Güvenlik, erişim ve veri koruma

Panele erişim: iki adımlı doğrulama

Panele giriş iki adımlı doğrulama ile korunur. Yalnız parola yetmez; ikinci adım tamamlanmadan oturum açılmaz. Böylece bir parolanın dışarı sızması tek başına hesabınıza erişim anlamına gelmez.

İki adımlı doğrulamayı ekipteki her kullanıcı için ayrı ayrı açabilirsiniz. Personel değişikliğinde ilgili kullanıcıyı kapatmanız yeterlidir; ortak kullanılan tek bir hesap üzerinden çalışmak zorunda kalmazsınız.

Kullanıcı rolleri: herkes yalnız kendi alanını görür

Bulutegra'da altı rol vardır: Yönetici, İçerik, Depo, İade, Muhasebe ve Raporlama. Rol, kullanıcının panelde ne göreceğini ve neye dokunabileceğini belirler.

Depodaki kullanıcı sipariş ve sevkiyat ekranlarıyla çalışır; kârlılık ve hakediş sayfalarını görmez. İçerik ekibi ürün açıklaması, görsel ve kalite bulgularıyla ilgilenir; fiyat matrisine dokunmaz. Muhasebe hakediş, komisyon ve mutabakat tarafındadır. Yönetici ise kullanıcıları, kanalları ve yetkileri yönetir.

Bu ayrım hem güvenlik hem de sadelik meselesidir: kimse kendi işine ait olmayan bir ekranda yanlışlıkla bir şey değiştiremez.

Yanlış yazmayı engelleyen tasarım: sahiplik bayrağı

Çok kanallı bir operasyonda en pahalı hata, iki sistemin aynı ürüne aynı anda yazmasıdır. Fiyatı biri düşürür, diğeri geri yükseltir; stok yanlış kanala gider.

Bulutegra bunu sahiplik bayrağıyla çözer. Her ürün ve kanal ikilisi için tek bir soru yanıtlanır: bu kanalda bu ürünü Bulutegra mı yönetiyor, yoksa dış bir sistem mi? Sahiplik dışarıdaysa Bulutegra o alanı okur ve raporlar, ama yazmaz.

Bu sayede geçiş dönemlerinde eski sisteminizle Bulutegra'yı yan yana çalıştırabilir, kanalları tek tek devredebilirsiniz.

Kurulumda gölge mod: önce okur, sonra yazar

Kurulumun izleme adımında sistem gölge modda çalışır. Bir–iki hafta boyunca kanallardan veri okur, ne yapacağını hesaplar ve kaydeder; ama hiçbir kanala yazmaz.

Bu süre sonunda elinizde somut bir karşılaştırma olur: Bulutegra hangi stoğu, hangi fiyatı, hangi siparişi nasıl işleyecekti ve mevcut düzeninizle nerede ayrışıyor. Eşleştirme hatası, eksik barkod ya da yanlış kategori varsa canlı veriye dokunmadan görülür.

Gölge mod, yanlış veri yazma riskini tahmin etmek yerine ölçmenizi sağlar. Yazma yetkisi ancak siz onayladıktan sonra, kanal kanal açılır.

Bağlantı, parola ve oturum: teknik önlemler

Bağlantı. Hem bulutegra.com hem panel yalnız HTTPS üzerinden yayın yapar. Tarayıcıya bir yıllık HSTS talimatı gönderilir (alt alan adları dahil), böylece adres şifresiz denenmez bile. Yanıtlarda içerik güvenlik politikası (CSP), çerçeveleme engeli, içerik türü koruması, yönlendiren ve tarayıcı izni politikaları birlikte gönderilir. Sitenin yazı tipleri kendi sunucumuzdadır; sayfalar üçüncü taraf sunuculara istek atmaz.

Parola. Parolalar açık metin saklanmaz ve geri döndürülemez: her kullanıcı için rastgele bir tuz üretilir ve parola PBKDF2-HMAC-SHA256 ile 200.000 tur döndürülerek özetlenir. Girişte kaba kuvvet denemesi kilitle karşılanır: bir IP'den 15 dakika içinde beş hatalı deneme olursa giriş 15 dakika kapanır. Parola sıfırlama bağlantıları imzalıdır ve süre sınırlıdır.

Oturum. Oturum çerezi tarayıcı betiklerine kapalıdır (HttpOnly), yalnız HTTPS üzerinden gönderilir (Secure) ve siteler arası isteklerde taşınmaz (SameSite). İkinci adım doğrulaması TOTP standardıyla çalışır; yedek kurtarma kodları da açık değil, özet olarak saklanır ve bir kez kullanılır. "Bu cihazı hatırla" seçeneği imzalı ve süreli bir çerezdir, süresi dolunca ikinci adım yeniden sorulur.

