Üye olun, ilk raporunuzu ücretsiz alın

1. Taraflar ve kapsam

İşbu Hizmet ve Kullanım Koşulları ("Sözleşme"), [ŞİRKET ADRESİ] adresinde mukim [ŞİRKET UNVANI] ("Siper" veya "Hizmet Sağlayıcı") ile https://siper.birebirsoft.com adresindeki platforma üye olan gerçek veya tüzel kişi ("Müşteri") arasında, platformun ve sunulan güvenlik denetim hizmetlerinin ("Hizmet") kullanım şartlarını düzenler. Müşteri, üyelik formunda veya satın alma adımında bu Sözleşme'yi onaylayarak hükümlerini okuduğunu, anladığını ve kabul ettiğini beyan eder.

Müşteri bir tüzel kişi adına işlem yapıyorsa, o tüzel kişiyi bağlamaya yetkili olduğunu beyan eder; bu beyanın gerçeğe aykırılığından doğan sonuçlardan şahsen sorumludur.

2. Tanımlar

• Varlık: Müşteri'nin tarama için platforma bildirdiği web sitesi/alan adı, Android uygulama paketi (APK) veya Windows çalıştırılabilir dosyası (EXE).
• Tarama: Varlık üzerinde otomatik ve zarar vermeyen yöntemlerle yürütülen güvenlik kontrolleri ile bunların sonucunda üretilen rapor.
• Kredi: Taramaların ve rapor kilidi açma işlemlerinin karşılığı olarak kullanılan, platform içi ön ödemeli kullanım birimi.
• Demo tarama: Hizmet Sağlayıcı'nın onayıyla ücretsiz sunulan, sonuçlarının bir kısmı gösterilen tanıtım taraması.
• Yetkilendirme Beyanı: Müşteri'nin varlıklar üzerindeki yetkisini ve tarama kapsamını beyan ettiği "Sızma Testi / Güvenlik Taraması Yetkilendirme ve Kapsam Beyanı".

3. Üyelik ve hesap güvenliği

• Üyelik için 18 yaşını doldurmuş ve fiil ehliyetine sahip olmak gerekir. Müşteri, kayıt sırasında verdiği bilgilerin doğru ve güncel olduğunu taahhüt eder.
• Hesap kişiseldir. Parolanın gizliliğinden ve hesap üzerinden yapılan tüm işlemlerden Müşteri sorumludur. Yetkisiz kullanım şüphesi derhâl [E-POSTA] adresine bildirilmelidir.
• Hizmet Sağlayıcı, bilgilerin gerçeğe aykırı olduğundan şüphelenmesi hâlinde kimlik veya yetki teyidi isteyebilir; teyit sağlanana kadar hizmeti askıya alabilir.

4. Hizmetin niteliği

4.1. Taramalar, zarar vermeyen (non-destructive) otomatik kontrollerden oluşur: HTTP güvenlik başlıkları, TLS/sertifika yapılandırması, DNS ve e-posta güvenliği kayıtları, herkese açık hassas dosya ve dizinler, sürüm parmak izi ile bilinen açıkların (CVE, CISA KEV) eşleştirilmesi; APK ve EXE dosyalarında ise dosyanın çalıştırılmadan statik analizi. İstismar denemesi, kaba kuvvet ile parola deneme, hizmet engelleme (DoS), form doldurma veya veri değiştirme yapılmaz. Web taramalarında istek hızı saniyede yaklaşık 5 istek ile sınırlıdır ve istekler "SiperScanner/1.0" kullanıcı aracısıyla tanınabilir şekilde gönderilir.

4.2. Güvenlik taraması, bir varlığın güvenli olduğunu kanıtlamaz. Hizmet; tarama anındaki ve tarayıcının erişebildiği yapılandırmanın otomatik bir değerlendirmesidir. Hizmet Sağlayıcı, tüm güvenlik açıklarının tespit edileceğini, yanlış pozitif veya yanlış negatif sonuç çıkmayacağını, raporun herhangi bir mevzuat, standart veya sertifikasyon (ör. PCI DSS, ISO 27001, BDDK, KVKK teknik tedbirleri) yükümlülüğünü tek başına karşılayacağını garanti etmez. Raporlar bilgilendirme amaçlıdır; önerilerin uygulanmasına ilişkin karar ve sorumluluk Müşteri'ye aittir.

