Güvenlik ve Veri Koruma
Verilerinizin yaşam döngüsünü olduğu gibi anlatıyoruz: ne topluyoruz, nerede saklıyoruz, ne kadar tutuyoruz ve nasıl siliyoruz. Sahip olmadığımız bir sertifikayı asla sahipmişiz gibi göstermeyiz.
Bu sayfa şirketin kendi veri uygulamalarını açıklar. Hukuki bir görüş veya zorunluluk beyanı değildir; resmî metinler için gizlilik politikamıza bakabilirsiniz.
Verinin Yaşam Döngüsü
Bir misafir QR menüyü açtığı andan verinin silindiği ana kadar izlenen yol.
Toplama
Yalnızca hizmetin çalışması için gereken verileri toplarız: sipariş kalemleri, masa numarası, hesap tutarı ve restoran hesabı için işletme bilgileri. Misafirden hesap oluşturması veya kişisel hesap açması istenmez.
İşleme
Veriler siparişi iletmek, hesabı bölmek ve ödemeyi başlatmak için işlenir. Ödeme kartı bilgileri tarafımızca işlenmez; doğrudan PCI DSS kapsamındaki ödeme sağlayıcısının altyapısına gider.
Saklama Konumu
Üretim verileri AB bölgesindeki yönetilen barındırma altyapısında, erişim denetimli veritabanlarında tutulur. Yedekler aynı yasal bölge içinde saklanır.
Saklama Süresi
Operasyonel sipariş kayıtları yalnızca işletmenin raporlama ihtiyacı kadar; iletişim formu verileri en fazla 90 gün tutulur. Saklama süreleri amaç ile sınırlıdır.
Silme
Süresi dolan veriler düzenli olarak silinir. Silme talepleri 30 gün içinde işleme alınır ve yedeklerden de döngü sonunda kaldırılır.
Aktarımda ve Beklemede Şifreleme
Şifrelemeyi abartmadan anlatıyoruz: ne yaptığımızı söyler, uydurma sertifika numarası vermeyiz.
Aktarımda (in transit)
Tarayıcı ile sunucu arasındaki tüm trafik HTTPS/TLS üzerinden şifrelenir. Düz HTTP bağlantıları HTTPS'e yönlendirilir ve güvenlik başlıkları (HSTS, içerik güvenlik politikası) uygulanır.
Beklemede (at rest)
Veritabanı ve yedekler, yönetilen barındırma sağlayıcısının disk düzeyi şifrelemesiyle korunur. Şifreleme anahtarları sağlayıcının anahtar yönetimi tarafından yönetilir; uygulama kodunda gömülü tutulmaz.
Ödeme verileri
Kart numarası, son kullanma tarihi veya CVV gibi hassas ödeme verilerini ne saklar ne de günlüğe yazarız. Bu veriler PCI DSS kapsamındaki ödeme sağlayıcısı tarafından işlenir.
Erişim Kontrolü ve Denetim
En az yetki ilkesi: kimse ihtiyacından fazlasına erişemez ve önemli işlemler kayıt altına alınır.
En az yetki (least privilege)
Çalışan erişimi rol bazlıdır ve yalnızca görev için gereken kapsamla sınırlandırılır. Üretim verilerine erişim varsayılan olarak kapalıdır.
Kimlik doğrulama
Yönetim arayüzlerine erişim kimlik doğrulamayla korunur. İşletme hesapları için güçlü parola uygulaması ve oturum yönetimi mevcuttur.
Denetim günlükleri (audit logging)
Sistem ve yönetim işlemleri günlüğe yazılır; bu kayıtlar olası bir olayda inceleme ve hesap verebilirlik için kullanılır.
Veri ayrıştırma
Her restoran kendi verisini görür; işletmeler arası veri sızıntısını önlemek için kiracı bazlı ayrıştırma uygulanır.
Yedekleme ve Erişilebilirlik
Veri kaybına ve kesintiye karşı duruşumuz — gerçekçi taahhütlerle.
Düzenli yedekleme
Üretim veritabanı düzenli olarak yedeklenir ve yedekler aynı yasal bölgede saklanır. Geri yükleme süreci, kurtarma ihtiyacında veriyi geri getirebilmek için tasarlanmıştır.
Erişilebilirlik duruşu
Hizmeti yüksek erişilebilirlikle çalıştırmayı hedefliyoruz. Belirli bir sözleşmesel çalışma süresi (SLA) taahhüdü, kurumsal anlaşmalarda ayrıca tanımlanır; burada uydurma bir yüzde vermiyoruz.
Olağanüstü durum hazırlığı
Yedeklerden geri yükleme adımları belgelidir. Kapsamlı felaket kurtarma otomasyonu, sertifikasyon yol haritamızla birlikte olgunlaştırdığımız alanlardandır.
Alt İşleyenler ve Barındırma Şeffaflığı
Hangi tür hizmet sağlayıcılara dayandığımızı kategori olarak açıklıyoruz. Uydurma marka adı veya SLA yüzdesi vermiyoruz.
Hizmeti sunmak için sınırlı sayıda altyapı sağlayıcısından yararlanırız. Aşağıda bunları kategori bazında listeliyoruz; sözleşme yapan işletmeler için güncel sağlayıcı listesi talep üzerine paylaşılır.
| Kategori | Amaç | Konum |
|---|---|---|
| Bulut barındırma | Uygulama ve veritabanının çalıştırılması | AB bölgesi |
| Ödeme işleme | Kart ödemelerinin güvenli alınması (PCI DSS kapsamında) | Sağlayıcının kapsamı |
| E-posta / bildirim | İşlemsel e-posta ve bildirimlerin gönderimi | Sağlayıcının kapsamı |
| Hata ve performans izleme | Çalışma süresi ve hata takibi (kişisel veri en aza indirilir) | Sağlayıcının kapsamı |
Sertifikalar / Sertifikasyon Yol Haritası
Dürüstlük ilkesi: sahip olmadığımız hiçbir sertifikayı sahipmişiz gibi göstermeyiz. Aşağıdaki kalemler hedeftir, henüz alınmamıştır.
Mevcut uygulamalar
- Uygulanıyor KVKK doğrultusunda veri işleme yaklaşımı
- Uygulanıyor HTTPS/TLS ile aktarımda şifreleme
- Uygulanıyor Disk düzeyinde beklemede şifreleme
- Uygulanıyor Ödeme verilerinin PCI DSS kapsamındaki sağlayıcıya devredilmesi
Yol haritası
- Planlanıyor ISO/IEC 27001
- Planlanıyor SOC 2 Type II
- Planlanıyor Bağımsız sızma testi (üçüncü taraf)
- Planlanıyor Resmî veri işleme sözleşmesi (DPA) şablonu
Yol haritasındaki bir kalem tamamlandığında bu sayfa güncellenir ve ilgili belge talep üzerine sunulur. Tamamlanana kadar bu kalemleri "alınmış sertifika" olarak sunmayız.
Sorumlu Açıklama (Responsible Disclosure)
Bir güvenlik açığı tespit ettiyseniz lütfen kamuya açıklamadan önce bizimle iletişime geçin. Bildiriminizi inceleyip makul bir sürede yanıt vermeyi ve düzeltmeyi taahhüt ederiz. İyi niyetle yapılan ve kullanıcı verisine zarar vermeyen araştırmaları takdirle karşılıyoruz.
Bildirirken
- Açığın nasıl yeniden üretileceğini adım adım paylaşın.
- Verilere zarar vermeyin, indirmeyin veya değiştirmeyin.
- Düzeltme yayınlanana kadar açığı gizli tutun.