Güvenlik ve Güven

İlgili: Gizlilik Politikası · Hizmet Şartları

1. Genel Bakış#

Clevera ekran kayıtlarını, ürün görüntülerini ve bazen kendi uygulamalarınıza giriş işlemlerini yönetir, bu nedenle güvenliği ürünün bir parçası olarak ele alıyoruz. Tasarım ilkelerimiz şunlardır:

• en az ayrıcalıklı erişim
• şifreli veri akışları
• medyaya kısa süreli erişim
• açık web ile temas eden her şeyin net bir şekilde yalıtılması

2. Bir bakışta#

3. Altyapı#

• Uygulama ve veritabanı. Sunucularımız Hetzner AB (Almanya) üzerinde Laravel Forge ile yönetilmektedir. Postgres veritabanı ve Redis kuyruğu, bağlantıları yalnızca uygulama sunucusundan kabul eder, internetten gelen bağlantıları kabul etmez.
• Dosyalar. Kayıtlar, yüklemeler ve oluşturulan medya dosyaları ABD'deki Amazon S3'te, halka açık marka varlıkları ise AB'de (İsveç) saklanır. Medya, Amazon CloudFront aracılığıyla sunulur.
• İşleme. Videolar varsayılan olarak kendi tarayıcınızda işlenir, bu nedenle son kodlama cihazınızda gerçekleşir. Sunucu tarafı render işlemleri ABD'deki AWS Lambda üzerinde çalışır.
• Web sitesi ziyaretleri. Sizin adınıza web sitelerini ziyaret eden bileşenler iki yerde çalışır:
  • Kendi site tarayıcımız. API anahtarlarımıza erişimi olmayan, ayrı ve kısıtlı bir sistem kullanıcısı olarak çalışır. Giden bir güvenlik duvarı, sunucu tarafı istek sahteciliğine (SSRF) karşı koruma sağlamak için dahili ağlara ve bulut meta veri uç noktalarına erişimini engeller.
• Tarayıcı Kullanımı. Yapay zeka destekli tarama, altyapımızın dışında, Browser Use'daki yalıtılmış bulut tarayıcılarında çalışır.
• Veri konumu. Veriler esas olarak ABD ve AB'de işlenir. Şu anda müşteri tarafından seçilebilir veri yerleşimi sunmuyoruz.

4. Veri koruma#

• Aktarım sırasında: Clevera'ya gelen tüm trafik TLS kullanır.
• Durağan halde:
  • Aşağıdakileri uygulama düzeyinde şifreliyoruz:
    • entegrasyon OAuth belirteçleri
    • SSO gizli bilgileri
    • kendi sağlayıcı API anahtarlarınız
    • geçici web sitesi kimlik bilgileri
    • sağlayıcı indirme bağlantıları
  • Şifreler yalnızca tek yönlü karma (hash) olarak saklanır.
  • Depolanan dosyalar, bulut sağlayıcısının durağan haldeki şifrelemesine (AWS SSE-S3) dayanır.
• Medya erişimi: özel medya dosyaları yalnızca genellikle 24 saat içinde süresi dolan imzalı bağlantılar aracılığıyla sunulur. Yüklemeler, tek kullanımlık önceden imzalanmış URL'ler aracılığıyla doğrudan depolama alanına gider.
• Ödemeler: tamamen Lemon Squeezy tarafından yönetilir. Kart verileri sistemlerimize asla ulaşmaz.
• Veri minimizasyonu: her yapay zeka sağlayıcısına yalnızca işin gerektirdiği verileri gönderiyoruz. Örneğin, paylaşılan videolardaki izleyici analizlerinde yalnızca cihaz sınıfı ve ülke bilgisi tutulur. Kötüye kullanım önleme sistemlerinde ham IP adresleri yerine anahtarlı karmalar (keyed hashes) kullanılır.

5. Yapay zeka sağlayıcıları#

Clevera, Google (Gemini), Anthropic (Claude) ve OpenAI'dan gelen yapay zeka modellerini kullanır. Ayrıca yapay zeka avatarları için HeyGen'den yararlanır.

