§01Gizlilik
Giriş denetimi
• Güvenlik hizmeti bulunan bir binadaki ofis alanları; yetkisiz kişilerin girişi yoktur.
• Çalışma alanları kilitlenebilir; belgeler kilitlenebilir dolaplarda saklanır.
• Şirkete ait sunucu odaları yoktur: İşleme, yalnızca AB'de bulunan ve kendi sertifikalı giriş denetimlerine sahip veri merkezleri olan barındırma sağlayıcılarında gerçekleştirilir.
Erişim denetimi
• Tüm şirket hesapları ve yönetici erişimleri, iki faktörlü kimlik doğrulama ile korunmaktadır.
• Uç cihazlarda parola veya biyometrik giriş (parmak izi/yüz tanıma); en geç 20 dakika sonra otomatik ekran kilidi.
• Parolalar yalnızca parola yöneticilerinde yönetilir.
• Mobil çalışmada ekran gizlilik filtreleri; güvenlik duvarı ve işletim sistemlerinin koruma mekanizmaları etkindir; güvenlik güncellemeleri otomatik olarak yüklenir.
• İşten ayrılan kişilerin erişimleri derhal engellenir.
Veri erişim denetimi
• Rol ve yetki konsepti: Müşteri verilerine erişim yalnızca şirket sahibi ve operasyon ile geliştirmeden sorumlu kişilerle sınırlıdır; satış personeli yalnızca sınırlı yetkilere sahiptir.
• Veritabanı düzeyinde kiracı izolasyonu (Row-Level-Security): Her müşteri yalnızca kendi hesabının verilerini görür.
• API erişimleri yalnızca müşteriye özel, iptal edilebilir anahtarlarla sağlanır; anahtarlar yalnızca hash olarak saklanır.
Ayrım denetimi
• Verilerin müşteri (kiracı) bazında mantıksal olarak ayrılması.
Takma ad kullanma / Veri minimizasyonu
• lead.box, gerçek kişileri değil şirketleri tanır; özel kişilerin profilleri oluşturulmaz.
§02Bütünlük
Aktarım denetimi
• Aktarım yalnızca şifreli olarak (TLS/HTTPS) yapılır; Webhook'lar HMAC imzası ile gönderilir.
Girdi denetimi
• Değişikliklerin ve idari erişimlerin günlüğe kaydedilmesi (denetim günlüğü).
§03Kullanılabilirlik ve Dayanıklılık
• AB'deki barındırma sağlayıcısında günlük otomatik veri yedeklemesi.
• AB'de yedekli bulut altyapısında barındırma; kesintilerin ve hataların izlenmesi.
§04Düzenli denetim prosedürleri
• Uygulamanın düzenli güvenlik denetimleri (ör. otomatik güvenlik taramaları, erişim kurallarının denetlenmesi).
• Teknoloji tasarımı yoluyla veri koruma ve veri koruma dostu varsayılan ayarlar.
Sözleşme denetimi
• Alt veri işleyenler özenle seçilir ve yalnızca bir veri işleme sözleşmesi ile görevlendirilir. Veriler AB/AEA dışında işlendiği takdirde, bu işlem yalnızca AB Komisyonu'nun bir yeterlilik kararına (ör. EU-US Data Privacy Framework) veya AB Standart Sözleşme Maddelerine (GDPR md. 46) dayanılarak yapılır.
• Çalışanlar ve satış ortakları, sözleşme ile gizlilik yükümlülüğü altına alınır.
Olay yönetimi
• Veri koruma ihlalleri, öğrenildikten sonra gecikmeksizin ve en geç 72 saat içinde Müşteriye bildirilir.
Silme konsepti
• Tarifenin iptal edilmesi veri toplamayı sonlandırır; hesap, silme talebine kadar varlığını sürdürür.
• Müşterinin talebi üzerine, hesap ve ilgili tüm veriler 30 gün içinde silinir.