سیکیورٹی

1۔ سیکیورٹی کے لیے ہمارا عزم

زمنی ایک انتہائی تکنیکی ٹیم کے ذریعے تیار کیا گیا ہے جو امریکی لاء فرمز کی جانب سے ہمیں سونپے گئے حساس قانونی ڈیٹا کے تحفظ کے لیے گہرا عزم رکھتی ہے۔ سیکیورٹی ایک بنیادی ڈیزائن اصول ہے — بعد کی سوچ نہیں — جو انفراسٹرکچر سے لے کر ایپلیکیشن کوڈ تک ہمارے پلیٹ فارم کی ہر پرت میں شامل ہے۔

ہمارا پلیٹ فارم خصوصی طور پر امریکہ میں مقیم لاء فرمز کے لیے تیار کیا گیا ہے، اور تمام ڈیٹا پروسیسنگ طریقہ کار امریکی رازداری کی توقعات، قابلِ اطلاق وفاقی اور ریاستی ڈیٹا تحفظ کے قوانین، اور ہمارے صارفین کے ساتھ معاہداتی ذمہ داریوں کے مطابق ہیں۔

2۔ تعمیل اور ریگولیٹری ہم آہنگی

زمنی قابلِ اطلاق امریکی ڈیٹا تحفظ کے ضوابط کے مطابق صنعت کے معیاری تحفظات شامل کرتا ہے۔ اگرچہ ہم ایک ابتدائی مرحلے کی کمپنی ہیں اور فی الحال ایس او سی ٹو ٹائپ ٹو یا آئی ایس او 27001 جیسی رسمی تھرڈ پارٹی سرٹیفیکیشنز نہیں رکھتے، ہمارے انجینئرنگ اور سیکیورٹی طریقہ کار اس انداز میں بنائے گئے ہیں کہ جیسے جیسے ہم آگے بڑھیں گے، ان معیارات کو پورا کریں۔

ہمارا پلیٹ فارم درج ذیل کے مطابق کنٹرولز نافذ کرتا ہے:

• کیلیفورنیا کنزیومر پرائیویسی ایکٹ (سی سی پی اے) اور دیگر قابلِ اطلاق امریکی ریاستی رازداری کے قوانین
• اے بی اے ماڈل رولز آف پروفیشنل کنڈکٹ — خاص طور پر رول 1.6 جو موکل کی خفیہ نوعیت کے تحفظ سے متعلق ہے
• قانونی ٹیکنالوجی پلیٹ فارمز کے لیے عمومی امریکی رازداری اور ڈیٹا سیکیورٹی کے بہترین طریقے

ہم اپنے پلیٹ فارم کی ترقی کے ساتھ رسمی سرٹیفیکیشنز حاصل کرنے کے لیے پرعزم ہیں، اور ہم صارفین کے ساتھ ان کی مخصوص تعمیلی ضروریات پر شفاف طریقے سے کام کرتے ہیں۔

3۔ ڈیٹا کی خفیہ کاری

تمام ڈیٹا ٹرانزٹ اور آرام دونوں حالتوں میں خفیہ کیا جاتا ہے:

• ٹرانزٹ میں: کلائنٹس اور ہمارے سرورز کے مابین تمام مواصلات ٹی ایل ایس 1.2 یا اس سے زیادہ کا استعمال کرتے ہوئے خفیہ کیے جاتے ہیں۔ ہم پرانے، غیر محفوظ پروٹوکولز کی حمایت نہیں کرتے۔
• آرام کی حالت میں: ہمارے ڈیٹا بیسز اور آبجیکٹ سٹوریج (بشمول اپ لوڈ کردہ دستاویزات اور ویڈیو فائلیں) میں محفوظ ڈیٹا AES-256 خفیہ کاری کا استعمال کرتے ہوئے محفوظ کیا جاتا ہے۔
• بیک اپس: تمام بیک اپ ڈیٹا کو بنیادی سٹوریج پر لاگو معیارات کے ساتھ خفیہ کیا جاتا ہے۔