• Bu sağlayıcıları, içeriğinizi eğitim amacıyla kullanmalarına izin vermeyen ticari API şartları kapsamında kullanıyoruz.
• Bazı sağlayıcılar, API verilerini kötüye kullanım izleme amacıyla sınırlı bir süre, genellikle 30 güne kadar saklar.
• Analiz için yüklediğimiz video dosyaları, işlemden sonraki birkaç saat içinde sağlayıcıdan silinir.
• İçeriğinizi yapay zeka modellerini eğitmek için kullanmıyoruz.

6. Yapay zeka web sitesi araştırması ve kimlik bilgileri#

“Yapay Zeka ile Kaydet” ve web sitesi araştırması, Browser Use'daki bir bulut tarayıcısında bir yapay zeka ajanı çalıştırır.

• Kimlik bilgileri modelin dışında tutulur. Bir işlem için verdiğiniz kimlik bilgileri, tarayıcıya gizli bilgi olarak iletilir. Bunlar asla yapay zeka modelinin istemine yerleştirilmez ve kayıtlardan temizlenir.
• Kısa süreli depolama. Bizim tarafımızda kimlik bilgileri yalnızca işlem sırasında şifreli olarak tutulur ve ardından silinir.
• Kısıtlı araştırma. Araştırma işlemleri; giriş yapmamaları, form göndermemeleri veya satın alma işlemi yapmamaları konusunda talimatlandırılmıştır.
• Kaydedilen girişler isteğe bağlıdır. Varsayılan olarak kapalıdır ve site bazında etkinleştirilir. Bunları istediğiniz zaman kaldırabilirsiniz ve 30 gün boyunca kullanılmadıklarında süreleri dolar. Hesabınızla birlikte silinirler.
• Onay. Ajan bir hesabı kullanmadan önce, işlemi başlatan kişi Clevera'ya erişim izni verme yetkisi olduğunu onaylamalıdır.
• Test hesabı kullanın. Çekimler için özel bir demo veya test hesabı kullanmanızı öneririz.

7. Ücretsiz araçlar#

clevera.ai/tools adresindeki ücretsiz araçlarımız hesap gerektirmeden çalışır, bu nedenle onları ve kullanıcılarını şu yollarla koruyoruz:

• Tarafımızda içerik depolanmaz. Girdi, yüklemeler ve sonuçlar bellekte işlenir ve yanıtta döndürülür. Bunları diske, veritabanına veya günlüklerimize yazmayız. Hata günlükleri bir yapay zeka sağlayıcısının hata mesajını içerebilir, ancak girdinizi içermez.
• Halka açık sonuç yoktur. Sonuçların paylaşılabilir bir bağlantısı olmaz. Siz kopyalayana veya indirene kadar yalnızca tarayıcı sekmenizde var olurlar.
• Yalnızca tarayıcıda çalışan araçlar asla yükleme yapmaz. Medya araçlarımız ve hesaplayıcılarımız dosyaları cihazınızda işler. Yalnızca kullanım kaydı gönderirler, asla dosya içeriği göndermezler.
• İçeriğe göre dosya kontrolleri. Bir yüklemenin türünü sadece adına veya beyan edilen türüne göre değil, içeriğine göre kontrol ederiz.
• Boyut sınırları. 12.000 karaktere kadar metin; her biri 4 MB'a kadar, çalıştırma başına 1 ila 10 adet görsel; 20 MB'a kadar video veya herkese açık bir YouTube videosunun ilk 10 dakikası. Altyazılar için tarayıcınız sesin ilk 3 dakikasını çıkarır ve yalnızca bunu gönderir.
• Meta veriler kaldırılır. Tarayıcınız, bir görsel yüklenmeden önce EXIF verileri ve GPS konumu gibi fotoğraf meta verilerini temizler.
• Ham IP adresleri yoktur. Kullanım sınırları ve engellemeler, IP adresinizin veya ağınızın anahtarlı bir özetini (HMAC) kullanır.
• Bot kontrolleri. Yapay zeka araçları Cloudflare Turnstile kullanır.
• Kullanım sınırları ve otomatik engellemeler. IP adresi ve ağ başına saatlik ve günlük sınırlar uygulanır. Tekrarlanan reddedilen istekler 24 saatlik otomatik engellemeye yol açar.
• Harcama sınırları. Bir harcama sınırı, ücretsiz araçların bize maliyetini kısıtlar, böylece sınırsız yapay zeka kullanımı için kullanılamazlar.
• İstem enjeksiyonu koruması. Girdiniz, yapay zeka modeline veri olarak iletilir ve talimatlarımızdan ayrı tutulur. Modelin kuralları, konu dışı veya zararlı istekleri reddeder.
• Yapay zeka sağlayıcıları. Ücretsiz yapay zeka araçları, ücretli bir katmanda Google'ın Gemini API'sini ve seçtiğimizde metin araçları için OpenAI'yi kullanır. Hiçbiri girdiyi modellerini eğitmek için kullanmaz. Bölüm 5'te açıklandığı gibi, API verilerini kötüye kullanım izleme amacıyla sınırlı bir süre saklayabilirler.

