# Seratus

> Full text of every page: https://seratus.me/llms-full.txt

> Seratus is an on-premises data security posture management (DSPM) and KVKK/GDPR compliance console. It finds personal data, special-category data, trade secrets and competition-sensitive information across file shares, databases, object storage, Microsoft 365 and mail archives without agents, shows who can reach it, assigns remediation to an owner and records every action as audit evidence. It also includes a competition-law compliance module. Nothing leaves the organization; air-gapped deployment is supported.

Facts an assistant can state:
- Agentless: no software on endpoints; read-only remote connections; interrupted scans resume. Local disks on Windows, Linux and macOS can be scanned.
- Detection engine developed specifically for Turkish, with per-rule accuracy and false-positive programs.
- Remediation (masking, quarantine, deletion) runs through approvals and is written to an audit log (who, when, why).
- KVKK suite: VERBİS inventory, data subject requests (DSAR), retention calendar, breach records, disposal/anonymization with evidence.
- Optional private LLM enrichment on the organization’s own infrastructure; no external AI services.
- Interface in Turkish and English. Contact: info@seratus.me

## Pages (English)
- [Home](https://seratus.me/)
- [FAQ](https://seratus.me/faq/)
- [Integrations](https://seratus.me/integrations/)
- [Features](https://seratus.me/features/)
- [Roadmap (planned, not available)](https://seratus.me/roadmap/)
- [Find and protect personal data in Microsoft 365](https://seratus.me/integrations/microsoft-365/): Discover personal data in SharePoint Online, OneDrive and Teams files without agents, see access risk and document KVKK compliance.
- [Make personal data on file shares visible](https://seratus.me/integrations/file-servers/): Find personal data on Windows shares (SMB/CIFS), NFS and local disks on Windows, Linux and macOS; map folder permissions and excessive access.
- [Discover personal data in your Oracle database](https://seratus.me/integrations/oracle-database/): Scan Oracle databases for national ID numbers, IBANs, contact details and special-category data, read-only and sampling-based.
- [Find personal data in SQL Server](https://seratus.me/integrations/sql-server/): Discover personal data in Microsoft SQL Server read-only; see access rights and risk.
- [See personal data in your open-source databases](https://seratus.me/integrations/postgresql-mysql/): Scan PostgreSQL, MySQL and MariaDB databases for personal data, read-only and sampling-based.
- [Discover personal data in object storage](https://seratus.me/integrations/object-storage-s3/): Discover personal data in Amazon S3 and S3-compatible stores (MinIO, Ceph); see bucket permissions and exposure.
- [See personal data in email archives](https://seratus.me/integrations/email-archives-pst/): Discover personal data in Outlook PST/OST and MSG files, in message bodies and attachments.
- [Agentless data discovery (DSPM)](https://seratus.me/features/agentless-dspm/): Discover, map and risk-rank personal data across file servers, databases and cloud without installing agents on endpoints.
- [Data classification](https://seratus.me/features/data-classification/): Classify personal data automatically on three axes (type, confidentiality level, business category) and bind labels to policy.
- [KVKK compliance](https://seratus.me/features/kvkk-compliance/): Run the VERBİS inventory, data subject requests (DSAR), retention periods and disposal/anonymization in one console, with evidence.
- [Access and exposure graph](https://seratus.me/features/access-exposure-graph/): See which user reaches which personal data and where oversharing occurs, as a graph; rank the risk.
- [Remediation and evidence](https://seratus.me/features/remediation-and-evidence/): Assign masking, quarantine and deletion to an owner through an approval flow; prove every step.
- [Private, on-premises LLM enrichment](https://seratus.me/features/private-llm-air-gap/): Enrich document type and request summaries with the organization’s own on-premises language model; data never leaves.
- [Turkish-specific detection accuracy](https://seratus.me/features/turkish-detection-accuracy/): Detect national ID numbers, IBANs, phone numbers and special-category data with rules tuned to Turkish and measured accuracy.

