Güvenlik ve uyum

Veri Türkiye dışında işleniyor ve bu, KVKK bakımından yurt dışına aktarımdır. Sayfada saklanmıyor, çünkü kurumsal bir hukuk biriminin ilk soracağı şey budur.

Uygulamanın çalıştığı bölgeyi bu sayfaya elle yazmıyoruz: aşağıdaki alt işleyen tablosunda barındırma satırı, bölgeyi isteğin koştuğu andan okuyup gösteriyor. Elle yazılmış bir bölge, taşındığı gün sessizce yanlış olur.

Veritabanının bulunduğu bölge bu sayfada henüz yazılı değil. Teyit edilmemiş bir bölge yazmak, aktarım değerlendirmesini yanlış temele oturtur; teyit edildiğinde buraya eklenecek ve alt işleyen tablosunda da görünecek.

Bu liste elle yazılmıyor. Ürünün kodunda geçen her dış adres, otomatik bir kontrolle bu listeye karşı denetleniyor; beyan edilmemiş bir entegrasyon eklendiğinde kontrol kırmızı yanıyor. Bayatlamış bir alt işleyen listesi, bir uyum belgesi olmaktan çıkıp yanlış beyana dönüşür.

Okunuyor…

Kiracı sınırını uygulama kodu değil veritabanının kendisi koruyor: her tablo satır düzeyi güvenlikle açılıyor ve politikalar kullanıcının bağlı olduğu şirkete göre süzüyor. Bir şirketin kullanıcısı, kodda bir hata olsa bile başka bir şirketin satırını okuyamaz.

Bu bir tasarım iddiası değil, ölçülen bir davranış: ayrı doğrulama betikleri iki ayrı şirket kurup birinin anahtarıyla diğerinin verisini okumayı deniyor ve denemenin başarısız olduğunu kanıtlıyor. Aynı sınır ürünün dışarıya açık API'sinde de ölçülüyor.

Platform yönetimi şirket yöneticiliğinden ayrı bir yetkidir ve ayrı bir tabloda tutulur. Platform tarafı sayar, içeriği göstermez: kimlik numarası, ücret, bordro ve sağlık kayıtları o yüzeyde hiç okunmuyor.

Çalışan hesabını kişi kendi açamaz; şirket açar. Hesap kurulum bağlantısı tek kullanımlıktır ve parolayı kişinin kendisi belirler.

Bugün olmayanlar: SAML ile kurumsal oturum açma, SCIM ile otomatik hesap sağlama ve ürün içi iki adımlı doğrulama yok. Google ile oturum açma çalışıyor. Bunları eksik diye yazıyoruz, çünkü kurumsal kısa listede bunlar eleme kriteridir ve sonradan öğrenilmesi herkesin zamanını alır.

Karar doğuran işlemler kim, ne zaman, ne yaptı bilgisiyle deftere yazılıyor: izin ve mesai onayları, bordro kapanışı, çıkış işlemleri, yetki değişiklikleri. Kayıt üründen silinemiyor.

Tarayıcı ile sunucu arasındaki trafik TLS ile şifreleniyor ve alan adı yalnız şifreli bağlantı kabul edecek şekilde işaretli. Veri, saklandığı yerde sağlayıcının disk şifrelemesiyle korunuyor.

Saklama süresi ve silme yolu ayrı bir metinde yazılı: KVKK aydınlatma metni.

Veritabanı yedekleri barındırma sağlayıcısının düzeniyle alınıyor. Kurtarma hedefleri (ne kadar sürede ayağa kalkılacağı ve en fazla ne kadarlık verinin kaybedilebileceği) bu sayfada henüz rakamla yazılı değil; sağlayıcı planının sunduğu geri dönüş penceresi teyit edilmeden rakam yazmak, tutulamayacak bir söz olurdu.

Kişisel verilerin hukuka aykırı şekilde başkalarınca elde edildiğini tespit edersek, mevzuatın öngördüğü süre içinde Kişisel Verileri Koruma Kurulu'na ve etkilenen kişilere bildirim yapılır. Müşteriye bildirim, olayın kapsamı ve etkilenen kayıtlar netleşir netleşmez yazılı olarak yapılır.

ISO 27001 belgemiz yok, SOC 2 raporumuz yok ve bağımsız bir sızma testi yaptırılmadı. Bunları olmadığı hâlde ima etmek, bu sayfanın anlatmaya çalıştığı her şeyi geçersiz kılardı.

Bunların yerine geçmediğini bilerek söylüyoruz: ürünün güvenlik davranışı otomatik kontrollerle ölçülüyor, kiracı sınırı her sürümde yeniden sınanıyor ve yasal metinler yayımlanmış durumda. Sertifika bir üçüncü tarafın imzasıdır; ölçüm, o imzanın yerine geçmez ama onsuz hiçbir şey söylememekten iyidir.

Kurumunuzun güvenlik soru listesini doldurmamızı isterseniz teklif formundan iletin; cevapları bu sayfadaki ölçümlere dayanarak yazıyoruz ve bilmediğimizi bilmiyoruz diye yazıyoruz.

Teklif ve güvenlik incelemesi talebi · Hizmet seviyesi taahhüdü · Sistem durumu