Güvenlik Genel Bakışı

İçindekiler

1. 1. Kısaca
2. 2. Verileriniz nerede tutulur
3. 3. Şifreleme
4. 4. Her işletmenin verilerini ayrı tutma
5. 5. Oturum açma koruması
6. 6. Denetim kaydı ve kurcalama tespiti
7. 7. Yedekler ve kurtarma
8. 8. Ödemeler ve para
9. 9. Yapay zekâ
10. 10. Ekibimizin erişimi
11. 11. İzleme ve olay müdahalesi
12. 12. Sertifikalar
13. 13. Neler yapabilirsiniz
14. 14. Bir güvenlik açığının bildirilmesi

Sürüm: 1.2 · Yayımlanma: 16 Ekim 2026 · Yürürlük: yeni Çalışma Alanları için kabul anında; daha önceki bir Sürümü kabul eden Çalışma Alanları için, STAK’ın Müşteri Hizmet Şartlarının 20 numaralı maddesi uyarınca bildiriminde verdiği tarihte · Geçerli metin: İngilizce (Müşteri Hizmet Şartlarının 23.9 numaralı maddesi)

Düzenleyen: Delaware Eyaleti, Amerika Birleşik Devletleri’nde kurulmuş bir limited şirket olan STAK Global, LLC (dosya numarası 10798493), STAK (ستاك) ve Hizmetlerin sahibidir. İletişim: [email protected].

Bu Güvenlik Genel Bakışı, bu Sürümün Yürürlük Tarihi itibarıyla durumun nasıl olduğunu esas alarak, işletmenizin verilerini nasıl koruduğumuzu ve bunların kopyalarını nasıl tuttuğumuzu sade bir dille açıklar. Bu değiştiğinde güncelleriz. Yalnızca bilgilendirme amaçlıdır. Sözleşmesel taahhütlerimiz Veri İşleme Sözleşmesindedir. STAK Müşteri Hizmet Şartlarında tanımlanan ifadeler bu Güvenlik Genel Bakışında aynı anlama sahiptir.

1. Kısaca

• Verileriniz aktarılırken ve sistemlerimizde saklanırken şifrelenir.
• Her işletmenin verileri, veritabanının kendisinde diğer tüm işletmelerin verilerinden ayrı tutulur.
• Sürekli Yedekler alır, günlük ve aylık kopyaları erken silinmeye karşı korunarak başka bir ülkede saklarız.
• Kart numaralarını saklamayız ve paranızı hiçbir zaman almayız veya tutmayız.
• Her önemli değişiklik, hiçbir Kullanıcının değiştiremeyeceği bir denetim kaydına işlenir.
• Şu anda ISO 27001 sertifikasına veya SOC 2 raporuna sahip değiliz. Bunları elde ettiğimizde bunu burada belirteceğiz.

2. Verileriniz nerede tutulur

2.1 Hizmetler, Federal Almanya Cumhuriyeti’nde, Frankfurt bölgesinde Amazon Web Services bulut altyapısı üzerinde çalışır. Yedekler, İrlanda Cumhuriyeti’ndeki ayrı bir Amazon Web Services bölgesine kopyalanır. Bu ayrım, birincil barındırma bölgesinin tamamı arızalansa bile verilerinizin bir kopyasının tutulabileceği anlamına gelir.

2.2 Gelecekte barındırmayı başka bir bölgeye taşıyabiliriz. Sizi en az 30 gün önceden bilgilendiririz. Birincil barındırma bölgesinin kaybedilmesinden sonra Hizmetlerin geçici olarak İrlanda Cumhuriyeti’ndeki Yedeklerden çalıştırılması bir taşıma değildir ve size bunu gecikmeksizin bildiririz.

