Son güncelleme:
1. Amaç ve sorumlu
Bu politika, Gizlilik Politikası'nda özetlenen işleme faaliyetlerinin teknik ve organizasyonel ayrıntılarını açıklar. Colitu, İngiltere ve Galler'de tescilli COLITU LIMITED (kayıtlı adres: 128 City Road, London, Birleşik Krallık, EC1V 2NX; şirket numarası 17520342) tarafından işletilir; verilerin nasıl işleneceğine COLITU LIMITED karar verir ve privacy@colitu.com adresinden ulaşılabilir. Hesap veritabanı Türkiye'deki bir sunucuda çalışır. Teknik ayrıntılar: Güvenlik Teknik Belgesi.
2. İşleme faaliyetleri
| Faaliyet | Veriler | Sistem | Hukuki dayanak |
|---|---|---|---|
| Hesap yönetimi | E-posta, parola hash'i, dil, kayıt ve son oturum açmadaki IP ve ülke | Kontrol paneli veritabanı | Sözleşme |
| E-posta doğrulama | E-posta, kod hash'i | Kontrol paneli, e-posta sağlayıcısı | Sözleşme, meşru menfaat |
| VPN erişimi | Cihaz (ve abonelik bağlantısı) ve sunucu başına bağlantı kimlik bilgileri, cihaz kayıtları | Kontrol paneli, VPN sunucuları | Sözleşme |
| Trafik muhasebesi | Kullanıcı ve sunucu başına bayt miktarı, yaklaşık 15 saniyelik aralıklarla | VPN sunucusu ajanı, kontrol paneli | Sözleşme, meşru menfaat |
| Taşıma protokolü seçimi | Cihaz başına hangi protokolün hangi sunucuda ve ne hızda çalıştığı (IP yok) | Uygulamalar, kontrol paneli | Meşru menfaat |
| Güvenlik ve kötüye kullanımın önlenmesi | Oturum açma olayları, IP, ülke, cihaz hash'i, sunucu anahtarlı HMAC-SHA256 kötüye kullanım hash'leri, reddedilen girişimler | Kontrol paneli | Meşru menfaat |
| Web sitesi ve API'nin işletilmesi | Erişim logları (IP, istenen adres, tarayıcı) | Kontrol paneli | Meşru menfaat |
| Ödeme | Sipariş, tutar, işlem durumu, sağlayıcının bildirimi | Kontrol paneli, ödeme sağlayıcısı | Sözleşme, yasal yükümlülük |
| Destek | Mesajlar, ekler, maskelenmiş uygulama logları | Kontrol paneli, e-posta aktarıcısı | Sözleşme |
| Colitu Bot | Sorular, yanıtlar, IP adresi, geri bildirim | Kontrol paneli, yapay zekâ sağlayıcısı | Meşru menfaat |
| Hizmet sağlığı | Sunucu CPU, bellek, disk, çekirdek durumu | Kontrol paneli | Meşru menfaat |
3. VPN sunucularında işlenen veriler
Her VPN sunucusu, o sunucunun protokol anahtarlarını ve onu kullanan kullanıcıların dahili kullanıcı kimliğiyle tanımlanan bağlantı kimlik bilgilerini tutar; e-posta adresi veya ödeme verisi tutmaz. Bağlantı kimlik bilgileri cihaz (ve abonelik bağlantısı) ve sunucu başınadır; kaldırılan bir cihazın veya yenilenen bir abonelik bağlantısının kimlik bilgileri sunuculardan silinir. Sunucular, cihaz kimlik bilgilerinden kullanıcıya eşleyerek kullanıcı başına aktarılan bayt miktarını sayar ve kontrol paneline bildirir. Trafik içeriğini, hedefleri, DNS sorgularını, bağlantı loglarını veya kullanıcı IP adreslerini kaydetmezler.
İki sunucu, sabit ve küçük bir alan adı kümesini Cloudflare WARP üzerinden gönderir; bu alan adları için çıkış noktası Cloudflare'dir.
