Güvenlik

Sertifikalar

Promvia'nın SOC 2 raporu ya da ISO 27001 sertifikası yoktur. Satın alma süreciniz bunlardan birini şart koşuyorsa bunu satın almadan önce söyleyin, sonra değil. Size verebileceğimiz şey bu sayfa, Veri İşleme Sözleşmesi ve güvenlik soru formunuza yazılı yanıtlardır.

Nerede çalışıyor

Uygulamanın sunucu kodu Vercel üzerinde Frankfurt'ta (fra1 bölgesi), veritabanı ise Frankfurt'taki Neon Postgres'te (AWS eu-central-1) çalışır. Sayfalar ve statik dosyalar Vercel'in küresel uç ağından, ziyaretçiye en yakın noktadan sunulur. Vercel ve Neon Amerika Birleşik Devletleri şirketleridir. Her alt işleyen, kurulu olduğu ülke, veriyi işlediği yer ve aktarım dayanağıyla birlikte Veri İşleme Sözleşmesi'nde listelenir.

Alt işleyenler (VİS Ek III) →

Şifreleme

Aktarım sırasında ve beklemede:

• promvia.app'e yapılan her bağlantı HTTPS'tir. .app alan adının tamamı tarayıcıların HSTS ön yükleme listesindedir; bu yüzden tarayıcılar ona hiçbir zaman düz HTTP ile bağlanmaz. Site ayrıca kendi Strict-Transport-Security başlığını da gönderir (iki yıl, alt alan adları dahil, preload).
• Uygulama veritabanına TLS üzerinden bağlanır.
• Veritabanı, zaman noktası geçmişi ve diğer sağlayıcıların depolaması, sağlayıcıların kendi güvenlik belgelerinde belirttiği gibi, sağlayıcılar tarafından beklemede şifrelenir. Bu katmanın anahtarları bizde değildir.
• Veritabanının kendi aldığımız gecelik kopyası, yüklenmeden önce AES-256 ile şifrelenir.

Bir istek kimin verisine ulaşabilir

Her okuma ve yazma, isteği yapan hesapla; bir ekip içinde de o üyenin açabildiği sitelerle sınırlıdır. Bu kontrol yalnızca arayüzde değil veri katmanındadır; başka bir hesabın sitesini hedefleyen bir istek panelin reddedeceği şekilde reddedilir ve bunu testler kapsar. Salt okunur bir ekip koltuğu değişiklik yapamaz ve bağlı bir uygulamaya okuma dışında yetki veremez.

Parolalar, oturumlar ve giriş

Bir hesap nasıl korunur:

• Parolalar yalnızca tuzlanmış scrypt özeti olarak saklanır, hiçbir zaman geri döndürülebilir biçimde tutulmaz; yeni bir parola, parolanın kendisi gönderilmeden Have I Been Pwned sızıntı veritabanına karşı kontrol edilir.
• Oturum çerezi HttpOnly, Secure ve SameSite=Lax'tır. Oturumlar 30 gün sonra sona erer ve her oturum belirtecinin yalnızca özetini saklarız.
• Parolanızı değiştirmek diğer bütün oturumları kapatır ve bağlı her uygulamanın bağlantısını keser; parola sıfırlama ayrıca bütün API anahtarlarını iptal eder, tüm webhook uç noktalarını kapatır ve siz kendinizinkileri yeniden açana kadar tüm zamanlanmış müşteri raporlarını duraklatır.
• Promvia hesaplarında henüz iki adımlı doğrulama yoktur. Google ile giriş yaparsanız bu girişi Google hesabınızın kendi iki adımlı doğrulaması korur.

Kendi erişimimiz

İç yönetim alanı yalnızca dağıtımın yapılandırmasında açıkça listelenen e-posta adreslerine açıktır. Liste boşsa varsayılan olarak kapalıdır ve listedeki bir adres, o hesap posta kutusunun sahibi olduğunu kanıtladıktan sonra geçerli sayılır. Müşteri hesapları bu alana ulaşamaz. Altyapı hesapları — barındırma, veritabanı ve kod — kimliği belirli kişilerin kendi kimlik bilgileriyle tutulur; üretim erişimi olan kişilerin listesini isterseniz paylaşırız.