## Sayfalar (Türkçe)
- [Ana sayfa](https://seratus.me/tr/)
- [SSS](https://seratus.me/tr/sss/)
- [Entegrasyonlar](https://seratus.me/tr/entegrasyonlar/)
- [Özellikler](https://seratus.me/tr/ozellikler/)
- [Yol haritası (planlanan, mevcut değil)](https://seratus.me/tr/yol-haritasi/)
- [Microsoft 365’te kişisel veriyi bulun ve koruyun](https://seratus.me/tr/entegrasyonlar/microsoft-365/): SharePoint Online, OneDrive ve Teams dosyalarında kişisel veriyi ajansız keşfedin, erişim riskini görün, KVKK uyumunu belgeleyin.
- [Dosya paylaşımlarındaki kişisel veriyi görünür kılın](https://seratus.me/tr/entegrasyonlar/dosya-sunuculari/): Windows paylaşımları (SMB/CIFS), NFS ve Windows, Linux, macOS yerel disklerinde kişisel veriyi bulun; klasör izinlerini ve aşırı erişimi haritalayın.
- [Oracle veritabanınızdaki kişisel veriyi keşfedin](https://seratus.me/tr/entegrasyonlar/oracle-veritabani/): Oracle veritabanlarında TCKN, IBAN, iletişim ve özel nitelikli veriyi salt okunur, örnekleme temelli tarayın.
- [SQL Server’daki kişisel veriyi bulun](https://seratus.me/tr/entegrasyonlar/sql-server/): Microsoft SQL Server’da kişisel veriyi salt okunur keşfedin, erişim yetkilerini ve riski görün.
- [Açık kaynak veritabanlarınızdaki kişisel veriyi görün](https://seratus.me/tr/entegrasyonlar/postgresql-mysql/): PostgreSQL, MySQL ve MariaDB veritabanlarında kişisel veriyi salt okunur, örnekleme temelli tarayın.
- [Nesne depolamadaki kişisel veriyi keşfedin](https://seratus.me/tr/entegrasyonlar/nesne-depolama-s3/): Amazon S3 ve S3-uyumlu depolarda (MinIO, Ceph) kişisel veriyi keşfedin, kova izinlerini ve maruziyeti görün.
- [E-posta arşivlerindeki kişisel veriyi görün](https://seratus.me/tr/entegrasyonlar/e-posta-arsivleri-pst/): Outlook PST/OST ve MSG dosyalarındaki e-posta ve eklerinde kişisel veriyi keşfedin.
- [Ajansız veri keşfi (DSPM)](https://seratus.me/tr/ozellikler/ajansiz-dspm/): Dosya sunucuları, veritabanları ve bulutta kişisel veriyi uç cihaza ajan kurmadan keşfedin, haritalayın ve riskini ölçün.
- [Veri sınıflandırma](https://seratus.me/tr/ozellikler/veri-siniflandirma/): Kişisel veriyi üç eksende (tür, gizlilik derecesi, iş kategorisi) otomatik sınıflandırın; etiketleri politikaya bağlayın.
- [KVKK uyumu](https://seratus.me/tr/ozellikler/kvkk-uyum/): VERBİS envanteri, ilgili kişi başvuruları (DSAR), saklama süreleri ve imha/anonimleştirmeyi tek konsolda, kanıtlanabilir biçimde yürütün.
- [Erişim ve maruziyet grafiği](https://seratus.me/tr/ozellikler/erisim-maruziyet-grafigi/): Hangi kullanıcının hangi kişisel veriye eriştiğini ve aşırı paylaşımı grafikle görün, riski önceliklendirin.
- [İyileştirme ve kanıt](https://seratus.me/tr/ozellikler/iyilestirme-ve-kanit/): Maskeleme, karantina, silme gibi eylemleri onay akışıyla sorumluya atayın; her adımı kanıtlayın.
- [Özel, yerinde LLM zenginleştirme](https://seratus.me/tr/ozellikler/ozel-llm-air-gap/): Kurumun kendi yerinde dil modeliyle belge türü ve başvuru özetini zenginleştirin; veri kurumdan çıkmaz.
- [Türkçeye özel tespit doğruluğu](https://seratus.me/tr/ozellikler/turkce-tespit-dogrulugu/): TCKN, IBAN, telefon ve özel nitelikli veriyi Türk diline göre ayarlanmış, ölçülen doğrulukla tespit edin.

