Bilgi Güvenliği Politikası

1. Amaç

İşbu Bilgi Güvenliği Politikası ("Politika"), Sobe Medya Reklam Promosyon Medikal Ticaret Limited Şirketi tarafından geliştirilen ve işletilen Praticaret platformunda işlenen bilgi ve verilerin güvenliğinin sağlanmasına ilişkin temel esasları belirlemek amacıyla hazırlanmıştır.

Praticaret; bilgi güvenliğini, hizmet sürekliliğinin ve kullanıcı güveninin temel unsurlarından biri olarak kabul eder.

2. Hizmet Sağlayıcı

Ticari Unvan: Sobe Medya Reklam Promosyon Medikal Ticaret Limited Şirketi
Marka: Praticaret
Vergi Dairesi: Mithatpaşa
Vergi No: 2660840442
Adres: Meşrutiyet Mahallesi Konur Sokak No: 25/13 Çankaya / ANKARA
Telefon: +90 850 346 73 06
E-Posta: info@praticaret.com
KEP: sobemedya@hs06.kep.tr

Praticaret, Sobe Medya Reklam Promosyon Medikal Ticaret Limited Şirketi tarafından geliştirilen ve işletilen yazılım platformudur.

3. Kapsam

Bu Politika;

Praticaret internet sitesi,
SaaS uygulaması,
yönetim panelleri,
kullanıcı hesapları,
API servisleri,
veritabanları,
dosya ve depolama sistemleri,
yedekleme sistemleri,
e-dönüşüm servisleri,
e-ticaret ve pazaryeri entegrasyonları,
kargo ve ödeme entegrasyonları,
destek sistemleri,
bildirim servisleri,
teknik altyapı ve ağ bileşenleri

için uygulanabilecek genel bilgi güvenliği esaslarını kapsar.

4. Bilgi Güvenliğinin Temel İlkeleri

Praticaret bilgi güvenliğini üç temel ilke doğrultusunda ele alır:

Gizlilik: Bilgilere yalnızca yetkili kişi ve sistemlerin erişebilmesi.

Bütünlük: Verilerin yetkisiz şekilde değiştirilmesinin, bozulmasının veya kaybolmasının önlenmesi.

Erişilebilirlik: Yetkili kullanıcıların ihtiyaç duyduğu bilgi ve hizmetlere uygun zamanda erişebilmesi.

Bu üç ilkeye ek olarak doğrulanabilirlik, izlenebilirlik ve hesap verebilirlik de güvenlik yaklaşımının bir parçasıdır.

5. Risk Temelli Güvenlik Yaklaşımı

Praticaret, tüm bilgi ve sistemlerin aynı risk seviyesine sahip olmadığını kabul eder.

Güvenlik tedbirleri;

işlenen verinin niteliği,
sistemin kritikliği,
olası tehdidin etkisi,
teknik altyapı,
kullanıcı sayısı,
entegrasyon yapısı

gibi faktörler dikkate alınarak belirlenir.

6. Erişim Kontrolü

Praticaret sistemlerine erişim, yetkilendirme esasına göre gerçekleştirilir.

Kullanıcı veya personel yalnızca yetkisi dahilindeki bilgilere ve fonksiyonlara erişebilmelidir.

Bu kapsamda rol bazlı erişim kontrolleri uygulanabilir.

Örneğin işletme içerisindeki;

Yönetici,
Muhasebe Kullanıcısı,
Satış Kullanıcısı,
Depo Kullanıcısı,
Entegrasyon Kullanıcısı

gibi farklı kullanıcı tipleri için farklı yetki seviyeleri tanımlanabilir.

7. En Az Yetki İlkesi

Kullanıcılara ve personele yalnızca görevlerini yerine getirmek için gerekli olan minimum erişim yetkisinin verilmesi esas alınır.

Gereksiz veya kullanılmayan erişim yetkileri kaldırılır.

