Gizlilik Politikası

1. Kimiz ve bu politika neyi kapsar

Bu politika, Enterprise.Systems'in ("biz") 8200.dev üzerinde kişisel verileri nasıl işlediğini açıklar. Hesap ve web sitesi verileri bakımından veri sorumlusu biziz. Kuruluşunuzun bağladığı kaynakların içindeki veriler ("Müşteri Kaynak Verileri") bakımından ise veri sorumlusu kuruluşunuzdur ve biz, Veri İşleme Sözleşmesi kapsamında onun veri işleyenleriyiz — bu verileri kuruluşunuzun kendi gizlilik bildirimleri yönetir.

2. İşlediğimiz veriler

Aşağıdaki kategorileri işleriz:

• Hesap verileri — e-posta adresi, ad, parola karması (scrypt; parolanın kendisini asla saklamayız), kuruluş adı, rol ve yerel ayar; kullanmanız halinde, şifreli olarak saklanan ikinci faktör (TOTP) gizli anahtarınız ve oturum açma oturumlarınıza ilişkin bir kayıt (zaman, IP adresi ve tarayıcı).
• Müşteri Kaynak Verileri — onayladığınız OAuth kapsamları aracılığıyla salt okunur olarak elde edilen, bağlı kaynaklardan gelen meta veriler ve izin bilgileri: kaynak adları ve tanımlayıcıları, paylaşım ayarları, izin tahsisleri ve erişim sahibi olan asilerin kimlikleri (kişiler, hizmet hesapları ve AI aracıları). Dosyalarınızın içeriğini okumaz veya saklamayız.
• Bulgular — platformun kuruluşunuz için ürettiği güvenlik bulguları, açıklamalar ve kanıtlar.
• Kullanım ve günlük verileri — IP adresi, kullanıcı aracısı, zaman damgaları ve platformda gerçekleştirilen eylemlerin yalnızca ekleme yapılabilen bir denetim kaydı.
• Çerezler — oturum açma, güvenlik ve tercihleriniz için küçük bir birinci taraf çerez kümesi ile — yalnızca onaylamanız hâlinde — bir iş ortağı yönlendirme çerezi; tam liste bölüm 15'te yer almaktadır. Reklam, analiz veya siteler arası izleme çerezleri kullanmıyoruz.

2A. The AI Exposure Check

This section applies to the free AI Exposure Check. You do not need an account to use it. Enterprise.Systems is the controller of the data described here. We rely on our legitimate interest in running a free public tool and preventing its abuse (GDPR Art. 6(1)(f)), and on your consent for the optional e-mails (Art. 6(1)(a)). Your rights, including the right to object, how to complain, and international transfers are in sections 8 and 9; data requests go to [email protected].

What we process:

• The domain you enter, reduced to its main (registrable) domain, and the public DNS records of that domain, of the names its mail records refer to, and of a fixed list of common names under it (for example www, autodiscover and DKIM selectors), read at the moment of the check. The check turns them into a score, counts and status flags. The saved result holds those and no record values or service names.
• To apply limits and prevent abuse: your IP address. We send it, with the token from the human check, to Cloudflare Turnstile to verify the check. Our counters hold only a keyed hash of it (a one-way code made with a secret key; for IPv6, of the /64 network), never the address. To apply the limit on different domains per day, a daily counter is kept under a keyed hash of the network together with the domain. If you are signed in, your account ID is the key of your daily counter. For each domain we also keep a counter, so that it is checked afresh at most once a day, and a daily total of fresh checks with no domain and no IP address.
• To limit confirmation e-mails: a keyed hash of the e-mail address, with a counter, kept for 7 days. It can outlive the address, which is deleted sooner.
• Only if you choose to: a share card, and an e-mail address with the domain and your consent (below).
• The check writes no entry to the audit trail.

