Veri Koruma

Bu sayfa, SunPeak Innovations LLC'nin web sitemizde, SP SmartCloud platformunda, SunPeak Devices mobil uygulamasında ve cihazlarımızda verileri korumak için uyguladığı teknik ve idari tedbirleri açıklar. Bu sayfa ayrıca GDPR Uyumluluğu sayfamızdaki veri işleme koşullarında atıfta bulunulan güvenlik tedbirleri açıklamasını oluşturur. Hangi kişisel verileri neden işlediğimiz Gizlilik Politikamızda açıklanmıştır.

1. Yaklaşımımız

Yalnızca hizmetlerimizi sunmak için gerekli olan verileri toplar, platformun verilerini Avrupa Birliği'nde tutar ve korumayı yalnızca sunucularımıza değil, cihazlarımıza da yerleştiririz. Burada yalnızca fiilen uygulanmakta olan tedbirleri açıklar ve bu tedbirler değiştiğinde bu sayfayı güncelleriz.

2. Verilerin saklandığı yer

• Platformun uygulama sunucuları ve veritabanı, Avrupa Birliği'nin Belçika bölgesindeki Google Cloud üzerinde çalışır.
• Platforma yüklenen dosyalar Google Cloud Storage'da saklanır.
• Ödeme hizmetimiz, Avrupa Birliği'nin Almanya bölgesindeki Google Cloud üzerinde çalışır. Kartlı ödemeler lisanslı bir ödeme hizmeti sağlayıcısı tarafından işlenir; kart bilgileri sistemlerimize hiçbir zaman ulaşmaz.
• Web sitesi Google Firebase Hosting tarafından sunulur.
• E-postalarımız Google Workspace üzerinde çalışır.

3. Şifreleme

• Web sitesine, platforma ve API'ye yalnızca şifreli HTTPS bağlantıları üzerinden erişilebilir.
• Google Cloud, depolanan (durağan) verileri varsayılan olarak şifreler.
• Parolalar hiçbir zaman okunabilir biçimde saklanmaz; yalnızca tuzlanmış bir kriptografik özet (PBKDF2-SHA256) saklarız.
• Mobil uygulamada oturum açma belirteciniz telefonun güvenli depolama alanında (iOS'ta Keychain, Android'de şifreli depolama) tutulur.

4. Erişim kontrolü

• Her müşterinin verileri kendi çalışma alanında (workspace) tutulur ve yalnızca o çalışma alanının kullanıcılarına, rollerine göre erişilebilir: sahip, yönetici veya üye.
• Oturum açma; e-posta, SMS veya Telegram ile gönderilen, iki dakika sonra geçerliliğini yitiren ve sınırlı sayıda denemeye izin veren tek kullanımlık kodlarla ya da parolayla yapılır.
• Oturum açma işlemleri ve ekipmana verilen manuel komutlar, çalışma alanı sahibinin ve yöneticilerinin inceleyebileceği bir denetim kaydına işlenir.
• API anahtarları çalışma alanı bazında verilir, kullanım sınırlarına tabidir ve her zaman iptal edilebilir.
• Canlı ortamdaki (production) sistemlerimize erişim, işleri için buna ihtiyaç duyan az sayıda yetkili kişiyle sınırlıdır.

5. Cihazların ve radyo iletişiminin güvenliği

• Cihazlar, her mesajın içeriğini AES-128 ile şifreleyen ve mesajın tamamını bir bütünlük koduyla koruyan LoRaWAN protokolünü kullanarak iletişim kurar; böylece değiştirilmiş veya sahte mesajlar reddedilir. Helium gibi kamuya açık ağlarda, ağ sunucusunun operatörü de mesajları bize iletmek amacıyla işler.
• Cihazlara radyo üzerinden gönderilen yapılandırma komutları, her cihaza özgü olan ve hiçbir zaman radyo üzerinden iletilmeyen gizli bir anahtarla imzalanır; cihaz, imzası geçersiz olan komutları reddeder.
• SP Net ağ geçitlerine yönelik bellenim güncellemeleri dijital olarak imzalanır ve bir ağ geçidi yalnızca geçerli imzaya sahip bir bellenim imajını yükler.
• NFC üzerinden yapılandırma, cihaza fiziksel erişim gerektirir.
• Bir cihazın herkese açık doğrulama sayfası cihazın modelini, üretim ayını ve test ve kalibrasyon sonuçlarını gösterir. İlgili belgelerde ayrıca, Gizlilik Politikamızda açıklandığı üzere, kalite personelimizin adları yer alır ve cihaz sahibinin adı da yer alabilir.

