Kurumsal seviyede güvenlik.

Şifreleme — standart ve uygulama

Verileriniz kullanım dışıyken AES-256 ile şifrelenir. Tarayıcınız ile sunucularımız arasındaki trafik yalnızca ileri gizlilik özellikli TLS 1.3 üzerinden taşınır. Eski şifre paketleri desteklenmez; TLS 1.2 yalnızca modern ECDHE paketleriyle eski istemci uyumluluğu için mevcuttur.

Kimlik doğrulama

İki faktörlü kimlik doğrulama zorunludur. Mevcut yöntemler: TOTP (Google Authenticator, Authy, 1Password) veya WebAuthn (YubiKey, Face ID, Touch ID, Windows Hello). SMS tabanlı kodlar yapısal olarak sunulmaz — SIM-swap saldırıları SMS'i ikinci faktör olarak elverişsiz kılar.

Müşteri fonlarının ayrılması

Yativora Varlıxon asla müşteri fonlarını doğrudan tutmaz. Tüm yatırımlar FAST, EFT veya Havale yoluyla doğrudan SPK-yetkili bir Tier-1 aracı kurum ortağına yönlendirilir. Ortak, fonları müşteri adına ayrılmış bir hesapta tutar. Bu hesaplar SPK'nın müşteri varlıklarının ayrılması kuralları uyarınca aracı kurumun öz sermayesinden kesin olarak ayrıştırılmıştır.

Aracı kurum ortağının iflası durumunda, varlıklarınız Yatırımcı Tazmin Merkezi (YTM) tarafından yetkili kurum başına kişi başı ₺1.100.000'ye kadar korunmaktadır. ₺1.100.000'nin üzerindeki hesaplar için, etkin YTM korumasını çoğaltmak amacıyla birden fazla aracı kurum ortağı arasında pozisyon paylaştırmasını yaparız.

Sertifikalar ve denetimler

• SOC 2 Type II — KPMG tarafından yıllık denetim (güncel rapor talep üzerine)
• ISO 27001 — 2021'den bu yana sertifikalı, 2024 yeniden sertifikasyon geçildi
• TÜBİTAK BİLGEM sızma testleri — yılda iki kez, ek olarak Cure53 tarafından
• Bug bounty programı — güvenlik araştırmacılarına açık, kritik bulgular için ₺100.000'e kadar ödül
• BDDK-uyumlu BT süreçleri aracı kurum ortaklarıyla uyum içinde

Dahili erişim kontrolü

Sıfır güven mimarisi. Üretim sistemlerine tüm erişim donanım tabanlı 2FA gerektirir ve zaman sınırlıdır (Just-In-Time erişim). Hiçbir çalışan — yönetim kurulu dahil — müşteri verilerine sürekli erişime sahip değildir. Tüm erişim değişmez bir günlük sisteminde kayıt altına alınır ve üç ayda bir dahili olarak denetlenir.

İş sürekliliği

Üretim verileri İstanbul ve Ankara'daki coğrafi olarak ayrılmış iki Tier-3 veri merkezinde tutulur. Her 15 dakikada bir yedek anlık görüntü, 90 gün süreyle saklanır. Kurtarma süresi hedefi (RTO): 4 saat. Kurtarma noktası hedefi (RPO): 15 dakika. Her iki tesis de TSE Tier-3 sertifikalıdır.

KVKK kapsamında veri koruma

Yativora Varlıxon, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile tam uyumludur. Kişisel verileriniz yalnızca varlık yönetimi hizmetini sunmak için kullanılır ve asla üçüncü taraflara satılmaz. Verilerinize istediğiniz zaman erişme, düzeltme, silme ve taşıma haklarına sahipsiniz — bkz. gizlilik bildirimi.