How long we keep it:

• The saved result of a check (the domain, the score and counts, and a random link token): 24 hours, then deleted automatically; the clean-up runs every hour. Anyone who checks the same domain in that time gets the saved result, and the result link shows the score and counts, not the domain.
• Limit counters: deleted by the hourly clean-up once the hour or UTC day they cover has ended, so at most 26 hours after they are created; the e-mail counter is kept 7 days.
• A share card (created only when you click "Create a share link"): the score, the counts and the date, and the domain only if you tick "Show the domain on the card". It has a random, unlisted link, works for 30 days and is then deleted. Copies that other sites make when you post the link are outside our control and are not deleted by us.
• An e-mail address: see the next paragraph.
• Backups: deleted rows, including saved results and limit counters, can stay in our encrypted backups for up to about 56 days.

Your e-mail address (optional). On a result you can give an e-mail address. We store it only if you tick the consent box yourself; the box is never ticked in advance. We then send an e-mail with a link to confirm the address (at most 3 such e-mails per address in each fixed 7-day period). Until you confirm, we send no other e-mail. The entry holding an address that is not confirmed is deleted within 48 hours. After you confirm, we send you the result as a short text summary and one reminder about 30 days later, inviting you to check again. The summary is kept with the address until the entry is deleted. Every e-mail has an unsubscribe link; one click on the page it opens stops the e-mails and deletes this address-and-domain entry. We keep a confirmed address with the domain and the version and time of your consent for up to 12 months, then delete it. The e-mails themselves are kept as a delivery record for up to 30 days, after which their address and text are scrubbed. We use the address for nothing else, do not sell it, and give it to no one except our e-mail provider Resend, which delivers through Amazon SES. If someone enters your address without your knowledge, ignore the confirmation e-mail: the entry holding it is deleted within 48 hours.

Who receives what. Cloudflare’s public DNS resolver receives the DNS questions about the domain name; they are asked from our servers, so it does not receive your IP address. Google’s public DNS resolver is an independent recipient: it receives the same questions (domain names only) only if Cloudflare’s resolver fails, and it is not our subprocessor. Cloudflare Turnstile runs in your browser, is loaded from challenges.cloudflare.com, and receives your IP address and browser details to decide whether you are a person. Resend and Amazon SES receive the optional e-mails. Our e-mail provider keeps its own send logs for 30 days.

Information about other organizations. A domain usually belongs to an organization, and DNS records are public. Some records can contain personal data, for example an e-mail address in a DMARC record. We read them only to compute the score and counts, and we do not show record values in a result. The result for a domain is public to anyone who checks it. There is not yet a way for a domain owner to opt out of the public result. The check does not use a large language model.

3. Verileri nasıl kullanırız

Verileri hizmeti sağlamak ve güvenliğini sağlamak için kullanırız: izinleri sıralamak, bulgular ve sade dille açıklamalar üretmek, Otomatik düzeltme özelliğini açtıysanız hazırladığınız düzeltme eylemlerini gerçekleştirmek, kimliğinizi doğrulamak, işlemsel e-posta göndermek, destek sağlamak ve yasal yükümlülükleri yerine getirmek. Kişisel verileri satmayız, reklam göstermeyiz ve Müşteri Kaynak Verilerini AI modellerini eğitmek için kullanmayız.

4. Hukuki dayanaklar (GDPR)

GDPR'nin uygulandığı durumlarda şunlara dayanırız:

• Bir sözleşmenin ifası (Madde 6(1)(b)) — hesabınızı işletmek ve bulgular üretmek.
• Meşru menfaatler (Madde 6(1)(f)) — platformun güvenliğini sağlamak, kötüye kullanımı önlemek ve tespit kalitesini iyileştirmek.
• Rıza (Madde 6(1)(a)) — isteğe bağlı iletişimler; her zaman geri alınabilir.
• Yasal yükümlülük (Madde 6(1)(c)) — muhasebe, vergi ve yasal talepler.

