معالجة البيانات ومعلومات تحديد الهوية الشخصية (PII) والقياس عن بُعد

لمحة سريعة

تشرح هذه الصفحة كيف يعالج المحرك الأساسي البيانات: ما يقرؤه، وما يحتفظ به في ذاكرة العملية، وما يكتبه، والتحويل الحتمي لإزالة معلومات تحديد الهوية الشخصية (⁨PII⁩) الذي يطبّقه على حِزم التدقيق، ومسار القياس عن بُعد الاختياري.

النطاق. تصف هذه الصفحة سلوك المكتبة. تشمل إقامة البيانات على مستوى النشر تحديد الولاية القضائية التي تُعالَج فيها مستنداتك، ومكان تخزين الملفات المؤقتة، ومدة الاحتفاظ بالمُخرَجات، وأيّ خلفية قياس عن بُعد تستقبل الفترات الزمنية (⁨spans⁩)، إن وُجدت. هذه الخيارات مسؤولية المُدمِج لا مسؤولية المكتبة. يوفّر المحرك إعدادات افتراضية تفشل مغلقةً وتحويلاً لإزالة البيانات، لكنه لا يستطيع اتخاذ قرار بشأن إقامة البيانات أو الأساس القانوني نيابةً عنك.

التثبيت

composer require nextpdf/core:^3

يُعدّ مُزيل معلومات تحديد الهوية الشخصية (⁨PII⁩) ومُعترِض القياس عن بُعد جزءاً من حزمة ⁨Core.⁩ ويظل مسار القياس عن بُعد خاملاً ما لم تكن حزمة تطوير برامج ⁨OpenTelemetry⁩ (⁨SDK⁩) موجودة، وما لم يربط المُستدعِي المُعترِض.

نظرة عامة مفاهيمية

يعمل المحرك بوصفه مُعالِجاً للبيانات التي تسلّمها إليه، وفق المعنى الوارد في ⁨ISO/IEC 29100⁩ (iso_iec_29100#3.x56): إذ يعالج محتوى المستند بناءً على تعليمات المُدمِج. ولا يتصل بخوادم خارجية، ولا يُبقي المحتوى محفوظاً بعد إنتاج المُخرَجات التي تطلبها، ولا ينقل محتوى المستند إلى أيّ نقطة نهاية تُشغِّلها ⁨NextPDF.⁩

توجد ثلاثة أسطح بيانات مهمة:

إدخال/إخراج المستند (⁨input/output⁩) (⁨I/O⁩). يقرأ المحرك المُدخَلات من المسار أو الدفق الذي توفّره، ويكتب المُخرَجات إلى المسار أو الدفق الذي توفّره. تبقى المخازن المؤقتة الوسيطة في ذاكرة العملية طوال مدة العرض، وتُحرَّر عند اكتماله.
حِزم التدقيق. عند تمكين التدقيق، يمكن للمحرك أن يُصدِر حزمة تشخيصية. وقبل التسلسل، تمرّ تلك الحزمة عبر مُزيل حتمي لمعلومات تحديد الهوية الشخصية (⁨PII⁩).
القياس عن بُعد. يمكن لمُعترِض ⁨OpenTelemetry⁩ الاختياري أن يُصدِر فترات زمنية (⁨spans⁩) ومقاييس. ويظل مُعطَّلاً ما لم تُثبَّت حزمة ⁨SDK⁩ ويُنشَأ المُعترِض؛ وتمرّ سمات الفترات الزمنية عبر مُنقٍّ للسمات.

يتبع موقف الخصوصية مبدأ المادة 32 من ⁨GDPR⁩، الذي يورد استبدال الأسماء بأسماء مستعارة والتقليل إلى الحد الأدنى كضمانتين على سبيل المثال. ويقع تطبيق تلك الضمانات على عاتق المُتحكِّم (eu_gdpr#x50). توفّر المكتبة آلية الإزالة، ويقرّر المُتحكِّم الأساس القانوني والاحتفاظ والإقامة.

سطح ⁨API⁩

لا تُعيد هذه الصفحة توثيق واجهات ⁨API⁩ الخاصة بالتدقيق أو القياس عن بُعد (انظر /modules/core/audit/). المكوّنات المرتبطة بالثقة هي المُنقّي الافتراضي لمعلومات تحديد الهوية الشخصية (⁨PII⁩) المُطبَّق على حِزم التدقيق، ومُنقّي السمات الخاص بمُعترِض ⁨OpenTelemetry.⁩ تصف الأقسام التالية آثار هذه المكوّنات، لا تواقيعها.

نموذج برمجي — بداية سريعة

افتراضياً، لا يغادر أي شيء العملية ما لم تطلب ذلك. لا توجد شيفرة تُمكِّن الخروج الشبكي؛ فغياب الشيفرة هو الإعداد الافتراضي:

<?php

declare(strict_types=1);

require_once __DIR__ . '/vendor/autoload.php';

use NextPDF\Core\Document;

// Input read from disk, output written to disk. No telemetry SDK loaded,
// so the telemetry path completes in sub-microsecond no-ops. No content
// is transmitted anywhere.
$doc = Document::open('input.pdf');
$doc->save('output.pdf');

نموذج برمجي — الإنتاج

عند إنتاج حزمة تدقيق، يُخفي المُزيل الحتمي لمعلومات تحديد الهوية الشخصية (⁨PII⁩) الفئات الشائعة قبل التسلسل. هذا التحويل نقيّ (لا ساعات ولا عشوائية)، لذلك تبقى الحزمة ثابتة على مستوى البايت لمُدخَل معيّن:

