Veri Güvenliği Protokolü

Son Güncelleme: 13 Temmuz 2026 Sınıflandırma: Halka Açık / Teknik Güvenlik Özeti

Zin App, kullanıcılarının sağlık, beslenme ve fiziksel aktivite verilerini saklarken ve aktarırken en yüksek endüstri standartlarında teknik güvenlik kontrollerini uygulamaktadır. Bu protokol, altyapımızın veri koruma prensiplerini açıklamaktadır.

1. İletişim Güvenliği (Transit Encryption)

Cihazınızdaki Zin mobil uygulaması ile remote backend API'larımız arasındaki tüm iletişim **TLS 1.3** (Transport Layer Security) şifreleme protokolü kullanılarak koruma altındadır. Bu sayede, verilerinizin internet üzerinden iletilirken araya girme (Man-in-the-Middle) saldırılarına karşı okunması veya değiştirilmesi tamamen engellenir. API sunucularımız yalnızca güvenli HTTPS protokolü üzerinden gelen talepleri kabul etmektedir.

2. Depolama Güvenliği (At-Rest Encryption)

Zin altyapısındaki veriler iki katmanda güvenle saklanmaktadır:

  • Bulut Depolama: PostgreSQL veritabanımız, şifrelenmiş disk blokları (AES-256) üzerinde çalışmaktadır. Tüm kullanıcı profilleri, sıvı tüketim geçmişleri ve beslenme logları bu güvenli veri tabanında saklanır.
  • Cihaz Üzeri Depolama: Mobil uygulamamızda saklanan oturum tokenları ve hassas yerel veriler, işletim sisteminin güvenli donanımsal şifreleme modülleri (Android Keystore ve iOS Keychain) kullanılarak cihaz üzerinde kriptografik korumaya alınır.

3. Kimlik ve Erişim Yönetimi (IAM & OAuth)

Uygulamaya giriş yaparken kullanılan şifreler, sunucularımızda asla düz metin olarak barındırılmaz. Şifreleriniz, kırılması imkansıza yakın olan tek yönlü **bcrypt** karma (hashing) algoritmasından geçirilerek veritabanına yazılır. Sosyal girişlerde (Google ve Apple Sign-In) ise Firebase Authentication OAuth 2.0 altyapısı kullanılarak cihazınıza geçici erişim anahtarları sağlanır; şifreleriniz asla Zin sunucularına ulaşmaz.

4. FCM Bildirim İletim Güvenliği

Mobil uygulamanıza gönderilen hatırlatma ve nudge bildirimleri, Google Firebase Cloud Messaging (FCM) altyapısının sağladığı şifreli iletişim kanalları üzerinden cihazınıza ulaştırılır. Sunucu tarafındaki servis hesabımız (`service-account.json`) RSA anahtarları ile imzalanmış JWT (JSON Web Token) kimlik doğrulaması kullanarak Google sunucularıyla güvenli tünel üzerinden konuşur.

5. Güvenlik İhlali Müdahale Planı

API ve veri tabanı sunucularımız, şüpheli etkinlikleri veya yetkisiz erişim denemelerini tespit etmek için sürekli olarak log analizlerine (Sentinel/Traefik) tabi tutulur. Herhangi bir olası veri ihlali durumunda, KVKK ve GDPR mevzuatlarına uygun olarak etkilenen tüm kullanıcılara ve ilgili yasal otoritelere 72 saat içerisinde durum bildirilir ve gerekli tüm yama/bloklama işlemleri devreye sokulur.

English Summary (Data Security Protocol): Zin App implements secure technical controls for data safety. All traffic between client and server is encrypted using TLS 1.3. Cloud databases are encrypted at rest with AES-256, and local user tokens are stored securely in Android Keystore / iOS Keychain. Passwords are saved hashed via bcrypt. Authentication via Google and Apple utilizes standard OAuth 2.0. Server notifications connect securely to Google servers using RSA-signed JWT payloads. Access logs are continuously monitored for vulnerabilities.