Güvenlik Açığı Bildirim Politikası

Sürüm 2.0 · Yayım ve yürürlük tarihi: 21 Ekim 2026 · Elektronik ortamda onaylandığı veya Platform’da yayımlandığı anda yürürlüğe girer.

Bu metinde “Şirket”, yukarıda bilgileri yer alan SOLİD REKLAM LTD. ŞTİ.’yi; “Platform”, Şirket tarafından işletilen ve yenikare.com adresinden sunulan “Yeni Kare” web sitesi, alt sayfaları, yayın bağlantıları (ör. yenikare.com/k/…), yönetim paneli ve ilgili tüm hizmetleri; “Kullanıcı” ya da “Üye”, Platform’a üye olan, Platform’u kullanan veya oluşturduğu QR kod sayfalarını yöneten gerçek ya da tüzel kişileri; “Ziyaretçi”, Kullanıcı’nın QR kodunu tarayarak veya bağlantısını açarak yayın sayfasına ulaşan kişileri ifade eder.

Bu Belgenin Özeti

• Bu politika, Platform’da bir güvenlik açığı bulduğunu düşünen kişilerin bunu sorumlu ve koordine bir biçimde Şirket’e nasıl bildireceğini açıklar.
• Kapsam içi ve kapsam dışı hedefler, uyulması gereken kurallar ve yasaklanan test teknikleri (hizmet engelleme, sosyal mühendislik, veri sızdırma vb.) bu belgede sayılmıştır.
• Şirket, iyi niyetle ve bu kurallara uyarak yapılan bildirimlere karşı hukuki yola gitmemeyi hedefler; ancak Türk Ceza Kanunu m.243-245 ve ilgili mevzuat kapsamındaki sorumluluğun ortadan kalktığına dair bir güvence verilmez.
• Bildirimler e-posta ile yapılır; alındı bilgisi, değerlendirme ve düzeltme süreleri bu belgede belirtilmiştir.
• Bir ödül (bug bounty) programı yoktur; Şirket uygun görürse takdiren teşekkür edebilir.
• Açığı üçüncü kişilerle paylaşmak veya kamuya açıklamak için Şirket’in yazılı izni veya makul düzeltme süresinin geçmesi gerekir.

Madde 1 — Amaç ve Yaklaşım

1.1. SOLİD REKLAM LTD. ŞTİ. (“Şirket”), Yeni Kare Platform’unun güvenliğine önem verir ve güvenlik araştırmacılarının, Kullanıcılar’ın ve diğer ilgili kişilerin Platform’daki güvenlik açıklarını sorumlu bir şekilde bildirmesini teşvik eder. Bu Güvenlik Açığı Bildirim Politikası (“Politika”), bildirim sürecinin esaslarını ve tarafların beklentilerini açıklar.

1.2. Politika, sorumlu açıklama (koordineli güvenlik açığı bildirimi) ilkesine dayanır: Güvenlik açığı bulan kişi, açığı önce Şirket’e bildirir; Şirket açığı makul sürede inceler ve gerekirse düzeltir; açığa ilişkin bilgiler, kullanıcıların risk altında kalmayacağı bir zamanda ve karşılıklı mutabakatla paylaşılır.

1.3. Bu Politika, Şirket’in Bilgi Güvenliği Politikası, Veri İhlali Bildirim Politikası ve Gizlilik Sözleşmesi ile birlikte uygulanır.

1.4. Politika’nın amacı, kişisel verilerin ve Kullanıcı içeriklerinin korunmasına katkı sağlamak ve Siber Güvenlik Kanunu, KVKK ve ilgili mevzuat çerçevesinde Şirket’in yükümlülüklerinin yerine getirilmesini desteklemektir.

Madde 2 — Kapsam

2.1. Kapsam içi sistemler:

• yenikare.com alan adı ve Şirket’in sahibi olduğu alt alan adları üzerinde barındırılan Platform web uygulaması, Kullanıcı paneli ve yönetim arayüzü;
• Kısa bağlantı hizmeti (`yenikare.com/k/xxxx`) ve QR kod yayın sayfaları;
• Kimlik doğrulama (giriş, üye olma, şifre sıfırlama, SMS/OTP doğrulama) ve oturum yönetimi;
• Platform’un ürettiği API uç noktaları ve dosya yükleme işlevleri;
• Platform’un yazılım kodundaki mantık, erişim kontrolü ve veri koruma kusurları.

