Teknik ve İdari Tedbirler

Bu belge, kişisel verilerin güvenliği için uyguladığımız teknik ve idari tedbirleri özetler. Bağımsız bir denetim ya da sertifika (ISO 27001, SOC 2) bulunmamaktadır; iç ön sızma testi yapılmıştır, bağımsız test planlanmaktadır.

Erişim ve ayrım

• Her şirketin verisi veritabanında şirket kimliğiyle işaretlenir ve satır düzeyinde güvenlik zorunlu tutulur.
• Yetkiler görev bazındadır; her ekran sunucuda yetki denetimiyle çizilir.
• Destek erişimi şirket yöneticisinin süreli onayına bağlıdır, yalnız yapılandırma özetini kapsar ve denetim izine yazılır.

Kimlik doğrulama

• PIN'ler tek yönlü ve tuzlu olarak saklanır; tekrarlanan hatalı denemelerde geçici kilit uygulanır.
• E-postayla giren kullanıcılar için iki adımlı doğrulama (TOTP) vardır.
• Boşta kalan oturumlar kendiliğinden kapanır.

Veri bütünlüğü ve şifreleme

• Bağlantılar HTTPS ile şifrelenir; HSTS ve istek başına anahtarlı içerik güvenlik politikası uygulanır.
• Sırlar ve hassas ayarlar şifreli saklanır.
• Kritik onaylar birbirine bağlı bir delil zincirinde tutulur; sonradan değişiklik tespit edilir.
• Sağlık verileri ayrı bir kasada, yalnız yetkili sağlık rolünün erişimiyle tutulur.

Yedekleme ve süreklilik

• Yedekler şifrelenir ve bütünlük listesi imzalanır.
• Geri yükleme provası düzenli aralıklarla yapılır.

Kayıt ve izleme

• Önemli işlemler denetim izine yazılır.
• Uygulama kayıtlarında kişisel veri ve sır maskelenir.
• İstek ve gövde sınırları ile oran sınırlama uygulanır; yüklenen dosyalar taranabilir.

İdari tedbirler

• Kişisel veriye erişim görev gereğiyle sınırlıdır.
• Saklama ve imha süreleri ürün içinde kurala bağlanmıştır.
• Veri ihlali şüphesinde ilgili şirket ve gerekli hallerde Kurul bilgilendirilir.