## Journal (blog)
- [Journal, English](https://seratus.me/blog/) · [Günlük, Türkçe](https://seratus.me/tr/blog/)
- [Seratus nedir: ajansız veri keşfi ve KVKK uyum konsolu](https://seratus.me/tr/blog/seratus-nedir/) (tr, 2026-09-30): Seratus’un ne olduğunu, Tanımla→Tara→İncele→İyileştir→Kanıtla akışını, kimin için yapıldığını ve neden yerinde, ajansız çalıştığını anlatan ürün tanıtımı.
- [What is Seratus: agentless data discovery and KVKK console](https://seratus.me/blog/what-is-seratus/) (en, 2026-09-30): A product walkthrough of Seratus: the Define, Scan, Review, Remediate, Prove flow, who it is built for, and why it runs on-premises without agents.
- [Verinin önemi: kurumun en değerli ve en riskli varlığı](https://seratus.me/tr/blog/verinin-onemi-kurumun-en-degerli-ve-en-riskli-varligi/) (tr, 2026-10-01): Kişisel veri, özel nitelikli veri, ticari sır ve rekabete duyarlı bilgi neden tek çatı altında ele alınmalı; nerede birikir, neden ve nasıl görünmez olur.
- [Why data is your most valuable and riskiest asset](https://seratus.me/blog/why-data-is-your-most-valuable-and-riskiest-asset/) (en, 2026-10-01): Personal data, special-category data, trade secrets and competitively sensitive information belong under one roof: where they pile up and why they go invisible.
- [Veri keşfi neden ilk adım: envanter anketleri neden yetmez](https://seratus.me/tr/blog/veri-kesfi-neden-ilk-adim/) (tr, 2026-10-02): Anketle kurulan envanter neden çürür, keşif olmadan DLP, politika ve imha neden boşa düşer ve iyi bir veri keşfi çalışması hangi çıktıları üretmelidir.
- [Why data discovery comes first: surveys are not enough](https://seratus.me/blog/why-data-discovery-comes-first/) (en, 2026-10-02): Why a survey-based inventory decays, why DLP, policy and disposal fail without discovery, and what outputs a sound data discovery exercise must produce.
- [Ajansız tarama nedir: salt okunur bağlantıyla veri keşfi](https://seratus.me/tr/blog/ajansiz-tarama-nedir/) (tr, 2026-10-03): Ajansız veri taramasının nasıl çalıştığı, hangi kaynak türlerinde nasıl bağlandığı, kesilen taramanın nasıl devam ettiği, ajanlı yaklaşımla farkı ve sınırları.
- [What agentless scanning means: read-only data discovery](https://seratus.me/blog/what-agentless-scanning-means/) (en, 2026-10-03): How agentless data scanning works, how it connects to each source type, how an interrupted scan resumes, how it compares with agents, and where its limits are.
- [KVKK: the operational duties of a data controller](https://seratus.me/blog/kvkk-operational-duties-of-a-data-controller/) (en, 2026-10-04): Inventory, privacy notices, retention and disposal, data subject requests, breach notification and VERBİS: KVKK duties in plain operational language.
- [KVKK: veri sorumlusunun operasyonel yükümlülükleri](https://seratus.me/tr/blog/kvkk-veri-sorumlusunun-operasyonel-yukumlulukleri/) (tr, 2026-10-04): Envanter, aydınlatma, saklama ve imha, ilgili kişi başvuruları, ihlal bildirimi ve VERBİS: veri sorumlusunun KVKK yükümlülüklerine operasyon diliyle bakış.
- [KVKK 2026 gelişmeleri: ilke kararları ve veri operasyonuna etkisi](https://seratus.me/tr/blog/kvkk-2026-guncel-gelismeler/) (tr, 2026-10-05): Kurum'un 2026 ilke kararları, duyuruları, webinarı ve rehberlerinin kurumların veri keşfi, erişim denetimi ve saklama operasyonlarına somut etkisi.
