Güvenlik ve veri: Sunucunun ne yaptığını ölçtük, tarihiyle yazdık.
Unique Alphabet®’in verinizi nasıl işlediğini canlı sunucuda ölçtük, kodumuzda okuduk. Her bölümün altında ölçüm tarihi var.
Ölçüm:
Bir bakışta.
| Konu | Unique Alphabet® |
|---|---|
| Barındırma | İstanbul, Türkiye, bütün hesaplar için (GNET İnternet Telekomünikasyon A.Ş.) |
| Aktarımda şifreleme | TLS 1.2 ve 1.3; iki yıllık HSTS |
| Depoda şifreleme | Uygulamada: paylaşım bağlantıları, iki adımlı giriş anahtarları ve SMTP parolası (AES-256-GCM) |
| Giriş | bcrypt şifre özetleri; isteğe bağlı, doğrulama uygulamasıyla iki adımlı giriş |
| Oturumlar | 8 saat; httpOnly, Secure, SameSite=Lax; sahip ve yöneticiler bütün oturumları tek seferde kapatabiliyor |
| Roller | Sahip, Yönetici, Editör, Görüntüleyici; sunucuda uygulanıyor |
| Firma ayrımı | Tek veri tabanı; uygulama her sorguyu imzalı oturumdaki hesapla sınırlıyor |
| Denetim Kütüğü | SHA-256 zinciri; veri tabanı tetikleyicileri değiştirmeye ve silmeye izin vermiyor; son 400 gün CSV olarak indirilebiliyor |
| Dışa aktarma | Ücretli planlarda: her ürün ayrı ZIP, hesabın tamamı tek arşiv, uygulamadan |
| Silme | Belge dosyaları anında kaldırılıyor; kapatılan hesap 90 gün sonra siliniyor |
| Yapay zekâ | Hesabınızda verinin bir yapay zekâ hizmetine gittiği yalnız iki yer var: Etiket Kontrolü ve Asistan; tek bir ayar ikisini de kapatır. Raw Portal’da da tedarikçinin yüklediği belgenin ilk sayfası, ne olduğunu önermek için okunur. |
| Alt işleyiciler | §11’de adlarıyla; değişiklikler 30 gün önceden duyuruluyor |
| Zafiyet bildirimleri | dev@uniquealphabet.com · /.well-known/security.txt |
| Son gözden geçirme | 14 Eki 2026 |
Bütün hesaplar İstanbul’da, GNET İnternet Telekomünikasyon A.Ş.’nin altyapısında barınıyor. Paylaşım bağlantılarını, iki adımlı giriş anahtarlarını ve e-posta parolasını uygulamanın kendisi şifreliyor.
| Konu | Bugünkü durum |
|---|---|
| Barındırma sağlayıcısı | GNET İnternet Telekomünikasyon A.Ş., İstanbul, Türkiye |
| Uygulamanın şifrelediği | Paylaşım bağlantıları, iki adımlı giriş anahtarları ve SMTP parolası (AES-256-GCM) |
| Yedekler | Her gün sunucu dışına şifreli yedek alınıyor; üç ayda bir geri yükleme deneniyor ve Denetim Kütüğü’ne yazılıyor. |
Ölçüm:
Unique Alphabet® TLS 1.2 ve 1.3 ile bağlanıyor, daha eski sürümleri reddediyor. Aşağıdaki başlıkları canlı sunucu gönderiyor; tarayıcınızın geliştirici araçlarını açıp kendiniz karşılaştırabilirsiniz.
| Yanıt başlığı | Değer |
|---|---|
| Strict-Transport-Security | iki yıl, includeSubDomains, preload |
| Content-Security-Policy | default-src 'self' · script-src and style-src 'self' 'unsafe-inline' · frame-ancestors 'none' · form-action 'self' · base-uri 'self' |
| X-Frame-Options | DENY |
| X-Content-Type-Options | nosniff |
| Referrer-Policy | strict-origin-when-cross-origin |
| Permissions-Policy | kamera, mikrofon, konum ve ödeme kapalı |
Uygulama dışarıdan betik, yazı tipi, analitik ya da izleme aracı yüklemiyor. Yazı tipleri uygulamanın içinde geliyor.
