Güvenlik ve Alt İşleyenler

1. Güvenlik yaklaşımı

VetRota’nın tasarım hedefi; klinikler arası veri ayrımı, en az yetki, rol temelli erişim, işlem izleri, güvenli oturum yönetimi, kontrollü destek erişimi ve geri yükleme/çıkış planlarının birlikte ele alınmasıdır. Güvenlik, yalnız giriş ekranı veya parola kuralından ibaret kabul edilmez.

Gerçek teknik kontroller ancak uygulandığında ve doğrulandığında bu sayfada beyan edilir. Şu aşamada şifreleme algoritması, sertifika, hizmet sürekliliği ve geri yükleme hedefleri veya mevzuat uyumu hakkında doğrulanmamış iddia verilmez.

2. Klinik ve kullanıcı sorumlulukları

Klinik; kullanıcı yetkilerini ihtiyaca göre vermek, ortak hesap kullanmamak, güvenilir cihaz ve ağ kullanmak, çalışan ayrılışlarında erişimi kaldırmak ve şüpheli bir durumu gecikmeden bildirmekle sorumludur. Yetki yönetimi ve destek erişimi, kliniğin kendi iç denetiminin yerini almaz.

Şüpheli güvenlik olayı veya zafiyet bildirimi için security@cavgalabs.com adresinin kullanılması planlanmaktadır. Bu kanalın izleme ve müdahale prosedürü üretime geçmeden önce yayınlanacaktır.

3. Alt işleyen ve sağlayıcı şeffaflığı

Alt işleyen, VetRota'nın hizmeti sunarken kliniğin verisini işlemesi için kullandığı başka bir hizmet sağlayıcısıdır. Klinik verinin sahibi ve veri sorumlusudur; VetRota kliniğin adına veriyi işleyen taraftır; aşağıdaki sağlayıcılar da VetRota'nın talimatıyla, yalnız belirtilen amaçla işlem yapar.

Bugün kullandığımız sağlayıcılar (5 Kasım 2026): Supabase — veritabanı, oturum ve dosya saklama; tüm klinik kayıtları; Frankfurt, Almanya. Vercel — uygulamanın çalıştığı sunucular; uygulama Frankfurt bölgesinde çalışır, sayfa dağıtımı küresel ağ üzerinden yapılır. Resend — işlem ve hatırlatma e-postaları; alıcı adresi ve e-posta içeriği; ABD. Netgsm — SMS, İYS kaydı ve telefon; alıcı numarası ve mesaj içeriği; Türkiye. iyzico — VetRota abonelik ve SMS paketi kart ödemeleri; ödeme yapan kişinin ödeme bilgisi, kart verisi VetRota'ya ulaşmaz; Türkiye. Nilvera — e-Arşiv, e-Fatura ve e-SMM düzenleme, yalnız bu özelliği açan klinikler için; belge alıcısının fatura bilgileri; Türkiye. Cloudflare — herkese açık formlarda bot koruması (Turnstile); ziyaretçinin tarayıcı bilgileri. OpenStreetMap Nominatim — kliniğin kendi adresinin harita konumuna çevrilmesi; yalnız klinik adresi. Tarayıcı bildirim servisleri (Apple, Google, Mozilla) — personele giden anlık bildirimler; bildirim metni.

Bu liste değiştiğinde güncel hâli bu sayfada yayımlanır. Sağlayıcı sözleşmeleri ve yurt dışına aktarım değerlendirmesi hukuk incelemesindedir.

4. Olay yönetimi ve bildirim

Olası güvenlik olayları; tespit, sınıflandırma, erişimi sınırlandırma, delil/kayıt koruma, etkilenen klinikle iletişim, kök neden analizi ve iyileştirme aşamalarında ele alınacak şekilde tasarlanır. Kişisel veri ihlali olasılığında uygulanacak bildirim yükümlülükleri, taraf rolleri ve süreler hukukî/operasyonel prosedürde netleştirilir.

Klinik, yanlış alıcıya veri gönderimi, yetkisiz erişim şüphesi veya kayıp cihaz gibi bir durumu makul gecikme olmaksızın bildirmelidir. CavgaLabs da doğrulanmış olaya ilişkin müşteri iletişimini, kesinleşmemiş bilgiyi gerçekmiş gibi sunmadan yürütmelidir.

5. Destek erişimi, denetim izi ve veri yaşam döngüsü

Destek için müşteri verisine erişim gerekiyorsa erişimin kapsamı, gerekçesi, yetkilisi ve mümkünse zaman sınırı kayıt altına alınır. Platform yöneticisinin klinik sağlık verisine otomatik ve sınırsız erişimi ürün ilkesi değildir.

Yedekleme, geri yükleme denemeleri, veri dışa aktarma, silme, arşivleme, hukuki saklama ve saklama süreleri; gerçek altyapı ve uygulama doğrulandıktan sonra ölçülebilir hedeflerle sözleşme ve güvenlik ekine bağlanır. ‘Yedek vardır’ ifadesi tek başına güvence sayılmaz.

6. Değişiklik ve müşteri incelemesi

Alt işleyen, veri bölgesi veya güvenlikte müşteriyi anlamlı biçimde etkileyen değişiklikler olduğunda güncel liste, değişiklik tarihi ve sözleşmesel bildirim yaklaşımı paylaşılır. Müşterinin güvenlik sorularına verilecek yanıtlar, kanıtlanabilir kontrollerle sınırlı tutulur.

Ücretli pilot öncesinde güncel alt işleyen listesi, veri işleme eki, destek ve hizmet seviyesi anlaşması ve olay iletişim süreci müşteriyle paylaşılacak sözleşme paketine bağlanır.