Güvenlik ve Uyum

Platform, verilerin öncelikle Almanya'nın Frankfurt kentinde saklandığı AB merkezli bulut altyapısında çalışır. Veritabanları özel ağlarda bulunur, erişim kısa ömürlü belirteçlerle sağlanır ve tüm harici trafik TLS 1.2+ ve HSTS ile şifrelenir.

Altı saatte bir otomatik yedekleme ve 30 gün saklanan günlük belirli bir ana geri dönüş (point-in-time recovery) anlık görüntüleriyle yedekli depolama kullanırız.

• Saklanan veriler: veritabanında AES-256, özetlenmiş (hash) parolalar (bcrypt/argon2id) ve hassas veriler için alan düzeyinde şifreleme.
• Aktarılan veriler: güçlü şifre takımlarıyla TLS 1.2 veya üzeri, HSTS preload, otomatik sertifika yenileme.
• Anahtarlar: bir KMS'de yönetilir, üç ayda bir değiştirilir ve her erişimde denetlenir.

En az yetki ilkesini ve sunucu tarafında satır düzeyinde güvenlikle doğrulanan özel bir `user_roles` tablosu aracılığıyla uygulanan rol tabanlı erişim kontrolünü (RBAC) uygularız. Yönetici hesapları iki faktörlü kimlik doğrulama gerektirir ve her erişim değiştirilemez şekilde kayda alınır.

Ayrılan personelin erişimleri 4 saat içinde kaldırılır. Üçüncü taraf tedarikçiler sistemlere yalnızca özel, denetlenebilir hesaplar üzerinden erişir.

Tüm kodlar devreye alınmadan önce incelenir. Otomatik bağımlılık taraması (SCA), statik analiz (SAST), gizli anahtar taraması ve dinamik testler çalıştırırız. Hiçbir üretim değişikliği otomatik test paketi, manuel inceleme ve anında geri alma imkânı olmadan canlıya alınmaz.

Temel olarak OWASP Top 10 ve OWASP API Security Top 10'u esas alır, yıllık sızma testleri için bağımsız üçüncü taraflarla çalışırız.

Tüm hassas faaliyetler 12 ay boyunca merkezi olarak kayıt altına alınır. Anormallikler gerçek zamanlı uyarıları tetikler. Kritik hizmetler için 4 saatlik RTO ve 30 dakikalık RPO içeren belgelenmiş bir olay müdahale planımız vardır.

Kişisel veri ihlalleri GDPR md. 33 uyarınca 72 saat içinde denetim makamına bildirilir ve etkilenen ilgili kişiler gecikmeksizin bilgilendirilir.

Workers Stay tam ödeme kartı verilerini saklamaz. Tüm kart işlemleri PCI DSS sertifikalı sağlayıcımız Stripe'ta gerçekleşir. SAQ-A (uygulanabilir en düşük düzey) kapsamındayız ve kart sahibi verilerini (CHD) veya hassas kimlik doğrulama verilerini (SAD) açık metin olarak işlemeyiz.

Yalnızca eşdeğer güvenlik standartlarını karşılayan alt işleyenlerle çalışırız. Tam ve güncel liste DPA'mızda yer alır. Değişiklikler kurumsal müşterilere en az 30 gün önceden duyurulur.

Güvenlik araştırmacılarını olası güvenlik açıklarını security@workersstay.com adresine bildirmeye davet ediyoruz. Bildirimi 48 saat içinde teyit eder, CVSS önceliğine göre gideririz ve iyi niyetli araştırma kapsamında yapılan bildirimler için yasal işlem başlatmayız.

Çalışma kapsamı kişisel verilerin işlenmesini içeren kurumsal müşterilere – rezervasyon formları, CRM entegrasyonları, bizde konaklayan çalışan listeleri – etkinleştirmeden önce yazılı bir DPA sunulur. Standart DPA'mız GDPR'nin 28. maddesine uygundur ve AEA dışındaki tüm alt işleyenler için AB Standart Sözleşme Maddelerini (uygun olduğu durumlarda modül 2 ve 3) içerir. Güncel DPA'nın bir kopyasını privacy@workersstay.com adresinden talep edebilirsiniz.

Özenle incelenmiş, sınırlı sayıda alt işleyenle çalışırız. Her biri, eşdeğer veri koruma yükümlülükleri getiren yazılı bir sözleşmeyle bağlıdır. Güncel liste:

• Google LLC / Google Ireland Ltd – Google Workspace, Analytics, Ads, Maps (AB ve ABD, SCC'ler).
• Meta Platforms Ireland Ltd – Meta Pixel ve CAPI (AB).
• Supabase Inc. – uygulama veritabanı ve kimlik doğrulama (AB bölgesi, Frankfurt).
• Stripe Payments Europe Ltd – kartlı ödemeler (AB, PCI DSS Level 1).
• Resend, Inc. – işlemsel e-posta (AB bölgesi).
• Cloudflare, Inc. – DNS, WAF ve uç dağıtım (küresel, SCC'ler).
• PostHog Inc. – ürün analitiği (AB bölgesi).

Bir alt işleyen eklenmeden veya değiştirilmeden en az 30 gün önce kurumsal müşterileri yazılı olarak bilgilendiririz.

Kurumsal müşteri verilerini etkileyen doğrulanmış bir olay durumunda, etkilenen müşteriyi gecikmeksizin ve en geç doğrulamadan itibaren 48 saat içinde bilgilendiririz. Bildirim; etkilenen veri kategorilerini, olası sonuçları ve etkiyi azaltmak için alınan önlemleri içerir. Kişisel veri ihlalleri paralel olarak GDPR md. 33 uyarınca 72 saat içinde denetim makamına bildirilir.

Tüm ekip üyeleri ve yükleniciler, çalışmaları sona erdikten sonra da devam eden yazılı gizlilik yükümlülükleriyle bağlıdır. Ticari görüşmelerden önce talep üzerine karşılıklı gizlilik sözleşmeleri (NDA) sunulur.

Güvenlik Ofisi: security@workersstay.com. Veri koruma: privacy@workersstay.com. Genel iletişim: contact@workersstay.com. Posta adresi: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Birleşik Krallık.