يقوم ForgeTrack بتخزين المواد الخام لتقارير R&D tax filings، وحزم تدقيق المستثمرين، وتوثيق الهندسة. يجب أن تصمد هذه البيانات أمام الاحتفاظ لعدة سنوات، والتدقيق العدائي، والتدقيق النهائي من أطراف ثالثة لم تشهد إنشاءها. يوضح الهيكل أدناه كيفية تحقيق ذلك.
كل طبقة مستقلة. أي اختراق في طبقة واحدة لا يؤدي إلى انتقال الخطر إلى الطبقات الأخرى.
العزل متعدد المستأجرين هو خاصية معمارية، وليس إعدادية. كل صف في كل جدول يحمل معرف مستأجر، وكل استعلام يحمل شرطاً محدداً، وكل تصدير يتم تحديده على مستوى SQL — وليس على مستوى التطبيق. أي خطأ في التصنيف ضمن مستأجر واحد لا يمكن أن يؤدي إلى تسرب البيانات إلى مستأجر آخر.
الوصول المعتمد على الدور مع أربعة أدوار محددة: المالك، المدير، العضو، والمشاهد. فئة Enterprise تضيف SSO/SAML مع Azure AD وOkta وGoogle Workspace. رموز الجلسة قصيرة الأجل، وتجديدها يخضع للتدقيق، وتغييرات الصلاحيات تُسجل كأحداث في نفس المخزن المعتمد على append-only المستخدم لحفظ Evidence.
إن GAAIM event log مبني على أساس append-only. حذف الحدث ليس عملية مدعومة؛ تصحيح الحدث يتطلب كتابة حدث جديد يشير إلى الحدث المصحح. كل إدخال في السجل موقع بواسطة SHA-256 content hash. أي تلاعب لاحق يمكن اكتشافه من خلال سلسلة التجزئة.
كل مزود ذكاء اصطناعي يعمل تحت بيانات اعتماد مخصصة لكل مستأجر. لا توجد مفاتيح مشتركة، ولا تجميع للاتصالات بين المستأجرين، ولا تسرب للمحفزات بين السياقات. يتم تجزئة ردود المزود وتخزينها كأحداث أساسية — ليست كسجلات لاستدعاءات API، بل كأدلة مستقلة بحد ذاتها.
الوضع الافتراضي للاستضافة هو Azure US. يمكن لعملاء Enterprise طلب الاستضافة في الاتحاد الأوروبي (فرانكفورت، دبلن) أو جنوب المملكة المتحدة عند onboarding. جميع البيانات المخزنة مشفرة بمفاتيح يديرها العميل في فئة Enterprise؛ الفئات الأدنى تستخدم مفاتيح تديرها Microsoft مع تشفير per-tenant envelope.
يتم توجيه تقارير الأمان إلى security@forgetrack.io وتقييمها خلال 24 ساعة. ننشر إرشادات لأي مشكلة تؤثر على سلامة التقارير أو عزل البيانات أو المصادقة. يتم التفاوض على جداول الإفصاح المنسق لكل حالة على حدة.
ForgeTrack في مرحلة البيتا العامة. SOC 2 Type I قيد التنفيذ مع شركة تدقيق معتمدة؛ SOC 2 Type II وISO 27001 مدرجتان في roadmap الامتثال للسنة الأولى من التوفر العام.
HIPAA ليست ضمن نطاق المنتج المتاح عامة؛ يجب على عملاء الرعاية الصحية اعتبار ForgeTrack أداة غير مخصصة لـ PHI. يمكن لعملاء Enterprise ذوي المتطلبات التنظيمية الخاصة تحديد نطاق وضعية مخصصة عند التعاقد — بما في ذلك BAAs، وقيود الإقامة، والبنية التحتية المخصصة.