Güvenlik, sonradan eklediğimiz bir özellik değil — ürünün nasıl inşa edildiğinin bir parçası. Bu sayfa, uymayı taahhüt ettiğimiz uygulamaları anlatır. Büyüdükçe bunları derinleştireceğiz ve bu sayfada nerede olduğumuzu açıkça paylaşacağız.
Şifreleme
Veriler, web sitemiz, API'lerimiz ve uygulamaların kullandığı gerçek zamanlı bağlantılarda TLS (HTTPS) ile aktarılırken şifrelenir. Yönetilen altyapımızda saklanan veriler de saklandığı yerde şifrelenir. Hassas kimlik bilgileri ve entegrasyon sırları, düz metin olarak saklanmak yerine ayrı anahtarlarla şifrelenir.
Erişim kontrolü
- İşletme yalıtımı. Her işletmenin verileri o işletmeye özeldir. İstekler, her çağrıda ait oldukları işletmeye göre denetlenir.
- Roller ve izinler. Bir işletme içinde personel yalnızca rolünün ihtiyaç duyduğu erişimi alır — ve hassas işlemler (kapatılmış bir hesabı yeniden açmak gibi) bir yönetici onayı gerektirebilir.
- İç erişimde en az ayrıcalık. Üretim sistemlerine erişim, ihtiyaç duyan kişilerle sınırlıdır ve değişiklikler kaydedilir.
Tasarımı gereği dayanıklı
Garivio Adisyon, internet çalışmadığında da servisin devam etmesi için tasarlanmıştır. Siparişler cihazda kaydedilir ve yerel olarak kuyruğa alınır, ardından bağlantı geri geldiğinde güvenle senkronize edilir — böylece bir kesinti servis kaybı ya da veri kaybı anlamına gelmez. Çakışmalar sessizce üzerine yazılmak yerine belirli kurallara göre çözülür.
Yedekler ve kurtarma
Üretim verileri düzenli olarak yedeklenir ve gerçekten geri yüklenebildiğini test ederiz — geri yükleyemediğiniz bir yedek, yedek değildir. Hedefimiz, bir arıza durumunda en az veri kaybıyla hızla kurtarmaktır.
Gizlilik ve veri koruma
6698 sayılı Kişisel Verilerin Korunması Kanunu'nu (KVKK) ve uygulandığı ölçüde AB Genel Veri Koruma Tüzüğü'nü (GDPR) gözetiriz. Kişisel verileri belirli amaçlarla sınırlı tutar ve satmayız. Uygulanabilir erişim, düzeltme, silme ve diğer ilgili kişi hakları Gizlilik Politikamızda açıklanır.
Ödemeler
Kart bilgileri Garivio’ya hiçbir zaman ulaşmaz. Yalnızca ödemeyi alan sağlayıcının güvenli ödeme sayfasına, HTTPS üzerinden girilir: Türkiye’deki web sitesi satın almalarında iyzico, Türkiye dışındaki web sitesi satın almalarında kayıtlı satıcı (Merchant of Record) Paddle, uygulama içi satın almalarda Apple veya Google. Otomatik yenileme için kaydedilen kartı iyzico saklar; biz yalnızca bir anahtar (token) ile kartın markasını, son dört hanesini ve son kullanma tarihini tutarız. Sağlayıcılardan gelen ödeme bildirimleri, işlem yapılmadan önce imzalarıyla doğrulanır.
Sorumlu bildirim
Bir güvenlik açığı bulduğunuzu düşünüyorsanız, sizden haber almak isteriz. Ayrıntılar ve yeniden üretme adımlarıyla birlikte security [at] garivio.com adresine e-posta gönderin. Sorunu herkese açık olarak duyurmadan önce lütfen incelememiz ve düzeltmemiz için makul bir süre tanıyın. Müşterilerimizi güvende tutmaya yardımcı olan araştırmacılara minnettarız.
Bir anlaşma veya inceleme için güvenlik ya da uyumluluk sorunuz mu var? Bize security [at] garivio.com adresinden ulaşın ya da iletişime geçin.