Ölçüm:
Şifreler düz metin olarak değil, bcrypt özeti olarak saklanıyor. Oturumlar sekiz saat sonra kapanıyor; hesap sahibi ve yöneticiler açık oturumların hepsini tek seferde kapatabiliyor. İki adımlı giriş her kullanıcıya açık.
| Öğe | Kod ne yapıyor |
|---|---|
| Şifre | bcrypt özeti; en az 8 karakter; yaygın şifreler reddediliyor |
| İki adımlı giriş | Doğrulama uygulamasından alınan, zamana bağlı kodlar; her kullanıcı isterse açıyor. Hesap sahibi ya da yönetici, bir üyenin iki adımlı girişini sıfırlayabiliyor |
| E-posta adresi | Hesap sahibinin adresi ilk girişten önce, 24 saat geçerli, tek kullanımlık bir bağlantıyla doğrulanıyor |
| Oturum çerezi | httpOnly, Secure, SameSite=Lax; 8 saat sonra geçersiz oluyor. Sahip ve yöneticiler hesabın açık oturumlarının hepsini tek seferde kapatabiliyor |
| Şifre sıfırlama | 256 bitlik rastgele bağlantı; tek kullanımlık, 2 saat geçerli; sunucuda yalnız SHA-256 özeti saklanıyor |
| Yeni kullanıcı | E-postayla şifre gönderilmiyor. 72 saat geçerli, tek kullanımlık bir davet bağlantısı; kullanıcı şifresini kendisi belirliyor |
| Giriş denemeleri | IP adresi başına dakikada 10 deneme; hesap başına 15 dakikada en çok 10 başarısız deneme |
Ölçüm:
Her kayıt tek bir firma hesabına ait; sunucu her sorguyu imzalı oturumunuzdaki hesapla sınırlıyor. Hesabın içinde kimin neyi değiştirebileceğini dört rol belirliyor.
| Rol | Ne yapabilir |
|---|---|
| Sahip ve Yönetici | Her şey: üyeler, roller, dışa aktarma ve hesabı kapatma dahil |
| Editör | Ürünler, formüller, belgeler, paylaşımlar, belge talepleri ve firma bilgileri. Üyeleri ve rolleri değiştiremez |
| Görüntüleyici | Her şeyi görebiliyor ama hiçbir şeyi değiştiremiyor. Denetim Kütüğü’nü dışa aktarabiliyor ve destek talebi açabiliyor |
Bütün firmalar aynı veri tabanını kullanıyor; bu ayrımı sunucu satır satır uyguluyor ve otomatik testler her değişiklikte bu sınırın bir bölümünü denetliyor. Ekibimizin kullandığı yönetim paneli hesap adlarını, e-posta adreslerini, planları, dosya sayılarını ve bize gönderdiğiniz destek taleplerinin metnini gösteriyor; formülleri, ürün dosyalarını ve belgeleri göstermiyor.
Ölçüm:
Veri tabanı tetikleyicileri, kütükteki bir kaydın değiştirilmesine de silinmesine de izin vermiyor. Kayıtlar SHA-256 ile birbirine zincirli; sonradan yapılan bir değişiklik zinciri bozuyor ve ortaya çıkıyor. Verinizi değiştiren işlemler kütüğe yazılıyor. Kütüğü dosya bazında okuyabilir, son 400 günü CSV olarak indirebilirsiniz; indirme de kayda geçiyor.
Kütüğe yazılanlar
- Girişler, başarılı ve başarısız
- Şifre sıfırlamaları
- Ürün, formül, Özel Mix, toksikoloji ve belge değişiklikleri
- Eklenen ve silinen belgeler
- Rapor sürümleri ve imzalar
- Açılan, geri alınan ve yenilenen paylaşımlar; bir paylaşımın her görüntülenmesi
- Tedarikçi yüklemeleri
- Yapay zekâ destekli sonuçlar: dayandığı metnin SHA-256 özeti, sonucun tamamı, istem (prompt) sürümü, model ve sonucu kabul ya da reddeden kişi
- Davetler, rol değişiklikleri, devre dışı bırakmalar
- Firma logosu ve bildirim ayarları
- Dışa aktarmalar
- Kapatılan Regulatory Watch bulguları
- Ekibimizin hesabınızda yaptığı işlemler, gerekçesiyle
Kütüğe yazılmayanlar
- Formüllerin içeriği
- Belge içerikleri
- Şifreler
- Belirteçler (token)
Her kayıtta saat, IP adresi, tarayıcı ve işlemi yapan kişinin adı ya da e-posta adresi var. 400 günden eski kayıtlar korumalı bir arşive taşınıyor; hesap kapansa bile hiçbir kayıt silinmiyor.