6. Verilerin en aza indirilmesi ve saklama süreleri

• Web sitemiz çerez, analiz aracı veya reklam izleyicisi kullanmaz.
• Mobil uygulamanın konumunuza erişimi yoktur ve uygulama herhangi bir analiz veya reklam aracı içermez.
• Ham radyo mesajları 7 gün sonra silinir; yalnızca işlenmiş ölçümler saklanır.
• Webhook iletim kayıtları 24 saat sonra, iletim başarısız olduysa 30 gün sonra silinir.
• Diğer verilerin saklama süreleri Gizlilik Politikamızda listelenmiştir.

7. Yedekleme ve güvenilirlik

Platform veritabanı, Google Cloud'un yönetilen veritabanı hizmeti üzerinde çalışır. Canlı ortamdaki veritabanının yapısında yapılan her değişiklikten önce, bir sorun çıkması hâlinde verilerin geri yüklenebilmesi için tam bir yedek kopya alırız.

8. Geliştirme ve organizasyon

• Yazılımımızdaki değişiklikler, yayına alınmadan önce otomatik testlerle kontrol edilir.
• Kişisel veriler üzerinde bizim adımıza çalışan herkes gizlilik yükümlülüğüne tabidir: yönetimimiz ve çalışanlarımız şirket esas sözleşmesi ve verdikleri yazılı taahhütler uyarınca, yükleniciler ise yazılı sözleşmeler uyarınca.
• Uygun güvenceler içeren veri işleme koşulları sunan hizmet sağlayıcıları kullanır ve bunları Gizlilik Politikamızda ve GDPR Uyumluluğu sayfamızda listeleriz.

9. Güvenlik olaylarına müdahale

Bir güvenlik olayı tespit edersek, olayı kontrol altına almak, etkisini değerlendirmek ve normal işleyişi yeniden sağlamak için derhal harekete geçeriz. Bir olay, veri sorumlusu sıfatıyla işlediğimiz kişisel verileri etkiliyorsa, olayın kişilerin hak ve özgürlükleri açısından bir risk doğurma ihtimali bulunmadıkça, Gürcistan Kişisel Verileri Koruma Servisi'ni ve GDPR'ın veya KVKK'nın uygulandığı hâllerde yetkili denetim makamını veya Kişisel Verileri Koruma Kurulu'nu 72 saat içinde bilgilendiririz ve ilgili kişiler için riskin yüksek olduğu durumlarda bu kişileri gereksiz gecikme olmaksızın bilgilendiririz. Bir olay, müşteriler adına işlediğimiz verileri etkiliyorsa, kendi yükümlülüklerini yerine getirebilmeleri için bu müşterileri gereksiz gecikme olmaksızın bilgilendiririz.

10. Sertifikalar

SunPeak Innovations LLC şu anda ISO/IEC 27001 veya SOC 2 raporu gibi bağımsız bir bilgi güvenliği sertifikasına sahip değildir. Platformumuzu barındıran Google, kendi altyapısı için bu tür sertifikalara sahiptir; ancak bu sertifikalar SunPeak'in kendi süreçlerini belgelendirmez. Bir sertifika almamız hâlinde bunu bu sayfada belirteceğiz.

11. Güvenlik açığı bildirimi

Web sitemizde, platformumuzda, uygulamamızda veya cihazlarımızda bir güvenlik açığı bulduğunuzu düşünüyorsanız, lütfen konu satırına "Security" yazarak info@sunpeaki.com adresine e-posta gönderin ve açığı kamuya açıklamadan önce gidermemiz için bize makul bir süre tanıyın. Size ait olmayan verilere erişmeyin, bunları değiştirmeyin veya silmeyin ve hizmetlerimizi aksatmayın. Bir güvenlik açığını iyi niyetle ve bu kurallara uygun şekilde bildiren hiç kimseye karşı hukuki işlem başlatmayacağız.

12. İletişim

SunPeak Innovations LLC, Gldani Khevi, Building 3, Floor 1, 0178 Tbilisi, Gürcistan. E-posta: info@sunpeaki.com. Telefon: +995 598 281 522.