الثقة
هذا ما يفرضه النظام ببنائه نفسه، والحدود التي نعرفها سلفًا — قبل أن يسأل عنها استبيانكم.
مفروض بحكم البناء
كل قراءة تُقتطع على مقاس من يسأل داخل الاستعلام نفسه، لا في الشيفرة بعده، فلا تُجمَّع ولا تُحتسب أبدًا حقيقةٌ أو ملخصٌ أو مقطعٌ لا يحق لكم رؤيته. ومن لا نستطيع التعرّف عليه لا يرى إلا ما هو عام — لا عرض المشغّل أبدًا — ولا شيء يضعه أحد في طلبٍ يمكنه توسيع ذلك.
حين تكتب الذاكرة جملة واحدة من خمسة مستندات، لا يرى تلك الجملة إلا من يحق له رؤية المستندات الخمسة كلها: الجمع بين المصادر لا يمكنه إلا تضييق الصلاحيات، لا توسيعها أبدًا. وحيث يتعذّر قراءة صلاحيات مصدرٍ ما، يتراجع الموصِّل إلى جمهور أضيق — الحساب الذي جلب المستند — لا إلى الشركة كلها.
كل استشهاد يُحلّ مقابل المجموعة المغلقة من المقاطع التي وضعها المحرك نفسه أمام النموذج، فلا يمكن لإحالة إلى مقطع غير موجود أن تبقى. وحين تطرحون سؤالًا، يختار النموذج من وسوم يعيد المحرك ترجمتها بدل أن يسمّي موضعًا بنفسه، وكل ما يمكنكم النقر عليه يفتح مقطعًا حقيقيًا من الأدلة المجمّعة ضمن صلاحياتكم أنتم.
مخطط قاعدة بيانات واحد وبادئة تخزين كائنات واحدة لكل شركة: لا يحمل أي جدول مشترك مستندات عميل أو حقائقه أو مقاطعه. الجداول الوحيدة التي تتشاركها كل الشركات هي سجلات الحساب والفوترة والجلسات، ولا يحمل أيٌّ منها شيئًا تعلّمته الذاكرة. وإن أردتم أن تحرس قاعدة البيانات نفسها الحدّ، يمكن أن تعمل استعلامات الشركة تحت دور لا صلاحية له إلا على مخططها — إلزامي في خدمتنا المستضافة، ومتاح ومعطّل افتراضيًا في نشر تشغّلونه أنتم، كطبقة ثانية خلف حدّ المخطط. والشركة التي يغيب دورها تُرفض، ولا تُخدم أبدًا عبر دور مشترك.
قائمة السماح الصادرة تضم افتراضيًا نقطة نهاية النموذج ولا شيء غيرها. لا قياس عن بُعد ولا فحص تحديثات لإيقافه، لأن أيًّا منهما لم يُبنَ قط، وملف الترخيص للعلم فقط: لا يُتحقق من شيء لدينا. وترفض المكوّنات الإقلاع حين تناقض إعداداتها القائمة، والإنفاذ على مستوى الشبكة هو جدار الحماية لديكم. هذا يخص نشرًا تشغّلونه أنتم، لا الخدمة المستضافة. أفرغوا القائمة فلا يخرج شيء على الإطلاق، ولا حتى إلى النموذج، فلا يُقرأ شيء جديد؛ ويرتّب البحث حينها بالكلمات المفتاحية ما سبقت قراءته.
كل ملاحظة وحقيقة وتصحيح وسحب هو قيد في سجل لا يُعاد كتابته أبدًا — التصحيح قيد جديد، ويبقى القديم مقروءًا. وكل ما تقرأونه في صفحة مشتق من ذلك السجل، ويُعاد بناؤه بإعادة تشغيله لا بإصلاحه في مكانه.
بيانات اعتماد النموذج مشفّرة أثناء التخزين بمفتاح نشركم أنتم، نص مشفّر واحد لكل شركة، وتُحذف حين تُحذف الشركة. ومع تسجيل الدخول الموحّد، لا تصل البوابة إلا إلى مزوّد الهوية لديكم. الاستخلاص والإجابات المكتوبة وحدهما يحتاجان إلى نموذج متاح — كل ما سبقت قراءته يبقى قابلًا للبحث من دونه.
ما لا نفعله بعد
الإجراءات الإدارية تُسجَّل ويستطيع مسؤولكم قراءتها: من أنشأ ذاكرة، ومن منح صلاحية أو سلبها، ومن غيّر المخطط. ونحفظ أيضًا عدّادًا لكل نداء لوكيل — أيّ شخص، وفي أيّ ذاكرة، وعبر أيّ أداة، ومتى — غير أن ذلك نقرأه نحن ولا تقرأونه أنتم بعد. وتحتها صار كل جواب يُسجَّل الآن: من سأل، وماذا سأل، وأيّ المستندات استشهد بها الجواب، ويُحفظ ذلك 90 يومًا افتراضيًا. وتبقى بعض الأبواب خارج هذا السجل: التخطيط لسؤال، وحفظ ما طلب مساعدٌ من الذاكرة أن تتذكّره، وقراءة مفردات الذاكرة، والعمليات الإدارية، وجلب ملف مخزَّن مباشرة. أما الطلب الموجَّه إلى شركة لم تعد موجودة فلا يمكن تسجيله أصلًا، إذ لا مكان يُكتب فيه.
يمكن تصدير سجل القراءات وسجل الإجراءات الإدارية كليهما كملف لأي فترة، فتسلّمون مدققًا نسخة منه، وتُحفظ القراءات 90 يومًا افتراضيًا. والناقص هو الخدمة الذاتية: ليس لسجل القراءات شاشة في وحدة التحكم، وفي الخدمة المستضافة نُجري تصديره لمسؤولكم عند الطلب. وفي السحابة الخاصة والاستضافة الذاتية يُجريه مباشرةً من يحمل بيانات اعتماد المشغّل الخاصة بالنشر.
