Why security matters in AI customer support
An AI assistant handles your customers' names, phone numbers, orders and questions. Before you connect one to your business, you should know exactly how that data is protected. This page lists what Mujib does today, what we do not claim, and what we are building next.
1. Encryption in transit
Traffic between your customers, your systems and Mujib travels over encrypted connections (HTTPS/TLS). Webhooks we send to your systems are signed with HMAC-SHA256, so you can verify they came from Mujib.
Why we don't claim "end-to-end encryption"
End-to-end encryption means only the sender and the recipient can read a message, and the server in the middle cannot. An AI assistant has to read a message to answer it: search your knowledge base, call the language model, open a ticket. So end-to-end encryption does not apply to Mujib, or to any AI support assistant. The same is true for WhatsApp Business: messages are end-to-end encrypted up to Meta's Cloud API, and the business receives them decrypted.
2. Each project is isolated
- Tenant isolation: every project's knowledge base, conversations and settings are kept separate. Other customers cannot see them.
- Not used for training: we call AI providers through their paid APIs, whose terms exclude using your data to train their models. We never use your conversations to train models for other customers.
- Self-hosting: organisations that need full control can run Mujib on their own servers.
3. Access control
- Roles: owner, editor and viewer on each project, and you choose which apps each team member can open.
- Two-factor authentication (2FA): available on every account.
- Passwords: stored only as bcrypt hashes. Sessions can be revoked, and sign-in attempts are rate-limited.
- Audit log: sensitive actions are recorded with who did them and when.
4. Personal data protection
- Locked by default: when you connect a database or CRM, personal fields (phone numbers, emails, addresses) are hidden from AI answers unless you allow them.
- Integration keys: after you save an API key or password, it is never shown again or sent back to the browser.
- Safe connections: integrations cannot be pointed at internal or private network addresses.
- Marketing consent: customers can opt out of campaigns, and Mujib respects it on every channel.
5. Retention and deletion
- Old conversation history is cleaned up automatically after a retention period.
- Deleting a project deletes its data.
- Regular database backups protect against data loss.
6. What we are working on
We are preparing for ISO/IEC 27001, the international standard for information security management. Next on our roadmap:
- Encrypting stored integration keys and tokens with AES-256-GCM under a separate key
- Encrypted backups with regular, documented restore tests
- Mandatory 2FA for administrators
- Retention periods you set per project, and export or deletion of one person's data on request
- Automatic vulnerability scanning and an external penetration test
We will update this page as each item ships. We do not currently hold SOC 2, ISO 27001 or HIPAA certification, and we will not claim one until an accredited auditor has issued it.
Questions to ask any AI support vendor
- Is data encrypted in transit? And at rest, and how?
- Do they use your data to train models?
- Is each customer's data isolated?
- Do they offer 2FA and role-based access?
- Which certifications do they actually hold? Ask for the certificate or the audit report.
- Can you delete your data, and how quickly?
Have a security questionnaire?
Send it to us. We will answer each question accurately, including the ones where the answer is "not yet".
لماذا يهم الأمان في دعم العملاء بالذكاء الاصطناعي
المساعد الذكي يتعامل مع أسماء عملائك وأرقامهم وطلباتهم وأسئلتهم. قبل أن تربطه بعملك، من حقك أن تعرف بالضبط كيف تُحمى هذه البيانات. هذه الصفحة توضح ما يفعله مجيب اليوم، وما لا ندّعيه، وما نعمل عليه.
1. التشفير أثناء النقل
الاتصال بين عملائك وأنظمتك ومجيب يمر عبر اتصالات مشفّرة (HTTPS/TLS). والـ Webhooks التي نرسلها لأنظمتك موقّعة بـ HMAC-SHA256 لتتأكد أنها من مجيب.
