DPP Host’ta güvenlik
Son gözden geçirme: 30 Eylül 2026
DPP Host, Danimarka’daki Qubites ApS tarafından işletilir. Bu sayfada pasaportları ve müşteri verilerini güvende tutmak için neler yaptığımızı ve ISO/IEC 27002:2022’nin her bir kontrolünde ne durumda olduğumuzu açıklıyoruz.
Durumumuz
DPP Host, ISO/IEC 27001 sertifikasına sahip değildir.
Kendi kontrollerimizi ISO/IEC 27002:2022’nin 93 kontrolüne göre değerlendirdik ve sonucu 30 Eylül 2026 tarihinde gözden geçirdik. Bu değerlendirmeyi hiçbir denetçi kontrol etmedi. Tüm kontroller ve durumları aşağıda listelenmiştir.
- 28 Uygulamada Bugün işliyor ve bunu gösterebiliriz.
- 53 Kısmen Bir kısmı işliyor. Geri kalanı tanımlandı ve bir sorumlusu var.
- 7 Planlandı Bir sorumlusu ve bir tetikleyicisi var. Henüz hiçbir şey işlemiyor.
- 5 Uygulanabilir değil DPP Host için geçerli değil. Gerekçesi kayıt altında.
Neler yapıyoruz
Verileriniz nerede
Veritabanı, oturum açma sistemi ve sunucu işlevleri Frankfurt’ta (AB) çalışır. Yayımlanan pasaportlar, görseller ve tedarikçi dosyaları AB yargı yetkisi altında Cloudflare R2’de saklanır. Bazı veriler AB dışında işlenir. Örneğin Cloudflare sayfaları ziyaretçiye en yakın veri merkezinden sunar, Resend gönderdiğimiz e-postaların kopyalarını Amerika Birleşik Devletleri’nde 30 gün saklar ve yapay zekâ uygulaması bağlantıları, AB ile sınırlı olmayan Cloudflare Workers KV’de saklanır.
Kim neyi görebilir
Her veritabanı tablosunda satır düzeyinde erişim kuralları vardır. Bir kuruluşun üyeleri başka bir kuruluşun verilerini okuyamaz. Web sitesinin kullandığı herkese açık anahtar hiçbir tabloyu okuyamaz ve hiçbir tabloya yazamaz. Ürün sahibi hizmetlerinin verileri pasaportlardan ayrı tutulur ve herkese açık kopyalara asla ulaşmaz.
İnsan onayı olmadan yayımlama yok
Bir yapay zekâ asistanı veya bir entegrasyon pasaport hazırlayabilir. Kuruluşunuzdaki bir kişi, yeniden oturum açtıktan sonra pasaportu onaylar. Yalnızca bir yöneticinin yayımlama yetkisi verdiği bir API anahtarı kendi başına yayımlayabilir.
Anahtarlar
API anahtarları yalnızca bir kez gösterilir ve yalnızca anahtarlı özet (hash) olarak saklanır. Süreleri dolar, bir geçiş süresi tanınarak yenilenebilir ve oluşturan kişi ayrıldığında çalışmaz hale gelir.
Aktarımda ve depolamada
Tüm bağlantılar HSTS ile birlikte TLS kullanır. Site, panel ve pasaport sayfaları bir İçerik Güvenliği Politikası (Content Security Policy) gönderir. Depolanan veriler sağlayıcılarımız tarafından şifrelenir.
Yedekler ve süreklilik
Yayımlanan pasaportlar, panel veya veritabanı çalışmadığında da ayakta kalan statik bir kopyadan sunulur. Yayımlanan her pasaport her gece AB’deki ayrı bir depolama alanına kopyalanır. Hedefimiz, yayımlanan pasaportları en fazla 24 saatlik veri kaybıyla 8 saat içinde geri yüklemektir. Yayımlanan pasaportlar yayımlandıkları tarihten itibaren 10 ila 15 yıl yayında kalır; DPP Host faaliyetini durdurursa pasaportların nasıl yayında kalacağını yazılı bir kapanış planı belirler.