Yetkiler belirli aralıklarla veya görev değişikliklerinde gözden geçirilebilir.

8. Kullanıcı Hesap Güvenliği

Kullanıcılar Praticaret hesaplarının güvenliğini sağlamak amacıyla;

güçlü parola kullanmalı,
parolalarını üçüncü kişilerle paylaşmamalı,
aynı parolayı farklı servislerde tekrar kullanmamalı,
şüpheli girişleri Praticaret'e bildirmeli,
kullanılması halinde iki aşamalı doğrulama yöntemlerini aktif etmelidir.

Kullanıcı hesaplarının güvenliği, Praticaret'in teknik tedbirleri ile kullanıcının kendi sorumluluklarının birlikte uygulanmasına bağlıdır.

9. Parola Güvenliği

Praticaret parola politikalarında uygun teknik güvenlik tedbirleri uygular.

Parolalar mümkün olduğunca güvenli ve tek yönlü kriptografik yöntemlerle saklanmalıdır.

Parolaların düz metin olarak saklanmaması esas alınır.

Gerekli durumlarda minimum parola uzunluğu, karmaşıklık veya tekrar kullanımını önlemeye yönelik kurallar uygulanabilir.

10. Çok Faktörlü Kimlik Doğrulama

Praticaret, güvenliği artırmak amacıyla iki aşamalı veya çok faktörlü kimlik doğrulama mekanizmaları sunabilir.

Bu yöntemler;

E-posta doğrulama,
SMS doğrulama,
Authenticator uygulamaları

gibi ek doğrulama katmanları içerebilir.

Yüksek riskli işlemler için ek doğrulama zorunlu hale getirilebilir.

11. Oturum Güvenliği

Praticaret kullanıcı oturumlarının yetkisiz kullanımını önlemek amacıyla uygun güvenlik kontrolleri uygulayabilir.

Bu kapsamda;

güvenli oturum belirteçleri,
zaman aşımı,
şüpheli oturumların sonlandırılması,
cihaz veya IP bazlı güvenlik kontrolleri

gibi mekanizmalardan yararlanılabilir.

12. Veri İletim Güvenliği

Praticaret ile kullanıcılar veya üçüncü taraf servisler arasındaki veri iletişiminde uygun şifreli iletişim protokollerinin kullanılması hedeflenir.

Web trafiğinde güvenli TLS/HTTPS bağlantıları kullanılır.

API ve entegrasyon trafiğinde de mümkün olduğu ölçüde güvenli iletişim yöntemleri tercih edilir.

13. Veri Depolama Güvenliği

Kritik veya hassas nitelikteki verilerin saklandığı sistemlerde uygun erişim ve güvenlik kontrolleri uygulanır.

Veri erişimleri yalnızca yetkili sistem ve kişilerle sınırlandırılır.

Hassas yapıdaki entegrasyon anahtarları, erişim tokenları veya benzeri bilgiler uygun güvenlik yöntemleriyle saklanmalıdır.

14. API Güvenliği

Praticaret'in API servislerinde;

kimlik doğrulama,
yetkilendirme,
kullanım limiti,
erişim kaydı,
şüpheli istek tespiti

gibi güvenlik önlemleri uygulanabilir.

API anahtarlarının kullanıcılar tarafından güvenli şekilde saklanması gerekir.

Paylaşılan veya ifşa olan erişim anahtarlarının iptal edilmesi ya da yenilenmesi gerekebilir.

15. Entegrasyon Güvenliği

Pazaryeri, e-ticaret, kargo, e-belge ve diğer entegrasyonlarda mümkün olduğunca yalnızca gerekli yetkiler talep edilir.

Entegrasyon erişim bilgileri, ilgili hizmetin çalışması için gerekli olduğu süre boyunca saklanır.

Entegrasyon kaldırıldığında artık gerekli olmayan erişim bilgileri silinebilir veya geçersiz hale getirilebilir.

16. Veritabanı Güvenliği

Veritabanlarına erişim, görev ve sistem ihtiyacı temelinde sınırlandırılır.

