Bu metinler taslaktır ve hukuki incelemeden geçmektedir. · Sürüm 1.2

Bilgi Güvenliği (TASLAK)

Son güncelleme: 13 Ekim 2026 (taslak)

Bu sayfa, Guestkite'ın işletmelerin ve misafirlerinin verisini nasıl koruduğunu anlatır. Burada yalnız bugün gerçekten yaptıklarımız yazar; yapmadığımız bir şeyi (örneğin bir sertifika) yazmayız. Bir açık bulduğunuzu düşünüyorsanız: support@guestkite.com (bkz. m.8).

1. Altyapı ve verinin yeri

• Guestkite, Cloudflare altyapısında çalışır (Workers, Durable Objects, D1, R2). Veriler Cloudflare'in veri merkezlerinde, yurt dışında saklanır; bu aktarımın hukuki dayanağı Gizlilik Politikası ve Alt İşleyenler sayfalarında yazılıdır.
• Cloudflare depolanan veriyi diskte şifreler. Tarayıcı ile sunucu arasındaki her bağlantı HTTPS ile şifrelidir.
• Her işletmenin verisi ayrı bir veri birimindedir. Bir işletmenin mesajları, misafirleri ve ayarları başka bir işletmeninkilerle aynı tabloda tutulmaz.
• Deneme ortamı (staging) canlı ortamdan tamamen ayrıdır: ayrı veritabanı, ayrı depolama, ayrı anahtarlar. Canlı veri deneme ortamına taşınmaz.

2. Şifreleme ve anahtarlar

• İşletmelerin Telegram bot anahtarları ve entegrasyon şifreleri veritabanında AES-GCM ile şifreli saklanır; panelde bir daha gösterilmez.
• API anahtarları yalnız tek yönlü özet (SHA-256) olarak saklanır; anahtarın kendisini biz de göremeyiz.
• Şifreleme anahtarları yalnız sunucu tarafında, Cloudflare'in gizli değer deposunda durur; hiçbir uygulamaya ya da tarayıcıya gönderilmez.

3. Giriş ve yetki

• Panelde şifre yoktur. Giriş, Telegram hesabına gönderilen tek kullanımlık kodla yapılır; kod denemeleri sınırlıdır.
• Oturum çerezi yalnız sunucunun okuyabildiği biçimdedir (HttpOnly, SameSite) ve 30 gün sonra kendiliğinden biter. "Diğer tüm cihazlarda çıkış yap" ile bütün oturumlar sunucu tarafında kapatılır.
• Roller: sahip, yönetici, personel. Personel ayarları ve faturaları göremez, değiştiremez. Her istekte yetki yeniden kontrol edilir.
• Ekip bağlantısıyla katılan kişi, sahip ya da yönetici onaylamadan hiçbir misafir mesajı almaz.
• Guestkite çalışanlarının yaptığı her yönetim işlemi (askıya alma, abonelik, geri yükleme vb.) silinmeyen bir işlem kaydına yazılır.

4. Mesaj güvenliği

• Ekipten misafire giden her mesaj gönderilmeden önce kontrol edilir: hakaret, kişisel veri sızıntısı ve spam durdurulur.
• Bir ekip grubuna yeni katılan kişinin misafire ilk cevabı, grup yöneticisi onaylamadan gönderilmez.
• Misafirden gelen fotoğraflar uygunsuz içerik denetiminden geçer; dosyalar herkese açık bir adreste durmaz, yalnız süreli imzalı bağlantıyla açılır ve 30 gün sonra silinir.
• Hız sınırları: bir misafirin ya da bir API anahtarının kısa sürede gönderebileceği istek sayısı sınırlıdır.

5. Yedekleme ve geri dönüş

• Her gece her işletmenin verisinin AES-256-GCM ile şifrelenmiş bir kopyası ayrı bir depolama alanına alınır ve 30 gün saklanır.
• Bir hata ya da veri bozulması olursa işletmenin verisi bir yedekten ya da son 30 gün içindeki bir ana geri alınabilir. Geri yüklemede, yedekten sonra verisini silen misafirler yeniden silinir; kaldırılmış bir ekip yetkisi geri gelmez.
• Yayına çıkan her yeni sürüm önce otomatik testlerden ve ayrı deneme ortamından geçer.

6. Verinin silinmesi ve saklanması

• Misafir, sohbette "🔒 Gizlilik" → "Verilerimi sil" ile kendi verisini tek dokunuşla silebilir.
• İşletme saklama süresini kendisi seçer (90, 180, 365 ya da 730 gün); süresi dolan konuşmalar kendiliğinden silinir.
• Kapatılan bir işletmenin bütün verisi 30 gün sonra, yedekleriyle birlikte silinir.
• İşletme verisini istediği zaman panelden dışa aktarabilir; dışa aktarılan dosyada şifre, anahtar ya da token bulunmaz.

7. Yapay zekâ

• Çeviri, sesli mesaj ve asistan için yapay zekâ modelleri kullanılır. Mesajlar hiçbir modeli eğitmek için kullanılmaz (Kullanım Şartları m.6.3).
• Asistan yalnız işletmenin onayladığı bilgilerden cevap verir.

8. Güvenlik açığı bildirimi ve olay yönetimi

• Bir açık bulduğunuzu düşünüyorsanız ayrıntıları support@guestkite.com adresine yazın. Bildirimi aldığımızı en geç 2 iş günü içinde teyit ederiz. İyi niyetle yapılan bildirim nedeniyle hukuki yola başvurmayız.
• Kişisel veri ihlali olursa Kişisel Verileri Koruma Kurulu'na ve etkilenen işletmelere KVKK'nın öngördüğü süre içinde (en geç 72 saat) bildirim yapılır.

9. Bilmeniz gerekenler

• Guestkite henüz ISO 27001 gibi bir bilgi güvenliği sertifikasına sahip değildir.
• Telegram'ın kendi altyapısı Guestkite'ın kontrolünde değildir; Telegram'dan gelen ve giden mesajlar Telegram'ın kurallarına tabidir.