Güvenlik ve Sorumlu Bildirim

Sürüm ve geçerlilik

• Sürüm: 30 Ekim 2026. Bu sürüm o tarihten itibaren uygulanır.
• Son güncelleme: 30 Ekim 2026.
• Metni yayımlayan: CS Digital Wonders (CS Digital Wonders LLC, ABD'nin Wyoming eyaleti hukukuna göre kurulmuş limited şirket; 30 N Gould St Ste N, Sheridan, WY 82801, ABD). SemPost bir CS Digital Wonders ürünüdür.
• Değişikliklerin duyurulması: her değişikliği bu sayfanın sonundaki Değişiklikler bölümüne yazarız. Bir değişiklik Veri İşleme Sözleşmemizdeki taahhütleri etkiliyorsa, o sözleşmede anlatıldığı şekilde duyururuz.

Özet

Bu sayfa SemPost'u ve verilerinizi koruyan güvenlik tedbirlerini, güvenlik olaylarını nasıl ele aldığımızı ve bir güvenlik açığını nasıl bildirebileceğinizi anlatır. Yürürlükte olanı anlatır; bir sertifika değildir. Veri işleyeniniz olarak taahhüt ettiğimiz teknik ve idari tedbirler Veri İşleme Sözleşmemizin Ek II'sinde sayılıdır.

Bir güvenlik açığını bildirmek için [email protected] adresine yazın. Hesabınızla ilgili yardım için [email protected] adresine yazın.

Verileriniz nerede barındırılıyor

• Sunucular: uygulamamız, web sitelerimiz, veritabanımız ve önbelleğimiz Contabo'nun ABD'deki sunucularında çalışır.
• Sunucuların önünde: Cloudflare ağı. SemPost'a gelen bütün istekler sunucularımıza ulaşmadan önce Cloudflare'den geçer.
• Dosyalar: medya dosyaları ve şifreli veritabanı yedekleri Cloudflare R2'de saklanır. Kovalarımız için bir depolama bölgesi seçilmedi; dosyaların nerede saklanacağını Cloudflare belirler ve bu yer AB ve Türkiye dışında olabilir.
• Hizmet sağlayıcılar: sosyal medya ağ geçidimiz ve yapay zekâ sağlayıcılarımız veriyi kendi bulundukları yerlerde işler. Alt İşleyenler sayfasında listelenirler.
• Müzik: Contabo'nun Almanya'daki bir sunucusunda çalışan, bize ait ayrı bir sunucu arka plan müziğini nota verisinden üretir. Kişisel veri almaz.

Şifreleme

İletimde. SemPost'a bağlantılar, hem tarayıcınızla Cloudflare arasında hem de Cloudflare ile sunucularımız arasında (Cloudflare kaynak sunucu sertifikasıyla) TLS 1.2 ya da 1.3 kullanan HTTPS ile kurulur. Tarayıcılara yalnız HTTPS kullanmaları bildirilir (HTTP Strict Transport Security) .

Saklanırken. Veritabanımızda şunlar şifrelenir ya da özetlenir:

• iki adımlı doğrulama sırları, mağaza erişim bilgileri ve anahtarları, Shopify erişim anahtarları, ağ geçidimizin anahtarları, sağlayıcılarımızın API anahtarları ve webhook sırları alan alan şifrelenir (Fernet), anahtarlar yenilenebilir;
• parolalar Argon2id özetiyle saklanır;
• oturum, e-posta bağlantısı ve davet anahtarları yalnız SHA-256 özetiyle saklanır;
• iki adımlı doğrulama kurtarma kodları HMAC değeri olarak saklanır.

Veritabanı yedekleri yüklenmeden önce sunucumuzda AES-256 ile şifrelenir. Cloudflare R2, sakladığı dosyaları şifreler. Veritabanındaki diğer veriler bu sayfada anlatılan erişim denetimleriyle korunur.