4.3. Hizmet, insan eliyle yürütülen kapsamlı bir sızma testinin yerine geçmez. Hizmet Sağlayıcı, hizmetin içeriğini, kontrol listesini ve teknik yöntemlerini güvenlik ve kaliteyi artırmak amacıyla önceden bildirmeksizin geliştirebilir.

5. Kabul edilebilir kullanım

Müşteri, Hizmet'i yalnızca sahibi olduğu veya test etmeye yazılı/yasal olarak yetkili bulunduğu varlıklar için kullanacağını kabul eder. Aşağıdakiler kesinlikle yasaktır:

• Üçüncü kişilere ait varlıkları yetkisiz olarak taratmak veya taratmaya teşebbüs etmek (5237 sayılı TCK m.243-245 kapsamında suç oluşturabilir).
• Sahiplik doğrulama mekanizmalarını atlatmaya, platformu veya diğer müşterilerin verilerini taramaya, tersine mühendislik yapmaya ya da platformun güvenliğini test etmeye çalışmak (açık bildirimi için bkz. madde 13).
• Platformu zararlı yazılım dağıtmak, yasa dışı içerik barındırmak, telif hakkı ihlali içeren dosyalar yüklemek veya hukuka aykırı herhangi bir amaçla kullanmak.
• Raporları, varlık sahibinin rızası olmadan üçüncü kişilere ifşa etmek, satmak veya saldırı amacıyla kullanmak.
• Otomatik araçlarla platformu aşırı yüklemek, hesap paylaşmak, kredileri devretmek veya ticari olarak yeniden satmak (yazılı izin olmadıkça).

Bu hükümlere aykırılık hâlinde Hizmet Sağlayıcı, herhangi bir ihtara gerek olmaksızın taramaları durdurabilir, hesabı askıya alabilir veya kapatabilir, ilgili kayıtları yetkili makamlarla paylaşabilir ve uğradığı zararların tazminini talep edebilir.

6. Krediler, ücretlendirme ve iade

• Krediler, platformdaki güncel paket fiyatları üzerinden peşin olarak satın alınır. Fiyatlara KDV dahildir.
• Bir web taraması 1 kredi; bir APK veya EXE analizi 2 kredi; bir demo raporunun tüm ayrıntılarının açılması 1 kredi tüketir. Hizmet Sağlayıcı kredi karşılıklarını ileriye dönük olarak değiştirebilir; satın alınmış kredilerin değeri bu değişiklikten olumsuz etkilenmez.
• Krediler, hesaba yüklendiği tarihten itibaren 12 (on iki) ay geçerlidir. Süresi dolan krediler kendiliğinden sona erer ve iade edilmez. Kullanımda, en eski tarihli kredilerin önce tüketildiği kabul edilir.
• Krediler nakde çevrilemez, başka hesaba devredilemez ve iade edilmez. Tek istisna: Hizmet Sağlayıcı'dan kaynaklanan teknik bir nedenle başarısız olan taramaların kredisi otomatik olarak hesaba iade edilir.
• Müşteri'den kaynaklanan nedenlerle (ör. varlığın erişilemez olması, doğrulama kaydının kaldırılması, güvenlik duvarının taramayı engellemesi, bozuk veya desteklenmeyen dosya yüklenmesi) eksik kalan taramalar başarısız tarama sayılmaz.
• Tüketiciler bakımından cayma hakkına ilişkin hükümler Mesafeli Satış Sözleşmesi'nde düzenlenmiştir; 6502 sayılı Kanun'un ayıplı hizmete ilişkin emredici hükümleri saklıdır.

7. Hizmet seviyesi

Hizmet Sağlayıcı, platformu yılın her günü erişilebilir tutmak için makul ticari çabayı gösterir; ancak kesintisiz veya hatasız hizmet garantisi vermez. Planlı bakımlar mümkün olduğunca önceden duyurulur. Taramalar kuyruk sırasıyla işlenir; tamamlanma süresi varlığın büyüklüğüne ve yanıt hızına göre değişir ve bağlayıcı bir süre taahhüdü içermez. Teknik destek [E-POSTA] adresi üzerinden iş günlerinde verilir.

