Güvenlik ve veri koruma

EnaResearch’te organizasyon, müşteri ve kurulum aynı sınırdır. Her organizasyon için ayrı bir ortam kurulur: API, arka plan işçisi, web uygulaması, zaman serisi veritabanı (ClickHouse), kuyruk ve dosya deposu o ortamın parçasıdır. İlişkisel veritabanı sunucusu paylaşılabilir; ancak her organizasyonun kendi veritabanı ve kendi veritabanı kullanıcısı vardır. Verileriniz başka organizasyonların verisiyle aynı uygulamada veya veritabanında işlenmez.

Her ortam tek bir organizasyon koduyla çalışır ve beklenmeyen alan adlarından gelen istekleri reddeder. Organizasyon kodu yalnızca yönlendirme içindir; bir adresi veya kodu bilmek hiçbir veriye erişim yetkisi vermez.

Ürün Türkiye, Almanya, Birleşik Krallık, Hollanda ve İsviçre’deki organizasyonlar için tasarlandı. Her organizasyon ayrı kurulduğu için verinin hangi bölgede veya ülkede barındırılacağı kurulumda organizasyonla birlikte kararlaştırılır ve sözleşmeye yazılır.

Ölçüm veritabanı şifreli olarak yedeklenir: haftada bir tam, diğer günler artımlı yedek alınır ve yedekler 35 gün saklanır. Organizasyon isterse yedekler verinin bulunduğu bölgedeki uzak bir depoya da kopyalanır; yerel dosya kaybolursa uzak kopyadan geri gelir.

Geri yükleme, yedeği ayrı bir veritabanına açıp tablo sayılarını canlı veriyle karşılaştıran bir tatbikatla doğrulanır. Yedekleme ayrıntıları sözleşme aşamasında organizasyonla birlikte netleştirilir.

Veri alma gecikmesi ve başarısız paketler, başarısız ya da geciken yedekler, uzak kopyanın yüklenememesi, disk doluluğu ve bekleyen silme veya dışa aktarma işleri için operasyon uyarıları vardır. Yönetim panelindeki bakım ekranı son yedeği, uzak kopyayı, disk doluluğunu ve bekleyen işleri gösterir.

Her uyarının anlamı ve atılacak adımlar yazılı bir işletim kılavuzunda tanımlıdır; olay müdahalesi veri işleme sözleşmesindeki bildirim maddesine göre yürür.

Organizasyon kullanıcıları Logto kimlik altyapısıyla giriş yapar. Çalışmanın yetkilisi onu açan sorumlu araştırmacıdır (PI); yardımcı araştırmacılar ekibe katılır. Katılımcı ve veri işlemleri, sahip (owner) dahil herkes için çalışma ekibinde olmayı gerektirir.

Organizasyon sahibi yönetişimden sorumludur: çalışmaları onaylar veya düzeltme ister, değişiklik taleplerine karar verir ve gerektiğinde gerekçesini yazarak çalışmayı erken bitirir. Ekibinde olmadığı çalışmalarda yalnızca üst bilgiyi, ekibi, zaman çizelgesini ve çalışma düzeyindeki sayıları görür; katılımcılara, veriye ve veri setlerine erişemez.

Her korumalı istek sunucuda yetkilendirilir; arayüzde bir menünün gizlenmesi yetki sayılmaz. Ekibinde olmadığınız bir çalışmanın kaynakları “bulunamadı” yanıtı verir. Başka bir çalışmanın kaynağına doğrudan adresle erişme girişimleri (IDOR) ve rol × işlem matrisi otomatik testlerle denetlenir.

Organizasyon içi kişi kaydı yalnızca eşleştirme için gereken asgari kimliği tutar. Araştırma verisinde kişi, çalışmaya özgü takma koduyla (P001) yer alır. Dışa aktarmalarda yalnızca takma kod, cinsiyet ve başlangıçtaki yaş bulunur; ad, kimlik kodu ve doğum tarihi girmez. Araştırmacı eşleştirme adaylarını maskeli görür; tam ad sahip rolü içindir.

Organizasyonun seçtiği kişi kimlik kodu (kendi kayıt numarası, NHS number, BSN, AHV/AVS, KVNR, TC kimlik no vb.) açık saklanmaz: sürümlü, HKDF ile türetilmiş bir anahtarla HMAC özeti ve son 4 hanesi tutulur. Organizasyon isterse AES-GCM ile şifreli bir kopya saklanır; açık kodu yalnızca yetkili üyeler görebilir ve her görüntüleme denetlenir. Kod dışa aktarmaya, mobil uygulamaya ve denetim kaydına girmez.

Katılımcıların organizasyon hesabı yoktur. 6 karakterlik katılımcı kodu güvenli rastgele üretilir, sıralı değildir ve organizasyon genelinde tekildir; tek başına giriş sağlamaz. Aktivasyon anahtarı tek kullanımlıktır, 14 gün geçerlidir, yalnızca SHA-256 özetiyle saklanır ve bağlantıda sunucuya gitmeyen # parçasında taşınır.

Aktivasyon anahtarı kişinin tüm çalışmalarına açılan oturumu başlatır. Bu yüzden kişi, araştırmacının ekibinde olmadığı başka bir çalışmada da aktifse anahtarı yalnızca organizasyon sahibi üretir; kod yenileme ve iptal için de aynı kural geçerlidir.