5. AI işleme

Anthropic API aracılığıyla büyük dil modellerini üç şey için kullanırız: (a) yazdığınız mesajları tam olarak yazdığınız şekilde alan ve oturum açtığınızda yalnızca toplu gerçeklerden oluşan kısa bir hesap özetini (planınız, kaç kaynağın bağlı olduğu ve sağlıklı olup olmadıkları, duruş puanınız ve dereceniz, kaç bulgunun açık ve kaçının kritik olduğu ve ekip büyüklüğünüz) alan ürün içi destek asistanı; (b) talep ettiğiniz yönetici özeti anlatıları; bunlar yalnızca toplu rakamları alır: duruş puanınız ve dereceniz, dönem boyunca eğilimi, önem derecesine göre bulgu sayıları, emsal yüzdelik diliminiz, plan adları ve en yaygın risk kategorileriniz — bir sayıyla birlikte genel kategori etiketleri olarak (örneğin "Genel bağlantı paylaşımı (yalnızca bağlantı): 3"); ve (c) yalnızca arayüz metnini gönderen, arayüzü ek dillere çevirme. Bu isteklerin hiçbiri bağlı kaynaklarınızdan bir tanımlayıcı içermez: dosya, klasör veya sürücü adı yok, kullanıcı veya hesap adı yok, e-posta adresi yok, yol yok, hesap kimliği yok ve kuruluşunuzun adı yok. Asla dosya içeriği veya kimlik bilgileri göndermeyiz. Anthropic'in ticari koşulları kapsamında, API aracılığıyla gönderilen veriler Anthropic'in modellerini eğitmek için kullanılmaz.

6. Alt işleyiciler ve paylaşım

Kişisel verileri yalnızca aşağıdaki alt işleyicilerle, gizlilik yükümlülüğü altındaki profesyonel danışmanlarla veya yasanın gerektirdiği durumlarda paylaşırız:

• Anthropic (ABD) — AI destek asistanı, yönetici özeti anlatıları ve arayüz çevirisi.
• Cloudflare (global) — CDN, TLS termination, and DDoS protection; for the AI Exposure Check also the human check (Turnstile) and a public DNS resolver (DNS-over-HTTPS).
• RunPod (ABD/AB) — platformu barındıran bulut altyapısı.
• Resend (ABD) — işlemsel e-posta teslimatı; teslimatın kendisi, Resend'in alt işleyicisi olan Amazon SES tarafından gerçekleştirilir.
• PayPal (ABD) — abonelik faturalandırması ve ödeme işleme.
• Telegram (küresel) — nöbetçi ekibimize giden operasyonel uyarılar. Uyarılar dahili tanımlayıcılar, durumlar ve tutarlar içerir; kişisel verilerinizi içerecek şekilde tasarlanmamıştır ve e-posta adresleri gönderimden önce otomatik olarak kaldırılır. Telegram tarafından yayımlanmış, 28. madde kapsamında bir veri işleme sözleşmesi bulamadık.
• Sentry (ABD; Functional Software, Inc. tarafından işletilir) — hata tanılama, yalnızca sunucu tarafında. Hata raporları hata mesajını, yığın izini, istek yolunu ve istek kimliğini, son günlük satırlarını ve istek URL'lerini (breadcrumb), izin verilenler listesindeki kısa bir istek başlığı grubunu (user-agent dahil) ve çalışma zamanı meta verilerini (sürüm, ortam, sunucu adı) içerir. E-posta adresleri, telefon numaraları, IP adresleri, belirteçler ve uzun gizli dizeler gönderimden önce kaldırılır; istek yolunda yer alan tanımlayıcılar (örneğin bir kuruluş veya kullanıcı kimliği) gönderilir. Çerez, istek gövdesi, sorgu dizesi veya oturum kaydı gönderilmez.

Bu listeyi burada güncelliyoruz; DPA'ya sahip kuruluşlar, DPA uyarınca eklemeler hakkında önceden bildirim alır.