8. Gizlilik

Taraflar, Sözleşme kapsamında öğrendikleri ve gizli olduğu açıkça belirtilen ya da niteliği gereği gizli olan tüm bilgileri (özellikle tarama raporları, bulgular, yüklenen dosyalar, altyapı bilgileri) gizli tutmayı, yalnızca Sözleşme'nin ifası amacıyla kullanmayı ve yasal zorunluluklar dışında üçüncü kişilerle paylaşmamayı kabul eder. Hizmet Sağlayıcı, raporlara yalnızca hizmetin sunulması, destek ve kötüye kullanımın önlenmesi amacıyla ve sınırlı sayıda yetkili personeli aracılığıyla erişir. Gizlilik yükümlülüğü Sözleşme sona erdikten sonra 5 (beş) yıl süreyle devam eder. Kişisel verilerin işlenmesi ayrıca KVKK Aydınlatma Metni ve Veri İşleme ve Gizlilik Taahhüdü'ne tabidir.

9. Fikri mülkiyet

Platformun yazılımı, tarama kuralları, rapor şablonları, marka, logo ve tasarımlar üzerindeki tüm fikri ve sınai mülkiyet hakları Hizmet Sağlayıcı'ya aittir; Müşteri'ye yalnızca Sözleşme süresince, kişisel ve devredilemez bir kullanım hakkı tanınır. Müşteri'ye özel tarama raporlarını Müşteri kendi iç amaçları için süresiz kullanabilir, çoğaltabilir ve denetçileriyle paylaşabilir. Müşteri'nin yüklediği dosyalar ve varlıklar üzerindeki haklar Müşteri'de kalır; Müşteri bu dosyaların analiz edilmesi için gerekli haklara sahip olduğunu taahhüt eder. Hizmet Sağlayıcı, kimliği belirlenemeyen, anonim ve toplu istatistikleri hizmetin geliştirilmesi amacıyla kullanabilir.

10. Verilerin saklanması

• Yüklenen APK/EXE dosyaları analiz tamamlandıktan sonra en geç 30 gün içinde kalıcı olarak silinir; dosyanın SHA-256 özeti ve analiz sonuçları rapor kapsamında saklanır.
• Tarama raporları hesap açık olduğu sürece saklanır. Müşteri bir raporun silinmesini talep edebilir.
• Hesabın kapatılmasından sonra raporlar ve varlık kayıtları 90 gün içinde silinir veya anonim hâle getirilir. Fatura, ödeme ve sözleşme onay kayıtları ile 5651 sayılı Kanun kapsamındaki trafik kayıtları ilgili mevzuatta öngörülen süreler boyunca saklanır.

11. Sorumluluğun sınırlandırılması

11.1. Hizmet Sağlayıcı; dolaylı zararlardan, kâr kaybından, itibar kaybından, veri kaybından, iş kesintisinden, Müşteri'nin raporlara dayanarak aldığı veya almadığı kararların sonuçlarından ve taramada tespit edilmeyen güvenlik açıklarının istismar edilmesinden doğan zararlardan sorumlu değildir.

11.2. Hizmet Sağlayıcı'nın Sözleşme'den veya Hizmet'ten doğan her türlü sorumluluğunun toplam tutarı, zarara yol açan olaydan önceki son 12 (on iki) ay içinde Müşteri'nin Hizmet Sağlayıcı'ya fiilen ödediği toplam bedel ile sınırlıdır.

11.3. Bu sınırlamalar; 6098 sayılı TBK'nın 115. maddesi uyarınca kast veya ağır ihmal hâllerinde, kişinin hayatına ve sağlığına gelen zararlarda ve tüketicilere karşı kanunen sınırlanamayan sorumluluklarda uygulanmaz.

11.4. Zarar vermeyen yöntemler kullanılsa da otomatik taramalar; güvenlik duvarı/IPS alarmlarına, kayıt (log) artışına veya kırılgan sistemlerde nadiren yavaşlamaya yol açabilir. Müşteri, tarama öncesinde yedeklerini almak, ilgili ekip ve hizmet sağlayıcılarını bilgilendirmek ve gerektiğinde taramayı durdurma talebinde bulunmakla yükümlüdür.

12. Müşteri'nin tazmin yükümlülüğü

Müşteri; yetkisi olmayan varlıkları taratması, gerçeğe aykırı yetki beyanında bulunması, Sözleşme'yi veya mevzuatı ihlal etmesi nedeniyle Hizmet Sağlayıcı'nın maruz kalacağı her türlü üçüncü kişi talebi, idari para cezası, yargılama gideri ve makul avukatlık ücreti dahil zararı, ilk yazılı talepte ve herhangi bir hükme gerek olmaksızın tazmin etmeyi kabul eder.

