— Güven ve güvenlik
Güvenliğimizi kendiniz kontrol edin.
Buradaki her iddia, kontrol edilebileceği bir yolla birlikte gelir — bu başlıklarla başlayarak.
Yanıt başlıkları · carna.ai
- strict-transport-security
- max-age=63072000; includeSubDomains; preload
- content-security-policy
- default-src 'self'; base-uri 'self'; object-src 'none'; frame-ancestors 'self'; …
- x-frame-options
- SAMEORIGIN
- x-content-type-options
- nosniff
- referrer-policy
- strict-origin-when-cross-origin
- permissions-policy
- camera=(), microphone=(), geolocation=()
carna.ai'deki her sayfa bunlarla sunulur. Bu sayfada tarayıcınızın ağ sekmesini açın ve onları geri okuyun.
— GÜVENLİK YAKLAŞIMI
Size gösterebileceklerimiz.
Halihazırda uygulanan altı seçim; her biri kendiniz kontrol edebileceğiniz bir yolla birlikte.
-
Yalnızca HTTPS, tarayıcı tarafından zorunlu kılınır
Her sayfa TLS üzerinden iletilir; alt alan adlarımızı kapsayan iki yıllık bir HSTS başlığı, siteyi bir kez görmüş olan tarayıcıya başka hiçbir şeyi kabul etmemesini söyler.
Ağ sekmesi → strict-transport-security
-
Kilit altına alınmış bir tarayıcı yüzeyi
Bir Content-Security-Policy, sitenin yükleyebileceği her üçüncü tarafı adlandırır ve tarayıcı geri kalanını engeller. Kamera, mikrofon ve konum tamamen reddedilir.
Ağ sekmesi → content-security-policy
-
Erişim role göre belirlenir
Öğretmenler ve öğrenciler farklı uygulamalarda oturum açar: bir öğrenci kendisine atanan çalışmayı açar, bir öğretmen ise sınıflarını ve raporlarını.
-
Her formda bir bot denetimi
Cloudflare Turnstile her gönderimi denetler ve betiği yalnızca gönder'e bastığınızda yüklenir, siz okurken değil.
Ağ sekmesi → challenges.cloudflare.com, yalnızca gönderdikten sonra
-
Ölçüm, sınırlı tutulur
Google'ın etiketleri her onay sinyali reddedilmiş şekilde başlar; PostHog ise carna.ai üzerinden AB bulutunda çalışır, Do Not Track sinyaline uyar ve hiçbir oturumu kaydetmez.
Ağ sekmesi → analitik çağrıları carna.ai/ingest adresine gider
-
Bir sorunu bildirmenin yayımlanmış bir yolu
security@carna.app adresimiz security.txt dosyamızda yayımlanır; böylece bir araştırmacının raporu nereye göndereceğini tahmin etmesi gerekmez.
— Uyumluluk
Nerede durduğumuz konusunda dürüstüz.
-
GDPR Uyuluyor
Türkiye dışında sözleşme tarafı olan kuruluş Carna Technologies Ltd'dir. Kişisel veriler için GDPR'a uyarız ve talep üzerine bir Veri İşleme Sözleşmesi (DPA) sunulur.
-
KVKK Uyuluyor
Türkiye'de sözleşme tarafı olan kuruluş, Türkiye pazarı için KVKK gerekliliklerine uygun şekilde çalışan Carna Eğitim Teknolojileri A.Ş.'dir.
-
COPPA Uygulanıyor
Carna for kids için, 13 yaşından küçük çocuklardan veri toplamaya ilişkin ABD kuralları olan COPPA'ya uyarız. İncelemenizin ihtiyaç duyduğu ayrıntılar için bize sorun. Carna for kids'i görün
-
SOC 2 Type II Devam ediyor
SOC 2 Type II için çalışıyoruz — yol haritamızda ve devam ediyor. Bugün SOC 2 sertifikalı olduğumuzu iddia etmiyoruz; bu durum değiştiğinde bu sayfayı güncelleyeceğiz.
Bu sayfa en son 16 Eylül 2026 tarihinde gözden geçirildi.
— ROLE GÖRE ERİŞİM
Her rol kendi görünümünü alır.
Bunlar iki uygulamanın kendisidir, illüstrasyonları değil: aynı okul, iki oturum açma, iki farklı görünüm.
-
ÖĞRETMEN UYGULAMASI
Sınıfları ve raporları
Bir öğretmen, verdiği sınıfı açar ve onu ders ders okur; her ders ortalama puanına göre sıralanır.
Carna öğretmen uygulamasında raporlar. Carna School London örnek bir okuldur; sınıf ve puanlar demo verisidir.
-
ÖĞRENCİ UYGULAMASI
Kendi çalışması
Bir öğrenci kendi ana ekranını açar: kendisine atanan çalışmayı, en yakın son teslim tarihi önce gelecek şekilde, ve öğretmeninin sınıfla paylaştıklarını.
