Güvenlik

• Mikrofon kullanılmaz; ne dinlendiğine dair hiçbir bilgi alınmaz. Kişiler, fotoğraflar, mesajlar ve reklam kimlikleri alınmaz.
• Kulaklıktan gelen ham hareket verisi telefonda duruş durumuna dönüştürülür ve telefondan çıkmaz. Yalnız durum değişiklikleri ve seans özetleri eşitlenir.
• Konum yalnız kulaklık düştüğü ya da geride kaldığı anda alınır (arka planda izlemeyi açarsanız ayrıca düşük doğrulukta güncellemeler); olay konumları 7 gün sonra silinir.
• Canlı durum 10 dakika sonra geçerliliğini yitirir; ham örnekler 30 gün, dakikalık özetler 90 gün saklanır.

Uygulamalar, web paneli, bu web sitesi ve sunucularımız arasındaki tüm trafik TLS ile şifrelenir (web sitelerimizde HSTS ile birlikte HTTPS). Sunucularımız AB'de barındırılır; veritabanları, diskler ve yedekler bekleme hâlinde de şifrelidir. Yedekler şifreli olarak 30 gün saklanır, ardından üzerine yazılır.

• Şifreler hiçbir zaman okunabilir biçimde saklanmaz; yalnız bcrypt özeti (hash) tutulur. Güvenlik sorusu cevapları da bcrypt ile özetlenir ve bir daha gösterilmez.
• Uygulama hesapları 6 haneli PIN kullanır. 111111 ya da 123456 gibi kolay PIN'ler kabul edilmez; art arda hatalı denemeler hesabı bir süre kilitler.
• E-posta ve şifreyle giriş her zaman e-postanıza gönderilen tek kullanımlık bir kodla tamamlanır. Giriş akışı onu başlatan cihaza bağlıdır: kod, girişi başka bir cihazda tamamlamak için kullanılamaz.
• Şifre değişikliği üç adımdır: mevcut şifreniz (ve güvenlik sorusu cevabınız), e-postayla gelen kod, ardından yeni PIN. Diğer oturumlar kapatılır ve size bir onay e-postası gönderilir.
• Apple ile Giriş ve Google ile giriş, sağlayıcının kendi doğrulamasını kullanır.
• Çocukların e-postası ya da şifresi yoktur. Ebeveyn, çocuğun cihazını tek kullanımlık ve 10 dakika geçerli 6 haneli bir kod ya da QR ile eşler.

• Giriş, kayıt, doğrulama kodları ve diğer hassas uç noktalarda istek sınırları uygulanır.
• Cloudflare Turnstile; kayıt, giriş, şifre değişikliği ve iletişim formunun arkasında bir insan olduğunu doğrular.
• Web panelinde oturum anahtarları, sayfa betiklerinin okuyamadığı HttpOnly çerezlerde tutulur.
• Bu web sitesi katı bir İçerik Güvenliği Politikası (CSP) gönderir, başka sitelerin çerçevesi içinde açılmaz ve siteler arası form gönderimlerini reddeder.

Her istekte, her canlı güncellemede ve her raporda tek bir yetki kuralı denetlenir: kişi kendini görür, ebeveyn yalnız kendisine bağlı üyeleri görür. Okullar yalnız anonim sınıf ortalamalarını görür, hiçbir zaman tek bir çocuğu görmez.

Ekibimiz içinde en az yetki ilkesini uygularız: herkes yalnız işinin gerektirdiği erişime sahiptir. Yönetici hesapları güçlü şifre ve iki adımlı doğrulama kullanır; kişisel verilere her erişim bir denetim kaydına yazılır.

Çökmeleri ve hataları öğrenmek için Sentry kullanırız. Raporlar yalnız anlamsız (opak) bir kullanıcı kimliği taşır: IP adresi, ekran görüntüsü, görünüm hiyerarşisi, ad ya da e-posta yoktur. Sunucu kayıtları ve ölçümleri Better Stack'e gider; tek kullanımlık kodlar canlı ortamda hiçbir zaman kayıtlara yazılmaz.

Sistemlerimizi izler ve yazılı bir olay müdahale sürecine uyarız: sınırlama, inceleme, düzeltme ve ders çıkarma. Bir kişisel veri ihlali haklarınız için risk oluşturuyorsa, yetkili denetim makamına gecikmeksizin bildiririz (GDPR kapsamında ve KVKK uygulamasında ihlalin öğrenilmesinden itibaren 72 saat içinde) ve etkilenen kullanıcıları, ülkelerinin yasalarının gerektirdiği şekilde doğrudan bilgilendiririz.

• Doğum gününüz ya da telefonunuzun kilit kodu olmayan bir PIN seçin.
• E-posta hesabınızı güvende tutun: giriş kodları oraya gider.
• Yalnız ailenizin oluşturduğu eşleşme QR kodlarını okutun ve çocuk cihazlarını yüz yüze eşleyin.
• İstemediğiniz bir giriş kodu gelirse PIN'inizi değiştirin ve bize haber verin.
• iOS'u ve uygulamayı güncel tutun.

Hesabınızda bir terslik mi var? support [at] earbunny.app adresine yazın.