- [KVKK in 2026: principle decisions and their effect on data operations](https://seratus.me/blog/kvkk-2026-recent-developments/) (en, 2026-10-05): Türkiye's 2026 KVKK principle decisions, announcements, webinar and guides, and their concrete effect on data discovery, access control and retention work.
- [Corporate e-mail monitoring: what the 2026 KVKK decision changes](https://seratus.me/blog/corporate-email-monitoring-what-the-2026-decision-changes/) (en, 2026-10-06): Principle Decision 2026/2035 of 16 September 2026: technical versus legal access, proportionality, limits on content review and what it means for mail archives.
- [Kurumsal e-posta denetimi: 2026/2035 sayılı ilke kararı ne değiştirdi](https://seratus.me/tr/blog/kurumsal-e-posta-denetimi-ilke-karari-ne-degistiriyor/) (tr, 2026-10-06): Kurulun 16 Eylül 2026 tarihli ilke kararı: teknik ve hukuki erişebilirlik ayrımı, ölçülülük, içerik incelemesinin sınırı ve posta arşivleri için sonuçları.
- [Building the VERBİS inventory from real discovery, not questionnaires](https://seratus.me/blog/building-the-verbis-inventory-from-real-discovery/) (en, 2026-10-07): Why questionnaire-based VERBİS inventories decay, how a discovery-based inventory is built, and how to map findings to category, purpose and retention.
- [VERBİS envanterini anketle değil gerçek veri keşfiyle kurmak](https://seratus.me/tr/blog/verbis-envanterini-gercek-kesiften-kurmak/) (tr, 2026-10-07): Anket tabanlı VERBİS envanteri neden çürür, keşif tabanlı envanter nasıl kurulur; kategori, amaç ve saklama eşlemesi ile envanterde olmayan veri açığı.
- [Data subject requests under KVKK: the clock, the search, the evidence](https://seratus.me/blog/data-subject-requests-the-clock-and-the-evidence/) (en, 2026-10-08): How data subject requests (DSAR) run under KVKK, why the statutory deadline is missed, how to find a person's data across sources and how to evidence the reply.
- [İlgili kişi başvuruları: yasal süre, kaynaklar arası bulma ve kanıt](https://seratus.me/tr/blog/ilgili-kisi-basvurulari-30-gun-ve-kanit/) (tr, 2026-10-08): İlgili kişi başvurusu (DSAR) süreci; yasal sürenin kaçırılma nedenleri, veriyi kaynaklar arasında bulma, redakte kopya üretme ve kanıtı başvuruya ekleme.
- [Anonimleştirmenin önemi: süresi dolan veri ve geri döndürülemezlik](https://seratus.me/tr/blog/anonimlestirmenin-onemi/) (tr, 2026-10-09): Saklama süresi dolan kişisel veri neden anonimleştirilir; geri döndürülemezlik, tekillik denetimi, redakte kopya ve aslın imhasıyla kanıtlı anonimleştirme.
- [Why anonymization matters: expired data, irreversibility and proof](https://seratus.me/blog/why-anonymization-matters/) (en, 2026-10-09): Why personal data past its retention period should be anonymized, how irreversibility is measured with uniqueness checks and why the original must be destroyed.
- [Anonimleştirme, Maskeleme ve Takma Adlandırma Arasındaki Fark](https://seratus.me/tr/blog/anonimlestirme-maskeleme-takma-adlandirma-farki/) (tr, 2026-10-10): Üç yöntem ne zaman kullanılır, hangisi kişisel veriyi kişisel veri olmaktan çıkarır, kalite nasıl ölçülür ve kurumlarda hangi hatalar tekrar eder; tabloyla.
- [Anonymization vs Masking vs Pseudonymization: What Differs](https://seratus.me/blog/anonymization-vs-masking-vs-pseudonymization/) (en, 2026-10-10): When to use each method, which one takes data out of scope as personal data, how to measure quality, and the mistakes that recur in organizations; with a table.
- [Özel Nitelikli Veri ve Biyometri: Kurumda Nerede Birikir?](https://seratus.me/tr/blog/ozel-nitelikli-veri-ve-biyometri-nerede-birikir/) (tr, 2026-10-11): Sağlık raporları, ICD kodları ve biyometrik kayıtlar nerede birikir; 2026/921 kararı bağlamında özel nitelikli veri geniş paylaşımda açığı nasıl bulunur.