Ölçüm:
Şifreyi sistem üretiyor ve yalnız bir kez gösteriyor; sunucuda yalnız bcrypt özeti saklanıyor. Şifreyi tedarikçinize bağlantıdan ayrı bir kanaldan iletin. IP adresi başına dakikada en çok 10 deneme yapılabiliyor. Dosya gelince size e-posta gidiyor; 15 dakikada en çok bir kez.
Her yüklemenin uzantısı, MIME türü ve içerik imzası kontrol ediliyor. PDF’lerde betik, otomatik eylem ve gömülü dosya, Office belgelerinde makro aranıyor. Dosya sınırı 20 MB. Bu bir virüs taraması değil. Talepler ve yüklemeler Denetim Kütüğü’ne yazılıyor.
Tedarikçi, istek e-postasını yanıtlayıp dosyaları ekleyerek de gönderebilir. Gönderen SPF ve DKIM ile doğrulanıyor. Doğrulanmayan bir göndericiden gelen ya da bir hammaddeyle eşleşmeyen dosya incelemeye alınıyor ve size haber veriliyor. E-postayla gelen dosyalar da yüklemelerle aynı kontrollerden geçiyor. Raw Portal kullanan tedarikçiler, e-postalarına gelen ve 15 dakika geçerli tek kullanımlık bir bağlantıyla giriyor.
Ölçüm:
Bir belgeyi sildiğinizde dosyası sunucudan kaldırılıyor. Ürünler silinmiyor, arşive alınıyor ve arşivden geri getirilebiliyor. Ücretli planın süresi dolunca hesap 60 gün okunabilir kalıyor, indirmeler dahil. Hesabı kapattığınızda 90 günlük bir süre başlıyor; bu sürede her şeyi dışa aktarabiliyorsunuz, ardından hesap siliniyor.
| Öğe | Kod ne yapıyor |
|---|---|
| Belge silindi | Dosya diskten anında kaldırılıyor |
| Ürün satıştan çekildi | Arşive alınıyor; hesap açık olduğu sürece geri getirilebiliyor |
| Dışa aktarma | Ürün başına bir ZIP: PIF’in tamamı. Hesabın tamamını da tek arşiv halinde, uygulamadan, hesap sahibi ya da yönetici indirebiliyor. İkisi de ücretli planlarda |
| Hesap kapatıldı | Hesap sahibi ya da yönetici kapatma talebinde bulunuyor. Hesap 90 gün salt okunur kalıyor ve bu sürede her şey dışa aktarılabiliyor; sonra veriler ve dosyalar siliniyor. Fatura kayıtları ve Denetim Kütüğü saklanıyor |
| PDF’ler | Kendi sunucumuzda üretiliyor; dışarıdan PDF ya da OCR hizmeti yok |
Ölçüm:
Hesabınızda verinin bir yapay zekâ hizmetine gittiği yalnız iki yer var: Etiket Kontrolü ve Asistan. Raw Portal’da da tedarikçinin kendi yüklediği belgenin ilk sayfası, türünü önermek için okunur; hesabınızdan bir şey gitmez. Etiket Kontrolü yapıştırdığınız etiket metnini (en çok 20.000 karakter; e-posta adresleri ve telefon numaraları çıkarılır) ya da yüklediğiniz etiket dosyasını (PDF ya da görsel) dosya adı olmadan gönderir.
Gönderilen
- Etiket Kontrolü: yapıştırdığınız haliyle etiket metni ve içindeki her şey: marka, Sorumlu Kişi adresi, INCI listesi
- Etiket Kontrolü: yüklediğiniz etiket dosyası (PDF ya da görsel), olduğu gibi
- Asistan: sorunuz ve son altı mesaj, verileriniz yer tutucuyla; bir değer yalnız izin verdiğinizde
Gönderilmeyen
- Etiket Kontrolü: veri tabanından hiçbir şey: ne formül kaydı ne yüzdeler ne ürün kaydı ne firma profili ne tedarikçi belgeleri
- Etiket Kontrolü: yüklenen dosyanın adı
- Asistan: formülünüzdeki değerler; adı geçen ürünün adı geçen alanına izin vermediğiniz sürece
Asistan verilerinizi nasıl ele alıyor: üç katman
Mevzuat ve ortak toksikoloji kaynakları gibi kamu verisi olduğu gibi kullanılır. Size ait veri modele yalnız yer tutucuyla gider: model “[PRODUCT_1] bu madde için sınırı aşıyor” cümlesini görür, formülünüzdeki değerleri görmez. Daha iyi bir cevap için bir değer gerekirse Asistan durur ve sorar: hangi ürünün hangi alanları, ne için. Bu soru ya da bu konuşma için izin verirsiniz; vermezseniz de cevaplar ve neyi bilemediğini söyler. Bir izin adı geçen ürün ve alanların ötesine geçmez, konuşmadan uzun sürmez; Denetim Kütüğü’ne yazılır ve Ayarlar’da listelenir. Politikayı firmanın Sahibi ya da Yöneticisi belirler: kapalı, sor ya da yöneticiye sor.
