Güvenlik, gizlilik ve veri koruma
Bayibox'ta toptancı firmaların ticari sırları, müşteri listeleri, fiyatları ve finansal verileri en üst düzey mühendislik standartlarıyla korunur. Bu sayfadaki her güvenlik beyanı kaynak kodumuzdan ve işletim mimarimizden birebir doğrulanmıştır.
1. PostgreSQL Row Level Security (RLS) ile tam kiracı izolasyonu
Bayibox çok kiracılı (multi-tenant) bir PostgreSQL veritabanı mimarisi üzerinde çalışır. Platformdaki tüm kiracı tablolarında (firmalar, kullanıcılar, bayiler, ürünler, siparişler, cari defter ve stok hareketleri) PostgreSQL'in Row Level Security (RLS) ve zorunlu FORCE ROW LEVEL SECURITY mekanizması etkindir.
Bunun pratikteki anlamı nedir?
Uygulama kodunda yanlışlıkla bir filtre yazılmasa dahi, veritabanı motoru oturumdaki kiracı kimliği (app.current_tenant_id) dışındaki hiçbir satırın okunmasına veya değiştirilmesine izin vermez. Bir firmanın personeli, yöneticisi veya bayisi asla başka bir firmanın verisini göremez.
2. AES-256-GCM ile şifreli otomatik gece yedekleri
Gece yedekleme süreci
Her gece Türkiye saatiyle 02:00'de otomatik zamanlanmış iş çalışır. Veritabanına yalnızca okuma yetkisi olan özel bayibox_backup rolüyle bağlanılır ve tüm kiracıların verisi dışa aktarılır.
Güçlü şifreleme ve R2 deposu
Yedek arşivi sunucudan çıkmadan önce endüstri standardı AES-256-GCM ile şifrelenir. Şifrelenen dosya Cloudflare R2 nesne deposuna aktarılır. Parola anahtarı olmadan yedek dosyası kesinlikle açılamaz.
3. scrypt parola koruması ve güvenli oturum yönetimi
Bellek-zor scrypt algoritması
Kullanıcı parolaları veritabanında asla düz metin olarak tutulmaz. OWASP tavsiyelerine uygun bellek-zor (memory-hard) scrypt algoritması ile 16 bayt rastgele tuz ve 64 bayt anahtar uzunluğuyla özetlenir. Zamanlama saldırılarına karşı sabit zamanlı doğrulama kullanılır.
Oturum belirteçleri ve kaba kuvvet koruması
Oturum belirteçleri 32 bayt kriptografik rastgele dizgilerden üretilir; veritabanında sadece SHA-256 özeti tutulur. Çerezler HttpOnly, Secure ve SameSite=Lax ile korunur. Başarısız giriş denemelerinde IP ve e-posta bazlı kilitlenme devreye girer.
4. Rol tabanlı erişim kontrolü (RBAC)
Yönetici (Admin)
Tüm firma ayarlarına, cari deftere, kullanıcı yetkilerine, risk limiti aşımlarına ve raporlara tam erişim.
Operasyon (Staff)
Sipariş onaylama, depo sevkiyat hazırlığı, ürün ve stok yönetimi; firma kritik ayarlarına erişemez.
Plasiyer (Salesperson)
Yalnızca kendi sorumlu olduğu bayileri, günlük rotasını, sipariş alma ve tahsilat makbuzu ekranlarını görür.
Bayi (Dealer)
Yalnızca kendi firmasının portalını görür; kendi özel fiyatı, sipariş geçmişi ve cari ekstresiyle sınırlıdır.
5. Demo ortamı ve gerçek veri ayrımı
Canlı demoya, talep eden firmalara e-postayla verilen ortak demo kullanıcı adı ve parolasıyla girilir; parolasız giriş yoktur. Demo hesaplarının oturumlarında kullanıcı ve parola işlemleri, bayi portal şifreleri, firma ayarları, toplu veri aktarımı ve e-posta gönderimi kapalıdır. Demo firmasında gerçek bayi ya da kişi verisi bulunmaz. Gerçek müşteri firmalarıyla tanıtım firmaları arasında hiçbir veri geçişi veya ortak yetki bulunmaz.
6. Altyapı lokasyonu ve veri işleyenler
Veritabanı: Supabase
Frankfurt, Almanya (Avrupa Birliği). PostgreSQL RLS ve otomatik snapshot yedekleme.
Uygulama: Vercel
Sunucu lokasyonu Frankfurt, Almanya (Avrupa Birliği). Uçtan uca TLS 1.3 şifreleme.
Yedekler: Cloudflare R2
AES-256-GCM ile şifrelenmiş nightly arşivler. Yüksek dayanıklılık ve coğrafi yedeklilik.
7. KVKK ve yasal uyum referansları
KVKK Aydınlatma Metni →
6698 sayılı Kanun uyarınca kişisel verilerin işlenme esasları.
Veri İşleme Sözleşmesi →
Toptancı müşterilerimiz için veri işleyen taahhütlerimiz.
Hizmet Sağlayıcılar →
Altyapıda kullanılan alt veri işleyenlerin doğrulanmış listesi.
KVKK Başvuru Rehberi →
Kanunun 11. maddesi kapsamındaki haklarınızı kullanma adımları.