4. Veri işleyenler (alt hizmet sağlayıcıları)
| Sağlayıcı | Hizmet | Paylaşılan veri |
|---|---|---|
| Bir ödeme sağlayıcısı (yalnızca ücretli plan satın alan müşteriler için) | Ödeme işleme | Sipariş numarası, tutar, para birimi, plan açıklaması, ödeme yöntemi; Rialit için hesaba bağlı sabit bir ödeyen numarası (e-posta veya IP adresi gönderilmez) |
| Resend | Hesap e-postaları | E-posta adresi, ileti içeriği |
| Brevo | Destek posta kutumuzdan gönderilen yanıtların aktarımı | Alıcı adresi, yanıt içeriği |
| Backblaze | Sunucu dışı yedek depolama (EU Central, Amsterdam) | Yalnızca şifreli yedek dosyaları; Backblaze bunları okuyamaz |
| DeepSeek | Colitu Bot yanıtları | Soru ve yazışmanın son birkaç mesajı; hesap bilgileri gönderilmez |
| Cloudflare | DNS barındırma; docs.colitu.com için proxy; uygulamalardaki varsayılan DNS çözümleyicileri; iki sunucuda birkaç alan adı için WARP çıkışı | docs.colitu.com ziyaretçilerinin IP adresi ve istek bilgisi; VPN sunucularının IP adresinden gelen DNS sorguları; bu alan adlarına giden trafiğin üst verileri |
| Barındırma sağlayıcıları | Sunucu altyapısı | Sunucularda tutulan veriler (teknik erişimleri vardır; diskler şifreli değildir) |
5. Saklama ve silme
Saklama süreleri Gizlilik Politikası'nın 3. maddesinde listelenmiştir. Otomatik bir görev her saat bu sürelere göre süresi dolan kayıtları siler ya da IP alanlarını temizler: oturum açma olayları, trafik kayıtları, reddedilen girişimler, kötüye kullanım hash'leri, e-posta teslim kayıtları, doğrulama kodları, bot yazışmaları, kapatılmış destek yazışmaları, sona ermiş web ve uygulama oturumları, TV ile giriş ve taşıma talepleri, kaldırılmış ve uzun süredir görülmeyen cihazların bilgileri ile hesap kaydındaki IP alanları. Her kuralın başarısızlığı loglanır ve izleme metriğine yansır. Hesap silme, 4. maddede listelenen verileri hemen siler. Plan, ödeme ve sipariş kayıtları ile denetim logu bu görevin kapsamında değildir. Silinen veriler, silmeden önce alınmış şifreli yedeklerde en fazla 36 gün, bir dağıtımdan önce alınmış şifrelenmemiş anlık görüntülerde ise en fazla 7 gün kalır.
6. Teknik ve organizasyonel önlemler
- Web sitesi ve API bağlantıları TLS ile şifrelenir. Kontrol paneli ile VPN sunucuları arasında karşılıklı TLS 1.3 (gRPC) kullanılır; sunucu sertifikaları 30 gün geçerlidir ve otomatik yenilenir.
- Parolalar Argon2id ile hash'lenir.
- Ödeme, e-posta ve yapay zekâ sağlayıcılarının erişim bilgileri veritabanında AES-256-GCM ile şifrelenir. Kullanıcıların VPN bağlantı kimlik bilgileri ve Reality özel anahtarları şu anda veritabanında şifresiz tutulur; şifrelenmeleri yol haritasındadır.
- Yönetici paneli ayrı bir adrestedir ve rol tabanlı yetkiler kullanır; yönetici uç noktaları genel API'de kapalıdır, yönetici hesapları 5 hatalı denemeden sonra 15 dakika kilitlenir ve tüm yönetim işlemleri denetim loguna yazılır. Yönetici hesapları için iki adımlı doğrulama (TOTP) zorunludur: kurulmamışsa yönetici oturum açtıktan sonra yalnızca kurulumu yapabilir.
- Sunuculara yönetici erişimi yalnızca SSH anahtarlarıyla yapılır; parola ile giriş kapalıdır.
- Kontrol paneli veritabanına internetten erişilemez; VPN sunucularının ona erişimi yoktur.
- Veritabanı yedekleri age ile bir açık anahtara şifrelenir; yedek almak için yalnızca bu anahtar gerekir. Şifre çözme anahtarı çevrimdışında tutulur, hiçbir sunucuda bulunmaz. Günlük yedekler kontrol paneli sunucusunda 3 gün kalır; şifreli bir kopya Backblaze B2'de (EU Central, Amsterdam) 30 gün boyunca silinmeye karşı kilitli tutulur ve en geç 36 gün sonra silinir. Bu kopyadan geri yükleme 16 Ekim 2026'da test edildi.
- Sunucu diskleri şifreli değildir; barındırma sağlayıcılarının makinelere teknik erişimi vardır.
- IP'den ülke tespiti sunucumuzdaki yerel bir veritabanıyla yapılır; IP adresi bu amaçla üçüncü tarafa gönderilmez.
- Henüz bağımsız bir güvenlik denetimi yapılmamıştır.
7. Veri ihlali
Kişisel verileri etkileyen bir güvenlik ihlali tespit edersek ihlali sınırlamak için derhal önlem alır, etkilenen kullanıcılara gecikmeksizin e-posta gönderir, mevzuatın gerektirdiği durumlarda yetkili makamları bilgilendirir ve ne olduğunu olay kaydında yayımlarız.
8. Başvurular
Veri işleme ile ilgili talepleriniz için: privacy@colitu.com. Güvenlik bildirimleri için: security@colitu.com
Sorunuz mu var? support@colitu.com adresine yazın.