2.3 STAK, Amerika Birleşik Devletleri’nde kurulmuş bir şirket olan STAK Global, LLC tarafından sağlanır. Barındırma sağlayıcımız ve bazı hizmet sağlayıcılarımız da Amerika Birleşik Devletleri hukukuna tabidir. Verilerinizi, Veri İşleme Sözleşmesinin 13 numaralı maddesinde belirtildiği şekilde herhangi bir hükümetin hukuka aykırı erişimine karşı koruruz: verileri yalnızca bağlayıcı bir talep üzerine ifşa eder, kanun yasaklamıyorsa size bildirir, ifşayı asgari düzeyle sınırlar ve makul olarak hukuka aykırı gördüğümüz taleplere itiraz ederiz. Verileriniz saklanırken ve aktarılırken şifrelenir.

3. Şifreleme

3.1 Hizmetlere yapılan her bağlantı TLS 1.2 veya daha yeni sürümle şifrelenir ve uygulama her bağlantıda veritabanı sunucusunun kimliğini doğrular.

3.2 Veritabanları, diskler, dosyalar, Yedekler ve sır deposu, Amazon’un anahtar yönetimi hizmeti üzerinden veya barındırma sağlayıcısı tarafından yönetilen anahtarlarla AES-256 ile depolanırken şifrelenir.

3.3 Çalışanlarınızın dosyaları ve klinik kayıtlar uygulama içinde ayrıca ayrı anahtarlarla şifrelenir; Ödeme Hizmeti Sağlayıcılarına ve diğer sağlayıcılara bağlanma anahtarları ise ayrı bir anahtarla şifrelenmiş ayrı bir sır deposunda tutulur.

4. Her işletmenin verilerini ayrı tutma

4.1 Veritabanındaki bir işletmenin verilerine ait her kayıt, ait olduğu İşletmenin tanımlayıcısını taşır. Veritabanının kendisi, uygulamanın başka bir İşletmenin kayıtlarını okumasını veya yazmasını engelleyen satır düzeyinde güvenlik kurallarını uygular. Bu, uygulamanın kendi kontrollerinin altında bağımsız bir koruma katmanıdır.

4.2 Uygulamanın kullandığı veritabanı hesabının bu kuralları aşma yetkisi yoktur.

5. Oturum açma koruması

5.1 Şunlarla oturum açabilirsiniz:

• doğrulanmış bir numaraya WhatsApp ile gönderilen bir doğrulama kodu;
• yüz veya parmak izi tanıma kullanan bir geçiş anahtarı;
• bir Google, Apple veya Microsoft hesabı.

Oturum açtıktan sonra ikinci adım olarak bir kimlik doğrulayıcı uygulama kullanılabilir. Parola kullanmayız.

5.2 Belirli roller için iki adımlı oturum açmayı zorunlu kılabilirsiniz ve herhangi biri doğrulama yöntemlerini değiştirdiğinde Sahipler ve Yöneticiler uyarılır. Her kişi, kendi Hesabı yeni bir cihazdan kullanıldığında uyarılır. Bunları içeren Planlarda ayrıca bir oturum boşta kalma zaman aşımı belirleyebilirsiniz ve biri yeni bir cihazdan oturum açtığında Sahipler uyarılır.

5.3 Her Personele tanımlı bir rol ve izinler verilir ve erişimi belirli Şubelerle sınırlandırılabilir. Paylaşılan Cihazlardaki personel altı haneli bir kişisel kimlik numarası (PIN) kullanır ve bununla oturum açma beş yanlış denemeden sonra kilitlenir.

6. Denetim kaydı ve kurcalama tespiti

6.1 Her önemli değişiklik, kim tarafından, ne zaman, nereden ve hangi IP adresinden yapıldığıyla birlikte bir denetim kaydına işlenir. Hiçbir Kullanıcı bu kaydı değiştiremez veya silemez; yalnızca bir Son Müşterinin verilerinin silinmesi talebi yerine getirilirken, yapılan işlem, yapan kişi ve zaman korunarak o kişinin kimliği kayıttaki girdilerden kaldırılır. Kayıt, Şartlar uyarınca fesih halinde Müşteri Verileriyle birlikte silinir.

