Güvenlik ve veri: neyi, nasıl koruyoruz?

Veriler nerede?

UPPU'daki veriler (mesajlar, kişiler, medya dosyaları ve yedekler) İstanbul'daki kendi veri merkezimizde, kendi sunucularımızda saklanır.

WhatsApp, Messenger ve Instagram mesajları doğası gereği Meta'nın altyapısından geçer; UPPU'daki kopyası, medya dosyaları ve yedekler İstanbul'dadır. Web sohbeti verisi Meta'ya ya da başka bir üçüncü tarafa gitmez; siz webhook'la kendi sistemlerinize göndermedikçe UPPU'nun dışına çıkmaz.

Mesajın izlediği yolYalnızca UPPUMeta üzerinden

ZiyaretçinizWeb sohbeti

MüşterinizWhatsApp, Instagram, Messenger

Meta'ya hiç gitmez

Meta altyapısıMesajlar buradan geçer

UPPU · İstanbulMesajlar, medya dosyaları ve yedekler

Kendi veri merkezimiz

İmzalı webhook · HMAC-SHA256

Sizin sistemlerinizCRM, sipariş ya da randevu sisteminiz

Şifreleme ve gizli bilgiler

• Bütün alan adlarında TLS (Let's Encrypt sertifikası, HTTP/2): bağlantılar aktarım sırasında şifrelenir.
• Meta erişim jetonları ve WhatsApp PIN'leri AES-256-GCM ile şifreli saklanır; şifreli değer ait olduğu firmaya ve kayda bağlıdır.
• Webhook uç noktalarınızın adresleri ve imza sırları da şifreli saklanır.
• API anahtarlarının yalnızca SHA-256 özeti saklanır; anahtarın kendisini yalnızca oluşturduğunuz anda görürsünüz.
• Anahtarlara kapsam, kanal bağı, IP izin listesi ve geçerlilik süresi verebilir; anahtarları döndürebilir ve iptal edebilirsiniz.
• Authorization başlığı hiçbir günlüğe yazılmaz.

Erişim ve hesaplar

• Dört rol: Sahip, Yönetici, Temsilci ve Denetçi. Denetçi yalnızca okur; saklama süresi, API anahtarları ve webhook'lar yalnızca sahiptedir.
• Temsilciler müşterinin telefon numarasını maskeli görür (örnek: +90 *** 2233); Sahip, Yönetici ve Denetçi tam numarayı görür.
• Her kullanıcı TOTP ile iki adımlı doğrulamayı ve passkey'i açabilir.
• UPPU platform yöneticilerinin firmanızın verisine örtük erişimi yoktur; bu hesaplarda iki adımlı doğrulama zorunludur.
• Hassas sayfalar parolanızı yeniden sorar. Giriş dakikada 5 denemeyle sınırlıdır ve kilitlenmeler kayda geçer.
• Her sorguda zorunlu bir firma süzgeci vardır; her rota firmalar ve roller arasında sınanır.
• Ekip arkadaşlarınız davetle ya da firmanızın doğrulanmış e-posta alan adıyla katılır; ücretsiz e-posta alan adları bu yoldan katılamaz.
• Veri değişiklikleri ve güvenlik olayları denetim kaydına yazılır ve kayıt en az 3 yıl saklanır. Parola, kod, jeton ve sırlar hiçbir kayda yazılmaz.

KVKK araçları

Müşterilerinizin ve web sitesi ziyaretçilerinizin verisi için veri sorumlusu sizsiniz, UPPU veri işleyendir. KVKK yükümlülükleriniz için yerleşik araçlar panelde.

• Saklama süresini firma sahibi 30–730 gün arasında seçer. Süresi dolan veri her gece 07:15'te (İstanbul) silinir ve her silme yalnızca sayıları içeren bir imha kaydı yazar.
• Bir kişinin bütün verisini JSON olarak dışa aktarabilir ya da tamamen silebilirsiniz; silmeyi onaylamak için kişinin etiketini yazarsınız.
• Silme, sisteminize contact.erased webhook'uyla bildirilir.
• Pazarlama şablonu kayıtlı izin ister; DUR, STOP ya da İPTAL yazan kişinin izni geri çekilir ve izin defterine yazılır.
• Ticari elektronik ileti onayı ve İYS kaydı yükümlülükleri sizdedir; UPPU'da İYS bağlantısı yoktur.

