Teknik ve idari tedbirler

1. Kapsam ve yapılanma

• Şirket: CreatorFlow Labs S.L., Madrid, İspanya. Tamamen uzaktan çalışan küçük bir ekibiz. Kendi sunucularımızı, sunucu odalarımızı veya kurumsal bir ofis ağını işletmeyiz. Şirket tesislerinde hiçbir kişisel veri saklanmaz.
• Barındırma: Hizmetin tamamı Avrupa Birliği'nde, eu-west-1 bölgesinde (İrlanda) Amazon Web Services (AWS) üzerinde çalışır. Uygulama, veritabanları, önbellekler, nesne depolama ve yedeklerin tamamı bu bölgede bulunur.
• İşlenen veriler: Instagram kullanıcı adları ve herkese açık profil tanımlayıcıları, otomasyonları tetikleyen veya otomasyonların sonucunda oluşan yorum ve direkt mesaj metinleri, otomasyonlarla toplanan e-posta adresleri, link tıklama olayları ile müşteri hesap ve faturalama verileri. GDPR madde 9 kapsamındaki özel nitelikli kişisel verilerin işlenmesi amaçlanmamaktadır.
• Paylaşılan sorumluluk: Veri merkezlerinin fiziksel ve çevresel güvenliğini AWS sağlar. İşletim sistemi ve üzerindeki tüm katmanlar CreatorFlow tarafından işletilir. Aşağıdaki her bölüm, ilgili kontrolün hangi tarafın sorumluluğunda olduğunu belirtir.

2. Fiziksel erişim kontrolü (Zutrittskontrolle)

• Şirket tesisleri: Uygulanmaz. CreatorFlow tesislerinde kişisel veri içeren hiçbir sunucu, ağ donanımı veya veri depolama ortamı bulunmaz. Bu nedenle kilitlenebilir sunucu odaları, sunucu kabinleri, anahtar yönetimi, ziyaretçi kayıtları, alarm sistemleri ve temizlik ya da bakım personeline yönelik kurallar bizim için geçerli değildir.
• Veri merkezleri (AWS): AWS'den devralınır. AWS veri merkezlerinde çevre güvenliği, kartlı ve biyometrik erişim kontrolü, ziyaretçilere refakat, kapalı devre kamera sistemi (CCTV) ve erişim kaydı uygulanır. Bu kontroller ISO 27001 ve SOC 2 kapsamında denetlenir. Müşteriler bu denetim raporlarına talep halinde bizim aracılığımızla veya doğrudan AWS Artifact üzerinden ulaşabilir.
• Acil durum gücü ve yangından korunma: AWS'den devralınır. Veri merkezlerinde yedekli güç hatları, kesintisiz güç kaynakları ve jeneratörler ile otomatik yangın algılama ve söndürme sistemleri bulunur. Bunlar da aynı denetim raporlarının kapsamındadır.

3. Sistem erişim kontrolü (Zugangskontrolle)

• Müşteri kimlik doğrulaması: Müşteriler e-posta adresi ve şifreyle veya Google ile giriş yapar. Kayıt formu en az 8 karakterli şifre ister. Bu alt sınır şu anda sunucu tarafında değil, yalnızca tarayıcıda uygulanır. Şifreler hiçbir zaman düz metin olarak değil, tuzlanmış hash değerleri olarak saklanır. Modern bir şifre hash algoritmasına (bcrypt veya argon2) geçiş, açık bir iş olarak takip edilmektedir. Yeni hesaplar bir reCAPTCHA doğrulamasından sonra oluşturulur. İlk kullanımdan önce e-posta onayı şu anda zorunlu tutulmamaktadır.
• Oturumlar: Oturumlar sunucu tarafında saklanır ve HttpOnly bayrağı taşıyan, alan adımızla sınırlı, 7 gün sonra sona eren imzalı bir çerezle ilişkilendirilir. Bu çerezde Secure bayrağı henüz ayarlı değildir. Bu bayrağın eklenmesi güvenlik yol haritamızda yer almaktadır. Şifre değiştirildiğinde mevcut oturum sona erer ve beni hatırla belirteçleri iptal edilir. Ancak bu işlem, diğer cihazlardaki aktif oturumları şu anda sonlandırmaz. Hesap e-posta adresinin bir yönetici tarafından değiştirilmesi, o kullanıcının tüm oturumlarını geçersiz kılar.
• Hesap kilitleme: Tekrarlanan başarısız giriş denemelerinden sonra otomatik hesap kilitleme henüz uygulanmamaktadır. Girişlerin kötüye kullanılmasına karşı ek korumalar güvenlik yol haritamızda yer almaktadır. Şifre sıfırlama linkleri yalnızca hesapta kayıtlı e-posta adresine gönderilir.
• Instagram erişimi: Instagram şifrelerini hiçbir zaman istemeyiz ve saklamayız. Instagram hesapları Meta'nın resmi OAuth 2.0 akışıyla bağlanır. Bu akışla elde edilen erişim belirteçleri, saklanmadan önce uygulama düzeyinde şifrelenir (AES-256).
• Personel ve altyapı erişimi: AWS konsoluna, sunuculara ve yönetim işlevlerine erişim, kişiye özel kimlik bilgilerine sahip, adı belirli personelle sınırlıdır. Sunuculara erişimde kişiye özel anahtarlarla SSH kullanılır. Uygulama içindeki yönetim işlevleri, izin listesindeki tek bir yönetici hesabıyla sınırlıdır ve bu işlevlere hız sınırı uygulanır.

