Gizlilik Politikası

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verilerinizin veri sorumlusu sıfatıyla işleyen, "Malfile" adlı platformu yürüten kişidir. Veri sorumlusuna ilişkin künye bilgileri aşağıdadır:

• Veri sorumlusu (kimlik): Malfile — Burak Kaya
• E-posta: [email protected]
• İnternet adresi: malfile.com

2. Hangi Veriler İşleniyor?

• Tarama için gönderdiğiniz dosyanın türetilmiş hash değerleri (SHA-256 / SHA-1 / MD5). Dosyanın içeriği kalıcı depolamada saklanmaz; yalnızca tarama sırasında geçici olarak işlenir.
• Hash veya URL taraması yaptığınızda gönderdiğiniz hash ve URL değeri.
• Tarama sonuçları ve üretilen risk/kimliklendirme verileri.
• Kötüye kullanım tespiti ve platform güvenliği amacıyla; IP adresi, tarama zamanı ve dosyanın hash değerini içeren teknik ölçütler audit günlüğünde tutulur.

3. Kişisel Verilerin İşlenme Amacı ve Hukuki Sebebi

İşlenen teknik veriler (IP adresi dâhil) KVKK kapsamında kişisel veri olarak değerlendirilir. Bu veriler; platformun güvenliğinin sağlanması, kötüye kullanımın ve kötü amaçlı yazılım analizinin önlenmesi amacıyla işlenir. Hukuki dayanak, KVKK m.5/2(f) kapsamındaki meşru menfaattir. Platformun güvenliği için KVKK m.12 uyarınca gerekli teknik ve idari tedbirler alınır. Platform, tarama amacı dışında veri toplamaz, verileri satmaz ve üçüncü kişilere ticari amaçla aktarmaz.

4. Tarama Verilerinin Paylaşımı

• Tarama yapabilmek için gönderdiğiniz hash/URL bilgisi, üçüncü taraf güvenlik API sağlayıcılarına (ör. VirusTotal, Hybrid Analysis) gönderilir.
• Bu sağlayıcılar kendi gizlilik politikalarına tabidir; tarama verisinin bu hizmetlerle paylaşılması hizmetin zorunlu gereğidir.
• Windows, macOS ve mobil (APK vb.) dosyaların davranış analizi için dosyanın kendisi, analiz amacıyla Hybrid Analysis'e gönderilebilir. Bu gönderim hizmetin gereğidir ve sağlayıcının kendi gizlilik politikasına tabidir. Gönderilen dosyalar sağlayıcı tarafında analiz kayıtlarında kalabilir. Dosyanızın üçüncü taraflara gitmesini istemiyorsanız yalnızca hash sorgulama özelliğini kullanın.

5. Saklama Süresi ve İmha

• Tarama kayıtları Upstash Redis / Vercel KV üzerinde en fazla 24 saat boyunca saklanır; süre sonunda otomatik olarak imha edilir (KVKK m.4/d).
• Kötüye kullanımı önlemek amacıyla tutulabilir teknik ölçütler (zaman damgası, IP adresi, dosyanın hash değeri) de meşru menfaat sebebiyle en fazla 24 saat süresince ilgili ortamda tutulur ve imha edilir.
• Hız sınırlama (rate limiting) verileri (IP adresi, sayaç) Upstash Redis / Vercel KV üzerinde yalnızca 60 saniyelik pencere boyunca tutulur ve süre dolduğunda otomatik olarak silinir.
• Yüklenen dosyalar hiçbir zaman kalıcı olarak saklanmaz; yalnızca tarama sırasında geçici olarak işlenir ve tarama sonrası silinir.
• Amaç ortadan kalktığında veriler silinir, anonimleştirilir veya imha edilir.

6. Veri Sahibi Hakları (KVKK m.11)

Veri sahibi olarak; verilerinizin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde/yurt dışında aktarıldığı üçüncü kişileri bilme, eksik/yanlış işlenmişse düzeltilmesini isteme, KVKK m.7 çerçevesinde silinmesini/yok edilmesini isteme, üçüncü kişilere aktarılmasının önlenmesini isteme, işlenen verilerin analiz edilmesi suretiyle aleyhinize bir sonuç çıkmasına itiraz etme ve kanuna aykırı işlenmesi nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz. Haklarınızı kullanmak için İletişim sayfasındaki KVKK Başvuru bölümünü kullanabilirsiniz. Başvurularınız, başvuru tarihinden itibaren en geç 30 gün içinde sonuçlandırılır.