2.2. Kapsam dışı olanlar:

• Üçüncü taraflara ait hizmetler (ödeme kuruluşu, barındırma sağlayıcısı, SMS ve e-posta sağlayıcısı, harita, yazı tipi ve CDN hizmetleri, sosyal giriş sağlayıcıları vb.). Bu hizmetlerdeki açıklar ilgili sağlayıcıya bildirilmelidir; Şirket sağlayıcının altyapısı üzerinde test yapılmasına izin veremez;
• Kullanıcılar’ın kendi hesaplarında yayınladığı içerik (ör. Kullanıcı’nın QR sayfasına koyduğu bağlantılar); içerikle ilgili şikâyetler İçerik Kaldırma ve Bildirim Prosedürü’ne göre yapılır;
• Başka Kullanıcılar’ın hesapları, cihazları ve ağları; Şirket’in sahibi olmadığı alan adları ve sunucular;
• Fiziki güvenlik testleri, Şirket çalışanlarına yönelik sosyal mühendislik, kimlik avı, telefon veya e-posta tabanlı saldırılar;
• Hizmet engelleme (DoS/DDoS) ve kaba kuvvet saldırıları, otomatik spam ve yük testleri;
• Güvenlik etkisi olmayan bulgular: sadece sürüm bilgisinin ifşası, kritik olmayan HTTP başlığı eksikliği, kullanıcı etkileşimi gerektirmeyen self-XSS, tarayıcı ve eski cihaz uyumluluğu sorunları, SPF/DMARC önerileri, ayrıcalık yükselmesi içermeyen kullanıcı numaralandırma, oturum süresine ilişkin öneriler, tek başına istismarı mümkün olmayan teorik bulgular ve “en iyi uygulama” tavsiyeleri (bunlar bilgi olarak kabul edilebilir, ancak takip garantisi verilmez);
• Güncel olmayan tarayıcılara ve işletim sistemlerine özgü açıklar.

2.3. Şirket, kapsamı gerektiğinde güncelleyebilir. Bir sistemin kapsamda olup olmadığından emin olmayan kişi, test yapmadan önce Şirket’e yazılı olarak danışmalıdır.

Madde 3 — Bildirimde Bulunanların Uyması Gereken Kurallar

3.1. Güvenlik açığını bildirmek isteyen kişi (“Araştırmacı”) aşağıdaki kurallara uymayı kabul eder:

1. Açığı yalnızca kendisine ait test hesabı üzerinden veya kendi verilerine erişerek doğrular; başka Kullanıcılar’ın hesaplarına, içeriklerine veya kişisel verilerine erişmeye, onları görüntülemeye, indirmeye, değiştirmeye veya silmeye çalışmaz; yanlışlıkla erişirse işlemi durdurur, veriyi saklamaz ve derhâl bildirir;
2. Açığı kanıtlamak için gereken asgari işlemi yapar; sistemde kalıcı değişiklik (arka kapı, hesap oluşturma, dosya yükleme vb.), yetki yükseltme veya sistemler arası yayılma gerçekleştirmez;
3. Hizmetin kullanılabilirliğini, bütünlüğünü ve diğer Kullanıcılar’ın deneyimini etkilemez;
4. Açığa ilişkin bilgileri Şirket dışında hiç kimseyle paylaşmaz, kamuya açıklamaz ve bu amaçla kullanmaz (Madde 9);
5. Şirket’ten ödeme, ödül, iş veya başka bir menfaat talep etmez; bildirimi bu tür bir talebe bağlamaz (bunlar “şantaj” veya “tehdit” olarak değerlendirilebilir);
6. Bildirimdeki bilgilerin doğru ve iyi niyetli olduğunu beyan eder; gerçeğe aykırı bildirim yapmaz;
7. Yürürlükteki tüm mevzuata ve bu Politika’ya uyar.

3.2. Şirket çalışanları ve Platform’a hizmet sağlayan kişiler bu Politika kapsamında “ödül” veya “muafiyet” kazanamaz; görev ve sözleşmelerinden doğan yükümlülükleri saklıdır.