Çalışma alanlarının birbirinden ayrılması

• Çalışma alanı verisi tutan her veritabanı tablosunda PostgreSQL satır düzeyi güvenliği etkin ve zorunludur. Bir istek yalnız kendi çalışma alanının satırlarına ulaşabilir.
• Uygulamanın veritabanı rolü kimlik ve platform ayarlarını tutan tabloları okuyamaz.
• Otomatik bir test, uygulamanın her yolunun doğru yetkiyi istediğini denetler.
• Uygulama (app.sempost.ai), Shopify uygulaması (embed.sempost.ai) ve yönetim konsolumuz ayrı adreslerde çalışır.
• Bir çalışma alanında dört rol vardır: izleyici, editör, yönetici ve sahip. Çalışma alanındaki herkes diğer üyelerin adını, e-posta adresini ve iki adımlı doğrulama durumunu görebilir. Yöneticiler ve sahipler çalışma alanının denetim günlüğünü IP adresleri kısaltılmış olarak görür .

Oturum açma

• E-posta doğrulaması: e-posta adresinizi doğruladıktan sonra giriş yapabilirsiniz.
• Parolalar: yeni parolalar parola kurallarımıza uymalıdır ve Have I Been Pwned ile bilinen veri sızıntılarına karşı denetlenir. Sunucumuzdan yalnız parolanın SHA-1 özetinin ilk 5 karakteri çıkar.
• Başarısız denemeler: 3 başarısız denemeden sonra Cloudflare Turnstile denetimi eklenir; 10 denemeden sonra hesap 15 dakika kilitlenir, süre her seferinde ikiye katlanır. Turnstile kayıt, parola sıfırlama, doğrulama ve davet formlarını da korur.
• İki adımlı doğrulama: 10 kurtarma kodu ve aynı kodun yeniden kullanılmasına karşı korumayla bir doğrulayıcı uygulamayı (TOTP) açabilirsiniz. Çalışma alanının sahibi iki adımlı doğrulamayı bütün üyeler için zorunlu kılabilir; bu kural Shopify yönetim panelinde uygulanmaz, orada erişimi Shopify'ın kendi girişi korur. İki adımlı doğrulama kullanıyorsanız Shopify içinde açılan yeni bir oturum da doğrulayıcı uygulama kodunuzu ister.
• Oturumlar: oturumlar sunucumuzda tutulur; 7 gün işlem yapılmazsa, her durumda en geç 30 günde sona erer. Oturumlarınızı görebilir, birini ya da diğerlerinin tamamını sonlandırabilirsiniz. Parolanızı değiştirmek ya da sıfırlamak diğer oturumlarınızı kapatır.
• Çerezler: oturum çerezi HttpOnly, Secure ve SameSite=Lax özelliklidir ve __Host- önekini kullanır. Oturum anahtarının yalnız SHA-256 özetini saklarız. Shopify uygulaması çerez kullanmaz: her istek Shopify'ın kimlik belirtecini (ID token) taşır.

Ekibimizin erişimi

• Ekibimiz ayrı bir yönetim konsolunda çalışır. Konsol kalıcı olarak Cloudflare Access arkasındadır; sunucularımız Access girişini ayrıca doğrular.
• Yönetim konsoluna her giriş iki adımlı doğrulama ister. Hassas işlemler en çok 15 dakikalık yeni bir kod ister.
• Yönetim oturumları 30 dakika işlem yapılmazsa, her durumda en geç 12 saatte sona erer.
• Destek ekibi görüntüleyebilir; ödeme ve Shopify anahtarları gibi hassas ayarları yalnız süper yöneticiler değiştirebilir.
• Yönetici işlemleri denetim günlüğüne yazılır. Hassas değişiklikler ile müşteri isteğiyle yapılan silmeler yazılı gerekçeyle kaydedilir .
• Ekibimiz müşteri verisine yalnız gerektiğinde, Veri İşleme Sözleşmemizin 6. bölümünde anlatıldığı şekilde erişir.