Aşağıdaki bölümlerde yedekleme düzenini, kimlik bilgilerinin nasıl saklandığını, sunucuların nerede çalıştığını, güvenlik olayı bildirimini ve alt işleyici listesini ayrı ayrı anlatıyoruz. Orada da yazmayan bir ayrıntıyı sözleşme öncesinde yazılı olarak paylaşırız; sormak için destek@bulutegra.com yeterli.

Yedekleme: her gece, iki ayrı yerde

Veritabanları her gece otomatik olarak yedeklenir. Yedek alınırken veritabanının tutarlı bir kopyası çıkarılır; dosya dizinleri ise artımlı olarak kopyalanır, böylece yedekleme işi sistemi yavaşlatmaz.

Yedekler on dört gün boyunca saklanır ve ayrıca ikinci bir sunucuya kopyalanır. Tek bir makinenin kaybı verinin kaybı anlamına gelmez.

Hesabınızı kapattığınızda yedeklerdeki kopyalar, yedek döngüsü içinde kendiliğinden tasfiye olur.

Kanal ve ERP kimlik bilgileri nasıl saklanıyor

Kanal ve ERP bağlantılarınız için gereken kimlik bilgileri sunucuda, yalnız servisin çalıştığı kullanıcının okuyabildiği dosyalarda tutulur. Dosya izinleri sistemdeki başka bir kullanıcının bu dosyaları açmasına kapalıdır ve bu bilgileri panelde yalnız Yönetici rolündeki kullanıcı, Ayarlar ekranında tek tek açarak görebilir.

Burada açık olalım: bu dosyalar disk şifrelemesiyle korunmuyor. Diskin fiziksel olarak ele geçirilmesine karşı ayrı bir önlemimiz yok; koruma, sunucuya erişimin sınırlılığına ve dosya izinlerine dayanıyor. Bunu, olmayan bir önlemi varmış gibi anlatmamak için yazıyoruz.

Buna karşılık panel parolaları geri döndürülemez biçimde özetlenir ve yedek kurtarma kodları da açık saklanmaz; ayrıntısı yukarıdaki teknik önlemler bölümünde.

Sunucular nerede çalışıyor

Web sitesi ve panel, kendi yönettiğimiz sanallaştırma altyapısındaki sunucularda çalışır: hazır bir uygulama platformunun üzerinde değil, kendi kurduğumuz ve kendi güncellediğimiz makinelerde. Site trafiği Cloudflare ağı üzerinden geçer.

Sunucuların bulunduğu ülkeyi ve barındırma sağlayıcısını bu sayfada yayımlamıyoruz; sözleşme öncesinde yazılı olarak paylaşıyoruz. İstemek için destek@bulutegra.com adresine yazmanız yeterli.

Güvenlik olayı olursa ne yapıyoruz

Kişisel verilerin güvenliğini etkileyen bir olay yaşanırsa, olayı öğrendikten sonra 72 saat içinde etkilenen müşterilerimize bildirimde bulunuruz.

Bildirimde ne olduğu, hangi veri kategorilerinin etkilendiği, olayın ne zaman fark edildiği, aldığımız önlemler ve sizin tarafınızda yapılması gerekenler yer alır. Bilgi tamamlanmamışsa beklemeyiz: bildiğimiz kadarını bildirir, ardından güncelleriz.

Mevzuatın gerektirdiği hâllerde yetkili denetim otoritelerine yapılacak bildirimler ayrıca yerine getirilir. Bir güvenlik açığı fark ederseniz destek@bulutegra.com adresine yazın; bu tür bildirimleri ciddiye alır ve size dönüş yaparız.

Hizmeti verirken kullandığımız üçüncü taraflar

Alt işleyici listemiz kısa ve burada açıkça yazılı:

Cloudflare — site trafiği bu ağ üzerinden geçer; sitenin sunulması ve saldırıya karşı korunması için. Google (Google Analytics) — yalnız çerez bandında onay verdiyseniz ve yalnız web sitesi ölçümü için; panelde işlenen müşteri ve sipariş verisi bu ölçümün tamamen dışındadır. Kendi e-posta sunucumuz — form bildirimleri ve blog e-postaları buradan gider, üçüncü taraf bir e-posta servisi kullanılmaz.

Canlı sohbet bu listede yok, çünkü kendi sunucumuzda çalışıyor. Yaygın uygulama sohbeti bir bulut sağlayıcısına devretmektir; biz devretmiyoruz, konuşmanın içeriği bizde kalıyor. Sitede üçüncü taraf yazı tipi, içerik dağıtım ağı ya da CAPTCHA hizmeti de kullanılmıyor.

Yeni bir alt işleyici eklemeden önce müşterilerimizi bilgilendiririz.

