Müşteri yorumları herkese açıktır; ama bir yorumun yazarının adı, bir çalışanın yorumda geçen ismi ve bu verinin bir SaaS'ta işlenmesi KVKK kapsamına girer. Bir zincirin hukuk ve bilgi güvenliği ekipleri, operasyon ekibinin istediği yorum analiz platformunu bu gözle değerlendirir. Bu yazıda KVKK ve veri güvenliği açısından sorulması gereken soruları ve BranchVoice'un bunlara verdiği somut cevapları, yalnızca uygulanan tedbirlerle sınırlı kalarak anlatıyoruz.
KVKK ve veri güvenliği açısından yorum verisi nedir?
Yorum analizinde üç tür veri bir arada bulunur. Birincisi yorumun kendisidir: metin, yıldız, tarih; herkese açık bir platformda yayımlanmıştır. İkincisi yazara ait verilerdir: görünen ad, profil bağlantısı. Üçüncüsü yorumun içinde geçen üçüncü kişilerdir, çoğunlukla mağaza çalışanları.
BranchVoice bu verileri müşterisi adına, veri işleyen sıfatıyla işler: veri sorumlusu, platformu kullanan şirkettir; hangi mağazaların izleneceğine, hangi kaynakların bağlanacağına ve yazar bilgisinin saklanıp saklanmayacağına o karar verir. Bu rol ayrımı, şirketin kendi aydınlatma ve kayıt süreçlerini kurarken dikkate alması gereken ilk noktadır.
Yorumlar herkese açık kaynaklardan toplanır; BranchVoice bu kaynaklara sizin adınıza erişir, veriyi kendi amaçları için kullanmaz ve başka bir müşteriyle paylaşmaz. Hangi platformların izleneceği de şirketin kararıdır: yalnızca Google Haritalar bağlamak ile Şikayetvar ve Ekşi Sözlük'ü de eklemek arasındaki fark, işlenen kişisel verinin kapsamını değiştirir ve aydınlatma metnine yansıtılmalıdır.
Yazar bilgisini saklamama seçeneği
Mağaza listesini içe aktarırken yorum ayarları adımında kişisel veri saklama seçeneği vardır. Kapalı olduğunda yorum yazarının adı ve profil bağlantısı hiç kaydedilmez; onun yerine aynı yazarın tekrar eden yorumlarını eşleştirmeye yarayan, kişiyi tanımlamayan kısa bir takma kimlik üretilir. Yorumun metni, puanı ve analizi eksiksiz çalışmaya devam eder.
Çoğu zincir için doğru varsayılan budur: operasyon ekibinin yazarın adına değil, yorumun içeriğine ve hangi mağazaya ait olduğuna ihtiyacı vardır. Seçenek kaynak bazında tutulduğu için yalnızca yanıt verilecek harita kaynaklarında açık, diğerlerinde kapalı bırakılabilir.
Teknik tedbirler
Güvenlik sayfamızda yalnızca ürünün gerçekten uyguladığı tedbirler listelenir; aynı ilkeyle burada da dört başlığı açıklıyoruz.
Aktarım sırasında şifreleme
Tüm platform trafiği HTTPS üzerinden taşınır. Oturum çerezleri yalnızca güvenli bağlantıda gönderilir ve tarayıcıdaki betiklerin erişemeyeceği biçimde (httpOnly) ayarlanır; böylece oturum anahtarının sayfaya eklenen üçüncü taraf bir betikle çalınması engellenir.
Parola güvenliği
Parolalar düz metin olarak saklanmaz; scrypt algoritmasıyla, her kullanıcı için ayrı tuzla tek yönlü özetlenir. Parola politikası büyük harf ve rakam içeren en az 8 karakter ister. Giriş denemeleri, parola sıfırlama ve kayıt istekleri hız sınırına tabidir; aynı hesaba art arda yanlış denemeler geçici olarak engellenir.
