​

Güvenlik & KVKK Uyumluluğu

​

Veri Lokasyonu

​

Encryption

​

At Rest

• Supabase Postgres: AES-256 native encryption
• Supabase Storage: AES-256
• Vercel env vars: Encrypted, Sensitive flag aktif (dashboard reveal kapalı)

​

In Transit

• HTTPS/TLS 1.3 zorunlu (HTTP yönlendirme + HSTS)
• API to backend: TLS 1.3
• Database connections: TLS 1.3

​

Audit Log (KVKK Madde 12)

​

Audit Log Schema

audit_logs (
  id UUID,
  action TEXT,             -- "model_run_started"
  entity_type TEXT,        -- "model_run"
  entity_id UUID,          -- run UUID
  actor_id UUID,           -- user UUID
  org_id UUID,             -- isolation
  ip_address INET,         -- IPv4 last-octet masked
  user_agent TEXT,
  metadata JSONB,
  created_at TIMESTAMPTZ
)

​

Role-Based Access Control (RBAC)

​

Cross-Brand Isolation (Critical)

def assert_brand_access(brand_id, current_user):
    if current_user.role == "agency":
        if brand_id not in current_user.assigned_brands:
            raise HTTPException(403, "Forbidden")

​

KVKK Hakları

​

1. Bilgi Talebi

• Hangi verileriniz işleniyor?
• Hangi amaçla işleniyor?
• Hangi 3rd party’lere paylaşılıyor?

​

2. Düzeltme Talebi

• Verileriniz yanlış mı? Düzeltme talebi.
• Self-service: L1 Data Hub → veri yönetimi
• Veya destek@mmmytics.com

​

3. Silme Talebi (Right to Erasure / GDPR Article 17)

• Self-service: Settings → “Tehlikeli Bölge” → “Hesabımı Sil”
• 48 saatlik onay penceresi + 8-char confirmation code
• Onaylandıktan sonra 48 saat içinde tüm copy’ler silinir
• Audit log bırakılır (KVKK Madde 12)

​

4. Veri Taşınabilirliği (GDPR Article 20)

• Self-service: Settings → “Veri Export”
• 3 format: CSV / XLSX / JSON
• 1 saat içinde signed URL email’inize
• 8 tablo brand-scoped (organizasyon + brand + dataset + audit log dahil)

​

Güvenlik Audit & Compliance

​

Mevcut Kontroller

• ✅ KVKK Madde 12 audit log otomatik
• ✅ Multi-tenant battle test (1k brand simülasyon, RLS isolation)
• ✅ Audit log AST guard test (her mutating endpoint’te log_action( zorunlu)
• ✅ PII detection (CSV upload pre-process)
• ✅ Rate limiting (slowapi — 100 req/min per IP)
• ✅ JWT validation (Clerk JWKS)
• ✅ HTTPS/TLS 1.3 zorunlu
• ✅ Sentry runtime error tracking (Sentry.setUser correlation)
• ✅ Cookie banner KVKK aydınlatma + Consent Mode V2

​

Henüz Yok (Planlı)

• ⚠️ Pentest raporu — enterprise müşteri talebinde post-launch (B2B yıllık sözleşme context’i)
• ⚠️ SOC 2 Type II — Faz E5+ (büyük enterprise müşteri için)
• ⚠️ ISO 27001 — Faz E5+

​

Veri İşleyici (DPA — Data Processing Agreement)

• Veri kategorileri (medya agregat, bağlam değişkenleri)
• İşleme amaçları (MMM modelleme, reporting)
• Saklama süresi (sözleşme + 1 yıl)
• 3rd party sub-processors (Supabase, Vercel, Google Cloud, Sentry)
• Müşteri hakları (KVKK Madde 11)

​

Sub-Processors

Not: Clerk + Sentry US-based. Sub-processor değişikliği için 30 gün önce email bildirimi yapılır (KVKK Madde 8/2).

​

Veri İhlali Bildirimi

• Sentry alert + audit log review
• Etkilenen müşteri tespit
• 72 saat içinde Resend email bildirim
• KVKK Kurum’a yazılı bildirim
• Status page incident publish (etkilenen kullanıcılar görür)

​

Bilgi & İletişim

• 🇹🇷 KVKK sorumlu: CTO Serkan Arı (destek@mmmytics.com)
• 📜 KVKK belge seti: kontratınızın Ek-1 (Aydınlatma) + Ek-3 (Açık Rıza) + Ek-4 (Saklama-İmha) + Ek-5 (DPA)
• 🇪🇺 GDPR Data Protection Officer (DPO): yok (KVKK kapsamında DPO zorunlu değil; CTO sorumlu)
• 📞 KEP adresi: kontrat’ta belirtilmiştir