Verileriniz EntaLead’de nasıl korunuyor?

Verileriniz nerede duruyor

EntaLead'in uygulama sunucuları ve veri tabanı Türkiye'de barındırılıyor. Barındırma, sunucu yönetimi ve veri tabanı altyapısı hizmetini Netinternet Bilişim Teknolojileri A.Ş. (ilkbyte) sağlıyor.

Mesajlaşma kanallarının (WhatsApp, Instagram, Messenger) kendi altyapıları ve yapay zekâ servis sağlayıcısı bunun dışında kalır; hangi verinin nereye gittiği Gizlilik Politikası'nda kalem kalem yazılıdır.

Bir müşterinin verisi diğerinden nasıl ayrılıyor

Bu, çok kiracılı bir platformda en kritik sorudur: başka bir şirketin kaydını görebilir miyim?

EntaLead'de her kayıt, hangi çalışma alanına ait olduğunu kendi üzerinde taşır ve veri tabanı satır seviyesinde kural uygular. Yani ayrım yalnızca uygulama kodunun doğru sorguyu yazmasına bırakılmaz; kod yanlış sorguyu yazsa bile veri tabanı başka kiracının satırını döndürmez.

Size ait olmayan bir kaydın adresine doğrudan gidildiğinde sistem “yetkiniz yok” demez, “bulunamadı” der. İkisi aynı şey değildir: “yetkiniz yok” yanıtı o kaydın var olduğunu söyler ve tek başına bir bilgi sızıntısıdır.

Bu kurallar gözden geçirmeye bırakılmış bir ilke değildir: bir kısmı derleme sırasında, bir kısmı otomatik testlerle denetlenir. Veri tabanı şeması değişiklikleri ayrıca elle gözden geçirilir — yeni bir tablonun sessizce korumasız kalmaması için.

Hesaplar ve parolalar

• Parolalar Argon2id ile saklanır. Bu geri döndürülebilir bir şifreleme değildir: veri tabanına erişen biri de dâhil, kimse parolayı okuyamaz. Argon2id bilerek yavaş ve bellek isteyen bir algoritmadır; ele geçmiş bir kayıt üzerinde deneme yapmayı pahalı hâle getirir.
• Parola en az 10 karakter olmalıdır ve yaygın kullanılan parolalar reddedilir.
• “Bir büyük harf, bir rakam, bir sembol” zorunluluğunu bilerek koymuyoruz. Bu kural insanları Parola1! gibi tahmin edilmesi kolay kalıplara itiyor. Uzunluk ve bilinen parolaların reddi pratikte daha koruyucudur (NIST SP 800-63B).
• Giriş ekranı, bir e-posta adresinin sistemde kayıtlı olup olmadığını ele vermez — yanıtın süresi bile ele vermeyecek şekilde yazılmıştır.
• Giriş denemeleri hız sınırına tabidir; aynı yerden arka arkaya parola denenemez.

Oturum güvenliği

• Oturum, kısa ömürlü bir erişim anahtarı ve onu yenileyen ayrı bir anahtarla yürür. Yenileme anahtarı her kullanımda değişir, eskisi iptal edilir.
• İptal edilmiş bir anahtar tekrar kullanılırsa — yani birisi oturumunuzu kopyalamışsa — sistem bunu fark eder ve o oturum zincirinin tamamını iptal eder. Çalınan bir oturum sessizce kullanılamaz.
• Parola değiştirildiğinde veya sıfırlandığında tüm cihazlardaki oturumlar kapanır.
• Oturum çerezi tarayıcıdaki betiklere kapalıdır (HttpOnly), yalnızca şifreli bağlantıda yazılır (Secure) ve başka sitelerden taşınmaz (SameSite).
• Çıkış yapmak gerçekten çıkıştır: anahtar sunucu tarafında iptal edilir, yalnızca tarayıcıdan silinmez.

Kim neyi görebilir

EntaLead'de yetki, ekranların gizlenmesiyle değil sunucuda kurulur. Her uç nokta, isteği yapan kullanıcının o işlemi yapma yetkisi olup olmadığını ayrı ayrı doğrular. Arayüzde bir düğmeyi gizlemek güvenlik değildir; kararı sunucu verir.

• Yetkiler rol bazlıdır ve rol–yetki eşlemesi tek bir yerde tutulur, her yere dağılmaz.
• Yeni bir yetki eklendiğinde ilgili testler kırılır; bu kasıtlıdır, sessizce yetki genişlemesini engeller.
• Yapay zekâ asistanının yaptığı işlemler de aynı kontrolden geçer: asistan, kullanıcının kendi yetkisinin ötesine geçemez.

