ممارسات الأمان

تصف هذه الصفحة هيكل الأمان لعميل Tenvo وخدمة التوجيه المستضافة التي تديرها upDevTeam LTD على tenvoai.com، وعملية الإبلاغ عن الثغرات المسؤولة.

هي معلوماتية. التزامات الأمان التعاقدية في شروط الخدمة وDPA.

الاتصالات مشفرة بواسطة TLS. يُصدر لكل جهاز شهادة فريدة موقعة من سلطة الشهادات الخاصة بنا. في الاتصالات المباشرة نظير-إلى-نظير تكون الجلسة مشفرة من طرف إلى طرف بين الجهازين؛ عندما لا تكون الاتصالات المباشرة ممكنة، يتم ترحيل الحركة وتشفيرها أثناء النقل.

تم تثبيت المكتبات التشفيرية على إصدارات معتمدة وتم تحديثها وفق جدول زمني موثق. نحن لا نقوم بتنفيذ المكونات الأولية الخاصة بنا.

البنية الإنتاجية تعمل على عدد قليل من الموفرين:

كل موفر يتعامل مع بيانات شخصية مرتبط باتفاقية معالجة بيانات. عندما تحدث المعالجة خارج EEA، نعتمد على الضمانات المناسبة مثل بنود العقد النموذجية للاتحاد الأوروبي.

تحكمات الوصول على مستوى المستخدم:

الحالة الصادقة اعتبارًا من التاريخ في أعلى هذه الصفحة: Tenvo و upDevTeam LTD ليستا معتمدتين حاليًا لشهادات SOC 2، ISO 27001، ISO 27017، ISO 27018، HIPAA، PCI-DSS، FedRAMP، أو أي معيار أمان ثالث رسمي آخر. الادعاءات العامة خلاف ذلك غير صحيحة.

مزودو الاستضافة وقاعدة البيانات (Supabase) والدفع (Stripe) مُدقَّقون بمستويات SOC 2 / ISO 27001؛ يعكس أماننا بعض الضمانات الموروثة من خدماتهم لكنه لا يساويها.

نحن نعمل نحو مراجعة أمان خارجية لعام 2026 وسننشر النتيجة على هذه الصفحة عند حصولها. لن نتظاهر بشهادات لا نملكها.

الإجراءات الإدارية على الأنظمة الإنتاجية تُسجل في سجل مركزي قابل للإضافة فقط مع احتفاظ بالبيانات لمدة لا تقل عن 90 يومًا. يسجل السجل الفاعل، الإجراء، الطابع الزمني، وعنوان IP المصدر. الوصول الإنتاجي مقيد لعدد قليل من المهندسين المسجلين مع مصادقة ثنائية إلزامية.

نحن نرصد وقت التشغيل، ومعدلات الأخطاء، والإشارات المتعلقة بالإساءة (ارتفاعات مفاجئة في حركة المرور، محاولات القوة الغاشمة، عد الأشخاص المحظورين) وندير التغطية على أساس أسبوعي.

يجب أن تستخدم أجهزة الموظفين التي تُستخدم للوصول إلى الأنظمة الإنتاجية:

عميل Tenvo مفتوح المصدر بموجب AGPL-3.0. يمكن لأي شخص قراءة الشيفرة المصدرية، وبناؤها، والتحقق من أنها تؤدي ما نزعمه. شيفرة التوصيل (نسخة من hbbr / hbbs) مفتوحة المصدر بالمثل.

نحن ننشر تجزئات SHA-256 لكل مثبت تم إصداره. نحن نعمل على توقيع الشيفرة EV لويندوز وتوثيق Apple لنظام macOS؛ حالة البناء الحالية على صفحة التنزيل.

نرحب بالتقارير من باحثي الأمان المستقلين. للإبلاغ عن ثغرة:

نحن لا ندير حاليًا برنامج مكافآت للأخطاء المدفوعة. نعترف بالتقارير الهامة علنًا (بموافقتك) على صفحة قاعة الشهرة بمجرد إصلاح المشكلة.

يتم تصعيد النتائج الحرجة (RCE، تشفير الجلسات معطّل، تجاوز المصادقة على نطاق واسع) إلى المهندس المناوب فوراً وتُعطى أولوية على الأعمال المجدولة.

لا تعتبر العناصر التالية مؤهلة لفوائد الحماية بموجب القسم 9 وقد يتم الإبلاغ عنها ولكن من غير المحتمل أن تُعتبر ثغرات:

نقوم بإعداد كتاب سيناريو مكتوب للاستجابة للحوادث يغطي الكشف والت containment والقضاء والتعافي ومراجعة ما بعد الحادث. يتم مراجعة الكتاب سنويًا على الأقل وبعد كل حادثة جوهرية.

إذا حدث خرق للبيانات الشخصية، تنطبق الجداول الزمنية للإبلاغ في سياسة الخصوصية وDPA لدينا.

عندما تتغير البنية أو أي الالتزام في هذه الصفحة بشكل جوهري، نقوم بتحديث تاريخ 'آخر تحديث' ونعلن عن التغيير في سجل التغييرات.