Güvenlik

Yonevo; site ve apartman yönetimlerinin finansal verilerini ve sakin bilgilerini barındıran bir platformdur. Aşağıda, uygulanan güvenlik mekanizmalarını açıklıyoruz. Kurumsal belge ve hizmet seviyesi değerlendirmeleri için sayfanın sonundaki Kurumsal Doğrulama bölümüne bakabilirsiniz.

• Her sitenin verisi veri katmanında yalıtılır; bu sınır uygulama kodunun dikkatine bırakılmaz.
• Kayıt değişiklikleri veri katmanında denetim izine yazılır.
• Yetkilendirme rol bazlıdır ve en az yetki ilkesine göre kurulur.
• Tüm trafik TLS ile şifrelenir; HSTS zorunludur.

Bu sayfa pazarlama metni değil, teknik bir beyandır. Doğrulayamadığımız hiçbir standart ya da sertifika burada iddia edilmez.

Çok kiracılı bir sistemde en ciddi risk, bir sitenin verisinin başka bir siteye görünmesidir. Yonevo bunu geliştiricinin dikkatine bırakmaz:

• Site sınırı veri erişim katmanında zorunlu tutulur. Site bağlamı olmayan bir sorgu çalışmaz — fail-closed davranır, yani şüphede kalırsa açılmaz, kapanır.
• Aynı kural silme ve güncelleme işlemleri için de geçerlidir; kapsam dışı bir kaydı değiştirmek mümkün değildir.
• Birden fazla site yöneten kullanıcılarda aktif site bağlamı tarayıcı sekmesi başına tutulur; iki sekmede iki farklı site açıkken kayıtlar birbirine karışmaz.

• Uygulama sunucuları Türkiye'dedir. Veritabanı ve uygulama katmanı yurt içinde barındırılır.
• Web trafiği bir CDN ve güvenlik duvarı (Cloudflare) arkasından geçer; bu katman DDoS ve kötü niyetli istek filtrelemesi sağlar.
• Bütün trafik TLS üzerinden taşınır. HSTS (alt alan adları dahil), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy ve Cross-Origin-Opener-Policy başlıkları aktiftir.
• Uygulama süreç yöneticisi altında çalışır; sağlık uçları (uygulama, veritabanı ve kiracı bağlamı) sürekli sorgulanabilir durumdadır.

• Aktarımda: Tüm istemci–sunucu trafiği TLS ile şifrelenir; HTTP istekleri HTTPS'e yönlendirilir.
• Hassas alanlarda: Banka entegrasyonu kimlik bilgileri gibi kritik alanlar veritabanında düz metin tutulmaz; AES-256-GCM ile şifrelenmiş tek bir demet hâlinde saklanır. Demet, ileride anahtar değişimine izin verecek şekilde sürümlenir.
• Parolalar: Hiçbir parola geri döndürülebilir biçimde saklanmaz; bcrypt ile özetlenir.
• Oturum ve doğrulama kodları: Yenileme jetonları tekil kimlikle izlenir ve kullanıldığında döner.

• İki adımlı doğrulama: Authenticator uygulamalarıyla çalışan TOTP (RFC 6238) ve SMS tabanlı doğrulama desteklenir. Cihaz hatırlama tercihi iki adımlı doğrulamayı devre dışı bırakmaz.
• Oturum güvenliği: Kimlik doğrulama HttpOnly çerez üzerinden yapılır — jeton tarayıcı betiğine açılmaz. CSRF koruması aktiftir. Kısa ömürlü erişim jetonu, dönen yenileme jetonu kullanılır.
• Rol bazlı yetki: Kullanıcılar yalnızca yetkilendirildikleri sitelerde, yetkilendirildikleri işlemleri yapabilir.
• Kaba kuvvet koruması: Giriş ve doğrulama uçlarında oran sınırlama uygulanır; SMS doğrulamada hem IP hem telefon numarası bazında sınır işletilir.
• Parola politikası: Parola karmaşıklığı tek bir merkezî kuralla zorlanır; sıfırlama bağlantıları tek kullanımlıktır ve süreyle sınırlıdır.

• Veritabanı erişimi ORM üzerinden parametrik sorgularla yapılır; birleştirilerek üretilen SQL kullanılmaz.
• Girdi doğrulaması şema tabanlıdır; beklenmeyen alanlar reddedilir.
• Dosya yüklemelerinde tip ve boyut doğrulaması yapılır; yüklenen dosyalar uygulama kökünün dışında, ayrı bir dizinde saklanır.
• Katı Content-Security-Policy ile betik kaynakları sınırlandırılır.
• Uygulama hataları merkezî bir hata kaydı konsolunda toplanır ve parmak izine göre tekilleştirilir.

