Güvenlik

Bu sayfa, Boona'nın salonların ve müşterilerinin verilerini korumak için aldığı önlemleri anlatır. Ne yaptığımız konusunda somut yazdık — ve neyi iddia etmediğimiz konusunda da aynı ölçüde somut, çünkü abartan bir güvenlik sayfası hiç olmamasından kötüdür.

Boona küçük ve bağımsız bir üründür. Gerisini okumadan önce sınırları bilmelisiniz:

• ISO 27001 sertifikamız yok.
• SOC 2 denetimi tamamlamadık.
• Kendi adımıza PCI DSS sertifikamız yok — kart verilerinin bize neden hiç ulaşmadığı için ödemelerle ilgili 5. bölüme bakın.
• Bugüne kadar bağımsız bir üçüncü taraf sızma testi talep etmedik.

Daha büyük birkaç rakip bu rozetleri gösteriyor. Hak etmediğimiz bir rozeti göstermektense hiçbir şey göstermemeyi tercih ederiz. Aşağıdakilerin tamamı gerçekten yaptığımız şeylerdir.

Aktarımda. Tarayıcınız veya uygulamanız ile Boona arasındaki tüm trafik TLS ile şifrelenir. Bu, web sitesini, paneli, randevu bileşenini ve mobil uygulamaları kapsar.

Kendi sunucularımız arasında. Boona farklı ülkelerdeki birkaç sunucuda çalışır. Aralarındaki trafik — veritabanı çoğaltması dahil — şifreli bir özel ağ (WireGuard) üzerinden geçer, asla açık internet üzerinden açık metin olarak değil.

Beklemede. Parolalar tuzlanmış tek yönlü özetler olarak saklanır ve ne bizim ne de başkasının açık metin olarak geri elde etmesi mümkün değildir. Yedekler şifrelidir.

Boona bölgesel parçalar (shard) işletir. Salonunuzun verilerini hangisinin tuttuğu, hesap oluşturulurken kayıt olduğunuz ülkeye göre bir kez belirlenir.

Bir AB veya AEA ülkesinde kayıt olursanız, salonunuzun verileri yalnızca AB altyapısında oluşturulur ve saklanır — İsveç'teki bölgesel parçada, merkezi kontrol düzlemi Almanya'da olmak üzere. Her ikisi de AB içindedir.

Bu bir politika değil, kodda uygulanan bir kuraldır: her AB ve AEA üye devleti kayıt sırasında İsveç parçasına sabitlenir ve bu sabitleme diğer tüm yönlendirme kurallarının önüne geçer — göz attığınız arayüz dili dahil. Boona'yı Rusça kullanan Polonya veya Almanya'daki bir salon yine de İsveç parçasında oluşturulur.

Boona ayrıca AEA dışında, Belarus'ta bir parça işletir. Bu parça Rusya ve Belarus'ta kayıtlı hesaplara hizmet eder. Kişisel veriler AEA dışındaki bir ülkeye aktarıldığında, aktarım Avrupa Komisyonu'nun Standart Sözleşme Maddeleri kapsamında yapılır — bkz. Veri İşleme Sözleşmesi (İngilizce).

• Günlük yedekler tüm üretim veritabanlarının; şifreli olarak ve üretim sunucularından ayrı saklanır.
• Sürekli işlem günlüğü arşivleme günlük anlık görüntüye ek olarak; böylece geri yükleme son gece yedeğiyle sınırlı kalmaz.
• Veritabanı çoğaltma bölgeler arasında; böylece tek bir makinenin arızalanması veri kaybı anlamına gelmez.
• Sürekli izleme hizmet sağlığının; arızalarda uyarı ile.
• Aylık %99,9 erişilebilirlik hedefliyoruz. Bu bir operasyonel hedeftir, sözleşmeye bağlı bir hizmet seviyesi anlaşması değildir — bkz. Hizmet Şartları (İngilizce).

Boona ödeme kartı numaralarını saklamaz, işlemez veya iletmez. Abonelik ödemeleri, kendisi PCI DSS uyumlu olan ödeme sağlayıcımız tarafından yürütülür; kart bilgileri doğrudan sağlayıcının barındırdığı alanlara girilir ve Boona'nın sunucularına hiç ulaşmaz.

Bu nedenle kendi adımıza PCI sertifikası iddia etmiyoruz — tasarım gereği bu kapsam sağlayıcıdadır.

• Üretim sistemlerine erişim adı belirtilmiş yöneticilerle sınırlıdır ve anahtar tabanlı kimlik doğrulama gerektirir; sunucuya parolayla giriş devre dışıdır.
• Yönetim arayüzleri genel internete açık değildir; yalnızca şifreli özel ağ üzerinden erişilebilir.
• Salon hesabınızda personel izinleri role dayalıdır; finansal verileri, müşteri kayıtlarını veya ayarları kimin görebileceğine siz karar verirsiniz.
• Sunucu güvenlik duvarları her hizmeti ihtiyaç duyduğu asgari port ve kaynak kümesiyle sınırlar.

Boona bir pazar yeri değildir. Müşterilerinize kendi hesabımıza pazarlama yapmayız, müşteri listenizi satmayız ve işletme verilerinizi rakiplerinize reklam vermek için kullanmayız.

Randevu geçmişinizi istediğiniz zaman dışa aktarabilirsiniz. Ayrılırsanız verilerinizi yanınızda götürürsünüz ve silme talebinde bulunabilirsiniz: Hesabı sil.

Boona'da bir güvenlik açığı bulduğunuzu düşünüyorsanız, kamuya açıklamadan önce lütfen contact@boona.app adresinden bize özel olarak bildirin.

Beklentiniz ne olmalı:

• Bildirimi 3 iş günü içinde teyit etmeyi hedefliyoruz.
• İnceleme sürecinde sizi bilgilendirir, giderildiğinde haber veririz.
• İyi niyetle bildiren, gizlilik ihlallerinden ve veri imhasından kaçınan ve yayımlamadan önce bize düzeltme için makul süre tanıyan araştırmacılara karşı yasal işlem başlatmayız.

Şu anda ücretli bir hata ödül programımız yok. İsterseniz sizi bulan kişi olarak anarız.

Lütfen üretim ortamına karşı otomatik tarama veya yük testi yapmayın — bkz. Hizmet Şartları (İngilizce) 6. bölüm.

Salonunuzun verilerini etkileyen bir kişisel veri ihlali meydana gelirse, veri sorumlusu olarak kendi yükümlülüklerinizi yerine getirebilmeniz için sizi gereksiz gecikme olmaksızın bilgilendiririz — uygulandığı yerlerde GDPR'ın 72 saatlik bildirim süresi dahil. Bildirim şartları Veri İşleme Sözleşmesi (İngilizce) belgesinde yer alır.

Güvenlik soruları veya kayıt olmadan önce daha fazla ayrıntı talebi: contact@boona.app.

İlgili belgeler: Veri İşleme Sözleşmesi (İngilizce) · Gizlilik Politikası · Hizmet Şartları (İngilizce) · Çerez Politikası