Güvenlik, mimari bir karardır.
Saltana'nın kişisel veri güvenliği için uyguladığı teknik ve idari önlemler, alt yüklenici yönetimi, olay müdahale süreci ve sorumlu açıklama politikası.
Güvenlik Yaklaşımımız
Saltana'nın güvenlik mimarisi üç temel prensip üzerine kuruludur: veri minimizasyonu, derinlemesine savunma ve en az ayrıcalık. Bu prensipler, aşağıda açıklanan somut teknik ve idari önlemler olarak hayata geçirilmiştir.
Saltana'nın en güçlü güvenlik özelliği, topladığımız veriyi en baştan azaltmaktır. Platform üzerinde yapılan pratik görüşmelerin tamamı yapay zeka müşteri personalarıyla gerçekleştirilir; gerçek müşterilerin ad-soyadı, telefonu, e-postası veya çağrı kayıtları hiçbir zaman Saltana'ya iletilmez. Bu mimari karar, tipik bir conversation intelligence ürününe göre Saltana'nın saldırı yüzeyini önemli ölçüde daraltır.
Saltana, Kişisel Verileri Koruma Kurulu tarafından 2018'de yayımlanan Kişisel Veri Güvenliği Rehberi ve KVKK m. 12/1'de sayılan asgari yükümlülükleri karşılar; bunların üzerinde sektörel en iyi uygulamaları (NIST Cybersecurity Framework, OWASP ASVS, CIS Controls) uygular.
Teknik Önlemler
Kişisel verilerin hukuka aykırı işlenmesini, erişilmesini ve verilerin kaybolmasını önlemek için aşağıdaki teknik önlemler uygulanır:
İletimde şifreleme
Web sitesi ve platform ile yapılan tüm HTTP trafiği TLS 1.3 üzerinden şifrelenir. HTTP istekleri otomatik olarak HTTPS'e yönlendirilir; HTTP Strict Transport Security (HSTS) etkindir ve includeSubDomains direktifiyle uygulanır. Güvensiz cipher ve protokoller devre dışıdır.
Depolamada şifreleme
Veritabanı ve dosya depolama, AES-256 simetrik şifreleme ile depolanır. Yedekler de şifreli halde saklanır ve şifreleme anahtarları yalnızca yetkili runtime ortamlarına injekte edilir; kaynak kodu depolarında veya geliştirici makinelerinde yer almaz.
Kimlik doğrulama
Saltana şifre saklamaz. Platform girişi magic-link yöntemiyle yapılır: kullanıcıya tek kullanımlık, kısa ömürlü bir oturum bağlantısı e-posta ile gönderilir. Bu yaklaşım, klasik şifre ihlali senaryolarını yapısal olarak ortadan kaldırır. İleride kurumsal müşteriler için SAML 2.0 ve OIDC tabanlı tek oturum açma (SSO) desteklenecektir.
Yetkilendirme ve erişim kontrolü
Rol bazlı erişim kontrolü (RBAC) kullanılır. Veritabanı seviyesinde Row Level Security (RLS) uygulanır, her sorgu, kullanıcının rolüne ve bağlı olduğu şirket/takım bağlamına göre filtrelenir. Uygulama katmanında ayrıca middleware seviyesinde ikinci bir yetki kontrolü bulunur.
Güvenlik başlıkları
Tüm sayfalara şu başlıklar uygulanır: X-Frame-Options: DENY, X-Content-Type-Options: nosniff, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy: camera=(), microphone=(self), geolocation=() ve HSTS. Platformda Content Security Policy (CSP) sıkı bir allow-list ile yapılandırılır.
Ephemeral credentials (kısa ömürlü kimlik belirteçleri)
Yapay zeka ses sağlayıcılarıyla tarayıcı tarafından kurulan bağlantılar, sunucu tarafında üretilen kısa ömürlü oturum token'ları üzerinden yapılır. Sağlayıcıların asıl API anahtarları hiçbir zaman client bundle'ına düşmez ve tarayıcıdan erişilemez.
