الحسابات وتسجيل الدخول

• يمكنك تسجيل الدخول بكلمة المرور أو عبر Google أو LinkedIn. تتولى هذه الجهات التحقق من هويتك، ولا تصلنا كلمة مرورك لديها.
• كلمات المرور في موقعنا تعالجها ووردبريس بالتجزئة (hashing) القياسية، ولا تُحفظ كنص عادي.
• بعد الدخول تعمل التطبيقات برمز جلسة موقّع يُرسل مع كل طلب. تحفظ تطبيقات سطح المكتب الجلسة مشفّرة في مخزن النظام الآمن، وتحفظها إضافة Figma في تخزين الإضافات الخاص بـ Figma على جهازك.
• تسجيل الدخول من إضافة Figma عبر Google أو LinkedIn يتم في موقع فيجماوية نفسه، بصفحة تعرض رمز تحقق قصيراً يجب أن يطابق الرمز الظاهر في Figma قبل أن توافق، ولا تظهر أي معلومة سرية في عنوان الصفحة.

من يستطيع رؤية بياناتك

• محادثاتك وتصاميمك ومرفقاتك مرتبطة بحسابك، ويتحقق الخادم من ملكيتها أو صلاحية الوصول إليها في كل طلب. من لا يملك صلاحية يحصل على «غير موجود» ولا يعرف حتى إن كانت المحادثة موجودة.
• عند دعوة شخص إلى محادثة بالبريد الإلكتروني تحدد دوره: مشاهد أو محرر، ولا تُقبل الدعوة إلا بموافقته. ويمكنك إزالة أي شخص في أي وقت.
• تُحفظ المرفقات (الصور وملفات PDF) في مجلد يُطلب من الخادم منع الوصول المباشر إليه، وتُسلَّم فقط عبر طلبات موثّقة لمن له صلاحية على المحادثة.
• لا نبيع بياناتك الشخصية.

الروابط العامة للمشاركة

• رابط المشاركة العام عنوان عشوائي يصعب تخمينه، ولا يعرض إلا نص المحادثة وتصاميمها للقراءة فقط، دون عناوين بريد أو مرفقات أو تفاصيل داخلية.
• يمكنك إضافة كلمة مرور للرابط وتاريخ انتهاء، وإيقافه في أي لحظة. تُحدَّد محاولات كلمة المرور الخاطئة، وتُرسل صفحات المشاركة بتعليمات تمنع فهرستها في محركات البحث وتمنع تسريب عنوانها إلى مواقع أخرى.

التصاميم التي يولّدها المساعد

• تُعرض المعاينة في إطار معزول لا يُشغّل أي نص برمجي ولا يتصل بالإنترنت إلا لتحميل الخطوط والأنماط والصور، وبسياسة محتوى تمنع تنفيذ الشيفرات. لذلك لا تستطيع شيفرة داخل تصميم مولَّد أن تصل إلى حسابك أو بياناتك.

معالجة البيانات والذكاء الاصطناعي

• تُرسل رسائلك والمرفقات التي تضيفها إلى خادم فيجماوية، الذي يستعين بمزوّد نماذج ذكاء اصطناعي (OpenAI) لكتابة الردود.
• في إضافة Figma لا تُرسل صور العناصر التي حددتها إلا عندما يكون خيار «أرسل التحديد كمرجع» مفعّلاً، ولا تقرأ الإضافة ولا ترسل شيئاً آخر من ملفك. وهي لا تقرأ هوية مستخدم Figma.
• لتحسين جودة التصاميم وسرعتها نحتفظ بأنماط تخطيط مجهولة المصدر من التصاميم المكتملة، أي بنية الأقسام مثل الرأس والبطاقات والتذييل وترتيبها، بعد حذف كل النصوص والأسماء والصور والروابط والأرقام منها. لا يمكن ربط هذه الأنماط بك أو بحسابك أو بمحادثاتك، ولا يراها أي مستخدم. لا نتعلم أبداً من تصميم أرفقتَ معه ملفاً ولا من تحديد أرسلته من Figma، ولا يحدث ذلك إلا إذا وافقت أنت: الخيار متوقف حتى تقول نعم، ويمكنك تشغيله أو إيقافه في أي وقت من الإعدادات.

الاحتفاظ بالبيانات وحذفها

• يمكنك حذف أي محادثة من التطبيق.
• عند حذف حساب في فيجماوية تُحذف محادثاته ومرفقاته المرتبطة به من أنظمتنا.
• الأنماط المجهولة المذكورة في «معالجة البيانات والذكاء الاصطناعي» لا ترتبط بأي حساب، لذلك لا تُحذف عند حذف حساب أو محادثة.

منع إساءة الاستخدام

• نحدّ عدد الطلبات في العمليات الحساسة، مثل محاولات كلمة مرور الروابط المشاركة والدعوات ورسائل الدعم وتسجيل الدخول من الإضافات.
• نرصد استخدام الجهاز الواحد لعدة حسابات في اليوم نفسه، ونوقف الاستخدام ونُنبّه المسؤولين عند تجاوز الحد، ويراجع المسؤولون ذلك.

