> ## Documentation Index > Fetch the complete documentation index at: https://docs.tryoto.com/llms.txt > Use this file to discover all available pages before exploring further. # Güvenlik ve uyumluluk > OTO verilerinizi nasıl korur: Suudi Arabistan’da barındırma, erişim kontrolü, kimlik bilgileri, şifreleme, güvenlik testleri ve dolandırıcılık kontrolleri. OTO, üç pazardaki işletmeler için sipariş kayıtlarını, müşteri adreslerini, telefon numaralarını ve ödeme yöntemlerini saklar. Bu sayfadaki her şeyin nedeni, bu verilerin bize değil size ve müşterilerinize ait olmasıdır. ## OTO’nun durumu | Standart | Durum | Neyi kapsar? | | - | - | - | | **ISO/IEC 27001** | **Sertifikalı — 2026** | Denetlenmiş bir bilgi güvenliği yönetim sistemi: Risklerin nasıl değerlendirildiği, kontrollerin nasıl seçildiği ve sistemin bütün olarak nasıl gözden geçirilip iyileştirildiği. | | **SOC 2 Type II** | **Tasdikli — 2026** | Güvenlik kriterleri; bağımsız bir denetçi tarafından tek bir günde değil, *bir gözlem dönemi boyunca* incelenir. | | **Suudi Arabistan PDPL** | **Uyumlu** | Krallığın Kişisel Verilerin Korunması Kanunu: Hukuki dayanak, veri sahibi hakları ve kişisel verilerin nereye aktarılabileceğine ilişkin kurallar. | | **BAE PDPL** | **Uyumlu** | Emirlikler’deki işletmeler ve müşteriler için 2021 tarihli ve 45 sayılı Federal Kanun Hükmünde Kararname. | | **Türkiye KVKK** | **Uyumlu** | Türkiye pazarı için 6698 sayılı Kişisel Verilerin Korunması Kanunu. | > [!TIP] > > **Neden hem ISO 27001 hem SOC 2 ve aradaki fark neden önemli?** > > Bunlar birbirinin tekrarı değildir ve farkı bilen bir değerlendirici ikisini de arar. **ISO 27001** *sistemi* sertifikalandırır: OTO’nun riskleri belirlemek, kontrolleri seçmek ve iyileştirmek için tanımlı bir yöntemi olduğunu ve akredite bir kuruluşun bunu incelediğini gösterir. **SOC 2 Type II** ise *kanıtı* raporlar: Belirli kontrollerin yalnızca kâğıt üzerinde var olmadığını, aylarca süren gerçek faaliyet boyunca etkin şekilde işlediğini gösterir. > > Type I raporu, kontrollerin birinin baktığı gün doğru tasarlandığını söyler. Type II ise kontrollerin zaman içinde ayakta kaldığını söyler. Kurumsal satın alma ekiplerinin Type II’yi adıyla istemesinin nedeni bu ayrımdır ve OTO’nun sahip olduğu rapor da budur. ## Verileriniz nerede tutulur? Veri yerleşimi (data residency), platformun sabit bir özelliği değil, bir kurulum kararıdır. Mevzuat durumu, müşteri tabanı veya satın alma politikası Suudi verilerinin Suudi Arabistan’da kalmasını gerektiren işletmeler için **Krallık içinde barındırma mümkündür**. Daha uygun olduğu durumlarda diğer kurulumlar Krallık dışında çalışır. > [!NOTE] > > **Veri yerleşimini sözleşmeden sonra değil, önce netleştirin** > > Veri yerleşimini bir kurulumun başında ayarlamak kolaydır; geçmiş veriler oluştuktan ve entegrasyonlar bir ortama yönlendirildikten sonra değiştirmek ise pahalıdır. > > Krallık içinde barındırma bir tercih değil de bir gereklilikse (kamuya yakın alıcılar ve düzenlemeye tabi sektörler için genellikle öyledir), ortamın ilk seferde doğru hazırlanması için bunu değerlendirme aşamasında dile getirin. ## Kimler erişebilir? | Kontrol | Ne yapar? | | - | - | | **Çok faktörlü kimlik doğrulama** | Her hesapta, **Ayarlar → My Profile** üzerinden kullanılabilir. Doğrulayıcı uygulamadan alınan zamana dayalı kodlar sayesinde, çalınan bir şifre tek başına oturum açmaya