6.2 Muhasebe kayıtları, sonraki herhangi bir değişikliği ortaya çıkaran bir zincirle birbirine bağlanır ve bütünlüklerini Güvenlik sayfasından kontrol edebilirsiniz.

7. Yedekler ve kurtarma

7.1 Veritabanlarının, son 35 gün içindeki herhangi bir ana geri yüklenmesini sağlayan sürekli Yedeklerini alırız. Ayrıca şunları da alırız:

• 35 gün saklanan günlük Yedekler;
• 12 ay saklanan aylık Yedekler;
• her gece veritabanının, 35 gün boyunca kilitli depolamada tutulan mantıksal bir Yedeği (bir veritabanı dökümü).

7.2 Günlük ve aylık Yedekler İrlanda’ya kopyalanır. Frankfurt ve İrlanda’daki yedek kasalarının politikası, kendi ekibimiz dahil hiç kimsenin bir Yedeği saklama süresi dolmadan silmesini veya bu süreyi değiştirmesini engeller. Kasalar ayrıca barındırma sağlayıcısının uyumluluk modunda kilitlenir; bu mod, barındırma sağlayıcısındaki hesaplarımızdan birini ele geçirebilecek kişi dahil hiç kimsenin bir Yedeği ilk 35 gününde silememesini sağlayacak şekilde tasarlanmıştır.

7.3 Her ay veritabanının Yedeklerden geri yüklenmesini test ederiz. Bir veritabanı arızalanırsa en fazla 15 dakikalık, barındırma bölgesinin tamamı kaybedilirse en fazla 24 saatlik veri kaybı yaşamayı, Hizmet Seviyesi Sözleşmesindeki kurtarma hedefleri doğrultusunda hedefleriz.

7.4 Yedekleri hizmeti geri yüklemek için tutarız, sizin için bir arşiv olarak değil. Bu yüzden lütfen verilerinizi Plan ve faturalama sayfasından veya her Uygulamadan düzenli olarak dışa aktarın.

8. Ödemeler ve para

8.1 Hizmetler, kart numaralarının sistemlerimizden geçmeyeceği ve orada saklanmayacağı şekilde tasarlanmıştır: ödeme, Ödeme Hizmeti Sağlayıcılarının kendi sayfalarında veya onların sertifikalı kart kabul terminallerinde ve uygulamalarında gerçekleşir. Hizmetlerin ekranlarında kart numaraları veya güvenlik kodları için alan bulunmaz ve Güvenlik sayfasından, yanlışlıkla girilen kart numaraları için metin alanlarının taranmasını isteyebilirsiniz.

8.2 Paranız doğrudan Ödeme Hizmeti Sağlayıcısından banka hesabınıza aktarılır. Onu hiçbir zaman almayız veya tutmayız.

8.3 STAK’ta kayıtlı, ödeme aktarımlarını almak için kullanılan banka hesabının değiştirilmesi ek bir doğrulama adımı gerektirir ve ancak 48 saat sonra yürürlüğe girer. Sahipler, iptal edebilmeleri için derhal uyarılır.

9. Yapay zekâ

9.1 Veriler yapay zekâ sağlayıcısına yalnızca bir Kullanıcı bir Yapay Zekâ Özelliği talep ettiğinde, bir fiş gibi bir belgeyi bir Yapay Zekâ Özelliğinin okuması için yüklediğinde veya bir Kullanıcının kurduğu bir otomasyon bir yapay zekâ adımı çalıştırdığında gönderilir ve yalnızca o istek veya adım için gereken veriler gönderilir.

9.2 Verileriniz yapay zekâ modellerini eğitmek için kullanılmaz. Yapay Zekâ Özellikleri bir kaydı yalnızca sizin açık onayınızdan sonra veya yetkili bir Kullanıcının kurup etkinleştirdiği bir otomasyon kapsamında değiştirir.

