Güven Merkezi
Platformun nasıl korunduğu, verinizin nerede durduğu ve hangi sertifikalara sahip olduğumuz — sahip olmadıklarımız dâhil — hakkında söyleyebileceğimiz her şey.
Uyum sağladığımız veya aktif olarak hedeflediğimiz çerçeveler — güncel sertifikasyon durumu aşağıdadır.
Veri Yerleşimi & Gizlilik
Kanada'da, kendi işlettiğimiz sunucularda saklanır.Birincil Veri Depolama
Kanada 🇨🇦
Hesap verileri, tarama sonuçları ve kayıtlar Toronto, Kanada'da sahibi olduğumuz ve işlettiğimiz sunucularda saklanır. Şifreli gecelik yedekler ayrıca sabit bir konumu olmayan Cloudflare R2'ye kopyalanır; anahtar yalnızca bizdedir. Aşağıdaki her alt işlemci yalnızca hizmetinin gerektirdiği veriyi alır.
Duruştaki Şifreleme
AES-256-GCM
Sırlar ve saklanan kimlik bilgileri AES-256-GCM ile şifrelenir. Şifreleme anahtarı token imzalama anahtarından ayrıdır, yalnızca sunucu ortamında bulunur ve veritabanına, yedeklere veya depoya hiçbir zaman yazılmaz.
Aktarım Şifreleme
TLS 1.3
Tüm API ve web trafiği, mükemmel ileri gizlilik ile TLS 1.3 kullanır. Şifreleme paketleri, kullanılabilir en güçlü yapılandırmalarla sınırlandırılmıştır.
Trafik Yakalama Yok
Asla
Ağ trafiğini asla yakalamaz ve saklamayız. Bir taramanın ürettiği çıktı — aracın çıktısı ve ondan ayrıştırılan bulgular — okuyabilmeniz ve rapor oluşturabilmeniz için saklanır ve 90 gün sonra silinir.
Neleri Saklıyoruz
Veri İşleme İlkeleri
Aktarımda ve beklemede şifreleme
Her bağlantıda perfect forward secrecy ile TLS 1.3. Sırlar ve saklanan kimlik bilgileri, token imzalama anahtarından ayrı tutulan bir anahtarla AES-256-GCM kullanılarak şifrelenir.
İzole çalıştırma
Taramalar, iş başına tek bir süreç olacak şekilde özel tarama konteynerinde sunucu tarafında çalışır. Komut, sizin değerleriniz yerleştirilmeden önce parçalarına ayrılır; araya hiçbir kabuk girmez ve her sorgu organizasyonunuzla sınırlanır.
SOC 2 ile uyumlu kontroller
Altyapı, SOC 2 Trust Services Criteria (Güvenlik, Erişilebilirlik, Gizlilik, Mahremiyet) ölçütlerine göre tasarlandı. Type II denetimi henüz tamamlanmadı — aşağıdaki çerçeve tablosu her birinin durumunu tek tek gösteriyor.
Yalnızca eklemeli denetim kaydı
Ayrıcalıklı işlemler, organizasyonunuzla sınırlı ve panelden sorgulanabilen, yalnızca eklemeli bir denetim kaydına yazılır. Kayıtlar bir yıl saklanır.
MFA, SSO ve roller
Tek kullanımlık yedek kodlarla birlikte TOTP tabanlı çok faktörlü kimlik doğrulama. Kurumsal planda SAML 2.0, OIDC ve LDAP / Active Directory çoklu oturum açma. Rol tabanlı erişim denetimi arayüzde değil, sunucuda uygulanır.
Bakımı bize ait araç zinciri
Tarayıcı imajları ve zafiyet şablonları bizim tarafımızdan yeniden derlenip dağıtılır. Siz ne bir tarayıcı güncellersiniz ne de bir Kali makinesi yamalarsınız.
Veri minimizasyonu
Ham trafiği değil, tarama üst verilerini ve bulguları saklarız. Saklama süresi yapılandırılabilir; verinizi dilediğiniz zaman dışa aktarabilir veya silebilirsiniz. GDPR Madde 5(1)(c).
Platform izleme
Her uç noktada maliyet katmanlı hız sınırlama, hesap etkinliğinde istatistiksel anomali tespiti ve arızalanan bir servisi insan beklemeden yeniden başlatan sağlık gözcüleri.
security.txt (RFC 9116)
IETF RFC 9116 standardına tam uyumlu güvenlik iletişim dosyamız. Bu dosya arama motorları ve güvenlik araştırmacıları tarafından otomatik olarak keşfedilir.
