güvenlik ve uyum
Veriniz nerede duruyor, kim erişiyor.
Bu sayfayı hukuk ve BT biriminize olduğu gibi verebilirsiniz. Bugün geçerli olanı geçerli, henüz yazılmamış olanı yol haritasında yazdık. Sahip olmadığımız bir belgeyi var göstermiyoruz.
Ürün erken erişim aşamasındadır; bu sayfa ürünle birlikte güncellenir.
Bugün ne var, ne yok.
“Baştan geçerli” satırları ilk kurulumdan itibaren uygulanır. “Yol haritasında” satırları henüz yazılmadı ve tarih taahhüdü vermiyoruz. “Netleşmedi” satırı ise bizim de cevabını beklediğimiz konudur.
| Konu | Durum | Not |
|---|---|---|
| Verinin Türkiye'de barındırılması | baştan geçerli | Uygulama ve veritabanı Türkiye'deki bölgede çalışır. |
| Yerel modelle yapay zekâ işlemesi | baştan geçerli | Bu seçenekte veri yurt dışına çıkmaz. |
| Veri minimizasyonu | baştan geçerli | Kart bilgisi, şifre ve TC kimlik numarası hiç alınmaz. |
| Entegrasyonlarda salt-okunur erişim | baştan geçerli | Yazma yetkisi yalnızca onayladığınız hamle hedefi için istenir. |
| Aktarımda TLS, saklamada şifreleme | baştan geçerli | Tarayıcı trafiği ve entegrasyon çağrıları şifreli kanaldan geçer. |
| Entegrasyon kimlik bilgilerinin şifreli saklanması | yol haritasında | Bugün her bağlantı türü için geçerli değil; tamamına yayılması yol haritasında. |
| Veri işleme sözleşmesi (DPA) | baştan geçerli | Taslak metin talep üzerine paylaşılır. |
| Rol bazlı yetkilendirme | yol haritasında | Bugün hesap içinde ayrıntılı rol ayrımı yok. |
| Ayrıntılı denetim günlüğü | yol haritasında | “Kim, ne zaman, hangi kaydı gördü” sorusunu bugün satır satır yanıtlayamayız. |
| İYS ile doğrudan entegrasyon | yol haritasında | İzin kontrolü bugün sizin kaynağınızdaki izin alanından yapılır. |
| Bağımsız güvenlik denetimi, ISO 27001 belgesi | yol haritasında | Bugün böyle bir belgemiz yok; olduğunu söylemiyoruz. |
| VERBİS kayıt durumu | netleşmedi | Kayıt yükümlülüğü eşikleri değerlendiriliyor; sonuç bu sayfaya yazılacak. |
Türkiye'de duruyor.
Barındırma Türkiye'dedir. Yapay zekâ işlemesi için yerel model seçeneği sunuyoruz; bu seçenekte veriniz yurt dışına çıkmaz.
Konum kuralları
- Uygulama, veritabanı ve yedekler Türkiye'de barındırılır.
- Yerel model seçeneğinde yapay zekâ işlemesi de Türkiye'de kalır; metin ve tutarlar yurt dışına çıkmaz.
- Yurt dışında çalışan bir model sağlayıcısını tercih ederseniz, hangi alanların sınır dışına çıkacağı sözleşmede tek tek yazılır ve açık onayınız alınmadan devreye alınmaz.
- Veriniz yalnızca sizin hesabınız için işlenir; başka müşterilerin sonuçlarına karışmaz ve genel model eğitimine verilmez.
Altyapı künyesi
- barındırma sağlayıcısı
- sağlayıcı adı netleşince yazılacak
- bölge
- bölge adı netleşince yazılacak
- yedekleme
- Yedekler de aynı ülkede tutulur ve şifrelenir.
Aldığımız veri, almadığımız veri.
Analiz için gereken en az veriyi alırız. Aşağıdaki iki liste sözleşmenin ekidir; “belki lazım olur” diye alan eklemeyiz.
Alıyoruz
- Sipariş: sipariş numarası, tarih, tutar, indirim ve kupon, kanal, kargo ve ödeme yöntemi bilgisi.
- Müşteri: hesap kimliği, kayıt tarihi, il/ilçe düzeyinde konum, sipariş geçmişi ve segment.
- İletişim alanı (e-posta, telefon): yalnızca hamle çıktısı sizin CRM'inize ya da reklam hesabınıza liste olarak gidecekse.
- Ürün: stok kodu, kategori, fiyat, stok; paylaşırsanız maliyet ve marj.
- İade: iade tarihi, nedeni, tutarı ve ürünü.
- Harcama: reklam hesabı harcaması ve kampanya kırılımı.
- Trafik: GA4 ve Search Console tarafında toplulaştırılmış metrikler.