İsteklerin ve sunucuların korunması

• Sahte istekler: köken denetimi ve imzalı çift gönderim değeriyle siteler arası istek sahteciliğine karşı koruma.
• Hız sınırları: giriş ve hesap işlemleri, davetler, faturalama, yüklemeler, yapay zekâ ile üretim ve maliyetli diğer istekler için sınırlar.
• Sunucu taraflı istek sahteciliği: SemPost bir ürün sayfasını okurken yalnız HTTPS üzerinden ve yalnız herkese açık adreslere bağlanır.
• Webhook'lar: gelen her webhook'ta geçerli imza aranır. 5 dakikadan eski Stripe olayları reddedilir; imzası geçersiz Shopify istekleri geri çevrilir.
• Ağ: sunucularımız web trafiğini yalnız Cloudflare ağından kabul eder ve Cloudflare'den gelen gizli bir başlığı denetler. Bilinmeyen alan adlarına gelen istekler reddedilir. Veritabanı ve önbellek yalnız sunucunun kendisinden bağlantı kabul eder; önbellek parola ister.
• Sağlamlaştırma: her hizmet kısıtlanmış bir systemd yalıtım alanında çalışır. Güvenlik başlıkları çerçeveye almayı, içerik türü tahminini, yönlendiren bilgisini ve tarayıcı özelliklerini sınırlar.
• İçerik Güvenliği Politikası: web sitelerimiz bir İçerik Güvenliği Politikası (CSP) uygular. Uygulama, yönetim konsolu ve Shopify uygulaması nonce'lu bir CSP'yi yalnız raporlama kipinde gönderir: politika neyi engelleyeceğini kaydeder, henüz engellemez. Shopify uygulamasını yalnız mağazanızın Shopify yönetim paneli çerçeve içinde açabilir .
• Saldırılara karşı koruma: Cloudflare ağı, hizmet engelleme saldırılarına karşı koruma dahil, trafiği sunucularımıza ulaşmadan önce süzer .

Sosyal hesaplar, mağazalar ve ödemeler

• Sosyal hesaplar: sosyal ağlarınızın erişim anahtarlarını SemPost değil, ağ geçidimiz Zernio tutar. Biz yalnız çalışma alanınızın profiliyle sınırlı bir anahtarı şifreli olarak saklarız. Bir hesabın bağlantısını kestiğinizde hesap Zernio'dan da kaldırılır.
• Shopify: yalnız okuma izni isteriz: ürünler, stoklar, indirimler, pazarlar, yayın kanalları, diller ve çeviriler. Müşterilerinize ya da siparişlerinize erişim istemeyiz. Shopify erişim anahtarları şifrelenir. Kendi Shopify uygulamanızı bağlarsanız uygulamanın sırrı şifrelenir ve yalnız mağazanızın kendi myshopify.com adresine gönderilir.
• WooCommerce: şifreli saklanan salt okuma anahtarları ya da anahtarsız, herkese açık Store API kullanırız.
• Ödemeler: ödemeyi Link (Stripe) sayfalarında yaparsınız. Kart numaraları, fatura adresleri ve vergi numaraları SemPost'a hiç ulaşmaz. Stripe anahtarımız yalnız gereken izinleri taşır ve şifreli saklanır.

Dosyalar ve medya

• Medya dosyaları özel bir depolama kovasında tutulur. Yalnız süresi dolan imzalı bağlantılarla açılabilir: uygulamada 5 dakika, yapay zekâ sağlayıcıları için 1 saat, yedek yayın yolu için 24 saat.
• Yüklenen görseller (JPEG, PNG ya da WebP, en çok 20 MB) yeniden kodlanır, genişliği en çok 2048 piksele indirilir ve kamera bilgisi ya da konum gibi üst verilerinden arındırılır. Videolar (en çok 200 MB ve 3 dakika) yalıtılmış bir süreçte en çok 1080p'ye dönüştürülür. Bir çalışma alanı günde en çok 1 GB yükleyebilir.
• Yüklenen dosyalar, açılmadan önce zararlı yazılıma karşı taranır; zararlı olarak işaretlenen dosya reddedilir ve hiç saklanmaz .
• Yapay zekâ ile üretilen görsel ve videolar, SemPost'un onları yapay zekâyla ürettiğini gösteren C2PA içerik kimlik bilgisi taşır.

