Tedarikçinizin kanıtını okuyan denetim platformu.
Standarda göre hazırlanmış denetim anketini gönderin. DenetiGO gelen yanıtı ve yüklenen belgeyi okur. Belgenin soruyu gerçekten karşılayıp karşılamadığına bakar. Kontrolün ne kadar uygulandığını gerekçesiyle puanlar.
BDDK ve SEDDK kurallarına göre yapılan dış hizmet alımı denetimleri, ISO 27001 ve KVKK yükümlülükleri için. Türkçe, İngilizce, Almanca, Fransızca, Arapça ve Felemenkçe.
Kişisel verilerin saklama süreleri tanımlanmış ve uygulanıyor mu?
- Cevap
- Evet
- Açıklama
- “Var.”
- Kanıt
- Belge eklenmemiş
Cevap olumlu, ama somut bir dayanak yok. Saklama süresi, gözden geçirme sıklığı, sorumlu birim ve imha dönemi belli değil. Kanıt belgesi de eklenmemiş. İçi boş bir “Evet” 40 puanı geçemez.
Üç adım. Tedarikçi hesap açmaz.
Denetim e-postayla başlar, tarayıcıda biter. Tedarikçi kayıt olmaz, yazılım kurmaz.
-
01 — Kurum
Standardı seçin ve gönderin
Tedarikçiyi ekleyin. Standardı ve dili seçin. Davet e-postası tek adımda gider.
-
02 — Tedarikçi
Yanıtlar ve kanıt yükler
Bağlantıyı açar, soruları yanıtlar, politika ve sertifikalarını ekler. DenetiGO yanıtları otomatik kaydeder. Yarım kalırsa kaldığı yerden devam edilir.
-
03 — DenetiGO
Değerlendirir ve raporlar
DenetiGO her yanıtı ve belgeyi ayrı ayrı inceler. Puanı, bulguları ve önerileri gerekçesiyle raporlar. Son karar denetçinindir.
Belgeyi saklamak ile incelemek aynı şey değildir.
Anket araçlarının çoğu yüklenen dosyayı arşivler. DenetiGO belgeyi okur ve soruyla ilgisine bakar. Aşağıdaki iki ölçümde yanıt birebir aynıdır. Değişen tek şey, eklenen belgedir.
Belge, veri türlerine göre saklama sürelerini tanımlıyor. Gerekçe, üç aylık imha dönemini, sorumlu birimi ve imha tutanağını tek tek sayıyor.
Gerekçe: “Yüklenen kanıt belgesi denetim sorusuyla tamamen ilgisizdir.” Belge yalnız saklanmıyor. Okunuyor ve soruyla ilgisine bakılıyor.
Yukarıdaki iki puanı demo ortamında ölçtük. Bunlar örnek değil, ölçüm sonucudur. İki denemede de cevap birebir aynıydı.
Puan ne anlama gelir
Kural kontrolü. Model önce puan aralığını seçer. Puanı o aralığın içinde verir. Sunucu puanı yeniden kontrol eder. Puan kural dışıysa aralığa çeker ve öyle kaydeder. “Hayır” yanıtı hiçbir durumda 20 puanı geçemez.
Son söz denetçidedir. Yapay zekâ karar vermez. Ön eleme yapar ve her puanın gerekçesini yazar. Denetçi puanı değiştirebilir.
Sınır. Taranmış (görüntü olan) belgelerden metin çıkarılamaz. OCR yoktur. Sistem bunu açıkça bildirir. Belgenin içeriği hakkında tahmin yürütmez. Uzun belgelerde her soru için ilk 15.000 karakter okunur.
Tedarikçi portföyünüz tek ekranda.
Risk skoru, değerlendirme durumu ve son güncelleme. Listeyi filtreleyin, dışa aktarın, denetim geçmişine bakın.
Bizim de tedarikçi denetiminden geçmemiz gerekiyor.
Kurumsal satın almanın soracağı konuların cevabı burada. Sınırlarımızı da yazdık. Eksiği saklamak ilk teknik denetimde ters teper.
