Güvenlik ve uyum

Verileriniz nerede, nasıl korunuyor?

Veri konumu, şifreleme, kimlik doğrulama, yedekleme, KVKK ve alt işleyiciler: satın alma ve BT ekiplerinin sorduğu her şeyin kaynak koddan doğrulanmış yanıtı.

Güvenlik ekibimize yazın →KVKK Aydınlatma Metni

Veri konumu ve kurulum seçenekleri

Bulut hizmetinde veriler Türkiye’de barındırılır; verinin kurumunuzdan hiç çıkmamasını isterseniz aynı yazılım kendi sunucularınıza kurulur.

  • Türkiye’de barındırma

    Bulut hizmetindeki veriler İstanbul’daki veri merkezinde barındırılan sunucularda, şifreli disklerde tutulur.

  • Kurum içi kurulum

    Aynı yazılım kurumun kendi sunucularına kurulur; İSTAÇ ve PTT KULE bu şekilde çalışır. Kurum içi kurulum ayrı ya da eksik bir sürüm değildir.

  • Şirket bazında izolasyon

    Her kurumun verisi diğerlerinden ayrılır; filtre uygulama katmanında her sorguya kendiliğinden uygulanır. Tek hesapla birden çok kurumda çalışan kişilerde de her kurum yalnızca kendi verisini görür.

Şifreleme

Aktarımda TLS; sunucuda mesajlar, gizli platform ayarları ve yedekler şifrelenir.

  • Aktarımda TLS

    Web, mobil ve API trafiği TLS üzerinden taşınır; HTTPS isteklerinde HSTS başlığı gönderilir. Bildirim e-postaları TLS’li SMTP ile iletilir.

  • Mesajlar sunucuda şifreli

    Kurum içi mesajlar aktarımda TLS ile, sunucuda AES-256-GCM ile şifrelenir ve yalnızca konuşmanın iki tarafınca okunabilir. Uçtan uca şifreleme değildir; anahtar sunucuda, kurum içi kurulumda kurumun kendi sunucusunda tutulur.

  • Gizli ayarlar şifreli

    SMTP parolası ve bildirim servis hesabı gibi gizli platform ayarları veritabanında AES-256-GCM ile, mesajlardan ayrı bir anahtarla şifrelenir.

  • Parolalar hash’lenir

    Parolalar düz metin saklanmaz; PBKDF2-HMAC-SHA512 (100.000 tur) ile hash’lenir. API anahtarlarının yalnızca SHA-256 hash’i tutulur.

Kimlik doğrulama ve yetki

İzin bazlı yetki, kapsamlı roller, kısa ömürlü oturum anahtarları ve kurum yöneticisinin elindeki hesap kontrolü.

  • İzin bazlı yetki ve kapsamlar

    Her uç nokta bir izinle korunur; rol → izin eşlemesi kurum tarafından yönetilir. İzinler kendi kaydı, ekip, departman ya da tüm şirket kapsamıyla verilir. İzin değişiklikleri anında etkili olur.

  • Oturumlar

    Erişim anahtarı 15 dakika geçerlidir; yanında hash’lenerek saklanan ve her kullanımda yenilenen bir yenileme anahtarı bulunur, yeniden kullanım tespit edilir. Kullanıcı açık oturumlarını görür ve istediğini ya da tümünü sonlandırır.

  • Parola kuralları ve kilit

    Parola en az 8 karakterdir. Beş başarısız girişten sonra hesap kademeli olarak kilitlenir; giriş ve parola sıfırlama uçlarında hız sınırı vardır. Parola sıfırlama e-postadaki tek kullanımlık kodla yapılır.

  • Çoklu kurum ve ana kurum

    Bir kişi tek hesapla birden çok kurumda çalışabilir. Profil ve kişisel İK kayıtlarını yalnızca çalıştığı ana kurum yönetir; diğer kurumlar bunları salt okunur görür.

  • Entegrasyon anahtarları

    Entegrasyonlar için ayrı hesap ve API anahtarı tanımlanır; anahtar yalnızca kendisine verilen rolün izinleriyle çalışır ve istenirse iptal edilir.

