GDPR Politikası
Son güncelleme: 17 Ekim 2026 · v3.4 · v3.4'teki değişiklikler: bölüm 4.3 ve 5 — sözleşme sonunda müşteriye, denetim izi silinmeden önce eksiksiz bir dışa aktarım yapılır; müşterinin bunu yazılı olarak reddetmesi veya makul girişimlerin ardından kendisine ulaşılamaması hâli hariç. YARDtwin ardından denetim kayıtlarını yalnızca müşterinin yazılı talimatı üzerine saklar; yedekler kendi programlarına göre sona erene kadar ve devir teslim kaydı hariç.
Geçerli Mevzuat: AB Genel Veri Koruma Tüzüğü (2016/679), İrlanda Veri Koruma Kanunu 2018
1. Taahhüdümüz
YARDtwin Ltd, Genel Veri Koruma Tüzüğü'ne (GDPR) tam uyum sağlamayı taahhüt etmektedir. Hem veri sorumlusu (kendi müşteri verileri için) hem de veri işleyici (müşterileri adına operasyonel verileri işlerken) olarak, kişisel verileri her aşamada korumak için gerekli teknik ve organizasyonel önlemleri uyguluyoruz.
2. Roller ve Sorumluluklar
3. Veri İşleme Sözleşmesi (DPA)
Tüm müşteriler, self-servis DPA sayfası aracılığıyla Veri İşleme Sözleşmemizi inceleyebilir ve kabul edebilir. Ücretli plandaki müşteriler, Veri İşleme Sözleşmesi’ni incelemek üzere dpo@yardtwin.com adresinden talep edebilir; karşılıklı imzalanmış sürüm, şirket tescili tamamlandıktan sonra düzenlenir.
4. Teknik Önlemler (GDPR Madde 32)
İletim sırasında tüm veriler şifrelenir (TLS 1.2+). Parolalar bcrypt ile hashlenir (12 tur). PostgreSQL Flexible Server, bekleyen verilerde şeffaf veri şifrelemesi kullanır. Azure Blob Storage, bekleyen verilerde şifrelidir. Sürücü belgesi görselleri ve imzalar, Azure Storage ve Azure Database for PostgreSQL tarafından bekleme sırasında AES-256 ile şifrelenir (Microsoft tarafından yönetilen anahtarlar) ve bunlara erişim role ve kuruluşa göre sınırlandırılır. JWT token'ları kriptografik olarak imzalanmıştır (HS256). Gizli bilgiler, App Service yönetilen kimliği tarafından erişilen Azure Key Vault aracılığıyla yönetilir; kod, ortam dosyaları veya konteyner görüntülerinde gizli bilgi bulunmaz.
Kimlik doğrulamalı rotalarda rol tabanlı erişim kontrolü (RBAC) uygulanmakta olup kiracı kapsamı sunucu tarafında zorunlu kılınmaktadır. Kiracı izolasyonu her sürümden önce otomatik olarak test edilir: sürüm geçiş kontrolündeki çapraz kiracı taraması, API'yi bir kuruluş kimliğiyle başka bir kuruluşun kayıt ID'lerine sahip olarak çağırır ve o kuruluşun verilerinden herhangi biri okunabilir ya da değiştirilebilirse sürüm engellenir. Tek oturum açma (SAML 2.0, Google, Microsoft); zamana dayalı tek kullanımlık şifre MFA, platform yöneticileri için zorunlu, tüm kullanıcılar için kullanılabilir.
Kullanıcı eylemlerinin eksiksiz denetim günlüğü: kullanıcı kimliği, zaman damgası, IP adresi, eylem fiili, etkilenen varlık, eski ve yeni değerler. GMP ile ilgili eylemler ayrıca işaretlenir (is_gmp_relevant=1). Değiştirme kanıtı sağlayan ve yalnızca eklemeye izin veren yapı; veritabanında karma zinciriyle zorunlu kılınmıştır. GMP ile ilgili kayıtlar, hizmet sözleşmesi süresince en az 7 yıl; diğer denetim kayıtları ise 365 gün saklanır. Art. 17 kapsamındaki silme taleplerinde takma adlı hâle getirilmiş olarak tutulur, silinmez (Art. 17(3)(b) yasal yükümlülük istisnası). Sözleşme sonunda müşteriye, denetim izi arşivinin tamamı silinmeden önce teslim edilir; müşterinin teslimi yazılı olarak reddetmesi veya makul girişimlere rağmen kendisine ulaşılamaması hâlinde bu durum kaydedilir. YARDtwin, arşivi yalnızca müşterinin yazılı talimatı üzerine daha uzun süre saklar; süresi dolana kadar yedekler ve teslimatın kendi kaydı bu kuralın dışındadır.
