R10 kimlik doğrulamayı nasıl kullanıyor?

Question

Merhaba arkadaşlar, r10 tarzı forumlar kimlik doğrulamayı nasıl kullanabiliyor? Devletle bir anlaşma mı yapılıyor bunun için?

ProBusiness · Accepted Answer

TRcowboy adlı üyeden alıntı:						mesajı görüntüle									Merhaba arkadaşlar, r10 tarzı forumlar kimlik doğrulamayı nasıl kullanabiliyor? Devletle bir anlaşma mı yapılıyor bunun için? 		Bildiğim kadarı ile cevap vereyim, yanlış da biliyor olabilirim.

R10 (Rokito Digital LTD) bir şirket, KVKK kapsamında ve şirket politikaları içerisinde kendilerine göre aldıkları güvenlik önlemleri kapsamında doğrulama yapma hakkına sahipler.
Kullanıp kullanmamak, bilgileri verip vermemek tamamiyle kullanıcılara kalmış bir durum. Tabi bu durumda bilgilerinizi doğrulayamazsanız girişinizi yasaklamakta yönetimin insiyatifinde.
Bunun için devletle bir anlaşma yapmaya gerek yok. 
Bir çok arkadaşında belirttiği gibi NVİ doğrulama sistemi herkese açık, api ile sizde sitelerinizde rahatça kullanabilirsiniz doğrulama işlemini.

Neo · Answer

Devletin kendi sağladığı sistem var
https://tckimlik.nvi.gov.tr/Modul/TcKimlikNoDogrula

hsynrsln · Answer

Nvi apisi ile yapılabiliyor.
PHP Örnek Bknz

AcilCreative · Answer

bakanlık api servisi ile yapılıyor diye biliyorum

Caty · Answer

Merhaba, Bir şirket olmanız ya da olmamanız durumu değiştirmez. Kimlik doğrulama gerektiren bir sistem yapmak istiyorsanız, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün konu ile ilgili yıllar önce yayınladığı API var, bunu kullanarak yapabilirsiniz. Kaynak POST /Service/KPSPublic.asmx HTTP/1.1 Host: tckimlik.nvi.gov.tr Content-Type: text/xml; charset=utf-8 Content-Length: length SOAPAction: "http://tckimlik.nvi.gov.tr/WS/TCKimlikNoDogrula" long string string int HTTP/1.1 200 OK Content-Type: text/xml; charset=utf-8 Content-Length: length boolean Umarım işinize yarar

ProBusiness · Answer

Bir önceki mesajımda da belirtmiştim yanlış biliyor olabilirim diye. Bilgi edinebilmek adına soruyorum. T.C.K.N ve diğer bilgilerin api üzerinden doğrulamak için şirket olup olmama durumu yok ancak, veritabanında kayıtlı tutabilmek için KVKK kuralları devreye girmiyor mu ? KVKK devreye girince de bildiğim kadarı ile şirket olunması gerekiyor. Veri sorumlusu vb detaylara sahip olunması gerekiyor, bunlara kişisel olarak başvuru yada herhangi bir işlem yapılabiliyor mu ? Caty adlı üyeden alıntı: mesajı görüntüle Merhaba, Bir şirket olmanız ya da olmamanız durumu değiştirmez. Kimlik doğrulama gerektiren bir sistem yapmak istiyorsanız, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün konu ile ilgili yıllar önce yayınladığı API var, bunu kullanarak yapabilirsiniz. Kaynak POST /Service/KPSPublic.asmx HTTP/1.1 Host: tckimlik.nvi.gov.tr Content-Type: text/xml; charset=utf-8 Content-Length: length SOAPAction: "http://tckimlik.nvi.gov.tr/WS/TCKimlikNoDogrula" long string string int HTTP/1.1 200 OK Content-Type: text/xml; charset=utf-8 Content-Length: length boolean Umarım işinize yarar

bakis · Answer

ProBusiness adlı üyeden alıntı:						mesajı görüntüle									Bir önceki mesajımda da belirtmiştim yanlış biliyor olabilirim diye.
Bilgi edinebilmek adına soruyorum.
T.C.K.N ve diğer bilgilerin api üzerinden doğrulamak için şirket olup olmama durumu yok ancak, veritabanında kayıtlı tutabilmek için KVKK kuralları devreye girmiyor mu ? KVKK devreye girince de bildiğim kadarı ile şirket olunması gerekiyor. Veri sorumlusu vb detaylara sahip olunması gerekiyor, bunlara kişisel olarak başvuru yada herhangi bir işlem yapılabiliyor mu ? 		bildiğim kadarıyla bakanlığın sunucusunda barınıyor

