Verilerinizi nasıl koruyoruz

• Şifreli bağlantı

  hangel.org’a yapılan tüm bağlantılar HTTPS ile şifrelenir. Tarayıcılara siteyi yalnız güvenli bağlantıyla açmalarını söyleyen HSTS başlığını gönderiyoruz.

• Avrupa’daki Google Cloud altyapısı

  Veritabanımız Avrupa’daki eur3 konumunda (Belçika ve Hollanda), uygulama sunucumuz Hollanda’da, zamanlanmış işlerimiz Belçika’da çalışır. Google Cloud saklanan verileri varsayılan olarak şifreler.

• Erişim kuralları

  Veritabanına ve dosya deposuna erişim, sunucu tarafında çalışan güvenlik kurallarıyla sınırlanır; bir kayda yalnız yetkisi olan kişi erişir. Bu kurallar için otomatik testlerimiz var.

• Giriş

  Giriş Google’ın Firebase Authentication hizmetiyle yapılır; parolalar bizim veritabanımızda tutulmaz. Dilerseniz geçiş anahtarıyla (passkey) da giriş yapabilirsiniz.

• Tarayıcı güvenlik başlıkları

  Sayfalarımız; başka sitelerin hangel’i kendi sayfalarına gizlice yerleştirmesini, içerik türü karıştırma saldırılarını ve gereksiz kamera, mikrofon ve konum erişimini sınırlayan güvenlik başlıklarıyla gelir. İçerik Güvenliği Politikası’nın (CSP) temel kuralları zorunlu.

• Bot koruması

  Kayıt, iletişim ve anket formlarında otomatik gönderimleri ayıklamak için Google reCAPTCHA ve ek denetimler kullanırız.

• Hata izleme ve analitik

  Hataları Sentry ile Avrupa (Almanya) veri bölgesinde izleriz; hata raporlarına ad, e-posta ya da kullanıcı kimliği eklenmez. Ziyaret analitiği yalnız çerez onayı verdiyseniz çalışır, form alanları maskelenir.

Sizi yanıltmamak için henüz sahip olmadığımız şeyleri de yazıyoruz:

• ISO/IEC 27001 belgemiz, SOC 2 raporumuz ya da bağımsız bir denetim raporumuz yok. Bilgi güvenliği yönetim sistemimizi ISO/IEC 27001’i esas alarak hazırlıyoruz.
• Bağımsız bir kuruluşa sızma testi yaptırmadık; şimdiye kadarki güvenlik incelemelerini kendi ekibimiz yaptı.
• İçerik Güvenliği Politikası’nın betik kaynaklarını sınırlayan tam sürümü henüz zorunlu değil; şu an ölçüm modunda çalışıyor.
• Güvenlik açığı bildirimlerine para ödülü vermiyoruz.

hangel’de bir güvenlik açığı bulduğunuzu düşünüyorsanız bize yazın. İyi niyetle yapılan her bildirimi inceleriz.

Bildiriminizi info@hangel.org adresine “Güvenlik bildirimi” konusuyla gönderin. Şunları eklerseniz daha hızlı ilerleriz:

• Açığın bulunduğu adres ya da uygulama ekranı
• Adım adım nasıl yeniden üretileceği
• Olası etkisi: hangi veriye ya da işleve erişilebildiği
• Varsa ekran görüntüsü ya da kısa video

Bizim sözümüz

• Bildiriminizi aldığımızı en geç 3 iş günü içinde yazarız.
• Değerlendirmemizi ve izleyeceğimiz yolu sizinle paylaşırız.
• Açık giderildiğinde size haber veririz.
• İsterseniz adınızı teşekkürle anarız; istemezseniz adınız gizli kalır.

Araştırma yaparken

• Yalnız kendi hesabınızı ya da açtığınız deneme hesaplarını kullanın.
• Başkalarının verisine erişmeyin, değiştirmeyin, silmeyin. Yanlışlıkla erişirseniz durun, veriyi saklamayın ve bize bildirin.
• Hizmeti yavaşlatacak ya da durduracak testler yapmayın.
• Kimlik avı, sosyal mühendislik ya da fiziksel erişim denemeyin.
• Açık giderilene kadar ayrıntıları başkalarıyla paylaşmayın; yayımlamak isterseniz zamanını birlikte belirleyelim.

Bu kurallara uyarak iyi niyetle araştırma yapan ve bulduğunu bize bildiren kişiler hakkında şikâyette bulunmayız.

Web uygulamamızın kullandığı açık kaynak bileşenlerin listesini her yayında otomatik üretir, CycloneDX biçiminde yayımlarız. Kurumlar bu listeyi kendi tedarik zinciri değerlendirmelerinde kullanabilir.

SBOM dosyasını aç (JSON)

Kişisel verilerinizle ilgili başvurular için kvkk@hangel.org adresine yazabilirsiniz. Kurumlar güvenlik ve veri koruma soruları için info@hangel.org adresine yazabilir.

• Verileri nasıl işlediğimiz: Gizlilik Politikası
• Makinelerin okuyacağı iletişim dosyası: security.txt