1. Kapsam
Bu Güvenlik özeti şirket genelinde geçerlidir. Kamuya açık web sitemizi, işlettiğimiz veya geliştirdiğimiz her platformu (bugün üretimde Hublinkly ve Clavix 360°, geliştirme aşamasında Ara), müşteriler için teslim ettiğimiz ve barındırdığımız sistem ve web sitelerini ve ekibimizin bu hizmetleri kurup çalıştırmak için kullandığı iç araçları kapsar. Yeni ürünler ekledikçe veya yeni müşteri işleri üstlendikçe aynı uygulama ve ilkeler varsayılan olarak geçerlidir.
2. Veri şifreleme
Şifrelemeyi bir yükseltme değil, temel kabul ederiz.
- Aktarımda: işlettiğimiz her genel uç nokta, modern TLS ile HTTPS üzerinden sunulur. HTTP trafiği HTTPS'e yönlendirilir ve tarayıcıların sonraki ziyaretlerde düşürmeyi reddetmesi için uygun gördüğümüz yerlerde HSTS kullanırız.
- Beklerken: yönetilen veritabanlarımızda, nesne depolamamızda ve yedeklerimizde tutulan veri, alttaki sağlayıcının şifreleme yetenekleriyle beklerken şifrelenir. Şifreleme anahtarları, güncel sektör standartlarına uygun olarak sağlayıcı tarafından yönetilir.
- İç trafik: servisler arası iletişim, sağlayıcının sunduğu her yerde şifreli kanallar üzerinden yürür.
3. Kimlik doğrulama ve erişim denetimi
Her sistemi, onu kullanan hesaplar ve kişiler için varsayılan olarak güvenli olacak şekilde tasarlarız.
- Kullanıcı kimlik doğrulaması: parolalar hiçbir zaman düz metin olarak saklanmaz. Güçlü ve modern algoritmalarla (örneğin bcrypt, Argon2 ya da saygın bir kimlik sağlayıcısının parola deposu) hash'lenir.
- Oturum güvenliği: oturumlar güvenli, yalnızca HTTP üzerinden erişilebilen çerezlere bağlanır ve makul bir süre sonunda sona erer. Hassas akışlarda kullanıcı uygun görüldüğünde yeniden doğrulanır.
- Rol tabanlı erişim (RBAC): bir platformun farklı türde kullanıcıları olduğunda (yöneticiler, üyeler, müşteriler), yetkiler kişiye özel istisnalarla değil rollere göre modellenir.
- İçeride en az yetki: ekibimiz yalnızca işini yapmak için gereken erişime sahiptir. Üretim erişimi küçük bir gruba sınırlıdır, güçlü kimlik doğrulamayla denetlenir ve hesap verebilirlik için loglanır.
- Sır yönetimi: API anahtarları, veritabanı kimlik bilgileri ve jetonlar; yönetilen sır depolarında ya da platform ortam değişkenlerinde tutulur — asla sürüm kontrolünde değil.
4. Altyapı
Platformlarımızı köklü sağlayıcılar tarafından işletilen modern ve saygın bulut altyapısında barındırırız. Üretim ortamları geliştirme ve hazırlık ortamlarından ayrılmıştır. Birden fazla müşteri sistemi işlettiğimizde, her müşterinin üretim ortamı mantıksal olarak izole edilir — ayrı veritabanları veya şemalar, ayrı depolama kovaları, ayrı kimlik bilgileri — böylece bir müşterinin verisi bir diğerininkiyle karışmaz. Alt katmandaki sağlayıcılarımız, kendi yayımlanmış dokümantasyonlarında açıklanan fiziksel güvenlik ve platform güvenliği programları yürütür.
5. Yedekler ve güvenilirlik
Sizin adınıza barındırdığımız hizmetlerde, kabul görmüş sektör uygulamalarına uygun olarak rutin yedekler ve platform düzeyinde yedeklilik işletiriz.
- yönetilen veritabanı yedekleri düzenli bir programla alınır ve hizmet seviyesine uygun bir süre boyunca saklanır;
- nesne depolama, dayanıklılık için sağlayıcı tarafından çoğaltılır;
- uygulama sürümleri versiyonlanır; böylece bir sürüm beklenmedik davranırsa hızla geri alabiliriz;
- önemli altyapı değişiklikleri yaptığımızda geri yükleme prosedürleri denenir.