7. Saklama

Verileri gerekenden daha uzun süre saklamayız:

• Hesap verileri — hesabınızın ömrü boyunca. Hesap silme işleminin 7 günlük bir ödemesiz süresi vardır; bu sürenin ardından veriler kalıcı olarak temizlenir. Yasanın saklamamızı zorunlu kıldığı kayıtları (faturalar, alacak dekontları ile ödeme ve iade kayıtları), yasanın öngördüğü süre boyunca, İsrail hukukuna göre 7 yıl, hesabınızı sildikten sonra bile saklarız. Hesap verilerinizin geri kalanını sileriz. Silinmiş verilerin şifreli yedeklerimizdeki kopyaları, yedekler döndükçe yaklaşık 56 gün içinde kaldırılır; bu, yukarıda belirtilen kayıtları etkilemez.
• Bulgular ve izin anlık görüntüleri — varsayılan olarak 24 ay veya kuruluşunuzun yapılandırdığı süre.
• Operasyonel ve denetim günlükleri — 90 gün.
• Hesabınızı silmek, yalnızca size ait kuruluşları da, bunların bağlayıcılarını (saklanan kimlik bilgileri derhal imha edilir), anlık görüntülerini ve bulgularını da siler.
• AI Exposure Check — saved results 24 hours; limit counters at most 26 hours (the e-mail counter 7 days); share cards 30 days; an e-mail entry 48 hours if not confirmed and up to 12 months once confirmed, and the e-mails sent as a delivery record 30 days; deleted rows stay in encrypted backups for up to about 56 days; our e-mail provider keeps its own send logs for 30 days (details in section 2A).

8. Haklarınız

GDPR ve benzeri yasalar uyarınca erişim, düzeltme, silme, taşınabilirlik, işlemenin kısıtlanması ve itiraz hakkına ve hukuki etkisi olan yalnızca otomatik kararlara tabi olmama hakkına sahipsiniz (platform sizinle ilgili böyle bir karar vermez). Dışa aktarma ve silme, self-servis olarak yapılır: Ayarlar → Verilerimi dışa aktar / Hesabımı sil. Diğer her konu için [email protected] adresine yazın — 30 gün içinde yanıt veririz. Ayrıca denetim makamınıza şikâyette bulunabilirsiniz.

9. Uluslararası aktarımlar

AB yeterlilik kararına sahip olan İsrail merkezliyiz; altyapı, Alt İşleyiciler başlığı altında listelenen bölgelerde çalışır. Kişisel verilerin AEA/Birleşik Krallık'tan yeterlilik kararı bulunmayan ülkelere aktarıldığı durumlarda, Avrupa Komisyonu'nun Standart Sözleşme Maddelerine (SCC'ler) ve eşdeğer Birleşik Krallık güvencelerine ve ayrıca tamamlayıcı teknik önlemlere (aktarım sırasında ve beklemede şifreleme) dayanırız.

10. Kaliforniya (CCPA/CPRA)

CCPA/CPRA tarafından tanımlandığı şekilde kişisel bilgileri satmıyor veya paylaşmıyoruz ve önceki 12 ay içinde de bunu yapmadık. Kaliforniya sakinleri, bilme, düzeltme, silme ve bu hakları kullandıkları için ayrımcılığa uğramama haklarına sahiptir — Ayarlar bölümündeki self-servis araçları veya [email protected] adresini kullanın.

11. Güvenlik

Veriler aktarım sırasında şifrelenir (TLS) ve saklanan kimlik bilgileri beklemede şifrelenir (AES-256-GCM). Kaynaklarınıza erişimin izlenmesi salt okunurdur ve en az ayrıcalık ilkesine dayanır; yazma erişimi yalnızca Otomatik düzeltmeyi açıp ayrıca izin vermeniz durumunda mevcuttur ve bunu istediğiniz zaman iptal edebilirsiniz. Parolalar yalnızca tuzlanmış scrypt hash'leri olarak saklanır. Her platform eylemi, yalnızca ekleme yapılabilen bir denetim günlüğüne yazılır. Kişisel veri ihlallerini, GDPR 33–34. Maddeleri ile uyumlu olarak, gereksiz gecikme olmaksızın etkilenen kuruluşlara bildiririz.

12. Çocuklar

Platform, bir B2B hizmetidir ve çocuklara yönelik değildir. Hesap sahibi olarak 16 yaşından küçük hiç kimsenin verilerini bilerek işlemeyiz.