DDoS ve bot koruması
Cloudflare üzerinden sağlanan DDoS koruması ve Web Application Firewall (WAF) mevcuttur. Lead capture formu ve herkese açık API uç noktaları, Cloudflare Turnstile bot doğrulaması + IP bazlı rate limit ile korunur.
Log, izleme ve denetim
Erişim, değişiklik ve hata logları merkezi olarak toplanır ve 2 yıl boyunca saklanır. Şüpheli davranış tespiti için anomali kuralları tanımlanmıştır. Log'lar şifreli saklanır ve yalnızca yetkili güvenlik personeli tarafından erişilir.
Yedekleme ve kurtarma
Veritabanı otomatik olarak 30 günlük rolling backup şeklinde yedeklenir. Yedekler şifrelidir ve geri yükleme tatbikatları periyodik olarak yapılır. RPO (veri kaybı toleransı) 24 saat, RTO (kurtarma süresi) 4 saat olarak hedeflenir.
Bağımlılık ve güvenlik açığı yönetimi
Kullanılan açık kaynak kütüphaneleri otomatik güvenlik tarama araçlarıyla izlenir. Kritik güvenlik yamaları, yayımlandıkları gün değerlendirilir. Düzenli olarak bağımsız güvenlik değerlendirmeleri yaptırılır.
İdari Önlemler
Teknik önlemler tek başına yeterli değildir; insan kaynağı ve süreçler de kritik önemdedir. Saltana aşağıdaki idari önlemleri uygular:
- Tüm çalışanlar ve uzun dönem danışmanlar, göreve başlamadan önce gizlilik taahhütnamesi ve kişisel veri işleme sözleşmesi imzalar
- Production ortamına erişim, en az ayrıcalık ilkesi (least privilege) çerçevesinde yalnızca görevini yerine getirmesi gerekli olan ekip üyelerine verilir
- Yeni işe başlama (onboarding) ve ayrılma (offboarding) süreçlerinde erişim yetkileri yapılandırılmış biçimde eklenir veya iptal edilir
- Çalışanlar yıllık kişisel veri güvenliği eğitimi, phishing farkındalık tatbikatları ve güvenli yazılım geliştirme eğitimlerine katılır
- Veri işleme faaliyetleri düzenli olarak iç denetimlere tabi tutulur ve dokümante edilir
- Alt yüklenicilerle yapılan sözleşmelerde veri işleme ve güvenlik hükümleri zorunludur; yeni bir alt yüklenici eklenmeden önce güvenlik değerlendirmesi yapılır
- Kişisel veri saklama ve imha politikası yürürlüktedir; periyodik imha işlemleri planlı biçimde gerçekleştirilir
Alt Yükleniciler
Saltana, hizmet sunumunda güvenilir altyapı sağlayıcılarıyla çalışır. Tüm sağlayıcılar, kabul görmüş güvenlik sertifikalarına (SOC 2 Type II, ISO 27001 veya eşdeğeri) sahiptir ve Saltana ile veri işleme sözleşmesi imzalamıştır.
Yapay zeka sağlayıcılarıyla yapılan sözleşmelerde, Saltana üzerinden iletilen veri içeriğinin model eğitiminde kullanılmayacağı açıkça kararlaştırılmıştır.
Veri Saklama ve İmha
Saklama süreleri, Gizlilik Sözleşmesi ve KVKK Aydınlatma Metni'nde ayrıntılı olarak belirtilmiştir. Süre sonunda veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca silme, yok etme veya anonim hale getirme yöntemlerinden biri ile imha edilir. İmha işlemleri, Saltana'nın periyodik imha takvimine göre yürütülür ve belgelenir.