13. Platform güvenliğine ilişkin bildirimler

Platformda bir güvenlik açığı tespit eden kişiler, bunu istismar etmeden ve verilere erişmeden [E-POSTA] adresine bildirebilir. İyi niyetle ve bu kurallara uygun yapılan bildirimler için Hizmet Sağlayıcı hukuki yola başvurmaz.

14. Askıya alma ve fesih

• Müşteri, hesabını dilediği zaman panel üzerinden veya [E-POSTA] adresine yazarak kapatabilir. Kullanılmamış krediler, cayma hakkına ilişkin emredici hükümler saklı kalmak üzere iade edilmez.
• Hizmet Sağlayıcı; Sözleşme'ye aykırılık, yetkisiz tarama şüphesi, ödeme ihtilafı (chargeback), resmî makam talebi veya güvenlik riski hâllerinde hesabı derhâl askıya alabilir ya da Sözleşme'yi haklı nedenle feshedebilir.
• Hizmet Sağlayıcı, Sözleşme'yi 30 gün önceden bildirerek sebep göstermeksizin feshedebilir; bu durumda kullanılmamış ve süresi dolmamış kredilerin bedeli orantılı olarak iade edilir.

15. Değişiklikler

Hizmet Sağlayıcı bu Sözleşme'yi değiştirebilir. Değişiklikler yürürlükten en az 15 gün önce platformda yayımlanır ve kayıtlı e-posta adresine bildirilir. Müşteri'nin aleyhine olan esaslı değişiklikler, Müşteri tarafından onaylanmadıkça yeni satın almalara uygulanmaz; Müşteri değişikliği kabul etmezse hesabını kapatabilir. Her metnin yürürlük tarihi ve sürümü sayfanın başında gösterilir.

16. 5651 sayılı Kanun kapsamındaki yükümlülükler

Hizmet Sağlayıcı, Müşteri'nin yüklediği dosyalar bakımından 5651 sayılı Kanun anlamında yer sağlayıcı konumundadır; yüklenen içeriği kontrol etme veya hukuka aykırı bir faaliyetin söz konusu olup olmadığını araştırma yükümlülüğü yoktur. Hukuka aykırı içerikten haberdar edilmesi hâlinde içeriği yayından kaldırır ve trafik bilgilerini mevzuatta öngörülen süre boyunca saklar.

17. Ticari elektronik iletiler

Hizmetin ifası için zorunlu bilgilendirme iletileri (tarama sonucu, fatura, güvenlik ve hesap bildirimleri) 6563 sayılı Kanun kapsamında onay gerektirmez. Tanıtım ve pazarlama amaçlı iletiler yalnızca Müşteri'nin ayrıca vereceği açık onay ile gönderilir ve her iletide ret imkânı sunulur.

18. Uygulanacak hukuk ve yetki

Sözleşme Türk hukukuna tabidir. Uyuşmazlıklarda İstanbul (Çağlayan) Mahkemeleri ve İcra Daireleri yetkilidir; ticari uyuşmazlıklarda dava şartı arabuluculuk hükümleri saklıdır. Müşteri'nin tüketici olması hâlinde 6502 sayılı Kanun'un 68. ve 73. maddeleri uyarınca tüketici hakem heyetlerine ve Müşteri'nin yerleşim yerindeki tüketici mahkemelerine başvurma hakkı saklıdır.

19. Çeşitli hükümler

• Sözleşme'nin herhangi bir hükmünün geçersiz sayılması, diğer hükümlerin geçerliliğini etkilemez.
• Hizmet Sağlayıcı'nın bir hakkını kullanmaması, o haktan feragat ettiği anlamına gelmez.
• Müşteri, Sözleşme'den doğan hak ve yükümlülüklerini Hizmet Sağlayıcı'nın yazılı onayı olmadan devredemez.
• Hizmet Sağlayıcı'nın elektronik kayıtları HMK m.193 uyarınca delil teşkil eder; tüketicilerin karşı delil hakkı saklıdır.

BÖLÜM A — KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN AYDINLATMA METNİ

A.1. Veri sorumlusu

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") uyarınca, platform üyelerinin ve ziyaretçilerin kişisel verileri veri sorumlusu sıfatıyla [ŞİRKET UNVANI] ([ŞİRKET ADRESİ]; MERSİS: [MERSİS NO]) tarafından aşağıda açıklanan kapsamda işlenmektedir.

