Güvenlik Tedbirleri

Bu sayfa, PPS — Practical Programming Systems tarafından PPS ERP'deki kişisel verileri korumak için GDPR md. 32 ve KVKK md. 12 uyarınca uygulanan teknik ve idari tedbirleri açıklar. Veri İşleme Sözleşmemizin Ek 2'sini oluşturur. Tedbirleri düzenli olarak gözden geçirir ve yeni risklere göre uyarlarız; genel koruma seviyesini düşürmeyiz.

• Platform, profesyonel bir bulut sağlayıcısında European Union (EU/EEA) bölgesinde barındırılır; veri merkezlerinin fiziksel güvenliği bu sağlayıcı ve sertifikalı tesisleri tarafından sağlanır.
• Trafik, DDoS önleme ve bot koruması sunan bir ağ sağlayıcısı üzerinden geçer.
• Üretim ve geliştirme ortamları ayrıdır; ayrı veritabanları ve erişim bilgileri kullanılır.

• Her müşteri çalışma alanının kendine ait ayrı bir veritabanı şeması vardır.
• Bir isteğin hangi çalışma alanına erişebileceği, tarayıcının değiştiremeyeceği kriptografik olarak imzalı bir erişim belirtecinden belirlenir ve veriler okunmadan önce bağımsız olarak yeniden kontrol edilir.
• Yüklenen dosyalar her çalışma alanı için ayrı bir yolda saklanır ve yalnızca kısa ömürlü imzalı bağlantılarla erişilebilir.

• Tüm bağlantılar TLS (HTTPS) kullanır; HTTP Strict Transport Security zorunludur.
• Bağlı entegrasyonların (pazaryerleri, ödeme ve e-posta sağlayıcıları) erişim bilgileri saklanmadan önce uygulama seviyesinde şifrelenir ve API tarafından asla geri döndürülmez.
• Şifreler yalnızca tuzlanmış Argon2 özetleri olarak saklanır.

• Modül bazında yetkiler ve mağaza ile depolar için lokasyon bazında yetkiler içeren rol tabanlı erişim kontrolü.
• Kimlik numarası ve banka hesap numarası gibi hassas kişisel alanlar, kullanıcı açık bir yetkiye sahip değilse maskelenir.
• Yöneticiler kullanıcıları ve rolleri yönetir; devre dışı bırakılan kullanıcılar erişimlerini hemen kaybeder.
• PPS platform personeli kendi kimlikleriyle ayrı bir yönetim sistemi kullanır; her işlem kayıt altına alınır.

• Kimlik doğrulama uygulamasıyla iki adımlı doğrulama (tek kullanımlık kurtarma kodlarıyla) tüm kullanıcılar ve PPS platform personeli için kullanılabilir.
• İlk girişten önce e-posta doğrulaması zorunludur.
• Tekrarlanan başarısız giriş denemelerinden sonra hesaplar geçici olarak kilitlenir; giriş, kayıt ve doğrulama uç noktalarında istek sınırlaması vardır.
• Kısa ömürlü erişim belirteçleri (30 dakika) ve dönüşümlü yenileme belirteçleri; iptal edilen belirteçler yeniden kullanılamaz.
• Oturumlar belirli bir hareketsizlik süresinden sonra otomatik olarak sona erer.
• Herkese açık kayıt formunda bot koruması.

• Destek personeli bir çalışma alanına yalnızca müşteri destek erişimini etkinleştirmişse girebilir.
• Her oturum belgelenmiş bir gerekçe gerektirir, tek kullanımlık bir belirteç kullanır, en fazla 15 dakika sürer, uzatılamaz ve kullanıcılara bant olarak gösterilir.
• Her destek oturumu müşterinin denetim kaydına işlenir.

• Güvenlikle ilgili işlemler — girişler, başarısız girişler, kullanıcı ve rol değişiklikleri, İK ve bordro değişiklikleri, dışa aktarımlar, destek oturumları — müşteri yöneticilerinin erişebildiği bir denetim kaydında tutulur.
• Hassas alanların değerleri (kimlik numaraları, banka bilgileri, maaşlar) denetim kayıtlarında maskelenir.
• Denetim kayıtları ve onay kaydı veritabanı seviyesinde yalnızca eklemeye açıktır: uygulama kodu bunları değiştiremez veya silemez, yalnızca saklama süresi süreci temizler.
• Alıcılara ait kişisel veriler ve gizli bilgiler, pazaryeri entegrasyonlarının teknik kayıtları saklanmadan önce bu kayıtlardan çıkarılır.
• Saklama süreleri otomatik olarak uygulanır; teknik kayıtlar kısa ve sabit sürelerden sonra silinir.

• Dönüşümlü saklama süresine sahip yönetilen veritabanı yedekleri.
• Arka plan işleri yeniden deneme özellikli kuyruklarda çalışır; geçici arızalar veri kaybına yol açmaz.
• Müşteriler verilerini istedikleri zaman dışa aktarabilir.

• Değişiklikler yayına alınmadan önce incelenir ve test edilir; otomatik testler stok, satış, faturalandırma ve müşteri ayrımı gibi kritik süreçleri kapsar.
• Veritabanı değişiklikleri sürümlenmiş geçişlerle uygulanır.
• Üçüncü taraf bileşenler güncel tutulur ve bilinen güvenlik açıklarına karşı izlenir.

• Üretim sistemlerine erişim yalnızca ihtiyacı olan kişilerle sınırlıdır ve güçlü kimlik doğrulama ile korunur.
• Kişisel verilere erişimi olan herkes gizlilik yükümlülüğü altındadır.
• Alt işleyenler özenle seçilir ve veri işleme sözleşmeleriyle bağlanır (alt işleyenler sayfası).

Bir olay müdahale prosedürümüz vardır. Kişisel veri ihlalinden etkilenen müşterileri gecikmeksizin ve en geç ihlalden haberdar olmamızdan sonra 48 saat içinde bilgilendiririz; veri sorumlusu olduğumuz durumlarda GDPR md. 33 uyarınca 72 saat içinde denetim makamına bildirimde bulunuruz.

Güvenlik sorunlarını lütfen info@ppserp.com adresine bildirin. Her bildirimi inceleriz ve müşteri verilerine ve hizmetin erişilebilirliğine saygı gösteren iyi niyetli araştırmalara karşı işlem yapmayız.

Dil sürümleri arasında farklılık olması halinde İngilizce sürüm esas alınır.