Güvenlik Politikası

Güvenlik Politikası

Bu Güvenlik Politikası; Quantum Intelligence Hub Ltd (“QIH”, “biz” veya “şirket”) tarafından QIHHUB.COM ve bağlantılı QIH hizmetlerinde uygulanan kamuya açık güvenlik çerçevesini açıklar. Kapsama internet siteleri, hosting ve otomasyon ortamları, AI Dijital Resepsiyon hizmetleri, müşteri portalları, iletişim kanalları ve destekleyici altyapılar dâhildir.

Bu politika üst düzey bir operasyonel özettir. Sistem güvenliğini zayıflatabilecek gizli mimari bilgileri, kimlik bilgilerini, iç kontrol kayıtlarını, tespit kurallarını veya hassas yapılandırmaları açıklamaz.

1. Kapsam ve Güvenlik Amaçları

Güvenlik programımız aşağıdaki amaçları desteklemek üzere tasarlanmıştır:

• sistem ve bilgilerin gizliliği, bütünlüğü ve erişilebilirliği;
• dayanıklı ve hukuka uygun hizmet sunumu;
• yetkisiz erişim, dolandırıcılık, kötüye kullanım ve kesintilerin önlenmesi ve tespiti;
• kişisel bilgilerin ve müşteri kontrolündeki verilerin uygun şekilde korunması;
• güvenlik olaylarının zamanında sınırlandırılması, incelenmesi ve sonrasında hizmetin geri yüklenmesi;
• riskler, operasyonel deneyim ve değişen tehditler doğrultusunda sürekli iyileştirme.

2. Yönetişim ve Risk Yönetimi

Güvenlik kontrolleri risk temelli bir yaklaşımla seçilir ve gözden geçirilir. Hizmet ve riske göre QIH; varlık sahipliğini, erişim gereksinimlerini, tedarikçi bağımlılıklarını, veri akışlarını, kurtarma önceliklerini ve olay müdahale sorumluluklarını belgelendirebilir.

Güvenlik; tasarım, uygulama, işletim, önemli değişiklik ve hizmetin sona ermesi dâhil tüm hizmet yaşam döngüsü boyunca değerlendirilir.

3. Ortak Sorumluluk Modeli

Güvenlik; QIH, müşteri ve ilgili altyapı ya da kanal sağlayıcıları arasında paylaşılan bir sorumluluktur. QIH, kendi kontrolündeki sistem ve süreçlerdeki güvenlik önlemlerinden sorumludur. Müşteri ise kendi kullanıcıları, cihazları, ağları, hesapları, içerikleri, talimatları, hukuki izinleri ve yönettiği üçüncü taraf hizmetlerden sorumludur.

Her taraf; uygulanabilir sözleşme ve emredici hukuk hükümleri saklı kalmak üzere, kendi eylem veya ihmali, kimlik bilgileri, personeli ya da kontrolündeki sistemlerden kaynaklanan kayıp, kötüye kullanım veya uyumsuzluktan sorumludur.

4. Kimlik ve Erişim Yönetimi

• rol tabanlı ve en az ayrıcalık esaslı erişim;
• benzersiz kullanıcı hesapları ve uygun kimlik doğrulama;
• desteklendiği ve riskle orantılı olduğu yerlerde çok faktörlü kimlik doğrulama;
• yönetim yetkilerinin ayrılması ve ayrıcalıklı erişimin sınırlandırılması;
• erişimlerin periyodik incelenmesi ve görev değişikliği ya da ayrılış sonrasında zamanında kaldırılması;
• teknik olarak mümkünse önemli yönetici işlemlerinin kaydedilmesi.