A.2. İşlenen kişisel veriler

A.3. İşleme amaçları ve hukuki sebepler

• Üyelik hesabının oluşturulması, hizmetin sunulması, taramaların yürütülmesi ve raporlanması, kredi satışı ve faturalama — KVKK m.5/2(c) sözleşmenin kurulması ve ifası.
• Vergi, ticaret ve 5651 sayılı Kanun mevzuatından doğan saklama ve bildirim yükümlülükleri, yetkili makam taleplerinin karşılanması — KVKK m.5/2(ç) hukuki yükümlülük.
• Yetkisiz taramaların önlenmesi, sözleşme onaylarının ispatı, uyuşmazlıklarda hakların korunması — KVKK m.5/2(e) bir hakkın tesisi, kullanılması veya korunması.
• Platform güvenliğinin sağlanması, kötüye kullanımın ve dolandırıcılığın tespiti, hizmet kalitesinin ölçülmesi — KVKK m.5/2(f) meşru menfaat.
• Tanıtım amaçlı ticari elektronik iletiler — yalnızca ayrıca alınacak açık rıza ve 6563 sayılı Kanun kapsamındaki onay ile.

A.4. Toplama yöntemi

Kişisel veriler; üyelik, satın alma, iletişim ve destek formları, platform kullanımı sırasında oluşan elektronik kayıtlar ve ödeme kuruluşundan alınan ödeme sonucu bildirimleri aracılığıyla, otomatik ve kısmen otomatik yollarla toplanır.

A.5. Aktarım

Kişisel veriler, yukarıdaki amaçlarla sınırlı ve ölçülü olarak şu alıcı gruplarına aktarılabilir:

• PayTR Ödeme ve Elektronik Para Kuruluşu A.Ş. — ödemenin alınması ve dolandırıcılık önleme (6493 sayılı Kanun kapsamında lisanslı ödeme kuruluşu; ödeme sayfası doğrudan PayTR tarafından sunulur).
• Barındırma (hosting), yedekleme ve e-posta gönderim hizmeti sağlayıcıları — hizmetin teknik olarak sunulması.
• Mali müşavir, bağımsız denetçi, hukuk danışmanları ve e-fatura entegratörü — yasal yükümlülükler ve hakların korunması.
• Yetkili kamu kurum ve kuruluşları ile yargı mercileri — talep hâlinde ve mevzuatın gerektirdiği ölçüde.

Yurt dışına aktarım: Ödeme işlemleri yurt içinde gerçekleştirilir. Barındırma, e-posta veya benzeri bir hizmet için sunucuları yurt dışında bulunan bir hizmet sağlayıcı kullanılması hâlinde aktarım, KVKK m.9 uyarınca yeterlilik kararı bulunan ülkelere veya Kişisel Verileri Koruma Kurulu'nca ilan edilen standart sözleşme imzalanarak ve sözleşmenin imzadan itibaren 5 iş günü içinde Kurul'a bildirilmesi suretiyle yapılır. Güncel hizmet sağlayıcı listesi talep hâlinde paylaşılır.

A.6. Saklama süreleri

Süresi dolan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca periyodik imha süreçleriyle silinir, yok edilir veya anonim hâle getirilir.

A.7. İlgili kişinin hakları (KVKK m.11)

Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;

1. kişisel veri işlenip işlenmediğini öğrenme,
2. kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK m.7'de öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
7. (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
9. kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir. Başvurular, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca yazılı olarak [ŞİRKET ADRESİ] adresine, [KEP ADRESİ] KEP adresine veya sistemimizde kayıtlı e-posta adresinizden [E-POSTA] adresine iletilebilir. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarife uygulanabilir. Başvurunun reddedilmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyet hakkı saklıdır.

BÖLÜM B — VERİ İŞLEME VE GİZLİLİK TAAHHÜDÜ

B.1. Rollerin belirlenmesi

Müşteri'nin taranan varlıklarında (web siteleri, uygulama dosyaları) yer alabilecek ve tarama sırasında rastlantısal olarak erişilebilecek kişisel veriler bakımından Müşteri veri sorumlusu, Hizmet Sağlayıcı ise KVKK m.3 anlamında veri işleyendir. Müşteri, bu verilerin işlenmesi için gerekli hukuki sebebe sahip olduğunu ve kendi ilgili kişilerine gerekli aydınlatmayı yaptığını beyan eder.