Microsoft Azure'da barındırılır (Sweden Central + Norway East, AEA). Hazırlama slotu değişimiyle Azure Container Registry üzerinden dağıtılan kapsayıcılı App Service. Trafik, Önleme modunda Web Uygulama Güvenlik Duvarı olan Azure Front Door üzerinden uygulamaya ulaşır; veritabanı yalnızca Azure hizmetlerinden ve yönetici IP izin listesinden bağlantı kabul eder. Postgres "sütun / ilişki mevcut değil" hatalarında (15 dakikalık pencere) şema kayması uyarısı içeren Application Insights. Her dağıtımda uçtan uca /health/db-write probu, uygulamanın veritabanına yazıp okuyabildiğini doğrular.
Yalnızca hizmet sunumu için gerekli verileri topluyoruz. İsteğe bağlı sürücü alanları (telefon, e-posta), müşterinin süreci izin verdiği durumlarda boş bırakılabilir. Kapı personeli, kapı kanıtı olarak sürücünün yüz fotoğrafını çekebilir. Bir sitenin yapay zeka yüz karşılaştırması özelliğini etkinleştirmesi durumunda, yapay zeka sağlayıcımız (Anthropic) bu fotoğrafı, personelin sürücü kimliğini doğrulamasına yardımcı olmak amacıyla ehliyet fotoğrafı veya sürücünün kayıtlı fotoğrafıyla birebir karşılaştırır. Sonuç bir tavsiye niteliğindedir: kararı kapı personeli verir ve bir gerekçe sunarak karşılaştırmanın doğrulamadığı bir sürücüyü kabul edebilir. Her karşılaştırma, sonucuyla birlikte sunucularımıza kaydedilir. Yüz karşılaştırması kapalı olduğunda (varsayılan durum), yapay zeka sağlayıcısına herhangi bir yüz fotoğrafı gönderilmez ve personel sürücüyü ehliyet fotoğrafıyla bizzat karşılaştırır; yapay zeka okuma etkin olduğunda ehliyet görselleri yine de yapay zeka tarafından okunur. YARDtwin, yüz şablonu saklamaz ve bire-çok tanımlama yapmaz. Bülten yalnızca e-posta ve isteğe bağlı şirket adı toplar.
Her pull request birleştirilmeden önce npm audit (bağımlılık güvenlik açıkları), Semgrep (statik analiz) ve gitleaks (gizli tarama) kontrollerinden geçmek zorundadır; Trivy konteyner imajı taraması ise tavsiye niteliğinde bir kontrol olarak uygulanır. Bu kontroller ayrıca master'a yapılan her push ve gece yarısı çalıştırılır; üretim sitesine yönelik tavsiye niteliğinde bir OWASP ZAP temel taraması (dinamik test) da bu sürecin parçasıdır. Dependabot uyarıları, bağımlılıklarımızdaki yeni açıklanan güvenlik açıklarını raporlar.
5. Veri Sahibi Hakları (GDPR Bölüm III)
Tüm veri sahibi haklarının kullanımını kolaylaştırıyoruz:
POST /api/v1/dsar/erase/by-email bu işlem, doğrulanmış bir talep üzerine, seçilen müşteri hesaplarındaki ilgili kişinin kendi kullanıcı hesaplarını takma adlı hâle getirir; oturumlarını, tokenlarını, bildirimlerini, bekleyen davetlerini, bülten ve kayıt kayıtlarını ile kendi avatarını siler. Müşteri tarafından tutulan operasyonel kayıtlar (rezervasyonlar, kapı ve ziyaret kayıtları, sürücü listesi, kişiler), veri sorumlusu sıfatıyla müşterinin kayıtlarıdır ve müşterinin harekete geçmesi için listelenir. Denetim izi, GMP bütünlüğü için takma adlı bir aktör referansı saklar; GMP ile ilgili denetim verileri, hizmet sözleşmesi süresince en az 7 yıl tutulur (Art. 17(3)(b) yasal yükümlülük istisnası), sözleşme sonunda müşteriye dışa aktarılır (yazılı olarak reddetmesi veya makul girişimlere rağmen kendisine ulaşılamaması hâli hariç) ve ardından silinir.6. Rıza Yönetimi
Bülten: Açık rıza (opt-in) gereklidir. Rıza zaman damgası ve IP adresi kaydedilir. Her iletişimde abonelikten çıkma bağlantısı bulunur. Rıza, hizmet erişimini etkilemeksizin istediğiniz zaman geri çekilebilir.