Caty · Answer

ProBusiness adlı üyeden alıntı:						mesajı görüntüle									Bir önceki mesajımda da belirtmiştim yanlış biliyor olabilirim diye.
Bilgi edinebilmek adına soruyorum.
T.C.K.N ve diğer bilgilerin api üzerinden doğrulamak için şirket olup olmama durumu yok ancak, veritabanında kayıtlı tutabilmek için KVKK kuralları devreye girmiyor mu ? KVKK devreye girince de bildiğim kadarı ile şirket olunması gerekiyor. Veri sorumlusu vb detaylara sahip olunması gerekiyor, bunlara kişisel olarak başvuru yada herhangi bir işlem yapılabiliyor mu ? 		Türkiye'deki esnafların ve şirketlerin yarısından çoğu, hatta 80%'den fazlası, KVKK duyduğunda "KDV mi?" diyebilecek potansiyeldeyken, siz her şeyi oluruna göre yapmaya çalışırsanız, şirket olmanız ve KVKK üzerine gitmeniz gerekir. Ancak, pratikte böyle bir durum yok. Bir denetçi mekanizma çalışmıyor bu yapıda. Haliyle, API erişimi sağlayan kişi, bunun kontrolünü yapabilir, gayet özel bilgileri de tutabilir. Özel bilgileri tutması için Türk olması ya da Türk şirketi olması da gerekmiyor. Yurtdışı şirketlere üye olurken tüm bilgilerinizi, pasaport ve kimlik fotokopilerinizi veriyorsunuz. Hiçbirinin KVKK ile bir ilişkisi yok. Bir İngiliz şirketinin bile, ICO (KVKK) kaydı olmayabilir. Herkes her şeyi usülünde yaptığını söylese de gerçekten usüle uyan şirket sayısı tüm dünya genelinde azınlıktır.

ProBusiness · Answer

Başta da belirttiğim üzere amacım bilgi edinebilmek o yüzden sordum. 
Türkiye örneğiniz evet doğru kvkk deyince KDV diyebilecek potansiyele sahip bir çok kişi/şirket mevcut. Ancak yasal anlamda her şey tam olsun dediğimizde kvkk devreye girmez mi ? Malum ülkemizde denetçi mekanizma çalışmıyor derken bir anda cezalar gelebiliyor buna bir çok örnek mevcut. Özel bilgilerin tutulması bir kanuna bağlı değil mi ?

Yurtdışı örneğine gelecek olur isek gpdr denilen AB tarafından kabul edilen bir mekanizma mevcut.

Biz hem yurtiçinde hem yurtdisinda birden fazla şirket yönetiyoruz. Ve yasal bağlamda detaya girdiğimizde ( ileride sorun yaşamamak adına ) bunlar Türkiye ve global anlamda bir çok ülkenin gerçekleri.

Benim merak ettiğim konu şu,
Şahıs olarak ( firma sahibi olmayanlar ) kişilerin özel bilgilerini veritabanlarında saklayabilir mi ? Bu yasalara uygun mu ? Daha sonrasında sorun yaşandığında nasıl bir savunma yapılabilir?

Not: Tekrar üzerine basarak dile getirmek istiyorum, amacım aklıma takılan soruların cevaplarını öğrenebilmek.

Caty adlı üyeden alıntı: mesajı görüntüle

Merhaba,
Bir şirket olmanız ya da olmamanız durumu değiştirmez. Kimlik doğrulama gerektiren bir sistem yapmak istiyorsanız, Nüfus ve Vatandaşlık İşleri Genel Müdürlüğü'nün konu ile ilgili yıllar önce yayınladığı API var, bunu kullanarak yapabilirsiniz.

