Verileriniz nerede durur,
kim görebilir?

Oturum ve giriş

Panele giriş yolu beş ayrı noktada kapatılır.

• Oturum çerezi yalnız HTTPS üzerinden gider, JavaScript ile okunamaz ve başka bir siteden gönderilen isteğe eklenmez.

• Şifreler bcrypt ile saklanır. Veritabanında düz metin şifre yoktur; şifrenizi biz de göremeyiz.

• Giriş başarılı olduğunda oturum kimliği yenilenir. Giriş öncesi ele geçirilmiş bir oturum kullanılamaz.

• Aynı IP adresinden 5 başarısız giriş denemesinden sonra 15 dakika beklemek gerekir.

• İki adımlı doğrulamayı hesap ayarlarından açabilirsiniz. Google Authenticator ve Authy ile çalışır.

Kiracı yalıtımı ve yetki

Aynı sistemde birbirinden bağımsız işletmeler çalışır. Her işletmenin verisi kendi kimliğine bağlıdır.

• Kiracıya ait her kayıt bir kiracı kimliği taşır. Sorgular bu kimliğin dışına çıkmaz.

• Rolleri siz tanımlarsınız. Kimin hangi ekranı göreceği ve neyi düzenleyeceği rol üzerinden belirlenir.

• Bir dosyanın adresini bilseniz bile, dosya sizin kiracınıza ait değilse istek reddedilir.

• Özlük belgelerinde ayrı bir yetki kontrolü ve erişim kaydı vardır: dosyayı kimin ne zaman açtığı yazılır.

Belgeleriniz web klasörünün dışında

Kimlik fotokopisi, imzalı sözleşme, fatura eki gibi dosyalar sitenin yayın klasöründe durmaz.

• Dosyalar web kökünün dışındaki ayrı bir depoda tutulur. Adres tahmin ederek indirilemezler.

• Her indirme isteği önce oturumdan, sonra kiracı eşleşmesinden geçer. İkisinden biri tutmazsa dosya sunulmaz.

• Belge yanıtları arama motorlarına kapalıdır ve önbelleğe alınmaz.

Bu belgelerin doğrudan bir web adresi yoktur. Tek erişim yolu, yetki kontrolünden geçen indirme ucudur.

Form gönderimi ve veritabanı

Veri yazan istekler iki katmandan geçer.

• Panelden gelen kayıt ve güncelleme istekleri oturuma bağlı bir CSRF belirteci taşır. Belirteci olmayan istek 403 ile döner.

• Veritabanı sorguları hazır ifadelerle çalışır; girdiğiniz değer sorgu metnine yapıştırılmaz. SQL enjeksiyonu bu yolla kapatılır.

Aktarım ve barındırma

Veri sunucu ile tarayıcınız arasında açık gitmez.

• Tüm trafik HTTPS üzerindedir. Tarayıcıya bir yıl boyunca yalnız HTTPS kullanması talimatı verilir.

• Site Cloudflare arkasında yayınlanır.

• Sunucular Türkiye’dedir. Verileriniz yurt dışındaki bir sunucuya aktarılmaz.

• Tarayıcı güvenlik başlıkları açıktır: içerik türü zorlaması, çerçeveleme koruması, yönlendiren gizliliği ve içerik güvenliği politikası.

KVKK ve haklarınız

Kişisel veriler 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında işlenir.

• Hangi verinizi hangi amaçla işlediğimiz, kimlerle paylaştığımız ve saklama süreleri aydınlatma metninde tek tek yazılıdır.

• Erişme, düzeltme ve silinmesini isteme haklarınız için kvkk@une.group adresine, sistemde kayıtlı e-posta adresinizden yazabilirsiniz.

• Başvurular en geç 30 gün içinde sonuçlandırılır.

Metnin tamamı ve veri sorumlusu bilgileri: KVKK Aydınlatma Metni