5. Kimlik Bilgileri, API Anahtarları ve Gizli Değerler

Şifreler, API gizli anahtarları, webhook imzalama gizli anahtarları, erişim belirteçleri ve kurtarma kodları gizli tutulmalıdır. QIH ve müşteriler:

• genel ve gizli anahtarları doğru alanlarda tutmalı; gizli değerleri internet sayfalarında, e-postada, sohbette veya ekran görüntülerinde paylaşmamalıdır;
• test ve canlı ortam anahtarlarını birbirinden ayırmalıdır;
• publishable key, secret key ve webhook signing secret gibi anahtar türlerini ve beklenen önekleri doğrulamalıdır;
• gizli değerleri kaynak koduna gömmek yerine güvenli ve erişimi sınırlı alanlarda saklamalıdır;
• şüpheli ifşa, personel değişikliği veya sağlayıcı yönlendirmesi sonrasında anahtarları hızla değiştirmeli ya da iptal etmelidir;
• aynı kimlik bilgisini ilgisiz sistemlerde yeniden kullanmamalıdır.

QIH, yanlış biçimli anahtarları reddedebilir veya müşteri ve sistemleri korumak amacıyla bir entegrasyonu geçici olarak devre dışı bırakabilir.

6. Altyapı, Platform ve Ağ Güvenliği

Hizmet mimarisi ve sağlayıcı imkânlarına göre QIH; güvenli yapılandırma, aktarım sırasında şifreleme, firewall, trafik filtreleme, ortam ayrımı, korumalı yönetim arayüzleri, güvenlik güncellemeleri, erişilebilirlik kontrolleri ve bulut sağlayıcısı güvenlik önlemlerinden yararlanabilir.

Altyapı; bağımsız bulut, hosting, telekomünikasyon ve yazılım sağlayıcılarında barındırılabilir veya işlenebilir. Bu sağlayıcıların kontrolleri ve erişilebilirliği genel hizmet bağımlılık zincirinin parçasıdır.

7. Uygulama ve Geliştirme Güvenliği

QIH tarafından geliştirilen veya yapılandırılan sistemlerde; girdi doğrulama, kimlik ve yetki kontrolleri, güvenli hata yönetimi, bağımlılık incelemesi, değişiklik kontrolü, test ve üretim verilerinin ayrılması, önemli olayların kaydı ve riske uygun testler uygulanabilir.

Bu politikanın yayımlanması, yazılımın hata veya güvenlik açığından tamamen arınmış olduğu anlamına gelmez. Tespit edilen sorunlar; önem, istismar ihtimali, müşteri etkisi ve çözüm imkânlarına göre değerlendirilir.

8. AI Dijital Resepsiyon ve İletişim Kanalları

AI Dijital Resepsiyon hizmetleri telefon, web sohbeti, e-posta, WhatsApp, sosyal medya, formlar, takvimler, CRM sistemleri ve müşterinin seçtiği diğer kanallara bağlanabilir. Güvenlik, bağlı her sağlayıcı hesabının doğru yapılandırılmasına ve korunmasına da bağlıdır.

• Müşteri bağlantıları yetkilendirmeli ve bağlı hesaplara hukuka uygun erişim hakkını korumalıdır.
• Çağrı sesi, transkriptler, mesajlar ve iletişim bilgileri yalnızca hukuka uygun, gerekli ve hizmet için yapılandırılmış olduğu ölçüde toplanmalı veya saklanmalıdır.
• AI çıktıları, açıkça kararlaştırılmadıkça ve uygun insan denetimi bulunmadıkça acil yardım, tıbbi teşhis, hukuki temsil veya diğer yüksek riskli kararlar için kullanılmamalıdır.
• AI görüşmelerinde şifre, tek kullanımlık doğrulama kodu, tam kart bilgisi veya ilgisiz hassas bilgiler istenmemelidir.
• Ödemeler onaylı, barındırılan bir ödeme sayfasına veya ödeme sağlayıcısının güvenli ortamına yönlendirilmelidir.

9. Veri Güvenliği ve Şifreleme

QIH, kişisel bilgileri asgari düzeyde tutmayı ve erişimi kullanım amacıyla sınırlandırmayı hedefler. Desteklendiği ve uygun olduğu yerlerde aktarım sırasında şifreleme kullanılır. Saklanan bilgiler için şifreleme veya eşdeğer sağlayıcı korumaları; hizmet, risk ve platform kabiliyetlerine göre uygulanabilir.