Bütünlük
Yayımlanan her sürümün, bağımsız olarak zaman damgası vurulmuş bir içerik özeti (hash) vardır. Herkes, sürümün değiştirilmediğini kontrol edebilir.
Güvenlik olayları
Güvenlik olayları ve veri ihlalleri için yazılı bir sürecimiz var. Bu süreç, GDPR kapsamındaki 72 saatlik bildirim yükümlülüğünü ve Dijital Hizmetler Yasası kapsamındaki bildirim ve eylem sürecini kapsar.
93 kontrol
ISO/IEC 27002:2022, 93 kontrolü dört grupta sıralar. Her satırda kontrolün numarası, standarttaki başlığı ve 30 Eylül 2026 itibarıyla durumumuz yer alır. Her kontrol için neyi nerede yaptığımız kurum içinde kalır; gizlilik sözleşmesi (NDA) kapsamında paylaşılabilir.
5 Kurumsal kontroller
37 kontrol: 14 uygulamada, 21 kısmen uygulamada, 2 planlandı, 0 uygulanabilir değil.
| No. | Kontrol | Durum |
|---|---|---|
| 5.1 | Bilgi güvenliği politikaları | Kısmen |
| 5.2 | Roller ve sorumluluklar | Uygulamada |
| 5.3 | Görevlerin ayrılığı | Kısmen |
| 5.4 | Yönetimin sorumlulukları | Uygulamada |
| 5.5 | Yetkili makamlarla iletişim | Kısmen |
| 5.6 | Özel ilgi gruplarıyla iletişim | Kısmen |
| 5.7 | Tehdit istihbaratı | Kısmen |
| 5.8 | Proje yönetiminde bilgi güvenliği | Uygulamada |
| 5.9 | Bilgi ve diğer ilişkili varlıkların envanteri | Uygulamada |
| 5.10 | Bilgi ve diğer ilişkili varlıkların kabul edilebilir kullanımı | Uygulamada |
| 5.11 | Varlıkların iadesi | Planlandı |
| 5.12 | Bilginin sınıflandırılması | Uygulamada |
| 5.13 | Bilginin etiketlenmesi | Kısmen |
| 5.14 | Bilgi aktarımı | Uygulamada |
| 5.15 | Erişim kontrolü | Uygulamada |
| 5.16 | Kimlik yönetimi | Uygulamada |
| 5.17 | Kimlik doğrulama bilgileri | Kısmen |
| 5.18 | Erişim hakları | Kısmen |
| 5.19 | Tedarikçi ilişkilerinde bilgi güvenliği | Kısmen |
| 5.20 | Tedarikçi anlaşmalarında bilgi güvenliğinin ele alınması | Kısmen |
| 5.21 | BİT tedarik zincirinde bilgi güvenliğinin yönetimi | Kısmen |
| 5.22 | Tedarikçi hizmetlerinin izlenmesi, gözden geçirilmesi ve değişiklik yönetimi | Kısmen |
| 5.23 | Bulut hizmetlerinin kullanımında bilgi güvenliği | Uygulamada |
| 5.24 | İhlal olayı yönetiminin planlanması ve hazırlık | Kısmen |
| 5.25 | Bilgi güvenliği olaylarının değerlendirilmesi ve karara bağlanması | Uygulamada |
| 5.26 | Bilgi güvenliği ihlal olaylarına müdahale | Kısmen |
| 5.27 | İhlal olaylarından ders çıkarma | Uygulamada |
| 5.28 | Kanıt toplama | Kısmen |
| 5.29 | Kesinti sırasında bilgi güvenliği | Kısmen |
| 5.30 | İş sürekliliği için BİT hazırlığı | Kısmen |
| 5.31 | Yasal, mevzuata ilişkin, düzenleyici ve sözleşmeye dayalı gereksinimler | Kısmen |
| 5.32 | Fikri mülkiyet hakları | Uygulamada |
| 5.33 | Kayıtların korunması | Kısmen |
| 5.34 | Gizlilik ve kişisel verilerin korunması | Kısmen |
| 5.35 | Bilgi güvenliğinin bağımsız olarak gözden geçirilmesi | Planlandı |
| 5.36 | Politikalara, kurallara ve standartlara uyum | Kısmen |
| 5.37 | Belgelenmiş işletim prosedürleri | Uygulamada |
6 Kişilere yönelik kontroller
8 kontrol: 0 uygulamada, 3 kısmen uygulamada, 5 planlandı, 0 uygulanabilir değil.