Almıyoruz
- Kart numarası, son kullanma tarihi, CVV — ödeme sağlayıcısı entegrasyonunda dahi istemeyiz.
- Şifre, şifre özeti, oturum çerezi.
- TC kimlik numarası.
- Sağlık, biyometrik ve diğer özel nitelikli kişisel veriler.
- Kimlik fotokopisi, fatura görseli gibi belge dosyaları.
- Sipariş notu ve destek yazışması gibi serbest metin alanları — varsayılanda kapalıdır.
Salt-okunur erişim
Kaynak sistemlerinize salt-okunur yetkiyle bağlanırız: okuruz, yazmayız. Hamle çıktısı bir hedefe yazma gerektiriyorsa — CRM’e liste, reklam hesabına kitle — yazma yetkisi yalnızca o hedef için, ayrıca ve açıkça istenir. Yetkiyi istediğiniz an kendi panelinizden geri alabilirsiniz.
Bugün ne var, ne yok.
Erişim tarafında iddiamızı olduğundan büyük göstermiyoruz. Sağdaki liste henüz yazılmamış işlerdir.
Bugün geçerli
baştan geçerli- Her müşterinin verisi kendi hesabında ayrılır; hesaplar arasında sorgu geçişi yoktur.
- Kaynak sistemlere salt-okunur yetkiyle bağlanırız.
- Ekibimizin veriye erişimi, kurulum ve destek işini fiilen yapan kişilerle sınırlıdır.
- Hamleler onayınıza sunulur; siz onaylamadan hiçbir liste gönderilmez, hiçbir kitle itilmez.
- Entegrasyon erişimini istediğiniz an kendi tarafınızdan iptal edebilirsiniz.
Yol haritasında
yol haritasında- Rol bazlı yetkilendirme: kullanıcı rolleri ve alan bazlı kısıt bugün yok, yol haritasında.
- Ayrıntılı denetim günlüğü: hangi kullanıcının hangi kaydı görüntülediğini satır satır veren kayıt bugün yok, yol haritasında.
- Tek oturum açma (SSO), IP kısıtı gibi kurumsal gereksinimler bugün hazır değil; ihtiyacınız varsa görüşmede konuşalım, söz vermeden önce planı paylaşırız.
Aktarımda ve saklamada.
Şifreleme tek başına yeterli değildir; kimin eriştiği en az onun kadar önemlidir. İkisini ayrı ayrı yazıyoruz.
- Aktarımda TLS: tarayıcı trafiği ve entegrasyon çağrıları şifreli kanaldan geçer.
- Saklamada şifreleme: veritabanı ve yedekler şifreli tutulur.
- Entegrasyon kimlik bilgileri (API anahtarı, erişim jetonu) yalnızca ilgili bağlantının çalışması için tutulur; bağlantıyı panelden istediğiniz an kesebilir, kimlik bilgisini kaynak sistemde geçersiz kılabilirsiniz.
- Kimlik bilgilerinin tamamının şifrelenerek saklanması ve panelde maskelenmesi yol haritasındadır; bugün her bağlantı türü için geçerli değildir.
- Bağımsız sızma testi raporumuz henüz yok; test yaptırmak yol haritasındadır ve rapor çıktığında bu sayfada yazacaktır.
İki sıfatımız var.
KVKK karşısındaki konumumuz, işlenen verinin kime ait olduğuna göre değişir. Sözleşmede de bu ayrım aynen yer alır.
| Sıfat | Hangi veri | Ne anlama geliyor |
|---|---|---|
| Veri sorumlusu | Site ziyaretçileri, demo talebi bırakanlar ve müşteri firmaların panel kullanan temsilcileri | Bu verilerde işleme amacını ve yöntemini biz belirleriz; aydınlatma yükümlülüğü bizdedir. |
| Veri işleyen | Müşteri firmanın sistemimize aktardığı son müşteri verisi (sipariş, müşteri, ürün, iade, harcama) | Bu verilerde veri sorumlusu müşteri firmadır. Veriyi yalnızca sözleşme ve talimat çerçevesinde işleriz. |
İlgili kişi talepleri
Bir e-ticaret sitesinden alışveriş yapan kişi bize başvurursa, talebi gecikmeksizin ilgili veri sorumlusuna — yani alışveriş yaptığı firmaya — yönlendiririz. Müşterimiz olarak size ulaşan talepleri karşılamanız için gereken silme ve dışa aktarma işlemlerini biz yaparız.
VERBİS
VERBİS kayıt yükümlülüğü, çalışan sayısı ve yıllık mali bilanço eşiklerine göre belirlenir. Kendi durumumuz değerlendirme aşamasındadır; sonuç netleştiğinde bu satır güncellenecektir.
