Sora İK'da hangi güvenlik önlemleri uygulanır?
Sora İK'da şifreli bağlantı, özetlenmiş parolalar, rol bazlı yetki ve denetim kaydı birlikte uygulanır. Bu sayfada yalnızca doğrulanabilir mimari bilgiler yer alır; aşağıdaki tablo önlemleri bir arada gösterir.
| Alan | Uygulama |
|---|---|
| Aktarım sırasında şifreleme | TLS 1.2 ve üzeri; desteklendiğinde TLS 1.3 |
| Bekleyen veri şifrelemesi | — |
| Parola saklama | argon2id ile tek yönlü özetleme; parolalar düz metin olarak saklanmaz |
| Oturum | Kısa ömürlü erişim belirteci; httpOnly ve Secure işaretli çerezler |
| Erişim | Rol bazlı yetki; iki adımlı doğrulama (2FA) |
| İşlem kaydı | Kritik işlemler için denetim kaydı |
| Sistem kayıtları (log) | Kişisel veri en aza indirilir: e-posta adresleri maskelenir, giriş kaydında IP adresinin yalnızca ağ öneki tutulur |
| Sunucu lokasyonu | (belirlenecek) |
| Yedekleme | (belirlenecek) |
Veriler aktarım sırasında nasıl şifrelenir?
Tarayıcınız ile Sora İK sunucuları arasındaki tüm trafik TLS 1.2 ve üzeri sürümlerle, desteklendiğinde TLS 1.3 ile şifrelenir. Şifresiz HTTP istekleri HTTPS adresine yönlendirilir ve tarayıcılara HSTS (HTTP Strict Transport Security) başlığıyla yalnızca şifreli bağlantı kullanmaları bildirilir.
Parolalar nasıl saklanır?
Parolalar hiçbir zaman düz metin olarak saklanmaz; argon2id algoritmasıyla tek yönlü özetlenerek tutulur. Parola belirlerken en az 10 karakter istenir ve yaygın kullanılan parolalar kabul edilmez. Giriş ve parola sıfırlama denemeleri hız sınırıyla korunur; bir e-posta adresinin sistemde kayıtlı olup olmadığı bu ekranların yanıtlarından anlaşılamaz.
Kim hangi çalışan verisine erişebilir?
Erişim, kullanıcıya atanan role göre belirlenir: Rol, Yetki ve Güvenlik modülüyle hangi kullanıcının hangi çalışan verisini görebileceği ve değiştirebileceği rol bazında tanımlanır. Özel nitelikli belgeler için ayrı bir yetki gerekir. Çalışanların adı, departmanı, pozisyonu ve yöneticisi ise organizasyon şemasında varsayılan rollerdeki kullanıcılara görünür. Rol, Yetki ve Güvenlik modülü iki adımlı doğrulamayı da kapsar; firma sahibi iki adımlı doğrulamayı firma genelinde zorunlu kılabilir.
Yapılan işlemler kayıt altına alınır mı?
Evet. Hesap onayı, paket tanımı ve yetki değişiklikleri gibi kritik işlemler; işlemi yapan kullanıcı, işlem türü, etkilenen kayıt ve zaman bilgisiyle denetim kaydına (audit log) yazılır. Uygulamadaki kayıt değişikliklerinde hangi alanların değiştiği de kaydedilir; ücret, bordro, aday ve performans kayıtlarının görüntülenmesi, personel kartında kimlik numarasının gösterilmesi ve belge indirmeler de denetim kaydına girer. Değişen alanın önceki ve sonraki değerinin tutulması yakında eklenecek. Sistem kayıtlarında ise kişisel veri en aza indirilir: e-posta adresleri maskelenir, giriş kaydında IP adresinin yalnızca ağ öneki tutulur.
KVKK kapsamında roller nasıl dağılır?