Bağlantı güvenliği

• Siteyle ve uygulamayla tüm trafik TLS üzerinden akar; sertifikalar otomatik yenilenir, süresi dolmaz.
• Tarayıcıya HTTPS'i hatırlaması söylenir (HSTS), böylece ilk istekte bile şifresiz bağlantıya düşülmez.
• Uygulama, başka bir sitenin çerçevesine gömülmeyi reddeder — tıklama kaçırma (clickjacking) saldırılarına karşı.
• Tarayıcının dosya türü tahmini kapalıdır: yüklenen bir metin dosyası betik gibi çalıştırılamaz.
• Sunucu sürüm bilgisi dışarıya verilmez ve iç sistem uçları internete kapalıdır.

Entegrasyon anahtarlarınız

WhatsApp, Instagram, e-ticaret veya diğer sistemlerinize bağlanmak için verdiğiniz erişim anahtarları hiçbir zaman düz metin saklanmaz; veri tabanına şifrelenmiş olarak yazılır ve yalnızca kullanılacağı anda çözülür.

EntaLead'in kendi sırları (veri tabanı bağlantıları, servis anahtarları) kaynak kodda yer almaz; bu kural derleme sırasında denetlenir.

Denetim kaydı

Hesabınızda yapılan işlemler — kim, ne zaman, neyi değiştirdi — denetim kaydına yazılır.

Kayıt, değişikliğin kendisiyle aynı işlem içinde yazılır. Yani “üye silindi ama kaydı tutulmadı” ya da tersi mümkün değildir; değişiklik geri alınırsa denetim satırı da geri alınır. Sonradan yazılan bir günlük, eksik kaldığında fark edilmezdi.

Yedekleme

• Veri tabanının tam yedeği her gece alınır, sıkıştırılarak saklanır.
• Alınan her yedek, hemen ardından okunabilirliği doğrulanarak kabul edilir. Açılamayan bir yedek yedek değildir; bunu geri yükleme anında öğrenmek istemiyoruz.
• Son 14 günün yedekleri tutulur.
• Yapılandırma dosyaları da yedeğe dâhildir: sistemi tek başına veri dosyasından ayağa kaldırmak mümkün olmazdı.

Yapay zekâ ve verileriniz

En çok sorulan sorulardan biri: “Mesajlarımız yapay zekâ modelinin eğitiminde kullanılıyor mu?”

Hayır. Müşterinizle aranızdaki mesaj içerikleri, konuşma geçmişi ve medya dosyaları genel kullanıma açık yapay zekâ modellerinin eğitilmesi amacıyla kullanılmaz. Yapay zekâ özellikleri çalışırken ilgili metin servis sağlayıcısına yalnızca o yanıtı üretmek için iletilir. Bu taahhüt Gizlilik Politikası'nın 5.3 ve 7. bölümlerinde yazılıdır.

Yapay zekânın ürettiği her lead puanı değişikliği gerekçesiyle birlikte kaydedilir; tek bir değerlendirmenin puana etkisi sınırlandırılmıştır. Skorun nereden geldiğini göremediğiniz bir kutu değildir.

KVKK, izin yönetimi ve silme

• Hesap açılışında verilen KVKK/ETK onayı, zamanı ve geldiği IP adresiyle birlikte kaydedilir. Onayın ne zaman ve nereden verildiği sonradan gösterilebilir olmalıdır; “onay verilmişti” demek tek başına yeterli değildir.
• Hesaba yüklenen ama hiçbir mesaja bağlanmayan geçici dosyalar en geç 24 saat içinde silinir.
• Hesabınızı uygulama içinden silebilirsiniz; destek hattına yazmak zorunda değilsiniz.
• Veri silme talepleri için izlenecek yol Veri Silme Talimatları sayfasındadır.

Güvenlik açığı bildirimi

Bir açık fark ettiyseniz bize yazın: support@entapro.com. Ne gördüğünüzü ve nasıl tekrarlanabildiğini yazmanız yeterli.

İyi niyetle bildirilen bulgular için teşekkür ederiz. Yalnızca iki ricamız var: bulguyu düzeltene kadar kamuya açmayın ve test ederken başka müşterilerin verisine dokunmayın.

Bu sayfada neden sürüm numarası yok

Bu sayfa neyin nasıl korunduğunu anlatır; sürüm numaraları, iç adresler, tam hız sınırı değerleri ve altyapı ayrıntıları yazmaz. Bunlar müşteriye bir şey katmaz, saldırgana zaman kazandırır.

Satın alma öncesi teknik değerlendirme (due diligence) yapıyorsanız, gizlilik sözleşmesi kapsamında bu ayrıntıları ekibimizle birebir konuşabilirsiniz: iletişim formu.