Veritabanlarının doğrudan genel internet erişimine açık tutulmaması ve yalnızca gerekli sistemler üzerinden erişilmesi tercih edilir.

Yönetici yetkileri sınırlı tutulur ve kritik işlemler izlenebilir şekilde gerçekleştirilebilir.

17. Sunucu ve Altyapı Güvenliği

Praticaret altyapısında kullanılan sunucular ve servislerde;

erişim sınırlandırmaları,
güvenlik güncellemeleri,
servis izolasyonu,
firewall kuralları,
loglama,
kaynak izleme

gibi teknik tedbirlerden yararlanılabilir.

Gereksiz servis ve portların kapatılması hedeflenir.

18. Ağ Güvenliği

Ağ altyapısında yalnızca gerekli sistemler arasında iletişime izin verilmesi esas alınır.

Güvenlik duvarları, erişim listeleri veya benzeri teknik mekanizmalar kullanılabilir.

Kritik servislerin birbirinden mantıksal veya fiziksel olarak ayrıştırılması risk değerlendirmesine göre uygulanabilir.

19. Güncelleme ve Yama Yönetimi

İşletim sistemleri, uygulama bağımlılıkları, veritabanları ve diğer teknik bileşenlerde ortaya çıkan güvenlik güncellemeleri takip edilir.

Kritik güvenlik açıkları öncelikli olarak değerlendirilir.

Güncellemeler uygulanmadan önce sistem kararlılığı ve hizmet sürekliliği açısından gerekli kontroller yapılabilir.

20. Güvenlik Açığı Yönetimi

Praticaret sistemlerinde tespit edilen güvenlik açıkları;

kritikliği,
etkilediği sistem,
istismar edilebilirliği,
veri güvenliğine etkisi

dikkate alınarak sınıflandırılabilir.

Kritik güvenlik açıkları öncelikli olarak ele alınır.

21. Güvenli Yazılım Geliştirme

Praticaret geliştirme süreçlerinde güvenlik gereksinimlerinin mümkün olduğunca yazılım yaşam döngüsünün bir parçası olarak ele alınması hedeflenir.

Bu kapsamda;

kod incelemeleri,
yetkilendirme kontrolleri,
giriş doğrulama,
hata yönetimi,
bağımlılık güncellemeleri,
güvenlik testleri

uygulanabilir.

22. Test ve Canlı Ortam Ayrımı

Mümkün olduğu ölçüde geliştirme, test ve canlı ortamların birbirinden ayrılması tercih edilir.

Canlı müşteri verilerinin test ortamlarında gereksiz şekilde kullanılmaması esastır.

Test için ihtiyaç duyulan veriler mümkünse anonim veya örnek veri olarak kullanılmalıdır.

23. Loglama ve İzlenebilirlik

Praticaret güvenlik, performans ve işlem takibi amacıyla log kayıtları oluşturabilir.

Loglarda;

kullanıcı girişleri,
kritik işlemler,
API istekleri,
hata kayıtları,
entegrasyon işlemleri,
güvenlik olayları

gibi bilgiler tutulabilir.

Loglara erişim yetkili kişilerle sınırlandırılır.

24. Kritik İşlemlerin Kaydı

Özellikle;

kullanıcı yetkisi değişiklikleri,
hesap güvenliği işlemleri,
entegrasyon ekleme veya kaldırma,
API erişimleri,
önemli finansal işlemler,
e-belge işlemleri

gibi kritik aktivitelerin izlenebilir olması hedeflenir.

Bu kayıtlar hata analizi ve güvenlik incelemeleri için kullanılabilir.

25. Yedekleme

Praticaret veri kaybı riskini azaltmak amacıyla uygun yedekleme sistemlerinden yararlanabilir.

Yedekleme sıklığı ve kapsamı verinin önem derecesine ve sistem mimarisine göre belirlenir.

