامات؛ أما وحدة إدارة الامتثال لقانون KVKK التي ستوثّق جرد البيانات الشخصية ومدد الحفظ وطلبات أصحاب البيانات فستُضاف قريبًا.
ما المعالجون من الباطن الذين يعمل معهم Sora İK؟
يستعين Sora İK بالمعالجين من الباطن التالين لتقديم الخدمة، وترد القائمة نفسها في اتفاقية معالجة البيانات أيضًا.
| المعالج من الباطن | الغرض | الموقع |
|---|---|---|
| (سيتم تحديده) | استضافة التطبيق وقاعدة البيانات والنسخ الاحتياطية | (سيتم تحديده) |
| (سيتم تحديده) | إرسال رسائل تأكيد الحساب وإعادة تعيين كلمة المرور والإشعارات | (سيتم تحديده) |
| Cloudflare | إدارة اسم النطاق (DNS) وتوزيع ملفات الوسائط (media.sora-ik.com) | خارج تركيا (شبكة عالمية) |
| Cloudflare R2 | تخزين ملفات مستندات الموظفين والنسخ الاحتياطية لقاعدة البيانات | أوروبا (أوروبا الشرقية، تلميح الموقع EEUR؛ ولا يُستخدم خيار الاختصاص القضائي للاتحاد الأوروبي) |
| Cloudflare Turnstile | منع الإرسال الآلي (الروبوتات) عبر النماذج | خارج تركيا (شبكة عالمية) |
تُوضَّح المعلومات المتعلقة بنقل البيانات إلى خارج تركيا في إشعار KVKK. أما أدوات التحليل على الموقع فلا تعمل إلا على الموقع وبموافقتك على ملفات تعريف الارتباط، والتفاصيل في سياسة ملفات تعريف الارتباط.
كيف يُحمى الموقع والنماذج؟
تُحمى النماذج العامة في الموقع (التواصل، والعرض التوضيحي، وطلب KVKK، وتسجيل الشركة) بتحقق Cloudflare Turnstile وبحدٍّ لعدد الطلبات لكل عنوان IP، وتُتحقق جميع المدخلات على الخادم. وتُطبَّق أيضًا حماية من CSRF (تزوير الطلبات عبر المواقع) على الطلبات المعدِّلة التي يرسلها المستخدمون المسجَّل دخولهم عبر ملفات تعريف الارتباط. ويُنشر الموقع مع ترويسات أمنية مثل سياسة أمن المحتوى (CSP) وHSTS وما شابهها.
هل يمكنك تصدير بياناتك؟
نعم. ملكية البيانات التي تُدخلها في Sora İK تعود إليك، ويمكنك طوال مدة الاشتراك وعند انتهائه تصدير بيانات كشف الحضور والرواتب، وتقاريرك بما فيها تقرير ملخص الإجازات، وسجل التدقيق بصيغة CSV. وسيُضاف قريبًا تصدير قائمة الموظفين بصيغة CSV. وبعد انتهاء العقد تُحذف البيانات خلال المدة المحددة في اتفاقية البيع والاشتراك.
لأسئلتك المتعلقة بالأمان يمكنك استخدام نموذج التواصل، أما الطلبات المقدَّمة بموجب KVKK فقد خُصصت لها صفحة طلبات KVKK.