Zopio kurumsal finansal altyapıyı açık sorumluluk sınırları, kontrollü erişim, veri koruma, operasyonel görünürlük ve sağlayıcı bağımsızlığı etrafında tasarlar. Bu sayfa kamuya açık olarak ifade edebildiğimiz güvenlik ilkelerini ve uygun müşterilerin satın alma sürecinde ek mimari ve güvenlik bilgilerini nasıl inceleyebileceğini açıklar.
Sistemler net servis sınırları, kontrollü erişim ve asgari yetki prensipleriyle tasarlanır. Hassas yapılandırmalar ve kimlik bilgileri uygulama kodunun dışında tutulur ve güvenli altyapı kontrolleri üzerinden yönetilir. Güvenlik, dayanıklılık, gözlemlenebilirlik ve kontrollü değişiklik uygulamaları yalnızca uygulama özelliği değil, altyapı konusu olarak ele alınır.
Zopio, mutabık kalınan hizmet kapsamındaki teknoloji ve uygulama katmanlarını işletir. Müşteri; kontrol ettiği sistemler, kullanıcılar, iş kuralları ve verilerden sorumludur. Bağlı bankalar, acquirer'lar, ödeme hizmeti sağlayıcıları ve diğer finansal kuruluşlar ise sundukları düzenlemeye tabi hizmetlerden sorumlu olmaya devam eder.
Bu nedenle güvenlik; Zopio, müşteri, bağlı finansal sağlayıcılar ve kullanılan altyapı veya servis sağlayıcılar arasında paylaşılan bir sorumluluktur. Kesin sınırlar kullanılan ürünlere, entegrasyonlara, dağıtım modeline ve ticari kapsama göre değişir ve devreye alma veya güvenlik incelemesi sırasında dokümante edilebilir.
Zopio sistemleri açık yetkilendirme sınırları ve asgari yetki ilkesi etrafında tasarlanır. Yönetimsel ve operasyonel erişim, ilgili rol ve operasyonel amaç için gereken erişimle sınırlandırılır.
Müşteriye özel uygulama verisinin işlendiği durumlarda erişim ve veri ayrımı ilgili tenant, hesap ve yetkilendirme bağlamı etrafında tanımlanır. Kesin izolasyon modeli ürün ve dağıtım mimarisine göre değişebilir ve önerilen kapsam için kurumsal güvenlik incelemesinde ele alınabilir.
Her iş akışı için gereken veriyi mümkün olduğunca sınırlı tutmayı ve veriyi aktarım sırasında ve depolamada, kullanılan altyapı ve servis sağlayıcıların sektör standardı mekanizmalarıyla korumayı hedefleriz.
Saklama gereksinimleri veri türüne, hizmet amacına, sözleşme kapsamına ve geçerli hukuka göre değişir. Şifreleme ve anahtar yönetimi sorumlulukları da dağıtım ve hizmet konfigürasyonuna bağlıdır. İlgili dağıtım için geçerli olmadığı sürece müşteriye ait anahtar veya belirli bir anahtar sahipliği modeli iddia etmeyiz.
Loglama, izleme, hata görünürlüğü ve kontrollü değişiklik uygulamaları üretime hazırlığın parçası olarak ele alınır. Amaç sorunları hızlı tespit etmek ve ödeme ve finansal akışlardaki operasyonel belirsizliği azaltmaktır.
Güvenlik olayları operasyonel olay olarak ele alınır ve tanımlı ön değerlendirme, sınırlandırma, inceleme, düzeltme ve eskalasyon adımlarıyla yönetilir. Müşteri iletişimi ve bildirim yükümlülükleri olayın niteliğine, geçerli sözleşmeye ve yasal gerekliliklere göre değişir; her dağıtım için geçerli olmayabilecek genel bir bildirim süresi taahhüdü yayınlamayız.
Zopio; barındırma, veri depolama, iletişim ve güvenlikle ilgili operasyonlar gibi yetenekler için seçilmiş altyapı ve servis sağlayıcılardan yararlanır. Bu sağlayıcılar işlettikleri hizmetlerden sorumlu olmaya devam ederken Zopio, kendi hizmet sınırı içinde bu hizmetlerin nasıl seçildiği, yapılandırıldığı ve kullanıldığı konusunda sorumludur.
Satın alma veya güvenlik incelemesi açısından ilgili olduğunda, önemli altyapı veya servis sağlayıcı bağımlılıklarına ilişkin bilgiler önerilen dağıtım için gizlilik ve sözleşme koşullarına tabi olarak paylaşılabilir.
Zopio finansal teknoloji altyapısı sağlar; müşteri fonlarını tutmaz, kabul etmez veya fon hesaplaşması gerçekleştirmez. Ödeme işleme ve hesaplaşma süreçleri lisanslı bankalar, acquirer'lar ve ödeme hizmeti sağlayıcıları tarafından yürütülür.
Uygun müşteriler, satın alma veya teknik inceleme sürecinde ek güvenlik ve mimari bilgileri talep edebilir. Paylaşılacak materyal önerilen ürünlere, dağıtım modeline, veri akışlarına ve gizlilik gereksinimlerine göre belirlenir.
Önerilen kapsam için ilgili ve mevcut olduğu ölçüde inceleme şu başlıkları içerebilir:
Her belge her ürün veya dağıtım için geçerli değildir. Hassas güvenlik materyalleri paylaşılmadan önce NDA veya uygun başka gizlilik kontrolleri gerekebilir.
Bağımsız olarak doğrulanmamış veya ilgili hizmet ya da şirket için geçerli olmayan sertifika, düzenleyici izin, denetim sonucu veya uyumluluk doğrulaması bilgilerini bu web sitesinde sunmayız. Doğrulanmış bağımsız kanıt mevcut olduğunda ve müşteri incelemesi açısından ilgiliyse uygun gizlilik kontrolleri altında paylaşılabilir.
Güvenlikle ilgili sorular, kurumsal güvenlik inceleme talepleri veya sorumlu güvenlik bildirimi için iletişim formu üzerinden bize ulaşabilirsiniz.
