Güvenlik ve Güven

Güvenlik taahhüdümüz

Güvenliği tek seferlik bir denetim değil, sürekli bir mühendislik pratiği olarak görüyoruz. İlkelerimiz şunlardır: topladığımız veriyi asgariye indirmek, aktarımdaki her şeyi şifrelemek, kimin neye erişebileceğini denetlemek, anlamlı olayları kayıt altına almak ve bağımlılıkları düzenli aralıklarla güncellemek. Kişisel verileri satmıyoruz ve harici yapay zekâ sağlayıcılarını içeriğiniz üzerinde eğitmiyoruz.

Altyapı ve barındırma

ImmoStory, AB merkezli özel altyapı üzerinde çalışır; üretim veritabanı, uygulama sunucuları ve nesne depolaması AB veri merkezlerinde barındırılır. TLS sonlandırmalı bir ters proxy arkasında konteyner tabanlı dağıtımlar kullanıyoruz. Üretim, hazırlık ve geliştirme ortamları bağımsız kimlik bilgileriyle ayrılmıştır ve ortak gizli anahtar kullanılmaz.

Aktarımda ve beklemede şifreleme

Platforma gelen ve platformdan giden tüm trafik, modern şifre takımlarıyla TLS 1.2 veya üzerini kullanır. Şifreler güçlü bir iş faktörüyle bcrypt kullanılarak saklanır. Uygulama gizli anahtarları kod deposunun dışında tutulur ve ekip üyeliği değiştiğinde döndürülür. Veritabanı yedekleri beklemede şifrelenir ve 30 günlük döngüyle yenilenir.

Erişim denetimi ve kimlik doğrulama

Üretim verilerine erişim, SSH anahtarları, IP izin listesi ve çok faktörlü kimlik doğrulamayla sınırlandırılmış az sayıda adlandırılmış mühendisle kısıtlıdır. Müşteri hesapları güçlü şifreleri destekler; kimlik bilgilerini hash'liyoruz ve geri döndürülebilir düz metin saklamıyoruz. JWT oturumları hareketsizlik durumunda sona erer ve kullanıcı tarafından hesap ayarlarından iptal edilebilir.

İzleme ve denetim kaydı

Uygulama, faturalama ve kimlik doğrulama olayları, saklama süresi operasyonel ihtiyaçlarla sınırlı olacak şekilde merkezî olarak kaydedilir. Hatalar gerçek zamanlı olarak yakalanır, böylece ekip gerilemelere ve kötüye kullanım kalıplarına karşılık verebilir. Şüpheli davranışlar, ilgili oturumları otomatik olarak hız sınırına tabi tutar.

Olay müdahalesi

Tespit, sınırlandırma, giderme, kurtarma ve olay sonrası değerlendirmeyi kapsayan dahili bir olay müdahale kılavuzumuz bulunmaktadır. Doğrulanmış bir kişisel veri ihlalinin kullanıcı hakları açısından risk oluşturması muhtemel olduğunda, GDPR Madde 33 uyarınca ilgili denetim makamını 72 saat içinde bilgilendirir ve riskin yüksek olduğu durumlarda etkilenen kullanıcıları gereksiz gecikme olmaksızın haberdar ederiz.

GDPR ve veri koruma

AB merkezliyiz ve müşteri verilerini Genel Veri Koruma Tüzüğü kapsamında işliyoruz. Gizlilik Politikamız hukuki dayanakları, veri kategorilerini, saklama sürelerini, alt işleyicileri ve veri sahibi haklarınızı belgelemektedir. Uluslararası aktarımlar Standart Sözleşme Maddelerine veya eşdeğer güvencelere dayanır. Kurumsal müşteriler için talep üzerine bir Veri İşleme Sözleşmesi sunulmaktadır.

Sorumlu açıklama

ImmoStory'de bir güvenlik açığı bulduğunuzu düşünüyorsanız, lütfen kamuya açıklamadan önce [email protected] adresine özel olarak bildirin. Bildirimleri iki iş günü içinde yanıtlamayı ve kullanıcı gizliliğine saygı gösteren, hizmetlerimizi aksatmayan iyi niyetli araştırmacılara karşı yasal işlem başlatmadan bir çözümü koordine etmeyi hedefliyoruz.

Alt işleyiciler

Platformu işletmek için sınırlı sayıda, incelemeden geçmiş alt işleyiciden yararlanıyoruz. Sağlayıcı konumları, verilerin öncelikli olarak nerede işlendiğini gösterir. Veriler AEA dışına çıktığında aktarımlar Avrupa Komisyonu'nun Standart Sözleşme Maddelerine veya sağlayıcının sunduğu eşdeğer güvencelere dayanır.

Bu liste, önemli değişiklikler olduğunda güncellenir. Veri İşleme Sözleşmesi kopyaları veya daha fazla ayrıntı için [email protected] adresine yazın.