Güvenlik ve Veri

1. Bugün hangi verileri işliyoruz?

Growado henüz yayında değil. Bugün iki yerde veri işliyoruz: web sitesi ve erken erişim listesi.

• Web sitesi: barındırma sağlayıcımızın sunucu kayıtları (IP adresi, tarayıcı bilgisi, ziyaret zamanı). Analitik ve pazarlama çerezleri yalnızca onay verirseniz yüklenir.
• Erken erişim formu: ad soyad, iş e-postası, rol, şirket, ekip büyüklüğü ve isterseniz organik büyümede zorlandığınız konu; ayrıca sizi siteye getiren kampanya bilgisi ve çerez tercihiniz.
• Onay e-postası: başvurunuzu aldığımızı bildiren tek bir e-posta.

Ayrıntılar Gizlilik Politikası ve KVKK Aydınlatma Metni'nde yer alır.

2. Verileriniz nerede tutulur?

• Erken erişim başvuruları: Supabase üzerinde, Frankfurt (Almanya, AB) bölgesindeki bir veritabanında.
• Web sitesi: Vercel altyapısında barındırılır.
• Onay e-postaları: Resend üzerinden gönderilir.
• Reklam ölçümü: yalnızca onay verirseniz Google (GA4, Google Ads) ve Meta'ya gider.

Başvuru tablosuna tarayıcıdan erişilemez; yalnızca sitenin sunucusu yazabilir.

3. Ürünü hangi ilkelerle geliştiriyoruz?

Aşağıdakiler geliştirmekte olduğumuz ürünün tasarım ilkeleridir. Ürün yayına çıktığında bu sayfayı gerçek uygulamaya göre güncelleyeceğiz.

• Google Search Console: yalnızca salt okuma izni isteriz ve yalnızca sizin seçtiğiniz mülkün verisini kullanırız. Bağlantıyı istediğiniz zaman kesebilirsiniz.
• Web sitesi taraması: yalnızca projenizin alan adındaki herkese açık sayfaları tarar, robots.txt kurallarına uyar ve proje başına sayfa bütçesiyle sınırlıdır.
• Veri konumu: ürün verileri Frankfurt'taki (AB) veritabanında tutulur.
• Erişim anahtarları: bağlantı anahtarları uygulama katmanında şifrelenir ve düzenli olarak yenilenebilir.
• Hesap güvenliği: iki adımlı doğrulama herkese açıktır; Sahip ve Yönetici rollerinde zorunludur.
• Ayrım: her organizasyonun verisi diğerlerinden ayrıdır; bu ayrım otomatik testlerle doğrulanır.
• Yapay zekâ: yapay zekâ sağlayıcısına yalnızca özetlenmiş veya toplu veri gönderilir.
• Dışa aktarma ve silme: verilerinizi dışa aktarabilir ve silinmesini isteyebilirsiniz; silme bağlantıları ve depolanan dosyaları da kapsar.
• Erişim kaydı: üretim verisine erişim isimli kişilerle sınırlıdır ve kayıt altındadır.

4. Neyi yapmıyoruz?

• Verilerinizi satmıyoruz.
• Search Console verilerinizi reklam amacıyla kullanmıyoruz; Google'ın kullanıcı verisi politikasına (Limited Use) uyuyoruz.
• Sağlık verisi veya diğer özel nitelikli kişisel verileri istemiyoruz; bu tür verilerin yüklenmesi kullanım şartlarına aykırıdır.
• Sahip olmadığımız bir sertifikayı varmış gibi göstermiyoruz.

5. Sertifikalar ve uyumluluk

Şu an SOC 2 veya ISO 27001 sertifikamız yok. Bu standartların gerektirdiği kontrolleri (erişim yönetimi, değişiklik yönetimi, kayıt tutma, yedekleme ve geri yükleme testi) ürünün ilk sürümünden itibaren kuruyoruz. Denetim, müşteri ihtiyacı doğduğunda başlayacak.

KVKK kapsamında veri sorumlusu olarak yükümlülüklerimizi yerine getiriyoruz. AB'deki ziyaretçilerin GDPR hakları Gizlilik Politikası'nda yer alır.

6. Hizmet sağlayıcılar

• Bugün (web sitesi ve erken erişim): Vercel (barındırma), Supabase (veritabanı, Frankfurt), Resend (e-posta), Google ve Meta (yalnızca onayla reklam ölçümü).
• Ürünle birlikte eklenecekler: Clerk (kimlik doğrulama), Cloudflare (zamanlanmış görevler), Bunny (dosya depolama, AB), Sentry (hata izleme), PostHog (AB bölgesinde ürün analitiği), Anthropic (yapay zekâ).

Güncel liste ürün yayına çıkmadan önce yayımlanacak.

7. Güvenlik açığı bildirimi

Bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen aşağıdaki e-posta adresine yazın. Bildirimi aldığımızı doğrular ve sizi süreç hakkında bilgilendiririz. Lütfen açığı düzeltmemiz için zaman tanıyın ve başka kullanıcıların verisine erişmeyin.