تعهدنامهٔ صریح بوفی به امنیت داده‌ها و حریم خصوصی

۱. احراز هویت و نشست‌ها

• مجیک‌لینک: توکن فقط به‌صورت SHA-256 hash ذخیره می‌شود، دارای انقضای کوتاه و یک‌بارمصرف.
• پنل ادمین: پسورد با bcrypt (cost 12) هش می‌شود؛ ورود محدود به /admin/login است.
• کوکی نشست httpOnly + Secure + SameSite؛ در پروداکشن فقط روی HTTPS ارسال می‌شود.
• هیچ کلید API/توکن در کد کامیت‌شده هاردکد نیست — همه از متغیر محیطی خوانده می‌شوند.

۲. محدودسازی نرخ و ضد سوءاستفاده

• ریت‌لیمیت توزیع‌شده با Upstash Redis (sliding window)؛ بدون Redis به حافظهٔ محلی fallback با هشدار.
• مسیرهای حساس: /api/auth/*, /api/chat, /api/pay/*, /api/demo-lead, /api/cron/* هرکدام سقف اختصاصی دارند.
• چت: سقف جداگانهٔ per-IP و per-clinic + محدودیت طول پیام و تاریخچه.

۳. پرداخت دستی و وب‌هوک تلگرام

• ثبت پرداخت: unique index (clinicId, trackingCode) از ثبت تکراری جلوگیری می‌کند؛ خطای تکراری با 409 گزارش می‌شود.
• تأیید/رد: تراکنش اتمیک — ساخت اشتراک، فعال‌سازی کسب‌وکار و به‌روزرسانی پرداخت یا هیچ‌کدام.
• وب‌هوک تلگرام: تأیید X-Telegram-Bot-Api-Secret-Token و محدودیت به TELEGRAM_ADMIN_CHAT_ID؛ بدون آن‌ها درخواست رد می‌شود.
• پرداخت فعلاً «کارت‌به‌کارت با تأیید انسانی» است — هیچ «تأیید بانکی آنی» جعلی نمایش داده نمی‌شود.

۴. انتقال و نگهداری داده

• تمام ترافیک روی HTTPS/TLS؛ HSTS فعال.
• پایگاه داده Neon با اتصال رمزنگاری‌شده؛ لاگ‌ها شامل کلید یا رمزِ خام نمی‌شوند.
• وب‌هوک‌های کانال‌های متصل، در صورت فعال بودن، با سازوکار احراز هویت و امضای مربوط به همان پلتفرم اعتبارسنجی می‌شوند.

۵. حقوق مشتریان و حذف داده

هر مشتری می‌تواند درخواست حذف سوابق تماس/رزرو خود را بدهد؛ مدیر کسب‌وکار ابزار حذف را در پنل دارد. داده‌ها صرفاً برای عملکرد همان کسب‌وکار پردازش می‌شوند.