سياسة الخصوصية

توضح سياسة الخصوصية هذه ما يجمعه Skrum ولماذا وكيف يُحمى وما خياراتك. وتنطبق على الخدمة على skrum.io.

يجمع Skrum فقط ما تحتاجه الخدمة للعمل. تصف الأقسام أدناه كل فئة من البيانات والغرض منها.

بيانات الحساب. الاسم، وعنوان البريد الإلكتروني، وكلمة المرور (تجزئة scrypt فقط)، واللغة المفضّلة، والدور، وحالة تحقق البريد. ملف Google OAuth الاختياري إذا سجّلت الدخول عبر Google.

بيانات الجلسة. رمز الجلسة، وعنوان IP، ووكيل المستخدم مخزّنة مع كل جلسة للأمان ومنع الإساءة.

بيانات الاستخدام. عدّادات لكل مساحة عمل للمشاريع والتخزين ومقاعد الضيوف وإجراءات الذكاء الاصطناعي ودقائق التفريغ وتسجيل الاجتماعات. تفرض هذه العدّادات حدود الباقة.

بيانات المنتج. المشاريع والقنوات والرسائل والمهام واللوحات والسباقات وسجلات الاجتماعات ونصوصها والملفات وبيانات نشاط الشيفرة والتقارير وإعدادات التكامل. هذه هي بيانات العمل التي تضعها في الخدمة.

بيانات الفوترة. مستوى الاشتراك، والفواتير، وقيود دفتر الاعتمادات. تفاصيل البطاقة يعالجها Polar؛ Skrum لا يخزّن أرقام البطاقات الكاملة.

بيانات اعتماد البائعين. مفاتيح مزوّدي الذكاء الاصطناعي وبيانات اعتماد التكامل عندما تعدّها. تُشفَّر في السكون بـ AES-256-GCM تحت مفتاح رئيسي.

رسائل نموذج التواصل. إذا استخدمت نموذج التواصل، يُسلَّم محتوى الرسالة وعنوان بريدك إلى بريد الدعم لدينا عبر Resend.

نستخدم البيانات أعلاه من أجل:

• توفير حسابك ومساحة عملك ومشاريعك وميزات التعاون وتشغيلها.
• فرض حدود الخطة ومنع الإساءة عبر حدود المعدل والعزل بين الحسابات.
• معالجة المدفوعات عبر Polar والحفاظ على سجل الفواتير ودفتر الاعتمادات.
• إرسال بريد معاملاتي مثل التحقق وإعادة تعيين كلمة المرور والدعوات والإشعارات والتقارير وتحذيرات الحذف. لا يُرسَل البريد التسويقي إلا عند وجود التفضيل والأساس القانوني المناسبين.
• توليد ملخصات العمل والاجتماعات واقتراحات الإجراءات بالذكاء الاصطناعي فقط عند طلب الميزة. ترسل الخدمة سياق مساحة العمل المحدود اللازم للطلب، ولا ترسل مفتاح المزوّد المخزّن ضمن نص المطالبة.
• الحفاظ على سجلات التدقيق للأمان. لا تسجّل سجلات التدقيق أبدًا عناوين البريد أو أجسام الطلبات أو الرؤوس أو المعاملات الحساسة.

ملف تعريف ارتباط الجلسة. ملف تعريف ارتباط httpOnly واحد بـ SameSite=Lax (better-auth.session_token) يُبقيك مسجّل الدخول. يُوسَم Secure في الإنتاج.

ملف تعريف ارتباط CSRF. رمز إرسال مزدوج (x-csrf-token افتراضيًا) يحمي النماذج. SameSite=Strict وSecure في الإنتاج.

ملف تعريف ارتباط اللغة. ملف تعريف ارتباط lang يخزّن تفضيل لغة الواجهة لمدة سنة.

Skrum لا يستخدم ملفات تعريف ارتباط للتحليلات أو الإعلانات أو التتبع من طرف ثالث.

يشارك Skrum البيانات فقط مع المعالجات الفرعية المطلوبة لتشغيل الخدمة:

• Polar — معالجة الدفع وإدارة الاشتراك. يستقبل معرّفات المنتجات ومراجع العملاء وأحداث webhook ولا يستقبل محتوى مساحة العمل.
• LiveKit — وسائط الاجتماعات الفورية وتنسيق التسجيل عند تفعيل الاجتماعات. يستقبل معرّفات الغرف وبيانات عرض المشاركين والصوت أو الفيديو الذي تختار إرساله.
• تخزين الكائنات المُعدّ — يخزّن الملفات وتسجيلات الاجتماعات في مخزن كائنات متوافق مع S3 يُدار للخدمة.
• مزوّدو الذكاء الاصطناعي — يستقبل المزوّد المُعدّ سياقًا محدودًا من مساحة العمل عندما تطلب ملخصًا أو موجزًا أو اقتراحًا. تستخدم مفاتيحك المزوّد الذي تختاره، بينما تتبع مفاتيح المشغّل سلسلة البدائل المُعدّة. تنطبق شروط المزوّد وسياسات احتفاظه.
• Resend — تسليم البريد المعاملاتي وإشعارات البريد.

كل معالج فرعي مُلزَم بشروط حماية البيانات الخاصة به. Skrum لا يبيع بياناتك.

