Verilerim nerede saklanıyor?

Verin, kurumsal sınıf altyapıya sahip Avrupa veri merkezlerinde saklanır. Her mağaza kendi container kümesinde ve kendi veritabanı şemasında çalışır.

Mağazalar arasında veri paylaşıyor musunuz?

Hayır. Her mağaza kendi container kümesinde ve kendi veritabanı şemasında yalıtılmıştır; bir kiracı diğerinin verisini satır düzeyinde bile okuyamaz. Mağazalar arasında hiçbir veri paylaşımı yoktur.

İptal edersem ne olur?

İptal etmeden önce tüm verini dışa aktarabilirsin. Hesap kapatıldıktan sonra tüm veriler 30 gün içinde sistemlerimizden kalıcı olarak silinir.

İki faktörlü doğrulama destekliyor musunuz?

Yönetici hesapları JWT tabanlı kimlik doğrulama ve güvenli oturum yönetimi kullanır; Google, GitHub ve Apple SSO bugün canlıda. TOTP tabanlı iki faktörlü doğrulama 2026 yol haritasında.

Ödeme verilerini nasıl işliyorsunuz?

Kredi kartı numaralarını asla saklamayız. Tüm ödeme işlemleri kendi sağlayıcın üzerinden yürür — Stripe, iyzico, PayTR veya Garanti BBVA — hepsi PCI DSS uyumlu.

Türkiye için kuruldu%0 işlem komisyonu

Geceleri uyuyabileceğinbir mağaza için.

Şifreleme, kiracı yalıtımı ve imzalı webhook’lar varsayılan olarak açık — sonradan eklenen bir katman değil. Aşağıda ne yaptığımız da, henüz yapmadığımız da yazıyor.

Güvenlik ekibiyle iletişimGizlilik Politikası

TEMELLER

Altı sütun

Her mağazada, her planda açık.

ŞİFRELEMEİletim sırasında şifrelemePublic edge’de TLS 1.3 ve HSTS preload. Admin ve webhook dahil hiçbir servis HTTPS dışında açılmaz.

ŞİFRELEMEDepolamada şifrelemePostgreSQL volume’leri AES-256 ile şifreli. Hetzner/S3 bucket’ları her PUT’ta sunucu tarafı şifreleme ile yazar.

SIRLARSır deposu (vault)OAuth token ve API kimlikleri AES-256-GCM vault’ta saklanır; HKDF ile türetilmiş alt anahtar kullanılır. Ana anahtar orkestratörden çıkmaz.

YALITIMKiracı bazlı izolasyonHer mağaza kendi container kümesinde ve kendi veritabanı şemasında çalışır. Bir kiracı diğerinin verisini satır düzeyinde bile okuyamaz.

BÜTÜNLÜKWebhook imzasıStripe, iyzico ve partner webhook’ları ham gövde HMAC ile doğrulanır. Sır yoksa kapalı (fail-closed) çalışırız; imzasız girdi sessizce kabul edilmez.

ERİŞİMSSO & 2FAGoogle, GitHub ve Apple SSO bugün canlıda. TOTP tabanlı 2FA ve kurumsal SAML/SCIM 2026 yol haritasında.

UYUMLULUK

Nerede olduğumuz — ve nerede olmadığımız

KVKK (Türkiye)

Müşteri verisi AB bölgelerinde tutulur; veri sahibi erişim ve silme talepleri panelden işlenir. Talep üzerine sözleşme (DPA) imzalanır.

PCI DSS kapsamı

Kart verisi nuvinode sunucularına asla değmez. Stripe, iyzico, PayTR ve Garanti BBVA kart verisini kendi PCI DSS kapsamlarında işler; biz kapsam dışı bir tüccar aracıyız.

TLS 1.3 + HSTS preload

Public alan adları ve kiracı subdomain’leri yalnızca TLS 1.3 ve HSTS preload ile çalışır. Mozilla Observatory ile doğrulanabilir.

SOC 2 Type I — henüz yok

2026 sonu hedefli. Kontrol envanteri ve politika kütüphanesi üzerinde çalışıyoruz; tamamlanmış bir denetim henüz yok.

ISO 27001 — henüz yok

SOC 2 tamamlanınca Stage-1 hazırlık değerlendirmesi planlanıyor. Şu an sertifikalı değiliz.

VERİ HAKLARIN

Veri senin — girmesi kadar çıkması da kolay

Veri işleme

Veriyi yalnızca hizmeti sunmak için gerektiği kadar işleriz. Üçüncü taraflara veri satışı yok. Mağazalar arası takip yok.

Silme hakkı

İstediğin zaman verinin tamamen silinmesini talep edebilirsin. Hesap kapanışından sonraki 30 gün içinde tüm verini sistemlerimizden kaldırırız.

Veri dışa aktarma

Tüm verini (ürünler, müşteriler, siparişler, içerik) istediğin zaman standart formatlarda dışa aktar. Platforma kilitlenme yok.

Veri konumu

Verin Avrupa’daki veri merkezlerinde saklanır. GDPR uyumlu veri işleme ve aktarım politikaları.

SSS

Sık sorulanlar

Verin, kurumsal sınıf altyapıya sahip Avrupa veri merkezlerinde saklanır. Her mağaza kendi container kümesinde ve kendi veritabanı şemasında çalışır.
Hayır. Her mağaza kendi container kümesinde ve kendi veritabanı şemasında yalıtılmıştır; bir kiracı diğerinin verisini satır düzeyinde bile okuyamaz. Mağazalar arasında hiçbir veri paylaşımı yoktur.
İptal etmeden önce tüm verini dışa aktarabilirsin. Hesap kapatıldıktan sonra tüm veriler 30 gün içinde sistemlerimizden kalıcı olarak silinir.
Yönetici hesapları JWT tabanlı kimlik doğrulama ve güvenli oturum yönetimi kullanır; Google, GitHub ve Apple SSO bugün canlıda. TOTP tabanlı iki faktörlü doğrulama 2026 yol haritasında.
Kredi kartı numaralarını asla saklamayız. Tüm ödeme işlemleri kendi sağlayıcın üzerinden yürür — Stripe, iyzico, PayTR veya Garanti BBVA — hepsi PCI DSS uyumlu.

Tüm SSS

GÜVENLİK

DPA, alt-işleyici listesi ya da mühendislik ekibiyle görüşme mi gerek?

Güvenlik sorularını doğrudan yazan ekibe sor — satış filtresinden geçmez.

Güvenlik ekibiyle iletişim Gizlilik Politikası