Güvenlik

Güvenlik açığı bildirme

Bildirimi nereye göndereceğiniz, neleri eklemeniz gerektiği ve iyi niyetli araştırmacılara karşı işlem başlatmama taahhüdümüz.

Güvenlik bildirimlerini security@afer.app adresine gönderin. Bu, sorunu düzeltebilecek kişilerin okuduğu tek bir adrestir. Bildiriminizi sade bir dille yazın; çalışan bir kanıt, uzun bir rapordan daha değerlidir. Bildiriminizi aldığımızı teyit eden bir yanıt alırsınız ve sorun kapanana kadar muhatabınız olacak bir kişi belirlenir. E-posta sizin için uygun değilse bu sitedeki destek talep formu da kullanılabilir.

• ne bulduğunuz ve birinin bununla neler yapabileceği
• açığın bulunduğu yer: adres, uygulama ve sürümü, platform
• açığı yeniden oluşturmak için izlenecek adımlar, sırasıyla
• ekran görüntüleri, kısa bir kayıt veya istekler ve yanıtlar
• adınızın geçmesini istediğiniz isim veya kullanıcı adı ya da hiçbiri

İyi niyetle araştırma yapar ve aşağıdaki kapsamın içinde kalırsanız, testleriniz nedeniyle size karşı yasal işlem başlatmayız, başkasından bunu talep etmeyiz veya sizi şikâyet etmeyiz. İhtiyaç duyarsanız bunu yazılı olarak teyit ederiz. İyi niyet; kendi hesaplarınızı kullanmanız, yalnızca bulguyu kanıtlamak için gereken verileri almanız, kanıtı elde eder etmez durmanız ve yayımlamadan önce bize düzeltmek için zaman tanımanız anlamına gelir.

Bu taahhüt, araştırmanın bittiği yerde sona erer. Şantaj, tehdit, bir bulguyu satmak, başkalarının verilerini değiştirmek veya silmek ve ele geçirdiğiniz bir hesabı kullanmak araştırma değildir ve bunları dolandırıcılık olarak değerlendiririz. Ayrıca başkaları adına konuşamayız. Testleriniz bizim işletmediğimiz bir hizmete temas ediyorsa o sağlayıcının kuralları geçerlidir. Yine de bize bildirin, aktarabileceğimiz bilgileri iletelim.

Kapsam

Hangi uygulamaların, alan adlarının ve API'lerin kapsam içinde ve hangilerinin kapsam dışında olduğu.

Kapsam içinde: afer.app ve altında sunulan sayfalar, iOS ve Android'deki Afër uygulaması, işletme uygulaması, sürücü uygulaması ve bunların hepsinin arkasındaki herkese açık API. Sıradan bir kullanıcının, işletmenin veya sürücünün erişebildiği bir yerse, bu konuda sizden duymak isteriz. Buna, sitenin destek talep formu, çerez onay bildirimi ve dil çerezi gibi sizden girdi alan bölümleri de dahildir.

• çalışanlarımıza, işletmelere, sürücülere, kuryelere veya kullanıcılara yönelik sosyal mühendislik
• ofislere, araçlara, cihazlara veya kişilere yönelik fiziksel saldırılar
• hizmet engelleme, yük testi veya canlı hizmeti olumsuz etkileyen her türlü işlem
• kanıtlanmış bir etki içermeyen, yalnızca otomatik tarayıcı çıktısından oluşan bildirimler
• uygulama mağazaları ve ödeme hizmeti sağlayıcımız dahil, bizim işletmediğimiz hizmetler

Testleri kendi hesaplarınız ve kendi verileriniz üzerinde yapın. Bir şeyi kanıtlamak için gerçek bir sipariş vermeyin, gerçek bir yolculuk talep etmeyin veya bir ekspertiz rezervasyonu yapmayın ve faaliyet hâlindeki bir işletmeyi para kaybettirecek bir işe zorlamayın. Başka bir kişinin sohbetini, makbuzunu veya yolculuk kaydını okumayın; maskelenmiş telefon numaraları maskeli kalır. Bir bulgu ancak başka birinin verileriyle gösterilebiliyorsa orada durun ve bulguyu tarif edin; sizinle birlikte bir test hesabı oluşturalım.

