1. Güvenlik yaklaşımımız
Perky, kimlik ve statü doğrulama süreçlerinde güvenliği ürünün temel bir parçası olarak ele alır. Kontroller; işlenen verinin niteliği, erişim modeli ve ortaya çıkabilecek riskle orantılı biçimde tasarlanır.
Temel ilkelerimiz; veri minimizasyonu, en az yetki, katmanlı koruma, güvenli varsayılanlar, izlenebilirlik ve kişisel verilerin yaşam döngüsü boyunca korunmasıdır.
2. Veri koruma ve minimizasyon
- Doğrulama için yalnızca ilgili kriterin gerektirdiği veri alanları istenir.
- Kimlik numarası ve belge barkodu gibi hassas tanımlayıcılar kullanıcı arayüzlerinde ve özet işlem kayıtlarında maskelenir.
- Client secret, erişim belirteci ve benzeri gizli alanlar denetim kayıtlarında karartılır.
- Aktarım sırasında güncel şifreli iletişim protokolleri kullanılması zorunludur.
- Veri saklama ve erişim kuralları, iş amacı ve yasal yükümlülüklerle sınırlandırılır.
Doğrulama verilerinin ayrıntılı işlenişi için Gizlilik ve KVKK Aydınlatma Metni geçerlidir.
3. Erişim ve kimlik doğrulama
API ve yönetim yüzeylerine erişim kimliği doğrulanmış hesaplarla sınırlandırılır. Müşteri yetkileri hesap ve kullanım kapsamına göre ayrıştırılır; yönetim erişimleri iş gereksinimine göre verilir.
Riskli istekleri azaltmak amacıyla hız sınırlama, oturum koruması, erişim anahtarı yenileme ve benzeri kontroller uygulanabilir. Gizli erişim bilgilerinin ömrü ve kapsamı mümkün olan en düşük seviyede tutulur.
4. Güvenlik kayıtları ve izleme
Hizmetin güvenliğini, bütünlüğünü ve hesap verebilirliğini sağlamak için istek kimliği, zaman, durum, müşteri, işlem süresi, IP adresi ve kullanıcı aracısı gibi teknik bilgiler kaydedilebilir. Kayıtlar yetkisiz erişim, hata, kötüye kullanım ve olay incelemesi amacıyla kullanılır.
Özet işlem kayıtlarında kimlik numarası ve belge barkodu maskelenir; bearer token, client secret ve benzeri kimlik doğrulama bilgileri karartılır. Doğrulamanın yürütülmesi ve denetlenmesi için gerekli ayrıntılı kayıtlara erişim, görevi gereği yetkili kişilerle sınırlandırılır.
5. Güvenli geliştirme ve değişiklik yönetimi
- Kod ve yapılandırma değişiklikleri yayımlanmadan önce gözden geçirilir ve riskle orantılı testlerden geçirilir.
- Gizli bilgiler kaynak koddan ve herkese açık istemci uygulamalarından ayrı tutulur.
- Bağımlılık ve altyapı güncellemeleri güvenlik etkileri gözetilerek planlanır.
- Üretim erişimi ve değişiklikleri yetkilendirme, kayıt ve gerektiğinde geri dönüş kontrollerine tabidir.
- Tespit edilen güvenlik bulguları önem ve etkiye göre önceliklendirilir.
6. Müşterilerin güvenlik sorumlulukları
Perky müşterileri:
- API kimlik bilgilerini sunucu tarafında ve güvenli bir sır yönetimi yöntemiyle saklamalı,
- client secret veya erişim belirtecini tarayıcı koduna, mobil uygulama paketine, ekran görüntüsüne ya da destek kaydına eklememeli,
- yalnızca HTTPS üzerinden bağlantı kurmalı ve sertifika doğrulamasını devre dışı bırakmamalı,
- çalışan erişimlerini düzenli gözden geçirmeli, kullanılmayan hesap ve anahtarları iptal etmeli,
- doğrulama sonuçlarını kendi sistemlerinde de amaçla sınırlı ve güvenli biçimde saklamalı,
- şüpheli erişimi gecikmeden Perky’ye bildirmelidir.
7. Güvenlik açığı bildirimi
Perky’de olası bir güvenlik açığı tespit ettiyseniz [email protected] adresine “Perky Güvenlik Bildirimi” konusuyla iletebilirsiniz.
Bildirime mümkünse şu bilgileri ekleyin:
- Etkilenen sayfa, uç nokta veya bileşen,
- bulgunun olası etkisi ve yeniden üretim adımları,
- kişisel veri veya erişim anahtarı içermeyen örnek kanıt,
- sizinle güvenli şekilde iletişim kurabileceğimiz kanal.
Lütfen gerçek kişilere ait T.C. kimlik numarası, barkod, parola, client secret veya bearer token göndermeyin. Test sırasında verileri değiştirmeyin, silmeyin, erişilebilirliği bozmayın ve üçüncü kişilerin hesaplarına erişmeyin.
Bildirimi doğrulayıp etkisini değerlendirmeye ve uygun düzeltme sürecini başlatmaya çalışırız. İnceleme tamamlanmadan bulgunun veya hassas ayrıntıların kamuya açıklanmamasını rica ederiz.
8. Güvenlik olayı yönetimi
Bir güvenlik olayı şüphesinde kapsam belirleme, sınırlama, düzeltme ve geri kazanım adımları uygulanır. Kişisel verileri etkileyen olaylarda veri sorumlusu/veri işleyen rolleri, sözleşmeler ve yürürlükteki mevzuata göre ilgili taraflarla ve yetkili makamlarla iletişim kurulur.
9. Bu politikanın sınırı
Bu sayfa, Perky’nin kamuya açık güvenlik yaklaşımını özetler; belirli bir sertifika, kesintisiz hizmet, belirli bir müdahale süresi veya mutlak güvenlik garantisi vermez. Müşteriye özel güvenlik, denetim ve hizmet seviyesi taahhütleri varsa ilgili yazılı sözleşmede yer alır.