Kaynak

POST /Service/KPSPublic.asmx HTTP/1.1 Host: tckimlik.nvi.gov.tr Content-Type: text/xml; charset=utf-8 Content-Length: length
SOAPAction: "http://tckimlik.nvi.gov.tr/WS/TCKimlikNoDogrula"
<?xml version="1.0" encoding="utf-8"?> <soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"> <soap:Body> <TCKimlikNoDogrula xmlns="http://tckimlik.nvi.gov.tr/WS"> <TCKimlikNo>long</TCKimlikNo>      <Ad>string</Ad>      <Soyad>string</Soyad>      <DogumYili>int</DogumYili> </TCKimlikNoDogrula> </soap:Body> </soap:Envelope>

HTTP/1.1 200 OK Content-Type: text/xml; charset=utf-8 Content-Length: length
<?xml version="1.0" encoding="utf-8"?> <soap:Envelope xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns:xsd="http://www.w3.org/2001/XMLSchema" xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"> <soap:Body> <TCKimlikNoDogrulaResponse xmlns="http://tckimlik.nvi.gov.tr/WS"> <TCKimlikNoDogrulaResult>boolean</TCKimlikNoDogrulaResult> </TCKimlikNoDogrulaResponse> </soap:Body> </soap:Envelope>

Umarım işinize yarar

Caty · Answer

ProBusiness adlı üyeden alıntı:						mesajı görüntüle									Başta da belirttiğim üzere amacım bilgi edinebilmek o yüzden sordum.
Türkiye örneğiniz evet doğru kvkk deyince KDV diyebilecek potansiyele sahip bir çok kişi/şirket mevcut. Ancak yasal anlamda her şey tam olsun dediğimizde kvkk devreye girmez mi ? Malum ülkemizde denetçi mekanizma çalışmıyor derken bir anda cezalar gelebiliyor buna bir çok örnek mevcut. Özel bilgilerin tutulması bir kanuna bağlı değil mi ?

Yurtdışı örneğine gelecek olur isek gpdr denilen AB tarafından kabul edilen bir mekanizma mevcut.

Biz hem yurtiçinde hem yurtdisinda birden fazla şirket yönetiyoruz. Ve yasal bağlamda detaya girdiğimizde ( ileride sorun yaşamamak adına ) bunlar Türkiye ve global anlamda bir çok ülkenin gerçekleri.

Benim merak ettiğim konu şu,
Şahıs olarak ( firma sahibi olmayanlar ) kişilerin özel bilgilerini veritabanlarında saklayabilir mi ? Bu yasalara uygun mu ? Daha sonrasında sorun yaşandığında nasıl bir savunma yapılabilir?

Not: Tekrar üzerine basarak dile getirmek istiyorum, amacım aklıma takılan soruların cevaplarını öğrenebilmek. 		Şöyle açıklayayım daha açık olsun.

GDPR, ICO, KVKK ya da aklınıza ne gelirse. Bunların hepsi "uyumluluk" esaslıdır. Bu nedenle bir şirketin compliance prosedürüne göre hareket etmesi ve bu hareketle şirket standartlarını düzenlemesi beklenir. Şirketlerin çoğu, GDPR uyumluluğumuz var yazarlar ve aksiyon olarak "verilerinizi GDPR kapsamında silebilirsiniz" butonu koyarlar. İlave olarak GDPR metni ya da siteye giriş yaptığınızda GDPR çerez saklama koşullarını kabul etme butonları koyabilirler. Ancak tüm bunlara rağmen, bu şirketin GDPR uyumluluğu olduğu anlamı çıkmaz. Çünkü her şartına uyduğu ve bu şartları yerine getirdiğini tespit eden bir denetçi mekanizma çalışmaz. Bu mekanizma çalışsa bile, devamlı denetim olmadığı sürece, hiçbir anlam teşkil etmez.

Bir diğer konu ise talep gönderimi. Tüm bilgilerinizi GDPR kapsamında silme talebi yolladığınızda, silmeyi kabul eden şirketlerin çoğu, onayınız sonrasında veritabanından silmez, veritabanında public olarak görülemez hale getirirler. Tekrar üye olmak istediğinizde aynı üyelik bilgilerininin sistemde olduğu ve üyeliğin silindiğini görebilirsiniz. Bazıları, bunun fark edilmemesi için, üyelik bilgilerinin ID kısmını editler ancak içeriği tutmaya devam ederler.