Madde 4 — Yasaklanan Test Teknikleri

4.1. Aşağıdaki teknik ve eylemler kesinlikle yasaktır ve bu Politika’nın sağladığı iyi niyet kapsamının dışındadır:

• Hizmet engelleme (DoS/DDoS): Platform’un kullanılabilirliğini azaltacak yoğun trafik, kaynak tüketimi, kilitlenme, döngü veya kasıtlı çökertme girişimleri; otomatik kaba kuvvet ve yük testleri;
• Sosyal mühendislik: Şirket çalışanlarına, hizmet sağlayıcılarına veya Kullanıcılar’a yönelik kimlik avı (oltalama), telefon, SMS, e-posta veya yüz yüze aldatma girişimleri;
• Veri sızdırma ve toplu veri çekme: Kullanıcı verilerini, kişisel verileri, ticari sırları veya veri tabanı içeriğini toplu olarak indirme, kopyalama, saklama, paylaşma veya satma; “kanıt” amacıyla dahi olsa gereğinden fazla veri alma;
• Yetkisiz erişim: Başka bir Kullanıcı’nın hesabına erişim, yetki yükseltme sonrası yönetim paneline girme, sunucuda komut çalıştırma ve işletim sistemi düzeyinde erişim;
• Zararlı yazılım: Kötü amaçlı yazılım, fidye yazılımı, kalıcı arka kapı veya istismar kodu yerleştirme;
• Fiziki erişim denemeleri ve Şirket ofislerine, sunucu merkezlerine ya da cihazlarına yönelik saldırılar;
• Üçüncü taraflara saldırı: Platform üzerinden başka sistemlere saldırı, tarama veya yetkisiz erişim;
• Spam ve istismar: Yoğun form, SMS veya e-posta gönderimi (ör. SMS/OTP altyapısını kötüye kullanma, maliyet yaratma), otomatik hesap oluşturma;
• Kamuya açıklama: Açığın düzeltilmeden önce kamuya duyurulması veya istismar kodunun yayımlanması.

4.2. Bir test tekniğinin yasak olup olmadığından emin olmayan kişi, test yapmadan önce Şirket’in onayını almalıdır.

Madde 5 — Hukuki Uyarılar ve İyi Niyetli Araştırmacı Korumasının Sınırları

5.1. Türk hukukunda, bilişim sistemine hukuka aykırı olarak girmek ve orada kalmak (TCK m.243), bilişim sistemini engellemek, bozmak, verileri yok etmek veya değiştirmek (TCK m.244) ve banka veya kredi kartlarının kötüye kullanılması (TCK m.245) suç olarak düzenlenmiştir. Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilmesi veya ele geçirilmesi (TCK m.135-136), verileri hukuka aykırı olarak ele geçiren kişiler bakımından da ceza hükümleri içermektedir. Ticari sırların açıklanması (TCK m.239) ve 7545 sayılı Siber Güvenlik Kanunu’nda yer alan suç ve idari yaptırım hükümleri de ayrıca uygulanabilir.

5.2. Bu fiillerin yetkili makamlar tarafından kamu davası kapsamında ele alınması Şirket’in iradesine veya şikâyetine bağlı olmayabilir; bazı suçlar şikâyete bağlı değildir. Şirket, savcılık ve mahkemelerin yetkisini, takdirini veya bağımsızlığını sınırlayamaz ve Araştırmacı’ya ceza sorumluluğundan muafiyet sağlayamaz.

5.3. Bu nedenle, Politika’nın sağladığı koruma yalnızca Şirket’in kendi nezdindeki tutumuyla sınırlıdır: Şirket, bu Politika’ya tam olarak uyan, iyi niyetli bir bildirimde bulunan Araştırmacı’ya karşı, bildirim ve bildirimin gerektirdiği makul doğrulama faaliyeti nedeniyle hukuki veya cezai yola başvurmamayı ve Araştırmacı’yı ilgili mercilere şikâyet etmemeyi hedefler. Bu ifade bağlayıcı bir bağışıklık veya sorumsuzluk taahhüdü değildir; Şirket, aşağıdaki hâllerde tüm hukuki yollara başvurma hakkını saklı tutar:

• Politika’nın kurallarının ihlali, yasaklı tekniklerin kullanılması veya kapsam dışına çıkılması;
• Kişisel verilerin ele geçirilmesi, saklanması, ifşası veya satılması;
• Hizmetin aksatılması veya Şirket veya üçüncü kişilerin zarara uğratılması;
• Menfaat talebi, tehdit veya şantaj niteliğindeki davranışlar;
• Bildirimden önce açığın kamuya veya üçüncü kişilere açıklanması;
• Bildirimin kötü niyetli veya yanıltıcı olması.

5.4. Şirket, güvenlik açığı bildiriminde Kişisel Verileri Koruma Kurulu, Siber Güvenlik Başkanlığı veya diğer yetkili mercilere bildirim yükümlülüğü doğduğu takdirde, Araştırmacı’nın kimliğine ve bilgilerine ilişkin gerekli bilgileri mevzuatın gerektirdiği ölçüde paylaşmak zorunda kalabilir.

