Altyapı
Hanory'yi kendi sunucu odamızda değil, alanında uzman ve bağımsız denetimlerden geçen yönetilen altyapılarda çalıştırıyoruz. Bu, sunucu güncellemeleri, fiziksel güvenlik ve donanım arızaları gibi işlerin bu konuda uzmanlaşmış ekipler tarafından yürütülmesi demektir.
- Barındırma ve içerik dağıtımı: Cloudflare. Web sitesi ve uygulama Cloudflare'in küresel ağı üzerinden sunulur. Site yalnızca HTTPS ile açılır; tarayıcınızla Hanory arasındaki tüm trafik şifrelidir. HSTS kuralı sayesinde tarayıcınız Hanory'yi bir kez ziyaret ettikten sonra iki yıl boyunca yalnızca şifreli bağlantıyla açar.
- Veritabanı, giriş ve dosya deposu: Supabase. Yönetilen bir PostgreSQL veritabanı, Avrupa Birliği'nde Frankfurt (Almanya) bölgesinde çalışır. Supabase, müşteri verilerini diskte AES-256 ile, aktarım sırasında TLS ile şifrelediğini belirtir (Supabase güvenlik sayfası).
- Tarayıcı güvenlik başlıkları. Her yanıtla birlikte tarayıcınıza güvenlik kuralları gönderilir: İçerik Güvenlik Politikası (CSP) sayfada yalnızca Hanory'nin, Paddle ödeme ekranının ve çerez onayınıza bağlı Google ölçüm betiklerinin çalışmasına izin verir; Hanory başka sitelerin içine gömülemez (tıklama tuzaklarına karşı); tarayıcı dosya türlerini tahmin etmeye çalışmaz; başka bir siteye geçtiğinizde yalnızca alan adımız paylaşılır; kamera, mikrofon ve konum izinleri kapalıdır.
- En az yetki. Sunucu tarafındaki işlemler yalnızca ihtiyaç duydukları yetkiyle çalışır. Hassas işlemler yalnızca sunucuda tutulan hizmet anahtarıyla çalıştırılabilir; bu anahtar tarayıcıya hiçbir zaman gönderilmez. Uygulama yalnızca, erişimi veritabanı kurallarıyla sınırlanmış genel anahtarı kullanır.
Veri ve erişim
Hanory'de her ürün, belge, fatura ve abonelik bir eve bağlıdır. Kimin hangi kaydı görebileceği yalnızca uygulamanın arayüzünde değil, doğrudan veritabanında satır düzeyinde güvenlik (Row Level Security) kurallarıyla belirlenir.
- Bir hesap yalnızca üyesi olduğu evlerin kayıtlarını okuyabilir ve yalnızca düzenleme yetkisi olduğu evlerde değişiklik yapabilir.
- Bu kural veritabanı tarafından uygulandığı için, uygulamada bir hata olsa veya biri isteği elle değiştirse bile başka bir evin kayıtlarına erişilemez.
- Veritabanı her gün otomatik olarak yedeklenir (Supabase Pro günlük yedekleme). Bir arıza durumunda kayıtlarınızı yedekten geri yükleyebiliriz.
Belgeler
Garanti belgeleri, faturalar ve ürün fotoğrafları gibi yüklediğiniz dosyalar, herkese açık olmayan özel bir Supabase Storage alanında saklanır.
- Dosyaların herkese açık bir adresi yoktur. Uygulamada bir belgeyi açtığınızda, yalnızca o an için geçerli olan ve 1 saat sonra süresi dolan imzalı bir bağlantı oluşturulur. Bağlantı bir yere kopyalansa bile kısa süre sonra işe yaramaz hale gelir.
- Depolama alanı da ev bazlı kurallarla korunur: bir dosyayı yalnızca o evin üyeleri görebilir, yalnızca düzenleme yetkisi olanlar ekleyebilir veya silebilir.
- Yalnızca JPG, PNG, WEBP ve PDF dosyaları kabul edilir; dosya başına en fazla 10 MB yüklenebilir.
- Bir ürünü veya hesabınızı sildiğinizde, ona bağlı yüklenmiş belgeler ve fotoğraflar da depolama alanından silinir.
- Önemli: Yüklenen dosyalar, veritabanının günlük yedeklerine dahil değildir. Önemli belgelerinizin asıllarını (ya da e-posta ile gelen PDF kopyalarını) ayrıca saklamanızı ve kayıtlarınızı düzenli olarak dışa aktarmanızı öneririz.
Hesap güvenliği
- Giriş işlemleri Supabase Auth ile yapılır. Şifreniz yalnızca tek yönlü özet (hash) olarak saklanır; biz dahil kimse şifrenizi düz metin olarak göremez.
- Bilinen veri sızıntılarında ortaya çıkmış şifreler kabul edilmez (sızdırılmış şifre koruması açıktır). Şifreler en az 8 karakter olmalıdır.
- E-posta ile kayıt olduğunuzda hesabınızı kullanmadan önce e-posta adresinizi doğrulamanız gerekir.