- [Special Category Data and Biometrics: Where It Piles Up](https://seratus.me/blog/special-category-data-and-biometrics-where-it-piles-up/) (en, 2026-10-11): Where health reports, ICD codes and biometric records pile up, and how to find the special category data overshared gap after the 2026/921 decision.
- [Kim Neye Erişiyor? Erişim ve Maruziyet Analizi Nasıl Yapılır](https://seratus.me/tr/blog/kim-neye-erisiyor-erisim-ve-maruziyet/) (tr, 2026-10-12): ACL'ler, paylaşım linkleri ve veritabanı rolleri nasıl okunur; ayrılmış kullanıcılar, çözülemeyen SID'ler ve döngüsel gruplar en az yetki ilkesini nasıl bozar.
- [Who Can Reach What? How Access and Exposure Analysis Works](https://seratus.me/blog/who-can-reach-what-access-and-exposure/) (en, 2026-10-12): How to read ACLs, sharing links and database roles, and how departed users, unresolvable SIDs and cyclic groups quietly break least privilege.
- [Microsoft 365'te Aşırı Paylaşım: Anonim Linkler ve Kuruluş Geneli](https://seratus.me/tr/blog/microsoft-365-asiri-paylasim/) (tr, 2026-10-13): SharePoint, OneDrive ve Teams'te anonim ve kuruluş geneli linkler nasıl birikir; Graph salt okunur izinleri ve delta tarama ile aşırı paylaşım nasıl ölçülür.
- [Oversharing in Microsoft 365: Anonymous Links and Org-Wide Access](https://seratus.me/blog/oversharing-in-microsoft-365/) (en, 2026-10-13): How anonymous and organization-wide links accumulate in SharePoint, OneDrive and Teams, and how read-only Graph access and delta scanning measure oversharing.
- [Personal Data in Databases: Oracle, SQL Server and PostgreSQL](https://seratus.me/blog/personal-data-in-databases-oracle-sql-server-postgresql/) (en, 2026-10-14): Column-level sampling, unmasked TCKN and IBAN columns, the role-to-table permission graph, and why not found in the sample is never a risk decision.
- [Veritabanlarında Kişisel Veri: Oracle, SQL Server ve PostgreSQL](https://seratus.me/tr/blog/veritabanlarinda-kisisel-veri-oracle-sql-server-postgresql/) (tr, 2026-10-14): Sütun düzeyinde örnekleme, maskelenmemiş TCKN ve IBAN sütunları, rol-tablo izin grafiği ve örneklemde bulunmadı sonucunun neden bir risk kararı olmadığı.
- [Dosya sunucuları ve e-posta arşivleri: unutulmuş kişisel veri](https://seratus.me/tr/blog/dosya-sunuculari-ve-e-posta-arsivleri/) (tr, 2026-10-15): SMB/NFS paylaşımları, yerel diskler, PST/OST/MSG arşivlerinde eski bordro, İK ve müşteri verisi nasıl birikir; okunamayan izinler ve karantina nasıl yönetilir.
- [File servers and mail archives: where forgotten personal data piles up](https://seratus.me/blog/file-servers-and-mail-archives/) (en, 2026-10-15): How old payroll, HR and customer data piles up on SMB/NFS shares, local disks and PST/OST/MSG archives, and how to handle unreadable permissions and quarantine.
- [Competition law compliance: competitively sensitive information](https://seratus.me/blog/competition-law-compliance-competitively-sensitive-information/) (en, 2026-10-16): A concrete definition of competitively sensitive information, where prices, bids, costs and customer terms pile up, and how data controls reduce exchange risk.
- [Rekabet hukuku uyumu: rekabete duyarlı bilgi nedir, nerede birikir](https://seratus.me/tr/blog/rekabet-hukuku-uyumu-rekabete-duyarli-bilgi/) (tr, 2026-10-16): Fiyat, teklif, maliyet ve müşteri şartları gibi rekabete duyarlı bilginin tanımı, kurumda nerede biriktiği ve bilgi değişimi riskinin nasıl azaltılacağı.
