Güven Merkezi
Güvenlik ve şeffaflık
Uyumluluk alıcıları veriye güvenmeden önce tedarikçiye güvenmelidir. Bu sayfa güvenlik mimarimizi, veri koruma taahhütlerimizi ve sertifikasyon yol haritamızı belgeler.
Güvenlik mimarisi
Blind Protocol
Cüzdan adresleri depolama öncesinde pseudonimize edilir. Veritabanı ihlali = adresler değil, pseudonimler.
İmzalı Anlık Görüntüler
Her kontrol sonucu (Ed25519) imzalanır ve benzersiz bir anlık görüntü kimliğine sahiptir. Raporlar deterministiktir — aynı verilerden yeniden oluşturma aynı belgeyi üretir.
Altyapı İzolasyonu
Tam disk şifreleme ile özel altyapı. Hizmetler arası ağ izolasyonu.
API Güvenliği
Kapsamlı izinlerle token tabanlı kimlik doğrulama. Hız sınırlama ve güvenlik güçlendirme.
Gizlilik Korumalı Günlükler
Tüm sistem günlükleri ve izleme boyunca PII minimize edilir. Cüzdan adresleri tanılama çıktısına yazılmaz.
Çalışma Süresi ve İzleme
Sürekli sağlık izleme. Gerçek zamanlı metrikler. Hizmet kullanılabilirliği ve işleme verimi için uyarılar.
MFA adım doğrulama
Kritik işlemler için TOTP tabanlı yeniden doğrulama: API anahtarı iptali, ekip üyesi kaldırma, veri dışa aktarma. Hata durumunda kapalı, hız sınırlı.
IP kısıtlaması
Her API anahtarını belirli IP adresleri veya CIDR aralıklarıyla sınırlandırın. Yetkisiz IP'ler, herhangi bir veri işlenmeden önce kimlik doğrulama katmanında reddedilir.
Mevzuat uyum duruşu
Müşterilerimizin tabi olduğu düzenleyici çerçevelere hizalı.
GDPR
AB veri sahipleri, tam Madde 28 / DPA
MiCA-hazır
Travel Rule yönlendirme — Temmuz 2026'dan itibaren
FATF R.16
Gönderici ve alıcı IVMS101 dışa aktarımı
SOC 2
Type II denetimi başladı, rapor 2027 H2
Operasyonel güvenilirlik
Sözleşmede taahhüt ettiklerimiz.
%99,9
Erişilebilirlik SLA
Tarama API'si için aylık erişilebilirlik hedefi. Karşılanmadığında servis kredisi.
< 4 sa
RTO
Bölgesel olayda kabul edilebilir maksimum kapanma süresi. Belgelenmiş runbook, aylık tatbikat.
< 1 sa
RPO
Bölgesel olayda kabul edilebilir maksimum veri kaybı. Veritabanı çoğaltma artı saatlik anlık görüntüler.
32 gün
Yedek saklama süresi
Günlük şifrelenmiş yedekler, 32 gün saklama. Geri yükleme her çeyrekte temiz ortamda test edilir.
Veri koruma
Hangi verileri saklıyorsunuz?
Risk puanları, tespit edilen desen kategorileri, kontrol zaman damgaları ve pseudonimize edilmiş adres tanımlayıcıları. Kontrol için gönderilen adresler alım sırasında pseudonimize edilir.
Veriler nerede saklanıyor?
AB'de barındırılan altyapı. Şifrelenmiş depolama. Özel ortam.
Veriler ne kadar süre saklanıyor?
Kontrol sonuçları kuruluş tarafından belirlenen uyumluluk saklama süresi boyunca tutulur (varsayılan: 5 yıl, yapılandırılabilir). Kuruluşlar veri silme talebinde bulunabilir.
Verileri üçüncü taraflarla paylaşıyor musunuz?
Kontroller sırasında harici istihbarat kaynaklarını sorgularız. Kontrol geçmişinizi, adres listelerinizi veya sonuçlarınızı hiçbir üçüncü tarafla paylaşmıyoruz.
GDPR uyumluluğu?
Verileri mali suç önleme için meşru menfaat kapsamında işliyoruz (GDPR Mad. 6(1)(f)). DPA talep üzerine mevcuttur. Alt işlemci listesi sürdürülür ve güncellenir.
Verilerimi dışa aktarabilir miyim?
Evet. API veya dashboard üzerinden tam kontrol geçmişi dışa aktarımı. CSV ve JSON formatları mevcuttur.
Müşteri verisi nerede yaşar
Veri yerleşim bölgesi sözleşmenin bir maddesidir, bir istek bayrağı değil.
AB müşterilerinin verisi AB'de kalır
Çok-bölgeli yedeklemeli birincil AB bölgesi. AB dışına otomatik veri çoğaltma yapılmaz. Sınır ötesi aktarım yazılı müşteri onayı gerektirir.