لماذا لا نقول «تشفير من طرف إلى طرف»
التشفير من طرف إلى طرف يعني أن المرسل والمستقبل فقط يقرآن الرسالة، والخادم في المنتصف لا يستطيع. المساعد الذكي يجب أن يقرأ الرسالة ليجيب عليها: يبحث في قاعدة المعرفة، ويستدعي نموذج اللغة، ويفتح تذكرة. لذلك هذا النوع من التشفير لا ينطبق على مجيب ولا على أي مساعد دعم ذكي. وينطبق الأمر نفسه على واتساب للأعمال: الرسائل مشفّرة من طرف إلى طرف حتى Cloud API لدى Meta، ثم تصل للنشاط التجاري مفكوكة.
2. كل مشروع معزول
- عزل المشاريع: قاعدة المعرفة والمحادثات والإعدادات لكل مشروع منفصلة، ولا يراها أي عميل آخر.
- لا تُستخدم للتدريب: نستخدم مزوّدي الذكاء الاصطناعي عبر واجهاتهم المدفوعة، وشروطها تمنع استخدام بياناتك لتدريب نماذجهم. ولا نستخدم محادثاتك لتدريب نماذج لعملاء آخرين.
- الاستضافة الذاتية: الجهات التي تحتاج تحكماً كاملاً يمكنها تشغيل مجيب على خوادمها.
3. التحكم بالوصول
- الأدوار: مالك ومحرر ومشاهد لكل مشروع، وتختار التطبيقات التي يفتحها كل عضو.
- التحقق بخطوتين (2FA): متاح لكل حساب.
- كلمات المرور: تُحفظ كـ bcrypt hash فقط، ويمكن إلغاء الجلسات، ومحاولات الدخول محدودة.
- سجل التدقيق: العمليات الحساسة مسجّلة مع من نفّذها ومتى.
4. حماية البيانات الشخصية
- مقفلة افتراضياً: عند ربط قاعدة بيانات أو CRM، الحقول الشخصية (الأرقام والإيميلات والعناوين) مخفية عن أجوبة الذكاء الاصطناعي إلا إذا سمحت بها.
- مفاتيح الربط: بعد حفظ مفتاح API أو كلمة مرور، لا يُعرض مرة أخرى ولا يُرسل للمتصفح.
- اتصالات آمنة: لا يمكن توجيه التكاملات إلى عناوين الشبكة الداخلية أو الخاصة.
- موافقة التسويق: يستطيع العميل إيقاف الحملات، ومجيب يحترم ذلك في كل القنوات.
5. الحفظ والحذف
- سجل المحادثات القديم يُنظّف تلقائياً بعد مدة الحفظ.
- حذف المشروع يحذف بياناته.
- نسخ احتياطية دورية لقاعدة البيانات تحمي من فقدان البيانات.
6. ما نعمل عليه
نستعد للحصول على ISO/IEC 27001، المعيار الدولي لإدارة أمن المعلومات. التالي في خطتنا:
- تشفير مفاتيح الربط والتوكنات المخزّنة بـ AES-256-GCM بمفتاح منفصل
- نسخ احتياطية مشفّرة مع اختبارات استرجاع دورية موثّقة
- التحقق بخطوتين إلزامي للمدراء
- مدة حفظ تحددها لكل مشروع، وتصدير أو حذف بيانات شخص معين عند الطلب
- فحص تلقائي للثغرات، واختبار اختراق من جهة خارجية
سنحدّث هذه الصفحة مع كل خطوة. لا نحمل حالياً شهادة SOC 2 أو ISO 27001 أو HIPAA، ولن نعلن عن أي شهادة قبل أن تصدرها جهة تدقيق معتمدة.
أسئلة اطرحها على أي مزوّد دعم ذكي
- هل البيانات مشفّرة أثناء النقل؟ وأثناء التخزين، وكيف؟
- هل تُستخدم بياناتك لتدريب النماذج؟
- هل بيانات كل عميل معزولة؟
- هل يوفّر التحقق بخطوتين والصلاحيات حسب الدور؟
- ما الشهادات التي يحملها فعلاً؟ اطلب الشهادة أو تقرير التدقيق.
- هل تستطيع حذف بياناتك، وخلال كم؟
لديك استبيان أمني؟
أرسله لنا. سنجيب على كل سؤال بدقة، بما فيها الأسئلة التي جوابها «ليس بعد».
