Rol bazlı erişim
İşletme sahibi, yönetici, ön büro ve operasyon çalışanları yalnız görevleri için gereken ekran ve işlemlere erişir.
İşletme sahibi ve yönetici hesaplarında MFA zorunludur; her hassas işlemde sunucu tarafında yetki kontrolü yapılır.Otomasyon, yetki sınırının yerini almaz.
Otelora misafir iletişimini hızlandırırken finansal, operasyonel ve kişisel veri kararlarını sunucu tarafındaki yetki kurallarıyla sınırlar. Bu özet ürün tasarımını anlatır; her kontrolün canlı otel kurulumunda etkin ve bağımsız olarak doğrulanmış olduğu anlamına gelmez.
- VERİ AYRIMIVeriniz diğer otellerden izole edilir
- ÖDEMEKart verisi Otelora’da saklanmaz; PCI kapsamı ayrıca değerlendirilir
- ERİŞİMİşletme sahibi ve yönetici hesapları MFA kullanır
- AI YETKİSİAI finansal karar veremez
- İZLENEBİLİRLİKYedekleme ve denetim kaydı bulunur
TEKNİK AYRINTILARKontrol tasarımı, pilotta doğrulanacaklar ve sağlayıcı kapsamını inceleyin.Teknik satın almacı ve bilgi güvenliği değerlendirmesi için.+
Misafire doğru, personele gerekli, yönetime denetlenebilir bilgi.
Güvenlik yalnız parola değildir. Otel ayrımı, rol yetkisi, sağlayıcı bildirimi doğrulama, AI sınırı, yedekleme ve kim neyi ne zaman yaptı kaydı aynı güvenlik paketinin parçalarıdır.
Müşteri verisi izolasyonu
Otel kapsamı oturumdan veya rezervasyona bağlı süreli misafir bağlantısından gelir; istekle başka bir otel kimliği seçilemez.
Uygulama kontrolüne ek olarak PostgreSQL satır politikaları ve oteller arası ilişki koruması bulunur. Test yöntemi: başka bir otelin verisini okuma, yazma, dışa aktarma ve kısıtlı veritabanı rolü senaryolarında erişimin reddedildiği doğrulanır; canlı ortam rolü kanıtı ayrıca beklenir.Kim, neyi, ne zaman yaptı kaydı
Yetki reddi, görev sahiplenme, finansal işlem, ayar değişikliği ve AI önerisi gibi kritik olaylar otel kapsamlı denetim kaydı üretir.
Kayıt erişimi de rol yetkisine tabidir.Aktarım ve saklama sınırı
Kamuya açık trafik HTTPS üzerinden taşınır; oturum ve sağlayıcı anahtarları istemciye gönderilmez. Kart bilgisi Otelora veritabanında tutulmaz.
Ödeme sağlayıcısının kendi ödeme sayfası kullanılsa bile entegrasyon ve yönlendirme biçimine göre PCI sorumlulukları ayrıca değerlendirilir; “kart saklamıyoruz” ifadesi PCI kapsamı yok anlamına gelmez.AI karar kaynağı değildir
AI dili ve niyeti yorumlar; fiyat ve müsaitlik sunucudan okunur. Ödeme, iade, iptal, telafi, oda yükseltme ve PMS kaydı değişikliklerine doğrudan yetkisi yoktur.
AI’ın önerdiği her araç çağrısı, modele verilen talimattan bağımsız olarak sunucudaki yetki kurallarıyla yeniden denetlenir; hassas işlemler insan onayı ister.Silme ve saklama politikası
Mesaj, sağlayıcı bildirimi ve denetim kayıtları için yapılandırılabilir saklama işi bulunur; uygun eski misafir kayıtları takma adlı hâle getirilebilir.
Gerçek süreler otelin talimatı, sözleşme ve uygulanabilir mevzuatla pilotta belirlenir.Yedekleme ve sağlık izlemesi
Sağlık alarmı, başarısız iş kuyruğu takibi, tesis dışı yedek ve izole geri yükleme kabul akışı desteklenir.
Yedek dosyasının varlığı tek başına kanıt değildir; gerçek alarm alıcısı, şifreli yedek dosyası, izole geri yükleme, bütünlük sağlaması ve tutarlılık raporu ayrıca gerekir.Acil durum destek erişimi
Destek personeli otel verisine varsayılan olarak erişemez. Olağanüstü erişim yalnız süreli, gerekçeli ve müşteri kapsamıyla sınırlı bir acil durum erişim kaydıyla açılır.
