Güvenlik ve KVKK
Jüri, kör aşamada takım adını, üyeleri ve kişisel alanları hiç almaz; süzme sunucuda yapılır. Bu sayfa, satın alma sırasında sorulan soruların ürünün içindeki karşılığını anlatır.
Veri sorumlusu ve veri işleyen
Etkinliğin katılımcı, takım, gönderim ve jüri verisinde veri sorumlusu etkinliği düzenleyen kurumdur; Fauna Venture Studio veri işleyendir. İlişki, her kurum açılışında onaylanan Veri İşleme Sözleşmesiyle kurulur. Kullanıcı hesabı (ad, e-posta, parola özeti) için Fauna veri sorumlusudur.
Katılımcıya kayıt sırasında kurumun aydınlatma metni gösterilir; açık rıza gerektiren maddeler ayrı, işaretsiz ve katılım şartı olmadan sorulur. Onay, metnin sürümüne bağlanır.
Kim neyi görür
Yetki her istekte sunucuda yeniden denetlenir; arayüzde gizlemek yeterli sayılmaz. Koşullu: kör aşamada jüri takım kimliğini görmez, diğer jürilerin puanı aşama kapanana dek gizlidir; gönüllü yalnızca ad, kısa kod, takım ve masayı görür, e-postayı ve form yanıtlarını görmez; mentor yalnızca kendisinden randevu alan takımın adını ve üye adlarını görür; sponsor temsilcisi yalnızca kendi ödülüne başvuran gönderimleri görür.
| Veri | Etkinlik ekibi | Jüri | Diğer katılımcılar | Gönüllü | Mentor | Sponsor temsilcisi |
|---|---|---|---|---|---|---|
| Katılımcının adı ve e-postası | Görür | Görmez | Görmez | Koşullu | Koşullu | Görmez |
| Kayıt formu yanıtları | Görür | Görmez | Görmez | Görmez | Görmez | Görmez |
| Takım adı ve üyeleri | Görür | Koşullu | Koşullu | Koşullu | Koşullu | Koşullu |
| Gönderim içeriği | Görür | Görür | Koşullu | Görmez | Görmez | Koşullu |
| Diğer jürilerin puanı | Görür | Koşullu | Görmez | Görmez | Görmez | Görmez |
- Katılımcının adı ve e-postası
- Etkinlik ekibiGörürJüriGörmezDiğer katılımcılarGörmezGönüllüKoşulluMentorKoşulluSponsor temsilcisiGörmez
- Kayıt formu yanıtları
- Etkinlik ekibiGörürJüriGörmezDiğer katılımcılarGörmezGönüllüGörmezMentorGörmezSponsor temsilcisiGörmez
- Takım adı ve üyeleri
- Etkinlik ekibiGörürJüriKoşulluDiğer katılımcılarKoşulluGönüllüKoşulluMentorKoşulluSponsor temsilcisiKoşullu
- Gönderim içeriği
- Etkinlik ekibiGörürJüriGörürDiğer katılımcılarKoşulluGönüllüGörmezMentorGörmezSponsor temsilcisiKoşullu
- Diğer jürilerin puanı
- Etkinlik ekibiGörürJüriKoşulluDiğer katılımcılarGörmezGönüllüGörmezMentorGörmezSponsor temsilcisiGörmez
Kilitli puan ve kilit açma talebi
Jüri puanını kilitlediğinde değerlendirme veritabanı düzeyinde değiştirilemez ve silinemez hâle gelir. Düzeltme gerekirse jüri gerekçeli kilit açma talebi açar; etkinlik yöneticisi onaylar, önceki puan revizyon olarak saklanır. Kamu şablonunda onay iki kişi ister (dört göz).
Tutanak ve özet
Kurul tutanağı sürümlüdür. Kesinleşen sürümün içeriğinden SHA-256 özeti hesaplanır ve tutanağa yazılır; basılı kopyadaki özet ekrandakiyle aynıysa içerik değişmemiştir. Yeni sürüm eskisinin yerine geçer, eskisi silinmez.
Denetim kaydı
Durum değişimleri, rol değişiklikleri, kilit açmalar, toplu e-postalar ve dışa aktarımlar denetim kaydına yazılır. Kayıt güncellenemez ve silinemez. Kişisel veri içeren her dışa aktarım gerekçe ister; kim, ne zaman, neden aldı kayıtta durur.
- Kayıtta ad, e-posta ve IP adresi tutulmaz; kişi kimliğiyle bağlanır.
- Kişi hesabını silerse kullanıcı satırı anonimleşir, kayıt bütünlüğü bozulmaz.
- Excel ve CSV dışa aktarımında formül gibi başlayan hücreler nötrlenir.
Hesap güvenliği ve oturum
Parolalar özetlenerek saklanır. Her hesapta isteğe bağlı iki adımlı doğrulama (doğrulama uygulaması ve tek kullanımlık kurtarma kodları) vardır. Oturum çerezi yalnızca açıldığı alan adında geçerlidir; bir kurumun oturumu başka kurumun adresinde işe yaramaz. Kurumsal giriş (SSO) bugün yoktur; yol haritasındadır.
Çerezler
Yalnızca zorunlu çerezler kullanılır: oturum çerezi (yalnızca kendi alan adında geçerli) ve dil ile tema tercihi. Reklam, izleme ve üçüncü taraf analitik çerezi yoktur; bu yüzden çerez onay penceresi de yoktur.
Veri nerede duruyor
Veritabanı ve dosyalar Cloudflare altyapısında Avrupa Birliği bölgesinde tutulur; bağlantılar şifrelidir. E-postalar Resend üzerinden gönderilir. Bu hizmet sağlayıcıların merkezi ABD'dedir; bu nedenle aktarım yurt dışı aktarım sayılır ve dayanağı Veri İşleme Sözleşmesinde yazılıdır.
Türkiye'de barındırma seçeneği bugün yoktur; ileride değerlendirilecektir. Verisinin yurt içinde kalması zorunlu olan kurumlar (ör. kamu verisi, bankacılık sırrı) bu nedenle bugün Thonie'yi bu veriler için kullanmamalıdır.
Yedekleme
Veritabanı için Cloudflare D1'in yerleşik zaman noktasına geri dönme özelliği kullanılır. Ayrı, düzenli bir dışa aktarım yedeği henüz kurulmadı; kurulduğunda bu sayfada sıklığı ve saklama süresi yazılacaktır.
İhlal bildirimi
Fauna, bir kişisel veri ihlalini öğrendikten sonra en geç 24 saat içinde etkilenen kuruma bildirir (Veri İşleme Sözleşmesi). Kurulu ve ilgili kişileri bilgilendirme yükümlülüğü veri sorumlusu olarak kurumdadır; Fauna bu süreçte gerekli bilgiyi sağlar.
Sızma testi, sertifika ve SLA
- Bağımsız sızma testi: henüz yapılmadı; planlanan tarih belli değil.
- ISO 27001, SOC 2 gibi sertifikalar: yok.
- Erişilebilirlik süresi taahhüdü (SLA): yok. Kurumsal sözleşmede ayrıca konuşulabilir.
Alt işleyenler ve yurt dışı aktarım
Barındırma, e-posta gönderimi ve bot koruması için kullanılan hizmet sağlayıcılar ve verinin işlendiği yerler Alt işleyenler sayfasında listelenir. Yurt dışına aktarımın hukuki dayanağı Veri İşleme Sözleşmesinde yazılıdır.