4۔ رسائی کنٹرول اور تصدیق

ہم پورے پلیٹ فارم میں سخت رسائی کنٹرول نافذ کرتے ہیں:

• کردار پر مبنی رسائی کنٹرول (RBAC): صارفین کو صرف ان وسائل تک رسائی دی جاتی ہے جو ان کے ادارے کے اندر ان کے کردار کے لیے درکار ہیں۔
• ٹیننٹ آئسولیشن: ہر لاء فرم مکمل طور پر الگ تھلگ ماحول میں کام کرتی ہے۔ صارف اکاؤنٹس کے درمیان کوئی ڈیٹا شیئر نہیں کیا جاتا۔
• محفوظ تصدیق: صارف کی تصدیق صنعت کے معیاری طریقہ کار کے ذریعے کی جاتی ہے، بشمول ہیش شدہ اسناد اور ملٹی فیکٹر تصدیق (MFA) کی حمایت۔
• سیشن مینجمنٹ: سیشنز وقت کی حد کے تابع ہوتے ہیں اور لاگ آؤٹ یا غیر فعالیت پر منسوخ ہو جاتے ہیں۔
• اندرونی رسائی: صارف کے ڈیٹا تک زمنی کے عملے کی رسائی سخت ضرورت کی بنیاد پر محدود ہے اور آڈٹ کے مقاصد کے لیے لاگ کی جاتی ہے۔

5۔ انفراسٹرکچر کی سیکیورٹی

ہمارا انفراسٹرکچر سیکیورٹی کو ترجیح دیتے ہوئے تیار اور چلایا جاتا ہے:

• کلاؤڈ انفراسٹرکچر: ہم معتبر کلاؤڈ فراہم کنندگان پر چلتے ہیں جو جسمانی اور انفراسٹرکچر سیکیورٹی کے لیے اپنی ایس او سی ٹو، آئی ایس او 27001، اور دیگر سرٹیفیکیشنز برقرار رکھتے ہیں۔
• نیٹ ورک سیکیورٹی: ہمارے نظام فائر والز، پرائیویٹ نیٹ ورکنگ، اور سخت ان گریس/ایگریس قواعد کے ذریعے محفوظ ہیں۔ عوامی نمائش صرف ضروری اینڈ پوائنٹس تک محدود ہے۔
• ماحول کی علیحدگی: پروڈکشن، سٹیجنگ، اور ڈویلپمنٹ ماحول مکمل طور پر الگ ہیں۔ غیر پروڈکشن ماحول میں کوئی حقیقی صارف ڈیٹا استعمال نہیں کیا جاتا۔
• سیکرٹس مینجمنٹ: اے پی آئی کیز، اسناد، اور دیگر سیکرٹس مخصوص سیکرٹس مینجمنٹ خدمات کے ذریعے منظم کیے جاتے ہیں اور کبھی بھی سورس کوڈ میں محفوظ نہیں کیے جاتے۔

6۔ لاگنگ اور نگرانی

ہم اپنے نظاموں میں جامع لاگنگ اور نگرانی برقرار رکھتے ہیں:

• ایپلیکیشن اور انفراسٹرکچر لاگز اکٹھے، محفوظ، اور غیر معمولی رویے کے لیے مانیٹر کیے جاتے ہیں
• حساس وسائل تک رسائی اور انتظامی اقدامات کی نسبت کے ساتھ لاگنگ کی جاتی ہے
• مشکوک سرگرمی، غیر متوقع رسائی کے انداز، اور نظام کی خرابیوں کی نشاندہی کے لیے خودکار الرٹنگ موجود ہے
• لاگز محفوظ طریقے سے ذخیرہ کیے جاتے ہیں اور آڈٹ اور واقعے کی تحقیقات کی معاونت کے لیے کم از کم مدت کے لیے برقرار رکھے جاتے ہیں

7۔ کمزوریوں کا انتظام

ہم حفاظتی کمزوریوں کی نشاندہی اور ان کے ازالے کے لیے فعال طریقہ اپناتے ہیں:

