Güvenlik
Güvenlik duruşumuz
Bu sayfa bir pazarlama metni değil, bugünkü güvenlik durumumuzun dürüst özetidir. Sadece üründe gerçekten var olan kontrolleri anlatır; sahip olmadığımız hiçbir şeyi iddia etmez.
Şifreleme
- Aktarımda (TLS). odakora.com, app.odakora.com ve api.odakora.com üzerindeki tüm trafik TLS ile şifrelenir. Uç sunucumuz (Caddy) HTTP isteklerini HTTPS'e yönlendirir ve güvenlik başlıklarını uygular.
- Saklamada. Veritabanı ve kimlik doğrulama altyapımızı barındıran Supabase, verileri saklama sırasında (at rest) şifreler.
Kiracı izolasyonu
Bir işletmenin verisine yalnızca sahibi erişir. Bunu iki katman birlikte sağlar:
- Uygulama katmanında sahiplik doğrulaması. Kimlik doğrulaması yapılmış her istek, sunucu tarafında istek sahibinin kullanıcı kimliğine göre filtrelenir; sahiplik denetimi merkezi bir serviste toplanır ve her yazma yolunda çalışır.
- Veritabanı katmanında Satır Düzeyi Güvenlik (RLS). Supabase Postgres tablolarında RLS politikaları tanımlıdır. Halka açık dizin tablolarında yalnızca okuma politikaları açıktır.
KVKK ve Veri İşleme Sözleşmesi (DPA)
- Uygulama içinde gerçek bir DPA akışı vardır: sözleşme uygulamada sunulur, kabul kaydı kullanıcı ve tarih damgasıyla saklanır.
- Otomatik gönderim (otopilot) kabul edilmiş bir DPA olmadan açılamaz; sistem bu durumda isteği reddeder.
- İşletme kaydının kaldırılması (opt-out) ve düzeltme süreci Hakkında sayfasında yayımlıdır.
İYS onay kapısı
Ticari elektronik ileti gönderimi İleti Yönetim Sistemi (İYS) onay kapısından geçer. Onayın kaynağı (provenance) kayıtlı olmak zorundadır; onay doğrulanamazsa gönderim yapılmaz. Kapı hata durumunda kapalı tarafa düşer (fail-closed): şüphe varsa gönderim durur.
Denetim kaydı
Sistemin otomatik yaptığı her eylem (örneğin bir mesaj gönderimi) bir eylem kaydı olarak saklanır: ne yapıldı, hangi işletme için, hangi kanaldan ve hangi sonuçla. Bu kayıt yalnızca ekleme amaçlı tasarlandı (uygulama katmanında): uygulama kodu mevcut kayıtları güncellemez veya silmez, yalnızca yeni kayıt ekler. Olan biteni geriye dönük izlemek böylece her zaman mümkündür.
Otopilot varsayılan olarak kapalı
Hiçbir otomatik gönderim kanalı kendiliğinden açılmaz. Her yüzeyin ayrı bir açma anahtarı vardır ve varsayılan değeri kapalıdır. Siz açmadıkça sistem taslakları onay kuyruğuna düşürür, kendi başına göndermez.
Yapay zeka veri akışı
Profil ve asistan yanıtları için gerekli işletme bağlamı Google Gemini API'sine iletilir. Ürünün eski içerik katmanındaki bazı akışlar OpenAI API'sini kullanır. Görünürlük ölçümünde Google Gemini, OpenAI ve Anthropic bağlı motorlardır: işletme adı, konumu, sitesi ve ölçüm soruları yalnızca ilgili motor için ayrı izin verdiğinizde o sağlayıcıya iletilir. İzin vermediğiniz motor ölçülmez. Başka bir motor sonradan bağlanırsa uygulama o motor için ayrı izin gösterir. Yapılandırma eksikse sistem veri uydurmaz; "bağlı değil" der.
Alt işleyiciler
Hizmeti sağlarken çalıştığımız hizmet sağlayıcılar. "Konum" sütunu sağlayıcının yerleşim durumunu gösterir; "Yurt dışı" olanlara veri Türkiye dışına aktarılır (KVKK Aydınlatma Metni).
| Sağlayıcı | Ne için | Hangi veri | Konum |
|---|---|---|---|
| Supabase | Veritabanı ve kimlik doğrulama barındırma | Hesap, işletme ve kullanım verileri | Yurt dışı |
| Google Gemini | Profil, asistan, WhatsApp otomatik yanıtı, içerik ve izinli görünürlük ölçümü | Gerekli işletme bağlamı, asistan metni, izinli ölçüm soruları; WhatsApp müşterisinin mesajı, ilgili konuşma/kişi bağlamı ve işlendiğinde ses/görsel içeriği | Yurt dışı |
| OpenAI | Eski içerik katmanında metin/görsel üretimi ve izinli görünürlük ölçümü | Gerekli işletme bağlamı, üretilecek konu ve izinli ölçüm soruları | Yurt dışı |
| Anthropic | İzinli görünürlük ölçümü | İşletme adı, konumu, sitesi ve ölçüm soruları | Yurt dışı |
| Meta | WhatsApp ve Instagram mesajlaşma altyapısı | Bağlanan kanalın konuşmaları ve telefon numaraları | Yurt dışı |
| Google (Workspace e-posta) | Tanıtım ve bilgilendirme e-postası gönderimi (yapılandırıldığında) | Alıcı e-posta adresi, e-posta metni, gönderen kimliği | Yurt dışı |
| Expo | Mobil bildirim (push) iletimi | Cihaz bildirim kimliği, bildirim başlığı ve metni | Yurt dışı |
| Apple | iOS aboneliği satın alma ve işlem doğrulama | İşlem makbuzu ve abonelik durumu | Yurt dışı |
| iyzico | Türkiye kart ödemeleri | E-posta, IP adresi, e-postadan türetilen ad, tutar | Türkiye |
| PayTR | Türkiye kart ödemeleri | E-posta, IP adresi, tutar, sipariş numarası | Türkiye |
| Lemon Squeezy | Türkiye dışı ödemeler (kayıtlı satıcı) | Ödeme ve sipariş bilgisi | Yurt dışı |
| Sentry | Hata izleme (yalnızca etkinleştirildiğinde) | Teknik hata kayıtları | Yurt dışı |
Güvenlik iletişimi
Bir güvenlik açığı bulduysanız veya veri güvenliğiyle ilgili bir sorunuz varsa: hello@odakora.com. Sorumlu bildirimleri memnuniyetle karşılar, aldığımız her bildirimi inceleriz.
Satıcı ve veri sorumlusu: Emirhan Cihad Yıldız (şahıs işletmesi, marka: Odakora), Cevizli Mah. Zuhal Cad. A Blok No: 46 İç Kapı No: 50, Maltepe/İstanbul.
Bu sayfa ürün değiştikçe güncellenir; buradaki her iddia koddaki karşılığıyla sınırlıdır.