4. Veri erişim kontrolü (Zugriffskontrolle)

• Kiracı bazında sınırlama: Her müşteri kaydı (otomasyonlar, kişiler, etkinlik, analiz verileri), ait olduğu çalışma alanının tanımlayıcısıyla birlikte saklanır. Uygulama, kullanıcıya yalnızca üyesi olduğu çalışma alanlarını gösterir. Sunucu tarafındaki çalışma alanı üyeliği kontrolleri API'nin bir bölümünde uygulanmaktadır ve çalışma alanına bağlı tüm uç noktalara genişletilmektedir. Bu çalışma tamamlanana kadar kiracı ayrımını, API katmanında tamamen uygulanan bir kontrol olarak tanımlamıyoruz.
• Bilmesi gereken kadar ilkesi: Canlı ortam verilerine yalnızca hizmeti işleten, adı belirli personel erişebilir. Bu erişim yalnızca destek, olay yönetimi ve bakım içindir.
• Kimlik bilgilerinin korunması: Instagram erişim belirteçleri saklama sırasında şifrelenir ve varsayılan veritabanı okumalarının dışında tutulur. Bu nedenle olağan sorgular veya dışa aktarmalar bu belirteçleri döndürmez.
• Ödeme verileri: Kart bilgileri tamamen Stripe tarafından işlenir. CreatorFlow, kart numaralarının tamamını hiçbir zaman almaz ve saklamaz.

5. Aktarım kontrolü (Weitergabekontrolle)

• İletim sırasında şifreleme: Kullanıcılar ile hizmet arasındaki bağlantılar ve hizmet ile Meta, Stripe, e-posta ve log hizmeti sağlayıcılarımız arasındaki bağlantılar TLS ile şifrelenir.
• Alt işleyenler: Kişisel veriler yalnızca DPA'nın 5. bölümünde sayılan alt işleyenlerle, veri işleme şartları kapsamında paylaşılır. Veriler Avrupa Birliği'nde barındırılır ve log kayıtları da Avrupa Birliği'nde tutulur. AB dışındaki alt işleyenlere yapılan aktarımlar, DPA'da belirtildiği şekilde Standart Sözleşme Maddelerine veya AB-ABD Veri Gizliliği Çerçevesine dayanır.
• Dışa aktarmalar: Müşteriler topladıkları kişileri CSV dosyası olarak dışa aktarabilir. Dışa aktarıldıktan sonra bu veriler müşterinin kontrolü ve sorumluluğu altındadır.
• Taşınabilir ortamlar: Uygulanmaz. Kişisel veriler için hiçbir taşınabilir veri depolama ortamı (USB bellek, harici disk, yedekleme bandı) kullanılmaz. Bu nedenle veri depolama ortamı envanteri gerekmez.

6. Log kaydı ve girdi kontrolü (Eingabekontrolle)

• Uygulama log kayıtları: Uygulama; işlenen her webhook, her otomasyon çalıştırması, her mesaj gönderimi ve her API isteği için yapılandırılmış log kaydı yazar. Her kayıt bir ilişkilendirme tanımlayıcısı taşır. Böylece tek bir olay baştan sona izlenebilir.
• Erişim log kayıtları: HTTP katmanı her istek için bir erişim log satırı kaydeder.
• Merkezi depolama ve saklama süresi: Tüm log kayıtları, AB'de barındırılan bir log platformuna (New Relic, AB veri bölgesi) gönderilir ve 30 gün saklanır. Uygulama kullanıcıları log kayıtlarını değiştiremez.
• Yönetici denetim kaydı: CreatorFlow personelinin yönetim arayüzü üzerinden müşteri hesaplarında yaptığı işlemler (hesap silme ve hesap e-posta adresi değişiklikleri dahil), işlemi yapan yönetici, zaman damgası ve sonuçla birlikte bir denetim kaydına yazılır.
• Başarısız girişler: Müşterilerin başarısız giriş denemeleri şu anda ayrı bir güvenlik log kaydına yazılmamaktadır. Bu konu güvenlik yol haritamızda yer almaktadır.