Belirli yedekleme sıklığı, saklama pencereleri ve kurtarma hedefleri bireysel müşteri sözleşmelerinde daha sıkı hale getirilebilir.
6. İzleme ve tehdit koruması
İşlettiğimiz platformları izler ve yaygın tehditlere karşı standart korumaları uygularız.
- Ağ ve uç: üst katman sağlayıcılar DDoS azaltma ve uç filtreleme işletir. Bu yeteneklere dayanır ve üzerine uygulama katmanı denetimleri yapılandırırız.
- Kötüye kullanım denetimleri: açık uç noktalar her alanı sunucu tarafında sabit izin listelerine göre doğrular, gizli bot tuzağı alanları içerir ve danışmanlık talepleri ekibimize ulaşmadan önce e-postayla gönderilen doğrulama bağlantısıyla onaylanmalıdır.
- Güvenlik başlıkları: yanıtlar, uygulama başına ayarlanmış makul güvenlik başlıkları içerir (Content-Security-Policy, X-Content-Type-Options, Referrer-Policy ve benzerleri).
- Kayıt tutma ve gözden geçirme: uygulama ve altyapı olayları hesap verebilirlik ve olay incelemesi için loglanır; şüpheli etkinlik tespit edildiğinde veya bildirildiğinde gözden geçirilir.
- Bağımlılık hijyeni: uygulama bağımlılıklarını yayımlanan zafiyetler açısından izler ve güvenlik güncellemelerini makul bir takvimle, kritik konularda hızlandırarak uygularız.
7. Ödemeler
İşlettiğimiz bir hizmet ödeme almayı içerdiğinde, bu ödemeler bu alanda uzmanlaşmış ve PCI-DSS gibi sektör standartlarına göre denetlenen saygın üçüncü taraf ödeme sağlayıcıları tarafından işlenir. HublinkTech, tam ödeme kartı numaralarını, CVV kodlarını veya eşdeğer ham kart verisini kendi sistemlerinde saklamaz. İşlemleri mutabık kılmak ve destek taleplerini karşılamak için sınırlı ödeme referans verisi (örneğin bir yetkilendirme kimliği, kartın son dört hanesi veya fatura durumu) tutabiliriz.
8. Veri gizliliği ve uyum
Gizliliği ve güvenliği aynı disiplinin iki yüzü olarak görürüz. İşlediğimiz kişisel veriler; şeffaflık, amaçla sınırlılık, veri minimizasyonu, saklamada sınırlılık ve hesap verebilirlik dahil olmak üzere AB Genel Veri Koruma Tüzüğü (GDPR), Birleşik Krallık GDPR'ı ve benzeri düzenlemelerin ilkelerine uygun biçimde işlenir.
Hukuki ayrıntı için bkz. Gizlilik Politikamız (web sitesi ziyaretçilerinin, potansiyel müşterilerin ve müşterilerin kişisel verilerini nasıl işlediğimiz) ve Veri İşleme ve GDPR bildirimimiz (roller, alt işleyenler, uluslararası aktarımlar ve veri sahibi hakları).
9. Zafiyet yönetimi ve güncellemeler
Uygulamalarımızı, kütüphanelerimizi ve platform imajlarımızı desteklenen ve güncel sürümlerde tutarız. Üst katman geliştiricilerden gelen güvenlik duyuruları yayımlandığında incelenir ve riske dayalı bir takvimle ele alınır — kritik konular özellik çalışmasının önüne geçer. Bir düzeltmenin müşteriler açısından kırıcı bir değişiklik gerektirdiği durumlarda yükseltmeyi koordine eder ve değişikliği bildiririz.
10. Sorumlu açıklama
Bir HublinkTech platformunda, işlettiğimiz bir web sitesinde ya da bu sitede bir güvenlik zafiyeti bulduğunuzu düşünüyorsanız lütfen bize şu adresten bildirin: [email protected]. Bildiriminizde yararlı olacak ayrıntılar:
- etkilenen URL, uygulama veya uç nokta;
- sorunun açıklaması ve mümkünse yeniden üretme adımları;
- anladığınız veya şüphelendiğiniz etki;
- geri dönüş yapabilmemiz için iletişim bilgileriniz.