Yedeklerin ana sistemlerden bağımsız veya erişim açısından ayrıştırılmış şekilde tutulması tercih edilebilir.

26. Yedek Güvenliği

Yedeklerde bulunan veriler de bilgi güvenliği politikalarının kapsamındadır.

Yedeklere erişim yalnızca gerekli teknik personelle sınırlandırılır.

Yedek verilerin yetkisiz kişiler tarafından görüntülenmesini veya değiştirilmesini önlemek amacıyla uygun güvenlik önlemleri uygulanır.

27. Felaket Kurtarma

Ciddi altyapı arızaları veya olağanüstü olaylar halinde hizmetlerin yeniden çalışır duruma getirilmesi amacıyla felaket kurtarma süreçleri uygulanabilir.

Bu süreçler;

yedeklerin geri yüklenmesi,
alternatif altyapı kullanımı,
kritik servislerin önceliklendirilmesi

gibi adımları içerebilir.

28. Hizmet Sürekliliği

Praticaret, kritik hizmetlerin kesintiye uğraması durumunda mümkün olan en kısa sürede yeniden hizmet verilmesini hedefler.

Hizmet sürekliliğine ilişkin detaylar ayrıca Praticaret Hizmet Seviyesi Politikası (SLA) kapsamında düzenlenir.

29. Zararlı Yazılımlardan Korunma

Sunucu, personel cihazları ve ilgili teknik sistemlerde uygun zararlı yazılım koruma, güvenlik güncellemesi ve tehdit tespit yöntemlerinden yararlanılabilir.

Şüpheli dosya veya aktiviteler gerekli güvenlik prosedürleri kapsamında incelenebilir.

30. DDoS ve Kötüye Kullanım Koruması

Praticaret altyapısında uygun olduğu ölçüde dağıtık hizmet engelleme saldırıları, bot trafiği ve kötüye kullanım girişimlerine karşı teknik koruma yöntemlerinden yararlanılabilir.

Şüpheli trafik geçici olarak engellenebilir veya sınırlandırılabilir.

31. Rate Limit ve İşlem Sınırları

API ve kritik servislerin kötüye kullanılmasını önlemek amacıyla kullanıcı, IP, entegrasyon veya servis bazında işlem limitleri uygulanabilir.

Bu limitler sistem güvenliği, servis sürekliliği ve üçüncü taraf API kısıtları doğrultusunda belirlenebilir.

32. Personel Güvenliği

Praticaret sistemlerine erişimi bulunan çalışan veya yetkili kişilerin erişimleri görev gerekliliğine göre belirlenir.

İşe giriş, görev değişikliği veya işten ayrılma durumlarında erişim yetkileri gözden geçirilir.

İş ilişkisi sona eren kişilerin erişimleri uygun zamanda kapatılır.

33. Gizlilik Yükümlülüğü

Müşteri ve kullanıcı verilerine erişen personelin gizlilik yükümlülüğü bulunur.

Bu yükümlülük iş veya hizmet ilişkisi sona erdikten sonra da niteliği gereği devam eder.

34. Sosyal Mühendislik ve Kimlik Avı

Praticaret personelinin ve kullanıcıların sahte e-posta, parola talebi veya kimlik avı gibi saldırılara karşı dikkatli olması gerekir.

Praticaret, kullanıcılarından e-posta veya telefon üzerinden gereksiz şekilde parola paylaşmalarını talep etmez.

Şüpheli mesajlar resmi iletişim kanallarından doğrulanmalıdır.

35. Fiziksel Güvenlik

Praticaret hizmetlerinin üçüncü taraf veri merkezleri veya bulut altyapıları üzerinde barındırılması halinde fiziksel güvenlik tedbirleri ilgili altyapı sağlayıcılarının sorumluluğunda olabilir.

Praticaret, hizmet sağlayıcı seçiminde uygun güvenlik standartlarını dikkate alabilir.

