Güvenlik
Bu sayfa Aerolim’de bugün uygulanan güvenlik önlemlerini anlatır. Burada yazan her önlem yazılımda ya da işletim süreçlerimizde gerçekten vardır; planlanan işler ayrıca belirtilmiştir.
Barındırma ve veri konumu
- Uygulama (limit.aerolim.com) ve veritabanı Render’ın Frankfurt (Almanya) veri merkezinde çalışır.
- E-posta gönderimi gibi yardımcı hizmetler, giden veri ve bulundukları ülke KVKK sayfasındaki alt işleyen listesinde yazılıdır. Varsayılan olarak kapalı hizmetlere, müşterinin yöneticisi açmadıkça veri gitmez.
- Site ve uygulama yazı tiplerini kendi sunucumuzdan sunar; ziyaretçi analitiği, reklam veya izleme çerezi kullanılmaz.
Hesap ve giriş güvenliği
- Parolalar bcrypt ile geri döndürülemez biçimde saklanır. Yeni parolalar en az 12 karakter olmalıdır ve yaygın parolalar listesindekiler kabul edilmez.
- Şirket yöneticileri için iki adımlı doğrulama (doğrulayıcı uygulama) zorunludur. Şirket yöneticisi bunu bütün kullanıcılar için de zorunlu yapabilir.
- Art arda hatalı girişte bekleme süresi artar ve hesap geçici olarak kilitlenir; kullanıcıya e-posta gider. Yeni bir cihazdan girişte de kullanıcıya bildirim e-postası gönderilir.
- Oturumlar sunucuda tutulur: çıkış, “tüm cihazlardan çıkış”, tek oturum kapatma, parola değişikliği ve hesabın pasife alınması oturumları hemen geçersiz kılar. Yönetici oturumu işlem yapılmazsa kapanır.
Şirketler arası ayrım ve yetki
- Her işletmenin verisi mantıksal olarak ayrı tutulur; her istek oturumdaki şirkete göre süzülür.
- Rol ve ekran bazında yetkiler sunucu tarafında uygulanır. Yetkisi tanımlanmamış bir ekran kapalı kabul edilir.
- Aerolim destek ekibi müşteri verisini ancak müşterinin yöneticisi süreli bir destek izni verdiğinde (1, 24 veya 72 saat) görebilir. İzin her an kapatılabilir; açık destek oturumları o anda kapanır. Destek oturumları ve görüntülenen ekranlar müşterinin kayıt geçmişine yazılır.
Verilerin şifrelenmesi
- Bütün bağlantılar TLS ile şifrelenir; tarayıcıya HTTPS zorunluluğu (HSTS) bildirilir.
- Pasaport ve kimlik numaraları, yolcu belge numarası ve doğum tarihi, yaptırım taraması sonuçları ve yüklenen bütün dosyalar (sağlık sertifikası, lisans ve pasaport taramaları dahil) veritabanında ayrıca AES-256-GCM ile şifrelenir. Şifreleme anahtarı veritabanından ayrı tutulur.
- Oturum imzası, alan şifrelemesi ve bağlantı imzaları için ayrı anahtarlar kullanılır; anahtarlar yazılı bir prosedürle döndürülebilir.
Kayıt geçmişi ve izlenebilirlik
- Uygulamadaki değişiklikler, önceki hâliyle birlikte kayıt geçmişinde saklanır.
- Güvenlik olayları (başarılı ve başarısız girişler, iki adımlı doğrulama değişiklikleri, parola sıfırlama, rol değişiklikleri, dışa aktarımlar, destek oturumları) şirket yöneticisinin gördüğü kayıt geçmişinde ayrı bir bölümde listelenir.
Uygulama güvenliği
- Tarayıcı güvenlik başlıkları: içerik güvenliği politikası (CSP), başka sitede çerçeve içinde açılma engeli, MIME tahmini engeli.
- Yüklenen dosyanın türü dosyanın içeriğinden belirlenir; web sayfası, betik ve tanınmayan dosyalar kabul edilmez. CSV dışa aktarımlarında formül gibi başlayan metinler etkisiz hâle getirilir.
- Webhook adresleri gönderim anında denetlenir; yalnızca herkese açık internet adreslerine bağlanılır.
- Paylaşılan bilgisayar ve tabletlerde çevrimdışı kopyalar kişiye özeldir; oturum kapanınca cihazdaki kopyalar silinir.
- Kayıtlara (log) bağlantı anahtarları ve parolalar yazılmaz.
Geliştirme ve yayına alma
- Her değişiklik otomatik testlerden, gizli anahtar taramasından ve bağımlılık güvenlik denetiminden geçer; yeni sürüm yalnızca bu kontroller geçince yayına alınır.
- Veri silen veritabanı değişiklikleri ayrıca işaretlenir ve ayrı onay ister.
- Bağımlılık güncellemeleri haftalık olarak otomatik izlenir.
Yedekleme ve süreklilik
- Veritabanı, barındırma sağlayıcısının yönetilen yedekleme hizmetiyle yedeklenir. Geri yükleme adımları yazılı bir prosedürle tanımlıdır.
- Şirket yöneticisi bütün şirket verisini istediği an dışa aktarabilir.
Kişisel veriler (KVKK)
- Saklama süresi dolan kayıtlar düzenli olarak silinir veya anonimleştirilir; ayrılan ekip üyesinin kişisel verileri yasal saklama süresinden sonra anonimleştirilebilir.
- Yapay zekâ ile çalışan isteğe bağlı özellikler varsayılan olarak kapalıdır ve yalnızca şirket yöneticisi açabilir.
- Ayrıntılar: KVKK aydınlatma metni ve Hizmet sözleşmesi.
Olay müdahalesi
Yazılı bir güvenlik olayı müdahale prosedürümüz ve ihlal kayıt defterimiz vardır. Bir kişisel veri ihlalinde etkilenen müşteriye en geç 24 saat içinde haber verilir ve müşterinin Kişisel Verileri Koruma Kurulu’na bildiriminde yardımcı olunur.
Sertifikalar
Aerolim’in şu an bağımsız bir güvenlik sertifikası (ör. ISO 27001, SOC 2) yoktur ve bağımsız bir sızma testi yapılmamıştır. Güvenlik soru formlarınızı yanıtlamaktan memnuniyet duyarız.
Güvenlik açığı bildirimi
Bir güvenlik açığı bulduysanız lütfen info@aerolim.com adresine “Güvenlik” konusuyla yazın (security.txt). Bildiriminizi en kısa sürede yanıtlarız. Lütfen başka müşterilerin verisine erişmeyin, veriyi değiştirmeyin ve hizmeti aksatacak testler yapmayın.