• Banka entegrasyonları salt-okunurdur. Yalnızca hesap hareketi okunur; Yonevo hesabınızdan para transferi yapamaz — böyle bir yetenek kodda hiç yoktur.
• Banka kimlik bilgileri (kullanıcı, firma/şube kodu, anahtarlar) veritabanında düz metin tutulmaz; AES-256-GCM ile şifrelenmiş tek bir demet hâlinde saklanır ve istemciye hiçbir koşulda gönderilmez.
• Bağlantılar bankanın yetkilendirilmiş servisleri üzerinden kurulur; ekran taraması yapan bir bot kullanılmaz. Oturum açma ekranı taklit edilmez, parola saklanmaz.
• Sağlayıcı kayıt defteri fail-closed çalışır: tanımlı olmayan bir banka kodu ne kaydedilebilir, ne sorgulanabilir.
• Her banka kendi modülünde tanımlıdır; ortak servisler, arka plan işleri ve arayüz banka adı bilmez. Bir bankanın servisinde değişiklik olduğunda etkilenen yüzey yalnız o modüldür — diğer banka bağlantıları, tahsilat, muhasebe ve raporlama çalışmaya devam eder.
• Şu anda doğrudan ekstre entegrasyonu bulunan bankalar: Türkiye İş Bankası ve Garanti BBVA. Diğer bankalarda ekstre dosyası içe aktarılır.

• Kart ödemeleri PCI-DSS sertifikalı ödeme kuruluşu iyzico üzerinden alınır.
• Kart bilgileri Yonevo sunucularında tutulmaz ve loglanmaz. Kart verisi ödeme kuruluşunun kendi sayfasında girilir.
• Ödeme işlemleri, sonucu ve dönen hata kodları denetlenebilir biçimde kaydedilir.

Yedekleme iki kapsamda yürütülür: platform veritabanı yedekleri ve site bazlı yedekleme planları.

• Platformda şifreli veritabanı yedekleri ve PostgreSQL işlem günlüğü (WAL) arşivleme kullanılır. Tam ve fark yedekleri, arşiv kapsamındaki bir zamana geri dönüşün (PITR) altyapısını sağlar.
• Operasyon araçları, yedeği ayrı bir ortamda geri yükleyerek kontrol etmeyi destekler. Geri dönüş kapsamı mevcut yedek ve işlem günlüklerine bağlıdır; belirli bir kurtarma süresi veya sıfır veri kaybı taahhüdü anlamına gelmez.
• Site bazlı yedekler günlük, haftalık veya aylık planla alınır; plan site başına Yonevo ekibi tarafından belirlenir.
• Yedekleme işi saatlik bir görev tarafından yürütülür ve varsayılan olarak düşük yoğunluklu saatlerde çalışır.
• Yedekler bir içerik listesi (manifest) ve SHA-256 sağlama toplamıyla birlikte saklanır; hangi yedeğin ne zaman ve neyi kapsadığı görülebilir.

Site bazlı yedek planları Yonevo ekibinin yönetim konsolundan yönetilir; müşteri panelinde yedek ayarı bulunmaz. Bu planlar platformun veritabanı yedekleme ve arşivleme süreçlerinden ayrıdır.

• Sunucularda ana makine tabanlı güvenlik izleme ajanları çalışır; olaylar Türkiye'de barındırılan merkezî bir izleme sunucusunda toplanır. Ajan durumları ve bağlantılar operasyon panelinden takip edilir; uyarılar inceleme ve müdahale süreçlerini destekler.
• Kayıt değişiklikleri veri katmanında denetim izine yazılır; oluşturma, güncelleme ve silme hareketleri bu katmanda izlenir.
• Silme işlemlerinde kaydın silinmeden önceki tam görüntüsü denetim izine alınır.
• Kim, ne zaman, hangi kaydı değiştirdi bilgisi yönetim panelindeki Denetim Kayıtları ekranından görüntülenebilir.
• Log saklama süreleri yapılandırılabilir; mali kayıtlar için yasal saklama süreleri esas alınır (bkz. Gizlilik Politikası).