36. Üçüncü Taraf Hizmet Sağlayıcı Güvenliği

Praticaret;

barındırma,
bulut depolama,
ödeme,
e-dönüşüm,
SMS,
e-posta,
destek,
kargo,
diğer entegrasyon

hizmetleri için üçüncü taraf sağlayıcılardan yararlanabilir.

Bu sağlayıcıların hizmetleri değerlendirilirken güvenlik ve veri koruma gereksinimleri dikkate alınır.

37. Üçüncü Taraf Kesintileri

Üçüncü taraf sistemlerde meydana gelen kesintiler Praticaret'in doğrudan kontrolü dışında olabilir.

Bununla birlikte Praticaret, kendi sistemlerinde oluşabilecek etkileri azaltmak amacıyla uygun hata yönetimi, kuyruklama veya yeniden deneme mekanizmaları kullanabilir.

38. Güvenlik Olayı Nedir?

Aşağıdaki durumlar güvenlik olayı olarak değerlendirilebilir:

Yetkisiz erişim,
Hesap ele geçirilmesi,
Şüpheli veri aktarımı,
Zararlı yazılım,
Sistem ihlali,
Veri kaybı,
Yetkisiz veri değişikliği,
Hizmet engelleme saldırısı,
Erişim bilgilerinin ifşa edilmesi.

39. Güvenlik Olayı Yönetimi

Bir güvenlik olayı tespit edildiğinde Praticaret;

Olayı doğrulamayı,
Etkilenen sistemleri belirlemeyi,
Olayın yayılmasını sınırlandırmayı,
Güvenlik açığını gidermeyi,
Hizmeti güvenli şekilde yeniden devreye almayı,
Olayın nedenini analiz etmeyi

hedefler.

40. Kişisel Veri İhlalleri

Bir güvenlik olayının kişisel veri ihlali niteliğinde olması halinde ilgili süreçler KVKK ve yürürlükteki mevzuata uygun olarak ayrıca değerlendirilir.

Gerekli durumlarda ilgili taraflar ve yetkili merciler mevzuat kapsamında bilgilendirilir.

41. Kullanıcıların Güvenlik Olayı Bildirimi

Kullanıcılar hesaplarında veya Platformda şüpheli bir güvenlik durumu tespit etmeleri halinde Praticaret ile mümkün olan en kısa sürede iletişime geçmelidir.

E-Posta: info@praticaret.com
Telefon: +90 850 346 73 06

Bildirimde mümkünse olay tarihi, ekran görüntüsü, hata mesajı veya şüpheli işlem bilgileri paylaşılabilir.

42. Yetkisiz Güvenlik Testleri

Kullanıcılar veya üçüncü kişiler Praticaret'in önceden yazılı izni olmaksızın Platform üzerinde;

güvenlik açığı taraması,
penetrasyon testi,
DDoS testi,
brute-force saldırısı,
yetkisiz veri erişimi

gerçekleştiremez.

İyi niyetli güvenlik açığı bildirimleri için ayrıca güvenlik bildirim süreci oluşturulabilir.

43. Güvenlik Açığı Bildirim Programı

Praticaret ileride sorumlu güvenlik açığı bildirimi programı oluşturabilir.

Bu kapsamda kullanıcılar veya güvenlik araştırmacıları tespit ettikleri güvenlik açıklarını belirlenen güvenlik iletişim adresine iletebilir.

Kamuya açıklama yapılmadan önce Praticaret'e sorunun değerlendirilmesi ve giderilmesi için makul süre verilmesi beklenir.

44. Kullanıcı Verilerinin İzolasyonu

Çok kiracılı SaaS yapısında farklı müşteri hesaplarının verilerinin birbirinden mantıksal olarak ayrıştırılması hedeflenir.

Bir kullanıcının yalnızca yetkili olduğu işletmenin verilerine erişebilmesi için gerekli uygulama düzeyi kontroller uygulanır.