Depolamada AES-256
Tüm veritabanları, yedekler ve nesne depoları depolamada şifrelenir. Anahtarlar yayımlanmış programa göre ve operatör değişiminde rotasyona girer.
Aktarımda TLS 1.3+
İstemci, edge ve çekirdek arasındaki her bağlantı TLS 1.3 ve üzerini kullanır. HSTS preload, eski şifreye geri dönüş yok.
Üçüncü taraf AI inference yok
Müşteri tarama verisi model inference için altyapımızı terk etmez. Örüntü özetleri izole, kendi modellerimizde çalışır.
Alt-işleyiciler
Müşteri verisini işleyebilecek her dış servis kategori düzeyinde listelenir. Müşteri tarama verisi üçüncü taraf AI inference sağlayıcılarına aktarılmaz.
| Servis kategorisi | Amaç | Yargı yetkisi |
|---|---|---|
| Barındırma altyapısı | Üretim hesaplama ve depolama | AB |
| Global CDN ve WAF | Edge teslimi, DDoS koruması, bot filtresi | Çoklu bölge |
| Birincil veritabanı | Tarama geçmişi, denetim defteri, birincil kayıtlar | AB |
| Bellek-içi önbellek | Hot-path arama, asenkron kuyruklar, oran sınırlama | AB |
| Analitik depolama | Karşı taraf bağlantı analizi | AB |
| AI örüntü analizi | Müşteri verisi üzerinde örüntü özetleri | AB · izole |
| Blockchain verileri | Blockchain verilerinin alınması | AB |
| Transactional e-posta sağlayıcısı | Hesap, uyarı, fatura postaları (pazarlama yok) | AB |
| Telegram Bot API | Yalnızca Telegram seviyesindeki müşteriler için bot kanalı | Kullanıcı bölgesi (Telegram) |
| Yıllık dış pen-test sağlayıcısı | Bağımsız güvenlik testi, yıllık rotasyon | AB veya ABD (CREST akredite) |
| Travel Rule yönlendirme partneri | VASP-VASP IVMS101 yönlendirme (opsiyonel) | AB |
| Ödeme işlemcisi | Ücretli planlar için kart (kripto ve ACH doğrudan) | AB |
Alt-işleyici listesinde yapılacak her değişiklik için müşterilere 30 gün önceden yazılı bildirim gönderilir. Geçerli sürüm bu sayfadakidir.
Sertifikalar ve yol haritası
| Öge | Durum | Zaman Çizelgesi |
|---|---|---|
| SOC 2 Type I denetimi | Hazırlanıyor | 2026 H2 |
| Yıllık penetrasyon testi | Kapsam belirleme | 2026 Q3 |
| ISO 27001 değerlendirmesi | Planlandı | 2027 |
| GDPR DPA şablonu | Mevcut | Now |
| Tedarikçi değerlendirme paketi | Talep üzerine mevcut | Now |
Sorumlu açıklama
Sanctuary'de bir güvenlik açığı keşfederseniz, bilmek isteriz.
- [email protected] adresine bildirin
- Dahil edin: açıklık açıklaması, yeniden üretim adımları, etki değerlendirmesi
- 24 saat içinde onaylayacağız
- Çözüm önceliği ciddiyete göre belirlenir
- Güvenlik danışmanlığımızda teşekkür (izinle)
İyi niyetle hareket eden araştırmacılara karşı yasal işlem başlatmıyoruz. hata ödülü politikası
Olay müdahale çerçevesi
Bir şey ters giderse ne olur.
24 saat içinde onaylama
Bildirilen her güvenlik olayı, kritiklik düzeyine bakılmaksızın 24 saat içinde onaylanır.
Müşteri bilgilendirmesi
Etkilenen müşteriler, olayın doğrulanmasından sonraki 72 saat içinde bilgilendirilir. Önemli ölçüde etkilenenlere 14 gün içinde yazılı post-mortem gönderilir.
Kamuya açıklama
Çözülen olaylar bu sayfada tarih, kapsam ve alınan önlemlerle özetlenir. Yalnızca devam eden soruşturma gerektirdiğinde redakte edilir.
Olay geçmişi
Bu tarihte müşteri verisini etkileyen güvenlik olayı bildirilmedi. Kayıt değişimle birlikte güncellenir.
Güvenlik açığı bildirme
Güvenlik açıklarını ve diğer hassas güvenlik yazışmalarını aşağıdaki adrese gönderin. Şifreli gönderim tercih edilir.
Güvenlik e-postası
[email protected]Şifreli iletişim
Şifreli gönderim için güncel PGP parmak izi ve genel anahtarı almak üzere [email protected] adresine yazın.
security.txt göster →İyi niyetle hareket eden araştırmacılar bug bounty politikamızla korunur.
Tedarikçi değerlendirme paketi mi gerekiyor?
Kurumsal alıcılar: güvenlik anketi yanıtlarımızı, DPA'yı, alt işlemci listesini ve altyapı belgelerini talep edin.