Müşteri verileriniz (aidat, sakin, muhasebe kayıtları) Türkiye'deki sunucularda saklanır. Bununla birlikte, hizmetin çalışması için kullandığımız bazı altyapı hizmetleri yurt dışı merkezlidir ve bu kapsamda sınırlı teknik veri yurt dışına aktarılabilir. Şeffaf olmak adına hepsini sayıyoruz:

• CDN ve güvenlik duvarı: Web trafiği Cloudflare üzerinden geçer; bu kapsamda IP adresi ve istek üstverisi işlenir.
• Ziyaret ve üyelik kaynağı ölçümü: Tanıtım sayfalarında ziyaret analitiği ve Google Analytics analitik iznine bağlıdır. İzinli kaynak ve kampanya bilgileri üyelik sırasında Yonevo hesabıyla ilişkilendirilir. Reklam tıklama kimlikleri ayrıca pazarlama iznine bağlıdır. Ölçüm olaylarına ad, e-posta, telefon, hesap içeriği veya URL sorgusunun tamamı eklenmez. Çerez tercihlerinizi dilediğiniz an değiştirebilirsiniz.
• Mobil bildirim: Uygulama bildirimleri Expo bildirim servisi üzerinden iletilir; bu kapsamda cihaz bildirim jetonu ve bildirim içeriği işlenir.
• SMS ve e-posta: Gönderim için hizmet sağlayıcılar kullanılır; iletinin gönderileceği numara/adres ve içeriği bu sağlayıcılar tarafından işlenir.

Bu aktarımların hukuki dayanağı ve kapsamı KVKK Aydınlatma Metni'nde ayrıntılı olarak açıklanmıştır.

Kişisel verilerin hukuka aykırı olarak ele geçirildiğini tespit etmemiz hâlinde, KVKK m.12/5 uyarınca en kısa sürede ve 72 saat içinde Kişisel Verileri Koruma Kurulu'na, ayrıca etkilenen ilgili kişilere bildirim yaparız.

• Olayın kapsamı belirlenir ve etkilenen sistemler izole edilir.
• Etkilenen müşterilere ne olduğu ve ne yapmaları gerektiği bildirilir.
• Kök neden analizi ve alınan kalıcı önlemler paylaşılır.

• KVKK — 6698 sayılı kanun kapsamındaki yükümlülüklerimiz için bkz. Aydınlatma Metni.
• VUK / TTK — Mali kayıtların saklanmasına ilişkin yasal süreler esas alınır.
• PCI-DSS — Kart ödemeleri PCI-DSS sertifikalı ödeme kuruluşu üzerinden yapılır; Yonevo kart verisi saklamaz.

Yonevo'nun kendisi için ISO 27001, SOC 2 gibi bir sertifikasyon süreci henüz tamamlanmamıştır ve böyle bir sertifikamız olduğunu iddia etmiyoruz.

Kurumsal değerlendirmede teknik kontroller, bağımsız belgeler ve sözleşmeyle belirlenen hizmet seviyeleri ayrı incelenir.

• Bağımsız sızma testi ve üçüncü taraf denetim belgelerinin güncel kapsamı satış ekibiyle doğrulanmalıdır.
• Bir güvenlik aracı kullanılması ISO 27001 veya SOC 2 sertifikası anlamına gelmez.
• Merkezî güvenlik izleme, insan tarafından 7/24 nöbet veya belirli bir müdahale süresi taahhüdüyle aynı değildir.
• PITR altyapısının bulunması, her koşulda belirli RPO/RTO değerlerinin garanti edildiği anlamına gelmez.
• Kurumsal kimlik sağlayıcı entegrasyonu (SSO / SAML) standart ürün kapsamında sunulmaz.

Kurumsal bir değerlendirme sürecinde bu maddelerden biri sizin için belirleyiciyse, güncel belge ve hizmet kapsamını konuşmak üzere satis@yonevo.com adresine yazabilirsiniz.

Bir güvenlik açığı tespit ettiyseniz, kamuoyu ile paylaşmadan önce bizimle iletişime geçmenizi rica ederiz:

• E-posta: guvenlik@yonevo.com
• Bildiriminizi aldığımızı en kısa sürede teyit ederiz.
• Bulgunun ciddiyetine göre bir düzeltme planı paylaşır ve süreç boyunca sizi bilgilendiririz.

Lütfen test sırasında gerçek müşteri verisine erişmeyin, hizmeti aksatmayın ve yalnızca size ait test hesabı ile çalışın.

Güvenlik bildirimleri için guvenlik@yonevo.com, genel sorular için destek@yonevo.com adresine yazabilirsiniz. Kurumsal değerlendirme süreçlerinde mimari ve veri akışı hakkında ayrıntılı bilgi paylaşıyoruz — satis@yonevo.com.