Doki · SEO danışmanlığı · 2025
Küçük bir işletmeyiz, müşteri takip programı yaptırıyoruz. Danışmanımız "kişisel veri var, uyum tarafına bakın" dedi ama nereden başlayacağımızı bilmiyoruz.
Yazılımcı arkadaş "biz teknik tarafı hallederiz" diyor ama bunun sadece teknik bir iş olmadığını anlıyorum.
Nereden başlamalıyız?
Doğru sezmişsiniz, konu yalnızca teknik değildir. Aşağıda genel bir yol haritası veriyorum; somut durumunuz için mevzuata ve danışmanınıza başvurmanız gerektiğini hatırlatırım.
İlk adım envanterdir. Hangi kişisel veriyi, hangi amaçla, hangi hukuki sebebe dayanarak işliyorsunuz; nerede saklanıyor, kimler erişiyor, ne kadar süre tutuluyor, kimlere aktarılıyor. Bu tablo çıkarılmadan atılacak hiçbir adım sağlıklı olmaz.
İkinci adım amaç ve ölçülülüktür. Yazılım projelerinde en sık gördüğüm hata, "ileride lazım olur" diyerek gereğinden fazla alan toplanmasıdır. Toplanmayan veri, korunması gerekmeyen veridir. Formdaki her alanın bir gerekçesi olmalıdır.
Üçüncü adım aydınlatma ve gerekiyorsa açık rızadır. Bunların ne zaman ve nasıl alınacağı arayüzün bir parçasıdır; sonradan eklenen bir onay kutusu değildir. Bu yüzden yazılımcıyla erken konuşulmalıdır.
Dördüncü adım saklama ve imhadır. Verinin ne kadar süre tutulacağı ve süre sonunda ne olacağı yazılı olmalı, yazılımda da karşılığı bulunmalıdır. Silme işlevi olmayan bir sistemde imha politikası kâğıt üstünde kalır.
Beşinci adım ise ilgili kişi başvurularıdır. Bir kişi verilerini sorduğunda ya da silinmesini istediğinde bunu kimin, hangi sürede, hangi kanaldan karşılayacağı belirlenmelidir. Yazılımın bunu destekleyip desteklemediğini şartnameye yazın.
Son olarak yazılımcınızla imzalayacağınız sözleşmeye veri işleme hükümleri eklenmelidir; tedarikçinizin veriye erişimi varsa bu ilişkinin çerçevesi yazılı olmalıdır.
Tuba Hanım'ın çerçevesine katılıyorum, uygulama tarafından iki ekleme yapmak isterim.
Birincisi, test ortamlarında gerçek veri kullanılmaması. Yazılım geliştirilirken üretim verisinin kopyalanması çok yaygın bir uygulamadır ve envanterinizde görünmeyen bir kopya oluşturur. Şartnameye "test ortamlarında maskelenmiş veri kullanılır" maddesini ekletin.
İkincisi, erişim kayıtları. Kimin hangi kayda ne zaman eriştiğinin tutulması hem uyum hem de olay incelemesi bakımından gereklidir. Bu, yazılımın sonradan eklenmesi zor olan özelliklerindendir; baştan isteyin.
Geliştirici tarafından teknik karşılıklarını yazayım, şartnameye madde olarak koyabilirsiniz.
Verinin aktarım sırasında şifreli taşınması (yani sitenin tamamında HTTPS) ve saklanırken hassas alanların şifrelenmesi. Parolalar asla geri çevrilebilir şekilde saklanmamalı, özetleme fonksiyonuyla tutulmalı.
Rol bazlı erişim: her kullanıcı her kaydı görmemeli. Küçük ekiplerde "hepimiz zaten görüyoruz" denir, sonra ekip büyür ve kimse geri dönüp ayıklamaz.
Silme işleminin gerçekten silmesi. Birçok sistemde silinen kayıt sadece gizleniyor. İhtiyaç buysa sorun yok, ama farkında olarak tercih edilmeli.
Ve erişim kayıtlarının kullanıcı tarafından değiştirilemez olması. Kendi izini silebilen bir yönetici hesabı varsa, o kayıtlar delil değeri taşımaz.
Doki · SEO danışmanlığı · 2025
Çok teşekkür ederim, bu maddeleri doğrudan yazılımcıya ilettim.
Envanter kısmını da bu hafta çıkarmaya başladık, şimdiden iki tane gereksiz form alanı bulduk.
burada bi tuzak var söylemeden geçmeyeyim ama unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.
yanlışım varsa düzeltin.
sag olun aradigim cevap buydu. acele karar alti ay sonra duzeltilen karar oluyor
küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim ama sorunuz olursa yazın elmdden geldiğince cevaplarım
teknik tarafını biraz açayım.. ama işte ilk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.
küçük bi deneme ile başlayın, tmmını bi anda bağlamayın. kendi durumunuz farklıysa tabii değişir.
İki yıl önce aynısını yaşadım. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.
Benim görüşüm bu, kesin doğru diye yazmıyorum.
Doki · Log yönetimi kurulumu · 2024
bunu biraz açabilir misiniz?? açıkçası yedeğin aynı ağda ve aynı kimlikel erişiilebilir olması onu hedefin parçası yapıyor.
herkesin yaptigi sey, dogu oldugu anlamiina gelmiyor. ya bu kdr uzattiysam kusura bakmayin.
Bende tam tersi oldu, o yüzden yazıyorum. Tek bir önleme güvenmeyin; katman katman gidin.
Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim. Ben olsam bu yoldan giderdim.
Bu yazılanlar bire bir bizim yaşadığımız. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.
Benim görüşüm bu kesin doğru diye yazmıyorum.
Bu yaklaşımın bi bedeli var, o da konuşulmuyor. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.
Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor. Kolay gelsin.
Doki · Sızma testi · 2023
bunu not aldım, teşekkurler. herkesin yaptığı şey doğru olduğu anlamına gelmiyor.
not oalrak bırakayım lazım olur.
Karşı taraftan konuşayım ben tedarikçi tarafındayım. açıkçası ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.