Какие меры безопасности применяются в Sora İK?
В Sora İK одновременно применяются шифрованные соединения, хеширование паролей, ролевой доступ и журнал аудита. На этой странице приводятся только проверяемые сведения об архитектуре; в таблице ниже меры собраны вместе.
| Область | Реализация |
|---|---|
| Шифрование при передаче | TLS 1.2 и выше; при поддержке — TLS 1.3 |
| Шифрование хранимых данных | — |
| Хранение паролей | Одностороннее хеширование с argon2id; пароли не хранятся в открытом виде |
| Сеанс | Короткоживущий токен доступа; файлы cookie с флагами httpOnly и Secure |
| Доступ | Ролевые права; двухфакторная аутентификация (2FA) |
| Журнал действий | Журнал аудита для критичных операций |
| Системные журналы (логи) | Персональные данные сводятся к минимуму: адреса электронной почты маскируются, в журнале входов хранится только сетевой префикс IP-адреса |
| Расположение серверов | (уточняется) |
| Резервное копирование | (уточняется) |
Как шифруются данные при передаче?
Весь трафик между вашим браузером и серверами Sora İK шифруется по TLS 1.2 и выше, а при поддержке — по TLS 1.3. Незашифрованные HTTP-запросы перенаправляются на HTTPS, а заголовок HSTS (HTTP Strict Transport Security) сообщает браузерам, что использовать можно только защищённое соединение.
Как хранятся пароли?
Пароли никогда не хранятся в открытом виде: они хешируются в одну сторону по алгоритму argon2id. Пароль должен содержать не менее 10 символов, распространённые пароли не принимаются. Попытки входа и сброса пароля ограничены по частоте; по ответам этих экранов нельзя понять, зарегистрирован ли в системе тот или иной адрес электронной почты.
Кто имеет доступ к данным сотрудников?
Доступ определяется ролью пользователя: в модуле «Роли, права и безопасность» для каждой роли задаётся, какие данные сотрудников пользователь может видеть и изменять. Для документов особой категории нужно отдельное право. Имя, отдел, должность и руководитель сотрудника при этом видны в оргструктуре пользователям с ролями по умолчанию. Модуль «Роли, права и безопасность» также включает двухфакторную аутентификацию; владелец компании может сделать её обязательной для всей компании.
Фиксируются ли выполненные действия?
Да. Критичные операции — одобрение аккаунта, назначение пакета, изменение прав — записываются в журнал аудита (audit log) с указанием пользователя, типа операции, затронутой записи и времени. При изменении записей в приложении фиксируется и то, какие поля изменились; просмотры записей о зарплате, расчёте зарплаты, кандидатах и оценке эффективности, показ идентификационного номера в карточке сотрудника и скачивание документов тоже попадают в журнал аудита. Сохранение прежнего и нового значения изменённого поля скоро появится. В системных журналах персональные данные сводятся к минимуму: адреса электронной почты маскируются, а в журнале входов хранится только сетевой префикс IP-адреса.
Как распределяются роли по KVKK?
В отношении данных сотрудников в Sora İK ответственным за обработку данных (veri sorumlusu) выступает компания-клиент, а обработчиком данных (veri işleyen) — Sora İK. Sora İK обрабатывает эти данные только для оказания услуги и по указаниям клиента; обязанности сторон закреплены в Соглашении об обработке данных. В отношении посетителей сайта, отправителей форм и контактных лиц аккаунтов ответственным за обработку выступает Sora Yazılım Teknolojileri; подробности — в Уведомлении KVKK.
| Данные | Ответственный за обработку | Обработчик |
|---|---|---|
| Данные сотрудников компании-клиента (личные дела, отпуска, табель, зарплата и др.) | Компания-клиент | Sora İK (Sora Yazılım Teknolojileri) |
| Данные посетителей сайта, отправителей форм и контактных лиц аккаунтов | Sora Yazılım Teknolojileri | Перечисленные ниже поставщики услуг (для этих данных — обработчики данных) |
Использование Sora İK не снимает с ответственного за обработку обязанностей по KVKK. Уже сейчас выполнению этих обязанностей способствуют ролевые права, право на документы особой категории и журнал просмотров чувствительных данных; модуль «Управление соответствием KVKK», который будет фиксировать реестр персональных данных, сроки хранения и обращения субъектов данных, скоро появится.
С какими субобработчиками работает Sora İK?
Для оказания услуги Sora İK привлекает следующих субобработчиков. Тот же список приведён в соглашении об обработке данных.
| Субобработчик | Цель | Расположение |
|---|---|---|
| (уточняется) | Размещение приложения, базы данных и резервных копий | (уточняется) |
| (уточняется) | Отправка писем для подтверждения аккаунта, сброса пароля и уведомлений | (уточняется) |
| Cloudflare | Управление доменом (DNS) и доставка медиафайлов (media.sora-ik.com) | За пределами Турции (глобальная сеть) |
| Cloudflare R2 | Хранение файлов кадровых документов и резервных копий базы данных | Европа (Восточная Европа, указание расположения EEUR; опция юрисдикции ЕС не используется) |
| Cloudflare Turnstile | Защита форм от автоматических отправок (ботов) | За пределами Турции (глобальная сеть) |
Сведения о передаче данных за пределы Турции приведены в Уведомлении KVKK. Инструменты аналитики работают только на сайте и только с вашего согласия на использование cookie; подробности — в Политике в отношении cookie.
Как защищены сайт и формы?
Общедоступные формы на сайте (обратная связь, демо, запрос по KVKK и регистрация компании) защищены проверкой Cloudflare Turnstile и ограничением частоты запросов с одного IP-адреса; все вводимые данные проверяются на сервере. Для изменяющих запросов, которые пользователи, вошедшие в систему, отправляют с cookie, дополнительно применяется защита от CSRF (межсайтовой подделки запросов). Сайт публикуется с политикой безопасности контента (CSP), HSTS и другими заголовками безопасности.
Можно ли выгрузить ваши данные?
Да. Данные, которые вы вносите в Sora İK, принадлежат вам: в течение подписки и при её окончании в формате CSV можно выгрузить данные табеля и расчёта зарплаты, отчёты, включая сводный отчёт по отпускам, и журнал аудита. Выгрузка списка сотрудников в CSV скоро появится. После прекращения договора данные удаляются в срок, указанный в договоре продажи и подписки.
С вопросами о безопасности обращайтесь через форму обратной связи; для обращений по KVKK предусмотрена отдельная страница запроса по KVKK.