Güvenlik

Bu sayfa, validrelay platformunda (internet sitesi, web uygulaması ve müşteri sunucusuna kurulan ERP agent’ı) verilerinizi nasıl koruduğumuzu açıklar. Anlatılanlar platformun bugünkü işleyişidir. Tedarikçi güvenlik anketleri ve ayrıntılı sorularınız için info@subiq.com.tr adresinden bize ulaşabilirsiniz.

1. Veri sorumlusu ve KVKK

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu:

SUB IQ YAZILIM ÇÖZÜMLERİ TİCARET LİMİTED ŞİRKETİ
Adres: SİLAHTARAĞA MAH. ÜNİVERSİTE 1. SK. NO:13/1 İÇ KAPI NO : Z16 ÇORLU TEKİRDAĞ
MERSİS No: 0781108676200001
KEP adresi: subiqyazilim@hs06.kep.tr
E-posta: info@subiq.com.tr
Telefon: 444 85 39

• Kişisel verilerin hangi amaçlarla işlendiği, kimlere aktarıldığı ve ne kadar saklandığı Gizlilik Sözleşmesi ve KVKK Aydınlatma Metni’nde; çerezler Çerez Politikası’nda; demo ve webinar formları Talep Formları Aydınlatma Metni’nde açıklanır.
• KVKK m.11 kapsamındaki başvurularınızı yukarıdaki e-posta ya da KEP adresine iletebilirsiniz.
• Uygulamadaki operasyonel verilerinizin kalıcı olarak silinmesini ya da hesabınızın kapatılmasını uygulama içinden, e-postayla doğrulanan bir talep ile başlatabilirsiniz.

2. Veri konumu

Platform verilerinin barındırıldığı veri merkezinin konumu ve barındırma hizmet sağlayıcısı hakkında bilgi almak için info@subiq.com.tr adresinden bize ulaşın.

Hizmet sağlayıcılarımızın bir kısmının sunucuları Türkiye dışında bulunabilir; bu durumda kişisel veriler yalnız KVKK m.9’da öngörülen usullerle yurt dışına aktarılır (ayrıntılar Gizlilik Sözleşmesi’nde).

3. Şifreleme

3.1 Aktarım sırasında

• Tarayıcınızdan ve agent’tan platforma yapılan bağlantılar TLS (HTTPS) ile şifrelenir. Platform API’si üretim ortamında şifresiz HTTP isteklerini HTTPS’e yönlendirir ve tarayıcıya HSTS başlığı gönderir.
• Agent’ın müşteri ağındaki SQL Server veritabanına bağlantısı, bağlantı ayarlarında aksi belirtilmedikçe TLS ile şifreli (Encrypt=true) açılır. Kurum içi sunuculardaki kendinden imzalı sertifikalarla çalışabilmesi için sunucu sertifikası varsayılan olarak doğrulanmaz (TrustServerCertificate=true). Bağlantı dizesinde TrustServerCertificate=false belirtmenizi ve SQL Server’da güvenilir bir sertifika kullanmanızı öneririz; böylece agent yalnız doğrulanmış sunucuya bağlanır.

3.2 Depolama sırasında (alan düzeyinde şifreleme)

Aşağıdaki gizli bilgiler veritabanında AES-256-GCM ile şifrelenmiş olarak saklanır. Şifreleme anahtarı veritabanında değil, uygulamanın ortam yapılandırmasında tutulur:

• ÜTS erişim token’ı ve ÜTS firma (aktör) kodu,
• EUDAMED servis token’ları,
• ERP bağlantı bilgileri: veritabanı bağlantı dizesi ve REST API yetkilendirme token’ı,
• agent bağlantı anahtarları ve agent token’ının kopyası,
• entegrasyon yetkilendirme token’ları ve e-posta (SMTP) sunucu şifresi.

• Kullanıcı parolaları BCrypt ile (iş faktörü 12) tek yönlü özetlenir; düz metin olarak hiçbir yerde saklanmaz.
• Oturum yenileme token’ları, şifre sıfırlama ve hesap silme onay bağlantıları veritabanında yalnız SHA-256 özetleriyle tutulur.

4. ERP agent’ı: veriniz nerede okunur, platforma ne gider?

• Agent, sizin Windows sunucunuza kurulur ve ERP verinizi sizin ağınızda okur (SQL Server bağlantısı ya da ERP’nizin REST API’si). Platform ERP’nize doğrudan bağlanmaz; ağınıza dışarıdan gelen bir bağlantı (gelen port) açmanız gerekmez. Agent yalnız platform API’sine giden HTTPS istekleri yapar: çalıştığını bildirmek, yapılandırmasını almak ve verileri göndermek için.
• Bağlantı ayarları (bağlantı dizesi ya da REST token’ı, SQL sorgusu, alan eşleştirmesi) platformda yönetilir; bağlantı dizesi ve token şifreli saklanır, agent bunları çalışırken platformdan alır. SQL sorguları kaydedilirken yalnız tek bir salt okunur SELECT sorgusuna izin verilir.
• Platforma gönderilen veri, sizin yapılandırdığınız sorgunun ya da uç noktanın döndürdüğü satırlardır (500’er satırlık gruplar hâlinde) ve alan eşleştirme ekranında gösterilmek üzere ilk 10 satırlık bir örnektir. Platform bu satırları eşleştirmenize göre ürün, hareket ve cari kayıtlarına dönüştürür. Hangi kolonların gönderileceğini sorgunuzla siz belirlersiniz; yalnız ÜTS/EUDAMED kayıt ve bildirimleri için gereken alanları seçmenizi öneririz.
• Agent kimliğini bir agent token’ı ile doğrular. Platform token’ı SHA-256 özetiyle doğrular; token’ın şifreli bir kopyası yalnız yetkili kullanıcılarınızın onu panelde yeniden görüntüleyebilmesi için saklanır. Token panelden istediğiniz an yenilenebilir (eskisi geçersiz olur); silinen ya da askıya alınan bağlantının token’ı artık kabul edilmez. Sunucunuzda token, Windows DPAPI ile şifrelenmiş bir dosyada durur.
• İsteğe bağlı IP kısıtlaması: bir agent bağlantısının isteklerini yalnız belirttiğiniz IP adreslerinden ya da ağ aralıklarından (CIDR) kabul edecek şekilde sınırlayabilirsiniz.