- İsterseniz "Google ile giriş" kullanabilirsiniz. Bu, Hanory'nin kendi Google OAuth istemcisi üzerinden çalışır; Google şifreniz Hanory'ye hiçbir zaman gelmez.
Sizin için öneriler
- Güçlü ve benzersiz bir şifre kullanın. Başka hiçbir sitede kullanmadığınız uzun bir şifre seçin; bir şifre yöneticisi bu işi kolaylaştırır.
- Google ile giriş yapın. Google hesabınızda iki adımlı doğrulama açıksa, Hanory girişiniz de bu korumadan yararlanır.
- Paylaşılan cihazlarda çıkış yapın. Ortak bir bilgisayar veya tablet kullandıysanız işiniz bitince Ayarlar > Hesabınız bölümünden çıkış yapın.
- Şifrenizi kimseyle paylaşmayın. Hanory sizden şifrenizi e-posta veya telefonla istemez.
Ödemeler
Hanory Plus ödemeleri, yetkili satıcımız ve Merchant of Record olan Paddle tarafından işlenir. Kart bilgilerinizi Paddle'ın ödeme ekranına girersiniz; kart numaranız Hanory sunucularına hiçbir zaman ulaşmaz ve bizim tarafımızda saklanmaz.
Hanory'ye yalnızca abonelik numarası, plan ve abonelik durumu gibi bilgiler Paddle'ın imzalı bildirimleriyle (webhook) gelir. Her bildirimin imzası gizli bir anahtarla doğrulanır; imzası doğrulanamayan veya 5 dakikadan eski bildirimler reddedilir.
E-posta ve bildirimler
- Hesap doğrulama, şifre sıfırlama ve günlük hatırlatma özetleri Resend aracılığıyla, Avrupa Birliği'ndeki (İrlanda) gönderim bölgesinden gönderilir.
- Her hatırlatma e-postasında tek tıkla çıkış bağlantısı bulunur; e-posta uygulamanız da "abonelikten çık" düğmesini doğrudan gösterebilir. Uygulama içi hatırlatmalarınız bundan etkilenmez.
- Onayınız olmadan pazarlama e-postası gönderilmez.
Çerezler ve analitik
- Google Analytics yalnızca çerez bandında onay verirseniz yüklenir; onay vermezseniz hiç çalışmaz.
- Google'ın açıklamasına göre Google Analytics 4 IP adreslerini kaydetmez ve saklamaz. Reklam kişiselleştirme kapalıdır; verileriniz satılmaz.
- Onayınızı istediğiniz an uygulamada Ayarlar > Çerez tercihleri bölümünden değiştirebilir veya geri alabilirsiniz. Kullanılan çerezlerin listesi gizlilik politikasında.
- Oturumunuzu, dil ve çerez tercihinizi hatırlamak için tarayıcınızın yerel depolama alanı kullanılır; bunlar uygulamanın çalışması için zorunludur.
Verileriniz üzerindeki haklarınız
- Dışa aktarma: Ayarlar bölümünden kayıtlarınızı istediğiniz an JSON, CSV veya PDF olarak indirebilirsiniz.
- Silme: Hesabınızı Ayarlar'dan silebilirsiniz. Kayıtlarınız ve yüklediğiniz dosyalar (belgeler ve fotoğraflar) hemen silinir; teknik yedeklerden en geç 30 gün içinde kaldırılır.
- KVKK m.11 ve GDPR başvuruları: Verilerinizin işlenip işlenmediğini öğrenme, düzeltme, silme, itiraz ve diğer haklarınız için destek@hanory.app adresine yazabilirsiniz; en geç 30 gün içinde yanıtlarız. Veri sorumlusu Tolga Deveci'dir. Ayrıntılar gizlilik politikasında.
Alt işlemciler
Hanory'yi çalıştırmak için aşağıdaki hizmet sağlayıcılarla çalışıyoruz. Her biri verileri yalnızca kendi görevi için işler.
| Sağlayıcı | Ne için | Konum |
|---|---|---|
| Supabase | Veritabanı, giriş (kimlik doğrulama) ve özel belge deposu | AB — Frankfurt, Almanya |
| Cloudflare | Web sitesinin ve uygulamanın barındırılması, içerik dağıtımı (CDN) | Küresel ağ; istekler size yakın veri merkezinden karşılanır |
| Paddle | Ödeme, faturalandırma ve vergi (Merchant of Record; kendi gizlilik politikasına tabi bağımsız veri sorumlusu) | Paddle.com Market Ltd, Birleşik Krallık |
| Resend | Hesap e-postaları ve günlük hatırlatma özetleri | Gönderim AB'den (İrlanda); Resend'in e-posta kayıtları ABD'de tutulur (kaynak) |
| İsteğe bağlı Google ile giriş; onay verirseniz Google Analytics ve Google Ads dönüşüm ölçümü | Google'ın küresel altyapısı |
Türkiye dışına yapılan aktarımlar hizmetin sunulması için gereklidir ve KVKK m.9'da öngörülen standart sözleşmeler esas alınarak yapılır. Ülkeler ve güvenceler gizlilik politikasında.
