تاريخ السريان: 3 نوفمبر 2026 · المسؤول: علي القرني (جهة التحكم بالبيانات) · ali5250111@gmail.com · +966555821452
توضح هذه الخطة ما نفعله إذا تم الوصول إلى بيانات شخصية يعالجها قلم الطالب، أو كشفها، أو تعديلها، أو فقدانها دون إذن. وهي متوافقة مع نظام حماية البيانات الشخصية السعودي (PDPL) ولائحته التنفيذية.
البيانات التي قد تتأثر
خوادمنا لا تحفظ إلا: معرّفات أجهزة عشوائية، وعدّادات الحصة اليومية، ورموز الإشعارات مع رمز اللغة، والإجابات المخزنة مؤقتًا (بلا صور وبلا معرّفات أجهزة). لا نخزن أسماء ولا بريدًا ولا أرقام جوال ولا صورًا.
1. الاكتشاف
مراقبة سجلات دوال Supabase وقاعدة البيانات وتنبيهات الأمان، ولوحات استخدام Anthropic وGoogle لرصد أي ارتفاع غير طبيعي.
تنبيهات الإنفاق على استخدام Anthropic.
بلاغات المستخدمين والباحثين والمزودين على ali5250111@gmail.com (بعنوان "Security").
يُسجَّل كل بلاغ بوقته ومصدره ووصفه، ونؤكد استلامه خلال 24 ساعة.
2. الاحتواء (خلال ساعات)
إيقاف الدوال المتأثرة أو حجب الاتصالات عند الحاجة.
تدوير المفاتيح: إلغاء مفتاح Anthropic واستبداله وتحديث سرّ Supabase، وتدوير مفتاح الخدمة والمفتاح العام في Supabase (ويُحدَّث التطبيق إذا تغير المفتاح العام)، وتدوير بيانات اعتماد Firebase إن تأثرت.
مراجعة سياسات RLS وصلاحيات قاعدة البيانات وتشديدها.
حفظ السجلات والأدلة قبل أي تنظيف.
3. التقييم
ما البيانات المتأثرة، وكم جهازًا، والفترة الزمنية، والسبب.
حجم الخطر على الأفراد، مع اعتبار خاص للأطفال.
هل للمعالِجين (Supabase وAnthropic وGoogle) علاقة؟ ونطلب منهم تفاصيل الحادثة.
4. الإبلاغ
سدايا: إذا كان التسريب قد يضر بالأفراد نُبلغ الهيئة السعودية للبيانات والذكاء الاصطناعي خلال 72 ساعة من علمنا به، مع طبيعة التسريب والبيانات والأشخاص المتأثرين والعواقب المحتملة والإجراءات المتخذة وبيانات التواصل.
المستخدمون المتأثرون: نخطرهم دون تأخير غير مبرر عبر إشعار داخل التطبيق وإشعار فوري وهذا الموقع، بلغة واضحة بالعربية والإنجليزية، مع ما حدث وما يمكنهم فعله (مثل حذف بياناتهم من الإعدادات)، ونخاطب أولياء أمور الأطفال مباشرة.
آبل والمزودون: نبلغهم متى ما اشترطت شروطهم ذلك.
5. التعافي ومراجعة السجلات
مراجعة سجلات Supabase والدوال والمزودين للتأكد من إغلاق وصول المهاجم وعدم بقاء بيانات مكشوفة.
إعادة تشغيل الخدمات بعد التحقق من الإصلاحات فقط.
حذف أي بيانات لا يجب أن تبقى.
6. تقرير ما بعد الحادثة
خلال 30 يومًا نكتب تقريرًا يشمل التسلسل الزمني والسبب الجذري والأثر والإبلاغات المرسلة والإصلاحات الدائمة، ونحتفظ به سجلًا، ونحدّث هذه الخطة وصفحة الأمان عند الحاجة.
7. الاختبار
نراجع هذه الخطة مرة سنويًا على الأقل، وبعد أي تغيير كبير في خوادم التطبيق.
التواصل
علي القرني · ali5250111@gmail.com · +966555821452