1. Amaç, kapsam ve ilkeler

Bu politika, Raviosoft OÜ'nün TamNerede kullanıcılarının kişisel verilerini korumak için uyguladığı teknik ve idari tedbirleri açıklar. GDPR m. 32 ve KVKK m. 12 kapsamındaki veri güvenliği yükümlülüklerimizin kamuya açık özetidir; ayrıntılı iç prosedürler güvenlik gerekçesiyle yayımlanmaz.
Kapsam. TamNerede mobil uygulamaları, web sitesi, sunucu altyapısı, yönetim panelleri, çalışanlarımız, yüklenicilerimiz ve verilere erişen tüm hizmet sağlayıcılarımız.

Temel ilkeler

• Tasarımdan ve varsayılan olarak gizlilik: Yeni özellikler, en az veri toplanacak şekilde tasarlanır; gizliliği koruyan ayarlar varsayılan olarak açıktır.

• Veri minimizasyonu: Yalnızca gerekli veriyi, gerekli süre boyunca saklarız. Mümkün olan her yerde veri cihazda işlenir (örneğin kaza algılama sensör verileri).

• En az yetki: Personel, yalnızca görevi için gerekli olan verilere ve yalnızca gerektiği süre boyunca erişir.

• Derinlemesine savunma: Tek bir kontrolün başarısız olması verilerin açığa çıkmasına yol açmayacak şekilde çok katmanlı güvenlik uygularız.

• Risk temelli yaklaşım: Konum, çocuk ve sağlık verileri gibi yüksek riskli veriler için ek önlemler alırız; bu işlemeler için veri koruma etki değerlendirmesi (DPIA) yapılmıştır ve yılda bir güncellenir.

​

Referans standartlar. Güvenlik programımız ISO/IEC 27001 ve OWASP MASVS (Mobil Uygulama Güvenliği Doğrulama Standardı) esas alınarak oluşturulmuştur.

2. Yönetişim ve sorumluluklar

Veri güvenliğinin nihai sorumluluğu Raviosoft OÜ yönetim kuruluna aittir. Günlük sorumluluklar aşağıdaki rollere dağıtılmıştır:

• Yönetim kurulu
  Güvenlik politikalarının onayı, kaynak tahsisi, yıllık risk gözden geçirmesi

• Güvenlik sorumlusu [ad/unvan]
  Güvenlik programının yürütülmesi, olay müdahalesi, testlerin planlanması

• Veri koruma görevlisi (DPO)
  Mevzuata uyum, DPIA'lar, kullanıcı talepleri, otoritelerle iletişim

• Mühendislik ekibi
  Güvenli kodlama, yama yönetimi, altyapı yapılandırması

• Tüm çalışanlar ve yükleniciler
  Politikalara uyum, olayların derhal bildirilmesi

​

Gözden geçirme. Bu politika ve ilgili iç prosedürler en az yılda bir kez ve önemli bir değişiklik veya olaydan sonra gözden geçirilir.

3. Teknik güvenlik önlemleri

Şifreleme

• Aktarım sırasında: Uygulama ile sunucular arasındaki tüm trafik TLS 1.2 veya üstü ile şifrelenir; mobil uygulamada sertifika sabitleme (certificate pinning) kullanılır.

• Cihazda: Uygulama, oturum tokenlarını ve önbellekteki hassas verileri iOS Keychain ve Android Keystore ile korur.

​

Altyapı güvenliği

• Sunucular, ISO 27001 ve SOC 2 sertifikalı bir bulut sağlayıcının Almanya veri merkezlerinde barındırılır.

• Üretim ortamı; geliştirme ve test ortamlarından ağ ve hesap düzeyinde ayrılmıştır. Test ortamlarında gerçek kullanıcı verisi kullanılmaz.

• Veritabanları internetten doğrudan erişilemez; yalnızca özel ağlar üzerinden erişilebilir.

• Web uygulama güvenlik duvarı (WAF), DDoS koruması ve hız sınırlaması kullanılır.

