Güvenlik ve veri gizliliği

Bu sayfa yalnızca bugün uygulamada ve altyapıda gerçekten olanı anlatır. Vaat değil, durum özeti.

Kısaca

• Senaryon modellerin eğitiminde kullanılmaz. ProductionEngine müşteri içeriğiyle model eğitmez.
• Yapay zekâ isteğe bağlı. Kendi anahtarını eklemezsen ya da yapay zekâyı kapatırsan içeriğin hiçbir yapay zekâ sağlayıcısına gitmez.
• Veri AB'de. Veritabanı ve dosyalar Supabase'in Avrupa Birliği bölgesinde (İrlanda) durur.
• Erişim veritabanında sınırlı. Bir projenin verisini yalnızca o projenin üyeleri, rollerinin izin verdiği kadar görür.

Barındırma

Uygulama Vercel üzerinde çalışır. Veritabanı, kimlik doğrulama ve yüklenen dosyalar Supabase üzerinde, Avrupa Birliği bölgesinde (İrlanda, eu-west-1) barındırılır. Proje dosyaları herkese açık olmayan bir depolama alanında tutulur ve yalnızca proje üyelerine açılır.

Aktarımda şifreleme

Site ve uygulamayla kurulan bütün bağlantılar HTTPS ile şifrelenir. Sunucu HSTS başlığı gönderir (alt alan adları dâhil, iki yıl), böylece tarayıcı şifresiz bağlantıya geri düşmez. İçerik güvenlik politikası (CSP) sayfanın yükleyebileceği kaynakları sınırlar; sayfalarımız başka sitelerin içine çerçevelenemez.

Kim neye erişebilir

• Proje rolleri: her üye yönetici, düzenleyici ya da izleyicidir. Ekibi ve rolleri yönetici yönetir; izleyici yalnızca okur.
• Erişim profilleri: yönetici bir üyeyi modül modül sınırlayabilir (ör. bütçeyi hiç görmesin), bütçeyi bölümlerle ve dökümü departmanlarla daraltabilir.
• Veritabanı düzeyinde denetim: bu kurallar yalnızca arayüzde değil, Postgres satır bazlı güvenlik (RLS) politikalarıyla veritabanında uygulanır. Projenin üyesi olmayan biri o projenin verisini okuyamaz.
• Giriş: kimlik doğrulamayı Supabase Auth yürütür; giriş e-posta adresine gönderilen bağlantı ya da tek kullanımlık kodla yapılır.
• Gizli değerler: yapay zekâ anahtarları gibi gizli değerler şifreli olarak, tarayıcıdan hiçbir şekilde okunamayan tablolarda tutulur.

Paylaşım linkleri

Call sheet, sides, belge ve görsel plan linkleri, ekipte hesabı olmayan kişilerin de açabilmesi içindir. Nasıl çalıştıklarını bilmek bu yüzden önemli:

• İmzalı: linkler sunucumuz tarafından imzalanır; başkası ProductionEngine adına sahte bir call sheet linki üretemez.
• Kişisel linkler: alıcıya özel linkler 30 gün sonra geçersiz olur. Ekler, kişisel çağrı saati ve okundu/onay kaydı yalnızca bu linklerde açılır.
• Tek tuşla iptal: proje yöneticisi ekip ayarlarındaki Kişisel paylaşım linklerini iptal et düğmesiyle gönderilmiş bütün kişisel linkleri anında geçersiz kılabilir. Sonraki gönderimler yeni link üretir.
• Genel kopya linkleri: kişiye özel olmayan, kopyalayıp kendin paylaştığın link içeriği adresin kendisinde taşır ve iptal edilemez. Hassas bilgiyi kişisel linkle gönder.

