Uyumluluk ve güvenlik

1. Özet

Uretyco üç operasyonel taahhüt etrafında oluşturulmuştur: Müşteriler verilerinin kontrolünü elinde tutar ve IP, tedarikçiler incelenir ve objektif standartlara göre tutulur ve güvenlik iddiaları dürüsttür. Henüz bir sertifikasyon işlemini tamamlamadığımız durumlarda bunu söylüyoruz. Bir kontrolün tasarımda olduğu durumlarda onu buna göre işaretleriz.

2. Veri koruma programı

Veri koruma programımız KVKK (Türkiye) ve GDPR (Avrupa Birliği) gereklilikleri ile uyumludur. Temel unsurlar şunlardır:

İşlediğimiz her kişisel veri kategorisini ve bunun yasal dayanağını listeleyen belgelenmiş bir veri envanteri.
DSR portalında tam olarak açıklanan, 30 günlük SLA ile veri sahibi istek iş akışı.
Kişisel verilere veya CAD/IP'ye dokunan yeni platform özellikleri için tasarım gereği gizlilik incelemesi.
Her alt işleyici için satıcı risk değerlendirmesi, yıllık olarak yenilenir.
İşe alınan tüm personel için ve sonrasında her yıl için zorunlu veri koruma eğitimi.

3. Güvenlik kontrolleri mevcut

AlanKontrolDurumu Aktarım güvenliğiTLS 1.3, güçlü şifre paketleriyle; HSTS önyüklemesi.Yerinde Kullanılmayan verilerCAD depolama ve veritabanı yedeklemeleri için AES-256 şifreleme.Yerinde Kimlik ve erişimSSO ve MFA tüm personel hesapları için zorunludur; En az ayrıcalıkla rol tabanlı erişim.Yerinde Uygulama güvenliğiGüvenlik açısından hassas yollar için kod incelemesi; her PR'de bağımlılık taraması.Uygulamada Müşteri dosyası yalıtımıVeritabanında, depolamada ve çalışan katmanlarında uygulanan kalıcı kiracı kapsamı.Yürürlükte Günlüğe kaydetme ve izlemeMerkezi bir depoya yapılandırılmış günlükler; Kritik sinyallerde çağrı sırasında uyarı.Yerinde Yedekleme ve kurtarma35 günlük saklama süresiyle günlük yedeklemeler; üç ayda bir yapılan geri yükleme tatbikatları.Uygulamada NDA üretim ortaklarıylaMüşteri korumalarını yansıtan arka arkaya gizlilik sözleşmeleri; Sipariş başına kapsamlı CAD erişim.Yerinde

4. Yol haritası ve yapılanlar

Dürüst olmak gerekirse, henüz tam olarak uygulamaya konmamış ancak yol haritamızda yer alan kontrolleri listeliyoruz. Kazanmadığımız sertifikaları talep etmiyoruz.

GirişimHedefDurum ISO 27001 uyumuUygulanabilirlik ve boşluk kapatma BeyanıDevam ediyor SOC 2 Tip II hazırlığıKontrol tasarımı ve gözlem süresiPlanlama Yıllık harici penetrasyon testiWeb uygulaması + tedarikçi portalı kapsamıPlanlama Genel hata ödül programıPlanlamaya başlamak için koordineli açıklama

Bu girişimler tamamlanana kadar, öyle olduklarını ima eden sertifika rozetlerini göstermeyeceğiz. Dürüst sinyal yukarıdaki tablodur.

5. Alt işlemciler

Platformu çalıştırmak için gerekli olan az sayıda alt işleyiciyi devreye alıyoruz. Aşağıdaki liste bu sayfanın en üstünde yer alan tarih itibarıyla geçerlidir.

SağlayıcıRolüBölge VercelUygulama barındırma ve CDN.AB ve ABD (SCCs) SupabaseKimlik doğrulama, veritabanı, dosya depolama.AB E-posta hizmeti (işlemsel)İşlemsel e-posta dağıtımı.AB Ödeme işlemcisiKart ve banka ödemeleri.Türkiye ve AB Analizler (katılma)İzin verildiği durumlarda toplu platform analizleri.AB ve ABD PexelsEditör kapak resmi barındırma.Global CDN Üretim ortaklarıMüşteri parçalarının üretimi.Türkiye, AB, seçilmiş APAC ve Doğu Avrupa

6. Üretim standartları

Tedarikçiden bağımsız olarak her Siparişe uyguladığımız standartlar:

İşlenmiş metal parçalarda ISO 2768-mK'ye göre varsayılan toleranslar; çizimde daha sıkı değerlerin belirtilmesi gerekir.
Varsayılan inceleme: %100 görsel + numune boyutu. Daha sıkı denetim (FAI, CMM, tam boyutlu rapor) tercih edilir ve Siparişte belirtilir.
Havacılık, tıp ve düzenlemeye tabi sektör siparişleri için varsayılan olarak Malzeme Test Raporları (MTR); ticari siparişler için talep üzerine.
Uygunluk Sertifikası (CoC) her gönderiye dahildir.
Satış ve Üretim Anlaşması uyarınca 5 günlük inceleme aralığıyla kusurların ele alınması.

7. Olaya müdahale

Olay müdahale prosedürümüz tespit, önceliklendirme, kontrol altına alma, ortadan kaldırma, kurtarma ve olay sonrası incelemeyi kapsar. Kişisel verileri içeren olaylarda, KVKK, veri sahipleri açısından bir risk olması durumunda denetim makamına 72 saat içinde bildirimde bulunulmasını gerektirir. Etkilenen müşterileri, onaylandıktan sonraki 48 saat içinde bildiklerimizi ve hala araştırmamız gerekenleri bilgilendirmeyi hedefliyoruz.

8. Denetimler ve güvence

Temel kontrollere yönelik üç ayda bir dahili denetimler gerçekleştiriyoruz (erişim incelemeleri, yedekleme geri yükleme tatbikatları, güvenlik açığı taramaları). ISO 27001 uyum programı kapsamında ilk bağımsız denetimimize hazırlanıyoruz. Kurumsal satın alma süreci yürüten müşteriler, info@urety.co adresine e-posta göndererek bir güvenlik anketi yanıtı ve güncel bir tarama özeti talep edebilir.

9. Güvenlik açığını bildirin

Güvenlik araştırmacılarını bekliyoruz. Güvenlik açığı raporlarını info@urety.co adresine gönderin. 2 iş günü içinde, koordineli açıklama kapsamında iyi niyetle hareket eden araştırmacıları takip etmeyeceğimizi ve raporlayıcıları diledikleri zaman değişiklik günlüğümüze dahil edeceğimizi kabul ederiz.

Uyumluluk ve Güvenlik