Şifreleme riski azaltır ancak tamamen ortadan kaldırmaz. Müşteriler kendi uç cihazlarını, dışa aktarılan kayıtları, indirilen dosyaları, yerel yedekleri ve kendi sistemlerine kopyalanan bilgileri ayrıca korumalıdır.

10. Loglama, İzleme ve Kötüye Kullanım Tespiti

QIH ve sağlayıcıları; güvenlik, erişim, kimlik doğrulama, entegrasyon, sistem performansı ve hata olaylarını güvenlik, dolandırıcılığın önlenmesi, sorun giderme, hizmet sürekliliği ve hukuki uyum amacıyla kaydedebilir. İzleme; olağan dışı erişimi, tekrarlanan hataları, zararlı otomasyonu, spam faaliyetlerini, kötüye kullanımı veya altyapı istikrarsızlığını tespit etmeye yardımcı olabilir.

İzleme sürekli insan gözetimi değildir ve her olayı tespit edeceği garanti edilemez. Loglara erişim sınırlandırılır ve kayıtlar yalnızca orantılı operasyonel ya da hukuki süre boyunca saklanır.

11. Güvenlik Açığı ve Güncelleme Yönetimi

QIH, ilgili güvenlik açıklarını ve güncellemeleri risk seviyesine göre değerlendirir. Öncelik; açığın ciddiyeti, gerçekçi istismar ihtimali, internete açıklık, bilginin hassasiyeti, operasyonel etki, sağlayıcı çözümünün mevcudiyeti ve güvenli dağıtım gereksinimlerine göre belirlenebilir.

Müşteriler kendi cihazlarını, tarayıcılarını, eklentilerini, entegrasyonlarını ve bağlı sistemlerini desteklenen ve makul ölçüde güncel durumda tutmalıdır.

12. Tedarikçiler ve Alt İşleyenler

QIH; hosting, bulut, ödeme, telefon, mesajlaşma, analitik, otomasyon ve destek sağlayıcıları kullanabilir. Tedarikçi değerlendirmelerinde hizmetin kritikliği, güvenlik bilgileri, sözleşmesel korumalar, veri konumu, erişim kapsamı, dayanıklılık ve olay prosedürleri dikkate alınabilir.

Bir tedarikçiyle çalışılması, uygulanabilir sözleşme ve hukuk düzeninin öngördüğü paylaşım dışında, o tedarikçinin bağımsız eylemlerinden doğan bütün sorumluluğu QIH’ye aktarmaz.

13. Yedekleme, Kurtarma ve İş Sürekliliği

İlgili hizmet kapsamına dâhil olduğu durumlarda QIH veya sağlayıcıları; hizmetin kritikliğiyle orantılı yedekleme, yedeklilik, kurtarma prosedürleri ve süreklilik önlemleri uygulayabilir. Yedekleme sıklığı, saklama süresi ve geri yükleme kabiliyeti hizmete göre değişir; açıkça belgelenmedikçe varsayılmamalıdır.

Müşteriler, hukuken saklamak zorunda oldukları bilgilerin bağımsız kopyalarından ve bir kesintinin faaliyetlerini önemli ölçüde etkileyebileceği durumlarda uygun süreklilik planından sorumludur.

14. Güvenlik Olayı Yönetimi

QIH; şüpheli olayları değerlendirir, doğrulanmış tehditleri sınırlandırmaya çalışır, uygun olduğunda ilgili delilleri korur, etkilenen sağlayıcılarla koordinasyon kurar ve hizmeti öncelik sırasına göre geri yükler. Bildirim gerektiren bir kişisel veri ihlali veya önemli hizmet güvenliği riski öğrenildiğinde, uygulanabilir hukuk ve sözleşmedeki rollere uygun biçimde ilgili müşteri veya yetkili makam bilgilendirilir.