5.5. Araştırmacı, test faaliyetlerinden doğan her türlü hukuki ve cezai sorumluluğun kendisine ait olduğunu kabul eder. Bu Politika’nın varlığı, hukuka aykırı bir eylemi hukuka uygun hâle getirmez.

Madde 6 — Bildirim Yolu ve Bildirimde Bulunması Gereken Bilgiler

6.1. Güvenlik açığı bildirimleri, yalnızca elektronik posta ile merhaba@solidmedya.com adresine (bu adres yoksa merhaba@yenikare.com adresine) “Güvenlik Açığı Bildirimi” konu başlığıyla yapılır. Şirket bir security.txt dosyası yayımlamışsa, güncel iletişim bilgisi orada da yer alabilir. Hassas bilgilerin e-posta ile iletilmesi gerekiyorsa, öncelikle iletişim kurularak güvenli bir aktarım yöntemi talep edilmelidir. Kamuya açık forum, sosyal medya veya Platform’un yorum, mesaj ve Gelen Kutusu alanları bildirim yolu olarak kullanılamaz.

6.2. Bildirimde mümkün olduğunca aşağıdaki bilgiler yer almalıdır:

1. Bildirimde bulunanın adı soyadı veya takma adı ve iletişim bilgisi (anonim bildirim mümkündür, ancak iletişim kurulamayan bildirimlerde geri bildirim verilemez);
2. Açığın türü ve etkilenen sistem, sayfa, URL veya işlev;
3. Açığın bulunma tarihi ve saati, kullanılan test hesabı (kullanıcı adı veya e-posta);
4. Açığı yeniden üretmek için gerekli adımlar, istek/yanıt örnekleri ve gerekiyorsa ekran görüntüsü veya kısa video;
5. Açığın olası etkisi (kapsam, istismar edilebilirlik, olası veri riskleri) ve varsa önerilen düzeltme;
6. Bildirimde bulunanın, ulaştığı verilerin bulunup bulunmadığı ve bu verilerin silindiğine dair beyanı;
7. Bildirimde bulunan kişinin bu Politika’yı okuduğuna ve kurallarına uyduğuna dair beyanı.

6.3. Bildirim, Şirket’in açığı anlayıp yeniden üretebilmesi için yeterli ayrıntıyı içermelidir. Eksik veya yetersiz bildirimlerde Şirket ek bilgi talep edebilir; makul sürede yanıt verilmezse bildirim kapatılabilir.

Madde 7 — Yanıt ve Düzeltme Süreleri

7.1. Şirket’in hedef süreleri aşağıdaki gibidir. Bu süreler hedef niteliğinde olup bağlayıcı bir hizmet seviyesi taahhüdü değildir; açığın karmaşıklığına, üçüncü taraf bağımlılıklara ve mücbir sebeplere göre uzayabilir.

7.2. Şirket, açığın önem derecesini, etkilenen Kullanıcı sayısını ve istismar edilebilirliğini kendi takdirine göre değerlendirir. Bir bildirimin geçerli bir güvenlik açığı olduğunu kabul etmeme, kapsam dışı sayma veya düzeltmeme hakkı Şirket’e aittir.

7.3. Şirket, aynı açığın daha önce bildirilmiş olması hâlinde (mükerrer bildirim) veya Şirket’in zaten bildiği bir açık için bildirim yapılmışsa, bildirime ilişkin bir yükümlülük kabul etmez.

Madde 8 — Ödül Yok; Takdiren Teşekkür

8.1. Şirket, bir ödül (bug bounty) programı yürütmemektedir. Bildirimde bulunan kişiye nakdi veya ayni bir ödeme, tazminat, ücret, hediye veya başka bir menfaat verilmesi yükümlülüğü doğmaz; bildirimde bulunan kişi bu tür bir talepte bulunmamayı kabul eder.

8.2. Şirket, geçerli ve önemli bir açık bildiren ve Politika’ya uyan Araştırmacı’ya, Araştırmacı’nın yazılı izniyle ve Şirket’in takdirine bağlı olarak, bir teşekkür mesajı iletebilir veya Platform’da bir “Teşekkür” listesinde adını ve takma adını anabilir. Bu bir hak değildir ve Şirket bunu yapmayı reddedebilir.

8.3. Şirket çalışanları, Platform’a hizmet sağlayan kişiler ve bunların yakın akrabaları, bu Politika kapsamında teşekkür listelerinde yer alamaz.

