أمان PayToMe: كيف نحمي بياناتك

ينطلق أمان PayToMe من فكرة بسيطة: أأمن البيانات هي التي لا نجمعها أصلًا. تصف هذه الصفحة ما نفعله اليوم لحماية زوار هذا الموقع، وكيف نتعامل مع الحسابات والمدفوعات، وكيفية الإبلاغ عن مشكلة. PayToMe في مرحلة البيتا العامة. ونذكر ذلك حيثما لم تكن إحدى وسائل الحماية مطبقة بعد.

أمان PayToMe: ما هو مطبق اليوم

اتصالات مشفرة

يُقدَّم الموقع عبر HTTPS. كما نرسل ترويسة HTTP Strict Transport Security (HSTS)، وهي تخبر المتصفحات باستخدام HTTPS في الزيارات المقبلة للموقع.

حماية صارمة في المتصفح

نرسل سياسة أمان محتوى (CSP) صارمة وترويسات أمان أخرى. تحدد سياسة CSP النصوص البرمجية والأنماط والاتصالات التي يجوز للصفحة استخدامها، مما يقلل الضرر إذا حاول أحدهم حقن شيفرة خبيثة. ولا يحمّل الموقع أي نصوص برمجية لأطراف ثالثة.

لا ملفات تعريف ارتباط ولا متتبعات

لا يضع الموقع أي ملفات تعريف ارتباط ولا يشغّل أي أدوات تحليل أو متتبعات إعلانية. فلا يوجد نص تتبع يمكن أن يتسرب أو يُباع أو يُساء استخدامه.

بيانات المولدات تبقى في متصفحك

تعمل الأدوات المجانية، مثل منشئ الفواتير وحاسبة رسوم التأخير، داخل متصفحك. وما تكتبه فيها، ومنه أسماء العملاء وبنود الفاتورة والمبالغ، لا يُرسل إلى خوادمنا. يمكنك رؤيتها جميعًا في صفحة الأدوات.

بيانات النشرة البريدية

النشرة البريدية اختيارية. إذا اشتركت فيها، فإننا نخزّن بريدك الإلكتروني ووقت اشتراكك والصفحة التي اشتركت منها. يُستضاف الموقع على Cloudflare، التي تشغّل أيضًا قاعدة البيانات التي تحتفظ بالاشتراكات في النشرة البريدية. وتُرسل الرسائل عبر Resend. وتعالج هاتان الشركتان البيانات نيابة عنا. ما نخزنه ولماذا موصوف في سياسة الخصوصية.

وللحد من إساءة استخدام نموذج النشرة البريدية، نحتفظ بتجزئة مملّحة لعنوان IP بدل العنوان الأصلي.

تسجيل الدخول

للمستخدمين حسابات على app.paytome.si. تسجّل الدخول بمفتاح مرور أو بمحفظة أو برمز يُرسل إلى بريدك الإلكتروني. ومفتاح المرور يعني أنه لا توجد كلمة مرور يمكن تخمينها أو الاحتيال للحصول عليها. ولا نطلب منك أبدًا مفتاح مرور ولا عبارة استرداد المحفظة ولا رمز تسجيل دخول بالبريد الإلكتروني، فاعتبر أي رسالة تطلب ذلك مشبوهة.

المدفوعات

تتم معالجة المدفوعات عبر Stripe. ولا يخزّن PayToMe أرقام البطاقات. والخطط المدفوعة اشتراكات تُحصَّل عبر Stripe، ويمكنك الإلغاء في أي وقت.

ذكاء اصطناعي آمن

يجهز مساعد Via الفواتير ويسأل قبل الإرسال. وتُحسب الإجماليات بواسطة محرك الفواتير في PayToMe، لا بواسطة نموذج الذكاء الاصطناعي. وVia متاح في مرحلة البيتا.

ما هو قيد التطوير

هذه العناصر قيد التطوير وغير متاحة بعد.

• تطبيق الجوال. هو قيد التطوير، وسنوسّع هذه الصفحة لتغطيته عند إطلاقه.

ولن ندّعي الحصول على شهادة، مثل SOC 2 أو PCI DSS، حتى نحصل عليها فعلًا.

الإبلاغ عن ثغرة

نرحب ببلاغات الباحثين في الأمن ومن يلاحظ شيئًا غريبًا. تتبع بيانات التواصل لدينا المعيار RFC 9116، وهو معيار ملف security.txt، وهي منشورة في /.well-known/security.txt.

للإبلاغ عن مشكلة، راسل security@paytome.si وأرفق:

1. وصفًا للمشكلة وأثرها.
2. خطوات إعادة إنتاجها، أو إثبات للمفهوم.
3. عنوان الصفحة أو المكوّن المتأثر.
4. كيف نصل إليك، إذا أردت ردًا.

قواعد أساسية

• اختبر على بياناتك وجلساتك أنت فقط. لا تطّلع على بيانات تخص غيرك ولا تغيّرها ولا تحذفها.
• لا تُجرِ اختبارات حجب الخدمة ولا ترسل رسائل مزعجة عبر نموذج النشرة البريدية.
• امنحنا وقتًا معقولًا لإصلاح المشكلة قبل أن تشارك التفاصيل علنًا.
• لا تستخدم الهندسة الاجتماعية ضد أي شخص.

وإذا التزمت بهذه القواعد، فسنعدّ بلاغك مقدَّمًا بحسن نية. وسنقرأ كل بلاغ ونعمل على المشكلات المؤكدة.

لا يوجد برنامج مكافآت بعد

لا يشغّل PayToMe برنامج مكافآت للثغرات في الوقت الحالي، ولذلك لا نستطيع تقديم مقابل مادي للبلاغات. لكن يمكننا أن نقدّم الشكر، ونذكر اسمك بإذنك بعد إصلاح المشكلة. وإذا بدأنا برنامجًا، فستذكر هذه الصفحة ذلك.

ما يمكنك فعله

• استخدم متصفحًا حديثًا ليطبّق أنواع الحماية التي نرسلها.
• إذا وصلتك رسالة بريد تزعم أنها من PayToMe وتطلب كلمة مرور أو بيانات دفع، فلا ترد عليها. أعد توجيهها إلى security@paytome.si.
• تذكّر أن المولدات تحتفظ ببياناتك في متصفحك، فمسح بيانات الموقع أو إغلاق التبويب يزيلها.

أسئلة

لأي أمر لم نتناوله هنا، راجع صفحة التواصل أو اقرأ عن نهجنا في صفحة نبذة عنا.