• İşletim sistemi ve bağımlılık yamaları, kritik açıklar için 7 gün, diğerleri için 30 gün içinde uygulanır.

​

Erişim kontrolü

• Üretim sistemlerine erişim rol temelli yetkilendirme ile sınırlıdır ve çok faktörlü kimlik doğrulama (MFA) zorunludur.

• Kullanıcı verilerine erişim varsayılan olarak kapalıdır; destek veya olay incelemesi için geçici, onaylı ve kayıt altına alınan erişim verilir.

• Yetkiler üç ayda bir gözden geçirilir.

• Tüm yönetici işlemleri değiştirilemez şekilde kayıt altına alınır ve anormal erişimler için uyarı üretilir.

​

Kullanıcı hesaplarının korunması

• Şifreler güçlü ve tuzlanmış bir algoritmayla (Argon2 veya bcrypt) karma değer olarak saklanır.

• Kullanıcılara iki adımlı doğrulama sunulur; yeni cihazdan girişlerde bildirim gönderilir.

• Kaba kuvvet saldırılarına karşı hız sınırlaması ve hesap kilitleme uygulanır.

• Kullanıcılar aktif oturumlarını görebilir ve uzaktan sonlandırabilir.

​

4. Konum, çocuk ve sohbet verileri için ek önlemler
Konum verisi bir kişinin evini, okulunu, işyerini ve günlük rutinini ortaya çıkarabilir. Bu nedenle en hassas verilerimiz için aşağıdaki ek kontrolleri uygularız.
Konum verisi

• Konum geçmişi, kişiyi doğrudan tanımlayan hesap bilgilerinden ayrı veritabanlarında, takma adlaştırılmış kimliklerle saklanır.

• Konum verisine yalnızca kullanıcının Çember üyeleri erişebilir; paylaşım izinleri sunucu tarafında her istekte yeniden doğrulanır.

• Saklama süresi dolan konum kayıtları otomatik görevlerle günlük olarak silinir.

• Analiz ve reklam sistemlerine hassas konum verisi aktarılmaz; bu ayırım teknik olarak zorunlu kılınır.

• Personelin bireysel konum geçmişine erişimi yalnızca kullanıcının talebi, kötüye kullanım incelemesi veya yasal yükümlülük halinde, iki kişilik onayla ve kayıt altında mümkündür.

​

Kötüye kullanıma karşı korumalar (rızasız takip)

• Yetişkinler yalnızca kendi cihazlarından onay vererek Çember'e katılabilir.

• Konum paylaşımı açıkken bu durum uygulamada her zaman görünür; uygulama simgesi gizlenemez.

• Kullanıcılara, konumlarını gören tüm kişileri listeleyen bir “Kimler görüyor?” ekranı ve tek dokunuşla Çember'den çıkma imkanı sunulur.

• Kullanıcılara düzenli aralıklarla konumlarını kimlerle paylaştıklarını hatırlatan bildirimler gönderilir.

​

Çocuk verileri

• Çocuk Hesaplarında reklam, analiz ve pazarlama SDK'ları kod düzeyinde devre dışı bırakılır.

• Çocuk Hesabı oluşturma ve ebeveyn değişikliği işlemleri ek doğrulama gerektirir.

• Çocuk sohbetleri yalnızca ebeveynin onayladığı Çember üyeleriyle sınırlıdır; dışarıdan mesaj alınamaz.

​

Sohbet ve sağlık verileri

• Sohbet mesajları ve medya dosyaları şifreli saklanır; medya dosyalarına yalnızca kısa ömürlü, imzalı bağlantılarla erişilir. [Uçtan uca şifreleme uygulanıyorsa burada açıkça belirtin.]

• Acil durum kartındaki sağlık bilgileri ayrı bir anahtarla şifrelenir ve yalnızca SOS anında seçilen acil durum kişilerine gösterilir.

​

5. Uygulama ve yazılım geliştirme güvenliği

• Güvenli geliştirme yaşam döngüsü: Yeni özellikler tasarım aşamasında tehdit modellemesinden ve gizlilik incelemesinden geçer.

