Güvenlik Açığı Bildirim Politikası
Puki Yazılım Teknoloji A.Ş. ("Puki"), ürünlerinin ve müşterilerinin verilerinin güvenliğini ciddiye alır. Sistemlerimizde bir güvenlik açığı tespit ettiyseniz, iyi niyetle ve bu politikaya uygun şekilde bize bildirmenizi rica ediyoruz.
Son güncelleme: 4 Kasım 2026
1. Kapsam
Aşağıdakiler bu politikanın kapsamındadır:
- puki.com.tr ve alt alan adları
- pukisoft.com ve alt alan adları
- Puki GRC platformunun Puki tarafından barındırılan SaaS ortamları
- Puki mobil uygulamaları ve Puki tarafından yayınlanan kurulum paketleri
2. Kapsam Dışı
- Müşterilerimizin kendi altyapısında çalışan (on-premise) Puki kurulumları. Bu sistemlerde test yapmayın; ürün kodundaki bir açığı ise bize bildirebilirsiniz.
- Üçüncü taraf hizmetler (barındırma, e-posta, ödeme sağlayıcıları vb.). Bunları ilgili sağlayıcıya bildirin.
- Fiziksel güvenlik, personele yönelik sosyal mühendislik ve oltalama denemeleri.
3. Nasıl Bildirilir
Bildirimlerinizi security@puki.com.tr adresine gönderin. Lütfen şunları ekleyin:
- Açığın etkilendiği adres, ekran veya bileşen
- Açığın türü ve olası etkisi
- Yeniden üretme adımları; varsa ekran görüntüsü, istek/yanıt örnekleri veya kavram kanıtı
- Size ulaşabileceğimiz iletişim bilgisi ve nasıl anılmak istediğiniz
4. Taahhütlerimiz
- Bildiriminizi 3 iş günü içinde aldığımızı teyit ederiz.
- 10 iş günü içinde ilk değerlendirmemizi ve öngörülen çözüm planını paylaşırız.
- Çözüm sürecinde sizi bilgilendiririz ve düzeltme yayınlandığında haber veririz.
- Açığın kamuya açıklanmasını sizinle birlikte planlarız. Varsayılan koordineli açıklama süresi, bildirim tarihinden itibaren 90 gündür.
- İzniniz olması halinde katkınızı kamuya açık olarak anarız.
5. Test Kuralları
Araştırmanız sırasında lütfen:
- Yalnızca kendinize ait veya açıkça test için oluşturduğunuz hesapları kullanın.
- Başkalarına ait verilere erişmeyin, bunları değiştirmeyin, silmeyin veya saklamayın. Kişisel veriye rastlarsanız testi durdurun ve hemen bize bildirin.
- Hizmet kesintisine yol açabilecek testler (DoS/DDoS, yük testi, yoğun otomatik tarama) yapmayın.
- Açığı kanıtlamak için gereken en az işlemi yapın; sistemde kalıcı erişim, arka kapı veya değişiklik bırakmayın.
- Açığı, düzeltilene ve birlikte açıklama tarihi belirlenene kadar üçüncü kişilerle paylaşmayın.
- Bildiriminizi bir ödeme veya karşılık talebine bağlamayın.
6. İyi Niyetli Araştırma
Bu politikaya uygun ve iyi niyetle yapılan araştırmaları yetkili kabul ederiz. Bu tür araştırmalar nedeniyle hukuki işlem başlatmayız veya şikâyette bulunmayız. Bir üçüncü taraf sizin hakkınızda işlem başlatırsa, araştırmanızın bu politikaya uygun yürütüldüğünü belirtiriz.
Bu taahhüt, yalnızca Puki'nin kendi sistemleri ve kendi talepleri için geçerlidir. Kurallara uyup uymadığınızdan emin değilseniz, işleme devam etmeden önce bize yazın.
7. Ödül
Şu an ücretli bir hata ödül (bug bounty) programımız bulunmamaktadır. Geçerli bildirimlerde bulunan araştırmacıları, izinleri olması halinde kamuya açık olarak anarız.