Yanıt süreleri

Alındı bildirimi, ön değerlendirme ve düzeltme hedefleri.

security@afer.app adresine gönderilen her bildirimin alındığını iki iş günü içinde teyit eder, ön değerlendirmeyi beş iş günü içinde tamamlarız. Ön değerlendirme size üç şey sunar: bir önem derecesi, bulgunun kapsam içinde olup olmadığına ilişkin bir karar ve bildirimle ilgilenen kişinin adı. Sorunu yeniden oluşturamazsak, bildirimi sessizce kapatmak yerine bunu size söyler ve neyi gözden kaçırdığımızı sorarız. Mükerrer bildirimlerin de alındığı teyit edilir ve hangi bildirimin önce ulaştığını size bildiririz. Aşağıdaki süreler, çalışırken esas aldığımız hedeflerdir, garanti değildir.

• kritik, örneğin hesabın ele geçirilmesi veya onay olmadan para hareketi: derhâl kontrol altına alınır, yedi gün içinde düzeltilir
• yüksek: otuz gün içinde düzeltilir
• orta: doksan gün içinde düzeltilir
• düşük: olağan bir sürümde düzeltilir ve hangi sürüm olduğunu size bildiririz
• tutturamayacağımız her hedef: süre dolmadan önce yeni bir tarihle birlikte size bildiririz

Bu süreler, destek ekibinin uyduğu sürelerden ayrıdır. Destek ekibi güvenlik bildirimlerini gece ya da gündüz bir saat içinde, ödeme ve iadeleri aynı iş günü içinde, diğer tüm konuları ise bir iş günü içinde yanıtlamayı hedefler. Bulduğunuz şey şu anda belirli bir kişiyi tehlikeye atıyorsa güvenlik sırasında beklemeyin. Uygulamadaki SOS'u kullanın veya support@afer.app adresine yazarak durumun acil olduğunu belirtin.

Hesap güvenliği

Telefon doğrulaması, oturum yönetimi ve sizden asla istemeyeceğimiz şeyler.

Hesabınız telefon numaranıza bağlıdır. Oturum açarken bu numaraya tek kullanımlık bir kod gönderilir ve yeni bir cihaz, herhangi bir şey görmeden önce yeni bir kod ister. Oturumlar daha önce onayladığınız cihazlarda açık kalır; bu nedenle bu telefonların hangileri olduğunu bilmeniz faydalıdır. Hesabı Ayarlar'dan silmek bu oturumları da kapatır ve profilinizi ve kişisel verilerinizi kaldırır.

• telefonunuza gönderilen tek kullanımlık kodu, hiçbir zaman ve hiçbir nedenle
• bir şifre, çünkü hesap şifre kullanmaz
• kart numaranızın tamamını; sohbette, e-postada veya bir aramada
• bir iadenin, bir hak ediş ödemesinin veya cüzdan bakiyesinin serbest bırakılması karşılığında bir ödeme
• telefonunuza uzaktan erişim veya cüzdanınızın ekran paylaşımı

Bunlardan birini isteyen kişi, arayan numara veya logo ne gösterirse göstersin, biz değiliz. Gerçek destek size uygulamadaki Yardım bölümü, support@afer.app adresi üzerinden ya da sitede açtığınız bir talebe, size verilen referans kodunu içeren bir yanıt olarak ulaşır. Biri sizi Afër olduğunu iddia ederek arar ve kodunuzu isterse görüşmeyi sonlandırın ve bize bildirin.

Telefonunuzu veya numaranızı kaybederseniz ya da yapmadığınız bir ödeme görürseniz bize hemen bildirin. İnceleme yaparken hesabı askıya alabiliriz ve ödeme sorunları aynı iş günü içinde yanıtlanır. Dolandırıcılığın teyit edilmesi o profilin güven puanını sıfıra indirir ve hesabı kapatır. Puan; doğrulama, tamamlanan işlemler, değerlendirmeler, hesap yaşı ve kontrolden geçen ekspertizlerden oluşur ve hesap sahibi tarafından değiştirilemez.

Ödeme güvenliği

Cüzdan bakiyelerinin ve kartla bakiye yüklemelerinin nasıl yönetildiği ve tek kullanımlık QR tasarımı.

Cüzdan ön ödemelidir ve her hizmet aynı bakiyeden ödenir. Bu bilinçli bir sınırdır: birinin uygulama üzerinden erişebileceği en yüksek tutar, arkasındaki banka hesabı değil, sizin yüklediğiniz tutardır. Kartla bakiye yüklemeleri ödeme hizmeti sağlayıcımız üzerinden gerçekleşir. Yüklediğiniz para yalnızca geldiği karta geri dönebilir, hiçbir zaman bir banka hesabına veya başka bir karta gitmez; kazançlar ise yalnızca onları kazanan kişinin kendi adına kayıtlı banka hesabına ödenir, hiçbir zaman birinin sohbette size verdiği bir hesaba gitmez.

