SÜRÜM 1.8 · SON GÜNCELLEME: 4 EKİM 2026
Satın alma verileriniz (rotalar, fiyatlar, taşıyıcılarınız) ticari sırdır. Bu sayfa onları nasıl koruduğumuzu ve nerede durduğumuzu açıkça anlatır. Bilgi güvenliği ekibiniz için ayrıntılı güvenlik paketini ve soru formu yanıtlarını info@navluno.com adresinden isteyebilirsiniz.
ISO/IEC 27001 durumu. Navluno henüz ISO/IEC 27001 sertifikalı değildir. Teknik ve organizasyonel kontrollerimizi ISO/IEC 27001:2022 Ek A'ya göre eşledik; hangi kontrolün uygulandığını ve hangisinin planlandığını aşağıda gösteriyoruz. Altyapı sağlayıcımız Railway'in SOC 2 Type II raporu vardır.
| Konu | Durum | Ayrıntı |
|---|---|---|
| Barındırma | Uygulanıyor | Railway (SOC 2 Type II). Sunucular ve veriler Avrupa Birliği'nde (Hollanda, Amsterdam). |
| Aktarımda şifreleme | Uygulanıyor | Yalnızca HTTPS (TLS). HSTS bir yıl; tarayıcı düz HTTP'ye düşmez. |
| Firma ayrımı | Uygulanıyor | Her firma ayrı uygulama sürecinde ve ayrı veri klasöründe çalışır. Kurulum çerezleri imzalıdır. |
| Giriş güvenliği | Uygulanıyor | Şifreler bcrypt ile saklanır, en az 10 karakter. İki adımlı doğrulama (kod uygulaması ya da passkey). Hatalı denemelere sınır. |
| Oturum | Uygulanıyor | En fazla 8 saat; 120 dakika işlem yapılmazsa kapanır. Çerezler HttpOnly, Secure, SameSite. |
| Rol bazlı yetki | Uygulanıyor | Admin, Satın Alma, Operasyon. Yetkiler sunucuda zorlanır; yalnızca ekrandan gizlenmez. |
| Denetim kaydı | Uygulanıyor | Giriş, yetki değişikliği, talep, kazanan seçimi, evrak ve veri dışa aktarımları kaydedilir. Kayıtlar zincirlidir (SHA-256), 24 ay saklanır, CSV olarak indirilebilir. |
| Yedekleme | Kısmen | Günlük otomatik yedek (14 gün). AES-256 ile şifreli, başka bir sağlayıcıda tutulan günlük dış yedek altyapısı hazırdır ve devreye alınmaktadır. |
| Uygulama güvenliği | Uygulanıyor | İçerik güvenliği politikası (CSP), çerçeveleme yasağı, çapraz site istek koruması, çıktı kaçışı. Her sürümden önce otomatik güvenlik sınaması. |
| Bağımlılık taraması | Uygulanıyor | Her sürümde npm audit; 4 Ekim 2026 itibarıyla bilinen açık yok. |
| Tek oturum açma (SSO) | Uygulanıyor | Microsoft Entra ID (OpenID Connect) ve Google ile giriş. Firma isterse şifreyle girişi kapatır; hesap kapatma ve çok faktörlü doğrulama firmanın kendi Entra politikasıyla yönetilir. SAML 2.0 planlıdır. |
| ERP / SAP entegrasyonu | Uygulanıyor | Firmaya özel anahtarla salt okunur API: talepler, teklifler, kazanan taşıyıcı, SAP tedarikçi numarası ve SAP referansı. Anahtarlar bir kez gösterilir, yalnızca özeti saklanır, her okuma denetim kaydına düşer. |
| Bağımsız sızma testi | Planlı | Dış firma tarafından yapılacak; rapor özeti talep edenlerle paylaşılacak. |
Organizasyonel kontrollerin bir kısmı şirket kuruluşu ve bilgi güvenliği yönetim sisteminin (BGYS) kurulmasıyla tamamlanacaktır.
| Kontrol | Durum |
|---|---|
| 5.15–5.18 Erişim kontrolü, kimlik ve yetki yönetimi | Uygulanıyor |
| 5.23 Bulut hizmetlerinin güvenliği | Kısmen |
| 5.24–5.28 Olay yönetimi | Kısmen |
| 5.29–5.30 Kesinti ve iş sürekliliği | Kısmen |
| 5.34 Kişisel verilerin korunması (KVKK) | Kısmen |
| 7.1–7.14 Fiziksel güvenlik | Sağlayıcıda |
| 8.5 Güvenli kimlik doğrulama | Uygulanıyor |
| 8.8 Teknik açıkların yönetimi | Uygulanıyor |
| 8.13 Bilgi yedekleme | Kısmen |
| 8.15 Kayıt tutma | Uygulanıyor |
| 8.16 İzleme | Kısmen |
| 8.24 Kriptografi kullanımı | Uygulanıyor |
| 8.25–8.29 Güvenli geliştirme ve güvenlik sınaması | Uygulanıyor |
| 8.32 Değişiklik yönetimi | Kısmen |
| 5.1–5.4, 6.1–6.6 Politika, roller, personel | Şirketle birlikte |
Bir güvenlik açığı bulduğunuzu düşünüyorsanız info@navluno.com adresine "Güvenlik" konusuyla yazın. İki iş günü içinde yanıt veririz. İyi niyetli bildirimler için hukuki işlem başlatmayız.