Yedekler ve geri yükleme

İki katman var, çünkü birincisi veritabanı sağlayıcısına bağlı:

• Neon'un zaman noktasına geri dönüşü, aynı Frankfurt bölgesinde son 6 saati kapsar.
• Veritabanının gecelik bir kopyası AES-256 ile şifrelenir, geçerli bir arşive çözülebildiği kontrol edilir ve GitHub'da 30 gün saklanıp silinir. GitHub bu yüzden alt işleyenler arasında listelenir.
• Bir kopyanın geri yüklenmesi 3 Eylül 2026'da üretim veritabanına karşı prova edildi: her tablo satır satır eşleşti.

Bağlı uygulamalar ve API anahtarları

Claude veya ChatGPT gibi AI asistanları PKCE'li OAuth ile bağlanır. Bir uygulamanın ne yapabileceğini onay ekranında siz seçersiniz: okuma erişimi ve her değişiklik türü için işaretsiz başlayan ayrı bir kutu.

• Erişim belirteçleri bir saat sonra sona erer. Yenileme belirteçleri 30 gün geçerlidir ve her kullanıldığında yenisiyle değiştirilir.
• Erişim belirteçlerini hiç saklamayız; yenileme belirteçleri ve tek kullanımlık giriş kodları yalnızca SHA-256 özeti olarak saklanır.
• Her uygulamayı Ayarlar → Entegrasyonlar → Bağlı uygulamalar bölümünde görüp iptal edebilirsiniz. İptal, yenileme belirteçlerini hemen siler; erişim belirteci de bir sonraki isteğinde reddedilir.
• Bir API anahtarı bağlayıcı üzerinden yalnızca okuyabilir, anahtarlı bir özet olarak saklanır ve Ayarlar → Entegrasyonlar → API anahtarları bölümünden iptal edilir.

Gizlilik politikasında bağlı uygulamalar →

Web ve ağ korumaları

Uygulamanın varsayılan olarak reddettikleri:

• Oturum açılmış uygulamada bir İçerik Güvenliği Politikası (CSP) uygulanır; herkese açık sayfalarda yalnızca raporlama modunda çalışır: bu sayfalar önceden oluşturulur ve çatının satır içi başlatma betikleri, uygulanan bir politikadan geçmek için istek başına bir nonce gerektirir.
• Sayfalar başka bir sitenin çerçevesine alınamaz (X-Frame-Options: DENY), yanıtlar MIME türü tahminine açık değildir ve diğer sitelere yalnızca kaynak adresi gönderilir.
• Herkese açık uç noktalarda hız sınırlaması vardır.
• Sizin adınıza yaptığımız çağrılar, örneğin bir sayfayı denetlemek, özel ve bağlantı-yerel adresleri reddeder; böylece denetlenen bir URL iç sistemlere ulaşamaz.
• Hata raporları Sentry'nin AB bölgesine IP adresi, çerez ve istek başlığı olmadan, e-posta adresleri maskelenmiş olarak gider.

Bir şey ters giderse

Verinizi etkileyen bir kişisel veri ihlali olursa size gereksiz gecikme olmaksızın ve her hâlükârda 72 saat içinde, o an bildiklerimizle haber verir, öğrendikçe tamamlarız. Bu taahhüt Veri İşleme Sözleşmesi'nin 7. maddesidir.

Veri İşleme Sözleşmesi →

Güvenlik açığı bildirmek

Bir güvenlik sorunu bulursanız, ne bulduğunuzu ve nasıl tekrarlanacağını aşağıdaki adrese yazın. Lütfen başkalarının verisine erişmeyin ya da onu değiştirmeyin, hizmeti aksatmayın ve düzeltmemiz için makul bir süre tanımadan ayrıntıları yayımlamayın. Aldığımız her bildirimi teyit eder, ne yaptığımızı size söyleriz. Ücretli bir hata ödül programı yoktur.

Güvenlik iletişimi

Güvenlik açığı bildirimleri ve güvenlik soruları: security@promvia.app.

Makinece okunabilir iletişim (security.txt)