7. Ayrıştırma kontrolü (Trennungskontrolle)

• Müşteri ayrımı: Müşteri verileri, veri katmanında çalışma alanı tanımlayıcısıyla mantıksal olarak ayrılır (çok kiracılı yapı). Müşteriler, uygulama üzerinden başka çalışma alanlarına ait verileri göremez.
• İşlevsel ayrım: Hesap ve kimlik doğrulama verileri, uygulama verilerinden (otomasyonlar, kişiler, analiz verileri) ayrı bir veritabanında tutulur.
• Ortamlar: Otomatik testler yalıtılmış, bellek içi bir veritabanında çalışır ve hiçbir zaman canlı ortam verilerine dokunmaz. Günlük geliştirme çalışmalarında yerel veritabanları kullanılır. Adı belirli personel ayrıca destek, hata ayıklama ve olay incelemesi için canlı ortam verilerini doğrudan sorgular. Tek bir canlı ortam vardır ve ayrı bir ön yayın (staging) ortamı yoktur. Değişiklikler yayına alınmadan önce yerel olarak ve otomatik test paketiyle doğrulanır. Değişiklikler geri alınabilir.
• Fiziksel ayrım: AWS hesabı sınırının ötesinde uygulanmaz. Tüm iş yükleri, CreatorFlow'a ait ve yalnızca bu hizmete ayrılmış bir AWS hesabında çalışır.

8. Erişilebilirlik ve dayanıklılık (Verfügbarkeitskontrolle)

• Altyapı: Hizmet, tek bir AWS bölgesinde (eu-west-1), arızalanan bir sunucuyu otomatik olarak değiştiren bir otomatik ölçeklendirme grubu içinde çalışır. Veriler, sunucu değiştirildiğinde de korunan kalıcı depolama birimlerinde tutulur.
• Anlık görüntüler: Altyapı değişikliklerinden önce depolama birimlerinin anlık görüntüleri alınır ve bunlar aynı AWS bölgesinde saklanır. Kişisel veri içerebilecek anlık görüntüler rotasyon kapsamında silinir.
• Webhook dayanıklılığı: Meta, geçici bir kesintiden sonra Instagram webhook'larını bir süre boyunca yeniden iletir. Stripe da faturalama webhook'larını birkaç gün boyunca yeniden gönderir. Bu sayede kısa kesintilerde olaylar kaybolmaz.
• İzleme: Uygulamanın sağlığı, işlem hacmi ve hata oranları log platformumuz üzerinden izlenir. Dağıtımlar, dağıtım öncesinde ölçülen bir referans değerle karşılaştırılarak gözlemlenir.
• Sınırlar: Birden fazla bölge arasında yük devretme (failover) yoktur. Resmi olarak taahhüt edilmiş bir kurtarma süresi hedefi veya kurtarma noktası hedefi de yoktur. Hizmet, kesintisiz erişilebilirliğin garanti edilmesini gerektiren kullanım senaryolarına yönelik değildir.
• Veri merkezi dayanıklılığı: AWS'den devralınır (yedekli güç, soğutma ve ağ, yangın söndürme), bkz. 2. bölüm.

9. Yama ve değişiklik yönetimi

• Değişiklik süreci: Basit olmayan değişiklikler yazılı bir şartname ve uygulama planıyla başlar. Kod, yalıtılmış test veritabanlarında çalışan otomatik bir test paketiyle test edilir. Her sürüm, dağıtımdan önce derlenir ve tür kontrolünden geçirilir.
• Sürümler: Uygulama, sürümlü konteyner imajları olarak dağıtılır. Bir sürümü geri almak için önceki imaj yeniden dağıtılabilir. Riski daha yüksek işlevler, yeniden dağıtım gerektirmeden kapatılabilen özellik bayraklarının (feature flag) arkasında yayına alınır. Bu işlevler önce çalışma alanlarının bir kısmı için açılabilir.
• Doğrulama: Temel metrikler dağıtımdan önce kaydedilir ve gerilemeleri erken tespit etmek için dağıtımdan sonra karşılaştırılır.
• Bağımlılıklar ve işletim sistemi: Üçüncü taraf bağımlılıklar ve konteyner temel imajları olağan sürüm süreciyle güncellenir. Sunucunun işletim sistemi, sunucu değiştirildiğinde yenilenir. Takvime bağlı sabit bir yama sıklığı yoktur. Güvenlikle ilgili güncellemeler önem derecesine göre önceliklendirilir.
• Güvenlik bulguları kaydı: Kendi güvenlik denetimlerimizin bulguları, önem derecesi puanıyla birlikte bir iç kayıtta takip edilir ve risk sırasına göre giderilir.

