Güvenlik
Verileriniz kurumunuza ait.
Bu sayfa, bilgi işlem ve KVKK sorumlularının sorduğu soruları sade bir dille cevaplar: verinin nasıl ayrıldığı, kimin neyi görebildiği, neyin şifrelendiği ve kayıtların nasıl korunduğu.
Her hastanenin verisi ayrı tutulur.
KlinoVax çok kiracılı bir platformdur: birden fazla hastane aynı altyapıyı kullanır, ancak hiçbiri diğerlerinin verisini göremez.
- Hastane yöneticisi ve personel için yapılan veritabanı sorguları, oturum açan kullanıcının kurumuyla sınırlanır.
- Veritabanı katmanında ayrıca kurum bazlı satır güvenliği politikaları (PostgreSQL RLS) tanımlıdır; politikalar kullanıcının değiştiremeyeceği, sunucu tarafından atanan kurum bilgisine dayanır.
Kimlik doğrulama ve oturum
Giriş, kimlik doğrulama altyapısı (Supabase Auth) üzerinden yapılır. Hesapları korumak için ek adımlar kurum ve kullanıcı tarafından açılabilir.
İki adımlı doğrulama
Kullanıcılar Google Authenticator veya Microsoft Authenticator gibi bir doğrulama uygulamasıyla ikinci bir giriş adımı açabilir.
Hareketsiz oturum kapanır
Belirlediğiniz süre boyunca işlem yapılmayan oturum, kapanmadan önce uyarı gösterir ve ardından otomatik olarak sonlanır.
İlk girişte yeni şifre
Yönetici tarafından oluşturulan veya şifresi sıfırlanan hesap, kullanıcı kendi şifresini belirlemeden işlem yapamaz.
Rol bazlı yetki
Kimin neyi görebildiği sunucuda belirlenir; kullanıcının kendi tarayıcısında değiştirebileceği bir bilgiye dayanmaz.
Platform yöneticisi
KlinoVax ekibinin kurumları ve abonelikleri yönettiği roldür. Hastaneler bu rolü kullanmaz.
Hastane yöneticisi
Yalnızca kendi kurumunun personelini, eğitimlerini ve raporlarını görür ve yönetir.
Personel
Yalnızca kendisine atanan eğitimleri, kendi sınav sonuçlarını ve sertifikalarını görür.
Rol bilgisi sunucu tarafında tutulur ve her istekte sunucuda kontrol edilir. Kullanıcı kendi rolünü değiştiremez.
Şifreleme
Veri hem taşınırken hem de en hassas alanlarda saklanırken şifrelenir.
Yalnızca şifreli bağlantı
Tarayıcı ile sunucu arasındaki trafik HTTPS ile şifrelenir. HSTS başlığı, tarayıcılara siteye şifresiz bağlantı kurmamalarını bildirir.
TC kimlik numarası alan bazında şifreli
TC kimlik numaraları veritabanına yazılmadan önce uygulama katmanında AES-256-GCM ile şifrelenir. Arama için yalnızca tek yönlü bir özet (HMAC-SHA256) tutulur; numara düz metin olarak saklanmaz.
Şifreli yedekler
Otomatik yedekler AES-256-GCM ile şifrelenmeden kaydedilmez. Şifreleme anahtarı tanımlı değilse yedek alınmaz.
Süreli içerik bağlantıları
Eğitim videoları ve dokümanlar herkese açık bir adresten sunulmaz; her istekte kısa süre geçerli, imzalı bir bağlantı üretilir.
Değişiklik tespit edilebilir işlem kaydı
Kritik işlemler kimin, ne zaman, neyi yaptığıyla birlikte kaydedilir. Kayıtlar birbirine bağlı bir zincir oluşturur.
- Zincirleme kayıt
- Her kayıt, bir önceki kaydın özetini de içeren kendi SHA-256 özetiyle saklanır. Bir kaydın işlem türü, kullanıcısı veya zamanı sonradan değiştirilirse ya da zincirin ortasından bir kayıt silinirse zincir bozulur.
- Panelden bütünlük kontrolü
- Hastane yöneticisi kurumunun işlem kayıtlarını panelden inceleyebilir ve zincirin tutarlı olup olmadığını tek işlemle kontrol edebilir.
- Saklama süresi sonunda silinir
- İşlem kayıtları kurumunuzun belirlediği saklama süresi kadar tutulur ve süre dolunca otomatik olarak silinir.
Sınav ve eğitim kayıtlarının bütünlüğü
Bir eğitimin tamamlandığını gösteren kayıt, eğitimin gerçekten tamamlandığını yansıtmalıdır. Bu kontroller tarayıcıda değil sunucuda yapılır.
Sunucuda tutulan sınav süresi
Sayfayı yenilemek veya cihaz saatini değiştirmek süreyi uzatmaz. Süre dolunca sınav otomatik olarak sonlanır.
İleri sarma kapalı
Personel videonun izlemediği bölümüne atlayamaz. Geri sarıp tekrar izlemek serbesttir.
Sunucuda doğrulanan izleme süresi
İzleme süresi gerçekte geçen süreyle karşılaştırılır, olağan dışı hızlı artış kabul edilmez. Videonun neredeyse tamamı gerçekten izlenmeden son sınav açılmaz.
KVKK süreçleri
KlinoVax, kurumunuzun KVKK kapsamındaki yükümlülüklerini yerine getirmesini destekleyen akışlar sunar.
Başvuru akışı
Personel; verilerinin işlenip işlenmediğini öğrenme, düzeltme, silme ve itiraz gibi KVKK kapsamındaki taleplerini sistem içinden iletir. Yönetici talebi panelden yanıtlar.
Sürümlü aydınlatma metni
Aydınlatma metni güncellendiğinde personel yeni metni görür ve onaylamadan panele geçemez.
Saklama ve imha
Saklama süresini kurumunuz belirler. Süresi dolan pasif personel kayıtları otomatik olarak anonimleştirilir.
Barındırma ve kurulum seçenekleri
Verinizin nerede duracağına siz karar verirsiniz.
Bulut sürümü
Uygulama, veritabanı ve dosya depolaması Avrupa Birliği içinde, Frankfurt bölgesinde çalışır. Sunucu kurmanız veya bakımını yapmanız gerekmez.
Kurum içi kurulum
Verisini kendi sunucusunda tutmak isteyen kurumlar için platform, kurumunuzun altyapısına kurulabilir. Bu durumda veriler kurumunuzun sunucusunda kalır.
Güvenlik açığı bildirimi
KlinoVax’ta bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen ayrıntıları e-postayla bize iletin. Bildiriminizi inceleyip size dönüş yaparız.
Bildirim adresiekrem@klinovax.com
Lütfen açığı, biz inceleyip giderene kadar başkalarıyla paylaşmayın ve başka kullanıcıların verisine erişmeye çalışmayın.
Güvenlik ekibinizle birlikte inceleyelim.
Bilgi işlem ve KVKK sorumlularınızın sorularını demo görüşmesinde ya da e-postayla cevaplayalım.