Güven Merkezi
Kimlik verisi, kullanıcılarınızın paylaştığı en hassas veridir. Zoi ID onu her adımda korur ve güvenlik ile uyum ekiplerinize gönül rahatlığıyla onay vermek için gereken her şeyi sunar.
Her katmanda güvenlik
Koruma, Zoi ID'nin geliştirilme ve işletilme biçiminin bir parçasıdır: ilk kod satırından saklama süresinin son gününe kadar.
Her yerde şifreli
Aktarımda ve depolamada, her dosya ve her kimlik kaydı için ayrı bir anahtarla.
Veri AB'de kalır
Kimlik verisi Almanya'da, yalnızca Zoi ID'ye ayrılmış altyapıda saklanır.
Yüz şablonu yok
Yüzler yalıtılmış hizmetlerde, yalnızca bellekte karşılaştırılır. Hiçbir biyometrik şablon saklanmaz.
En az yetkiyle erişim
İsimli personel, role göre belirlenen yetkiler ve her görüntüleme ile her kararın yazıldığı, yalnızca eklenebilen bir denetim kaydı.
Dört göz ilkesi
Olası yaptırım ve PEP eşleşmeleri iki bağımsız inceleyici gerektirir. İtirazlara farklı bir inceleyici bakar.
Test edilmiş ve doğrulanmış
Her değişiklikte otomatik güvenlik testleri. Her sürüm imzalanır ve çalışmadan önce doğrulanır.
Veri konumu
Kimlik verisi Almanya'da (AB) saklanır ve işlenir. Başka yerlerden erişim isimli personelle sınırlıdır ve her zaman kaydedilir.
- Depolama
- Almanya'da, diğer tüm Zoi sistemlerinden ayrı, özel altyapı.
- Yedekler
- Altyapımızdan çıkmadan önce şifrelenir ve AB'de tutulur.
- Ağ kenarı
- Küresel bir uç ağ her bağlantıyı korur. Başvuru sahibi verileri orada saklanmaz.
- AB dışından erişim
- Yalnızca isimli, eğitimli inceleyiciler ve yöneticiler. Kişisel veriyi her açtıklarında bu denetim kaydına yazılır.
- Şirket ve rol
- Zoi Labs LLC, Amerika Birleşik Devletleri'nde bir Wyoming şirketi. İş ortağının son kullanıcıları için veri işleyen. Yaptırım kayıtları, güvenlik kayıtları ve dolandırıcılık parmak izleri için veri sorumlusu.
- Aktarımlar
- Veri işleme sözleşmesi, AB Standart Sözleşme Maddelerini (Module Two) içerir.
Şifreleme ve anahtar yönetimi
Kanıtlanmış, standart şifreleme ve ayrı ayrı kilitlenen kayıtlar.
Güvenlik sayfasını okuyun- Aktarımda modern TLS ile şifrelenir.
- Depolamada AES-256 ile, her dosya ve her kimlik kaydı için ayrı bir anahtarla şifrelenir.
- Şifreli her öğe kendi kaydına bağlıdır. Başka bir kayda kopyalanırsa açılmaz.
- Anahtarlar yazılı bir politikaya göre yönetilir ve korudukları veriden ayrı tutulur.
- Yedekler altyapımızdan çıkmadan önce şifrelenir.
- Yüz şablonu saklanmaz. Yüzler yalnızca tek bir istek için bellekte karşılaştırılır.
Erişim ve operasyon
Kimin neyi görebileceği üzerinde sıkı kontrol ve yapılan her şeyin kaydı.
- En az yetkiyle erişim: isimli hesaplar, role göre yetkiler ve yalnızca işin gerektirdiği yerde erişim.
- Kişisel verinin her görüntülenmesi, her karar ve her yönetici işlemi yalnızca eklenebilen bir denetim kaydına yazılır ve 10 yıl tutulur.
- İnceleyiciler erişim almadan önce yazılı bir el kitabıyla eğitilir.
- Yüz, canlılık ve belge analizi kendi altyapımızın içindeki yalıtılmış hizmetlerde çalışır. Hiçbir kimlik verisi üçüncü taraf bir yapay zeka hizmetine gitmez.
- İş ortağı API anahtarları kapsamlıdır ve yalnızca özet (hash) olarak saklanır. Her webhook imzalıdır.
- Partner paneli passkey'leri ve doğrulayıcı uygulamaları destekler. Anahtarlarda, ayarlarda ve üyelerde yapılan her değişikliği kaydeder.
- Her silme işlemi kaydedilir ve bir yedekten yapılan her geri yüklemeden sonra yeniden uygulanır.
- Yalnızca sentetik veriyle geliştirir ve test ederiz.
Sürekli güvenlik testleri
Otomatik kontroller her değişiklikte ve düzenli aralıklarla çalışır. Yüksek önemdeki bulgular sürümü durdurur.