Erişim talebi, onay, başlama ve bitiş zamanı, görülen otel ve yapılan işlem denetim kaydına bağlanır; düzenli erişim gözden geçirmesinde kapatılır.Güvenlik olayı yönetimi
Şüpheli erişimde kanal durdurma, erişim anahtarlarını yenileme, denetim kaydıyla etki alanını çıkarma ve otelle koordinasyon adımları uygulanır.
Bildirim süresi ve sorumluluklar pilot veri işleme sözleşmesinde kesinleştirilir.GÜVENLİK YETENEKLERİNİN DURUMU
Güvenlik kapsamı açık durum etiketleriyle gelir.
Önce hangi kontrolün pilotta kullanılabildiğini görün. Kurulum koşulu, alternatif çalışma yolu ve sınırlar tek Yetenekler sayfasındaki ilgili kayıtta yer alır.
- Rezervasyon öncesi web chatbotu
Rezervasyonsuz ziyaretçiye onaylı otel bilgisini yanıtlar ve satış talebi toplar.
Pilotta kullanılabilirAyrıntılar - Online ödeme, iade ve mutabakat
Canlı tahsilat ve finansal mutabakat.
Sağlayıcı kabulü gerekiyorAyrıntılar - Denetim kaydı
Kim, neyi, ne zaman yaptı kaydı otel kapsamında tutulur.
Pilotta kullanılabilirAyrıntılar - Veri dışa aktarma
Otel kendi verisini yapılandırılmış dosya olarak dışarı alabilir.
Pilotta kullanılabilirAyrıntılar - Çok dilli AI yanıtları
Misafirin dilini anlar, bilgi toplar; karar vermez.
Sağlayıcı kabulü gerekiyorAyrıntılar
ALT İŞLEYENLER VE SAĞLAYICILAR
Yalnız etkinleştirilen işlev kadar veri paylaşılır.
Canlı pilotta yalnız imzalı DPA’nın Alt İşleyen Listesi ekinde adı, bölgesi, veri kapsamı ve aktarım dayanağı doğrulanan sağlayıcılar etkinleştirilir. Kullanılmayan entegrasyona veri gönderilmez.
- Barındırma ve veri tabanı
- Uygulama, PostgreSQL ve Redis altyapısı; seçilen üretim bölgesi sözleşmede yazılır.
- Meta WhatsApp
- Yalnız WhatsApp kanalı etkinleştirildiğinde mesaj teslimi ve durum bildirimleri için.
- Alibaba Cloud Qwen
- Dil, niyet ve sesli mesaj metne çevirme etkinse; gönderilen içerik veri azaltma sınırlarına tabidir.
- iyzico
- Yalnız online ödeme etkinleştirildiğinde sağlayıcının ödeme sayfası, iade ve sağlayıcı doğrulaması için.
- Resend
- Parola kurtarma, güvenlik uyarısı veya otel rapor e-postaları etkinleştirildiğinde.
- Pilot PMS ve yedekleme sağlayıcısı
- Otelin seçtiği PMS ile tesis dışı yedek sağlayıcısı canlı kurulumda isim ve bölgeyle kesinleştirilir.
Canlıya geçmeden önce
- Yetki matrisi
Her rolün görebileceği ekran ve yapabileceği işlem otelle birlikte doğrulanır.
- Kritik senaryo testi
PMS arızası, ödeme uyuşmazlığı, şikâyet ve misafir çıkış alarmı kanıtlanır.
- İzleme ve geri yükleme
Gerçek alarm alıcısı ve izole yedek geri yükleme sonucu kayıt altına alınır.
Mevcut olmayan güven belgesini varmış gibi göstermiyoruz.
Otelora şu anda ISO 27001 veya SOC 2 sertifikası iddiasında bulunmaz. Teknik kontroller test edilir; bağımsız sertifikasyon ve penetrasyon testi tamamlandığında kapsamı ve tarihi açıkça yayımlanır.
Güvenlik bulgusunu doğrudan güvenlik ekibine iletin.
Güvenlik araştırmacılarından kapsam, yeniden üretim adımları, etki ve güvenli iletişim talep ediyoruz. Veriyi ifşa etmeden önce bize makul bir düzeltme süresi tanıyın; müşteri verisine erişmeyin, kalıcı değişiklik yapmayın ve test trafiğini sınırlı tutun.
Güvenlik kapsamını pilot sözleşmesinden önce netleştirin.Otelin kullandığı sağlayıcılara ve rollere göre kabul listesi hazırlayalım.
Güvenlik görüşmesi iste