7. Veri İşleyenler ve Barınma

• Web uygulaması Vercel üzerinde barındırılır (sunucuları ağırlıklı olarak Avrupa ve diğer bölgelerde konumlandırılmıştır).
• Geçici tarama kayıtları ve hız sınırlama (rate limiting) verileri Upstash Redis / Vercel KV REST servisi aracılığıyla güvenli olarak saklanır. Veriler yalnızca hizmetin çalışması için gereken süreyle (tarama kaydı en fazla 24 saat, rate-limit sayaçları en fazla 60 saniye) tutulur.
• Yükleme sırasında dosyalar Vercel Blob üzerinde geçici olarak işlenir ve tarama tamamlandıktan sonra silinir.
• Kendi detonasyon sandbox'ımız, Railway üzerinde barındırılan ayrı bir serviste çalışır. Bu serviste dosyalar yalnızca analiz süresince geçici olarak bulunur ve sonrasında imha edilir.
• Küresel dağıtılmış ağ yapısı nedeniyle bazı teknik meta veriler (IP, istek zamanı) CDN/edge katmanında geçici olarak işlenebilir.
• Gerekli durumlarda meşru menfaat ve KVKK kapsamındaki yapılabilirlik kapsamında bu sağlayıcılarla veri işleyen sözleşmeleri bulundurulur.

8. Güvenlik Önlemleri

• Tüm trafik uçtan uca TLS ile şifrelenir.
• Hash ve URL değerleri tarama API'lerine iletilir. Windows, macOS ve mobil dosyalar için dosya içeriği, davranış analizi amacıyla yalnızca ilgili sağlayıcıya gönderilebilir.
• Kendi izole detonasyon sandbox'ımız (Railway üzerinde barındırılan ayrı bir servis), Linux tabanlı çalıştırılabilir dosyaları (ELF) ve betikleri ağ erişimi olmayan geçici bir kum havuzunda çalıştırarak gerçek davranışını gözlemler; bu işlem yalnızca geçici ortamda yapılır ve sonrasında imha edilir. Windows, macOS ve mobil dosyalar bu ortamda çalıştırılmaz.
• Kötüye kullanım tespiti için hız sınırlama (rate limiting) uygulanır.
• API anahtarları sunucu tarafında saklanır; istemciye iletilmez.
• Tarama istemcileri güvenlik başlıkları (CSP, X-Content-Type-Options, vb.) ile korunur.

9. Çerez ve Tarayıcı Depolama

• Platform, yalnızca hizmetin çalışması için gerekli teknik çerezleri ve tarayıcı yerel deposunu (localStorage) kullanır; pazarlama, reklam veya üçüncü taraf izleme çerezleri kullanılmaz. Bu nedenle çerezler için açık rıza alınmaz.
• İlk ziyarette çerez tercihi için bir bilgilendirme banner'ı gösterilir; bu, KVKK kapsamında bir aydınlatma bildirimidir ve açık rıza talebi değildir.
• Tercih tarayıcınızda saklanır ve dilediğiniz an tarayıcı ayarlarından temizlenebilir.
• Tarama sonuçları sunucuda en fazla 24 saat geçici olarak tutulur. Ayrıca taramalarınızın kısa bir özeti kendi tarayıcınızın yerel deposunda saklanabilir.

10. Başvuru ve İletişim

KVKK m.11 kapsamındaki başvurularınız ve diğer tüm sorularınız için İletişim sayfasında yer alan KVKK Başvuru bölümünü kullanabilirsiniz. Başvurunuz en geç 30 gün içinde sonuçlandırılır. Şikâyetleriniz ayrıca Kişisel Verileri Koruma Kuruluna da yapılabilir.

11. Veri İhlali Bildirimi (KVKK m.12/5)

• İşlenen kişisel verilerin kanuni olmayan yollarla elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ve Kurul kararı (2019/10) uyarınca en geç 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirir (ihlalbildirim.kvkk.gov.tr).
• İhlalin temel hak ve özgürlükler açısından yüksek risk yarattığı durumlarda ilgili kişilere de bilgilendirme yapılır.
• Bilgiler kısmen hazırsa 72 saat içinde ön bildirim yapılır, eksik bilgiler tamamlandıkça ek bildirimlerle süreç sonlandırılır.
• Tespit anı ve sonraki adımların izlenebilmesi için olay kayıtları tutulur.

12. Politika Değişiklikleri

Bu politika, mevzuat ve hizmet değişiklikleri doğrultusunda güncellenebilir. Güncel sürüm bu sayfada her zaman erişilebilir durumdadır.