Güvenlik

VerbaPulse, yazışmaların hassas olduğu kurumsal ekipler için geliştirildi. Verilerinizi tam olarak nasıl işlediğimizi, verilere kimin erişebildiğini ve korumak için neler yaptığımızı burada bulabilirsiniz.

Sertifikalar ve Bağımsız Güvence

Nerede durduğumuzu açıkça söylemeyi tercih ediyoruz; bir logonun olduğundan fazlasını ima etmesini istemeyiz. Aşağıda bizim dışımızda kimlerin neyi incelediğini, neyi kendimizin değerlendirdiğini ve hangi belgelere sahip olmadığımızı bulabilirsiniz.

Bağımsız olarak incelenenler

• Microsoft 365 Certification. Microsoft, VerbaPulse Outlook eklentisini Microsoft 365 App Certification programı kapsamında sertifikalandırdı. Sertifika, uygulamanın Microsoft AppSource sayfasında yer alır ve 16 Ekim 2027'ye kadar geçerlidir. Sertifika, Microsoft'un eklentinin güvenlik, veri işleme ve gizlilik uygulamalarına ilişkin incelemesini yansıtır. Microsoft'un kendi program sertifikasıdır ve ISO/IEC 27001 veya SOC 2'den ayrıdır.
• Microsoft AppSource. VerbaPulse Outlook eklentisi, Microsoft 365 App Store için Microsoft'un doğrulamasından geçti ve orada yayımlanıyor. Microsoft, bir eklenti listelenmeden önce manifestini, istediği izinleri, davranışını ve içeriğini inceler.
• Microsoft AI Cloud Partner Program. VerbaPulse OÜ, doğrulanmış Partner Center profiline sahip kayıtlı bir iş ortağıdır. Partner ID 7139156.

Kendi değerlendirmemiz, bağımsız denetimden geçmedi

• ISO/IEC 27002 kontrol eşlemesi. Kontrollerimizin ISO/IEC 27002 ile yazılı eşlemesini tutuyor ve talep üzerine paylaşıyoruz. Bu bir öz değerlendirmedir. ISO/IEC 27001 sertifikası değildir ve öyle yorumlanmamalıdır.
• Veri İşleme Sözleşmesi. İmzalı DPA, deneme veya pilot başlamadan önce hazırdır; bitimini beklemeniz gerekmez.

Sahip olunmayanlar

• ISO/IEC 27001. Sertifikamız yok. Sertifika satın alma sürecinizin bir koşuluysa bunu erken aşamada bize bildirin; kapsam ve zamanlamayı sizinle doğrudan görüşelim, yol haritası slaytıyla geçiştirmeyelim.
• SOC 2. Sahip değiliz.
• PCI DSS. Kapsam dışı. VerbaPulse kart sahibi verilerini hiçbir zaman almaz, işlemez veya saklamaz.

Kontrol eşlemesi ve DPA dahil güvenlik belgeleri görüşmeden önce gönderilir, görüşme sonrasına kalmaz. Şu adresten isteyebilirsiniz: [email protected].

E-posta İçeriği Nasıl İşlenir

Chrome eklentisinde veya Outlook eklentisinde bir analiz başlattığınızda şunlar olur:

• Eklenti yalnız o anda odakta olan metin alanını okur; diğer sekmeleri, gelen kutunuzu veya gönderilmiş postalarınızı taramaz.
• Analiz sizin eyleminizle (yazmaya ara verdiğinizde) başlar, arka planda kendiliğinden çalışmaz.
• E-posta metni hiçbir zaman günlüğe veya diske yazılmaz. Aynı taslağın analiz sonucu sunucu belleğinde en fazla 4 saat önbellekte tutulur (en fazla 500 kayıt). Olay günlüğünde taslak metni, konu, alıcılar veya kullanıcı kimliği bulunmaz; kurumlar isterse içerik saklamayı açabilir, bu durumda işaretlenen ifade, önerilen yeniden yazım ve açıklama tutulur.
• Analiz sonuçları (risk konumları, öneriler) yalnız tarayıcı belleğinde tutulur ve yazma penceresini kapattığınızda silinir.

Neleri Günlüğe Kaydediyoruz

Çoğu tedarikçi veritabanını anlatıp orada durur. Metnin sessizce biriktiği diğer yer uygulama günlükleridir, o yüzden bu tarafı da açıklıyoruz.

• Sunucu günlükleri bir analizin içeriğini hiçbir zaman kaydetmez, yalnız biçimini kaydeder: kaç bulgu döndüğü, hangi risk kategorilerine girdiği, çağrının ne kadar sürdüğü ve HTTP durumu.
• Analiz edilen metin, tespit edilen ifadeler ve önerilen yeniden yazımlar günlüklere yazılmaz. İçerik düzeyinde günlükleme yalnız varsayılan olarak kapalı bir geliştirici bayrağının arkasındadır ve üretimde etkin değildir.
• Uygulama sunucusundaki günlük saklama, hangisi önce dolarsa, 14 gün ve 200 MB ile sınırlıdır.
• Bu web sitesindeki taslak denetleyiciden çalıştırılanlar gibi anonim analizler veritabanı kaydı ve hesap ilişkisi oluşturmaz, taslak metni günlüklerimize yazılmaz.

Aktarım Güvenliği

• İstemci ile sunucu arasındaki tüm iletişim asgari TLS 1.2 (tercihen TLS 1.3) ile HTTPS üzerinden zorunlu tutulur.
• HTTP istekleri otomatik olarak HTTPS'e yönlendirilir.
• Cloudflare DNS, kendi ucunda TLS sonlandırma ve ağ koruması sağlar, ardından sunucumuza TLS üzerinden (Let’s Encrypt sertifikası) bağlanır. Taslak metni dahil tüm web trafiği aktarım sırasında Cloudflare'dan geçer.
• Sunucu ile model arasındaki tüm iletişim, AB'deki (Sweden Central) Azure OpenAI Standard (bölgesel) dağıtımımıza HTTPS üzerinden yapılır.
• verbapulse.com üzerinde HSTS (HTTP Strict Transport Security) yapılandırılmıştır.