# CyberSec Pro Security Policy
# RFC 9116 Compliant
Contact: mailto:security@cyber-sec-pro.com
Contact: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Acknowledgments: https://cyber-sec-pro.com/trust-center#acknowledgments
Policy: https://cyber-sec-pro.com/trust-center#responsible-disclosure
Hiring: https://cyber-sec-pro.com/careers
Preferred-Languages: en, tr
Canonical: https://cyber-sec-pro.com/.well-known/security.txt
Expires: 2027-07-31T23:59:59.000Z
Sorumlu Güvenlik Açığı Bildirimi
1Kapsam (Scope)
In-Scope:
- cyber-sec-pro.com ve alt alan adları
- app.cyber-sec-pro.com — SaaS platformu
- api.cyber-sec-pro.com — REST API
Out-of-Scope:
- Sosyal mühendislik ve oltalama
- Hizmet engelleme (DoS/DDoS)
- Fiziksel güvenlik
- İşletmediğimiz üçüncü taraf hizmetler
2Bildirim Kanalı
Güvenlik açıklarını şu adrese bildirin: security@cyber-sec-pro.com
Rapor şablonu:
- Konu: [SECURITY] kısa açıklama
- Etkilenen varlık: URL veya uç nokta
- Zafiyet türü: XSS, SQLi, IDOR, …
- Yeniden üretme adımları: 1, 2, 3 …
- Etki: veri sızıntısı, yetki yükseltme, …
- CVSS puanı (isteğe bağlı)
- Kavram kanıtı veya ekran görüntüleri
3Yanıt SLA
- İlk onay: ≤ 24 hours
- Durum güncellemesi: ≤ 72 hours
- Düzeltme veya istisna: ≤ 90 days
4Safe Harbor (Güvenli Liman)
- Bu politikaya uygun raporlar için yasal işlem başlatılmayacaktır
- Raporlayan kişinin kimliği gizli tutulacaktır
- Düzeltme sonrası Hall of Fame'e eklenecektir
- Yazılı izin olmadan test yapılmamalıdır
Uyumluluk Çerçeveleri
4/10 UyumluOlay müdahale hedefleri
Bir olay tespit edildiğinde ya da security@cyber-sec-pro.com adresine bildirildiğinde ne kadar hızlı harekete geçtiğimize dair hedeflerdir. CyberSec Pro'yu tek kişi yürütür; bu yüzden süre her gün Toronto saatiyle 07:00 ile 23:00 arasında işler, gece gelen bir bildirim için 07:00'de başlar. İhlal bildirimine ilişkin yasal süreler ise kesintisiz işler. Bunlar hedeftir, sözleşmesel taahhüt değildir. Süreç NIST SP 800-61 aşamalarını izler: tespit, sınırlama, giderme, kurtarma, değerlendirme.
| Öncelik | Müdahale | Bildirim | Çözüm |
|---|---|---|---|
| P0 — Kritik | ≤ 1 saat | ≤ 4 saat | ≤ 24 saat |
| P1 — Yüksek | ≤ 4 saat | ≤ 24 saat | ≤ 72 saat |
| P2 — Orta | ≤ 24 saat | ≤ 72 saat | ≤ 7 gün |
| P3 — Düşük | ≤ 3 gün | ≤ 7 gün | ≤ 30 gün |
Alt İşlemciler (Sub-processors)
Kişisel verileri bizim adımıza işleyen üçüncü taraflar (GDPR Madde 28). Her veri işleme sözleşmesi sağlayıcının kendi koşullarının bir parçasıdır ve hesap açılırken kabul edilmiştir; ayrıca imzalanmış bir kopyamız yoktur. İstisna Gmail'dir: bireysel bir hesaptır ve Google bu tür hesaplar için DPA sunmaz.
