Verinizi nasıl koruyoruz
Plaka ve şasi şifreleme, kurumlar arası yalıtım, erişim kaydı ve saklama süreleri. Bu sayfa bugün çalışan sistemi anlatır; bağımsız bir denetim ya da sertifika iddiası içermez.
Plaka ve şasi şifreleme
- Plaka ve şasi numarası veritabanına yazılmadan önce uygulama katmanında AES-256-GCM ile şifrelenir.
- Şifreli değer ait olduğu kuruma bağlıdır; başka bir kuruma ya da kayda kopyalanırsa çözülemez.
- Plakayla arama, kuruma göre tuzlanmış tek yönlü bir özet (HMAC-SHA256) üzerinden yapılır; arama için açık değer kullanılmaz.
- Şifreleme anahtarları veritabanında değil, yalnız uygulamanın çalışma ortamında tutulur.
Kurumlar arası yalıtım
- Kuruma ait her tabloda kurum kimliği ve PostgreSQL satır düzeyi güvenlik (RLS) politikası vardır.
- Uygulama veritabanına bu politikaları aşamayan bir rolle bağlanır; her istek yalnız kendi kurumunun satırlarını görebildiği bir işlem içinde çalışır.
- Kurumlar arası yalıtım, gerçek veritabanıyla çalışan otomatik testlerle her değişiklikte denetlenir.
- Veritabanı sorguları yalnız parametreli yazılır.
Erişim ve denetim kaydı
- Kurum içinde roller (sahip, yönetici, personel, izleyici) ve bunlara bağlı izinler vardır.
- Açık plaka ve şasi yalnız bu izni verilmiş rollere gösterilir; izleyici rolünde bu izin yoktur.
- Her açık plaka ya da şasi gösterimi denetim kaydına yazılır.
- İlan sahiplerinin adı, telefonu ve e-posta adresi hiçbir zaman saklanmaz.
Giriş ve oturum
- Şifre yoktur; giriş, telefonunuza gönderilen tek kullanımlık kodla yapılır.
- Oturum jetonları ES256 ile imzalanır. Erişim jetonu 15 dakikada, yenileme jetonu 30 günde sona erer; yenileme jetonu her kullanımda yenisiyle değiştirilir.
- Panelde oturum çerezleri tarayıcıdaki betiklerin okuyamayacağı biçimde (HttpOnly) tutulur.
- iOS uygulamasında oturum anahtarları cihazın güvenli anahtar deposunda (Keychain) saklanır.
Altyapı ve veri konumu
- Sunucular, veritabanı, dosya depolama, e-posta gönderimi ve yapay zekâ işlemleri Türkiye’dedir.
- Formlardaki bot doğrulaması (Cloudflare Turnstile) ve iOS anlık bildirimleri (Apple) yurt dışındaki hizmet sağlayıcılarla çalışır; ayrıntısı KVKK aydınlatma metnindedir.
- Uygulama IP adresini aşırı istekleri sınırlamak için 60 saniye tutar; form kayıtlarında kötüye kullanım kanıtı olarak tutulan IP 30 gün sonra silinir. Sunucu erişim kayıtlarında IP adresi 730 gün saklanır.
- Yan etkisi olan istekler (ör. form gönderimi) aynı anahtarla tekrar gönderildiğinde ikinci kez işlenmez.
Fotoğraf, belge ve yapay zekâ
- Panel ve iOS uygulaması fotoğrafları yüklemeden önce yeniden kodlar; konum (GPS) dahil dosya üst verileri sunucuya gönderilmez. Tarayıcının açamadığı bazı biçimler (ör. HEIC) olduğu gibi yüklenir.
- Yapay zekâ özellikleri yalnız kullanıcı başlattığında çalışır ve Türkiye’deki altyapıda yürütülür.
- Metin girdilerindeki telefon, e-posta, T.C. kimlik numarası, IBAN, plaka ve şasi işlenmeden önce maskelenir.
- Belge görselleri erişime kapalı depolamada tutulur ve yapay zekâ altyapısına en fazla 5 dakika geçerli bir bağlantıyla verilir.
- Yapay zekâ fiyat üretmez; açıklamalardaki her sayı rapordaki sayılarla otomatik karşılaştırılır.
Geliştirme süreci
- Gizli anahtarlar kodda tutulmaz; çalışma ortamına ayrı olarak verilir.
- Bağımlılık açığı taraması ve statik kod analizi her değişiklikte çalışır; bulgu varsa değişiklik birleştirilmez.
Saklama
Saklama süreleri
Süre dolduğunda veri otomatik silme işleriyle silinir ya da kimliksizleştirilir.
| Veri | Süre |
|---|---|
| Hız sınırı sayacındaki IP adresi | 60 saniye |
| Form kayıtlarındaki IP adresi ve tarayıcı bilgisi | 30 gün |
| Form kayıtları (iletişim, demo, bekleme listesi, itiraz) | 365 gün |
| Değerleme kayıtları | 730 gün (favoriye alınanlar hariç) |
| Stokun otomatik yeniden değerlemeleri | 90 gün |
| Silinen aracın şifreli plaka ve şasisi | Silmeden 180 gün sonra |
| Yapay zekâ işlem kaydı (içerik taşımaz) | 180 gün |
| Yapay zekâ altyapısındaki işlem kayıtları | 7 gün |
| Ham ilan sayfası (kişisel veri alanları ayıklanmış) | 30 gün |
| Yayından kalkan ilanın kaynak bağlantısı | 90 gün |
| Yayından kalkan ilanın olgu verisi | 24 ay |
Ayrıntılı açıklama gizlilik politikasında ve KVKK aydınlatma metninde. Bir güvenlik açığı bulduğunuzu düşünüyorsanız bize yazın.