Sağlayıcıların bağımsız denetimleri. Aşağıdaki belgeler Hanory'ye değil, sağlayıcıların kendisine aittir ve her biri sağlayıcının kendi resmi sayfasında yayımlanmıştır: Supabase SOC 2 Type 2 ve ISO 27001 (supabase.com/security); Cloudflare SOC 2 Type II (Cloudflare SOC 2) ve ISO 27001 (Cloudflare ISO sertifikaları); Resend SOC 2 Type II (resend.com/security).
Güvenlik açığı bildirimi
Hanory'de bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen guvenlik@hanory.app adresine yazın. Bildiriminiz doğrudan Hanory'nin geliştiricisine ulaşır. Bu iletişim bilgisi standart security.txt dosyasında da yayımlanır.
- Neleri ekleyin: etkilenen sayfa veya özellik, adım adım nasıl tekrarlanacağı, olası etkisi ve size nasıl ulaşabileceğimiz. Ekran görüntüsü veya kısa bir video çok yardımcı olur.
- Yanıt süresi: Bildiriminize en geç 5 iş günü içinde yanıt veririz ve düzeltme sürecinde sizi bilgilendiririz.
- Lütfen: yalnızca kendi hesabınızla ve kendi test verilerinizle çalışın; başkalarının verilerine erişmeyin, değiştirmeyin veya silmeyin; hizmeti yavaşlatacak yük testleri veya hizmet engelleme (DoS) denemeleri yapmayın; spam veya sosyal mühendislik kullanmayın; açığı düzeltmemiz için makul süre tanımadan kamuya duyurmayın.
- Şu an ücretli bir ödül programımız yoktur; iyi niyetle ve bu kurallara uyarak yapılan bildirimler için teşekkür ederiz.
Sorumlu dürüstlük: neyi iddia etmiyoruz
Güven, abartıyla değil açıklıkla kurulur. Bu yüzden sınırlarımızı da yazıyoruz:
- Hanory henüz bağımsız bir güvenlik denetiminden geçmedi. Yukarıdaki SOC 2 ve ISO 27001 belgeleri altyapı sağlayıcılarımıza aittir; Hanory'nin kendisine ait bir sertifika değildir.
- Uçtan uca şifreli bir uygulama değiliz. Verileriniz aktarım sırasında HTTPS ile şifrelenir ve Supabase verileri diskte şifreler; ancak hizmetin çalışması için verileriniz sunucu tarafında okunabilir durumdadır. Verilerinizi yalnızca hizmeti sunmak, korumak ve yedeklemek için işleriz.
- İki adımlı doğrulama (2FA) henüz sunmuyoruz. Ek koruma istiyorsanız, iki adımlı doğrulaması açık bir Google hesabıyla giriş yapabilirsiniz.
- Yüklenen dosyalar günlük veritabanı yedeklerine dahil değildir. Önemli belgelerin asıllarını ayrıca saklamanızı öneririz.
- Hanory bağımsız ve küçük bir hizmettir. 7/24 güvenlik operasyon merkezi gibi kurumsal yapılarımız yoktur; bu yüzden güvenliğin büyük kısmını uzman sağlayıcıların yönetilen altyapısına ve veritabanı düzeyindeki kurallara dayandırıyoruz.
- Hiçbir sistem için mutlak güvenlik garantisi verilemez. Kişisel verilerinizi etkileyen bir ihlal olursa, KVKK ve GDPR'daki yükümlülüklerimiz çerçevesinde sizi ve ilgili otoriteyi bilgilendiririz.
Sık sorulan sorular
Verilerim nerede saklanıyor?
Hesabınız, kayıtlarınız ve belgeleriniz Supabase'in Frankfurt (Almanya) bölgesindeki veritabanında ve depolama alanında tutulur. E-postalar Resend ile AB'den gönderilir; Resend'in e-posta kayıtları ABD'de saklanır. Tüm sağlayıcıların listesi yukarıdaki tabloda.
Başka biri belgelerimi görebilir mi?
Hayır. Veritabanı ve depolama kuralları, yalnızca üyesi olduğunuz evlerin kayıtlarına ve dosyalarına erişmenize izin verir. Belgeler herkese açık bir adreste durmaz; açtığınızda 1 saat sonra geçersiz olan kişisel bir bağlantı oluşturulur.
Kart bilgilerim Hanory'de saklanıyor mu?
Hayır. Ödemeler Paddle'ın ödeme ekranında işlenir. Hanory'ye yalnızca abonelik numarası ve durumu gibi bilgiler, imzası doğrulanan bildirimlerle gelir.
Hesabımı silersem verilerim ne olur?
Kayıtlarınız ve yüklediğiniz dosyalar (belgeler ve fotoğraflar) hemen silinir; teknik yedeklerden en geç 30 gün içinde kaldırılır. Silmeden önce Ayarlar'dan verilerinizi dışa aktarabilirsiniz.
Bir güvenlik açığı buldum, ne yapmalıyım?
Lütfen guvenlik@hanory.app adresine, sorunu nasıl tekrarlayabileceğimizi anlatarak yazın. En geç 5 iş günü içinde yanıt veririz. Lütfen başkalarının verilerine erişmeyin ve hizmeti engelleme denemesi yapmayın.