Web girişi kod ve scrypt ile özetlenen 6 haneli PIN ister. Hatalı kod ve PIN aynı yanıtı alır; bir kod için aynı IP adresinden 5 hatada 15 dakika, tüm adreslerden 24 saatte 50 hatada 24 saat kilit ve IP başına saatte 30 hatalı deneme sınırı uygulanır. Oturum anahtarları yalnızca özetle saklanır, yenileme anahtarı her kullanımda değişir ve tekrar kullanım oturumu düşürür. Web’de anahtarlar JavaScript’in okuyamadığı httpOnly, SameSite=Strict çerezlerde tutulur.

Analizlerde, panolarda ve olay seyri grafiklerinde 5’ten az katılımcılı gruplar ve günler gösterilmez. Gizlenen bir grubun toplamdan geri hesaplanamaması için tamamlayıcı gizleme uygulanır: gerekirse en küçük ikinci grubun sayıları da gizlenir.

Yapay zekâ yardımcısına giden bağlamda da küçük sayılar “<5” olarak yer alır.

Yatışlar, klinik olaylar ve elle girilen ölçümler katılıma bağlı kaydedilir. Düzeltme, gerekçesi zorunlu yeni bir revizyon oluşturur; kayıt silinmez, gerekçeyle “hatalı giriş” olarak işaretlenir. Dışa aktarmalar kayıtları veri kesim anındaki haliyle okur; aynı veri seti sürümü aynı sonucu verir.

CSV veya FHIR R4 Bundle ile içe aktarmada önce deneme yapılır, hatalı satırlar listelenir ve kimlik alanları okunmaz. Klinik kayıtlar katılımcı alanında ve mobil uygulamalarda görünmez.

Çalışma, katılımcı, ekip ve kimlik kodu işlemleri; onay kararları, eşleştirme aramaları, açık kod görüntülemeleri, katılımcı giriş denemeleri, klinik kayıt düzeltmeleri, veri seti üretimi ve dosya indirmeleri, yapay zekâ istekleri ve veri silmeleri denetim kaydına yazılır. Kayıtlar HMAC ile birbirine zincirlenir; sonradan yapılan bir değişiklik, zincir doğrulanınca fark edilir.

Denetim kaydı, kimin ne zaman ne yaptığını gösterir ama hassas veriyi gereksiz yere kopyalamaz: PIN, oturum anahtarı, katılımcı giriş kodu ve kişi kimlik kodu kayda açık olarak girmez.

Veri varsayılan olarak lisans süresi boyunca saklanır. Organizasyon isterse çalışmanın kesin kapanışından sayılan daha kısa bir saklama süresi belirler; çalışma ekibi silmeden 30 ve 7 gün önce e-postayla uyarılır. Süre dolunca ölçüm verisi, klinik kayıtlar, dışa aktarma dosyaları, analiz sonuçları ve yapay zekâ yardımcısı geçmişi fiziksel olarak silinir; çalışma kaydı, tanımlar, takma kodlar, manifestler ve denetim kaydı kalır.

Katılımcı çalışmadan çekildiğinde araştırmacı verinin kalmasını ya da silinmesini seçer. Silme yalnızca o katılımın veri penceresini kapsar; kişinin diğer çalışmalarındaki veriye dokunmaz. Her silme, içerik olmadan sayılarla denetime yazılır.

Yapay zekâ yardımcısı varsayılan olarak kapalıdır; organizasyon sistem yönetiminden açar ve sunucuda bir sağlayıcı anahtarı gerekir. Sağlayıcıya yalnızca toplu bağlam gider: değişken tanımları, sayılar (küçük sayılar “<5” olarak) ve test çıktısı. Katılımcı satırları, takma kodlar, adlar ve doğum tarihleri gönderilmez.

Yardımcı analiz oluşturmaz, onaylamaz, çalıştırmaz ve hesap yapmaz. Yanıttaki her sayı istatistik çıktısıyla karşılaştırılır; doğrulanamayan yanıt reddedilir. Her istek yardımcı geçmişine ve denetim kaydına yazılır. İlk sağlayıcı Anthropic’in Claude modelidir. Gerçek hasta verisiyle kullanmadan önce organizasyonun kendi hukuki değerlendirmesini yapması gerekir; yardımcı klinik karar için kullanılmaz.

EnaResearch; GDPR, UK GDPR, İsviçre FADP ve KVKK gibi düzenlemelerdeki yükümlülüklerinizi desteklemek üzere tasarlandı. Ürün tek başına uyum sağlamaz ve uyum iddiası taşımaz. Hukuki dayanak, onam, etik kurul onayı, katılımcı bilgilendirmesi ve veri sorumlusu ile veri işleyen rolleri organizasyonun ve araştırma protokolünün sorumluluğundadır.

EnaResearch tıbbi cihaz veya klinik karar destek sistemi değildir; ölçümlerin klinik doğruluğunu iddia etmez. İstatistik ve yapay zekâ yardımcısı araştırma içindir.

Bir güvenlik açığı tespit ettiyseniz lütfen support@enainnovation.com adresine yazın. Bildirimi inceler, size dönüş yapar ve düzeltme sürecini paylaşırız. Ayrıntılar yasal belgeler arasındaki güvenlik açığı bildirimi sayfasındadır.