İş Sürekliliği ve Felaket Kurtarma
Saltana, bir afet veya büyük çaplı arıza halinde hizmet sürekliliğinin sağlanması için aşağıdaki önlemleri almıştır:
- Çoklu bölge (multi-region) barındırma opsiyonu; kritik bileşenler birden fazla coğrafi bölgede çalışır
- Saatlik veritabanı snapshot'ları + günlük tam yedekleme
- Geri yükleme tatbikatları; yedeklerin gerçekten geri yüklenebilir olduğunu doğrulamak için periyodik testler
- Runbook ve escalation planları; kritik olaylarda izlenecek adımların belgelenmesi
- Üçüncü taraf sağlayıcı kesintilerinde devreye alınabilecek yedek sağlayıcı seçenekleri (ör. birden fazla AI modeli sağlayıcısı)
Olay Müdahale ve İhlal Bildirimi
Bir veri ihlali veya güvenlik olayı tespit edildiğinde Saltana, aşağıdaki süreci uygular:
- İlk 24 saat içinde olayın kapsamı değerlendirilir, etkilenen sistemler ve veri setleri belirlenir ve kontamine olmuş bileşenler izole edilir
- KVKK m. 12/5 uyarınca, Kurul'a en kısa sürede ve her halükarda 72 saat içinde bildirim yapılır
- Etkilenen veri sahipleri, makul bir sürede kişisel olarak bilgilendirilir; bu bilgilendirme ihlalin niteliği, olası sonuçları ve alınabilecek önlemleri içerir
- Kök neden analizi yapılır ve benzer olayların tekrarlanmasını önleyecek teknik ve idari iyileştirmeler uygulanır
- İhlal süreci belgelenir ve Saltana'nın iç denetim kayıtlarına işlenir
Saltana'nın olay müdahale ekibi 7/24 ulaşılabilirdir. Kritik olaylarda kurumsal müşterilere doğrudan iletişim kurulur.
Güvenlik Açığı Bildirimi (Responsible Disclosure)
Saltana, güvenlik araştırmacılarının ve etik hacker topluluğunun katkılarını değerli bulur. Bir güvenlik açığı tespit ettiğinizi düşünüyorsanız, aşağıdaki adımları izlemenizi rica ederiz:
- Bulgunuzu hey@saltana.com adresine, konu satırında “Security Disclosure” ibaresiyle iletin
- Açığın etkisini değerlendirebilmemiz için reprodüksiyon adımlarını, etki alanını ve varsa kavram kanıtı (PoC) kodunu paylaşın
- Açığı kamuya duyurmadan önce bize en az 90 gün süre tanıyın, bu süre düzeltme, test ve dağıtım için kullanılır
- Başka kullanıcıların verilerine erişmeyin, hizmeti bozmayın ve sosyal mühendislik yöntemleri kullanmayın
Sorumlu biçimde bildirim yapan araştırmacılara, düzeltmenin ardından açıklamalarımızda teşekkür notu iletiriz. Bu program bir resmi bug bounty programı değildir; parasal ödül taahhüt edilmez ancak önemli katkılar için takdir mektubu ve sembolik hediyeler değerlendirilebilir.
Uyumluluk ve Sertifikalar
Saltana, aşağıdaki çerçevelerle uyum hedefiyle çalışır:
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)
- AB Genel Veri Koruma Tüzüğü (GDPR)
- Kişisel Verileri Koruma Kurulu'nun rehber ve tebliğleri
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
- NIST Cybersecurity Framework (kısmi uygulama)
- OWASP ASVS güvenli yazılım geliştirme standardı
Bağımsız sertifikalandırma (ör. ISO 27001, SOC 2 Type II) Saltana'nın orta vadeli yol haritasında yer almaktadır. Saltana kendi sertifikalarına sahip olana kadar, alt yüklenicilerinin sertifikaları güvence zincirinin parçasıdır.
Güncellemeler ve İletişim
Bu sayfa, Saltana'nın güvenlik uygulamaları ve alt yüklenici listesi değiştikçe güncellenir. Önemli değişiklikler kurumsal müşterilere ayrıca bildirilir. Güvenlik uygulamalarımız hakkında daha fazla bilgi, özel DPA (Data Processing Addendum) veya güvenlik değerlendirmesi talepleri için:
- Genel güvenlik: hey@saltana.com
- Güvenlik açığı bildirimi: hey@saltana.com (konu: Security Disclosure)
Pazartesi sabah
09:00’da hat açık.
Veri talepleri, düzeltme veya silme istekleri için hey@saltana.com adresine yazabilirsin.