Verinizin yeri
- Uygulama sunucuları ve veritabanı Google Cloud'un Belçika bölgesinde (europe-west1), Avrupa Birliği içinde çalışır.
- Giriş, e-posta, hata kaydı ve yapay zekâ için çalıştığımız bazı sağlayıcılar yurt dışındadır (Firebase Authentication, Resend, Anthropic, Sentry, OpenStreetMap Nominatim, Stripe). Her biri, ne için kullanıldığı ve hangi veriye eriştiği Alt İşleyenler sayfasında yazılıdır.
- Yurt dışına aktarım 6698 sayılı Kanun'un 9. maddesindeki uygun güvencelerle yapılır.
Firmalar arası ayrım
Zenoheld çok kiracılı bir hizmettir: birçok firma aynı altyapıyı kullanır, ama hiçbiri ötekinin verisini göremez.
- Her kayıt firma kimliğiyle damgalanır. Ayrım uygulamada değil, veritabanında satır düzeyi güvenlikle yapılır: uygulamada bir hata olsa bile veritabanı başka firmanın satırını döndürmez.
- Bu kural her tabloda zorunludur; firma kimliği taşıyan yeni bir tablo, ayrım kararı verilmeden açılamaz.
- Bir firma grubunda hangi firmanın verisini kimin göreceğini kendi yetki tanımlarınız belirler.
Kimin neye erişeceği
- Yetki rol ve seviyeyle verilir: ekran, işlem ve alan düzeyinde. Tutar eşiğine göre onay, departmana göre görünürlük tanımlanır.
- T.C. kimlik, SGK sicil ve pasaport numarası, IBAN, maaş ve ücret alanları yetkisi olmayana maskeli gösterilir; hangi rolün açık göreceğini siz belirlersiniz.
- Görevler ayrılığı kuralları sistemdedir: faturayı giren onaylayamaz, ödemeyi yapan mutabakatı kapatamaz.
- Kullanıcı başına IP adresi ve ağ kısıtı tanımlanabilir.
- 30 dakika işlem yapılmayan oturum kapanır; 25. dakikada kullanıcı uyarılır.
- Yöneticiler erişimleri dönemsel olarak gözden geçirir ve onaylar; acil durumda verilen geçici yetki süreli ve onaylıdır, her işlemi kayıt altındadır.
Giriş
- Kullanıcılar Google hesabıyla ya da e-posta ve şifreyle girer. Şifreler bizim veritabanımızda değil, kimlik doğrulama hizmetinde (Firebase Authentication) saklanır.
- İki adımlı doğrulama: şifreye ek olarak telefondaki doğrulayıcı uygulamanın (Google Authenticator, Microsoft Authenticator, 1Password…) 6 haneli kodu sorulur. Kod sunucuda denetlenir: şifreyi bilen ama kodu olmayan kişi hiçbir veriye ulaşamaz. Telefon kaybına karşı tek kullanımlık kurtarma kodları verilir; art arda hatalı kod hesabı geçici olarak kilitler.
- Şirketiniz iki adımlı doğrulamayı şifreyle girenlere ya da herkese zorunlu kılabilir; kurmamış çalışana bir sonraki girişinde kurulum ekranı açılır. Bir cihazın kaç gün hatırlanacağını (ya da hiç hatırlanmayacağını) siz belirlersiniz.
- Google hesabıyla girenlerde Google'ın kendi iki adımlı doğrulaması da geçerlidir; isterseniz bizim kodumuzu onlara da zorunlu kılarsınız.
- Yönetici; aktif oturumları, giriş geçmişini ve şüpheli girişleri görür, bir oturumu uzaktan kapatabilir.
Denetim izi
- Her değişiklik kaydedilir: eski değer, yeni değer, kim, ne zaman. Geçmiş kaydın ekranından okunur.
- Kayıtlar fiziksel olarak silinmez, pasife alınır; denetimde geri okunur.
- Muhasebe fişleri yazıldıktan sonra değiştirilemez; düzeltme ters kayıtla yapılır.
- Kişisel verilere kimin ne zaman eriştiği ayrıca KVKK erişim kayıtlarında tutulur.
Bizim erişimimiz
- Destek ekibimiz hesabınıza yalnız destek gerektiğinde girer: süreli ve gerekçeli bir oturumla.
- Her destek oturumu kim, kimin adına, hangi gerekçeyle ve ne kadar süre bilgisiyle kayıt altına alınır; istediğinizde size sunulur.
- Verinizi satmayız, reklam için kullanmayız, yapay zekâ modeli eğitmek için kullanmayız.
Şifreleme
- Bütün bağlantılar şifrelidir (HTTPS / TLS).
- Veritabanı ve dosyalar Google Cloud'un varsayılan disk şifrelemesiyle saklanır.
- Şifre Merkezi'ndeki kayıtlar (servis şifreleri, iki adımlı doğrulama anahtarları) ayrıca uygulama düzeyinde şifrelenir.
- Kart bilgisi sunucularımıza hiç gelmez.
Yedekleme ve süreklilik
- Veritabanı Google Cloud'un yönetilen veritabanı hizmetinde (Cloud SQL) çalışır.
- Planlı bakımlar ürünün içinde duyuruyla önceden bildirilir.
- Kayıt silinmediği için yanlışlıkla pasife alınan kayıt geri getirilir.
Ödeme güvenliği
- Abonelik ödemesi lisanslı ödeme kuruluşu iyzico üzerinden alınır; kart bilgisi yalnız onun güvenli formunda girilir ve onun sistemlerinde saklanır.
- Biz kart numarasını hiçbir zaman görmeyiz ve saklamayız.
Yapay zekâ
- Yapay zekâ özellikleri yalnız kullanıldığında, yalnız o iş için gereken içeriği model sağlayıcısına gönderir.
- Yanıt kullanıcının yetkisindeki veriden üretilir; yetkisi olmadığı kaydı yapay zekâ da göremez.
- Model öneri yapar, kaydı insan onaylar. İçeriğiniz model eğitiminde kullanılmaz.
KVKK
Ürün, kendi KVKK yükümlülüklerinizi yerine getirmeniz için araçlarla gelir:
- Veri envanteri, veri sahibi başvuruları ve KVKK erişim kayıtları ekranları.
- Saklama politikaları ve süresi dolan kişisel verinin imha onay kuyruğu.
Bizimle ilişkiniz Veri İşleme Sözleşmesi ile düzenlenir. Ayrıca bkz. KVKK Aydınlatma Metni ve Gizlilik Politikası.
Sertifikalar
- Altyapımız Google Cloud'dadır; Google Cloud'un veri merkezleri ISO 27001, ISO 27017, ISO 27018 ve SOC 2 sertifikalıdır.
- Zenoheld'in kendisi için henüz bağımsız denetimli bir sertifikamız yok. Bu sayfadaki her madde ürünün bugün yaptığıdır.
Güvenlik açığı bildirimi
Bir güvenlik açığı bulduğunuzu düşünüyorsanız [Güvenlik açığı bildirimi e-postası] adresine yazın. Bildiriminizi 3 iş günü içinde teyit eder, giderilene kadar sizi bilgilendiririz. Açık giderilmeden kamuya duyurmamanızı ve başka müşterilerin verisine erişmemenizi rica ederiz.