Saklama süreleri

Süreler ürünün bugünkü ayarlarıdır; değiştiğinde bu tablo da değişir.

Süreklilik

• Sistemi dakikada bir, gerçek yoldan uçtan uca sınıyoruz; web sohbeti yolunda sorun olursa ekibimiz 1,5–2,5 dakika içinde uyarı alır.
• 5 dakikada bir sağlık denetimi yapılır ve her gün rapor alınır.
• Veritabanının gece yedeği alınır ve 7 gün saklanır; 14 günlük ikili günlükle belirli bir ana geri dönülebilir.
• Yedekten geri yükleme her ay denenir.

Altyapı

Sunucularımızın adlarını, adreslerini ve yazılım sürümlerini yayımlamayız; uyguladığımız kurallar şunlar:

• Dışarıya yalnızca gereken bağlantı noktaları açık.
• Sunucu yönetimi yalnızca anahtarla ve kısıtlı adreslerden yapılır.
• Veritabanı ve önbellek dışarıdan erişilemez.
• Güvenlik güncellemeleri otomatik kurulur.
• Sahne (deneme) ortamı canlı ortamdan ayrı çalışır.

API ve webhook güvenliği

• Webhook'lar Standard Webhooks biçiminde HMAC-SHA256 ile imzalıdır; zaman damgası 300 saniyeden fazla sapan isteği reddetmenizi öneririz.
• Webhook hedefleri SSRF korumasından geçer: özel ağ aralıklarına gönderim yapılmaz, IP adresi sabitlenir, yönlendirmeler izlenmez.
• Bir uç nokta, test olayı ve yanlış imzalı deneme geçmeden etkinleşmez.
• Webhook'lar 91.216.36.26 adresinden gelir; değişiklik 30 gün önce duyurulur. Asıl doğrulama imza kontrolüdür.
• Gönderimde Idempotency-Key zorunludur: aynı isteği güvenle tekrar denersiniz, çift mesaj gitmez.
• Tarayıcıdan gelen API istekleri reddedilir (CORS yok); API anahtarları yalnızca sunucunuzdan kullanılır.

Üçüncü taraflar

• Panelde ve sohbet bileşeninde üçüncü taraf analitik, izleyici ya da CAPTCHA yok.
• Facebook'un JavaScript kitaplığı yalnızca panelin WhatsApp, Messenger ve Instagram bağlantı sayfalarında, kanalı bağlarken yüklenir.
• Meta, WhatsApp, Messenger ve Instagram kanallarının sağlayıcısıdır; bu kanallardaki mesajlar Meta'nın altyapısından geçer.
• UPPU'nun gönderdiği sistem e-postaları (doğrulama, davet, uyarılar) müşterilerinizin mesaj metnini taşımaz.
• Bu web sitesi (uppu.net) çerez kullanmaz; yazı tipleri dahil hiçbir şeyi üçüncü taraf sunuculardan yüklemez.
• Hizmeti sunarken yararlandığımız şirketler alt veri işleyenler listesinde.

Sertifikalar ve SLA

Güvenlik açığı bildirimi

Belgeler

• Hizmet Sözleşmesi ve Veri İşleme EkiRoller, talimatlar, güvenlik tedbirleri ve alt veri işleyenler
• Alt veri işleyenlerHizmeti sunarken yararlandığımız şirketler
• Gizlilik PolitikasıHangi veriyi, neden ve ne kadar süre işlediğimiz
• KVKK Aydınlatma MetniVeri sorumlusu olarak UPPU'nun aydınlatma metni
• Çerez PolitikasıSite, panel ve sohbet bileşeninin tarayıcı depoları
• Veri Silme TalimatlarıFacebook, Instagram ve WhatsApp kullanıcıları için silme yolları