Sora İK'daki çalışan verileri için müşteri firma veri sorumlusu, Sora İK ise veri işleyendir. Sora İK bu verileri yalnızca hizmeti sunmak amacıyla ve müşterinin talimatları doğrultusunda işler; tarafların yükümlülükleri Veri İşleme Sözleşmesi'nde düzenlenir. Web sitesi ziyaretçileri, form gönderenler ve hesap yetkilileri için ise Sora Yazılım Teknolojileri veri sorumlusudur; ayrıntılar KVKK Aydınlatma Metni'nde yer alır.
| Veri | Veri sorumlusu | Veri işleyen |
|---|---|---|
| Müşteri firmanın çalışan verileri (özlük, izin, puantaj, bordro vb.) | Müşteri firma | Sora İK (Sora Yazılım Teknolojileri) |
| Site ziyaretçisi, form gönderen ve hesap yetkilisi bilgileri | Sora Yazılım Teknolojileri | Aşağıda listelenen hizmet sağlayıcılar (bu verilerde doğrudan veri işleyen) |
Sora İK'yı kullanmak, veri sorumlusunun KVKK yükümlülüklerini ortadan kaldırmaz. Bugün rol bazlı yetki, özel nitelikli belge yetkisi ve hassas veri görüntüleme kaydı bu yükümlülüklere katkı verir; kişisel veri envanterini, saklama sürelerini ve ilgili kişi başvurularını kayıt altına alacak KVKK Uyum Modülü yakında eklenecek.
Sora İK hangi alt işleyenlerle çalışır?
Sora İK, hizmeti sunmak için aşağıdaki alt işleyenlerden yararlanır. Aynı liste veri işleme sözleşmesinde de yer alır.
| Alt işleyen | Amaç | Konum |
|---|---|---|
| (belirlenecek) | Uygulama, veritabanı ve yedeklerin barındırılması | (belirlenecek) |
| (belirlenecek) | Hesap doğrulama, parola sıfırlama ve bildirim e-postalarının gönderimi | (belirlenecek) |
| Cloudflare | Alan adı yönetimi (DNS) ve medya dosyalarının (media.sora-ik.com) dağıtımı | Yurt dışı (küresel ağ) |
| Cloudflare R2 | Personel belge dosyalarının ve veritabanı yedeklerinin saklanması | Avrupa (Doğu Avrupa, EEUR konum ipucu; AB yargı alanı seçeneği kullanılmaz) |
| Cloudflare Turnstile | Formlarda otomatik (bot) gönderimlerin engellenmesi | Yurt dışı (küresel ağ) |
Yurt dışına aktarıma ilişkin bilgiler KVKK Aydınlatma Metni'nde açıklanır. Web sitesindeki analitik araçlar yalnızca sitede ve çerez onayınızla çalışır; ayrıntılar Çerez Politikası'ndadır.
Web sitesi ve formlar nasıl korunur?
Sitedeki herkese açık formlar (iletişim, demo, KVKK başvurusu ve firma kaydı) Cloudflare Turnstile doğrulaması ve IP başına hız sınırıyla korunur; tüm girdiler sunucuda doğrulanır. Oturum açmış kullanıcıların çerezle yaptığı değiştirici isteklerde ayrıca CSRF (siteler arası istek sahteciliği) koruması uygulanır. Site; içerik güvenliği politikası (CSP), HSTS ve benzeri güvenlik başlıklarıyla yayımlanır.
Verilerinizi dışa aktarabilir misiniz?
Evet. Sora İK'ya girdiğiniz verilerin mülkiyeti sizdedir; abonelik süresince ve sona ermesinde puantaj ve bordro verilerinizi, izin özet raporu dahil raporlarınızı ve denetim kaydını CSV biçiminde dışa aktarabilirsiniz. Personel listesinin CSV olarak dışa aktarımı yakında eklenecek. Sözleşme sona erdikten sonra veriler, satış ve abonelik sözleşmesinde belirtilen süre içinde silinir.
Güvenlikle ilgili sorularınız için iletişim formunu kullanabilirsiniz; KVKK kapsamındaki başvurular için KVKK başvuru sayfası ayrıca hazırlanmıştır.