Pazaryeri API anahtarları

Kanal bağlantıları sizin pazaryeri hesabınıza bağlı kalır. Anahtarlar sizin adınıza üretilir, sizin mağazanıza aittir. Panelde gizli tutulur; yalnız Yönetici rolündeki kullanıcı Ayarlar ekranında tek tek açarak görebilir, İçerik, Depo, İade, Muhasebe ve Raporlama rolleri göremez.

Etsy ve eBay tarafında bağlantı tek tıkla yetkilendirmeyle kurulur. Herhangi bir kanalla çalışmayı bırakmak isterseniz yetkiyi kendi pazaryeri hesabınızdan geri çekmeniz yeterlidir; bağlantı o anda kesilir.

AI Kamera: görüntü işletmeden çıkmaz

AI Kamera modülünde işleme, işletmenizdeki yerel sunucuda yapılır. Kamera görüntüsü depodan ya da mağazadan dışarı çıkmaz, bir buluta yüklenmez.

Dışarıya taşınan şey görüntünün kendisi değil, işlemenin sonucudur: hangi ürün, hangi sipariş, hangi işlem. Böylece süreç kaydını tutarken kamera kayıtlarını işletmenizin dışına göndermek zorunda kalmazsınız.

Formlarda doğrulama: harici CAPTCHA yok

Sitedeki iletişim ve demo formlarında üçüncü taraf bir CAPTCHA hizmeti kullanılmaz. Doğrulama kendi sunucumuzda yapılır.

Bunun pratik anlamı şudur: formu doldurduğunuzda adınız, e-postanız ve tarayıcı bilginiz bir doğrulama sağlayıcısına gitmez. Form verisi doğrudan bize ulaşır ve yalnızca sizinle iletişim kurmak için kullanılır.

İzleme ve şeffaflık

Sistem sağlığı ekranı bağlantıların durumunu gösterir. Kanallar sürekli kontrol edilir; bir kanal beklenen sürede veri göndermeyi keserse sessiz kaldığı için uyarıya düşer ve bildirim gelir. Sorunu, siparişler gelmediği için müşteri şikâyetiyle öğrenmezsiniz.

Panelde ne değiştiğini de saklamayız. Sürüm notlarında hangi güncellemenin neyi değiştirdiği yazılır; bir ekran ya da bir davranış değiştiğinde nedenini geriye dönüp okuyabilirsiniz.

Web sitesi ölçümü ve çerezler

Bu web sitesinde iki ölçüm birlikte çalışıyor. Birincisi kendi sayacımız: ziyaretçinin IP adresini saklamaz, günlük değişen bir karma üretir ve veri sunucumuzdan çıkmaz. İkincisi Google Analytics; sayfa görüntüleme, ziyaretin hangi kaynaktan geldiği ve sitede izlenen yol gibi ölçümleri Google'a gönderir ve bunun için tarayıcınıza çerez yazar.

Google Analytics'i hangi içeriğin işe yaradığını görmek için kullanıyoruz; reklam kişiselleştirme amacıyla kullanmıyoruz. Panelde işlediğimiz müşteri ve sipariş verisi bu ölçümün dışındadır, web sitesi ölçümüyle hiçbir şekilde birleştirilmez.

Tarayıcınızın izleme engelleme ayarları ya da bir reklam engelleyici bu ölçümü kapatır; site tam olarak çalışmaya devam eder. Sağ alttaki canlı sohbet düğmesine bastığınızda destek sistemimizin (kendi sunucumuzda çalışan Chatwoot) betiği yüklenir ve konuşmanızı sürdürebilmek için bir sohbet çerezi yazılır; düğmeye basmadıkça bu betik yüklenmez.

KVKK: hangi veriyi neden işliyoruz

Bulutegra'nın işlediği veriler işin gerektirdiği kadarıdır: sipariş kayıtları (sipariş kodu, kalemler, tutar, kargo ve ödeme bilgisi), ürün kayıtları (SKU, barkod, fiyat, stok, içerik) ve siparişin sevk edilebilmesi için gereken müşteri iletişim bilgisi (ad, adres, telefon, e-posta).

Bu veriler pazaryerlerinden ve sizin sistemlerinizden gelir. Amaç tektir: siparişi kanaldan alıp ERP'nize yazmak, stok ve fiyatı doğru tutmak, iade ve hakediş süreçlerini takip edebilmeniz. Bu veriler pazarlama amacıyla kullanılmaz, satılmaz.

Veriler hizmet devam ettiği ve ilgili mevzuatın saklama süreleri gerektirdiği sürece tutulur. Silme, düzeltme ya da dışa aktarım talebinizi destek@bulutegra.com adresine iletebilirsiniz; talebinizi yazılı olarak yanıtlarız. Veri sorumlusu Markapia Global LLC'dir.