B.2. Hizmet Sağlayıcı'nın taahhütleri

• Tarama verilerini ve raporları yalnızca Müşteri'nin talimatı doğrultusunda ve hizmetin sunulması amacıyla işlemek; başka bir amaçla kullanmamak, satmamak ve üçüncü kişilerle paylaşmamak.
• Tarama sırasında kişisel veri içeren dosya veya sayfalara rastlanması hâlinde içeriği saklamamak; yalnızca bulgunun varlığını ve kanıt olarak gerekli asgari bilgiyi (ör. dosya yolu, maskelenmiş örnek) raporlamak.
• KVKK m.12 uyarınca uygun güvenlik düzeyini sağlamak: aktarımda TLS şifreleme, parolaların scrypt ile özetlenmesi, oturum kimliklerinin özet olarak saklanması, rol tabanlı erişim, denetim kayıtları, düzenli yedekleme ve en az yetki ilkesi.
• Verilere erişen personele gizlilik yükümlülüğü yüklemek ve erişimi görevin gerektirdiği ölçüyle sınırlamak.
• Bir veri ihlalini öğrenmesi hâlinde Müşteri'yi gecikmeksizin ve en geç 72 saat içinde bilgilendirmek, ihlalin etkilerini azaltmak için gerekli tedbirleri almak ve Müşteri'nin Kurul'a bildirim yükümlülüğünde işbirliği yapmak.
• Alt veri işleyen (barındırma, e-posta) kullanımında aynı düzeyde koruma yükümlülükleri öngörmek.
• Sözleşmenin sona ermesi veya Müşteri'nin talebi üzerine verileri, yasal saklama yükümlülükleri saklı kalmak kaydıyla, silmek veya anonim hâle getirmek.
• Müşteri'nin KVKK kapsamındaki ilgili kişi başvurularına ve makul denetim taleplerine, ticari sırları ve diğer müşterilerin gizliliğini ihlal etmeyecek şekilde yardımcı olmak.

B.3. Kart verileri

Ödeme, PayTR'nin güvenli ödeme sayfasında (iframe) gerçekleştirilir. Kart numarası, son kullanma tarihi ve güvenlik kodu Hizmet Sağlayıcı'nın sunucularına ulaşmaz, görüntülenmez ve saklanmaz; bu veriler PayTR tarafından ödeme hizmetleri mevzuatı ve PCI DSS standartları çerçevesinde işlenir.

B.4. Gizli bilgilerin korunması

Tarama raporları, bulgular, yüklenen dosyalar ve bunlardan elde edilen tüm bilgiler ticari sır ve gizli bilgi olarak kabul edilir. Hizmet Sağlayıcı bu bilgileri; yasal zorunluluk (mahkeme kararı veya yetkili makam talebi) hâli dışında üçüncü kişilere açıklamaz. Yasal zorunluluk hâlinde, hukuken mümkünse Müşteri önceden bilgilendirilir. Bu yükümlülük sözleşmenin sona ermesinden sonra da devam eder.

İşbu metin bilgilendirme amacı taşır; Bölüm B'deki taahhütler Hizmet ve Kullanım Koşulları'nın ayrılmaz parçasıdır. Aydınlatma metninin okunduğunun onaylanması, açık rıza beyanı anlamına gelmez.

İşbu Beyan, [satın alma sırasında doldurulur] ([satın alma sırasında doldurulur]) ("Müşteri") tarafından [ŞİRKET UNVANI] ("Siper" veya "Hizmet Sağlayıcı") lehine, aşağıda kapsamı belirtilen varlıklar üzerinde otomatik güvenlik taraması yapılmasına izin vermek ve taramanın kurallarını (Rules of Engagement) belirlemek amacıyla verilmiştir. Bu Beyan verilmeden hiçbir tarama başlatılmaz.

