الأمان التقني:
- HTTPS إلزامي وHSTS، وترويسات أمان (CSP, X-Frame-Options…).
- كلمات مرور مُجزَّأة (Argon2/bcrypt)، سياسة قوة كلمات المرور.
- 2FA للأدمن، وحدّ لمحاولات الدخول (Rate Limiting).
- حماية CSRF وXSS وSQL Injection (ميزات Laravel الافتراضية + مراجعة).
- API: Laravel Sanctum (رموز قصيرة العمر) مع تحديث الرمز.
- رفع الملفات: فحص النوع والحجم، تخزين خارج المسار العام، روابط موقّعة مؤقتة (Signed URLs) للصور والفيديو الخاصة.
- تشفير البيانات الحسّاسة في قاعدة البيانات (الصحية) والنسخ الاحتياطية.
- لا تُخزَّن بيانات البطاقات في النظام (تُعالج لدى البوابة فقط — PCI DSS خارج نطاقنا).
- اختبار اختراق وفحص ثغرات قبل الإطلاق.
- نسخ احتياطي يومي مشفّر مع اختبار الاسترجاع.
الخصوصية والامتثال:
- نظام حماية البيانات الشخصية السعودي (PDPL): البيانات الصحية فئة حسّاسة؛ موافقة صريحة، تحديد الغرض، حق الاطلاع والتصحيح والحذف، وإشعار عند التسرّب.
- موقع الاستضافة: يُفضَّل داخل المملكة أو منطقة متوافقة مع متطلبات نقل البيانات (يُحدَّد حسب سياسة العميل).
- سياسة خصوصية وشروط استخدام باللغتين، مع إقرار الموافقة عند التسجيل.
- بند واضح حول تتبع النشاط والمساعد الذكي.
- سياسة الكوكيز مع لافتة موافقة.
- حق تصدير بيانات المتدرب وحذف حسابه (من التطبيق والويب).
- تقييد وصول الأدمن للبيانات الصحية بالسبب وتسجيله.
- إخلاء مسؤولية طبي: البرامج عامة ولا تغني عن استشارة طبية.