Madde 9 — Gizlilik, Koordineli Açıklama ve Kamuya Açıklama

9.1. Araştırmacı, bildirim yaptıktan sonra, açığa ilişkin bilgileri (açığın varlığı, ayrıntıları, kanıtları, istismar kodu) Şirket’in yazılı onayı olmadan üçüncü kişilerle paylaşmaz, kamuya açıklamaz, blog, forum veya sosyal medyada yayımlamaz ya da başkasına satmaz.

9.2. Şirket ile Araştırmacı, makul düzeltme süresinin sonunda açığa ilişkin kamuya açıklama konusunda karşılıklı mutabakat sağlamaya çalışır. Şirket tarafından açığın düzeltildiği bildirildikten sonra veya bildirim tarihinden itibaren 90 gün geçtikten ve Şirket’e ek süre talebi için yazılı fırsat tanındıktan sonra, Araştırmacı açığın genel niteliğini kamuya açıklayabilir; ancak hiçbir durumda kişisel verileri, Kullanıcılar’ın bilgilerini veya istismar etmeyi kolaylaştıran teknik ayrıntıları yayımlayamaz.

9.3. Araştırmacı’nın edindiği bilgiler Şirket’in Gizli Bilgisi sayılır ve Gizlilik Sözleşmesi hükümleri kıyasen uygulanır.

9.4. Araştırmacı’nın erişmiş olduğu kişisel veri veya Kullanıcı içeriği varsa, derhâl silinir ve bunun yapıldığı Şirket’e yazılı olarak bildirilir. Bu verilerin saklanması, kopyalanması veya paylaşılması bu Politika’nın ağır ihlalidir.

Madde 10 — Şirket’in Bildirimi Değerlendirmesi ve Yasal Yükümlülükleri

10.1. Şirket, bildirimleri değerlendirirken kişisel verilere erişim olup olmadığını inceler. Kişisel veri ihlali söz konusuysa Veri İhlali Bildirim Politikası devreye girer; ilgili ihlal 72 saatlik süreyle Kişisel Verileri Koruma Kurulu’na bildirilir.

10.2. Şirket, 7545 sayılı Siber Güvenlik Kanunu uyarınca, kapsama girmesi ve bildirim yükümlülüğü doğması durumunda tespit edilen zafiyetleri ve siber olayları yetkili otoriteye bildirebilir. Bu durumda Araştırmacı’nın bilgileri mevzuatın gerektirdiği ölçüde paylaşılabilir.

10.3. Şirket, savcılık, mahkeme veya yetkili merciler tarafından istenen bilgi ve belgeleri verebilir. Araştırmacı bu durumu bilir ve kabul eder.

10.4. Şirket, Araştırmacı’nın kimlik ve iletişim bilgilerini bildirimin işlenmesi, değerlendirilmesi ve geri bildirimin yapılması amacıyla işler; bu işleme, KVKK Aydınlatma Metni uyarınca meşru menfaat ve hukuki yükümlülük çerçevesinde yürütülür.

Madde 11 — Sorumluluğun Sınırı

11.1. Araştırmacı, test faaliyetleri sırasında Platform’a, Şirket’e, Kullanıcılar’a veya üçüncü kişilere verdiği zararlardan sorumludur. Şirket, Araştırmacı’nın bu Politika kapsamındaki faaliyetlerinden doğan hiçbir zarardan, maliyetten veya kayıptan sorumlu değildir.

11.2. Şirket, bildirime konu açığın düzeltileceğini, belirli bir sürede düzeltileceğini veya Platform’un açıklardan arınmış olacağını garanti etmez. Bildirim, Şirket nezdinde herhangi bir hukuki bağ, iş ilişkisi, danışmanlık veya sözleşme oluşturmaz.

11.3. Şirket, bu Politika’yı herhangi bir zamanda değiştirme, askıya alma veya sona erdirme hakkını saklı tutar.

Madde 12 — Yürürlük ve Uyuşmazlık

12.1. Bu Politika, yayımlandığı tarihte yürürlüğe girer. Araştırmacı; bildirimde bulunarak veya Platform’da test faaliyetinde bulunarak bu Politika’yı okuduğunu ve kabul ettiğini beyan eder. Elektronik kayıtlar, Hukuk Muhakemeleri Kanunu m.193 kapsamında delil niteliğindedir.

12.2. Politika’ya Türk hukuku uygulanır; uyuşmazlıklarda Konya Mahkemeleri ve İcra Daireleri yetkilidir. Tüketici işlemlerinde kanunen yetkili merci saklıdır.

Son güncelleme: 21 Ekim 2026