# Güvenlik ve gizlilik > TimeTracking verilerinizi nasıl korur: GDPR rolleri ve veri işleme sözleşmesi, İrlanda'da AB barındırması, şifreleme, satır düzeyinde güvenlik, denetim kaydı ve sorumlu açıklama. URL: https://timetracking.tech/tr/guvenlik Language: tr Last updated: 2026-10-23 Zaman takibi verileri insanlar hakkında çok şey söyler: nerede, ne zaman ve kimin için çalıştıklarını. Bu sayfa TimeTracking'in bu verileri nasıl koruduğunu, neleri toplamadığımızı ve ayrıntıları nerede bulabileceğinizi açıklar. Yasal belgelerimiz son haline getiriliyor; bu sayfa, bu belgelerin taahhüt ettiklerini özetler. ## GDPR ve roller TimeTracking'i kuruluşlar kullanır: işverenler, personel temin şirketleri ve onların müşterileri. Kuruluşunuzun TimeTracking'de sakladığı saatler, görevlendirmeler ve onaylar için kuruluşunuz veri sorumlusu, TimeTracking ise veri işleyendir. Bu verileri yalnızca belgelenmiş talimatlarınız doğrultusunda işleriz; uygulamada seçtiğiniz ayarlar, örneğin konumun açık olup olmadığı ve ne kadar süre saklanacağı, bu talimatlar olarak kabul edilir. Veri işleme sözleşmemiz (DPA) şartların bir parçasıdır ve kayıt sırasında şartlarla birlikte kabul edilir. Gizlilik, güvenlik önlemleri, ihlal bildirimi, alt işleyiciler, ilgili kişi taleplerinde destek, denetimler ve sözleşme sonunda silme konularını kapsar. Hesap, faturalandırma ve web sitesi verileri için ise gizlilik politikasında açıklandığı üzere TimeTracking veri sorumlusudur. - [Veri işleme sözleşmesi](https://timetracking.tech/dpa) - [Gizlilik politikası](https://timetracking.tech/privacy) - [Hizmet şartları](https://timetracking.tech/terms) ## AB'de barındırma ve alt işleyiciler Müşteri verileri AB'de saklanır. Ana veritabanı, İrlanda'daki (eu-west-1) AWS üzerinde Supabase'te çalışır. Web uygulaması Vercel'de barındırılır, fonksiyonlar mümkün olduğunda bir AB bölgesinde çalışır; statik içerik küresel bir CDN üzerinden sunulur. Her alt işleyiciyi amacı, konumu, aktarım mekanizması ve durumuyla birlikte yayımlarız: kullanımda veya planlanmış ve yalnızca bildirimden sonra etkinleştirilecek. Bir alt işleyici eklemeden veya değiştirmeden en az 30 gün önce müşterileri bilgilendiririz; müşteriler bu süre içinde itiraz edebilir. Reklam ağları, veri simsarları veya ekran görüntüsü ya da tuş vuruşu araçları kullanmayız. - [Alt işleyiciler](https://timetracking.tech/subprocessors) ## Şifreleme Tarayıcı, mobil uygulama, API ve veritabanı arasındaki tüm bağlantılar, timetracking.tech üzerinde HSTS ile birlikte TLS 1.2 veya üzerini kullanır. Depolanan verilerde veritabanı, dosya depolama ve yedekler, sağlayıcı tarafından yönetilen anahtarlarla AES-256 disk şifrelemesi kullanır. Onaylar için kullanılan güvenli bağlantılar (magic link) 256 bit rastgele token'lardır. Her token'ın yalnızca bir hash değerini saklarız; bağlantıların süresi 14 gün sonra dolar, iptal edilebilir ve onay için tek kullanımlıktır. ## Müşteri izolasyonu ve erişim kontrolü Her müşterinin verileri aynı veritabanında bulunur ancak kesin olarak ayrılmıştır. Her müşteri tablosu PostgreSQL satır düzeyinde güvenlik (RLS) ile korunur; böylece veritabanının kendisi başka bir kuruluşa ait satırları döndürmeyi reddeder. Politikalar, otomatik testlerde rol bazında test edilir. Bir kuruluşun içinde roller, insanların neleri görebileceğini sınırlar. Çalışanlar yalnızca kendi görevlendirmelerini ve saatlerini görebilir, bir müşteri yetkilisi ise yalnızca bağlantısının kapsamındaki görevlendirmeleri görür. İki faktörlü kimlik doğrulama yönetici rollerini korur. Kendi personelimizin canlı ortam verilerine erişimi, isimleri belirlenmiş kişilerle sınırlıdır, yalnızca talebiniz üzerine destek veya olay yönetimi için yapılır ve her erişim kaydedilir. ## Denetim kaydı ve imzalı onaylar Puantajlarda, görevlendirmelerde, dönemlerde, onaylarda, dışa aktarımlarda ve uyuşmazlıklarda yapılan her değişiklik, yalnızca ekleme yapılabilen bir denetim kaydına yazılır: kimin neyi, ne zaman, hangi kaynaktan, eski ve yeni değeriyle değiştirdiği. Denetim kaydı düzenlenemez veya silinemez. Kilitli dönemler değiştirilemez, yalnızca yeni bir referans satırıyla düzeltilebilir; dışa aktarımlar yeniden üretilebilmeleri için bir içerik hash değeri taşır. Bir müşteri saatleri onayladığında güvenli bir bağlantıyı (magic link) açar ve e-postasına gönderilen tek kullanımlık bir kodla imzalar. Onay; imzalayanın adını, görevini, kararını, zamanı, IP adresini ve tarayıcısını kaydeder. Bu, eIDAS Tüzüğü kapsamında basit bir elektronik imzadır ve her iki tarafa da kimin hangi saatleri onayladığına dair net bir kayıt sağlar. - [Müşteri onayı](https://timetracking.tech/tr/ozellikler/musteri-onayi) ## Ekran görüntüsü yok, tuş vuruşu kaydı yok TimeTracking ekran görüntüsü almaz, tuş vuruşlarını kaydetmez veya insanların hangi uygulama ve web sitelerini kullandığını izlemez. Bu tür bir izlemenin güveni zedelediğini ve GDPR kapsamında nadiren orantılı olduğunu düşünüyoruz. TimeTracking bugün konum verisi toplamaz. Coğrafi sınır (geofence) hatırlatmaları planlanıyor: kullanıma girdiklerinde konum isteğe bağlı olacak ve işveren tarafından açılacak; uygulama konumu yalnızca giriş, çıkış ve bir iş yerinin etrafındaki coğrafi sınıra girip çıkarken alacak, asla sürekli bir iz olarak kaydetmeyecek. Ham koordinatlar varsayılan olarak 30 gün saklanacak (0 ile 90 gün arasında ayarlanabilir); bu süreden sonra yalnızca coğrafi sınırın içinde mi dışında mı olunduğu bilgisi tutulacak. Planlanan anlık bildirimler saat veya isim içermeyecek. - [Hatırlatmalar ve coğrafi sınır bildirimleri](https://timetracking.tech/tr/ozellikler/hatirlatmalar-cografi-sinir) ## Yapay zekâ ile işleme TimeTracking; müşterilerin e-postayla gönderdiği puantajları okumak, imkânsız saatler veya mükerrer kayıtlar gibi anormallikleri işaretlemek ve kayıtları kategorilere ayırmak gibi özellikler için yapay zekâ (Anthropic Claude) kullanır. Yapay zekâ çıktısı her zaman bir öneridir. Düşük güvenilirlikteki çıkarımlar insan incelemesine gider ve yapay zekâ hiçbir şeyi onaylayamaz, gönderemez veya silemez. Onaylar, dışa aktarımlar ve bordro kararları insanlar tarafından verilir. Gelen e-postalar veri olarak ele alınır: model yalnızca sabit bir