| Sağlayıcı | Amaç | Konum | DPA |
|---|---|---|---|
| Stripe, Inc. | Ödeme işleme | Amerika Birleşik Devletleri (AB SCC + DPF) | ✓ Yürürlükte |
| Cloudflare, Inc. | DDoS koruması, WAF, CDN, TLS sonlandırma, çerezsiz web analitiği, gelen e-postaların yönlendirilmesi | Küresel uç (AB SCC + DPF) | ✓ Yürürlükte |
| Brevo (Sendinblue SAS) | İşlem e-postaları, bağlantı tıklama takibiyle | AB (AB SCC) | ✓ Yürürlükte |
| Google (Gmail) | Gelen kutumuz: adreslerimize gönderilen e-postalar | Amerika Birleşik Devletleri (AB SCC + DPF) | Yok |
| Cloudflare R2 | Şifreli veritabanı yedeklerinin tesis dışı saklanması; her yedek 30 gün tutulur | Otomatik yerleşim, yargı yetkisi belirlenmemiş (şifreli; anahtar yalnızca bizde) | ✓ Yürürlükte |
| Google Analytics | Toplu site kullanım istatistikleri | Amerika Birleşik Devletleri (AB SCC + DPF) | ✓ Yürürlükte |
Son güncelleme: Kasım 2026. Bu listedeki her değişiklik, yürürlüğe girdiği gün burada ve gizlilik politikasında yayımlanır. Son değişiklik: Mailjet hesabımızı kapattıktan sonra, 29 Eylül 2026'da Mailjet'in yerini Brevo aldı. 30 Ekim 2026'da Brevo satırı, Brevo'nun bağlantı tıklamalarını takip ettiğini belirtecek şekilde düzeltildi; Brevo bunu baştan beri yapıyordu. 4 Kasım 2026'da Gmail giden e-postalarımızı iletmeyi bıraktı; artık yalnızca gelen kutumuzdur.
Veri İşleme Sözleşmesi (DPA)
Her müşteri GDPR 28. madde kapsamında bir veri işleme sözleşmesi alabilir: talep etmeniz yeterli, imzanız için size gönderiyoruz. AB ve Birleşik Krallık'tan gelen kişisel veriler, her ikisinin de Kanada için verdiği yeterlilik kararlarına dayanarak Kanada'daki sistemlerimize aktarılır; bu nedenle bu aktarım için standart sözleşme maddeleri gerekmez. Her alt işleyicinin kim olduğu, nerede bulunduğu ve hangi verileri aldığı gizlilik politikamızda listelenir.
DPA Kapsamı
- İşlemenin amacı ve yöntemleri
- Kişisel veri ve ilgili kişi kategorileri
- Alt işleyici listesi ve yenilerinin onay süreci
- Teknik ve idari tedbirler (TOM'lar)
- İhlal bildirimi: gecikmeksizin ve 72 saat içinde
- Uluslararası aktarımlar ve her birinin dayandığı güvence
Veri koruma etki değerlendirmesi
✓ Onaylandı, Kasım 2026Kasım 2026'da hizmetin tamamı için GDPR Madde 35 kapsamında bir veri koruma etki değerlendirmesi yaptık; taramalar, cihaz tanıma ve haftalık ağ kontrolleri de buna dahildir. Bu, kurucumuzun onayladığı bir öz değerlendirmedir; bir veri koruma görevlisi (atanmış değil, gerekli de değil) ya da bir denetim makamı tarafından incelenmemiştir. Kalan hiçbir risk yüksek olarak değerlendirilmedi. Değerlendirmeyi her yıl ve işlediğimiz kişisel verilerde bir değişiklik olmadan önce gözden geçiriyoruz. Müşteriler bir kopyasını isteyebilir.
Güvenlik Testleri & Denetimler
Kendi platformumuz ve manuel inceleme ile sürekli dahili güvenlik testleri. Bağımsız üçüncü taraf sızma testi planlanıyor; tamamlandığında özet raporlar Kurumsal müşterilere NDA kapsamında sunulacaktır.
Nuclei 3.11 + Wapiti 3.2, run against production
Kapsam: https://app.cyber-sec-pro.com — TLS, başlıklar, CORS, hatalı yapılandırma ve ifşa şablonları; ayrıca XSS, SQLi ve açık yönlendirme denemeleri
Bulgular: 0 kritik, 0 yüksek, 0 orta, 14 bilgilendirme. Wapiti: 0 zafiyet.
CyberSec Pro Security Team (internal)
Kapsam: Depo genelinde kimlik doğrulama, yetkilendirme, sır yönetimi, API anahtarları, MFA, SSO ve oturum yönetimi
Bulgular: Üretimde çalışmadığı görülen birkaç kontrol yeniden yazıldı ve korudukları sırlar döndürüldü. Her düzeltme bir regresyon testiyle sabitlendi.
Security Hall of Fame
Sorumlu açıklama politikamıza uygun şekilde güvenlik açığı bildiren araştırmacılara teşekkür ederiz.
Güvenlik açığı bildirerek Hall of Fame listesine eklenen ilk araştırmacı siz olabilirsiniz.
Güvenlik Açığı BildirGüvenlik İletişimi
Güvenlik: security@cyber-sec-pro.com
Hukuk/DPA: legal@cyber-sec-pro.com
Gizlilik: privacy@cyber-sec-pro.com
Güven Merkezi son güncelleme: Eylül 2026 · Politika sürümü: 2.2.0 · Sonraki gözden geçirme: Mart 2027