Yedekleme ve geri yükleme

• Veritabanı pgBackRest ile Cloudflare R2'ye yedeklenir: her pazar tam yedek, her gün fark yedeği ve en geç 5 dakikada bir işlem günlüğü (WAL).
• Yedekler sunucumuzdan çıkmadan önce şifrelenir.
• Dört tam yedek tutarız. Bu, veritabanını yaklaşık son 4 hafta içindeki herhangi bir ana geri döndürmemizi sağlar. Silinen veri bu yedeklerde, yedeklerin süresi dolana kadar kalabilir; bu sürede başka hiçbir amaçla kullanılmaz.
• Saatlik bir iş yedekleri denetler ve bir sorun varsa bize e-posta gönderir.
• Her ay otomatik bir deneme son yedeği ayrı bir kopyaya geri yükler ve canlı veritabanıyla karşılaştırır .
• R2'deki medya dosyaları ve önbellek bu yedeklere dahil değildir. Kaybetmeyi göze alamayacağınız dosyaların kendi kopyalarını saklayın.

Günlük kayıtları ve izleme

• Uygulama günlükleri yapılandırılmış biçimdedir. E-posta adresleri, erişim anahtarları ve parolalar maskelenir; yalnız listelenmiş alanlar yazılır. Yavaş ya da hatalı isteklerde yalnız yol, yöntem ve durum kodu kaydedilir. Hata iletilerinde veritabanı sorgularındaki değerler gizlenir.
• Web sunucusu günlükleri IP adresini, zamanı, yöntemi, sorgu dizgisi olmadan yolu, durum kodunu, sorgu dizgisi olmadan yönlendireni ve tarayıcıyı kaydeder.
• Veritabanı günlükleri yarım saniyeden uzun süren sorguları kaydeder; böyle bir kayıt sorguda kullanılan değerleri de içerebilir .
• Saklama: sunucu günlükleri dönüşümlü tutulur; eski kayıtlar kendiliğinden silinir .
• Denetim günlüğü: yaklaşık 110 tür işlem zaman, IP adresi ve tarayıcı bilgisiyle kaydedilir. Kayıtlar 2 yıl saklanır; IP adresi ve tarayıcı bilgisi 1 yıl sonra boşaltılır .
• İzleme: sağlık denetimi ve saatlik yedek denetimi bir şey bozulduğunda bize e-posta gönderir. Bir olay hizmeti etkilediğinde etkilenen çalışma alanlarına e-postayla haber veririz .
• Uygulamada üçüncü taraf analitik, etiket yöneticisi ya da hata izleme yazılımı yoktur.

SemPost'u nasıl geliştiriyoruz

• Yukarıdaki yetki testi dahil otomatik testler kullanırız.
• Faturalama ve Shopify uygulamasındaki değişiklikler yayından önce güvenlik incelemesinden geçer.
• Derleme hattı kodda bulunmaması gereken gizli bilgileri tarar. Derleme sunucusu yalnız dağıtım işini çalıştırır.
• Bir kayıt listesi kişisel veri tutan veritabanı alanlarını sayar; otomatik bir test, nasıl silineceğine karar verilmemiş yeni bir alanın eklenmesini engeller .
• Bağımlılıklar bilinen açıklara karşı taranır; en hassas alanlar (giriş, yetkiler, faturalama ve Shopify uygulaması) OWASP ASVS 2. seviyenin seçilmiş maddelerine göre incelenmiştir .