VERBİS kayıt durumu: teyit edilecek
Saklama ve silme
Aboneliğiniz sürdükçe veriniz analiz için saklanır. Ayrılırsanız verinizin kopyasını alırsınız, ardından 60 gün içinde sistemlerimizden sileriz. Silme, yedekler dahil olacak şekilde yürütülür.
Kimlerle çalışıyoruz.
Hizmeti tek başımıza vermiyoruz. Aşağıda hizmet sağlayıcı türleri, ne için kullanıldıkları ve veriye erişim kapsamları var.
| Hizmet türü | Ne için | Veriye erişimi |
|---|---|---|
| Barındırma ve veritabanı | Uygulamanın ve veri katmanının çalıştırılması | Barındırılan tüm veri; Türkiye'deki bölgede tutulur. |
| E-posta gönderimi | Sistem e-postaları, rapor ve uyarı bildirimleri | Alıcının e-posta adresi ve bildirim içeriği. |
| Mesajlaşma sağlayıcısı | Sabah Nabzı brifinginin WhatsApp üzerinden iletilmesi | Alıcının telefon numarası ve brifing metni. |
| Yapay zekâ model sağlayıcıları | Bulguların ve Vezir cevaplarının üretilmesi | Yerel model seçeneğinde veri Türkiye'de kalır. Yurt dışı sağlayıcı tercih edilirse kapsam sözleşmede yazılır. |
| Hata ve performans izleme | Arıza tespiti ve çalışma süresi takibi | Teknik günlük kayıtları; müşteri verisi içermemesi hedeflenir. |
Sağlayıcıların ticaret unvanları ve bulundukları ülkeleri içeren tam liste talep hâlinde paylaşılır. Alt işleyen değişikliğinde önceden bilgilendirme yükümlülüğümüz veri işleme sözleşmesinde düzenlenir.
İzinsiz gönderim yok.
Hamle katmanı müşterilerinize ileti gönderebildiği için izin kontrolü ürünün içindedir, sonradan eklenen bir uyarı değildir.
- Otomatik gönderim yapan hamleler izin kontrolünden geçmeden çalışmaz; izni olmayan alıcı hedef listesinden düşer.
- İYS ile doğrudan entegrasyon yol haritasındadır. Entegrasyon devreye girene kadar izin kontrolü, kaynak sisteminizden gelen izin alanına göre yapılır ve gönderim listesi onayınıza sunulur.
- Ticari elektronik iletiyi gönderen taraf sizsiniz; İYS kaydı ve izin yönetimi yükümlülüğü müşteri firmada kalır. Biz listeyi üretir, izin kontrolünü uygular ve gönderimi sizin onayınıza bağlarız.
- Ret (vazgeçme) kayıtlarını da işleriz: vazgeçen alıcı sonraki hamlelerin hedef listesine girmez.
Hukuk biriminizin isteyeceği evrak.
Aşağıdakileri talep üzerine paylaşıyoruz. Değerlendirme aşamasında imza şartı aramıyoruz.
- Veri işleme sözleşmesi (DPA) taslağı
- Veri işleme envanteri
- Alt işleyen listesi — sağlayıcı adları ve bulundukları ülkelerle
- Doldurulmuş tedarikçi güvenlik anketiniz — kendi formunuzu gönderin, doldurup iade edelim
Yayımlanmış yasal metinlerimiz herkese açıktır: KVKK Aydınlatma Metni, Gizlilik Politikası, Çerez Politikası.
Belge talebi
Hangi belgeye ihtiyacınız olduğunu yazın; bir iş gününde dönelim.
Açık bulduysanız yazın.
Ödüllü bildirim programımız (bug bounty) yok. Buna rağmen iyi niyetli bildirimi ciddiye alır, giderim planını bildiren kişiyle paylaşırız.
Nasıl bildirilir
- info@katbekat.com.tr adresine “Güvenlik bildirimi” konusuyla yazın.
- Adım adım yeniden üretim, etkilenen adres, saat bilgisi ve varsa ekran görüntüsü ekleyin.
- İlk yanıtı üç iş günü içinde veririz; giderim planını ve tahmini süreyi aynı yazışmada paylaşırız.
Test ederken yapılmaması gerekenler
- Gerçek müşteri verisine erişmeyin, indirmeyin, değiştirmeyin.
- Hizmet kesintisi (DoS), yük testi ve toplu e-posta/SMS denemesi yapmayın.
- Üçüncü kişilerin hesaplarına girmeyi denemeyin.
- Açığı, giderilmesi için bize makul süre tanımadan yayımlamayın.
Yukarıdaki kurallara uyan iyi niyetli bildirimlerin hukuki sonucuna ilişkin taahhüt metnimiz hazırlanıyor; kesinleşene kadar bildirim öncesinde bize yazmanız yeterlidir.