| No. | Kontrol | Durum |
|---|---|---|
| 6.1 | Geçmiş araştırması | Planlandı |
| 6.2 | İstihdam hüküm ve koşulları | Planlandı |
| 6.3 | Bilgi güvenliği farkındalığı, eğitimi ve öğretimi | Kısmen |
| 6.4 | Disiplin süreci | Planlandı |
| 6.5 | İstihdamın sona ermesi veya değişmesinden sonraki sorumluluklar | Planlandı |
| 6.6 | Gizlilik veya ifşa etmeme anlaşmaları | Planlandı |
| 6.7 | Uzaktan çalışma | Kısmen |
| 6.8 | Bilgi güvenliği olaylarının raporlanması | Kısmen |
7 Fiziksel kontroller
14 kontrol: 0 uygulamada, 10 kısmen uygulamada, 0 planlandı, 4 uygulanabilir değil.
| No. | Kontrol | Durum |
|---|---|---|
| 7.1 | Fiziksel güvenlik sınırları | Kısmen |
| 7.2 | Fiziksel giriş | Kısmen |
| 7.3 | Ofislerin, odaların ve tesislerin güvenliğinin sağlanması | Kısmen |
| 7.4 | Fiziksel güvenliğin izlenmesi | Uygulanabilir değil |
| 7.5 | Fiziksel ve çevresel tehditlere karşı koruma | Kısmen |
| 7.6 | Güvenli alanlarda çalışma | Uygulanabilir değil |
| 7.7 | Temiz masa ve temiz ekran | Kısmen |
| 7.8 | Ekipmanın yerleştirilmesi ve korunması | Kısmen |
| 7.9 | Tesis dışındaki varlıkların güvenliği | Kısmen |
| 7.10 | Depolama ortamları | Kısmen |
| 7.11 | Destekleyici altyapı hizmetleri | Uygulanabilir değil |
| 7.12 | Kablolama güvenliği | Uygulanabilir değil |
| 7.13 | Ekipman bakımı | Kısmen |
| 7.14 | Ekipmanın güvenli şekilde elden çıkarılması veya yeniden kullanılması | Kısmen |
8 Teknolojik kontroller
34 kontrol: 14 uygulamada, 19 kısmen uygulamada, 0 planlandı, 1 uygulanabilir değil.