1. Yetki beyanı

Müşteri, aşağıdaki hususları gerçeğe uygun olarak beyan ve taahhüt eder:

1. Kapsamdaki her varlığın (alan adı, alt alan adları, sunucular, uygulama dosyaları) maliki olduğunu veya maliki tarafından bu varlıkları güvenlik testine tabi tutturmak için yazılı ve geçerli olarak yetkilendirildiğini,
2. Bir tüzel kişi adına hareket ediyorsa, o tüzel kişi adına bu Beyan'ı vermeye yetkili olduğunu,
3. Yüklediği APK/EXE dosyalarının hak sahibi olduğunu veya bu dosyaları güvenlik analizi amacıyla inceletmeye hukuken yetkili bulunduğunu (5846 sayılı FSEK ve lisans sözleşmeleri dahil),
4. Yetki belgelerini (ör. sahiplik kaydı, müşteri ile yapılmış test sözleşmesi, yetki yazısı) saklayacağını ve Hizmet Sağlayıcı'nın talebi üzerine 3 iş günü içinde ibraz edeceğini,
5. Yetkisinin herhangi bir nedenle sona ermesi hâlinde bunu derhâl bildireceğini ve ilgili varlığı hesabından kaldıracağını.

DNS veya dosya yöntemiyle yapılan teknik sahiplik doğrulaması, Hizmet Sağlayıcı'nın aldığı bir güvenlik önlemidir; Müşteri'nin hukuki yetki beyanının yerine geçmez ve Müşteri'yi bu Beyan'dan doğan sorumluluktan kurtarmaz.

2. Kapsam (taranacak varlıklar)

Kapsam, Müşteri'nin Siper hesabına eklediği ve (web varlıkları için) sahipliğini doğruladığı varlıklardan oluşur. Hesaba sonradan eklenen her varlık, eklendiği anda bu Beyan'ın kapsamına girer ve Müşteri bu Beyan'ı o varlık için de tekrarlamış sayılır.

Kapsam, yalnızca yukarıdaki varlıklarla ve web varlıklarında bildirilen adresin kendisiyle sınırlıdır. Bağlantı verilen üçüncü taraf alan adları, ödeme sayfaları, harici servisler ve kapsamda açıkça yer almayan IP adresleri kapsam dışıdır ve taranmaz.

3. İzin verilen test yöntemleri

• HTTP/HTTPS isteği ile herkese açık sayfa ve başlıkların incelenmesi; TLS protokol ve sertifika yapılandırmasının değerlendirilmesi.
• DNS, SPF, DKIM, DMARC, CAA kayıtlarının sorgulanması; herkese açık bilgi kaynaklarından (sertifika şeffaflık kayıtları, CVE/CISA KEV veri tabanları) istihbarat eşleştirmesi.
• Yaygın hassas dosya ve dizin yollarına (ör. yedek dosyalar, yapılandırma dosyaları, yönetim panelleri) yalnızca okuma amaçlı istek gönderilmesi.
• Yazılım ve sürüm parmak izi çıkarılarak bilinen açıklarla eşleştirilmesi.
• APK ve EXE dosyalarının çalıştırılmadan statik analizi (izinler, imza, gömülü sırlar, güvensiz yapılandırma, bağımlılıklar).
• İstek hızı saniyede yaklaşık 5 istek ile sınırlıdır; istekler "SiperScanner/1.0 (+https://siper.birebirsoft.com/tarayici)" kullanıcı aracısı ile tanınabilir biçimde gönderilir. Kaynak IP adresleri talep hâlinde bildirilir.

4. Kesinlikle yapılmayacak işlemler (hariç tutulanlar)

• Hizmet engelleme (DoS/DDoS), yük veya stres testi.
• Açıkların istismar edilmesi, yetki yükseltme, yanal hareket, kalıcılık sağlama.
• Kaba kuvvet, parola deneme, kimlik bilgisi doldurma (credential stuffing).
• Form doldurma, veri ekleme, değiştirme veya silme; ödeme ya da sipariş akışlarının tetiklenmesi.
• Sosyal mühendislik, oltalama (phishing), fiziksel güvenlik testleri.
• Kişisel veya gizli verilerin indirilmesi, kopyalanması veya sızdırılması (data exfiltration). Herkese açık hassas bir dosya tespit edilirse yalnızca varlığı ve erişilebilirliği raporlanır; içeriği saklanmaz.
• Yüklenen dosyaların ağ erişimli bir ortamda çalıştırılması.

5. Zaman penceresi

Müşteri, taramanın başlatıldığı andan tamamlanmasına kadar geçen süre içinde ve her hâlde başlatma anından itibaren 72 saat boyunca kapsamdaki varlıklara otomatik test isteği gönderilmesine izin verir. Belirli bir zaman aralığında (ör. mesai dışı) tarama yapılmasını isteyen Müşteri, taramayı o aralıkta başlatır veya talebini [E-POSTA] adresine önceden bildirir.