لا يعمل التوليد بالذكاء الاصطناعي إلا عندما يطلبه مستخدم مخوّل. في كل تشغيل:

• يختار Skrum فقط الرسائل والمهام وحقائق السباق ونص الاجتماع أو بيانات الشيفرة المحدودة اللازمة للمخرج المطلوب.
• يُرسَل السياق المختار إلى المزوّد الذي اخترته بمفتاحك أو إلى سلسلة المزوّدين التي أعدّها المشغّل. لا تُدرج بيانات الاعتماد في المطالبات.
• تسجّل أحداث الاستخدام المزوّد والنموذج وعدد الرموز والزمن وبيانات التكلفة للفوترة والتشغيل، ولا تخزّن نصوص المطالبات أو الردود في قياس الاستخدام.
• الملخصات والمقترحات مسودات. لا يغيّر Skrum المهام ولا ينشر إجراءات دون موافقة بشرية مخوّلة.
• تتحكم في احتفاظ مساحة العمل ويمكنك حذف المخرجات. تخضع خيارات الاحتفاظ والتدريب الخارجية للمزوّد وإعدادات الحساب التي تختارها.

استخدم مخرجات الذكاء الاصطناعي للمساعدة لا كمشورة نهائية، وراجع كل مخرج قبل الاعتماد عليه أو تطبيق إجراء مقترح.

• أسرار البائعين ورموز التحديث مشفّرة في السكون بـ AES-256-GCM باستخدام مفتاح رئيسي.
• كلمات المرور مجزّأة بـ scrypt عبر Better Auth؛ كلمات مرور النص العادي لا تُخزَّن أبدًا.
• العزل بين الحسابات: كل مسار منتج يتحقق من الملكية ويعيد 404 (لا 403) للموارد الأجنبية لكي لا يتسرّب وجودها.
• حدود المعدل على مسارات المصادقة وwebhook تُقلّل من القوة الغاشمة والاعتداء الحجمي.
• المصادقة الثنائية (TOTP + رموز احتياطية) متاحة على جميع الحسابات ومطلوبة للمسؤولين.
• يُفرَض CSRF عبر فحوصات Origin وtrusted-origins بالإضافة إلى ملف تعريف ارتباط الإرسال المزدوج.

لا يوجد نظام آمن تمامًا. إذا اعتقدت أنك وجدت ثغرة، تواصل مع security@skrum.io قبل الإفصاح العلني.

يحتفظ Skrum ببيانات مساحة العمل ما دام حسابك نشطًا، مع مراعاة قواعد الاحتفاظ والاحتجاز القانوني. يمكنك تصدير البيانات المدعومة أو حذفها من المنتج.

تُحتفظ سجلات الفوترة (الفواتير، ودفتر الاعتمادات) للفترة التي يتطلبها قانون الضرائب في نطاق التشغيل.

تُحتفظ سجلات التدقيق التي تحمل بيانات وصفية ذات صلة أمنية على أساس متجدّد ولا تحتوي أبدًا على عناوين بريد أو أجسام طلبات.

بحسب اختصاصك القضائي (EU/EEA، والمملكة المتحدة، وكاليفورنيا، إلخ) قد يكون لك الحق في:

• الوصول إلى نسخة من بياناتك الشخصية.
• تصحيح البيانات غير الدقيقة.
• تصدير بيانات مساحة العمل والتقارير المدعومة بصيغ CSV أو JSON أو PDF.
• حذف حسابك. يدخل الحذف فترة سماح ٣٠ يومًا يمكنك خلالها الإلغاء. يُرسَل بريد تحذير نهائي قبل ٢٤ ساعة من الحذف. قد يؤخّر احتجاز قانوني الحذف حيث يقتضي القانون.
• الاعتراض على أو تقييد بعض المعالجة، وسحب الموافقة على البريد التسويقي في أي وقت عبر تفضيلات الإشعارات.
• تقديم شكوى إلى سلطتك الإشرافية إذا اعتقدت أن المعالجة تنتهك القانون الساري.

لممارسة أي من هذه الحقوق، استخدم نقاط حقوق البيانات داخل التطبيق (/api/legal/*) أو تواصل مع privacy@skrum.io.

قد تُعالَج بياناتك بواسطة Skrum ومعالجاته الفرعية في اختصاصات قضائية خارج بلد إقامتك. حيث يشمل ذلك EU/EEA، تعتمد التحويلات على ضمانات مناسبة مثل الشروط التعاقدية القياسية أو آلية نقل قانونية أخرى.

تُدرج مواقع المعالجين الفرعيين وأدوارهم الحالية في صفحة المعالجين الفرعيين.

الخدمة ليست موجّهة للأطفال دون سن السادسة عشرة. لا يجمع Skrum عن علم بيانات شخصية من الأطفال. إذا اعتقدت أن قاصرًا قد سجّل، تواصل مع privacy@skrum.io وسيُزال الحساب.

قد نُحدّث سياسة الخصوصية هذه من وقت لآخر. سيُعلَن عن التغييرات الجوهرية بالبريد (للحسابات المُتحقّق منها) أو داخل التطبيق قبل ٣٠ يومًا على الأقل من سريانها. يعكس تاريخ «آخر تحديث» أدناه أحدث مراجعة.

أسئلة حول سياسة الخصوصية هذه أو طلب صاحب بيانات؟ تواصل مع privacy@skrum.io.