• Kod incelemesi: Üretime giden her değişiklik en az bir başka geliştirici tarafından incelenir.

• Otomatik taramalar: Kaynak kod (SAST), bağımlılıklar (SCA) ve gizli anahtar sızıntıları her derlemede otomatik olarak taranır.

• Bağımlılık yönetimi: Üçüncü taraf kütüphane ve SDK'lar eklenmeden önce güvenlik ve gizlilik açısından değerlendirilir; topladıkları veriler belgelenir.

• Sızma testleri: Mobil uygulamalar ve API'ler için [yılda en az bir kez] ve büyük değişikliklerden sonra bağımsız sızma testi yaptırılır.

• Mobil uygulama sertleştirme: Kod karıştırma (obfuscation), root/jailbreak tespiti, güvenli depolama ve hata ayıklama çıktılarının üretim sürümünde kapatılması.

• API güvenliği: Her istekte kimlik doğrulama ve nesne düzeyinde yetki kontrolü (bir kullanıcının başka bir kullanıcının konumunu sorgulayamaması), girdi doğrulama ve hız sınırlaması.

• Kayıt (log) hijyeni: Uygulama ve sunucu kayıtlarında konum koordinatları, mesaj içerikleri, şifreler ve tokenlar yer almaz.

​

6. Tedarikçi ve alt işleyen yönetimi
Kişisel verilere erişen her hizmet sağlayıcı, sözleşme öncesinde ve düzenli aralıklarla değerlendirilir.

1. Ön değerlendirme: Güvenlik sertifikaları (örneğin ISO 27001, SOC 2), veri konumu, alt işleyenleri ve ihlal geçmişi incelenir.

2. Sözleşme: GDPR m. 28'e uygun veri işleme sözleşmesi; gerekiyorsa AB Standart Sözleşme Maddeleri ve KVKK standart sözleşmesi imzalanır.

3. Veri minimizasyonu: Tedarikçiyle yalnızca hizmetini sunması için gerekli olan veri paylaşılır.

4. İzleme: Kritik tedarikçiler yılda bir kez yeniden değerlendirilir; güvenlik olaylarını bize gecikmeksizin bildirmekle yükümlüdürler.

5. Sona erme: Sözleşme bittiğinde verilerin iadesi veya silinmesi ve bunun teyidi istenir.

​

Güncel alt işleyen listesi [tamnerede.app/subprocessors] adresinde yayımlanır. İş müşterilerimize yeni bir alt işleyen eklemeden en az 30]gün önce bildirimde bulunuruz.

7. Veri ihlali yönetimi ve bildirim
Bir kişisel veri ihlalini fark ettiğimiz andan itibaren yazılı olay müdahale planımızı uygularız. Plan yılda bir tatbikatla test edilir.

Müdahale adımları

1. Tespit ve kayıt: Olay, otomatik uyarılar, çalışan bildirimi, kullanıcı veya araştırmacı bildirimiyle tespit edilir ve ihlal kayıt defterine işlenir.

2. Sınırlama: Etkilenen sistemler yalıtılır, ele geçirilen kimlik bilgileri ve anahtarlar iptal edilir.

3. Değerlendirme: Etkilenen veri türleri, kişi sayısı ve kişiler için riskin düzeyi belirlenir. Konum, çocuk ve sağlık verilerini içeren ihlaller yüksek riskli kabul edilir.

