Güvenlik ve Olay Müdahale Politikası

Son güncelleme: 2026-10-06

Mağazalar bize kataloglarını ve müşterilerinin sohbetlerini emanet ediyor. Bu sayfa, bu verileri nasıl koruduğumuzu ve bir sorun çıktığında ne yaptığımızı anlatır.

1. Veri koruma önlemleri

• İletimde şifreleme: Zeldina'ya giden tüm trafik HTTPS (TLS 1.2 ve üzeri) ile şifrelenir.
• Gizli bilgilerin şifrelenmesi: mağaza erişim anahtarları kaydedilmeden önce AES-256-GCM ile şifrelenir. Şifreleme anahtarı veritabanından ayrı tutulur.
• Şifreler: mağaza şifreleri yalnızca tuzlanmış, geri döndürülemez özet (scrypt) olarak saklanır. Oturumlar rastgele belirteçlerle açılır ve veritabanında yalnızca bu belirteçlerin özeti tutulur.
• Yedekler: veritabanı her gün yedeklenir. Yedekler AES-256 ile şifrelenir ve sınırlı süre saklanır (bkz. Gizlilik Politikası). Geri yükleme düzenli olarak denenir.
• Veri en aza indirme: müşterilerin adını, adresini ve ödeme bilgilerini almayız. Ses kaydı tutmayız. Sohbetler 12 ay sonra otomatik silinir.
• Ayrım: her mağaza yalnızca kendi verisine erişir. Test mağazaları canlı mağazalardan ayrı tutulur.

2. Erişim kontrolü

• En az yetki: verilere yalnızca hizmeti işletmek için gereken kişiler, gerektiği ölçüde erişir.
• Yönetici erişimi: iki adımlı doğrulama gerektirir ve yalnızca onaylı ağ adreslerinden yapılabilir.
• Mağaza erişimi: mağazalar yalnızca kendi mağazalarını görür. Şifreler asgari güç kurallarına uymak zorundadır.
• Kayıt: sohbetlere ve diğer kişisel verilere erişim kayıt altına alınır, kayıtlar gerektiğinde incelenir.
• Sunucular: sunuculara yalnızca yetkili yöneticiler bağlanabilir. Veritabanları ve önbellek yalnızca sunucunun içinden erişilebilir, internete açık değildir.

3. Uygulama güvenliği

• Doğrulanmış bildirimler: e-ticaret altyapılarından gelen tüm bildirimlerin (webhook) kriptografik imzası doğrulanır. Tekrar eden gönderimler yok sayılır.
• Kötüye kullanıma karşı koruma: hizmet, istek sınırları ve ağ güvenlik duvarı (Cloudflare) ile korunur.
• Güncellemeler: bağımlılıklar ve sistemler güncel tutulur. Güvenlik güncellemeleri gecikmeden uygulanır.

4. Olay müdahale süreci

Güvenlik olayı, işlediğimiz verilerin gizliliğini, bütünlüğünü ya da erişilebilirliğini tehlikeye atabilecek her durumdur. Bir olayı tespit ettiğimizde ya da bize bildirildiğinde şu adımları izleriz:

1. Değerlendirme: olayı doğrular, etkilenen verileri ve mağazaları belirler, ciddiyetini sınıflandırırız.
2. Kontrol altına alma: nedeni durdururuz. Gerekirse erişim anahtarlarını iptal eder, sistemleri yalıtır ya da ilgili özellikleri kapatırız.
3. Bildirim:
   • etkilenen mağazalara gecikmeksizin ve en geç 72 saat içinde ne olduğunu, hangi verilerin etkilendiğini ve ne yaptığımızı bildiririz,
   • veri sorumlusu olduğumuz durumlarda Kişisel Verileri Koruma Kurulu'na mevzuatın öngördüğü 72 saat içinde bildirimde bulunuruz.
4. İyileştirme: normal işleyişi, gerekirse yedeklerden geri yükleyerek sağlarız.
5. Ders çıkarma: olayı ve nedenini belgeler, tekrarlanmaması için önlem alırız.

5. Güvenlik açığı bildirimi

Zeldina'da bir güvenlik açığı bulduğunuzu düşünüyorsanız ayrıntıları [email protected] adresine gönderin. Test ederken başkalarının verilerine erişmeyin ve hizmeti aksatmayın. Size hızla dönüş yapar ve süreç boyunca bilgi veririz. İyi niyetli araştırmalar için hukuki yola başvurmayız.