Veri Güvenliği

Son güncelleme: 01.11.2026

Bu sayfa, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) m. 12 uyarınca Depo Paneli’nde kişisel verileri korumak için aldığımız teknik ve idari tedbirleri ve bir veri ihlali durumunda izlediğimiz yolu anlatır. Burada yalnızca bugün sistemde çalışan tedbirler yazılıdır; bir tedbir değiştiğinde bu sayfa da güncellenir.

1. Kapsam ve roller

Site ziyaretçilerinin ve abone firma yetkilileriyle kullanıcılarının verilerinde veri sorumlusu Hamza ÇİFTÇİ (Yedi Ocak Mah. Dr. Ahmet Alkan Cad. No: 111 İç Kapı No: 1, Merkez / Osmaniye; Osmaniye Vergi Dairesi · VKN 2540935786)’dir (“Depo Paneli”). Depolama firmalarının kendi müşterilerine ait olup uygulamaya girdikleri verilerde veri sorumlusu ilgili firmadır; Depo Paneli bu verileri firma adına işleyen veri işleyendir (bkz. KVKK Aydınlatma Metni). Aşağıdaki tedbirler iki tür veri için de uygulanır.

2. Bağlantı ve tarayıcı güvenliği

Site ve uygulamayla bütün bağlantılar şifrelidir (HTTPS). Tarayıcınıza, alan adımıza ve bütün alt alan adlarına her zaman şifreli bağlantıyla bağlanması bildirilir; şifresiz bir istek şifreliye yükseltilir.
İçerik güvenliği politikası uygulanır: sayfalarımız başka bir sitenin içinde çerçeveye alınamaz, formlar yalnızca kendi alan adımıza gönderilebilir ve listede olmayan dış kaynaklardan betik yüklenemez.
Yazı tipleri kendi alan adımızdan sunulur; bir sayfayı açtığınızda tarayıcınız yazı tipi için başka bir hizmete bağlanmaz.
Ölçümleme ve reklam betikleri yalnızca çerez onayınızdan sonra yüklenir; onay vermezseniz bu hizmetlere istek gitmez (bkz. Çerez Politikası).

3. Hesap ve oturum güvenliği

Şifreler geri döndürülemez özet olarak saklanır; şifrenizi biz de göremeyiz.
Arka arkaya hatalı girişlerde hesap bir süre kilitlenir ve IP adresi başına deneme sayısı sınırlıdır. Giriş hatası, hesabın var olup olmadığını belli etmez.
Oturum çerezi imzalıdır, sayfadaki betiklerce okunamaz ve yalnızca şifreli bağlantıyla gönderilir. Şifre değiştiğinde, bir kullanıcı pasife alındığında ya da firma askıya alındığında ilgili açık oturumlar anında kapanır.
Firma içinde sahip, yönetici ve personel rolleri vardır. Ayarlar, kullanıcılar ve verinin dışa aktarılması yalnızca sahip ve yöneticilere açıktır; yetki denetimi her işlemde sunucuda yapılır.
Firma paneline giriş e-posta ve şifreyle yapılır. Başka bir hizmette kullanmadığınız bir şifre seçmenizi, ekibinizden ayrılan kişinin hesabını Ayarlar › Kullanıcılar bölümünden pasife almanızı öneririz.

4. Firma verisinin yalıtımı

Her abone firmanın verisi firma kimliğiyle ayrılır. Firma panelindeki her sorgu yalnızca oturumdaki firmanın kayıtlarını görür; başka bir firmanın kaydına erişmeye çalışan sorgu reddedilir. Bu kural, her kod değişikliğinde kendiliğinden çalışan bir denetimle ve yalıtım testleriyle korunur.

5. Dosyalar ve şifreli saklanan bilgiler

Eşya fotoğrafları, imzalar, tutanak belgeleri ve yedekler özel erişimli depolamada tutulur; dosyaların depolama adresi tarayıcıya verilmez. Bir dosya yalnızca aynı firmanın oturum açmış kullanıcısına, müşterinin tutanak onay bağlantısına ya da kısa süreli, imzalı bir bağlantıyla sunulur. Firma logosu bunun dışındadır ve herkese açıktır (onay sayfasında ve firmanın müşterilerine giden e-postalarda görünür).
Yüklenen dosyanın türü, dosya adına ya da tarayıcının bildirdiğine göre değil, içeriğine bakılarak belirlenir; yalnızca PNG, JPG ve WebP görseller kabul edilir.
Yönetim panelinde saklanan dış hizmet anahtarları (ödeme, e-posta gibi) AES-256-GCM ile şifrelenir; çözme anahtarı veritabanında bulunmaz ve anahtarlar şifrelenmeden saklanmaz.

6. Kayıtlar ve izlenebilirlik

Firma içindeki işlemler, yönetim paneli işlemleri, giriş denemeleri, tutanak adımları ve gönderilen e-postalar kayıt altına alınır; bir olayda kimin, ne zaman, ne yaptığı izlenebilir.
Giriş kayıtlarında IP adresinin son hanesi gizlenir ve tarayıcı bilgisi kısaltılır; giriş kayıtları 2 yıl sonra kendiliğinden silinir.
Sunucu ve hata günlüklerinde erişim bağlantılarının gizli kısımları ve e-posta adresleri maskelenir. Gönderilen e-postaların içeriği saklanmaz; yalnızca alıcı, konu ve gönderimin sonucu tutulur.
Kullanım Koşulları ve Ön Bilgilendirme Formu kabulleri ile kampanya e-postası izinleri ve retleri; tarih, kanal ve onaylanan metnin sürümüyle kaydedilir ve ispat için firma hesabı silinse de saklama süresi boyunca korunur. Kampanya e-postası izni, her e-postadaki bağlantıyla ya da e-posta programının “abonelikten çık” düğmesiyle tek adımda kapatılır.