Asistan konuşmalarını yalnız konuşmayı yapan kişi görür; firmanın Sahibi ya da Yöneticisi de göremez. Konuşmalar son mesajdan 90 gün sonra silinir.
Cevabı hangi modelin verdiği ekranda yazıyor. Her sonuç Denetim Kütüğü’ne yazılıyor: dayandığı metnin SHA-256 özeti, sonucun tamamı, istem (prompt) sürümü, model ve sonucu kabul eden kişi. Sağlayıcı Anthropic ve doğrudan çağrılıyor; kod başka bir sağlayıcıya izin vermiyor. Tek bir ayar bütün yapay zekâ işlemlerini kapatır: sahip ya da yönetici, firma ayarlarındaki tek anahtarla Etiket Kontrolü’nde ve Asistan’da yapay zekâyı kapatabilir; kapalıyken hiçbir metin hiçbir sağlayıcıya gitmez, kural tabanlı kontroller çalışmaya devam eder.
Formül Kontrolü, INCI Breakdown, Alerjen Hesabı, Yönetmelikler, Toksikolojik Veriler, GBF Hazırlama, Ambalaj ve Denetim Kütüğü hiçbir yapay zekâ hizmeti kullanmıyor. Regulatory Watch kural tabanlı çalışıyor: eklerdeki maddeleri kendi veri tabanımızda CAS, EC ve INCI üzerinden formüllerinizle eşleştiriyor, yalnız herkese açık kaynakları okuyor ve hiçbir müşteri verisini dışarı göndermiyor.
Ölçüm:
Uygulamada ekibimizin içeriğinizi görebileceği bir ekran yok. İçeriğinizi yalnız üç durumda açıyoruz: siz bir destek talebinde istediğinizde, bir güvenlik olayında ya da yasa gerektirdiğinde. Ekibimizin hesabınızda yaptığı her işlem gerekçesiyle birlikte Denetim Kütüğünüze yazılıyor.
| Konu | Bugünkü durum |
|---|---|
| Yönetim paneli | Kişiye özel hesaplar, her girişte iki adımlı doğrulama, girişler kayıtta |
Ölçüm:
Aşağıdaki şirketler veriyi bizim adımıza işliyor ve liste bu kadar. Liste değişirse hesap sahiplerine 30 gün önceden haber veriyoruz.
| Amaç | Şirket | Konum | Ne alıyor |
|---|---|---|---|
| Barındırma | GNET İnternet Telekomünikasyon A.Ş. | İstanbul, Türkiye | Uygulamada saklanan her şey |
| Yapay zekâ: Etiket Kontrolü, Asistan ve Raw Portal önerileri | Anthropic | Amerika Birleşik Devletleri | Etiket metni ya da etiket dosyası, dosya adı olmadan; Asistan’a sorulan soru ve son mesajlar, verileriniz yer tutucuyla, değerler yalnız izinle; Raw Portal önerisi için tedarikçinin yüklediği belgenin ilk sayfası |
| E-posta | GNET İnternet Telekomünikasyon A.Ş., barındırma sağlayıcısının e-posta hizmeti | İstanbul, Türkiye | E-posta adresleri ve bildirim metinleri |
Aynı liste, sözleşme taraflarıyla birlikte Veri İşleme Sözleşmesi’nde de var. Hata kayıtları kendi sunucumuzda kalıyor; hiçbir hata izleme hizmetine gönderilmiyor.