- [Turkish Competition Authority 2026 agenda: what it means for your data](https://seratus.me/blog/competition-authority-2026-agenda-what-it-means-for-data/) (en, 2026-10-17): The Turkish Competition Authority's 2026 announcements on tenders, sector investigations, a sector inquiry and AI services, and what they mean for your data.
- [Rekabet Kurumu 2026 gündemi: ihale, sektör ve yapay zeka incelemeleri](https://seratus.me/tr/blog/rekabet-kurumu-2026-gundem-ve-veri-yonetimi/) (tr, 2026-10-17): Rekabet Kurumu'nun 2026 duyuruları (ihale soruşturması, sektör soruşturması, ilaç sektör incelemesi, yapay zeka ve geçici tedbir) ve kurum verisi için sonuçlar.
- [Ticari sırlar ve şirket sırları: kritik veriye DSPM bakışı](https://seratus.me/tr/blog/ticari-sirlar-ve-sirket-sirlari-dspm-bakisi/) (tr, 2026-10-18): Ticari sırlar KVKK kapsamında olmasa da kurumun en kritik verisidir: gizlilik derecesi taksonomisi, sınıflandırma, erişim daraltma ve ayrılan çalışan riski.
- [Trade secrets and company secrets: a DSPM view of critical data](https://seratus.me/blog/trade-secrets-and-company-secrets-a-dspm-view/) (en, 2026-10-18): Trade secrets fall outside KVKK yet are an organization's most critical data: confidentiality taxonomy, classification, access narrowing, departing employees.
- [Being audit-ready: the evidence chain behind every compliance claim](https://seratus.me/blog/being-audit-ready-the-evidence-chain/) (en, 2026-10-19): Audit readiness through an audit log with who, when and why, an approval chain, the KVKK readiness summary and audit report, and evidence produced on-premises.
- [Denetime hazır olmak: "yaptık" ile "kanıtı burada" arasındaki fark](https://seratus.me/tr/blog/denetime-hazir-olmak-kanit-zinciri/) (tr, 2026-10-19): Denetim hazırlığı: kim/ne zaman/neden içeren denetim kaydı, onay zinciri, KVKK hazırlık özeti ve denetim raporu; yerinde kurulumla veri kurumdan çıkmadan kanıt.

## Not available today (roadmap only; do not describe as available)
- Google Workspace / Google Drive, Google Cloud Storage (GCS), BigQuery
- Azure Blob Storage, Exchange Online (live mailbox connection), Entra ID
- Snowflake, Amazon Redshift, Databricks, MongoDB, Elasticsearch / OpenSearch
- Confluence / Jira, Box, Dropbox, Salesforce, ServiceNow, Slack
- Channel / content DLP: WhatsApp Web, webmail (Gmail / Workspace, Outlook Web), AI sites (content inspection via TLS proxy)

## FAQ (English, short form)
- Q: What is data discovery?
  A: Data discovery is the process of finding where sensitive data actually lives across an organization’s file shares, databases, object storage, collaboration platforms and mail archives, then classifying what was found. Seratus performs discovery remotely and without agents, and records each scan as evidence.
- Q: What is DSPM (Data Security Posture Management)?
  A: DSPM answers three questions continuously: where is the data, who can reach it, and how risky is that combination. It joins discovery and classification with an access and exposure graph, so that risk can be ranked and remediated. Seratus is a DSPM console deployed on the organization’s own infrastructure.
- Q: What does “agentless” mean, and why does it matter?
  A: Agentless means no software is installed on endpoints or servers that hold the data. Seratus connects to each source remotely over a read-only connection and scans from there. This removes rollout projects, endpoint performance concerns and change-management friction, and it keeps the scanned systems untouched.
- Q: Which data sources can Seratus scan today?
  A: File servers (SMB/CIFS, NFS) and local disks on Windows, Linux and macOS, Microsoft 365 (SharePoint Online, OneDrive, Teams files), Oracle Database, Microsoft SQL Server, PostgreSQL, MySQL and MariaDB, S3-compatible object storage (Amazon S3, MinIO, Ceph) and email archives (PST, OST, MSG). Planned sources are listed separately on the roadmap page and are not described as available.