Veri Türkiye'de
Uygulama ve veritabanı, Türkiye'deki ISO 27001 belgeli bir veri merkezinde çalışır. Kanıt belgeleri Türkiye'deki S3 uyumlu nesne deposunda durur.
Dosya erişimi kapalı
Kanıt dosyasına yalnızca aynı kurumda oturum açmış yetkili kullanıcı ya da geçerli davet bağlantısı ulaşabilir. Bağlantı adresini bilmek yetmez.
Saklama süresi sizin
Her kurum kendi süresini ayarlar. Süre dolunca ya da denetim bitince belgenin içeriği silinir. Belgenin kaydı ve SHA-256 sağlaması denetim izinde kalır.
Beş yetki seviyesi
Süper yönetici, kurum yöneticisi, denetçi, anket yöneticisi ve izleyici. Yetki hem arayüzde hem sunucuda uygulanır. Yetkisiz istek doğrudan API'ye gitse bile reddedilir.
Gecelik yedek
Her gece alınır. Bütünlüğü doğrulanır. 14 gün saklanır. Geri yükleme provası yapıldı.
Değerlendirme izi
Her puanın hangi sağlayıcı ve modelle, hangi tarihte üretildiği kayıtlıdır. “Bu puanı kim üretti?” sorusunun cevabı vardır.
Bulut modele giden her istek, verinin yurt dışına aktarılması demektir. Üç seçenek de sizin elinizde.
- Kendi anahtarınız, kendi sağlayıcınız. Gemini, OpenAI, OpenRouter, Groq. Veri, sizin sözleşme yaptığınız sağlayıcıya gider. Aktarma kararı ve sorumluluk sizdedir.
- Kendi sunucunuzdaki model. Ollama, vLLM, LM Studio. Veri kurum ağınızdan hiç çıkmaz. En güçlü cevap budur.
- Yapay zekâsız kullanım. Anket, kanıt toplama ve raporlama yapay zekâ olmadan da çalışır. Değerlendirmeyi tamamen kapatabilirsiniz.
Bilinen sınırlar: Taranmış belgelerde OCR yoktur. Veritabanı düzeyinde kurumlar arası ayrım (RLS) yazıldı ve test edildi. Devreye alınması planlıdır. Bağımsız denetim raporunu, veri işleyen sözleşmesi taslağını ve teknik mimari belgesini isteyene veririz.
Otuz beş hazır soru seti, 1.651 denetim sorusu.
Tedarikçi standartları, iç denetim setleri ve düzenleyici setler bir arada. Taslak Mobil Uygulama seti dışındaki tüm setler altı dilde yüklü: Türkçe, İngilizce, Almanca, Fransızca, Arapça, Felemenkçe. Taslak set şimdilik yalnız Türkçe. Kurum kendi soru setini tanımlayabilir. Hazır bir seti kopyalayıp kendi sürümünü düzenleyebilir. Hazır setler değiştirilemez. Böylece geçmiş denetimlerin dayanağı sabit kalır.