6. Üçüncü taraf barındırma, CDN ve bulut sağlayıcıları

Varlıklar üçüncü taraf barındırma, bulut (ör. AWS, Azure, Google Cloud), CDN veya WAF sağlayıcıları üzerinde çalışıyorsa, bu sağlayıcıların kabul edilebilir kullanım ve güvenlik testi politikalarını incelemek, gerekiyorsa önceden bildirim yapmak veya izin almak Müşteri'nin sorumluluğundadır. Müşteri ayrıca kendi BT ekibini, SOC/MSSP hizmet sağlayıcısını ve sistem yöneticilerini tarama hakkında bilgilendirir; güvenlik sistemlerinin tarama isteklerini engellemesinden doğan eksik sonuçlar başarısız tarama sayılmaz.

7. Riskler ve önlemler

Müşteri, zarar vermeyen yöntemler kullanılsa da otomatik taramaların güvenlik alarmlarını tetikleyebileceğini, kayıt dosyalarında artışa neden olabileceğini ve çok kırılgan sistemlerde nadiren yavaşlama görülebileceğini bildiğini kabul eder. Müşteri, tarama öncesinde güncel yedeklerini almayı ve kritik üretim sistemleri için uygun zaman penceresini seçmeyi taahhüt eder.

8. Acil durdurma

Taramanın herhangi bir varlıkta beklenmeyen bir etki yarattığı düşünülürse Müşteri; [E-POSTA] adresine "ACİL DURDURMA" konulu e-posta göndererek ya da [TELEFON] numarasını arayarak durdurma talep edebilir. Hizmet Sağlayıcı, talebi aldığında ilgili taramayı makul en kısa sürede durdurur. Hizmet Sağlayıcı da olağan dışı bir yanıt gözlemlediğinde taramayı kendiliğinden durdurma hakkına sahiptir.

9. Cezai sorumluluk bilinci

Müşteri; bir bilişim sistemine hukuka aykırı olarak girilmesinin ve orada kalınmasının 5237 sayılı Türk Ceza Kanunu m.243, sistemin işleyişinin engellenmesi, bozulması ve verilerin değiştirilmesinin m.244, banka veya kredi kartlarının kötüye kullanılmasının m.245 ve kişisel verilerin hukuka aykırı olarak kaydedilmesi ya da ele geçirilmesinin m.135-136 kapsamında suç oluşturduğunu; yetkisi bulunmayan bir varlık için bu Beyan'ı vermesinin ve tarama talep etmesinin kendisini şahsen cezai ve hukuki sorumluluk altına sokacağını bildiğini kabul eder.

10. Tazmin

Müşteri; gerçeğe aykırı beyanı, yetkisinin bulunmaması veya sona ermesi ya da bu Beyan'a aykırı davranması nedeniyle Hizmet Sağlayıcı'ya, yöneticilerine ve çalışanlarına yöneltilebilecek her türlü talep, dava, soruşturma, idari para cezası, tazminat, yargılama gideri ve makul avukatlık ücretini ilk yazılı talepte ve herhangi bir mahkeme kararı aranmaksızın tazmin edeceğini; Hizmet Sağlayıcı'nın bu hâllerde taramaları durdurma, hesabı askıya alma ve ilgili kayıtları yetkili makamlarla paylaşma hakkı bulunduğunu kabul eder.

11. Sonuçların gizliliği ve kişisel veriler

Tarama sonuçları yalnızca Müşteri hesabında ve yetkili Hizmet Sağlayıcı personeline açıktır. Tarama sırasında kişisel verilere rastlanması hâlinde bu veriler 6698 sayılı KVKK ve Veri İşleme ve Gizlilik Taahhüdü uyarınca veri işleyen sıfatıyla, yalnızca raporlama amacıyla ve asgari ölçüde işlenir.

12. Yürürlük

İşbu Beyan, elektronik ortamda onaylandığı anda yürürlüğe girer; hesaba eklenen her yeni varlık için de geçerlidir ve Müşteri yetkisinin sona erdiğini bildirene veya hesabını kapatana kadar yürürlükte kalır. Onay; tarih, IP adresi, tarayıcı bilgisi ve metnin SHA-256 özeti ile kayıt altına alınır.