45. Veri Minimizasyonu

Praticaret, hizmet için gerekli olmayan kişisel veya hassas verilerin gereksiz şekilde toplanmamasını hedefler.

Kullanıcıların da Platforma yalnızca iş süreçleri için gerekli verileri eklemeleri önerilir.

46. Özel Nitelikli Kişisel Veriler

Praticaret'in standart ön muhasebe ve e-ticaret hizmetleri özel nitelikli kişisel veri işlemek amacıyla tasarlanmamıştır.

Kullanıcılar, açıkça desteklenmeyen alanlara gereksiz şekilde özel nitelikli kişisel veri girmemelidir.

Özel nitelikli kişisel veri işlenmesi gereken özel modüllerde daha yüksek güvenlik tedbirleri ayrıca uygulanmalıdır.

47. Veri Saklama ve İmha

Güvenliğin bir parçası olarak veriler yalnızca gerekli süre boyunca saklanır.

Saklama süresi sona eren veriler ilgili mevzuata uygun şekilde;

silinir,
yok edilir,
anonim hale getirilir.

Ayrıntılı hükümler Praticaret Veri Saklama ve İmha Politikası içerisinde yer alır.

48. Değişiklik Yönetimi

Kritik sistem ve altyapı değişiklikleri kontrollü şekilde gerçekleştirilir.

Değişiklik öncesinde mümkün olduğu ölçüde;

etki değerlendirmesi,
test,
yedekleme,
geri dönüş planı

hazırlanabilir.

49. Güvenlik Eğitimleri

Praticaret, bilgi sistemlerine veya müşteri verilerine erişimi bulunan personelin bilgi güvenliği farkındalığını artırmaya yönelik eğitim ve bilgilendirme faaliyetleri gerçekleştirebilir.

50. Güvenlik Politikalarının Gözden Geçirilmesi

Bilgi güvenliği tehditleri ve teknolojiler zaman içerisinde değişebileceğinden bu Politika belirli aralıklarla veya önemli sistem değişikliklerinde gözden geçirilebilir.

Gerekli görülen durumlarda güncellenir.

51. Politikanın Diğer Metinlerle İlişkisi

Bu Politika;

KVKK Aydınlatma Metni,
Gizlilik Politikası,
Veri İşleme Sözleşmesi (DPA),
Veri Saklama ve İmha Politikası,
Hizmet Seviyesi Politikası (SLA) ve
Üyelik ve Kullanım Sözleşmesi

ile birlikte değerlendirilir.

52. Sorumluluk

Praticaret, bilgi güvenliği risklerini azaltmak amacıyla uygun teknik ve idari tedbirler uygulamayı hedefler.

Bununla birlikte internet tabanlı hiçbir sistem için mutlak güvenlik garantisi verilemez.

Kullanıcıların hesap güvenliğine ilişkin kendi yükümlülüklerini yerine getirmesi de güvenlik sisteminin önemli bir parçasıdır.

53. Politikanın Güncellenmesi

Teknoloji, altyapı, hizmet kapsamı veya mevzuatta meydana gelen değişiklikler doğrultusunda bu Politika güncellenebilir.

Güncel sürüm Praticaret internet sitesinde yayımlanabilir.

54. İletişim

Bilgi güvenliği veya şüpheli güvenlik olaylarıyla ilgili olarak Praticaret'e ulaşabilirsiniz.

Sobe Medya Reklam Promosyon Medikal Ticaret Limited Şirketi
Marka: Praticaret
Vergi Dairesi: Mithatpaşa
Vergi No: 2660840442
Adres: Meşrutiyet Mahallesi Konur Sokak No: 25/13 Çankaya / ANKARA
Telefon: +90 850 346 73 06
E-Posta: info@praticaret.com
KEP: sobemedya@hs06.kep.tr

Praticaret, Sobe Medya Reklam Promosyon Medikal Ticaret Limited Şirketi tarafından geliştirilen ve işletilen yazılım platformudur.

Resmi Sözleşmelerimiz