Müşteri şüpheli ihlali derhâl bildirmeli, mümkünse açığa çıkan anahtarları iptal etmeli, ilgili delilleri korumalı ve makul sınırlandırma çalışmalarına destek vermelidir.

15. Müşterinin Güvenlik Sorumlulukları

• yetkili kullanıcı bilgilerini doğru tutmak ve gereksiz erişimleri kaldırmak;
• güçlü kimlik doğrulama ve mümkünse çok faktörlü doğrulama kullanmak;
• cihazları, ağları, e-posta kutularını, telefon hesaplarını ve bağlı platformları korumak;
• entegrasyonlara yalnızca gereken izinleri vermek;
• hukuka uygun kayıt bildirimleri, onay seçenekleri ve saklama ayarlarını yapılandırmak;
• gereksiz hassas veya özel nitelikli bilgileri yüklememek;
• AI talimatlarını, bilgi bankasını, otomatik işlemleri ve müşteriye sunulan çıktıları incelemek;
• kötüye kullanım, anahtar ifşası veya güvenlik olayını QIH’ye zamanında bildirmek.

16. Güvenlik Testleri ve Sorumlu Bildirim

QIH sistemlerine karşı önceden yazılı izin alınmadan güvenlik testi yapılamaz. Güvenlik açığı tespit ettiğini düşünen araştırmacılar; gizlilik ihlalinden, veri erişiminden, kalıcılık oluşturmaktan, hizmeti aksatmaktan, tehdit veya şantajdan ve QIH’ye makul inceleme süresi tanımadan açık duyuru yapmaktan kaçınmalıdır.

Güvenlik Açığı Bildirim Politikamızı inceleyebilir veya security@qihhub.com adresiyle iletişime geçebilirsiniz.

17. Yaptırım, Askıya Alma ve Sorumluluk

QIH; tehdidi sınırlandırmak, kötüye kullanımı incelemek, etkilenen kişileri korumak, hukuka uymak veya altyapıyı muhafaza etmek için gerekli olduğunda entegrasyonu, kimlik bilgisini, özelliği ya da hesabı sınırlandırabilir. Uygulanabildiği ölçüde kısıtlamanın kapsamı ve süresi makul ölçüde gerekli olanla sınırlı tutulur.

Bir olayın sorumluluğu; nedensellik, ortak kusur, geçerli sözleşme ve emredici hukuk hükümleri dikkate alınarak, ihlali, ihmali, hukuka aykırı talimatı, güvensiz yapılandırması, personeli veya kontrolündeki sistemi olaya neden olan tarafa aittir.

18. Sınırlar ve Politika Güncellemeleri

Bu politika mutlak güvenlik garantisi, kesintisiz çalışma taahhüdü veya herhangi bir sertifika oluşturmaz. Hizmete özgü güvenlik yükümlülükleri, hizmet seviyeleri, veri işleme şartları ve sorumluluk hükümleri ilgili sözleşmeyle düzenlenir. Bu politikadaki hiçbir hüküm hukuken sınırlandırılamayan sorumluluğu ortadan kaldırmaz.

QIH; hizmetlerde, risklerde, teknolojide, hukukta veya operasyonel kontrollerde meydana gelen değişikliklere göre bu politikayı güncelleyebilir. Önemli değişiklikler yeni güncelleme tarihiyle yayımlanır.

19. İlgili Politikalar

• Security Disclosure Policy
• Privacy Policy
• Data Protection Policy
• Acceptable Use Policy
• AI & Automated Systems Policy
• Terms & Conditions
• QIH HUB AI Master Service Agreement

20. İletişim

Güvenlik bildirimleri veya operasyonel güvenlik soruları için:

QUANTUM INTELLIGENCE HUB LTD
71–75 Shelton Street
Covent Garden
London, WC2H 9JQ
United Kingdom

Security: security@qihhub.com
Privacy: privacy@qihhub.com
Legal: legal@qihhub.com
General: info@qihhub.com