Güvenlik ve Mimari Teknik Dokümanı

Platform çok-kiracılı (multi-tenant) tek bir yönetilen PostgreSQL veritabanı üzerinde çalışır. Her müşteri (tesis) ayrı bir organizasyon (organization) kaydıdır ve tüm operasyonel veriler bir organization_id ile etiketlenir.

İzolasyon iki katmanlıdır. Birincil katman uygulama düzeyindedir: her veri sorgusu zorunlu olarak organizasyon kimliğiyle filtrelenir. Bu disiplin, filtresiz veritabanı sorgusu riskini geliştirme aşamasında görünür kılan tanı araçlarıyla (statik-analiz uyarısı ve kiracı-kapsam taraması) desteklenir. İkinci katman, veritabanı düzeyinde Satır Seviyesi Güvenlik (Row-Level Security, RLS) politikalarıdır; bunlar kimlik-doğrulamalı erişim yolları için ek bir savunma hattı oluşturur.

Holding katmanı (çok-tesisli kurumsal müşteriler için) organizasyonların üstünde ayrı bir gruplama katmanıdır. Bir holding yöneticisinin birden çok tesise erişimi asla istemciden gelen bir kimlikle değil, sunucuda doğrulanmış holding üyeliğinden türetilen tesis kümesiyle sınırlanır. Yönetici yalnız kendi holdingine bağlı tesisleri okuyabilir; tesis-içi yazma yetkisi bu okuma yetkisinden ayrıdır.

Kimlik doğrulama Supabase Auth (JWT tabanlı oturum) ile sağlanır. Rol modeli sektörel ve ayrıntılıdır: Patron (işletme sahibi), Kaizen Danışmanı, Çalışan; ayrıca çok-tesisli erişim için holding yöneticisi ve platform operasyonu için süper-yönetici rolleri bulunur.

Her sunucu-tarafı işlem, kullanıcının rolünü ve organizasyon üyeliğini oturumdan yeniden doğrular; yetki kararları hiçbir zaman yalnızca istemci tarafındaki bir kontrole bırakılmaz. Ayrıcalık yükseltmeyi (privilege escalation) önlemek için erişim kapıları sunucuda merkezileştirilmiştir.

Aktarım halindeki veri (in transit): tüm istemci-sunucu ve sunucu-veritabanı bağlantıları TLS ile şifrelenir.

Durağan haldeki veri (at rest): veriler yönetilen PostgreSQL altyapısının disk şifrelemesiyle (sağlayıcı düzeyinde AES-256) korunur. Yedekler ve depolama nesneleri de sağlayıcı şifrelemesine tabidir.

Gizli anahtarlar (Gemini API, veritabanı hizmet anahtarı, ödeme ve e-posta sağlayıcı anahtarları) yalnızca sunucu tarafında tutulur ve istemci paketine asla dahil edilmez. Bu, hiçbir gizli anahtarın istemciye sızmadığını doğrulayan bir CI gizli-tarama kapısıyla zorlanır.

İşlenen kişisel veriler tasarım gereği asgaridir: çalışan kimlik bilgileri (ad, e-posta, rol) ve operasyonel veriler (kaizen önerileri, standart iş dokümanları, KPI’lar). Özel nitelikli (hassas) kişisel veri toplanmaz; ayrıca kullanıcı girdisinde hassas veri tespiti için sunucu-tarafı bir koruma katmanı bulunur.

Veri yerleşimi (bölge), saklama süreleri, silme hakları ve alt-işleyici listesi Veri İşleme Sözleşmesi (DPA) belgesinde ayrıntılı olarak tanımlanır. Uluslararası aktarımlar ve gerekli sözleşmesel güvenceler (ör. Standart Sözleşme Maddeleri) müşteri sözleşmesi kapsamında ele alınır.

Yapay zekâ işlevleri kullanıcı girdisini işlemek üzere Gemini API’ye veri gönderir; bu alt-işleyici ilişkisi DPA’daki alt-işleyici tablosunda açıkça belirtilir.

Platformdaki AI asistanı (Sensei) ve ilgili özellikler Google Gemini API üzerinden çalışır. AI’ye gönderilen bağlam, ilgili organizasyonun kendi verisiyle sınırlıdır; sistem, modele "yalnızca bu organizasyonun verisine eriştiğin" talimatını verir ve kaynak-şeffaflık kurallarını uygular.

Kurumsal Custom AI eklentisinde, bir tesisin kendi geçmiş kaizen kayıtları vektör gömme (embedding) olarak organizasyona özgü ve izole bir bilgi tabanında saklanır; bu bilgi tabanı yalnızca ilgili organizasyonun asistanı tarafından erişilebilir ve kiracılar arası paylaşıma kapalıdır.

Yönetilen PostgreSQL altyapısı otomatik günlük yedekleme sağlar (temel katman). Kurumsal dayanıklılık için, veritabanının bağımsız bir nesne depolamasına düzenli olarak dışa aktarıldığı ayrı bir çevrimdışı (off-site) yedekleme mekanizması tasarlanmıştır; bu mekanizma müşteri gereksinimlerine göre etkinleştirilir.

Kurtarma hedefleri (RPO/RTO) ve noktasal zaman kurtarma (PITR) gibi ek seçenekler, kurumsal müşteri sözleşmesi kapsamında değerlendirilir.

Hata izleme (Sentry) ve ürün analitiği (PostHog) ile sistem sağlığı sürekli gözlemlenir. Ayrıca hassas eylemler denetim kayıtlarına yazılır: göç (migration) denetim kaydı, süper-yönetici denetim kaydı ve erişim denetim kaydı.

Güvenlik olaylarında, olayın kapsamının belirlenmesi, etkilenen tarafların bilgilendirilmesi ve düzeltici önlemler için tanımlı bir süreç izlenir. İhlal bildirim yükümlülüklerinin süreleri ve prosedürü DPA belgesinde ayrıntılandırılır.

Üretime giden her değişiklik, birleşik bir yerel doğrulama kapısından geçer: tip denetimi, statik analiz (lint), otomatik testler ve kod-kapsamı eşikleri, tasarım-sistemi bütünlük kapıları ve gizli-anahtar taraması. Bu kapılar bloklayıcıdır; başarısız olurlarsa değişiklik yayınlanamaz. Ek olarak, kiracı-kapsam taraması tanısal (report-only) bir kontrol olarak filtresiz-sorgu sapmalarını gözden geçirilmek üzere yüzeye çıkarır.

Bağımlılık güvenliği için otomatik denetim (audit) çalıştırılır ve bağımlılık güncellemeleri denetimli bir akıştan geçirilir.