1. Yaklaşımımız
Ticariplus Yazılım Anonim Şirketi, müşterilerinin ticari ve kişisel verilerini korumayı işinin temeli sayar. Güvenlik önlemleri; KVKK m. 12, Kişisel Verileri Koruma Kurulu'nun "Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler)" ve sektörde kabul görmüş uygulamalar (OWASP, ISO/IEC 27001 kontrol yaklaşımı) esas alınarak tasarlanır ve düzenli olarak gözden geçirilir.
2. Altyapı ve Barındırma
- Uygulamalar, Ticariplus tarafından yönetilen ve yalnızca Ticariplus hizmetlerine ayrılmış sunucularda çalışır; kaynaklar başka müşterilerle paylaşılmaz.
- Her abone firmanın verileri ayrı bir veritabanında tutulur; uygulama katmanında firma kimliği her istekte doğrulanır.
- Sunucu işletim sistemi ve bileşenleri güvenlik güncellemeleriyle güncel tutulur; güncellemeler ve yamalar kayıt altındadır.
- Sistem yükü, disk ve servis durumu sürekli izlenir; anormal durumlarda yöneticilere e-posta/WhatsApp ile otomatik uyarı gider.
3. Ağ ve Uygulama Güvenliği
- Tüm trafik HTTPS (TLS 1.2+) ile şifrelenir; HSTS ve güvenlik başlıkları (CSP, X-Frame-Options, X-Content-Type-Options) uygulanır.
- Güvenlik duvarı ve otomatik saldırı engelleme (fail2ban) ile hatalı giriş denemeleri, tarama ve kaba kuvvet saldırıları engellenir; giriş ekranlarında hız sınırı vardır.
- Formlar CSRF anahtarı ve Origin/Referer kontrolüyle korunur; tüm veritabanı sorguları parametreli (prepared statement) çalışır; çıktılar kaçışlanarak XSS önlenir.
- Ödeme dönüşleri banka imzasıyla doğrulanır; kart bilgileri hiçbir aşamada Ticariplus sunucularına yazılmaz.
- Yönetim paneli ve sunucu erişimi IP kısıtlaması ve anahtar tabanlı SSH ile sınırlandırılabilir; parola ile uzak erişim kapalıdır.
4. Kimlik Doğrulama ve Yetkilendirme
- Şifreler geri döndürülemez algoritmalarla (bcrypt/argon2) özetlenerek saklanır; düz metin olarak hiçbir yerde tutulmaz ve destek personeli tarafından görülemez.
- Rol tabanlı yetkilendirme: firma yöneticisi, modül bazında görüntüleme/düzenleme/silme yetkilerini kullanıcı ve rol düzeyinde belirler.
- Oturumlar süre sınırlı ve cihaza bağlıdır; şüpheli girişler kayıt altına alınır. Bayi portalında tek kullanımlık kod (OTP) ile giriş desteklenir.
- Kullanıcıların yaptığı tüm kritik işlemler (belge oluşturma/silme, ayar değişikliği, yetki değişikliği) işlem geçmişinde kim/ne zaman bilgisiyle tutulur.
5. Yedekleme ve İş Sürekliliği
- Veritabanları ve dosyalar her gün otomatik olarak yedeklenir; yedekler en az 30 gün saklanır ve düzenli olarak geri yükleme testinden geçirilir.
- Yedekler ana sunucudan bağımsız bir konumda, şifreli olarak tutulur.
- Kesinti hâlinde hedef geri dönüş süresi (RTO) 4 saat, hedef veri kaybı süresi (RPO) 24 saattir.
6. İdari Tedbirler
- Tüm çalışanlar ve alt yükleniciler gizlilik sözleşmesi imzalar ve KVKK/bilgi güvenliği eğitimi alır.
- Müşteri verilerine destek amaçlı erişim yalnızca müşterinin talebiyle, talep konusuyla sınırlı olarak ve kayıt altında yapılır.
- Alt yüklenicilerle (veri merkezi, entegratör, iletişim altyapısı) veri işleme sözleşmesi yapılır.
- Güvenlik olayları için müdahale planı vardır; ihlaller kayıt altına alınır, kök neden analizi yapılır ve ilgili taraflar bilgilendirilir.
7. Güvenlik Açığı Bildirimi (Responsible Disclosure)
Ticariplus sistemlerinde bir güvenlik açığı tespit ederseniz lütfen kamuya açıklamadan önce destek@ticariplus.com adresine "Güvenlik" konu başlığıyla bildirin. Bildiriminizi 2 iş günü içinde yanıtlar, doğrulanan açıkları önceliklendirerek kapatır ve iyi niyetli araştırmacılara karşı hukuki yola başvurmayız. Lütfen test sırasında müşteri verilerine erişmeyin, hizmeti kesintiye uğratmayın ve otomatik tarama araçlarını yoğun kullanmayın.
8. Müşterinin Payına Düşenler
Güçlü ve tekil şifreler kullanın; şifrenizi kimseyle paylaşmayın; ayrılan personelin hesabını hemen kapatın; yetkileri en az ayrıcalık ilkesiyle verin; işlem geçmişini düzenli kontrol edin; şüpheli e-posta ve bağlantılara dikkat edin. Ticariplus hiçbir zaman e-posta veya telefonla şifrenizi istemez.
Son güncelleme: 26 Eylül 2026.