Güvenlik olayları

Olası bir güvenlik olayını fark ettiğimizde:

1. olayı sınırlarız; örneğin erişimi keser ya da anahtarları yenileriz;
2. ne olduğunu, hangi verilerin ve hangi müşterilerin nasıl etkilendiğini araştırırız;
3. nedeni gideririz ve hizmeti olağan hâline döndürürüz;
4. bilmesi gerekenlere aşağıdaki sürelerde haber veririz;
5. ne olduğunu ve neyi değiştirdiğimizi kayda geçiririz.

Güvenlik olaylarının ele alınmasından şirketin yönetimi sorumludur.

Bildirim süreleri:

• İçeriği etkilenen müşteriler (onların veri işleyeni olarak çalıştığımızda): ihlali öğrendikten sonra gecikmeksizin ve 48 saat içinde, Veri İşleme Sözleşmemizin 11. bölümünde anlatıldığı gibi çalışma alanı sahiplerine e-postayla.
• Denetim makamları (veri sorumlusu olduğumuz durumlarda, örneğin hesap verileri için): GDPR'ın gerektirdiği hâllerde 72 saat içinde; Kişisel Verileri Koruma Kurulu'na 72 saat içinde.
• Etkilenen kişiler: ihlalin onlar için yüksek risk doğurması muhtemelse gecikmeksizin.
• Hizmet durumu: bir olay hizmeti etkilediği sürece etkilenen çalışma alanlarına e-postayla .

Güvenlik açığı bildirmek

Güvenlik araştırmacılarından ve SemPost'ta bir zayıflık bulan herkesten gelen bildirimleri memnuniyetle karşılarız.

Nasıl bildirilir

[email protected] adresine İngilizce ya da Türkçe yazın. Lütfen şunları ekleyin:

• etkilenen adres ya da özellik;
• sorunu yeniden oluşturma adımları;
• bir saldırganın bununla neler yapabileceği;
• ekran görüntüsü ya da kısa bir video gibi kanıtlar;
• size nasıl ulaşabileceğimiz ve teşekkür ederken adınızın anılmasını isteyip istemediğiniz.

Şifreli bildirim için bir PGP anahtarı yayımlamıyoruz.

Kapsam

Kapsamda olanlar:

• www.sempost.ai ve docs.sempost.ai;
• API'si dahil app.sempost.ai;
• Shopify içindeki SemPost uygulaması embed.sempost.ai;
• admin.sempost.ai, yalnız giriş yapmadan bulunabilen sorunlar için. Cloudflare Access'i aşmaya çalışmayın.

Kapsam dışında olanlar:

• kullandığımız başka şirketlerin hizmetleri; örneğin Cloudflare, Link (Stripe), Shopify, Zernio, sosyal ağlar ve yapay zekâ sağlayıcılarımız. Oralardaki sorunları ilgili şirkete bildirin; SemPost kullanıcıları etkileniyorsa bize de haber verin;
• hizmet engelleme, yük denemeleri ve istenmeyen ileti;
• ekibimize ya da müşterilerimize yönelik sosyal mühendislik ya da oltalama ve fiziksel saldırılar;
• zaten ele geçirilmiş bir cihaz ya da tarayıcı gerektiren sorunlar;
• güvenlik etkisi gösterilmemiş otomatik tarayıcı raporları ya da eksik "iyi uygulama" ayarlarıyla ilgili bildirimler.