Kısa ömürlü oturumlar
Erişim anahtarı kısa sürelidir; süresi dolduğunda ayrı bir yenileme anahtarıyla yeni bir çift üretilir ve eski anahtar geçersizleşir. "Beni hatırla" seçilmezse oturum tarayıcı kapandığında sona erer. Kullanıcı parolasını değiştirdiğinde ya da hesabı devre dışı bırakıldığında açık oturumları da düşer.
Şirket bazlı veri yalıtımı
BranchVoice çok kiracılı bir platformdur ve her veri kaydı şirkete bağlıdır. Her sorgu, isteği yapan kullanıcının şirketiyle sınırlanır; başka bir şirketin mağazasına, yorumuna ya da raporuna erişmenin bir yolu yoktur. Bu kural uygulama katmanında tek tek endpoint'lerde değil, veri erişiminin tamamında uygulanır. Uyarı kuralı, rapor planı gibi kayıtlar silindiğinde yumuşak silme uygulanır ve yanlışlıkla silinen bir kayıt geri alınabilir; bir mağaza silindiğinde ise mağazaya bağlı yorumlar da kalıcı olarak kaldırılır, böylece kapanan şubenin verisi sistemde gereksiz yere kalmaz.
Kullanıcı yönetimi
Platforma kendi kendine kayıt olan bir şirketin ilk kullanıcısı e-posta doğrulamasıyla etkinleşir. Sonraki kullanıcılar yalnızca şirket tarafından davet edilir: davet e-postası sınırlı süreli bir bağlantı taşır ve kullanıcı ilk parolasını bu bağlantıyla belirler. Davet edilen kullanıcı parolasını belirlemeden hesap etkin olmaz; bağlantının süresi dolduğunda yeniden davet gönderilir. İşten ayrılan bir yöneticinin hesabı devre dışı bırakıldığında erişimi anında biter.
Ekip içinde rol ayrımı yoktur; şirketteki her kullanıcı aynı veriyi görür. Bu, bölge müdürlerinin yalnızca kendi bölgesini görmesini isteyen zincirler için önemli bir tasarım bilgisidir ve değerlendirme aşamasında açıkça konuşulmalıdır.
Değerlendirme için kontrol listesi
Aşağıdaki tablo, tedarikçi değerlendirme formlarında en sık sorulan maddeleri ürünün mevcut davranışıyla eşleştirir; yeni bir tedbir eklendiğinde önce güvenlik sayfası güncellenir.
| Soru | BranchVoice'taki karşılığı |
|---|---|
| Veri hangi rolle işleniyor? | Şirket veri sorumlusu, BranchVoice veri işleyen |
| Yazar adı saklanmak zorunda mı? | Hayır; kaynak bazında kapatılabilir |
| Trafik şifreli mi? | HTTPS, güvenli ve httpOnly çerezler |
| Parolalar nasıl tutuluyor? | scrypt ile tek yönlü özet, parola politikası, hız sınırı |
| Oturum süresi ne kadar? | Kısa ömürlü erişim anahtarı, yenileme anahtarıyla döndürme |
| Başka şirketin verisi görülebilir mi? | Hayır; tüm erişim şirket kapsamıyla sınırlı |
| Kullanıcılar nasıl ekleniyor? | Davetle; istendiğinde devre dışı bırakılabilir |
Bu tablodaki maddelerin güncel hâli her zaman güvenlik sayfasında, kişisel verilerin işlenme amaçları ise KVKK aydınlatma metninde yer alır. Bir güvenlik açığı bulduğunuzu düşünüyorsanız güvenlik sayfasındaki adres üzerinden bildirebilirsiniz; bildirimler gizli tutulur ve doğrulanır.
Veri toplama akışının teknik ayrıntıları için otomatik yorum senkronizasyonu, yazar bilgisi seçeneğinin sihirbazdaki yeri için mağaza listesi içe aktarma yazılarına bakabilirsiniz.
Sonraki adımlar
KVKK uyumu bir sayfa metniyle değil, ürünün varsayılanlarıyla sağlanır: yazar bilgisini saklamama seçeneği, şirket bazlı yalıtım ve davetle kullanıcı yönetimi bunun somut örnekleridir. Hukuk ve bilgi güvenliği ekiplerinizin sorularını birlikte yanıtlamak için demo talep edin.