Ölçüm:
Güvenlik anketlerini bu sayfayı kaynak alarak cevaplıyoruz; isterseniz Veri İşleme Sözleşmesi de imzalıyoruz. Sözleşmedeki karşı tarafınız Wennes Biyoteknoloji Limited Şirketi, Türkiye.
| İstenen | Nerede |
|---|---|
| Veri İşleme Sözleşmesi | İstek üzerine: hello@uniquealphabet.com |
| Alt işleyici listesi | §11 · değişiklikler 30 gün önceden duyuruluyor |
| Verinin yeri | §01 · İstanbul, Türkiye, bütün hesaplar için |
| Roller | §04 · Sahip, Yönetici, Editör, Görüntüleyici |
| Denetim Kütüğü dökümü | §05 · CSV, son 400 gün |
| Hesap silme | §08 |
| Hizmet durumu | uniquealphabet.instatus.com |
| Zafiyet bildirimi | §13 |
Ölçüm:
dev@uniquealphabet.com adresine yazın. Uygulama sunucusu /.well-known/security.txt adresinde bir security.txt dosyası yayımlıyor. 2 iş günü içinde cevap veriyor, neyi değiştirdiğimizi size bildiriyoruz.
Güvenlik ve veri hakkında sık sorulanlar.
Verilerimiz nerede duruyor?
İstanbul’da, bütün hesaplar için, GNET İnternet Telekomünikasyon A.Ş. altyapısında.
Yapay zekâ formüllerimi görüyor mu?
Siz izin vermedikçe hayır; izin de ürün ürün, alan alan verilir. Asistan verilerinizi modele yer tutucuyla gönderir, bir değer ancak izninizle gider. Etiket Kontrolü yalnız kontrol ettiğiniz etiketi gönderir, veri tabanından hiçbir şey göndermez.
Yapay zekâyı kapatabilir miyiz?
Evet. Sahip ya da yönetici, firma ayarlarındaki tek anahtarla Etiket Kontrolü’nde ve Asistan’da yapay zekâyı kapatabilir; kapalıyken hiçbir metin hiçbir sağlayıcıya gitmez, kural tabanlı kontroller çalışmaya devam eder.
Firmalar birbirinden nasıl ayrılıyor?
Her kayıt bir firma hesabına ait; sunucu sorguları imzalı oturumdaki hesapla sınırlıyor. Otomatik testler her değişiklikte bu sınırın bir kısmını kontrol ediyor.
İki adımlı giriş var mı?
Evet. Doğrulama uygulamasıyla iki adımlı giriş her kullanıcıya açık; hesap sahibi ya da yönetici bir üyenin iki adımlı girişini sıfırlayabiliyor. Tek oturum açma (SSO) şu an yok.
Ekibiniz verilerimizi görebiliyor mu?
Uygulamada ekibin müşteri içeriğini görebileceği bir ekran yok. İçeriği yalnız müşteri bir destek talebinde istediğinde, bir güvenlik olayında ya da yasa gerektirdiğinde açıyoruz. Ekibin bir hesapta yaptığı işlemler gerekçesiyle o hesabın Denetim Kütüğü’ne yazılıyor.
Ayrılırsak verilerimize ne oluyor?
Ücretli planlarda her ürün, PIF’in tamamıyla birlikte ZIP olarak; hesabın tamamı da tek arşiv halinde uygulamadan indirilebiliyor. Ücretli planın süresi dolunca hesap 60 gün okunabilir kalıyor, indirmeler dahil. Hesabı kapattığınızda 90 günlük bir süre başlıyor; bu sürede her şey dışa aktarılabiliyor, sonra veriler ve dosyalar siliniyor.
Alt işleyicileriniz kimler?
Barındırma ve e-posta için İstanbul’da GNET İnternet Telekomünikasyon A.Ş., Etiket Kontrolü, Asistan ve Raw Portal belge önerileri için Anthropic. Listenin tamamı §11’de.
Başlıkları, TLS sürümlerini ve security.txt dosyasını herkes kendisi kontrol edebilir; gerisi, belirtilen tarihte kodumuzda okuduğumuz haliyle yazıldı.
Sorularınızı sunucuyu yönetenlere sorun.
Güvenlik anketinizi gönderin, Veri İşleme Sözleşmesi’ni isteyin ya da bu sayfada cevabını bulamadığınız soruları sorun.
- Anketinizi bu sayfaya dayanarak cevaplıyoruz
- İstenirse imzalı Veri İşleme Sözleşmesi
- Alt işleyici değişiklikleri, 30 gün önceden duyuruluyor
- Bu sayfanın tarihli PDF’i, dosyanız için