Welche Sicherheitsmaßnahmen setzt Sora İK ein?
In Sora İK wirken verschlüsselte Verbindungen, gehashte Passwörter, rollenbasierte Berechtigungen und ein Audit-Log zusammen. Diese Seite enthält ausschließlich überprüfbare Angaben zur Architektur; die folgende Tabelle fasst die Maßnahmen zusammen.
| Bereich | Umsetzung |
|---|---|
| Verschlüsselung bei der Übertragung | TLS 1.2 oder höher; TLS 1.3, sofern unterstützt |
| Verschlüsselung gespeicherter Daten | — |
| Passwortspeicherung | Einweg-Hashing mit argon2id; Passwörter werden nie im Klartext gespeichert |
| Sitzung | Kurzlebiges Zugriffstoken; Cookies mit den Attributen httpOnly und Secure |
| Zugriff | Rollenbasierte Berechtigungen; Zwei-Faktor-Authentifizierung (2FA) |
| Vorgangsprotokoll | Audit-Log für kritische Vorgänge |
| Systemprotokolle (Logs) | Personenbezogene Daten werden minimiert: E-Mail-Adressen werden maskiert, im Anmeldeprotokoll wird von der IP-Adresse nur das Netzwerkpräfix gespeichert |
| Serverstandort | (wird ergänzt) |
| Datensicherung | (wird ergänzt) |
Wie werden Daten bei der Übertragung verschlüsselt?
Der gesamte Datenverkehr zwischen Ihrem Browser und den Servern von Sora İK wird mit TLS 1.2 oder höher verschlüsselt, sofern unterstützt mit TLS 1.3. Unverschlüsselte HTTP-Anfragen werden auf HTTPS umgeleitet, und der HSTS-Header (HTTP Strict Transport Security) weist Browser an, ausschließlich verschlüsselte Verbindungen zu verwenden.
Wie werden Passwörter gespeichert?
Passwörter werden niemals im Klartext gespeichert, sondern mit dem Algorithmus argon2id als Einweg-Hash abgelegt. Ein Passwort muss mindestens 10 Zeichen lang sein, häufig verwendete Passwörter werden abgelehnt. Anmelde- und Passwort-Zurücksetzungsversuche sind durch eine Ratenbegrenzung geschützt; aus den Antworten dieser Masken lässt sich nicht ablesen, ob eine E-Mail-Adresse im System registriert ist.
Wer kann auf welche Mitarbeiterdaten zugreifen?
Der Zugriff richtet sich nach der Rolle, die einem Nutzer zugewiesen ist: Mit dem Modul Rollen, Berechtigungen und Sicherheit legen Sie pro Rolle fest, welcher Nutzer welche Mitarbeiterdaten sehen und ändern darf. Für Dokumente besonderer Art ist eine gesonderte Berechtigung nötig. Name, Abteilung, Stelle und Führungskraft der Mitarbeitenden sind dagegen im Organigramm für Nutzer in den Standardrollen sichtbar. Das Modul Rollen, Berechtigungen und Sicherheit umfasst auch die Zwei-Faktor-Authentifizierung; der Unternehmensinhaber kann sie für das gesamte Unternehmen verpflichtend machen.
Werden Vorgänge protokolliert?
Ja. Kritische Vorgänge wie Kontofreigaben, Paketzuweisungen und Änderungen von Berechtigungen werden mit ausführendem Nutzer, Vorgangsart, betroffenem Datensatz und Zeitpunkt im Audit-Log festgehalten. Bei Änderungen an Datensätzen in der Anwendung wird auch erfasst, welche Felder geändert wurden; das Ansehen von Gehalts-, Lohnabrechnungs-, Bewerber- und Leistungsdaten, die Anzeige der Identitätsnummer in der Personalkarte und Dokument-Downloads werden ebenfalls im Audit-Log erfasst. Dass der vorherige und der neue Wert eines geänderten Feldes gespeichert werden, folgt demnächst. In den Systemprotokollen werden personenbezogene Daten dagegen minimiert: E-Mail-Adressen werden maskiert, und im Anmeldeprotokoll wird von der IP-Adresse nur das Netzwerkpräfix gespeichert.
Wie verteilen sich die Rollen nach dem KVKK?