5. Erişim kontrolü

• Çok kiracılı mimari: her firmanın verisi ayrı tutulur. Ürün, hareket, cari, gönderim, agent ve izin kayıtlarına yapılan sorgular, veri erişim katmanındaki kiracı filtresiyle otomatik olarak oturumdaki firmayla sınırlanır. Kullanıcı, modül ve ödeme gibi diğer firma kayıtlarında bu sınır, ilgili işlemin sorgusunda ayrıca uygulanır.
• Rol ve izin tabanlı erişim (RBAC): ekip üyelerine ÜTS, EUDAMED, hareket tipi, ambalaj ve agent ayarları bazında görüntüleme, oluşturma, düzenleme, silme ve gönderme izinleri ayrı ayrı verilir. Ekip en fazla 5 kullanıcıdır; üye davet etme ve izin değiştirme yalnız firma yöneticisine açıktır.
• Oturum çerezleri HttpOnly, Secure ve SameSite=Lax olarak yazılır; sayfadaki betikler tarafından okunamaz.

6. Denetim kayıtları

• Ürün ve cari kayıtlarında kullanıcıların ekranlardan ya da Excel içe aktarımıyla yaptığı alan değişiklikleri ve bu kayıtların silinmesi revizyon geçmişine (kim, ne zaman, ne değişti) yazılır. Hareketlerde silme ve bölme işlemleri kimin ve ne zaman yaptığıyla kaydedilir. Hareket alanlarının düzenlenmesi ile ERP agent’ının ve ÜTS ürün senkronizasyonunun yaptığı otomatik güncellemeler bu geçmişe yazılmaz. Günlük kullanımda kayıtlar fiziksel olarak silinmez, silindi olarak işaretlenir.
• Gönderimlerde kayıt altına alınanlar: EUDAMED doğrudan gönderimlerinde gönderilen XML ve EUDAMED’den alınan yanıt; ÜTS ürün kayıt gönderimlerinde ÜTS’nin yanıtı; ÜTS hareket bildirimlerinde (üretim, satış vb.) bildirimin durumu ile ÜTS bildirim numarası ya da hata mesajı.
• Doğrulama kurallarının atlanması kimin, ne zaman ve hangi gerekçeyle yaptığıyla birlikte kaydedilir.
• Sistem ayarlarındaki değişiklikler (ör. e-posta ve site ayarları) değiştiren kullanıcı, zaman, IP adresi ve eski/yeni değerle kaydedilir; gizli değerler kayıtta maskelenir. E-posta sunucusu ve site etiketleri gibi hassas ayarlar değişmeden önce sistem yöneticilerine e-postayla bildirim gider.

7. Uygulama güvenliği

• Çerezle yapılan her yazma isteğinin izinli bir kaynaktan (Origin) geldiği doğrulanır (CSRF koruması).
• Oran sınırlama: IP adresi başına her uç için dakikada en fazla 100 istek; giriş, kayıt ve şifre işlemlerinde dakikada 10. Herkese açık formlar ve ücretsiz araçlar ayrıca sınırlıdır; bu sınırlarda IP adresinin kendisi değil, anahtarlı özeti (HMAC-SHA256) kullanılır.
• Ücretsiz EUDAMED XML doğrulayıcısına yüklediğiniz dosya diske, veritabanına ya da loglara yazılmaz.
• Tarayıcı tarafında İçerik Güvenlik Politikası (CSP) raporlama modunda uygulanır; beklenmeyen bir betik ya da bağlantı tespit edildiğinde ihlal raporu alınır.

8. Yedekleme

Platform veritabanının yedekleri alınır. Yedekleme sıklığı, saklama süresi ve geri yükleme süreçleri hakkında bilgi için info@subiq.com.tr adresinden bize ulaşın.

9. Güvenlik ihlali bildirimi

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğini öğrendiğimizde, KVKK m.12/5 uyarınca durumu en kısa sürede Kişisel Verileri Koruma Kurulu’na ve ilgili kişilere bildiririz. Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararı doğrultusunda Kurul’a bildirim, ihlalin öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde; etkilenen kişilere bildirim ise kişiler tespit edildikten sonra en kısa makul sürede yapılır. Platformdaki verilerinizi etkileyen bir ihlalde firma yöneticinizi de gecikmeksizin bilgilendiririz.

10. Alt işleyenler (hizmet sağlayıcılar)

Platformun kullandığı dış hizmet sağlayıcılar ve hangi durumda devreye girdikleri:

Barındırma (altyapı) hizmet sağlayıcımız hakkında bilgi için bize ulaşın. ÜTS (Türkiye İlaç ve Tıbbi Cihaz Kurumu) ve EUDAMED (Avrupa Komisyonu) alt işleyen değildir: verileriniz bu kamu sistemlerine yalnız sizin başlattığınız ya da etkinleştirdiğiniz kayıt ve bildirimlerle iletilir.

11. Güvenlik açığı bildirimi ve iletişim

Bir güvenlik açığı fark ettiyseniz ya da güvenlikle ilgili bir sorunuz varsa lütfen info@subiq.com.tr adresine yazın. Bildiriminizi inceleyip size dönüş yaparız.