  • Denetim kaydı

    Giriş, kilitlenme ve başkası adına yapılan entegrasyon işlemleri denetim kaydına yazılır; görevlerdeki değişikliklerin geçmişi görev içinde tutulur.

Yedekleme ve süreklilik

Veritabanı ve dosyalar düzenli olarak şifreli yedeklenir, yedekler geri yüklenerek doğrulanır.

  • Günlük şifreli yedek

    Veritabanı ve dosya deposu günlük olarak yedeklenir; yedekler şifrelenir ve saklama süresi dolanlar silinir.

  • Geri yükleyerek doğrulama

    Yedek, şifrelenmeden önce geçici bir veritabanına açılarak doğrulanır; dosya yedeğinde bütünlük ve dosya sayısı kontrol edilir.

  • Sürüm geçişlerinde yedek

    Her şema değişikliğinden önce otomatik yedek alınır; sağlık kontrolleri servislerin durumunu sürekli izler.

KVKK ve kişisel veriler

Kurum veri sorumlusu, Sotech veri işleyendir. Hesap silme süreci ve çerez tercihleri aydınlatma metninde açıkça tanımlıdır.

  • Veri sorumlusu ve veri işleyen

    Kurum çalışanlarına ait verilerde veri sorumlusu kurumdur; Sotech, kurumun talimatıyla hareket eden veri işleyendir.

  • Hesap silme ve anonimleştirme

    Hesapları kurumlar açar ve kapatır. Silme talebinde yönetici hesabı anonimleştirir: kişisel bilgiler temizlenir, ad “Silinmiş kullanıcı” olur, tüm kurumlardaki erişim kapanır; iş kayıtları kurumun yasal kaydı olarak kalır.

  • Çerezler ve analitik

    Web uygulaması yalnızca oturum için zorunlu çerez kullanır. Tanıtım sitesinde Google Analytics yalnızca açık rızayla yüklenir, reklam sinyalleri kapalıdır ve tercih istendiğinde değiştirilir.

  • Yapay zekâ ve veri gizliliği

    Görev oluşturma asistanı açık kaynak lisanslı bir modelle çalışır: bulutta Sotech’in kendi sunucularında, kurum içi kurulumda kurumun sunucusunda. Görev verisi üçüncü taraf yapay zekâ hizmetlerine gönderilmez, istemler ve model çıktıları kaydedilmez; model yalnızca isteği yapan kullanıcının zaten erişebildiği görevleri görür. Öneriler otomatik kaydedilmez.

ISO 27001 ve kurumsal güvence

HibritİK’i geliştiren Sotech Bilgi Teknolojileri ISO 27001 Bilgi Güvenliği Yönetim Sistemi sertifikasına sahiptir.

  • ISO 27001

    Bilgi Güvenliği Yönetim Sistemi sertifikası; süreçler denetime tabi kurumlarla çalışmaya göre tasarlanmıştır.

  • SPICE ve kamu yetki belgeleri

    SPICE (ISO/IEC 15504) yazılım süreç kalitesi; Kamu Bilişim ve Yazılım Yetki Belgeleri.

  • Güvenlik incelemesi

    Canlıya geçiş öncesinde HTTP güvenlik başlıkları, bağımlılık açıkları, kimlik doğrulama, yetkilendirme ve dosya yükleme yüzeyi OWASP başlıklarına göre incelenmiş; bağımlılıklar güvenlik güncellemeleriyle sürdürülmektedir.

Güvenlik soru formu için özet

Tedarik ve bilgi güvenliği ekiplerinin formlarında en sık geçen soruların kısa yanıtları. Kurumunuza özgü sorular için bize yazın.