- Tüm kodumuzun statik analizi
- Bilinen açıklar için bağımlılık taraması ve hızlı güvenlik güncellemeleri
- Her commit'te ve tüm geçmişte gizli bilgi taraması
- Altyapı ve yapılandırma taraması
- Çip, belge ve görüntü okuyan kodun fuzz testleri
- Web uygulamasının ve API'nin dinamik testleri
Olay müdahalesi ve süreklilik
Bir şeyler ters gittiğinde net bir plan ve bize güvenen iş ortaklarına sağlam taahhütler.
- Müdahale planı
- Yazılı bir olay müdahale planı sınırlama, değerlendirme ve bildirimi kapsar. Hizmet verdiğimiz her pazar için süreler belirler.
- İş ortağına bildirim
- Kullanıcılarınızı etkileyen bir kişisel veri ihlalini size gecikmeden ve en geç 36 saat içinde bildiririz.
- Resmi makamlar
- Sorumlu olduğumuz durumlarda resmi makamları ve etkilenen kişileri yasanın belirlediği süre içinde, genellikle 72 saatte, bilgilendiririz.
- Süreklilik
- AB'de şifreli yedekler ve adım adım yazılı kurtarma prosedürleri.
Saklama
Varsayılan süreler. Yasal bir saklama kararı süreyi durdurabilir.
| Veri | Ne zamana kadar tutulur |
|---|---|
| Hiç gönderilmemiş oturum | Oluşturulduktan 7 gün sonrasına kadar. |
| Açık oturum (işleniyor veya incelemede) | En fazla 60 gün, sonra süresi dolar. |
| Belge görüntüleri, çip verisi, video | Son karardan 90 gün sonrasına kadar. Kişi asgari yaşın altındaysa 24 saat. Onay geri çekilince veya silme istenince hemen. |
| Kimlik bilgileri (ad, doğum tarihi, belge numarası, adres) | Kullanıcının iş ortağındaki hesabı var olduğu ve kimlik iptal edilmediği sürece. Son doğrulamadan en fazla 5 yıl sonrasına kadar. |
| Mükerrer kontrol anahtarları, kararlar ve kişisel veri içermeyen kontrol sonuçları | Dolandırıcılığı önlemek için son oturumdan 5 yıl sonrasına kadar. |
| Yaptırım tarama kayıtları | Yaptırım kayıt kurallarının gerektirdiği gibi 10 yıl. |
| Denetim kaydı | 10 yıl. |
| Yedekler | 30 gün. |
Her silme işlemi kaydedilir ve bir yedekten her geri yüklemeden sonra yeniden uygulanır.
Alt işleyiciler
Zoi ID için kişisel veri işleyen şirketler. Her biri yazılı bir veri işleme sözleşmesiyle bağlıdır.
| Şirket | Ne yapar | Konum |
|---|---|---|
| Hetzner Online GmbH | Sunucu barındırma. Zoi ID'nin sakladığı her şey burada durur ve her zaman şifrelidir. | Almanya (AB) |
| Cloudflare, Inc. | Ağ koruması, TLS, DNS ve şifreli yedeklerin depolanması. | Küresel kenar ağı. Yedekler AB'de. |
| Google LLC | Play Integrity: uygulama ve cihaz hakkında evet veya hayır yanıtı. Kimlik verisi yok. | Amerika Birleşik Devletleri |
| Apple Inc. | App Attest: bir isteğin gerçek iOS uygulamasından geldiğinin kanıtı. Kimlik verisi yok. | Amerika Birleşik Devletleri |
İş ortakları, bir alt işleyici eklemeden veya değiştirmeden 30 gün önce bilgilendirilir ve itiraz edebilir.
Güvenlik açığı bildirin
Bir güvenlik sorunu mu buldunuz? official@zoi.network adresine yazın. İyi niyetli araştırmaları memnuniyetle karşılar, 3 iş günü içinde yanıt veririz.
security.txt dosyasını açın- Ne bulduğunuzu ve nasıl tekrarlanacağını bize yazın.
- Yalnızca kendi test hesaplarınızı ve sentetik veriyi kullanın. Başkalarının verisini açmayın.
- Hizmet engelleme, sosyal mühendislik ve alt işleyicilerimize karşı test yapmayın.
- Yayınlamadan önce sorunu düzeltmemiz için bize zaman tanıyın.
Herkese açık belgeler
NDA kapsamında sunulanlar
- SOC 2 ve ISO/IEC 27001:2022 kontrol eşlemesi
- CAIQ v4 ve SIG Lite tarzında doldurulmuş anketler
- Alıcıların en sık sorduğu güvenlik sorularını içeren kısa bir form
- Bilgi güvenliği politikalarımız
- Güvenlik tasarımı belgeleri ve veri koruma etki değerlendirmemiz
- Kendi sızma testiniz veya bağımsız bir değerlendirme için sözleşme şartları
Her hesabın arkasında gerçek bir kişi olsun
Zoi ID çok yakında yayında. Erken erişim iş ortakları sandbox anahtarlarını, ekibimizle doğrudan iletişimi ve pazarlarına uygun bir kurulumu alır.
Ya da official@zoi.network adresine yazın