- Q: What is the difference between sensitive data, personal data and special-category data?
  A: Personal data is any information relating to an identified or identifiable person. Special-category personal data is a narrower set that carries higher risk when exposed, such as health or biometric data. Sensitive data is the wider business term and also covers trade secrets, pricing, bids, customer terms and other competitively sensitive information. Seratus classifies all of these on type, confidentiality level and business category.
- Q: What is DLP?
  A: Data loss prevention (DLP) is the set of controls that stop sensitive data from being exposed, moved or shared where it should not be. Classic DLP watches channels such as email or endpoints. Seratus starts one step earlier: it finds the data at rest, maps who can reach it and removes exposure through masking, quarantine or deletion, with every action recorded.
- Q: Is Seratus a DLP product?
  A: Seratus is a data security posture (DSPM) and compliance console with remediation. It covers data-at-rest discovery, exposure analysis and remediation, which is where most DLP programs fail first. Channel monitoring and blocking (web, messaging, webmail) is in development and is not sold as an available capability.
- Q: What is oversharing and how is it detected?
  A: Oversharing is access that exceeds need: a payroll file readable by “everyone”, an anonymous sharing link to a contract, a database role that reaches every table. Seratus collects permissions (ACLs, sharing links, database roles) alongside content findings and builds an exposure graph that ranks these combinations by risk.
- Q: Can Seratus send findings to our SIEM or ticketing system?
  A: Yes. Findings and remediation actions can be forwarded to SIEM and ticketing systems, and users and scope can be synchronized from the directory (LDAP).
- Q: What is data masking?
  A: Data masking replaces sensitive values with substitutes so that the data remains usable for its purpose while the original value is no longer exposed. In Seratus, masking is a remediation action assigned to an owner, subject to approval, and written to the audit log with who, when and why.
- Q: What is the difference between anonymization and pseudonymization?
  A: Anonymization removes the link to a person irreversibly, so the result is no longer personal data. Pseudonymization replaces identifiers with a key or token but keeps a way back, so the data is still personal data and still needs protection. Seratus treats disposal by anonymization as producing a redacted copy and destroying the original, with quality measured through uniqueness checks.
- Q: How does Seratus prove that data was really disposed of?
  A: Every disposal produces a record: what was located, in which sources, which action was approved by whom, when the original was destroyed, and the uniqueness check result on the redacted copy. The record is attached to the request or retention event it belongs to, so an auditor can read the chain end to end.
- Q: How does Seratus support KVKK compliance?
  A: Seratus runs the operational side of KVKK in one console: the VERBİS inventory built from real discovery results rather than questionnaires, data subject requests (DSAR) located across sources, a retention calendar, breach records, and disposal or anonymization with evidence. Legal interpretation remains with the organization’s legal function.
- Q: What is a data subject request (DSAR) and how is it handled?
  A: A data subject request is a person asking what data an organization holds about them, or asking for correction or deletion. Seratus receives the request, locates the person’s data across connected sources, produces the response or the redacted copy, carries out approved disposal and attaches the evidence to the request.
- Q: Does Seratus help with GDPR as well as KVKK?
  A: The operational mechanisms are shared: discovery, classification, access review, request handling, retention and disposal with evidence. Seratus is built and tested first for Turkish data and KVKK processes; organizations with GDPR obligations use the same inventory and request workflows.
- Q: Why does Turkish-specific detection matter?
  A: Generic detectors tuned for other languages miss Turkish identifiers and produce false positives on Turkish text. Seratus’s detection engine was developed specifically for Turkish; national ID numbers, IBANs, phone numbers and special-category data are detected in context, and every rule has its own accuracy and false-positive reduction program.
- Q: What is competition-law compliance and why does it concern data?
  A: Competition-law compliance is an organization’s program for avoiding conduct that competition authorities investigate, such as exchanging competitively sensitive information with competitors or coordinating prices and bids. Much of that risk lives in documents, spreadsheets and mail: pricing, bid terms, customer conditions and messages that reference competitors. Knowing where such material is, who can reach it and how it is shared is a data question before it is a legal one.