التطبيقات

• تطبيقات macOS موقّعة ومعتمدة (Notarized) من Apple.
• تعمل تطبيقات سطح المكتب بواجهة معزولة وإعدادات حماية مشددة، ولا تقبل أوامر التصحيح الخارجية في النسخ المنشورة.

الشهادات والمعايير

• لا نحمل حالياً شهادات أمنية رسمية مثل SOC 2 أو ISO 27001 أو PCI DSS أو HITRUST أو SSAE 18.

الإبلاغ عن ثغرة أمنية

إذا وجدت ثغرة أو مشكلة أمنية في أي من خدماتنا فنقدّر أن تبلغنا بها بشكل مسؤول:

• أرسل بريداً إلى support@figmawya.com بعنوان «ثغرة أمنية»، واشرح المشكلة وخطوات تكرارها وما تتوقع أن يحدث.
• لا تصل إلى بيانات مستخدمين آخرين، ولا تحذف شيئاً أو تعطّل الخدمة، واكتفِ بما يلزم لإثبات المشكلة.
• امنحنا وقتاً معقولاً لإصلاحها قبل نشر التفاصيل علناً.
• نراجع كل بلاغ ونصلح المشكلات المؤكدة في أقرب وقت ممكن.

Accounts and sign-in

• You can sign in with a password, or with Google or LinkedIn. Those providers verify your identity, and we never receive your password there.
• Passwords on our site are handled by WordPress with its standard password hashing, and are not stored as plain text.
• After sign-in the apps use a signed session token, sent with every request. The desktop apps keep the session encrypted in the operating system's secure storage, and the Figma plugin keeps it in Figma's own plugin storage on your computer.
• Signing in to the Figma plugin with Google or LinkedIn happens on figmawya.com itself, on a page that shows a short verification code. The code must match the one shown in Figma before you approve, and nothing secret appears in the page's address.

Who can see your data

• Your chats, designs and attachments belong to your account. The server checks ownership or permission on every request, and anyone without access gets "not found", so they cannot even tell whether a conversation exists.
• When you invite someone to a chat by email you choose their role, viewer or editor, and the invitation only works once they accept it. You can remove anyone at any time.
• Attachments (images and PDFs) are stored in a folder that the server is told to deny direct access to, and are delivered only through authenticated requests to people who have access to the conversation.
• We do not sell your personal data.

Public share links

• A public share link is a random address that is hard to guess. It shows only the chat text and its designs, read only, without email addresses, attachments or internal details.
• You can add a password and an expiry date to a link, and switch it off at any time. Wrong password attempts are rate limited, and shared pages are served with instructions that keep them out of search engines and stop their address leaking to other sites.

Designs generated by the agent

• Previews are shown in an isolated frame that runs no scripts and connects to the internet only to load fonts, styles and pictures, under a content policy that blocks code execution. Code inside a generated design therefore cannot reach your account or data.

Data processing and AI

• Your messages and any attachments you add are sent to the Figmawya server, which uses an AI model provider (OpenAI) to write the replies.
• The Figma plugin sends pictures of the layers you selected only while "Send selection as reference" is ticked. It reads and sends nothing else from your file, and it does not read your Figma user identity.
• To make designs better and faster, we keep anonymous layout patterns from finished designs: the structure of sections such as headers, cards and footers and their order, with all text, names, images, links and numbers removed. These patterns cannot be linked to you, your account or your conversations, and no user can see them. We never learn from a design requested with an attached file or a Figma selection. This only happens if you say yes: it is off until you agree, and you can switch it on or off at any time in Settings.

Retention and deletion

• You can delete any conversation from the app.
• When a Figmawya account is deleted, its conversations and their attachments are deleted from our systems.
• The anonymous layout patterns described under "Data processing and AI" are not linked to any account, so they are not removed when an account or a conversation is deleted.

Abuse prevention

• Sensitive actions are rate limited, such as password attempts on share links, invitations, support messages and sign-in from the plugin.
• We watch for one device being used with several accounts on the same day. When the limit is passed, use is paused and administrators are alerted and review it.

The apps

• The macOS apps are signed and notarized by Apple.
• The desktop apps run with an isolated interface and hardened settings, and released builds refuse external debugging commands.

Certifications and standards

• We do not currently hold formal security certifications such as SOC 2, ISO 27001, PCI DSS, HITRUST or SSAE 18.

Reporting a vulnerability

If you find a vulnerability or a security problem in any of our services, we appreciate a responsible report:

• Email support@figmawya.com with the subject "Security vulnerability". Describe the problem, the steps to reproduce it and what you expected to happen.
• Please do not access other users' data, delete anything or disrupt the service. Do only what is needed to demonstrate the problem.
• Give us a reasonable time to fix it before you publish the details.
• We review every report and fix confirmed issues as soon as we can.