Barındırmadan kullanıcı oturumuna kadar
Üretim ortamı güvenlik duvarlı bulut altyapısında; ayrı konumda yedek kopya. Barındırma KVKK'ya uygun yürütülür.
- Güvenlik duvarı ve erişim denetimi
- Ortam ayrımı: üretim / test / geliştirme
- Düzenli güvenlik gözden geçirmesi
Veri aktarımı TLS ile şifrelenir; saklanan veri ve yedekler şifreli tutulur. Parolalar geri döndürülemez biçimde saklanır.
- Aktarımda TLS şifreleme
- Veritabanı, dosya ve yedek depolama şifreli
- Parolalar Argon2id ile saklanır
Rol ve şantiye bazlı yetki; her kullanıcı yalnız yetkisi kadarını görür. Oturumlar cihaz bazlı izlenir ve kapatılabilir.
- İki adımlı doğrulama (uygulama/TOTP)
- Tek oturum açma (Google/OIDC); SAML ve IP kısıtı yol haritasında
- Taşerona sınırlı, süreli hesap
Kim, ne zaman, neyi değiştirdi: hakediş tutarından yetki değişikliğine her işlem değiştirilemez kayıtta.
- Önceki/sonraki değer ile kayıt
- Dışa aktarım ve filtre — Kurumsal
- Kayıtlar saklanır, sonra arşivlenir
Düzenli yedekleme ile belirli bir noktaya geri dönüş; kurtarma süreci tanımlıdır.
- Düzenli yedek, hızlı kurtarma hedefi
- Ayrı konumda yedek kopya
- Hesap kapanışında dışa aktarım imkânı
Güvenli geliştirme yaşam döngüsü: kod incelemesi, bağımlılık taraması, dağıtım öncesi otomatik testler.
- OWASP Top 10 gözetimi
- Sorumlu açıklama kanalı
- Kritik yamalar öncelikli uygulanır
Hangi veri, nerede, ne kadar süre
ŞantiyeSOFT veri işleyen, siz veri sorumlususunuz. Veri işleme sözleşmesi (DPA) her plana eklenir; alt işleyici listesi değişince 30 gün önce bildirilir.
| Veri kategorisi | Örnek | Konum | Saklama | Şifreleme |
|---|---|---|---|---|
| Şirket ve proje | Şantiye, blok, bütçe, sözleşme | KVKK uyumlu | Hesap süresince + 90 gün | Şifreli / TLS |
| Personel | Ad, TCKN, SGK no, puantaj | KVKK uyumlu | Yasal süre (10 yıl, bordro) | Şifreli, alan bazlı maskeleme |
| Müşteri (daire alıcısı) | Kimlik, iletişim, ödeme planı | KVKK uyumlu | Sözleşme + yasal süre | Şifreli, erişim kaydı |
| Finans | Kasa, banka, çek-senet | KVKK uyumlu | 10 yıl (VUK) | Şifreli |
| Doküman | Çizim, ruhsat, fotoğraf | KVKK uyumlu | Hesap süresince | Şifreli, imzalı URL |
| Kullanım günlükleri | Oturum, IP, denetim izi | KVKK uyumlu | Belirli süre | Şifreli, yazma korumalı |
Bir şey ters giderse ne olur
Veri ihlali şüphesinde KVKK'nın öngördüğü 72 saat içinde size ve Kurul'a bildirim yapılır. Olay yönetimi aşağıdaki adımlarla yürütülür.
- Tespitİzleme ya da bildirim ile olay açılır; ilgili ekip hızla devralır.
- SınırlamaEtkilenen bileşen izole edilir, duruma dair not düşülür.
- KurtarmaYedekten dönüş; en kısa sürede hizmetin sürekliliği hedeflenir.
- Bildirim (72 saat)Kişisel veri etkilendiyse veri sorumlusuna ve KVKK Kurulu'na bildirim.
- Kök neden raporuEtki, neden ve alınan önlemler yazılı olarak paylaşılır.