Hizmet Koşulları: Hesap oluşturma, Hizmet Koşulları'nın kabulü anlamına gelir (sözleşmesel dayanak). Kullanıcılar kayıt sırasında veri işleme hakkında bilgilendirilir.
Çerezler: ePrivacy Direktifi'ne uygun olarak ilk ziyarette bir çerez onay afişi görüntülenir. Kullanıcılar yalnızca zorunlu çerezleri veya tüm çerezleri seçebilir. Tercihler yerel olarak saklanır ve her zaman değiştirilebilir.
7. Veri İhlali Prosedürleri (Md. 33-34)
Otomatik Algılama: Bir ihlal izleme worker'ı, denetim günlüğünü her 5 dakikada bir kontrol eder ve aşağıdaki ilk üç anomaliyi olası olaylar olarak kaydeder; diğer üçü ayrı Azure izleme uyarılarıdır:
- Bir saatte bir e-posta adresi için ≥10 başarısız giriş denemesi
- 24 saatte bir e-postayı hedef alan ≥5 farklı kaynak IP
- Son 30 gün içinde söz konusu kullanıcı için daha önce görülmemiş bir kaynak IP'den başarılı giriş
- 5 dakikalık pencerede 10'dan fazla sunucu hatası (HTTP 5xx)
- Postgres "column / relation does not exist" hataları (şema kayması, App Insights)
- Web sitesi kullanılabilirlik testinin (her 10 dakikada bir çalıştırılır) başarısız olması veya yavaş yanıt vermesi
İhlal Kaydı: Her algılanan anomali, breach_register tablosuna bir durum makinesiyle (algılandı → araştırılıyor → doğrulandı → bildirildi → kapatıldı), önem derecesi, kapsam, etkilenen veri sahipleri, DPC son tarihi geri sayımı ve denetim geçmişiyle birlikte yazılır. SuperAdmin "İhlal Kaydı" panelinde görüntülenebilir.
Uyarı Yönlendirme: Algılama olayları Azure Monitor Action Group'a yönlendirilir yardtwin-breach-actions, kurucunun iletişim adresi olan admin@yardtwin.com'a e-posta gönderir. Şema kayması olayları mevcut yardtwin-schema-drift-actions grubunu kullanır.
Değerlendirme: Algılamadan itibaren 24 saat içinde teknik ekip, ihlal kaydı panelinde olayı inceler: kapsam, etkilenen veri sahipleri, önem derecesi (Md. 33(1) "hak ve özgürlüklere yönelik risk" kriteri) ve temel neden.
DPC'ye Bildirim (Md. 33): Risk oluşturan bir ihlalden haberdar olunmasından itibaren 72 saat içinde. Olay şu durumla işaretlendiğinde ihlal kaydı paneli canlı bir 72 saatlik geri sayım sayacı gösterir: doğrulandı.
Veri Sahiplerine Bildirim (Md. 34): İhlalin hak ve özgürlükleri açısından yüksek risk oluşturması durumunda gereksiz gecikme olmaksızın.
Müşterilere Bildirim: Etkilenen kiracı yöneticileri, kiracı verilerini etkileyen bir kişisel veri ihlalinin farkına varılmasından itibaren 48 saat içinde ve gereksiz gecikme olmaksızın bildirilir; söz konusu verileri etkileyen onaylı herhangi bir güvenlik olayında ise 24 saat içinde ilk bildirim yapılır.