10. Olay ve ihlal yönetimi

• İletişim: Güvenlikle ilgili endişelerinizi security@creatorflow.so adresine bildirebilirsiniz. Bildirimlerin alındığını teyit eder ve bunları inceleriz. Ücretli bir hata ödül programı (bug bounty) yürütmüyoruz.
• Müdahale: Olaylar merkezi log kayıtları kullanılarak incelenir, kontrol altına alınır, zaman çizelgesi ve kök nedeniyle birlikte belgelenir ve giderilir. Çıkarılan dersler güvenlik bulguları kaydına aktarılır.
• Müşteriye bildirim: Bir kişisel veri ihlali bir müşterinin verilerini etkilerse, ihlali öğrendikten sonra gereksiz gecikme olmadan o müşteriyi DPA'nın 8. bölümünde açıklanan bilgilerle bilgilendiririz. Böylece müşteri, GDPR madde 33 ve 34 kapsamındaki kendi yükümlülüklerini yerine getirebilir.

11. İdari tedbirler

• Gizlilik: Kişisel verilere erişimi olan personel, sözleşmeden veya kanundan doğan gizlilik yükümlülüklerine tabidir.
• Erişim yaşam döngüsü: Altyapıya ve yönetim işlevlerine erişim kişi bazında verilir. Kişi ayrıldığında veya görevi değiştiğinde bu erişim kaldırılır.
• Cihazlar ve uzaktan çalışma: Ekip uzaktan çalışır. Canlı ortam verilerine yalnızca kişiye özel kimlik bilgileriyle ve şifreli bağlantılar (TLS, SSH) üzerinden erişilir. Çalışma yöntemimiz gereği bu veriler yerel cihazlarda saklanmaz. Kurumsal bir ofis ağı bulunmadığından VPN kullanılmaz. Her yönetim bağlantısı ayrı ayrı kimlik doğrulamasından geçer ve şifrelenir.
• Temiz masa ve kâğıt kayıtlar: Klasik anlamda uygulanmaz. Hizmet üzerinden işlenen kişisel veriler yalnızca AWS içinde elektronik ortamda bulunur. Müşteri verilerine ilişkin kâğıt kayıt tutulmaz.
• Üçüncü taraflar ve bakım: Hiçbir dış bakım, temizlik veya destek personelinin canlı ortam sistemlerine erişimi yoktur. Üçüncü taraflarca uzaktan bakım yapılmaz. Altyapı yalnızca CreatorFlow personeli tarafından işletilir.
• Sunucularda uç nokta koruması: Canlı ortam iş yükleri, root olmayan kullanıcılarla çalışan Linux konteynerleri olarak, dışarıya yalnızca HTTPS açan bir sunucuda çalışır. Çalışanların iş istasyonları canlı ortam ağının parçası değildir.

12. Silme ve saklama

• Hesabın silinmesi: Talep üzerine bir hesap; tüm çalışma alanları, otomasyonları, kişileri, etkinlik kayıtları, bekleyen otomasyon durumları ve Instagram bağlantılarıyla birlikte silinir. Pazarlama e-postaları için tutulan ilgili kişi kaydı da kaldırılır. Her silme işlemi bir denetim kaydına yazılır.
• Kişilerin silinmesi: Müşteri, tek tek kişileri (toplanan e-posta adresleri) silebilir. Bu, ilgili kişilerden gelen silme taleplerinin yerine getirilmesine yardımcı olur.
• Otomatik sona erme: Bir otomasyon kullanıcının bir işlemini (örneğin bir e-posta yanıtı veya takip etme) beklerken kullanılan geçici kayıtlar, otomasyon türüne göre 24 ila 48 saat içinde kullanılamaz hale gelir ve 48 saat içinde veritabanından fiziksel olarak silinir.
• Log kayıtları: Uygulama ve erişim log kayıtları 30 gün saklanır.
• Anlık görüntüler: Bkz. 8. bölüm. Anlık görüntüler yalnızca hizmeti bir sistem arızasından kurtarmak için geri yüklenir. Böyle bir geri yüklemeden önce silinmiş kişisel verilerin, geri yüklemeden sonra yeniden silinmesi gerekir. Önceki silme işlemleri otomatik olarak yeniden uygulanmaz. Bu nedenle silme işlemlerini talep üzerine manuel olarak yeniden yaparız.

13. Bu tedbirlerin gözden geçirilmesi