Yapay zekâ: kendi anahtarın, senin kararın

• Kendi anahtarın: yapay zekâ özellikleri Anthropic (Claude), OpenAI ya da Google Gemini hesabından aldığın kendi API anahtarınla çalışır. Anahtar hesabına bağlıdır, sunucuda AES-256-GCM ile şifreli saklanır ve tarayıcıya geri gönderilmez. İsteklerin ücreti doğrudan senin sağlayıcı hesabına yansır; bizde kredi ya da coin yok.
• Ne zaman gider: yalnızca sen bir yapay zekâ işlemi başlattığında: AI ile döküm, dökümü zenginleştirme, programı AI ile gözden geçirme, senaryoya soru sorma, asistanda yapay zekâya sorma ve AI bütçe tahmini. Arka planda kendiliğinden çalışan bir yapay zekâ işlemi yok.
• Ne gider: o işlem için gereken içerik; örneğin dökümde senaryo metni ya da ilgili bölümü, program incelemesinde sahne listesi ve çekim planı. İstek sunucumuzdan senin anahtarınla doğrudan seçtiğin sağlayıcıya gider.
• Anahtarsız da çalışır: anahtar eklemezsen ya da hesap ayarlarından yapay zekâyı kapatırsan döküm ve otomatik program kural tabanlı mekanik modla çalışır; içerik hiçbir yapay zekâ sağlayıcısına gönderilmez. Taranmış PDF'lerin yazı tanıması da senin tarayıcında yapılır.

Model eğitimi

ProductionEngine senaryonu, dökümünü ya da başka hiçbir proje içeriğini model eğitmek için kullanmaz ve kimseye eğitim verisi olarak vermez.

Sağlayıcıya giden isteğin orada nasıl işlendiği o sağlayıcının API koşullarına tabidir. Ekim 2026 itibarıyla kendi belgelerine göre Anthropic ve OpenAI API içeriğini varsayılan olarak model eğitiminde kullanmaz; Google ise Gemini API'nin ücretsiz katmanında gönderilen içeriği ürünlerini geliştirmek için kullanabildiğini, ücretli katmanda kullanmadığını belirtir. Gizli bir proje için ücretli bir hesabın anahtarını kullan ve koşulları kendin de kontrol et.

Verini dışa aktarma ve silme

• Dışa aktarma: senaryoyu FDX (.fdx) ve Fountain olarak; raporları (döküm özeti, öge listesi, DOOD, program), shot list'i, kişileri ve görevleri Excel (.xlsx) olarak; bütçeyi Excel (.xlsx) ve JSON olarak; takvimi .ics olarak; call sheet, sides ve günlük raporu PDF olarak indirebilirsin. Seçtiğin çekim günleri internetsiz açılan tek bir ZIP set paketi olarak da indirilir.
• Tam kopya: verinin tamamının bir kopyasını istemek için info@productionengine.app adresine yaz.
• Hesap silme: hesabını uygulamadaki hesap ayarlarından kendin silebilirsin; neyin hemen silindiği ve neyin kaldığı gizlilik politikasında adım adım yazıyor.
• Yedekler: veritabanının gece yedekleri alınır ve en fazla 30 gün tutulur; silinen veri bu sürenin sonunda yedeklerden de düşer.

KVKK, GDPR ve sertifikalar

Hangi kişisel veriyi neden işlediğimiz gizlilik politikasında, hizmet şartları kullanım koşullarında yazıyor.

Veriyi işlerken kullandığımız hizmetler: Supabase (veritabanı, giriş, dosyalar; AB), Vercel (uygulamanın barındırılması), Resend (giriş, davet ve call sheet e-postaları), Apple ve Google bildirim servisleri (anlık bildirimler), Open-Meteo ve OpenStreetMap Nominatim (hava durumu ve harita; yalnızca adres ya da şehir gönderilir) ve yalnızca kendi anahtarınla açarsan seçtiğin yapay zekâ sağlayıcısı.

KVKK aydınlatma metni ve kurumsal müşteriler için veri işleme sözleşmesi (DPA) hazırlanıyor; ihtiyacın varsa info@productionengine.app adresine yaz.

SOC 2 ya da ISO 27001 gibi bir sertifikamız yok. Altyapı sağlayıcılarımızın sertifikaları onların hizmetlerini kapsar, ProductionEngine'i değil.

Güvenlik açığı bildirmek

Bir açık bulduğunu düşünüyorsan info@productionengine.app adresine yaz. Ayrıntıları kamuya açmadan önce düzeltmemiz için bize zaman tanımanı rica ederiz.