Belgeleme: İhlal kaydındaki her giriş, harici bildirim gerekip gerekmediğinden bağımsız olarak otomatik silme olmaksızın saklanır.
8. Alt İşleyiciler
| Alt İşleyici | Amaç | Konum | Güvenceler |
|---|---|---|---|
| Microsoft Azure | Barındırma, veritabanı ve dosya depolama | AEA — İsveç Orta ve Norway East (yüklenen dosyaların Norway West'teki coğrafi yedek kopyası) | Microsoft Ürünleri ve Hizmetleri DPA; veriler AEA'da kalır |
| Anthropic | Sürücü ehliyetleri ve belgelerinin AI ile okunması (varsayılan olarak açık; bir site yöneticisi kapatabilir), sürücünün kapı fotoğrafının ehliyet veya kayıtlı sürücü fotoğrafıyla birebir karşılaştırılması (varsayılan olarak kapalı; bir site yöneticisi açıp kapatabilir) ve uygulama içi asistan | ABD | Standart Sözleşme Maddeleri ve bir aktarım etki değerlendirmesi (AB-ABD Veri Gizlilik Çerçevesi kapsamında sertifikalı değil); API verileri model eğitimi için kullanılmaz ve Anthropic'in standart ticari koşulları kapsamında 30 gün içinde silinir |
| Resend | İşlemsel e-posta | ABD | Standart Sözleşme Maddeleri (AB-ABD Veri Gizlilik Çerçevesi yeniden sertifikasyonu inceleme aşamasındadır) |
| Stripe | Faturalandırma iletişim ve ödeme verileri (YARDtwin kart numarası saklamaz) | AB / ABD | Standart Sözleşme Maddeleri; PCI DSS Seviye 1 |
| Twilio | SMS ve WhatsApp bildirimleri (yalnızca müşteri tarafından etkinleştirilmişse) | ABD | Standart Sözleşme Maddeleri |
| Google ve Microsoft | Oturum açma kimlik verileri (yalnızca müşteri bu oturum açma seçeneklerini kullanıyorsa) | AB / ABD | Standart Sözleşme Maddeleri / AB-ABD Veri Gizliliği Çerçevesi |
| ElevenLabs | İsteğe bağlı metinden sese dönüştürme: araç plakaları gibi operasyonel ayrıntılar içerebilen uygulama içi asistan yanıtlarını ve genel sayfalardaki sesi seslendirir | ABD | AB-ABD Veri Gizlilik Çerçevesi + Standart Sözleşme Maddeleri |
Müşteriler, yukarıda listelenen alt işleyiciler için genel yazılı yetkilendirme verir. Yeni bir alt işleyici için en az 30 gün önceden bildirim yaparız; bir müşteri makul gerekçelerle itiraz edebilir ve itiraz çözüme kavuşturulamazsa etkilenen hizmeti cezasız olarak sonlandırabilir.
Yalnızca web sitesi hizmetleri (müşteri operasyonel verisi yok)
Bunlar yalnızca herkese açık web sitesinde çalışır. Hiçbir müşteri operasyonel verisi almaz ve bu verinin alt işleyicisi değildir; çerez kullananlar yalnızca onay ile yüklenir.
| Sağlayıcı | Amaç | Konum | Transfer güvencesi |
|---|---|---|---|
| LinkedIn Insight Tag | Herkese açık sayfalarda pazarlama ölçümü — yalnızca pazarlama çerezi onayından sonra yüklenir, uygulama içinde veya oturum açmış kullanıcılar için hiçbir zaman çalışmaz | AB / ABD | Onay; Standart Sözleşme Maddeleri ile LinkedIn DPA |
9. Veri Koruma Etki Değerlendirmesi (DPIA)
Veri sorumlusu sıfatıyla müşteriler, YARDtwin'deki işlemlerinin DPIA gerektirip gerektirmediğine karar verir. Müşterilerin kendi DPIA süreçleri için bir DPIA girdi paketi sunulmaktadır. YARDtwin, hassas kişisel verilerden ziyade ağırlıklı olarak iş operasyonel verilerini (rıhtım programları, taşıyıcı adları, araç plakaları) işlemektedir.