Bir kasada yüz yüze yapılan ödemede, işletme uygulamasında gösterilen tek kullanımlık bir QR kod kullanılır. Kod, o tutar için tek bir ödeme taşır ve kullanıldığı anda geçerliliğini yitirir; bu nedenle ekranın bir fotoğrafı sonrasında hiçbir işe yaramaz. Afër üzerinden çalışan hiç kimse sizden uygulama dışında para isteyemez: kapıda nakit ödemenin kabul edildiği yerlerde tam olarak uygulamanın gösterdiği tutarı verirsiniz, fazlasını değil.

Her ödeme, cüzdanda ücretin ayrıca gösterildiği ayrıntılı bir makbuz oluşturur; böylece tanımadığınız bir ücreti fark etmek kolaylaşır. Bir sipariş, yolculuk veya satın alma tarihinden itibaren uyuşmazlık başvurusu yapmak için 14 gününüz vardır; güvenlik bildirimleri ve hâlâ bekletmekte olduğumuz paralar için ise hiçbir süre sınırı yoktur. Bir talep açık olduğu sürece tutar ödenmez, bekletilir ve iadeler, geldikleri cüzdan bakiyesine genellikle karardan sonraki birkaç dakika içinde geri döner.

Veri koruma

Aktarım sırasında ve depolamada şifreleme, erişim kontrolü ve denetim kayıtları.

Cihazınız ile Afër arasındaki trafik aktarım sırasında şifrelenir ve elimizdeki veriler depolandıkları yerde şifrelenir: hesap bilgileri, işlem kayıtları, cihaz bilgileri, destek mesajları ve bir hizmet sürerken topladığımız konum. Konum toplama, hizmet sona erdiğinde durur. Kişisel verileri web adreslerinin ve olağan bir kayıt dosyasına düşebilecek her şeyin dışında tutarız.

Afër içinde erişim, role ve ihtiyaca göre verilir. Talebinizle ilgilenen bir temsilci, talebe eklenen siparişi, yolculuğu veya ilanı görür; kart bilgilerinizi ve bir iş arkadaşının taleplerini görmez. Kişisel veri barındıran sistemlere erişim kayıt altına alınır ve bu kayıtlar incelenir. Açması için hiçbir nedeni olmayan bir kaydı açan çalışan, bir dikkatsizlik olarak değil, bir güvenlik olayı olarak ele alınır.

• bize verdiğiniz her şeyi makine tarafından okunabilir bir dosya olarak dışa aktarın
• hesabı ve onunla birlikte profili ve kişisel verileri Ayarlar'dan silin
• kanunen saklamakla yükümlü olduğumuz işlem kayıtları, iletişim bilgileriniz olmadan saklanır
• afer.app'teki analiz çerezleri yalnızca Kabul et'i seçmenizden sonra yerleştirilir
• afer_lang iki harfli bir dil kodu saklar ve analiz amacıyla kullanılmaz

Bir web formu gönderimi; bir referans kodu, gönderim zamanı, geldiği yaklaşık ülke ve kötüye kullanımı önlemek için kullandığımız IP adresiyle birlikte saklanır. İnsanları botlardan ayırt etmek için bir formun önüne Cloudflare Turnstile koyabiliriz. Bir gönderim, talebinizi yerine getirmek için ihtiyaç duyduğumuz sürece ve sonrasında 24 aya kadar saklanır.

Teşekkür listesi

Sorumlu bir şekilde bildirimde bulunan araştırmacılar.

Sorumlu bir şekilde bildirimde bulunan araştırmacılara, rızaları ile ve hiçbir zaman rızaları olmadan, teşekkür listesinde yer veririz. Bildiriminizde nasıl görünmek istediğinizi belirtin: bir isim, bir kullanıcı adı, bir şirket ya da hiçbiri. Daha sonra fikrinizi değiştirebilirsiniz; bu durumda kaydı kaldırırız. Bir bildirim için ödeme yapmayı taahhüt etmeyiz ve bir bulgu bizim için utanç verici diye teşekkürü esirgemeyiz.

• araştırmacının seçtiği isim veya kullanıcı adı
• bildirimin bize ulaştığı ay
• sorunun türü, nasıl tekrarlanacağını tarif etmeden

Liste herkese açıktır ve boş başlar. Bildirimler geldikçe dolar ve düzeltme yayımlanıp araştırmacı ifadeyi onayladıktan sonra bir kayıt eklenir. Bir bildirimde bulunduğunuz hâlde listede yer almıyorsanız veya listedeyseniz ve çıkarılmak istiyorsanız security@afer.app adresine yazın; bir iş günü içinde düzeltelim.