Kimlik Doğrulama ve Erişim Kontrolü

• Parolalar bcrypt ile karmalanır (maliyet faktörü 12, her parola için benzersiz tuz). Düz metin parolalar hiçbir zaman saklanmaz veya günlüğe yazılmaz.
• Oturum belirteçleri kriptografik olarak rastgeledir. Panel oturumları 7 gün, eklenti oturumları en fazla 365 gün sürer; iki belirteç türü birbirinin yüzeyinde kullanılamaz.
• Kurum yöneticileri ekip erişimini yönetir, Yönetici panelinden istedikleri zaman kullanıcı ekleyip çıkarabilir.
• Rol ayrımı: üyeler yalnız kendi kullanımlarını, yöneticiler kurum düzeyindeki analizleri görür.
• VerbaPulse çalışanlarının kurumunuzun e-posta içeriğine erişimi yoktur; kurumunuz içerik saklamayı açmadıkça bu içerik saklanmaz.

Altyapı

• Arka uç, otomatik güvenlik güncellemeleriyle AB'deki (Sweden Central) bir Microsoft Azure sanal makinesinde barındırılır. Aynı makine, ürün veritabanını okuyamayan ayrı bir hizmet hesabı altında şirket blogunu da sunar.
• Hesap verileri, olay üst verileri ve kurum politikası yönergeleri tek bir veritabanında tutulur; kurumlar her sorguda kurum kimliğiyle mantıksal olarak ayrılır. Bir kurum içerik saklamayı açmadıkça veritabanında e-posta içeriği bulunmaz.
• Sunucu erişimi yalnız SSH anahtarıyla kimlik doğrulamaya açıktır, parolayla giriş yapılamaz.
• Güvenlik duvarı kuralları gelen trafiği yalnız HTTPS (443) ve SSH (22) ile sınırlar.
• Günlük otomatik veritabanı yedekleri: sunucuda 14 kopya tutulur; Azure Blob Storage'daki (Sweden Central) şifreli site dışı kopyalar 30 gün sonra otomatik silinir ve geçici silme yoluyla 14 gün daha geri yüklenebilir.

Azure OpenAI Entegrasyonu

VerbaPulse dil riskini tespit etmek için AB'de (Sweden Central) Standard (bölgesel) dağıtım üzerinde Microsoft Azure OpenAI (gpt-5.1) kullanır. Bu entegrasyona ilişkin temel bilgiler:

• Microsoft'un Azure OpenAI veri gizliliği şartlarına göre API üzerinden gönderilen içerik model eğitiminde kullanılmaz ve OpenAI ile veya diğer müşterilerle paylaşılmaz.
• E-posta metni dağıtıma yalnız risk analizi yanıtı üretmek için gönderilir, başka bir amaçla kullanılmaz; Microsoft bu metni İsveç coğrafyasında işler.
• VerbaPulse analiz için gönderilen metne hesap tanımlayıcıları (adınız, giriş e-postanız veya şirket adınız) eklemez; yalnız metin, kurumunuzun yönerge içeriği ve iç/dış alıcı etiketi iletilir. Alıcı adresleri sunucumuzda kalır. Analiz etmeyi seçtiğiniz mesajın kendisinin kişisel veri içerebileceğini unutmayın.
• Microsoft’un kötüye kullanım izlemesi etkindir: Microsoft, kötüye kullanım sistemlerinin işaretlediği içeriği yetkili Microsoft çalışanlarının Avrupa Ekonomik Alanı'nda incelemesi için saklayabilir. Bu içerik model eğitiminde kullanılmaz. Ayrıntı için: Azure OpenAI veri gizliliği →

Alt İşleyiciler

Alt işleyicilerin eksiksiz ve güncel listesini tutuyoruz. Enterprise müşteriler, alt işleyici değişikliklerinden haberdar edilmeyi şu adresten talep edebilir: [email protected].

Veri Yerleşimi

VerbaPulse'un uygulaması, veritabanı ve yapay zekâ çıkarımı tümüyle AB'deki (Sweden Central) Microsoft Azure üzerinde çalışır. Hesap verileri, olay üst verileri ve yüklenen politika yönergeleri AB'de saklanır. E-posta içeriği geçici olarak işlenir ve varsayılan olarak saklanmaz; bu nedenle kalıcı depolamaya ilişkin veri yerleşimi gereklilikleri e-posta içeriği için geçerli olmaz.

Dil riski analizi, VerbaPulse'un işlettiği Standard (bölgesel) dağıtım üzerinde AB'deki (Sweden Central) Microsoft Azure OpenAI'da yapılır (yukarıdaki Alt İşleyiciler bölümüne bakın). Model işleme İsveç coğrafyasında kalır; web trafiği aktarım sırasında Cloudflare'dan geçer.

Güvenlik Açığı Bildirimi

VerbaPulse'ta bir güvenlik açığı keşfederseniz lütfen sorumlu bir biçimde [email protected] adresine "Security Disclosure" konu başlığıyla bildirin. Taahhütlerimiz:

• Bildiriminizi 2 iş günü içinde teyit etmek.
• 5 iş günü içinde ilk değerlendirmeyi sunmak.
• Giderme çalışmalarının ilerleyişi hakkında sizi bilgilendirmek.
• Geçerli açık bildiren araştırmacıları (izinleriyle) anmak.

Açığı gidermemiz için makul bir süre tanınana kadar kamuya açıklamamanızı rica ederiz.