Araştırmacılardan iyi niyetle hareket etmelerini rica ediyoruz — diğer kullanıcılar için hizmeti bozmaktan kaçının, sorunu göstermek için gerekenden fazla veriye erişmeyin ve kamuya açıklamadan önce bize incelemek ve gidermek için makul süre tanıyın. Meşru bildirimleri hızla teyit eder ve süreç boyunca sizi bilgilendiririz.
11. Olay müdahalesi
Tuttuğumuz veriyi etkileyen bir güvenlik olayından haberdar olursak, gecikmeksizin inceler, sınırlamak ve gidermek için makul adımları atar ve bildirimin gerekli ya da uygun olduğu hallerde etkilenenleri bilgilendiririz. Kişisel veriler için ihlal bildirimi taahhütlerimiz şurada yer alır: Veri İşleme ve GDPR bildirimimizin.
12. Sürekli iyileştirme ve sertifikasyonlar
Güvenliği tek seferlik bir damga değil, sürekli bir disiplin olarak görürüz. sahip değiliz şu anda ISO 27001 veya SOC 2 Type II gibi resmî bilgi güvenliği sertifikalarına sahip değiliz. HublinkTech büyüdükçe ve operasyonlarımızın kapsamı gerektirdikçe, müşterilerimizin ihtiyacına uyan resmî sertifikasyonları almayı değerlendirebiliriz. Bu arada bugün ne yaptığımız konusunda şeffafız (yukarıda açıklandığı gibi), çalışmalarımız boyunca yerleşik sektör uygulamalarını uygularız ve müşterilerimizin işe alıştırma sırasında ve sözleşme yenilemelerinde soru sormasını ya da bağımsız inceleme yapmasını memnuniyetle karşılarız.
13. Paylaşılan sorumluluk
Güçlü güvenlik paylaşılan bir sorumluluktur. Müşterilerimizden ve platform kullanıcılarından hesap bilgilerini güvende tutmalarını, güçlü ve benzersiz parolalar (ve sunulduğu yerlerde çok faktörlü kimlik doğrulama) kullanmalarını, bir olay sırasında doğru kişilere ulaşabilmemiz için iletişim bilgilerini güncel tutmalarını ve şüpheli her şeyi derhal bildirmelerini rica ediyoruz. Bir sistemi barındırdığımız veya işlettiğimiz müşteri işlerinde, o işe özgü güvenlik taahhütleri ilgili sözleşmede belirlenir.
14. Bu sayfadaki değişiklikler
Bu Güvenlik özetini; yeni araçları, yeni sağlayıcıları veya gelişen uygulamaları yansıtmak için zaman zaman güncelleyebiliriz. Bu sayfanın başındaki “Son güncelleme” tarihi en son revizyonu gösterir. Esaslı değişiklikler makul araçlarla bildirilir.
15. Uygulanacak hukuk
Bu Güvenlik özeti Türkiye Cumhuriyeti hukukuna tabidir. Bundan doğan her türlü uyuşmazlıkta İstanbul Mahkemeleri ve İcra Daireleri münhasıran yetkilidir.
16. Bize ulaşın
Güvenlik soruları, bir zafiyeti bildirmek ya da yukarıda açıklanan herhangi bir uygulama hakkında daha fazla ayrıntı istemek için şu adrese yazın: [email protected] ya da şu sayfamızı ziyaret edin: iletişim sayfası. HublinkTech, İstanbul Ticaret Sicili'ne kayıtlı bir limited şirket olan Hublinkly Ai Yazılım ve Teknoloji Limited Şirketi'nin ticari adıdır; kayıtlı adresi Abide-i Hürriyet Cd. No:211, Bolkan Center No.2, Şişli, 34381 İstanbul, Türkiye'dir.
Bu şartlar birden fazla dilde yayımlanmaktadır. Bir çevirinin İngilizce sürümle çelişmesi halinde İngilizce sürüm esas alınır.