GDPR kapsamında üyelik bilgilerinizi silmeyi reddeden şirket sayısı da oldukça fazladır. Özellikle ticari işlemlere konu olan, bankalar ya da fintechler kolaylıkla reddederler. GDPR kapsamında üyelik bilgilerinizi sileceğiz ancak 10 yıl boyunca verilerinizi saklama zorunluluğumuz bulunuyor derler. Bir kısmı 5, bir kısmı 10 yıl yazıp geçerler. Daha kötü olanı, örneğin Tide isimli bir İngiltere merkezli Fintech'in yaptığı tutum. Yeni üye olmuş, hiçbir ticari işlemi bulunmayan bir hesabı bile silmiyor olması. Aynı şeyi bugün PayPal'da yapıyor birçok ülkede. Rusya'da PayPal açın, doğrulama aşamasını geçmeden hesabı silmenize izin vermezler. Yıllarca açık kalır hesap. Doğrulama şansınız olmayabilir, ya da bir sıkıntı olabilir, ya da doğrulama kriterlerine uymuyor olabilirsiniz, bunu umursamazlar. Bu konular da her kişiye göre farklılık gösterir. Birinde hesap silip, diğerinde kafalarına göre hesap silmeyebilirler.

Kısacası, hukuki olarak yapılması gereken bir şey, hukuki olarak uygun görülecek şekilde düzenli olarak denetlenmediği sürece, ve istismara açık bir yapıda devam ettiği sürece, ne kadar ceza veriliyor olursa olsun, yasal olmayan şekilde çalışmaya devam eden şirketler hem çalışmalarına devam ederler, hem de tespit edilmeleri kolay değildir. Kredi kartı bilgilerine kadar sakladığından emin olduğunuz siteler bile "saklamıyoruz" gibi saçma açıklamalar yapıyorlar. Daha kötüsü, Türkiye'de çok ünlü bazı internet siteleri, milyonlarca üyesi olan başlıca sitelerden bazıları, kullanıcı şifrelerini bile String olarak tutup, kullanıcılarının şifrelerini şifrelemiyorlar. Bunu yapan üniversiteler bile var.

Yasal olarak uymak zorunda olduğunuz zorunluluklar, denetim mekanizması olmadan bir zorunluluk olmak durumundan da çıkıyor haliyle. Konunun yasal boyutunu bir hukukçu ile görüşebilirsiniz. Ama pratikte görüştüğünüz şeyin gerçekleşmediği ve devletlerin ilerleyen teknolojiye ayak uydurmakta çok zorlandıkları su götürmez bir gerçekliktir.  Pyramid scheme biçiminde çok katmanlı pazarlama tekniği kullanan ve tüm cezalarını ödeyen bir şirket, yaptığı yasadışı olsa bile cezalarını ödediği sürece gözardı edilir. GDPR'da aslında bundan farksız. Pryamid scheme bile cezalarını ödediğiniz sürece, ABD gibi bir yerde bile 40-50 yıl yasal şirket olarak kalabiliyor, $5.000.000.000 gibi kazançlara varabiliyorsa, konuştuğunuz konununda gerçekten hiçbir anlamı kalmaz.

Ben GDPR, ICO, KVKK gibi şeyleri daha çok şuna benzetiyorum;
Üniversitede eğitim alırken ilk sınıfta etik dersi alıyorsunuz. Dersi geçiyorsunuz. Mezun olduktan sonra o etik dersinden bir haber, isterseniz kötü isterseniz iyi yönde kariyerinizi devam ettiriyorsunuz.

Hukuki boyutu: Hukukçularla görüşülmeli
Etik boyutu: Uyulması gereken bir uyumluluk
Pratik boyutu: Herkes bu uyumluluk kurallarından bir haber.

Yazdığım yazıların tamamı, kişisel görüşlerim ve deneyimlerimle ilişkilidir. Hukukçu değilim, yasal tavsiyede bulunmam doğru olmaz. Ben şahsen, tüm ülkelerdeki şirketlerim için, yasal boyutlarını değil, etik boyutlarını takip ediyorum. Türkiye'deki müşterilerimden de 10 şirketten sadece 1 tanesi KVKK uyumluluk talebinde bulunmuştur bugüne kadar. Biz bir kısmına kendimiz önermek istedik, ücretsiz sağladığımız bir destek olmasına rağmen, devlet işi olduğu için korkup geri durdular.