13. Bu politikadaki değişiklikler

Değişiklikleri burada yayınlar ve bu sayfanın üst kısmındaki yürürlük tarihini güncelleriz; bir değişiklik o tarihte yürürlüğe girer.

14. Google API Hizmetleri

8200.dev'in Google API'lerinden alınan bilgileri kullanması ve başka herhangi bir uygulamaya aktarması, Sınırlı Kullanım gereklilikleri dahil olmak üzere Google API Hizmetleri Kullanıcı Verileri Politikası'na uygundur.

Workspace API'lerinden alınan ham veya türetilmiş kullanıcı verilerinin kullanımı, Sınırlı Kullanım gereklilikleri dahil olmak üzere Google Kullanıcı Verileri Politikası'na uygun olacaktır.

Genelleştirilmiş yapay zekâ veya makine öğrenimi modellerini geliştirmek, iyileştirmek veya eğitmek için herhangi bir ham veya türetilmiş Google Workspace kullanıcı verisi kullanmıyoruz ve bu tür verileri eğitim amacıyla üçüncü taraf yapay zekâ veya makine öğrenimi araçlarına ya da hizmetlerine aktarmıyoruz. Platformdaki büyük dil modeli analizi (Anthropic API aracılığıyla) yalnızca çıkarım amaçlıdır ve Anthropic'in ticari koşulları uyarınca API üzerinden gönderilen veriler hiçbir zaman Anthropic'in modellerini eğitmek için kullanılmaz.

15. Çerezler

Yalnızca aşağıdaki birinci taraf çerezleri kullanıyoruz. Bunların hiçbiri reklam, analitik ya da sizi diğer sitelerde izleme amacıyla kullanılmaz. Bunların tamamı kesinlikle gerekli olan çerezlerdir veya yaptığınız bir seçimi hatırlar — yalnızca sizin onayınızla ayarlanan es8200_ref hariç.

• authjs.session-token — oturumunuzu açık tutar; oturumu kapattığınızda veya 30 gün boyunca kullanılmadığında sona erer.
• authjs.csrf-token ve authjs.callback-url — oturum açma formunu korur ve sizi geldiğiniz sayfaya geri döndürür; tarayıcı oturumu boyunca sürer.
• authjs.pkce.code_verifier, authjs.state ve authjs.nonce — bir Google oturum açma işlemini tamamlanana kadar korur; 15 dakika.
• mfa_trust — ikinci faktör kontrolünden sonra güvenmeyi seçtiğiniz bir cihazı hatırlar; 30 gün; yalnızca siz seçerseniz ayarlanır.
• active_org — kuruluşlarınızdan hangisini görüntülediğinizi hatırlar; 1 yıl.
• NEXT_LOCALE — dilinizi hatırlar; 1 yıl.
• es8200_plan — fiyatlandırma sayfasında seçtiğiniz planı hatırlar, böylece kayıt işlemi sizi ödeme sayfasına yönlendirebilir; 24 saat.
• es8200_ref — kategori “İş ortağı yönlendirmesi”, isteğe bağlı: yalnızca bir iş ortağının bağlantısı aracılığıyla geldiğinizde gösterilen banner'da kabul etmeniz halinde ayarlanır. Abone olmanız durumunda iş ortağının komisyonunu alabilmesi için yönlendirme kodunu kaydeder; 90 gün.

Üretim ortamında oturum açma çerezleri __Secure- ön ekini taşır ve HttpOnly ile Secure özelliğine sahiptir. Açık veya koyu tema tercihiniz bir çerezde değil, tarayıcınızın yerel depolama alanında saklanır ve hiçbir zaman bize gönderilmez. Çerezleri tarayıcınızda istediğiniz zaman silebilirsiniz; oturum açma çerezleri olmadan oturumunuzu açık tutamazsınız.

16. İletişim ve veri koruma görevlisi

Ürün desteği ve genel sorularınız için [email protected] ile iletişime geçin. Gizlilik ve veri koruma iletişimi (DPO işlevi dâhil): [email protected].