çıkarım şemasını doldurabilir ve hiçbir eylemi tetikleyemez. Müşteri verileri yapay zekâ modellerini eğitmek için kullanılmaz. Modelin AB'de (Frankfurt) AWS Bedrock üzerinden çalıştırılması planlanıyor; bu kullanıma girene kadar alt işleyici listesi güncel durumu gösterir. Yapay zekâ özelliklerini kuruluşunuz için kapatabilirsiniz. - [Yapay zekâ puantaj ayrıştırıcı](https://timetracking.tech/tr/ozellikler/yapay-zeka-puantaj-okuma) ## Yedekler, olaylar ve silme Veritabanı için belirli bir zamana geri dönme (point-in-time recovery) özelliği etkindir. Geliştirme, test ve canlı ortamlar birbirinden ayrıdır ve canlı ortam verileri geliştirme için kullanılmaz. Bir kişisel veri ihlali olursa, etkilenen müşterileri gecikmeksizin, tespit edildikten sonra en geç 48 saat hedefiyle bilgilendiririz; böylece kendi 72 saatlik yükümlülüklerini yerine getirebilirler. Verilerinizi istediğiniz zaman CSV veya XLSX olarak ya da API üzerinden dışa aktarabilirsiniz. Sözleşme sona erdikten sonra dışa aktarmak için 30 gününüz vardır; ardından müşteri verilerini canlı ortamdan ve yedekleme süresi dolduğunda yedeklerden sileriz. ## Sorumlu açıklama Bir güvenlik açığı bulduğunuzu düşünüyorsanız lütfen güvenlik adresimize bildirin. Sorunun açıklamasını, etkilenen URL'yi veya bileşeni, yeniden oluşturma adımlarını, beklenen etkiyi ve size nasıl ulaşabileceğimizi ekleyin. Ekran görüntüleri veya kısa bir kavram kanıtı (proof of concept) yardımcı olur. Koordineli açıklama rica ediyoruz: sorunu kamuyla paylaşmadan önce incelememiz ve düzeltmemiz için bize makul bir süre tanıyın. Lütfen size ait olmayan verilere erişmeyin, bunları değiştirmeyin veya silmeyin, hizmeti başkaları için kötüleştirmeyin ve sorunu gösterdikten sonra testi durdurun. - [İletişim](https://timetracking.tech/tr/iletisim) ## Sık sorulan sorular ### Verilerim nerede saklanıyor? AB'de. Ana veritabanı İrlanda'daki AWS üzerinde Supabase'te çalışır. Konum ve durum bilgisiyle birlikte alt işleyicilerin tam listesi alt işleyiciler sayfamızda yer alır. ### TimeTracking ISO 27001 veya SOC 2 sertifikalı mı? Hayır, TimeTracking'in kendisi bu sertifikalara sahip değildir. Altyapı sağlayıcılarımız kendi sertifika raporlarını yayımlar; uyguladığımız güvenlik önlemleri veri işleme sözleşmemizin Ek 2'sinde açıklanmıştır. ### Veri işleme sözleşmesi sunuyor musunuz? Evet. Veri işleme sözleşmesi (DPA) şartlarımızın bir parçasıdır ve kayıt sırasında şartlarla birlikte kabul edilir. Yasal belgelerimiz son haline getiriliyor; güncel taslak web sitesinde mevcuttur. ### TimeTracking çalışanların konumunu sürekli takip ediyor mu? Hayır. TimeTracking bugün konum verisi toplamaz. Planlanan coğrafi sınır (geofence) hatırlatmaları isteğe bağlı olacak, işveren tarafından ayarlanacak ve konumu yalnızca giriş-çıkış anlarında ve bir iş yeri sınırına girip çıkarken alacak. Sürekli takip yok, ekran görüntüsü yok, tuş vuruşu kaydı yok. ### Verilerimiz yapay zekâ modellerini eğitmek için kullanılıyor mu? Hayır. Müşteri verileri yapay zekâ modellerini eğitmek için kullanılmaz ve yapay zekâ özellikleri kuruluşunuz için kapatılabilir.