Verilerinizi nasıl koruyoruz?

Hesap Güvenliği

• Şifreler tek yönlü hash ile saklanır; açık metin olarak tutulmaz. En az 10 karakter gerekir ve çok yaygın şifreler kabul edilmez.
• İsteğe bağlı iki adımlı doğrulama: açtığınızda her girişte e-postanıza 6 haneli tek kullanımlık bir kod gönderilir. Kod 10 dakika geçerlidir ve yanlış deneme sayısı sınırlıdır.
• Giriş ve kayıt denemelerinde hız sınırlama uygulanır.
• Oturum çerezi HttpOnly ve SameSite işaretlidir; üretim ortamında yalnızca HTTPS üzerinden gönderilir.

Veri İzolasyonu ve Erişim

• Veriler tesis bazında ayrılır. Bir tesisin kayıtlarına yalnızca o tesise üye olan kullanıcılar erişebilir.
• Üyeler "sahip" veya "görüntüleyici" rolündedir. Görüntüleyiciler veriyi değiştiremez, paylaşım linki oluşturamaz.
• Kayıtlarda yapılan düzenlemeler tarih ve gerekçesiyle değişiklik geçmişinde saklanır.
• Her kayıt, oluşturulduğu hesap sürümü ve mevzuat dayanağıyla birlikte saklanır; mevzuat veya veri seti değişse de eski kayıtlar kendiliğinden yeniden hesaplanmaz.

Güvenli Paylaşım

• Linkler rastgele üretilir; veritabanında yalnızca SHA-256 özeti saklanır, linkin kendisi oluşturulduğunda bir kez gösterilir.
• Linklerin süresi vardır (7, 30 veya 90 gün), tesis sahibi her zaman iptal edebilir ve erişim sayıları görülebilir.
• Link yalnızca seçtiğiniz tesis (ve isteğe bağlı yıl) kapsamını gösterir; kapsam dışı, iptal edilmiş veya süresi dolmuş link ayırt edilmeden aynı "bulunamadı" yanıtını verir.
• Alıcı linkleri kanıt belgelerini ve düzenleme geçmişini göstermez. Linkler arama motorlarına kapalıdır.

Uygulama Güvenliği

• Üretim ortamında HTTPS zorunludur (HSTS açık).
• Siteler arası istek sahteciliğine (CSRF) karşı tüm form işlemleri belirteçle korunur.
• Başka sitelerin sayfamızı çerçeve içinde göstermesi engellenir; tarayıcının içerik türünü tahmin etmesi engellenir.
• Dosya yüklemelerinde izin verilen dosya türleri ve en fazla 20 MB boyut sınırı vardır; dosya içeriği uzantısıyla uyuşmuyorsa (ör. uzantısı PDF olan ama PDF olmayan dosya) yükleme reddedilir.
• Yüklenen belgeler herkese açık bir adreste durmaz; yalnızca giriş yapmış yetkili üyeler ya da kapsamı sınırlı, süreli doğrulayıcı linki üzerinden indirilebilir.

API erişimi

• API anahtarları rastgele üretilir ve yalnızca bir kez gösterilir; sunucuda düz metin saklanmaz, yalnızca SHA-256 özeti tutulur.
• Her anahtar tek bir tesise bağlıdır ve yalnızca o tesise kayıt ekleyebilir; yeni ürün oluşturamaz.
• Anahtarın son kullanım zamanı görülebilir, tesis sahibi anahtarı istediği an iptal edebilir veya yenileyebilir.
• API istekleri dakikada 120 ile sınırlıdır. API erişimi Pro planına dahildir.

Hizmet sağlayıcılar (alt işleyenler)

• Railway: barındırma; veritabanı ve yüklenen dosyalar bu altyapıda saklanır. Sunucu bölgesi: ABD Batı (Kaliforniya).
• Brevo: şifre sıfırlama, doğrulama kodu ve tedarikçi daveti gibi e-postaların iletilmesi.
• Google Fonts: yazı tiplerinin yüklenmesi.

Reklam veya üçüncü taraf izleme aracı kullanmıyoruz. Ayrıntı için Gizlilik Politikası ve Çerez Politikası sayfalarına bakabilirsiniz.

Veri silme

Hesabınızın ve ilişkili verilerin silinmesini support@carbhq.com adresinden talep edebilirsiniz. Talepler şu an elle işleme alınır; hesabı kendiniz silebileceğiniz bir özellik henüz yoktur.

Güvenlik açığı bildirimi

Bir güvenlik açığı fark ettiyseniz lütfen support@carbhq.com adresine yazın. Hiçbir sistem %100 güvenli değildir; bildirimleri ciddiye alırız.