Bilgi Güvenliği

Hizmetlerimiz Avrupa'da, ISO 27001 sertifikalı veri merkezlerinde barındırılır. Veritabanı katmanımız, SOC 2 Type II denetiminden geçmiş bir bulut platformu üzerinde çalışır.

Üretim ortamı, test ve geliştirme ortamlarından tamamen ayrıktır; gerçek veriler geliştirme ortamlarında kullanılmaz.

Web sitemiz, masaüstü uygulamamız ve sunucularımız arasındaki tüm veri trafiği TLS (HTTPS) ile şifrelenir. Şifresiz bağlantı kabul edilmez.

Veritabanında tutulan veriler, altyapı sağlayıcılarımızın disk düzeyinde şifrelemesi (encryption at rest) ile korunur. API anahtarları ve benzeri gizli yapılandırma değerleri sunucu tarafında şifreli ve erişimi kısıtlı biçimde saklanır; istemci tarafına hiçbir gizli anahtar gönderilmez.

Veritabanımızda satır düzeyinde güvenlik (Row-Level Security) politikaları uygulanır: her kullanıcı yalnızca kendi eczanesine ait kayıtları görebilir ve değiştirebilir. Bu kontrol uygulama kodundan bağımsız olarak veritabanı katmanında zorunlu tutulur.

Eczacı, teknisyen, firma personeli ve yönetici rolleri birbirinden ayrıdır; yönetici işlemleri hem oturum katmanında hem de sunucu tarafında ayrıca doğrulanır. Kritik işlemler (ödeme, kredi hareketi) değiştirilemez işlem kayıtlarıyla loglanır.

Ödemeler, BDDK lisanslı ödeme kuruluşu PayTR Ödeme ve Elektronik Para Hizmetleri A.Ş. altyapısı üzerinden 3D Secure ile alınır. PayTR, kart verisi güvenliğinde en üst seviye olan PCI-DSS Level 1 sertifikasına sahiptir.

Kart numaranız, CVV ve son kullanma tarihiniz sunucularımıza hiç uğramaz; otomatik yenileme için kart saklama tamamen PayTR tarafında yapılır. Ödeme bildirimleri (webhook) HMAC-SHA256 imza doğrulamasından geçirilir; imzası doğrulanamayan hiçbir bildirim işleme alınmaz.

Kayıt ve form akışları bot saldırılarına karşı doğrulama katmanıyla korunur. Tarayıcı tarafında clickjacking ve MIME-sniffing saldırılarına karşı güvenlik başlıkları uygulanır; yoğun kullanılan uç noktalarda hız sınırlama (rate limiting) devrededir.

Kod tabanımız üzerinde düzenli iç güvenlik denetimleri yapılır; erişim politikaları ve API yüzeyi periyodik olarak gözden geçirilir, bulgular önceliklendirilerek kapatılır.

Verileriniz günlük artımlı, haftalık tam yedekleme düzeniyle korunur ve yedekler üretim ortamından ayrı bir ortamda saklanır.

Altyapı sürekli izlenir; kesinti veya anormallik durumunda ekibimiz otomatik olarak bilgilendirilir.

Medula oturumu, eczane bilgisayarınızdaki masaüstü uygulaması üzerinden sizin kontrolünüzde açılır. Medula giriş bilgileriniz sunucularımıza gönderilmez ve tarafımızca saklanmaz.

Reçete kontrolü sırasında sunucularımıza yalnızca analiz için gerekli teknik veriler iletilir (bkz. veri asgariliği ilkemiz).

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki yükümlülüklerimizi aydınlatma metnimiz ve açık rıza süreçlerimizle yerine getiririz. Veri sorumlusu Avus Ar-Ge Sanayi ve Ticaret Limited Şirketi'dir.

Verilerinizle ilgili bilgi, düzeltme veya silme başvurularınızı [email protected] adresine yazılı olarak iletebilirsiniz; başvurular KVKK'daki yasal süreler içinde yanıtlanır.