• معلوم کمزوریوں (CVEs) کو دور کرنے کے لیے انحصارات کا باقاعدہ جائزہ لیا اور اپ ڈیٹ کیا جاتا ہے
• ہمارے ڈویلپمنٹ کے عمل میں سیکیورٹی پر مرکوز کوڈ کے جائزے اور ٹیسٹنگ شامل ہے
• ہم عام ایپلیکیشن کمزوریوں (SQL انجیکشن، XSS، CSRF، وغیرہ) کی روک تھام کے لیے OWASP ہدایات کی پیروی کرتے ہیں
• جب ہمارے سٹیک میں کمزوریوں کی نشاندہی ہوتی ہے تو حفاظتی پیچ فوری طور پر لاگو کیے جاتے ہیں

8۔ واقعے کا ردعمل

ہم دستاویزی واقعاتی ردعمل کے طریقہ کار برقرار رکھتے ہیں تاکہ حفاظتی واقعے کی صورت میں تیز اور منظم کارروائی کو یقینی بنایا جا سکے:

• واقعات کو شدت کے لحاظ سے درجہ بندی کیا جاتا ہے جس میں واضح تصعید کے راستے ہوتے ہیں
• متاثرہ صارفین کو خلاف ورزی کی صورت میں فوری طور پر مطلع کیا جاتا ہے جو ان کے ڈیٹا کو متاثر کرے، قابلِ اطلاق قانون کے مطابق
• بنیادی وجوہات کی نشاندہی اور احتیاطی تدابیر نافذ کرنے کے لیے واقعے کے بعد جائزے لیے جاتے ہیں

9۔ اے آئی اور ڈیٹا پروسیسنگ سیکیورٹی

ہمارا عزم: ہم آپ کے قانونی ڈیٹا، کیس فائلوں، یا اپ لوڈ کردہ مواد کو کسی بھی اے آئی ماڈل کی تربیت، فائن ٹیوننگ، یا بہتری کے لیے استعمال نہیں کرتے۔ آپ کا ڈیٹا صرف آپ کی درخواست کردہ خدمات فراہم کرنے کے لیے پروسیس کیا جاتا ہے اور اسے کبھی بھی اے آئی تربیتی پائپ لائنز یا تربیتی مقاصد کے لیے تیسرے فریق کے اے آئی فراہم کنندگان کے ساتھ شیئر نہیں کیا جاتا۔

• اے آئی پروسیسنگ محفوظ، الگ تھلگ ماحول میں ہوتی ہے جس تک رسائی صرف درخواست کرنے والے صارف کے ڈیٹا تک محدود ہے
• پلیٹ فارم پر اپ لوڈ کردہ دستاویزات، ویڈیوز، اور ٹرانسکرپٹس اے آئی کاموں کے لیے عارضی طور پر پروسیس کیے جاتے ہیں اور صرف آپ کے اکاؤنٹ کے خفیہ کردہ سٹوریج میں محفوظ کیے جاتے ہیں
• زمنی کی جانب سے استعمال ہونے والے تھرڈ پارٹی اے آئی سروس فراہم کنندگان سخت ڈیٹا پروسیسنگ معاہدوں کے تابع ہیں جو ماڈل کی تربیت کے لیے صارف کے ڈیٹا کے استعمال کو ممنوع قرار دیتے ہیں

10۔ ذمہ دارانہ انکشاف

اگر آپ کا خیال ہے کہ آپ نے زمنی میں کوئی حفاظتی کمزوری دریافت کی ہے، تو ہم ذمہ دارانہ انکشاف کی حوصلہ افزائی کرتے ہیں۔ براہ کرم براہ راست ہم سے رابطہ کریں تاکہ ہم اس مسئلے کی تحقیقات کرکے اسے فوری طور پر حل کر سکیں۔ ہم سیکیورٹی محققین کے ساتھ نیک نیتی سے کام کرنے کے لیے پرعزم ہیں۔