SoruHibritİK
Veri nerede barındırılır?Bulut: Türkiye, İstanbul. Alternatif: kurumun kendi sunucuları (kurum içi kurulum).
Aktarımda şifrelemeTLS; HTTPS’te HSTS.
Saklamada şifrelemeŞifreli diskler; mesajlar ve gizli platform ayarları AES-256-GCM; yedekler şifreli.
Kiracı izolasyonuŞirket bazında; filtre uygulama katmanında her sorguya otomatik uygulanır.
Yetkilendirme modeliİzin bazlı; rol → izin eşlemesi kurumda; kapsamlar: kendi kaydı / ekip / departman / şirket.
Parola politikasıEn az 8 karakter; PBKDF2-HMAC-SHA512 hash; 5 başarısız girişte kademeli kilit.
Oturum yönetimi15 dk erişim anahtarı; her kullanımda dönen, hash’lenmiş yenileme anahtarı; kullanıcı oturumları görür ve sonlandırır.
YedeklemeGünlük, şifreli, geri yükleyerek doğrulanan veritabanı ve dosya yedekleri.
Denetim kaydıKimlik olayları denetim kaydında; görev değişiklik geçmişi görev içinde.
Alt işleyicilerBarındırma (İstanbul), Google Firebase ve Apple bildirim servisleri; tanıtım sitesinde rızaya bağlı Google Analytics.
Yapay zekâKendi sunucularda açık model (kurum içi kurulumda kurumun sunucusunda); veri üçüncü taraf yapay zekâ hizmetlerine gönderilmez, istemler kaydedilmez.
SertifikaSotech Bilgi Teknolojileri: ISO 27001.
Hesap silmeKurum yöneticisi anonimleştirir; kişisel bilgiler temizlenir, iş kayıtları kurumda kalır.

Alt işleyiciler

Kişisel veriye dokunan üçüncü taraf hizmetler, yalnızca gerekli olduğu ölçüde. Ayrıntılar KVKK Aydınlatma Metni’nde.

HizmetAmaçKonumKapsam
Barındırma ve altyapı sağlayıcılarıBulut sunucu, e-posta gönderimiTürkiye (İstanbul)Bulut hizmeti
Google Firebase (Cloud Messaging, Crashlytics)Mobil bildirimlerin iletilmesi, uygulama hatalarının giderilmesiYurt dışıMobil uygulamalar
Apple Push Notification ServiceiOS bildirimlerinin iletilmesiYurt dışıiOS uygulaması
Google Analytics 4Tanıtım sitesi kullanım ölçümü; yalnızca açık rızaylaABDhibritik.com
Cloudflare Web AnalyticsTanıtım sitesinin sayfa hızı ve trafik özeti; çerezsizYurt dışıhibritik.com

KVKK Aydınlatma Metni →|Kullanıcı Sözleşmesi →

Sık sorulan sorular

Mesajlar uçtan uca şifreli mi?

Mesajlar aktarımda TLS ile, sunucuda ise AES-256-GCM ile şifrelenir ve yalnızca konuşmanın iki tarafı tarafından okunabilir; yönetici dahil başka hiçbir kullanıcı erişemez. Uçtan uca şifreleme değildir: şifreleme anahtarı sunucuda tutulur; bu sayede mesaj arşivi yedeklenebilir ve kurum içi kurulumda anahtar tamamen kurumun kendi sunucusunda kalır.

Güvenlik soru formumuzu doldurabilir misiniz?

Evet. Bu sayfadaki özet tablo çoğu soruyu yanıtlar; kurumunuza özgü formlar için [email protected] adresine yazın.

Kurum içi kurulumda yedekleme kimin sorumluluğunda?

Kurum içi kurulumda sunucular, TLS ve yedekler kurumun BT ekibindedir; HibritİK şifreli ve doğrulanabilir yedek alan betikleri ve kurulum rehberini birlikte teslim eder.

Ayrılan çalışanın verisini nasıl sileriz?

Kurum yöneticisi hesabı anonimleştirir: ad, iletişim bilgileri ve fotoğraf temizlenir, hesapla giriş yapılamaz. Görev ve faaliyet kayıtları kurumun yasal kaydı olarak “Silinmiş kullanıcı” adıyla kalır.

İlgili sayfalar

Güvenlik ve KVKKTürkiye’de barındırılan veri, şirket bazında tam izolasyon, kapsamlı yetkilendirme ve şifreli yedekler.Bulut ve Kurum İçi KurulumHibritİK’i bulutta hemen kullanmaya başlayın ya da aynı yazılımı kendi sunucularınıza kurun.

Şirketinizi dijitalleştirmeye bugün başlayın

14 gün ücretsiz deneyin; tüm modüller açık.

14 Gün Ücretsiz Dene →Bizimle İletişime Geçin