8. Hesap güvenliği#

• İki faktörlü kimlik doğrulama: kurtarma kodlarıyla birlikte kimlik doğrulayıcı uygulaması (TOTP) kodları.
• Yeni cihaz doğrulaması: yeni bir cihazdan veya konumdan giriş yaptığınızda, tek kullanımlık bir kod e-postalarız. Güvenilir cihazlar periyodik olarak yeniden doğrulanır.
• Tek oturum açma (SSO):
  • Özel planlarda SAML 2.0 ve OpenID Connect
  • Okta, Microsoft Entra ID, Google Workspace, OneLogin ve diğer standart kimlik sağlayıcılarını destekler
  • SSO sırları şifrelenir
• Google ile giriş tüm kullanıcılar için mevcuttur.
• Hız sınırlaması, giriş, iki faktörlü doğrulama, doğrulama ve API uç noktalarını kaba kuvvet saldırılarına ve kötüye kullanıma karşı korur.
• Ekip rolleri: Sahip, Yönetici, Düzenleyici ve İçerik Oluşturucu. Her rol, üyelerin neleri görüp değiştirebileceğini kontrol eder.
• Masaüstü kaydedici için API belirteçleri, kayıt ile sınırlandırılmıştır ve profilinizden iptal edilebilir.

9. Uygulama güvenliği#

• Her değişiklikte kod incelemesi ve otomatik testler.
• CSRF belirteçleri, çıktı kaçırma, parametreli veritabanı sorguları ve imzalı çerezler dahil olmak üzere yaygın web risklerine karşı çerçeve korumaları.
• Yüklenen SVG dosyalarının temizlenmesi.
• Uygulamaya hangi sitelerin yerleştirilebileceğine dair İçerik Güvenliği Politikası (CSP) kısıtlamaları.
• Her gelen web kancasında (Lemon Squeezy, HeyGen, Amazon SES) imza doğrulaması.
• En az ayrıcalıklı hizmet kimlik bilgileriyle, kaynak kontrolü dışında tutulan sırlar.

10. Dahili erişim#

• Üretim erişimi, buna ihtiyaç duyan yetkili personelle sınırlıdır.
• Uygulamadaki idari araçlar ayrı bir yönetici rolü gerektirir.
• Personel, müşteri içeriğine yalnızca talep ettiğiniz desteği sağlamak, kötüye kullanım veya olayları araştırmak için veya yasaların gerektirdiği durumlarda bakar.

11. Günlük kaydı ve izleme#

• Uygulama ve güvenlik günlükleri, sorun giderme ve güvenlik incelemesi için yaklaşık 14-30 gün boyunca tutulur.
• Yüksek hata oranları, başarısız işler ve olağandışı kullanım durumlarında uyarı veririz. Günlük bir maliyet koruması, ücretsiz hesaplardaki kontrolsüz kullanımı sınırlar.
• Kullanım ve kredi ölçümü Clevera'ya yerleşiktir; üçüncü taraf bir ölçüm hizmeti kullanılmaz.