Carna öğrenci uygulamasında bir öğrencinin ana ekranı. Carna School London örnek bir okuldur; ödevler ve tarihler demo verisidir.
— ALT İŞLEYİCİLER
Bu sitenin kullandığı her tedarikçi.
Bugün carna.ai üzerinde yüklenen her üçüncü taraf, artı ekibimize bir formu bildiren araç. Politika ayrıca video gömülü bir sayfada YouTube, Vimeo ve Wistia'ya, ve kendi ürünümüz carna.app'e de izin verir. Carna for Organizations'ı kapsayan listeyi bizden isteyin; DPA ile birlikte gelir.
| Tedarikçi | Ne yapar | Ne zaman çalışır |
|---|---|---|
| Cloudflare | Bu siteyi uç ağından barındırır ve sunar. | Her sayfada |
| Cloudflare Turnstile | Bir form gönderiminin bir kişiden geldiğini denetler. | Bir form gönderdiğinizde |
| PostHog | Bu site için ürün analitiği; AB bulutunda çalışır, carna.ai üzerinden proxy'lenir. Do Not Track sinyaline uyar; oturum kaydı yapmaz. | Analitiği kabul ettiğinizde |
| Sentry | Düzeltebilmemiz için JavaScript hatalarını toplar; AB (Almanya) bölgesinde çalışır, oturum tekrarı kapalıdır. | Her sayfada |
| Google Tag Manager, Analytics & Ads | Hangi sayfaların ve kampanyaların insanları buraya getirdiğini ölçer. Onay sinyalleri reddedilmiş şekilde başlar; çerezler yalnızca siz kabul ettikten sonra kullanılır. | Her sayfada, boşta kaldığında |
| Helpway | İlk yapay zekâ yanıtı dahil, destek sohbetini çalıştırır. | Her sayfada, boşta kaldığında |
| better-i18n | Sitenin çevirilerini ve sayfaların oluşturulduğu blog içeriğini barındırır. | Yalnızca derleme sırasında |
| Slack | Girdiğiniz ayrıntılarla birlikte, her form gönderimini ekibimize bildirir. | Bir form gönderdiğinizde |
— BELGELER
Burada okuyun ya da daha fazlasını isteyin.
- Veri İşleme Sözleşmesi
Talep üzerine, okullar ve işletmeler için.
- Gizlilik politikası
Neyi, neden ve ne kadar süreyle topladığımız.
- Kullanım koşulları
Her planın arkasındaki sözleşme.
- security.txt
Bir güvenlik raporunu nereye göndereceğiniz.
— SSS
İnsanların sorduğu sorular.
Bir güvenlik incelemesinin genellikle başladığı dört soru. Sizinki burada yoksa, bize gönderin.
Verilerim nasıl gizli tutuluyor?
carna.ai'ye giden trafik yalnızca TLS üzerinden yürür ve bu, bir HSTS başlığıyla zorunlu kılınır. Ürün içinde erişim, sahip olduğunuz role göre belirlenir. Bir Content-Security-Policy, sitenin hangi üçüncü tarafları yükleyebileceğini sınırlar ve Google'ın etiketleri siz kabul edene kadar hiçbir analitik veya reklam çerezi ayarlamaz. Talep üzerine bir Veri İşleme Sözleşmesi sunulur.
Verilerim nerede saklanıyor?
Şu an okuduğunuz web sitesi, Cloudflare'in uç ağından sunulur. Ürün verilerinizin nerede saklandığı ve nereye aktarılabileceği, Veri İşleme Sözleşmemizde belirtilir — bizden isteyin, Carna for Organizations'ın kendisini kapsayan alt işleyici listesiyle birlikte size gönderelim. Türkiye dışında sözleşme tarafı olan kuruluş Carna Technologies Ltd, Türkiye içinde ise Carna Eğitim Teknolojileri A.Ş.'dir.
Verilerime kimler erişebilir?
Erişim role göre belirlenir: bir öğrenci kendisine atanan çalışmayı açar, bir öğretmen ise sınıflarını ve raporlarını. Tekli oturum açma, otomatik provizyon veya BT ekibinizin onaylaması gereken herhangi bir şey için bizimle konuşun — henüz sunmadığımız yetenekleri burada sıralamak yerine, bunu sizinle birlikte netleştirmeyi tercih ederiz.
SOC 2 sertifikanız var mı?
Henüz değil. SOC 2 Type II yol haritamızda ve devam ediyor. Sahip olmadığımız bir sertifikayı iddia etmek yerine, nerede olduğumuz konusunda dürüst olmayı tercih ediyoruz; bu durum değiştiği anda bu sayfayı güncelleyeceğiz.
Anlaşmadan önce güvenlik sorularınız mı var?
Satın alma, veri barındırma konumu ya da DPA incelemesi — ekibinizin neye ihtiyacı olduğunu bize bildirin, doğru yanıtları size ulaştıralım.