yetmez. | | **Geçiş anahtarları (passkey)** | Şifreye alternatif olarak, cihaza bağlı şifresiz oturum açma. Oltalama ile ele geçirilecek, yeniden kullanılacak veya sızdırılacak ortak bir gizli bilgi yoktur. | | **Roller ve yetkiler** | Erişim kişi bazında değil rol bazında, uyarlayabileceğiniz rol şablonlarından verilir. Bkz. [Kullanıcılar, roller ve yetkiler](https://docs.tryoto.com/tr/platform/users-roles-and-permissions.md). | | **Ayrı bir yetki olarak finansal görünürlük** | Fiyatlar, kapıda ödeme tutarları ve fatura rakamları operasyonel erişimden ayrı kontrol edilir; böylece bir toplayıcı ya da müşteri hizmetleri temsilcisi hiçbir şeyin maliyetini görmeden işini yapabilir. | | **Kapsamı sınırlı depo erişimi** | Depo kullanıcılarına kendi anahtarları verilir ve bu kullanıcılar çalıştıkları hub’larla sınırlandırılır. Bir lokasyondaki toplayıcı, başka bir lokasyonun iş kuyruğuna erişemez. | | **Kapsamı sınırlı API erişimi** | API yetkileri hesabın planına ve belirli uç noktalara bağlıdır; bir entegrasyon, kendisine hiç verilmemiş bir alanı çağıramaz. | ## Kimlik bilgileri nasıl çalışır? [API](https://docs.tryoto.com/tr/developers/authentication.md) bilinçli olarak iki anahtarlı bir model kullanır. Gösterge Paneli’nden oluşturulan kalıcı `refresh_token` tek bir iş yapabilir: Kısa ömürlü bir `access_token` almak. Bu erişim belirtecinin süresi **bir saat** sonra dolar ve diğer tüm çağrılar onu bearer token olarak taşır. > [!TIP] > > **Kısa ömürlü belirteçler hasarın etki alanını sınırlar** > > Bu ayrımın amacı, bir şey sızdığında olacaklarla ilgilidir. Ele geçirilen bir erişim belirteci, bir saldırgan için en fazla bir saat işe yarar; ardından değersiz hâle gelir. > > Kalıcı anahtarın bir şifre kadar özen görmesi gerektiğinin nedeni de budur: Yeri bir gizli bilgi yöneticisi (secrets manager) ya da bir ortam değişkenidir; asla bir kod deposu, mobil uygulama paketi, destek bileti veya ekran görüntüsü değildir. Süresi kendiliğinden dolmayan tek kimlik bilgisi odur. ## Veriler nasıl korunur? | Katman | Kontrol | | - | - | | **Aktarım sırasında** | Tüm API trafiği yalnızca HTTPS üzerinden yapılır. Düz HTTP üzerinden gelen isteklere yanıt verilmez. | | **Servisler arasında** | Müşteri verisi taşıyan iç yollarda (webhook gönderici, e-ticaret ağ geçidi, SMS ağ geçidi ve REST API) veri paketleri şifrelenir veya kodlanır. | | **Depolanırken** | Saklanan veriler şifrelenir. | | **Giden olaylar** | Her [webhook](https://docs.tryoto.com/tr/developers/webhook-events.md) veri paketi, seçtiğiniz bir gizli anahtarla HMAC-SHA256 kullanılarak imzalanır; böylece uç noktanız, bir mesajın URL’yi keşfeden başka biri tarafından değil OTO tarafından gönderildiğini kanıtlayabilir. | | **Herkese açık uç noktalar** | Herkese açık yüzeylerin (takip sayfaları, iade portalları) anahtarları sunucu tarafında oluşturulur ve kodlanır; böylece bir URL tahmin edilerek veya düzenlenerek başka birinin siparişine ulaşılamaz. | | **Uç katmanda** | Platformun önünde, SQL enjeksiyonunu hedefleyen kurallar da içeren bir web uygulaması güvenlik duvarı (WAF) bulunur. | ## Nasıl test edilir? | | | | - | - | | **Bağımsız sızma testleri** | Hem platform altyapısı hem de herkese açık API dış uzmanlar tarafından test edilir; bulgular kapanana kadar takip edilir. | | **Hata ödül programı (bug bounty)** | Araştırmacıların güvenlik açıklarını bildirebileceği sürekli