Deneme kuralları

• Yalnız kendi açtığınız hesaplar ve çalışma alanlarıyla deneyin. Ücretsiz deneme yeterlidir; hesap başına bir kez kullanılabilir. Shopify uygulaması için size ait bir geliştirme mağazası kullanın.
• Başkalarının verilerine erişmeyin, onları değiştirmeyin ya da silmeyin. Size ait olmayan bir veriye ulaşırsanız durun, veriyi saklamayın ve paylaşmayın, bize haber verin.
• Size ait olmayan sosyal hesaplarda yayın yapmayın ve SemPost üzerinden başkalarına mesaj göndermeyin.
• İstek sayısını düşük tutun ve hız sınırlarımıza uyun.
• Bir açığı bize göstermek dışında hiçbir amaçla kullanmayın ve açıklamamak karşılığında ödeme istemeyin.
• Başkalarına anlatmadan önce sorunu düzeltmemiz için bize makul bir süre tanıyın: sorunu düzeltene kadar ya da bildiriminizden 90 gün sonrasına kadar, hangisi önce gelirse. Sizinle bir tarih üzerinde anlaşmaya hazırız.

Güvenli liman

İyi niyetle hareket eder ve bu kurallara uyarsanız araştırmanızı izinli sayarız. Bu nedenle size karşı hukuki yola başvurmayız ve hiçbir makamdan size karşı işlem yapmasını istemeyiz. Bu kurallara uyan bir araştırma nedeniyle bir başkası size karşı hukuki yola başvurursa, araştırmaya izin verdiğimizi açıkça bildiririz. Bu izin, başka şirketlerin hizmetlerini denemeyi kapsamaz.

Bildiriminizden sonra

• Bildiriminizi aldığımızı 3 iş günü içinde teyit ederiz.
• İlk değerlendirmemizi 10 iş günü içinde size bildiririz.
• Sorunu doğruladıktan sonra kritik sorunları 7 gün, yüksek önemdeki sorunları 30 gün, orta önemdeki sorunları 90 gün içinde düzeltmeyi hedefleriz; düşük önemdeki sorunlar olağan çalışmamız içinde düzeltilir. Sorun düzelene kadar sizi bilgilendiririz ve düzeldiğinde haber veririz.
• Kabul ederseniz adınızı bu sayfadaki bir teşekkür listesinde anarız.
• Ücretli bir hata ödülü programımız yoktur.

security.txt

Güvenlik bildirimleri için iletişim bilgilerimizi makinece okunabilir biçimde https://www.sempost.ai/.well-known/security.txt adresinde yayımlarız (RFC 9116). Dosyanın içeriği:

Contact: mailto:[email protected]
Expires: 2027-10-30T00:00:00.000Z
Preferred-Languages: en, tr
Canonical: https://www.sempost.ai/.well-known/security.txt
Policy: https://www.sempost.ai/legal/security

Dosyayı "Expires" satırındaki tarihten önce yenileriz. Dosya yalnız www.sempost.ai'de yayımlanır ve OpenPGP ile imzalanmaz. Bu sayfanın Türkçe sürümü https://www.sempost.ai/tr/legal/security adresindedir.

Sertifikalar

SemPost'un ISO/IEC 27001 gibi bir güvenlik sertifikası ya da SOC 2 raporu yoktur. Henüz dışarıdan bir sızma testi yaptırmadık. Sağlayıcılarımızın sahip olduğu sertifikalar SemPost'un kendisi için geçerli değildir.

Sizin yapabilecekleriniz

• İki adımlı doğrulamayı açın ve çalışma alanınızın tamamı için zorunlu kılın.
• Her ekip üyesine yetecek en düşük rolü verin; ayrılanları çıkarın.
• Oturumlarınızı ara sıra gözden geçirin; tanımadıklarınızı sonlandırın.
• Bir şey ters görünüyorsa çalışma alanının denetim günlüğüne bakın.
• Önemli dosyalarınızın kendi kopyalarını saklayın.
• SemPost'tan geldiğini söyleyen şüpheli bir e-posta alırsanız [email protected] adresine iletin.

İlgili belgeler

• Veri İşleme Sözleşmesi
• Alt İşleyenler
• Gizlilik Politikası
• Veri Silme Talimatı
• Kabul Edilebilir Kullanım Politikası

Değişiklikler