Güvenlik

Verilerin şifrelenmesi

• Tarayıcınızla sunucularımız arasındaki tüm trafik HTTPS (TLS) üzerinden şifrelenir.
• Veritabanı, altyapı sağlayıcımız Supabase tarafından disk düzeyinde şifreli tutulur.
• Entegrasyon kimlik bilgileri (ikas client secret, Google ve Meta erişim token'ları) veritabanında ayrıca AES-256 ile şifrelenir. Şifreleme anahtarı veritabanında değil, ayrı bir sunucu ortamında tutulur. Bu bilgiler hiçbir zaman tarayıcınıza geri gönderilmez.
• Ödeme bilgileriniz bize hiç ulaşmaz: ödemeler Lemon Squeezy tarafından alınır.

Markalar arası izolasyon

• Her tabloya satır düzeyinde erişim kuralları (Row Level Security) uygulanır; bir kullanıcı yalnızca sahibi olduğu veya ekibine davet edildiği markaların verisine erişebilir.
• Bu izolasyon, her kod değişikliğinde gerçek bir veritabanına karşı otomatik testlerle doğrulanır.

Hesap güvenliği

• İki adımlı doğrulamayı (TOTP) Ayarlar'dan açabilirsiniz. Açık olduğunda, şifreniz ele geçirilse bile ikinci adım tamamlanmadan verilerinize erişilemez; bu kural sunucu tarafında uygulanır.
• Google ve Meta bağlantılarında yalnızca gereken izinler istenir; bir entegrasyonu kestiğinizde erişim izni sağlayıcı tarafında da iptal edilir.

Ekibimizin erişimi

• Yönetim paneline yalnızca iki adımlı doğrulamayla ve kısıtlı ağlardan erişilebilir.
• Destek için bir hesabı görüntülemek gerektiğinde erişim en fazla 15 dakika sürer ve kayıt altına alınır.
• Yönetim işlemleri denetim kayıtlarına yazılır.

Yedekleme ve izleme

• Veritabanı her gün yedeklenir; yedekler şifreli olarak 30 gün saklanır ve geri yükleme süreci test edilir.
• Yetkisiz erişim denemeleri, olağan dışı hata artışları ve başarısız istekler otomatik olarak izlenir ve düzenli olarak ekibimize bildirilir.

Yapay zekâ analizleri

• Yapay zekâ analizleri için mağazanızın toplu metrikleri (ciro, sipariş, trafik, dönüşüm hunisi, bağlıysa reklam kanallarının toplam harcama ve dönüşümleri), en çok ziyaret edilen sayfa yolları ve arama sorguları analiz sağlayıcısına gönderilir.
• Müşterilerinizin adı, e-postası, telefonu veya adresi gibi kişisel bilgileri yapay zekâ sağlayıcılarına gönderilmez.
• Kullandığımız yapay zekâ sağlayıcıları, gönderilen verileri kendi modellerini eğitmek için kullanmaz.

Verilerin silinmesi

• Hesabınızı Ayarlar'dan silebilirsiniz. Talepten 30 gün sonra hesabınız ve tüm marka verileriniz kalıcı olarak silinir; bu süre içinde vazgeçebilirsiniz.
• Silme talebinde varsa aboneliğiniz iptal edilir ve bağlı entegrasyonların erişim izinleri geri alınır.
• Verilerinizin bir kopyasını Ayarlar'dan istediğiniz zaman JSON olarak indirebilirsiniz.

Olay bildirimi

• Kişisel verilerinizi etkileyen bir güvenlik olayında, 6698 sayılı KVKK kapsamında Kişisel Verileri Koruma Kurulu'na 72 saat içinde bildirimde bulunur, etkilenen kullanıcıları gecikmeksizin bilgilendiririz.

Güvenlik açığı bildirimi

Growtyx'te bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen hello@growtyx.com adresine "Güvenlik" konu başlığıyla yazın. Açığı tekrar üretmek için gereken adımları ve etkisini paylaşırsanız çok yardımcı olur.

Bildiriminizi 3 iş günü içinde yanıtlar, düzeltme süreci hakkında sizi bilgilendiririz.

İyi niyetle yapılan, kullanıcı verisine erişmeyen, değiştirmeyen veya silmeyen ve hizmeti aksatmayan araştırmalar için yasal işlem başlatmayız. Bir açığı düzeltilmeden kamuya açıklamamanızı rica ederiz.

Kapsam dışı

• Hizmet dışı bırakma (DoS/DDoS) ve yük testleri
• Sosyal mühendislik, oltalama ve fiziksel saldırılar
• Başka kullanıcıların hesaplarına veya verilerine erişim denemeleri
• Otomatik tarayıcı çıktıları ve istismar edilebilirliği gösterilmemiş bulgular

Hizmet sağlayıcılarımız

Hizmeti sunmak için altyapı, ödeme, e-posta ve yapay zekâ gibi alanlarda üçüncü taraf sağlayıcılardan yararlanıyoruz. Bu sağlayıcıların kategorileri Gizlilik Politikası'nda yer alır; güncel listeyi talep etmek için hello@growtyx.com adresine yazabilirsiniz.