bir program; böylece sorunlar olay olarak değil, rapor olarak gelir. | | **Sürekli kontrol izleme** | Uyumluluk kontrolleri, bir denetimden önceki haftalarda bir araya getirilmek yerine sürekli izlenir; bir Type II gözlem dönemini sorunsuz geçirmeyi mümkün kılan da budur. | > [!NOTE] > > **Hata ödül programı yalnızca bir bütçe kalemi değil, bir duruş beyanıdır** > > Böyle bir program yürütmek, dışarıdan insanların bir şeyler bulacağını kabul etmek ve bunları hızla önceliklendirip düzeltecek süreci kurmak demektir. Kendi koduna güvenmeyen kuruluşlar, yabancıları o koda bakmaya davet etmez. ## Dolandırıcılık kontrolleri Kapıda ödemenin olağan olduğu bir pazarda dolandırıcılık, istisnai bir durum değil operasyonel bir maliyettir. OTO, burada önem taşıyan örüntüleri tespit eder; buna birden fazla adres arasında dönüp duran müşteriler ve geçmişinden kurtulmak için hesap silme özelliğinin kötüye kullanılması da dahildir. İşletme tarafındaki ilgili kontroller [hazırlık öncesi kontrollerde](https://docs.tryoto.com/tr/modules/omnichannel-oms/prefulfillment.md) yer alır: Bir siparişin stok tüketmesine izin verilmeden önce kara liste, kapıda ödemeli sipariş onayı ve ödeme yöntemi doğrulaması. ## Size düşen sorumluluklar Platformun güvenliği OTO’nun sorumluluğundadır. Platformu nasıl kullandığınızın güvenliği ise ortak bir sorumluluktur ve en önemli dört madde şunlardır. | | | | - | - | | **Her hesapta MFA’yı açın** | Özellikle yöneticiler ve finansal verileri görebilen herkes için. | | **İşe yarayan en dar rolü verin** | Rol şablonları bunu hızlandırır. Çoğu kişinin tam erişimden çok daha azına ihtiyacı vardır ve “geçici olarak” verilen erişim nadiren geri alınır. | | **Refresh anahtarını koruyun ve yenileyin** | Süresi kendiliğinden dolmaz. Ona erişimi olan biri ayrıldığında anahtarı yeniden oluşturun. | | **Webhook imzalarını doğrulayın** | HMAC’i yeniden hesaplayın ve eşleşmeyen ya da zaman damgası eski olan her şeyi reddedin. Bkz. [Webhook olayları](https://docs.tryoto.com/tr/developers/webhook-events.md). | ## Doküman talep etme ISO 27001 sertifikası, SOC 2 Type II raporu ve sızma testi özetleri müşterilere ve değerlendirme aşamasındaki potansiyel müşterilere sunulur. Rapor, standart uygulamada olduğu gibi gizlilik sözleşmesi (NDA) kapsamında paylaşılır. Hesap yöneticinize sorun veya [support@tryoto.com](mailto:support@tryoto.com) adresine yazın; doğru dokümanların ilk seferde gönderilmesi için hangi düzenleme ya da anket üzerinde çalıştığınızı belirtin. ## İlgili sayfalar * [Kullanıcılar, roller ve yetkiler](https://docs.tryoto.com/tr/platform/users-roles-and-permissions.md): Erişimin gerçekte nasıl verildiği. * [API kimlik doğrulaması](https://docs.tryoto.com/tr/developers/authentication.md): Anahtarlar, geçerlilik süreleri ve kapsam. * [Webhook olayları](https://docs.tryoto.com/tr/developers/webhook-events.md): İmza doğrulama. * [Hazırlık Öncesi Kontroller](https://docs.tryoto.com/tr/modules/omnichannel-oms/prefulfillment.md): İşletme tarafındaki dolandırıcılık kontrolleri. ## Related topics - [Platform mimarisi](https://docs.tryoto.com/tr/get-started/architecture.md) - [Kullanıcılar, roller ve yetkiler](https://docs.tryoto.com/tr/platform/users-roles-and-permissions.md) - [E-ticaret operasyon platformu ve kargo entegratörü](https://docs.tryoto.com/tr/index.md) This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.