7. Depo Paneli ekibinin erişimi

Ekibin kullandığı yönetim paneli ayrı bir alan adında ve ayrı bir oturumla çalışır; firma paneli oturumuyla açılmaz.
Yönetim paneline giriş iki adımlı doğrulamayla (şifre ve kimlik doğrulayıcı uygulamadaki tek kullanımlık kod) korunur. Bu korumayı yalnızca platform sahibi, kimliğini yeniden doğrulayarak kapatabilir; her değişiklik kayda geçer.
Anahtar değiştirme, iade ve firma silme gibi hassas işlemlerden önce kimlik yeniden doğrulanır.
Ekip içinde de roller vardır: görüntüleme yetkisindeki kişi hiçbir kaydı değiştiremez ve veriyi dışa aktaramaz; dış hizmet anahtarlarını yalnızca platform sahibi görür.
Ekip, destek amacıyla bir firmanın paneline yalnızca gerekçe yazarak ve en fazla 2 saatlik bir oturumla girebilir; her destek girişi kayda geçer.

8. Veri merkezi ve yedekleme

Veritabanı ve dosyalar Avrupa Birliği’ndeki (Frankfurt) veri merkezlerinde tutulur. Kullandığımız hizmet sağlayıcılar ve yurt dışına aktarım bilgisi KVKK Aydınlatma Metni’nin 5. maddesindedir.
Her firmanın verisinin Excel ve JSON kopyası iki günde bir ve her ayın başında kendiliğinden alınır; firma sahibi ve yöneticileri istedikleri an yedek alıp indirebilir. Yedeklerin saklama süreleri KVKK Aydınlatma Metni’nin 6. maddesindedir.

9. Kurumsal tedbirler

Uygulamanın kodu, geliştirme sürecinde iki kapsamlı iç güvenlik denetiminden geçti (24.09.2026 ve 10.10.2026); bu denetimler bağımsız bir kuruluş tarafından yapılmış değildir. Onaylanan bulgular kapatıldı; her biri için yazılan gerileme testleri, yalıtım ve güvenlik testleriyle birlikte her kod değişikliğinde kendiliğinden çalışır.
Kişisel verilere erişim, işin gerektirdiği kişiler ve rollerle sınırlıdır; hizmet sağlayıcılar verilere yalnızca hizmeti sunmak için, sözleşmeyle sınırlı olarak erişir.
Her veri türü için saklama süresi tanımlıdır; süresi dolan veri silinir, yok edilir ya da anonim hale getirilir.
Veri ihlallerine yazılı bir müdahale planıyla yanıt verilir.

10. Veri ihlali durumunda

Kişisel verilerin kanuni olmayan yollarla başkalarınca elde edildiğinden şüphelendiğimizde olay kayda geçirilir, yayılması durdurulur ve hangi verilerin, kimlerin etkilendiği belirlenir. Sonrasında:

Veri sorumlusu olduğumuz verilerde (site ziyaretçileri, abone firma yetkilileri ve kullanıcıları): ihlali öğrendiğimiz andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na bildiririz; etkilenen kişileri en kısa sürede, iletişim bilgileri varsa doğrudan bilgilendiririz.
Depolama firmaları adına işlediğimiz verilerde (firmaların kendi müşterileri): ilgili firmayı gecikmeksizin bilgilendiririz. Bu verilerde Kurul’a ve kişilere bildirim, veri sorumlusu olarak firmanın yükümlülüğüdür; ne olduğunu, hangi verilerin etkilendiğini, ihlalin ne zaman tespit edildiğini ve alınan önlemleri içeren bilgiyi firmaya veririz.
Her ihlal; ne olduğu, etkileri ve alınan önlemlerle birlikte kayıt altına alınır ve Kurul incelemesine hazır tutulur. İhlal kayıtları silinmez.

11. Güvenlik açığı ve ihlal bildirimi

Bir güvenlik açığı bulduğunuzu ya da verilerinizin yetkisiz kişilerce görüldüğünü düşünüyorsanız destek@depopaneli.com.tr adresine “Güvenlik bildirimi” konusuyla yazın. İlk yanıtı 3 iş günü içinde vermeyi hedefleriz; doğrulanan bulgularda düzeltme planını sizinle paylaşırız.

Denemeleri yalnızca kendi hesabınızla yapın: başka firmaların verisine erişmeyin, veri silmeyin ya da değiştirmeyin, hizmeti aksatacak yük oluşturmayın. Bulguyu kamuya açmadan önce düzeltme için makul bir süre tanıyın.

Kişisel verilerinize ilişkin haklarınız ve başvuru yolu KVKK Aydınlatma Metni’nin 7. maddesinde, genel bilgilendirme Gizlilik Politikası’ndadır.