<?php

declare(strict_types=1);

require_once __DIR__ . '/vendor/autoload.php';

use NextPDF\Audit\DefaultPiiSanitiser;

$scrubber = new DefaultPiiSanitiser();
// E-mail → [EMAIL], IPv4 → [IPV4], IPv6 → [IPV6], X.500 DN attributes
// beyond CN → keyword preserved, value [REDACTED]. Deterministic.
$safe = $scrubber->sanitise($rawAuditField);

الحالات الحدية والمزالق

المُزيل يعمل بأفضل جهد، لا كضمان. يُخفي DefaultPiiSanitiser الفئات التي يعرفها: البريد الإلكتروني وفق ⁨RFC 5321⁩، وعناوين ⁨IPv4/IPv6⁩، وعدّة سمات للاسم المميَّز (⁨DN⁩) وفق ⁨RFC 4514.⁩ أمّا حقل النص الحرّ الذي يحتوي على اسم أو مُعرِّف خارج تلك الأنماط فلا يُخفى. عامِل المُزيل بوصفه طبقة دفاع متعمّق، لا ضابط امتثال يُلغي واجب المراجعة الواقع على المُشغِّل.
الملفات المؤقتة من شأن النشر. يتعامل المحرك مع الملفات المؤقتة بأمان. أمّا مكان وجود TMPDIR، وما إذا كان TMPDIR على تخزين مُشفَّر في الولاية القضائية الصحيحة، فهما قراران يخصّان النشر. لا يمكن للمكتبة فرض إقامة البيانات.
القياس عن بُعد اختياري ومُنقّى، لا خالٍ من المخاطر. عند ربطه، يُمرِّر مُعترِض ⁨OpenTelemetry⁩ سمات الفترات الزمنية عبر مُنقّي سمات يفرض سياسة بيانات قائمة على انعدام الثقة (⁨zero-trust⁩). أمّا الخلفية التي تُصدِّر إليها، ومدة احتفاظها وموقعها، فهي بالكامل من اختيار المُدمِج.
الأساس القانوني ليس قراراً للمكتبة. يُحدِّد المُتحكِّم ما إذا كانت معالجة مستند معيّن قانونية، وعلى أيّ أساس، بموجب ⁨GDPR⁩ / القانون المحلي (eu_gdpr#x50)؛ ولا تملك المكتبة أيّ اطلاع على ذلك.

الأداء

يستخدم مُزيل معلومات تحديد الهوية الشخصية (⁨PII⁩) تحويلات بتعبيرات نمطية نقية من دون أيّ إدخال/إخراج (⁨I/O⁩). يتحقق مُعترِض القياس عن بُعد من وجود حزمة ⁨SDK⁩ مرة واحدة عند الإنشاء، ثم يُخزِّن النتيجة مؤقتاً. عند عدم تثبيت أيّ حزمة ⁨SDK⁩، يكتمل كل استدعاء للقياس عن بُعد في زمن دون الميكروثانية؛ لذلك يكون الإعداد الافتراضي الحافظ للخصوصية (القياس عن بُعد مُعطَّل) هو أيضاً الإعداد الافتراضي عديم العبء.

ملاحظات أمنية

للمراجعين، تكون قواعد حدّ معالجة البيانات كما يلي:

لا خروج خفيّ. لا ينقل المحرك أيّ محتوى من المستند إلى أيّ نقطة نهاية تُشغِّلها ⁨NextPDF.⁩ لا يحدث الوصول الشبكي الصادر إلا عند جلب الموارد المُمكَّنة صراحةً والمُقيَّدة بالمخطط، أو عند نقاط نهاية سلطة الطابع الزمني (⁨TSA⁩) المُكوَّنة، أو بروتوكول حالة الشهادة عبر الإنترنت (⁨OCSP⁩)، أو قائمة إبطال الشهادات (⁨CRL⁩)، وكلّ حالة منها خلف حارس تزوير الطلب من جانب الخادم (⁨SSRF⁩).
إزالة حتمية محدودة النطاق. تحويل معلومات تحديد الهوية الشخصية (⁨PII⁩) داخل حزمة التدقيق حتميّ ويُنفَّذ قبل التسلسل. وهو يساعد على التقليل إلى الحد الأدنى بروح المادة 32 من ⁨GDPR⁩ (eu_gdpr#x50)، لكنه ليس شهادة إخفاء هوية.
الإقامة من شأن المُدمِج. إنّ جرد مواضع معالجة البيانات ورسم خرائطها نشاطان تنظيميان وفق إطار عمل الخصوصية من ⁨NIST⁩ (nist_privacy_framework_1_1#x9.x1.p3)؛ تُتيح المكتبة الضوابط، ويتولى المُدمِج رسم الخرائط.
الأدوار خارجية. إنّ تحديد ما إذا كان النشر مُتحكِّماً أم مُعالِجاً، وما الالتزامات المترتبة على ذلك، هو تحديد للدور وفق ⁨ISO/IEC 29100⁩ (iso_iec_29100#3.x56) ولا تستطيع المكتبة القيام به.

المطابقة

هذه الصفحة ليست ملف تعريف مطابقة. تشير هذه الصفحة إلى المادة 32 من ⁨GDPR⁩، و⁨ISO/IEC 29100⁩، وإطار عمل الخصوصية من ⁨NIST⁩ لبيان الحدّ بين سلوك المكتبة ومسؤولية المُتحكِّم. وهي لا تؤكّد الامتثال لـ ⁨GDPR⁩، ولا المطابقة لـ ⁨ISO/IEC 29100⁩، ولا أيّ شهادة خصوصية. يتخذ مُتحكِّم البيانات تلك القرارات على مستوى النشر، لا المكتبة.