4. Bildirim: Aşağıdaki sürelere uyulur.

5. Giderme ve iyileştirme: Kök neden giderilir, ders çıkarılır ve kontroller güncellenir.

​

Bildirim süreleri

• Andmekaitse Inspektsioon (Estonya)
  İhlalin farkına varılmasından itibaren 72 saat içinde (kişiler için risk oluşturmuyorsa bildirim gerekmez) GDPR m. 33

• Kişisel Verileri Koruma Kurulu (Türkiye)
  Türkiye'deki kullanıcıları etkileyen ihlallerde, farkına varılmasından itibaren 72 saat içinde

• Etkilenen kullanıcılar
  Yüksek risk varsa gecikmeksizin; uygulama içi bildirim ve e-postayla, ne olduğunu, olası sonuçları ve alınması gereken önlemleri açıklayarak

• İş müşterileri (veri sorumlusu olarak)
  Gecikmeksizin ve en geç 48 saat içinde

• Diğer otoriteler ve kullanıcılar
  ABD eyaletleri, Birleşik Krallık (ICO, 72 saat) ve diğer ülkelerin sürelerine göre

Tüm ihlaller, bildirim gerektirmese bile, olguları, etkileri ve alınan önlemlerle birlikte kayıt altına alınır.

8. Yedekleme, iş sürekliliği ve veri imhası
Yedekleme. Veritabanları günlük olarak, şifreli ve AB içinde coğrafi olarak ayrı bir bölgede yedeklenir. Yedekler en fazla 35 gün saklanır ve geri yükleme üç ayda bir test edilir.

İş sürekliliği. Kritik servisler (konum paylaşımı, bildirimler, SOS) birden fazla kullanılabilirlik bölgesinde yedekli çalışır. Hedeflerimiz:

• Kurtarma süresi hedefi (RTO): 4 saat

• Kurtarma noktası hedefi (RPO): 1 saat

​

Veri imhası. Saklama süresi dolan veya silinmesi talep edilen veriler:

• Canlı sistemlerden otomatik görevlerle silinir veya geri döndürülemez şekilde anonimleştirilir.

• Yedeklerden, yedek döngüsünün sonunda (en geç 35 gün) kaldırılır.

• Fiziksel depolama ortamlarının imhası, bulut sağlayıcının sertifikalı imha süreçleriyle (NIST SP 800-88) yapılır.

​

Türkiye'deki kullanıcılar için silme, yok etme ve anonim hale getirme işlemleri, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun olarak kayıt altına alınır ve kayıtlar en az 3 yıl saklanır.

9. Kullanıcıların rolü ve güvenlik açığı bildirimi
Güvenlik ortak bir sorumluluktur. Hesabınızı ve ailenizi korumak için şunları öneririz:

• Başka hiçbir yerde kullanmadığınız güçlü bir şifre seçin ve iki adımlı doğrulamayı açın.

• Cihazınızı ekran kilidiyle koruyun, işletim sistemini ve TamNerede'yi güncel tutun.

• “Kimler görüyor?” ekranını düzenli olarak kontrol edin; tanımadığınız bir üye veya cihaz görürseniz hemen kaldırın.

• TamNerede sizden asla e-posta, SMS veya telefonla şifrenizi ya da doğrulama kodunuzu istemez.

• Biri sizi rızanız olmadan takip ediyorsa uygulamadaki güvenlik kontrol listesini kullanın, Çember'den çıkın ve gerekirse yerel destek hatlarına veya kolluk kuvvetlerine başvurun.

​

Güvenlik açığı bildirimi (sorumlu ifsā)
TamNerede'de bir güvenlik açığı bulduysanız lütfen support@raviosoft.com adresine bildirin.

• Bildiriminizi 3 iş günü içinde alındı olarak teyit eder, inceleme sürecinde sizi bilgilendiririz.

• İyi niyetle, bu kurallara uyarak yapılan araştırmalar için hukuki yola başvurmayız.

• Araştırma sırasında yalnızca kendi hesaplarınızı ve test verilerinizi kullanın; başka kullanıcıların verilerine erişmeyin, onları değiştirmeyin veya silmeyin.

• Hizmeti aksatacak testler (DoS), sosyal mühendislik ve fiziksel saldırılar kapsam dışıdır.

• Açık giderilene kadar bilgileri kamuyla paylaşmayın; ifsā zamanını birlikte belirleriz.

​

İletişim. Güvenlik: support@raviosoft.com · Veri koruma görevlisi: dpo@raviosoft.com · Raviosoft OÜ, Tallinn, Estonya