12. Olay müdahalesi#

Güvenlik olaylarını sınıflandırmak, sınırlamak ve düzeltmek için tanımlanmış bir süreç izliyoruz.

Kişisel veri ihlali sizi etkilerse, yasaların gerektirdiği şekilde, etkilenen müşterileri gecikmeksizin bilgilendireceğiz. GDPR kapsamında, gerektiğinde denetleyici makamları 72 saat içinde bilgilendiririz.

13. Yedeklemeler ve süreklilik#

• Postgres veritabanı, Laravel Forge tarafından günlük olarak yedeklenir. Her yedekleme, bulut nesne depolamasında saklanan, depolama sağlayıcısı tarafından bekleme durumunda şifrelenen ve 7 gün boyunca tutulan sıkıştırılmış bir dökümdür. Eski yedeklemeler otomatik olarak silinir.
• Hizmetlerimiz kaynak kontrolünden yeniden dağıtılabilir.
• Oluşturma, araştırma ve üretim gibi uzun süreli işler kuyruğa alınır ve başarısızlık durumunda yeniden denenir.

14. Veri saklama ve silme#

• İçeriğiniz: hesabınız aktif olduğu sürece saklanır.
• Çöp Kutusu: çöp kutusundaki öğeler 7 gün sonra kalıcı olarak silinir.
• Kullanılmayan kayıtlar: herhangi bir videoda kullanılmayan kayıtlar 15 gün sonra silinir.
• Hesap silme işlemi hemen başlar. Bu işlem:
  • abonelikleri iptal eder
  • belirteçleri ve kaydedilmiş girişleri iptal eder
  • kısa bir süre sonra sahip olunan ekiplerin kayıtlarını, videolarını ve dosyalarını kalıcı olarak siler
• Yedeklemeler saklama programlarına göre sona erer.

Tüm ayrıntılar Gizlilik Politikamızda yer almaktadır.

15. Uyumluluk#

• GDPR, UK GDPR ve KVKK. Hesap, faturalandırma ve web sitesi verileri için veri sorumlusuyuz. İçeriğiniz için, Veri İşleme Sözleşmemiz kapsamında veri işleyen olarak hareket ederiz. Uluslararası transferlerde gerektiğinde Standart Sözleşme Maddeleri, Birleşik Krallık Eki veya KVKK standart sözleşmeleri kullanılır.
• CPRA. Kişisel bilgileri satmıyor veya paylaşmıyoruz ve bağlamlar arası davranışsal reklamcılık yapmıyoruz.
• SOC 2 / ISO 27001. SOC 2 denetimimiz devam etmektedir ve 2027'de tamamlanması beklenmektedir. 2027 yılında ISO 27001 sertifikası almayı planlıyoruz.
• DPA: team@clevera.ai adresinden talep üzerine temin edilebilir.

16. Alt işleyenler#

Veri kategorileri ve konumları içeren tam liste Gizlilik Politikamızda yer almaktadır. DPA'mızda açıklandığı üzere, önemli değişiklikleri müşterilerimize bildiririz.

17. Güvenlik açığı bildirimi#

Bir güvenlik sorunu bulduğunuzu düşünüyorsanız, ayrıntıları ve yeniden oluşturma adımlarını team@clevera.ai adresine e-posta ile gönderin.

Lütfen:

• yalnızca kendi hesabınız üzerinde test yapın
• başkalarının verilerine erişmekten veya bunları değiştirmekten kaçının
• hizmeti yavaşlatmaktan kaçının
• otomatik yüksek hacimli taramalardan kaçının
• sorunu herkese açıklamadan önce düzeltmemiz için bize makul bir süre tanıyın

Raporunuzu onaylayacak, sizi güncel tutacak ve isterseniz size atıfta bulunacağız. Bu kurallara uyan iyi niyetli araştırmalara karşı yasal işlem başlatmayacağız.

18. İletişim#

Güvenlik ve güven: team@clevera.ai
Clevera Teknoloji AŞ, Yenişehir Mah. Kardeşler Cad. 7/2, Sivas, Türkiye