10. Ekibimizin erişimi

Üretim Ortamına erişim, sınırlı sayıda adı belirtilmiş personelle sınırlıdır ve çok faktörlü kimlik doğrulama gerektirir; her erişim oturumunun başlangıcı kaydedilir. Sunuculara yönetimsel erişim yalnızca Amazon’un sistem yönetimi hizmeti üzerinden yapılır, sunuculara doğrudan oturum açılmaz.

Verilerinize yalnızca şu hallerde bakarız:

• talep ettiğiniz desteği sağlamak için;
• Hizmetleri işletmek, sürdürmek ve geri yüklemek için;
• bir Güvenlik Olayını veya Kabul Edilebilir Kullanım Politikasının şüphelenilen bir ihlalini araştırmak için;
• kanunun gerektirdiği hallerde.

11. İzleme ve olay müdahalesi

11.1 Bulut altyapısını günün her saati otomatik olarak izleriz ve ekibimize anında uyarılar iletilir. Bulut altyapısındaki her yönetimsel eylem kaydedilir; tehditler ve fazla yetkiler otomatik olarak tespit edilir.

11.2 Bir Kişisel Veri İhlali verilerinizi etkilerse sizi gereksiz gecikmeden bilgilendiririz: mümkün olduğunda öğrenmemizden itibaren 24 saat içinde ve her halükarda 48 saat içinde. Neler olduğunu ve bu konuda neler yaptığımızı size bildiririz.

12. Sertifikalar

Şu anda ISO 27001 sertifikasına veya SOC 2 raporuna sahip değiliz. PCI DSS sertifikasına da sahip değiliz; çünkü Hizmetler, kart verilerinin sistemlerimizden geçmeyeceği şekilde tasarlanmıştır: bunlar Ödeme Hizmeti Sağlayıcılarının kendi sayfalarında veya sertifikalı terminallerinde ve uygulamalarında işlenir. Hizmetlere bağladığınız Ödeme Hizmeti Sağlayıcılarının kendi sertifikaları vardır. Gelecekte elde ettiğimiz her sertifikayı burada listeleyeceğiz.

Kart ödemelerini STAK sayfalarınız üzerinden alıyorsanız alıcı Ödeme Hizmeti Sağlayıcınızın kendi sayfasına yönlendirilir veya onun sertifikalı terminallerini ve uygulamalarını kullanırsınız; böylece STAK’ın sayfaları hiçbir zaman kart verisi toplamaz. Kendi PCI DSS yükümlülüklerinizi Ödeme Hizmeti Sağlayıcınızla kontrol edin; böyle bir yönlendirme kullanan bir işletme genellikle en kısa öz değerlendirme anketini (SAQ A) tamamlar. STAK, PCI DSS sertifikasına sahip olduğunu iddia etmez.

13. Neler yapabilirsiniz

• Sahipler ve Yöneticiler için iki adımlı oturum açmayı etkinleştirin.
• Her Personele yalnızca işinin gerektirdiği izinleri verin ve ayrılan herkesin erişimini derhal kaldırın.
• Verilerinizi düzenli olarak, en az ayda bir kez dışa aktarın.
• Herhangi bir Cihazı silmeden veya Cihazdan çıkış yapmadan önce, çevrimdışı kaydedilen satışların eşitlenmesi tamamlanana kadar satış noktası Cihazlarını bağlı tutun.
• Cihazlarınızın sistemlerini ve tarayıcılarını güncel tutun.
• Şüpheli her faaliyeti derhal bize bildirin.

14. Bir güvenlik açığının bildirilmesi

Bir güvenlik açığı keşfederseniz bize [email protected] adresinden e-posta gönderin. Bildirimleri gizlilik içinde ele alırız. Kabul Edilebilir Kullanım Politikasının 10 numaralı maddesindeki sınırlar içinde iyi niyetli güvenlik testlerine izin veririz ve bu sınırlar içinde kalan ve güvenlik açığını bize gecikmeksizin bildiren hiç kimseye karşı şikâyette veya talepte bulunmayız.