Premium altyapı, şeffaf operasyon.

Tüm üretim sunucuları Mersin Turhost colocation tesisinde, fiziksel erişim kontrollü kabin içinde çalışır. Veri yurt dışına aktarılmaz. AI işleme (OpenAI Whisper transkripsiyon) yalnızca o anki ses verisini geçici bellekte işler, kalıcı saklama yapmaz, eğitim verisi olarak kullanmaz.

Çağrı kayıtları, transkriptler, müşteri verileri AES-256 şifreli disk üzerinde saklanır. İletişim TLS 1.3 zorunlu (HTTP otomatik HTTPS'e yönlendirilir). Veritabanı şifre alanları bcrypt cost 12, kart bilgisi sistemde tutulmaz.

Günlük otomatik PostgreSQL yedeği, 5 gün rolling retention. Ayda 1 otomatik DR drill — yedekten geri yükleme test edilir, kurtarma süresi ölçülür. Olağan durumda hedef RPO ≤ 24 saat, RTO ≤ 4 saat.

Kart bilgisi GalagoAI sistemine girmez. Tüm ödeme akışı iyzico (PCI-DSS Level 1 sertifikalı) üzerinden 3D Secure ile yürür. Faturalandırma, abonelik kayıtları, ödeme denemeleri yalnızca tutar/tarih/durum bilgisi olarak tenant veritabanında tutulur.

Her admin işlemi (kayıt dinleme, kullanıcı oluşturma, plan değişikliği) audit_log tablosunda kim/ne/ne zaman/IP olarak kaydedilir. Rol bazlı yetkilendirme (owner/admin/agent/viewer). Kurucu erişimi kişisel SSH anahtarı + sunucu fail2ban + IP whitelist.

HSTS preload (Chrome/Firefox/Safari listesi), Content-Security-Policy strict, X-Frame-Options DENY (clickjacking önleme), Permissions-Policy (mikrofon/kamera/geolocation kısıtlı), Referrer-Policy strict-origin-when-cross-origin. Tüm başlıklar securityheaders.com A+ skor seviyesinde.

Uygulama hata izleme (Sentry) ve dış uptime takibi (UptimeRobot) ile 5 dakika çözünürlüklü kontrol yapılır. Kamuya açık durum sayfası: status.galagoai.com (planlı bakımlar + olay geçmişi şeffaf yayınlanır).

Güvenlik olayı şüphesi durumunda [email protected] adresine doğrudan veri koruma görevlisine ulaşılabilir. Olay teyit edilirse KVKK m.12/5 gereği 72 saat içinde Kurul'a, etkilenen ilgili kişilere makul süre içinde yazılı bildirim yapılır. Çözüm sonrası post-mortem dokümanı yayınlanır.

Müşteri ve son kullanıcı verilerinizin tek tıkla dışa aktarımı (JSON+ZIP) ve kalıcı silinmesi panel üzerinden mümkündür. Yasal süre 30 gün, biz tipik olarak 24-72 saat içinde tamamlarız. Aydınlatma metni 8 sektör için hazır şablon — sektörünüzü seçtiğinizde otomatik üretilir.

KVKK m.10/m.11/m.12 tam uyum, 324 Ajans Bilgi Teknolojileri veri sorumlusu sıfatıyla VERBİS Yönetmeliği'ne uygun süreç yürütür (50 çalışan / 100M TL eşik dışında olduğumuz için sicil kaydı opsiyoneldir; başvuru evrakları hazırlanmıştır, ölçek artışında aktive edilir). Mesafeli Satış Sözleşmesi, Kullanım Koşulları, Çerez Politikası hazırlanmıştır. ISO 27001 dokümante süreç işletilmektedir; sertifika hedefi 2026 Q3.