Güvenlik yaklaşımımız

1. Güvenli bağlantı ve veri aktarımı

Canlı web yüzeyleri HTTPS üzerinden sunulur ve güvenli olmayan bağlantılar kabul edilmez. Uygulama ile sunucu arasındaki veriler aktarım sırasında şifrelenir. Hassas sırlar kaynak koda, istemci paketine veya kamuya açık yapılandırmaya eklenmez.

2. Kimlik doğrulama ve oturumlar

Müşteri, bayi ve yönetici oturumları ayrı tutulur. Telefon doğrulaması ile güvenli biçimde bağlanmış Google/Apple kimliği aynı SUCU kullanıcı kaydıyla ilişkilendirilebilir. Yönetici işlemlerinde güçlü parola, uygun işlemlerde çok faktörlü doğrulama ve yeniden doğrulama kullanılır. Hassas oturum bilgilerinin tarayıcı JavaScript depolarında tutulmaması ve çıkışta ilgili oturum ailesinin sunucu tarafında sonlandırılması esastır.

3. Yetki ve işletme ayrımı

Erişim, kullanıcıdan gelen rol beyanına göre değil sunucudaki güncel hesap, yetki, işletme sahipliği ve destek-oturumu kontrollerine göre verilir. Bir su işletmesi başka işletmenin özel sipariş, müşteri, belge, fatura veya rapor kayıtlarına erişemez. Yönetici destek erişimi süreli, görünür ve işlem kayıtlıdır; hedef kullanıcının kendi oturumunu bozmaz.

4. Telefon ve hesap değişiklikleri

Telefon numarası değişikliğinde yalnız yeni numaraya gelen kod yeterli değildir; mevcut hesap sahibinin yakın tarihli doğrulaması ve yeni numaranın doğrulanması birlikte aranır. Eski veya başka hesaba ait bildirim, bağlantı ya da cihaz kaydı tek başına veri erişimi sağlamaz.

5. Dosya ve belge güvenliği

İşletme belgeleri, faturalar ve özel ürün medyası herkese açık bağlantıyla yayımlanmaz. Dosya türü, boyut, bütünlük ve erişim kontrolleri uygulanır; indirme isteği güncel kullanıcı ve işletme kapsamıyla doğrulanır. Görseller farklı kullanım boyutları için işlenebilir; orijinal belge içeriği yetkisiz kişiye açılmaz.

6. Ödeme güvenliği

Online abonelik ödemesi şu anda etkin değildir. iyzico iş yeri onayı ve canlı entegrasyon tamamlandığında ödeme sonucu yalnız tarayıcı dönüşüne göre kabul edilmeyecek, sunucu tarafında doğrulanacaktır. Kart numarası ve CVV SUCU sunucularına alınmayacak; ödeme verisi yetkili ödeme kuruluşunun güvenli akışında işlenecektir. SUCU, üçüncü kişilere ait fatura veya müşteri su siparişi bedelini bayi abonelik ödemesi olarak tahsil etmez.

7. Kayıt, izleme ve kötüye kullanım önleme

Yetkili işlem, hata, denetim ve güvenlik olayları riskle orantılı biçimde kaydedilir. Parola, tek kullanımlık kod, özel anahtar, kart bilgisi ve ham oturum belirteci kayıtlara yazılmaz. Hız sınırlama, oturum iptali, şüpheli işlem kontrolü ve gerekli durumlarda hesap/cihaz yeniden doğrulaması uygulanabilir.

8. Bildirim ve gerçek zamanlı veri

Push bildirimleri ve gerçek zamanlı güncellemeler mümkün olan en az veriyi taşır. Bildirime dokunmak tek başına yetki vermez; uygulama güncel oturum ve işletme durumunu sunucudan yeniden doğrular. Bildirim izni reddedilse bile kullanıcı güncel durumu uygulamayı açarak görebilir.

9. Yedekleme, saklama ve silme

İş sürekliliği için yedek alınabilir; yedek erişimi sınırlandırılır ve geri yükleme işlemleri kayıt altına alınır. Hesap kapatma talebi doğrudan ve anlık fiziksel silme anlamına gelmez. Talebin alınması, hukuki saklama ve açık işlem kontrolleri, kararın ilgili kişiye bildirilmesi ile silme, yok etme veya anonimleştirme işlemi birbirinden ayrı aşamalardır. Süreler ve yöntemler Gizlilik ve KVKK metnindeki saklama-imha kurallarına tabidir. Yetkili tamamlama ve denetim kaydı doğrulanmadan online abonelik tahsilatı açılmaz.

10. Üçüncü taraf ve tedarikçi güvenliği

Barındırma, depolama, iletişim, kimlik, bildirim ve ödeme sağlayıcıları amaçla sınırlı erişim, gizlilik, veri koruma ve hizmet sürekliliği ölçütleriyle değerlendirilir. Tedarikçi kesintilerinin etkisini azaltmak için uygun geri deneme, kuyruklama ve izleme yöntemleri kullanılabilir.

11. Olay müdahalesi

Şüpheli olaylar sınıflandırılır; etkilenebilecek hesaplar, erişimler ve kayıtlar incelenir; gerekli oturumlar iptal edilir ve düzeltici önlemler uygulanır. Mevzuatın gerektirdiği hâllerde yetkili makama ve etkilenen kişilere uygun bildirim yapılır.

12. Güvenlik bildirimi

Şüpheli hesap hareketi veya güvenlik problemi için asgrupbilgiteknolojileri@gmail.com adresinden bize ulaşın. Bildirimde olayın zamanı, etkilenen sayfa/hesap ve yeniden üretme adımları paylaşılabilir; parola, tek kullanımlık doğrulama kodu, kart bilgisi veya özel anahtar gönderilmemelidir.

13. Yürürlük

Bu güvenlik açıklaması 25.10.2026 tarihinde yürürlüğe girer.