Für die Mitarbeiterdaten in Sora İK ist das Kundenunternehmen Verantwortlicher, Sora İK Auftragsverarbeiter. Sora İK verarbeitet diese Daten ausschließlich zur Erbringung des Dienstes und nach den Weisungen des Kunden; die Pflichten beider Seiten regelt der Auftragsverarbeitungsvertrag. Für Websitebesucher, Absender von Formularen und Kontoverantwortliche ist dagegen Sora Yazılım Teknolojileri der Verantwortliche; Einzelheiten enthält der KVKK-Datenschutzhinweis.
| Daten | Verantwortlicher | Auftragsverarbeiter |
|---|---|---|
| Mitarbeiterdaten des Kundenunternehmens (Personalakte, Urlaub, Anwesenheitsliste, Lohnabrechnung usw.) | Kundenunternehmen | Sora İK (Sora Yazılım Teknolojileri) |
| Daten von Websitebesuchern, Formularabsendern und Kontoverantwortlichen | Sora Yazılım Teknolojileri | Die unten aufgeführten Dienstleister (für diese Daten unmittelbar Auftragsverarbeiter) |
Die Nutzung von Sora İK hebt die KVKK-Pflichten des Verantwortlichen nicht auf. Heute tragen rollenbasierte Berechtigungen, die Berechtigung für Dokumente besonderer Art und das Protokoll der Ansichten sensibler Daten zu diesen Pflichten bei; das Modul KVKK-Compliance-Management, das Inventar personenbezogener Daten, Aufbewahrungsfristen und Anträge betroffener Personen dokumentiert, folgt demnächst.
Mit welchen Unterauftragsverarbeitern arbeitet Sora İK?
Zur Erbringung des Dienstes nutzt Sora İK die folgenden Unterauftragsverarbeiter. Dieselbe Liste ist im Auftragsverarbeitungsvertrag enthalten.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| (wird ergänzt) | Hosting von Anwendung, Datenbank und Backups | (wird ergänzt) |
| (wird ergänzt) | Versand von E-Mails zur Kontobestätigung, Passwortzurücksetzung und Benachrichtigung | (wird ergänzt) |
| Cloudflare | Domainverwaltung (DNS) und Auslieferung von Mediendateien (media.sora-ik.com) | Außerhalb der Türkei (globales Netzwerk) |
| Cloudflare R2 | Speicherung von Personaldokumenten und Datenbank-Backups | Europa (Osteuropa, Standorthinweis EEUR; die Option EU-Gerichtsbarkeit wird nicht genutzt) |
| Cloudflare Turnstile | Abwehr automatisierter Formularübermittlungen (Bots) | Außerhalb der Türkei (globales Netzwerk) |
Informationen zur Übermittlung von Daten ins Ausland enthält der KVKK-Datenschutzhinweis. Analysewerkzeuge laufen nur auf der Website und nur mit Ihrer Cookie-Einwilligung; Einzelheiten finden Sie in der Cookie-Richtlinie.
Wie sind Website und Formulare geschützt?
Die öffentlichen Formulare der Website (Kontakt, Demo, KVKK-Antrag und Unternehmensregistrierung) sind durch eine Cloudflare-Turnstile-Prüfung und eine Ratenbegrenzung pro IP-Adresse geschützt; alle Eingaben werden serverseitig validiert. Für ändernde Anfragen angemeldeter Nutzer, die per Cookie gesendet werden, gilt zusätzlich ein CSRF-Schutz (Cross-Site Request Forgery). Die Website wird mit Sicherheitsheadern wie Content Security Policy (CSP) und HSTS ausgeliefert.
Können Sie Ihre Daten exportieren?
Ja. Die Daten, die Sie in Sora İK erfassen, gehören Ihnen; während der Laufzeit und an deren Ende können Sie Ihre Anwesenheits- und Lohnabrechnungsdaten, Ihre Berichte einschließlich des Urlaubsübersichtsberichts und das Audit-Log als CSV-Datei exportieren. Der CSV-Export der Personalliste folgt demnächst. Nach Vertragsende werden die Daten innerhalb der im Verkaufs- und Abonnementvertrag genannten Frist gelöscht.
Für Fragen zur Sicherheit nutzen Sie bitte das Kontaktformular; für Anträge nach dem KVKK gibt es eine eigene Seite für KVKK-Anträge.