حين يسحب نظام ربطتموه مستندًا من شخص ما، يلاحظ الاستطلاع التالي ذلك، ويخرج المستند من قائمة مستندات ذلك الشخص خلال فاصل ذلك الموصِّل — خمس دقائق افتراضيًا. ويتبعه كل ما اشتُق منه. وفي الخطوة نفسها تُسحب الحقائق والملخصات والمقاطع المستخلصة تحت الجمهور القديم، فيتوقف عن الفتح أي استشهاد يحمله قارئ سُحبت صلاحيته.
العمل الجاري أصلًا في تلك اللحظة قد يستشهد لفترة وجيزة بمستند مسحوب؛ والمزامنة التالية لذلك المستند تصلح ذلك.
وهذا لا ينطبق إلا حيث يحفظ المصدر صلاحيات لكل مستند: Google Drive وSharePoint وOneDrive وBox وConfluence وSlack وGmail، وقرصنا نحن. أما المجلد المراقَب وSalesforce وHubSpot وAffinity ومشروع Jira ومساحة Notion وDocuSign فتُلتقط بجمهور واحد على مستوى الشركة، فلا سلب صلاحية لكل مستند نتتبّعه.
نفترض أن كل مستند ملتقط عدائي، ونقيّد ما يمكن لنصه أن يسبّبه بدل محاولة التعرّف عليه: لا شيء مما يقوله يمكنه توسيع صلاحيات مصدره أو إنتاج استشهاد خارج المقاطع التي اختارها المحرك.
لا نقدّم مصنِّفًا يتعرّف على محاولات الحقن، ولا ندّعي ذلك. ويعمل كل مصدر كذلك في عمليته الخاصة، فتبقى بيانات الاعتماد التي تصل إلى محرك أقراصكم والمحتوى غير الموثوق الذي تجلبه منفصلين.
النظام مبني لعدد صغير من الشركات لدى كل منها قدر كبير من المواد، وبعض الحمايات لا تزال مكتوبة لعملية واحدة لا لأسطول: مكبح محاولات تسجيل الدخول المتكررة يحفظ عدّاده في الذاكرة، فخلف أكثر من نسخة واحدة يكبح لكل نسخة على حدة.
تدمير شركة يُسقط مخططها وبادئة تخزينها — ويذهب معهما الدفتر والمقاطع والوقائع والتلخيصات وفهرس البحث — ويحذف اعتماداتها المخزَّنة، ويمسح جلساتها. والذي يبقى هو السطر الذي يقول إن تلك الشركة وُجدت — واسمها مسحوب ومُلغى ولن يُستخدم ثانيةً أبدًا — وسجلات الاستخدام التي تشير إليه، وصفوف الاستحقاق التي كانت تسمّي من يحقّ له بلوغها، تُركت خاملة ولم تُحذف، والأثر الإداري لما جرى لها، ونحتفظ به عن قصد.
حذف مستند واحد أضيق نطاقًا. الحقائق والملخصات والمقاطع المستمدة منه تُسحب، فلا يعود شيء مشتق منه يجيب عن سؤال. ما لا يُمحى هو بايتات الملف نفسه، وقيد السجل الذي يوثق أننا قرأناه، ونص المطالبة لأي عمل مدرج بالفعل بشأنه — وهذا الأخير لبضعة أيام حتى ينتهي. السجل للإضافة فقط بحكم التصميم: به تبقى كل إجابة قابلة للتتبع إلى مصدرها. إذا كنتم تحتاجون إلى زوال البايتات لا إلى تعذر الوصول إليها فحسب، فتدمير الشركة هو الإجراء الذي يفعل ذلك اليوم.
النسخ الاحتياطية هي الاستثناء. تبقى بيانات الشركة المدمَّرة داخل أي نسخ احتياطية أُخذت سلفًا إلى أن تُنهيها سياسة الاحتفاظ لديكم، ولا يصل إليها شيء مما نشغّله.
كل مرور على مستند يرسل إلى القارئ عددًا محدودًا من المقاطع. معظم المستندات تتّسع كاملة. أما الذي لا يتّسع — تقرير ممسوح ضوئيًا من مئات الصفحات — فيُقرأ حتى ذلك الحد، وما وراءه لا يُستخرج في ذلك المرور. المستند الذي رُفع بنجاح لم يُفهم بالضرورة من أوله إلى آخره. نحن نجعل هذا قابلًا للاستئناف كي يُقرأ كل مقطع مرة واحدة بالضبط؛ وحتى ذلك الحين، افترضوا أن المستند الطويل جدًا مغطّى في بدايته لا على امتداده.
ما لا يُثبته الاستشهاد هو أن المقطع يدعم الجملة. النموذج يختار أي مقطع حقيقي تحمله كل جملة، وقد يختار مقطعًا لا يعيد صياغتها. والفحص المتاح للقارئ هو الذي بنينا الاستشهاد من أجله: افتحه وانظر. ونحن نضيف فحوصًا آلية للأرقام والفترات والعملات، تحجب الادعاء بدل عرضه غير متحقَّق منه.
هذه القائمة هي ما نعرفه. إن وجدت مراجعتكم شيئًا لا تذكره، أخبرونا وسنضيفه هنا.
أسئلة حول الأمان؟
أسئلة عن الوصول أو النشر أو أي شيء في هذه الصفحة؟ اكتبوا لنا.
أما الأوراق، في هذه الأثناء: اتفاقية معالجة البيانات لدينا، والمعالجون الفرعيون الذين نشغّل بهم الخدمة.