10. Tasarım ve Varsayılan Veri Koruma (Mad. 25)
Tasarım Gereği: Zorunlu kiracı yalıtımlı çok kiracılı mimari. Her API uç noktasına entegre RBAC. Parolalar hiçbir zaman düz metin olarak saklanmaz. Her aşamada minimum veri toplama.
Varsayılan Olarak: Yeni hesaplar minimum izinlere sahiptir. İsteğe bağlı alanlar gerçekten isteğe bağlıdır. Bülten için aktif onay gerekmektedir. Veri görünürlüğü role göre kısıtlanmıştır.
11. Uyumluluk Durumu ve Sürekli İyileştirme
Çözümlendi (Mayıs 2026 itibarıyla)
- ✓ PostgreSQL Flexible Server'a Geçiş (Azure yönetimli, beklemedeki veriler için şeffaf veri şifrelemesi, 7 günlük belirli bir zamana geri yükleme)
- ✓ Microsoft Azure'a Geçiş (İsveç Orta + Norveç Doğu, AEA) App Service + ACR + Key Vault ile
- ✓ Azure Key Vault aracılığıyla gizli dizi yönetimi (.env veya konteyner görüntülerinde gizli dizi yok; yönetilen kimlik erişimi)
- ✓ Otomatik DSAR dışa aktarma (POST /api/v1/dsar/export/by-email — Mad. 15 / 20)
- ✓ Otomatik DSAR silme (POST /api/v1/dsar/erase/by-email — Mad. 17, denetim saklama uyumluluğuyla)
- ✓ Çerez banner'ı v2 dört kategori ile (zorunlu / işlevsel / analitik / pazarlama) ve Reddet / Özelleştir / Tümünü Kabul Et seçenekleri
- ✓ Kiracılar arası yalıtım denetimi her sürümden önce sürüm geçiş kontrolündeki otomatik çapraz kiracı taraması: API'yi bir kuruluş kimliğiyle başka bir kuruluşun kayıt ID'lerine sahip olarak çağırır ve o kuruluşun verilerinden herhangi biri okunabilir ya da değiştirilebilirse sürüm engellenir
- ✓ CI/CD güvenlik hattı: npm audit + Trivy + Semgrep + gitleaks + ZAP DAST
- ✓ Şema sapması uyarısı Application Insights üzerinde (15 dakikalık pencere)
- ✓ Uçtan uca /health/db-write testi her dağıtımda yazılabilir DB doğrulaması
- ✓ App Insights şema sapması Eylem Grubu Postgres "column / relation does not exist" hatalarında kurucunun iletişim adresi admin@yardtwin.com'a e-posta gönderir
- ✓ Sürücü belgesi görselleri ve imzaların (signature_data) korunması Azure Storage ve Azure Database for PostgreSQL'de bekleme sırasında AES-256 şifrelemesi (Microsoft tarafından yönetilen anahtarlar) ve role ve kuruluşa göre sınırlandırılmış erişim
- ✓ Otomatik veri saklama temizliği (site bazında yapılandırılabilir; pii-cleanup worker)
- ✓ 30 günlük deneme her yerde uyumlu hale getirildi (kayıt, pazarlama sitesi, koşullar, e-postalar)
- ✓ 5.000 kamyon uçtan uca regresyon testi her geçişte saha görünümü doğruluk denetimleriyle tüm Site Yöneticisi uç noktalarını kapsıyor (53.650/53.651 = %100)
- ✓ Veri envanteri ve İşleme Faaliyetleri Kaydı (Mad. 30) yayımlandı
- ✓ Alt işleyici kaydı güncel tutuluyor ve yıllık olarak gözden geçiriliyor
- ✓ Tasarım ve varsayılan gizlilik belgelenmiş (Mad. 25)
- ✓ Web Application Firewall (Azure Front Door WAF, Prevention mode) yardtwin.com'u kimlik doğrulama ve hesap kurtarma uç noktalarındaki özel hız sınırlama kurallarıyla ve platform düzeyinde L7 DDoS azaltımıyla korur. Yönetilen bir OWASP kural seti bağlı değildir; bu, Front Door Premium katmanını gerektirir
- ✓ Otomatik ihlal tespiti — ihlal izleme worker'ı (başarısız giriş artışları, tek hesaba çok sayıda IP adresinden oturum açma girişimleri, kullanıcı için 30 gün içinde görülmemiş bir IP adresinden başarılı girişler), 5xx artış uyarısı, şema kayması uyarısı ve web sitesi kullanılabilirlik testi
- ✓ İhlal kaydı tam durum makinesi ve DPC son tarihi geri sayımıyla kalıcı tablo; SuperAdmin panelinde görünür
- ✓ Eylem Grubu
yardtwin-breach-actionsher tespit olayında kurucunun iletişim adresi admin@yardtwin.com'a e-posta gönderir
Kalan İyileştirmeler
Henüz üçüncü taraf sızma testi gerçekleştirilmemiştir; ilk kurumsal canlıya geçişten önce bağımsız bir test planlanmaktadır. Ekim 2026'da dahili bir beyaz kutu kod denetimi tamamlanmış ve tüm Kritik bulgular giderilmiştir. Öncelik: Yüksek. Hedef: İlk kurumsal canlıya geçişten önce.