| No. | Kontrol | Durum |
|---|---|---|
| 8.1 | Kullanıcı uç nokta cihazları | Kısmen |
| 8.2 | Ayrıcalıklı erişim hakları | Kısmen |
| 8.3 | Bilgiye erişimin kısıtlanması | Uygulamada |
| 8.4 | Kaynak koda erişim | Kısmen |
| 8.5 | Güvenli kimlik doğrulama | Kısmen |
| 8.6 | Kapasite yönetimi | Kısmen |
| 8.7 | Kötü amaçlı yazılımlara karşı koruma | Kısmen |
| 8.8 | Teknik zafiyetlerin yönetimi | Kısmen |
| 8.9 | Yapılandırma yönetimi | Uygulamada |
| 8.10 | Bilgilerin silinmesi | Kısmen |
| 8.11 | Veri maskeleme | Uygulamada |
| 8.12 | Veri sızıntısının önlenmesi | Kısmen |
| 8.13 | Bilgi yedekleme | Kısmen |
| 8.14 | Bilgi işleme tesislerinin yedekliliği | Kısmen |
| 8.15 | Kayıt tutma | Kısmen |
| 8.16 | İzleme faaliyetleri | Kısmen |
| 8.17 | Saat senkronizasyonu | Uygulamada |
| 8.18 | Ayrıcalıklı yardımcı programların kullanımı | Kısmen |
| 8.19 | İşletimdeki sistemlere yazılım kurulumu | Uygulamada |
| 8.20 | Ağ güvenliği | Kısmen |
| 8.21 | Ağ hizmetlerinin güvenliği | Kısmen |
| 8.22 | Ağların ayrılması | Uygulamada |
| 8.23 | Web filtreleme | Uygulanabilir değil |
| 8.24 | Kriptografi kullanımı | Kısmen |
| 8.25 | Güvenli geliştirme yaşam döngüsü | Uygulamada |
| 8.26 | Uygulama güvenliği gereksinimleri | Uygulamada |
| 8.27 | Güvenli sistem mimarisi ve mühendislik ilkeleri | Uygulamada |
| 8.28 | Güvenli kodlama | Uygulamada |
| 8.29 | Geliştirme ve kabulde güvenlik testleri | Uygulamada |
| 8.30 | Dış kaynaklı geliştirme | Kısmen |
| 8.31 | Geliştirme, test ve üretim ortamlarının ayrılması | Kısmen |
| 8.32 | Değişiklik yönetimi | Uygulamada |
| 8.33 | Test bilgileri | Uygulamada |
| 8.34 | Denetim testleri sırasında bilgi sistemlerinin korunması | Uygulamada |
Tedarikçiler
DPP Host bu tedarikçilerin altyapısında çalışır. Sertifikalar, her tedarikçinin kendi güvenlik sayfasında beyan ettikleridir; 30 Eylül 2026’da kontrol edildi ve yılda bir kez yeniden kontrol edilir. Bu sertifikalar DPP Host’u değil, tedarikçiyi kapsar: kendi durumumuz yukarıdadır.
| Tedarikçi | DPP Host için ne yaptığı | Tedarikçinin beyan ettiği sertifikalar |
|---|---|---|
| Cloudflare | Edge ağı, Workers, R2 depolama, DNS, e-posta yönlendirme | ISO/IEC 27001, 27701 ve 27018; SOC 2 Type II; PCI DSS |
| Supabase | Frankfurt’ta veritabanı, oturum açma sistemi ve sunucu işlevleri | ISO/IEC 27001; SOC 2 Type 2; HIPAA |
| GitHub | Kaynak kodu ve CI | ISO/IEC 27001; SOC 1 ve SOC 2 Type 2 |
| Resend | E-posta gönderimi | SOC 2 Type II |
| Scaleway | Harici kopyalar: kuruldu, şimdilik kapalı | ISO/IEC 27001; HDS |
Belgeler ve sertifikasyon
Uygulanabilirlik Bildirgesi’nin tamamı ve politikalarımız, talep üzerine gizlilik sözleşmesi (NDA) kapsamında paylaşılır: hello@dpphost.eu.
Sertifikasyon: bir müşteri ya da AB’nin DPP hizmet sağlayıcılarına yönelik kuralları gerektirdiğinde.
Güvenlik sorunu bildirimleri: hello@dpphost.eu. Gizlilik: privacy@dpphost.eu. Herhangi bir çalışma süresi (uptime) garantisi yayımlamıyoruz.
Durumlar 30 Eylül 2026 itibarıyla gözden geçirildiği haliyle verilmiştir. Uygulanabilirlik Bildirgesi değiştiğinde bu sayfa da değişir.