| Standart | Soru | Uygulama alanı |
|---|---|---|
| ISO 27001:2022 | 45 | Bilgi güvenliği yönetim sistemi denetimi |
| GDPR | 36 | Avrupa Birliği'nde veri işleyen tedarikçiler |
| PCI-DSS v4.0 | 34 | Kart verisi işleyen tedarikçiler |
| SOC 2 Type II | 32 | Bulut ve yazılım hizmeti sağlayıcıları |
| ISO 9001:2015 | 30 | Kalite yönetimi; üretim ve hizmet tedarikçileri |
| KVKK | 27 | Kişisel veri işleyen tedarikçiler |
| NIST CSF 2.0 | 27 | Siber güvenlik olgunluk değerlendirmesi |
| HIPAA | 24 | Sağlık verisi işleyen tedarikçiler |
| SOX | 21 | Finansal raporlama kontrolleri |
| ISO/IEC 42001 | 36 | Yapay zekâ yönetim sistemi |
| ISO/IEC 23894 | 24 | Yapay zekâ risk yönetimi |
| NIST AI RMF | 24 | Yapay zekâ risk çerçevesi |
| BDDK Bilgi Sistemleri (taslak) | 207 | Bankacılık bilgi sistemleri denetimi |
| TCMB Ödeme Hizmetleri (taslak) | 130 | Ödeme ve elektronik para kuruluşları |
| SPK Bilgi Sistemleri (taslak) | 30 | Sermaye piyasası bilgi sistemleri |
| NIS2 Direktifi (AB) 2022/2555 (taslak) | 54 | AB'de temel ve önemli kuruluşlar |
| DORA Dijital Operasyonel Dayanıklılık Denetimi (taslak) | 52 | AB'deki finans kuruluşlarına bilgi ve iletişim teknolojisi hizmeti veren sağlayıcılar |
| AB Siber Dayanıklılık Tüzüğü — CRA (taslak) | 70 | Dijital unsurlu ürün üreten tedarikçiler |
| ABRO 2026 Hollanda Kamu Sözleşmeleri (taslak) | 78 | Hollanda merkezî yönetimi ve polisinin ulusal güvenlik sözleşmeleri |
| PDPL Suudi Arabistan (taslak) | 61 | Suudi Arabistan'da kişisel veri işleyen tedarikçiler |
| NCNICC-1:2025 Büyük Kuruluş (taslak) | 65 | Suudi Arabistan özel sektör siber güvenlik kontrolleri (NCA) |
| NCNICC-1:2025 KOBİ (taslak) | 26 | Suudi Arabistan KOBİ siber güvenlik kontrolleri (NCA) |
| PDPPL Katar Kişisel Veri Gizliliği (taslak) | 53 | Katar’da kişisel veri işleyen tedarikçiler |
| NIST SP 800-161 — C-SCRM (taslak) | 58 | Siber tedarik zinciri riskini yöneten kuruluşlar ve tedarikçileri |
| Sistem Güvenliği Denetimi | 40 | İç denetim — sistem ve altyapı |
| Bilgi Güvenliği Yönetimi | 31 | İç denetim — yönetim sistemi |
| KVKK İç Uyum Denetimi | 30 | İç denetim — kişisel veri uyumu |
| İK ve Fiziksel Güvenlik | 30 | İç denetim — personel ve fiziksel kontroller |
| İş Sürekliliği ve Yedekleme | 28 | İç denetim — süreklilik ve kurtarma |
| Kimlik ve Erişim Yönetimi | 26 | İç denetim — kimlik ve erişim yönetimi |
| Veri Yönetişimi ve Kalitesi | 25 | İç denetim — veri yönetişimi ve kalitesi |
| Yama ve Zafiyet Yönetimi | 25 | İç denetim — yama ve zafiyet yönetimi |
| Yapay Zekâ Yönetişimi | 45 | İç denetim — yapay zekâ yönetişimi |
| DenetiGO Genel Güvenlik Seti | 90 | Standarda bağlı olmayan genel kontrol seti |
| Mobil Uygulama Güvenliği (taslak, yalnız Türkçe) | 37 | Mobil uygulama geliştiren ya da işleten tedarikçiler (OWASP MASVS) |
| Kurum soru seti | — | Kuruma özel anket tanımı |
Bir tedarikçinizle deneyelim.
30 dakikalık bir demo planlayalım. İsterseniz demoyu kendi standardınız ve kendi tedarikçinizin gerçek yanıtlarıyla yapabiliriz.
Formu doldurun, aynı iş günü size dönelim. İsterseniz doğrudan [email protected] adresine de yazabilirsiniz.
- Tedarikçiniz hesap açmaz, yazılım kurmaz — e-postadaki bağlantıyla yanıtlar.
- Yapay zekâ anahtarı ve modeli sizin. Kendi sunucunuzdaki modeli de tanımlayabilirsiniz.
- Kurulum yok. Kurumunuz kendi alt alan adıyla çalışır: firma.denetigo.com
- Demoda kendi standardınızı ve kendi tedarikçinizin gerçek yanıtlarını kullanabiliriz.