YARDtwin Ltd, yasal bir Veri Koruma Görevlisi atamamıştır: Madde 37(1) koşullarından hiçbiri (kamu otoritesi; büyük ölçekli düzenli ve sistematik izleme gerektiren temel faaliyetler; büyük ölçekli özel kategori işleme içeren temel faaliyetler) kendi işleme faaliyetlerine uygulanmamaktadır. Veri koruma sorumluluğu, YARDtwin Ltd bünyesinde bu politikada, gizlilik politikasında, DPA'da ve Trust Center'da yayımlanan dpo@yardtwin.com rol posta kutusu aracılığıyla ulaşılabilecek belirli bir kişiye aittir. Bireysel isim yerine iletişim adresini kamuoyuyla paylaşmaktayız. Bir müşteri sözleşmesi veya işleme faaliyetlerindeki bir değişiklik gerektirdiği takdirde, Veri Koruma Komisyonu'na bildirimle birlikte resmi bir atama yapılacaktır. Durum: 26 Eylül 2026 tarihinde karara bağlanmıştır. Her ISMS yönetim gözden geçirmesinde yeniden değerlendirilmektedir.
Sertifikasyon programı devam etmektedir; sertifikasyon denetimi Q1 2027 için planlanmış olup sertifika hedefi Q1 2027'dir. Öncelik: Orta. Hedef: Q1 2027.
Mevcut değildir. ISO 27001 sertifikasyonunun ardından talep üzerine sunulabilir. Öncelik: Düşük. Hedef: ISO 27001 sonrasında müşteri talebine göre.
Yüklenen dosyalar Ekim 2026'dan itibaren coğrafi olarak yedeklidir (Norway East → Norway West); veritabanı yüksek kullanılabilirliği ilk kurumsal canlıya geçişten önce planlanmaktadır. O zamana kadar veritabanı kesintisi, belirli bir zamana geri yükleme (7 günlük pencere) ile kurtarılır. Öncelik: Orta. Hedef: ilk kurumsal canlıya geçişten önce.
AEA dışındaki her transfer için Standart Sözleşme Maddeleri uygulanmaktadır; transfer etki değerlendirmeleri tamamlanma aşamasındadır (hedef Kasım 2026). Öncelik: Orta. Hedef: Kasım 2026.
İkinci temiz harici sızma testinin ardından özel bir hata ödülü programı (HackerOne / Intigriti) planlanmakta olup yıllık testler arasında sürekli dış kapsam sağlayacaktır. Öncelik: Düşük. Hedef: 2027.
12. İletişim ve Veri Koruma
Veri koruma iletişim noktası: dpo@yardtwin.com — YARDtwin Ltd bünyesinde veri korumadan sorumlu kişi tarafından takip edilen bir rol posta kutusu (bkz. 11.2). Bireysel isim yerine iletişim adresini kamuoyuyla paylaşmaktayız.
Genel sorgular: admin@yardtwin.com
Veri Sahibi Talepleri: DSAR Portalımız aracılığıyla gönderin
Veri İşleme Sözleşmesi: /dpa adresinden inceleyin ve kabul edin
Denetim Otoritesi: Veri Koruma Komisyonu (DPC), İrlanda · www.dataprotection.ie · +353 (0)761 104 800