- Q: What does the Seratus competition compliance module do?
  A: It applies the same discovery, classification and exposure engine to competition-law risk: it identifies documents and communications that may carry competitively sensitive information, shows who can reach them and how they are shared, routes them into a review and remediation workflow with approvals, and records every decision as evidence. It supports the organization’s compliance program; it is not legal advice and does not replace counsel.
- Q: How does this help before or during a competition-authority inquiry?
  A: Before: the organization can find and reduce risky material proactively, tighten access and show a working compliance program. During: it can locate relevant documents across sources quickly and demonstrate, with audit records, what controls were in place and what actions were taken and when.
- Q: What counts as competitively sensitive information?
  A: Typically non-public information that would let competitors align behaviour: current or future prices and discounts, bid and tender terms, costs and margins, customer-specific conditions, capacity and output plans, and strategic plans. Seratus lets the organization define and tune these categories in its taxonomy rather than relying on a fixed list.
- Q: Where does Seratus run? Does any data leave the organization?
  A: Seratus is installed on the organization’s own servers (on-premises) and supports fully air-gapped networks. Scanning, classification and reporting happen inside the organization. Nothing is sent out to be analyzed.
- Q: Does Seratus use AI, and is the model private?
  A: Core detection does not depend on a large language model. Optionally, the organization’s own or a private LLM hosted on its infrastructure can enrich tasks such as document type and request summaries. This works air-gapped and under a data-minimization agreement; no data is sent to external AI services.
- Q: How is access to Seratus itself controlled?
  A: Role-based access separates scanning, review, approval and administration. Installation and updates ship as signed packages that can be verified. The interface is available in Turkish and English.
- Q: How long does a first deployment take?
  A: Because there are no agents, the first scan can start as soon as the console is installed and a read-only connection to the first source is configured. Scope is then widened source by source. Interrupted scans resume where they stopped.

## SSS (Türkçe, kısa)
- S: Veri keşfi nedir?
  C: Veri keşfi; kişisel ve hassas verinin kurumun dosya paylaşımları, veritabanları, nesne depolama, iş birliği platformları ve posta arşivlerinde gerçekte nerede bulunduğunu tespit etme ve bulunanı sınıflandırma sürecidir. Seratus keşfi uzaktan ve ajansız yapar; her taramayı kanıt olarak kaydeder.
- S: DSPM (veri güvenliği duruş yönetimi) nedir?
  C: DSPM üç soruyu sürekli yanıtlar: veri nerede, kim erişebiliyor ve bu bileşim ne kadar riskli. Keşif ve sınıflandırmayı erişim ve maruziyet grafiğiyle birleştirir; böylece risk sıralanır ve iyileştirilir. Seratus, kurumun kendi altyapısına kurulan bir DSPM konsoludur.
- S: “Ajansız” ne demektir, neden önemlidir?
  C: Ajansız, veriyi barındıran uç cihaz ve sunuculara hiçbir yazılım kurulmaması demektir. Seratus her kaynağa salt okunur bir bağlantıyla uzaktan bağlanır ve oradan tarar. Bu; dağıtım projelerini, uç cihaz performans kaygılarını ve değişiklik yönetimi sürtünmesini ortadan kaldırır, taranan sistemlere dokunulmaz.
- S: Seratus bugün hangi veri kaynaklarını tarayabilir?
  C: Dosya sunucuları (SMB/CIFS, NFS) ve Windows, Linux, macOS yerel diskleri, Microsoft 365 (SharePoint Online, OneDrive, Teams dosyaları), Oracle Database, Microsoft SQL Server, PostgreSQL, MySQL ve MariaDB, S3-uyumlu nesne depolama (Amazon S3, MinIO, Ceph) ve e-posta arşivleri (PST, OST, MSG). Planlanan kaynaklar yol haritası sayfasında ayrıca listelenir ve mevcut olarak gösterilmez.
- S: Hassas veri, kişisel veri ve özel nitelikli kişisel veri arasındaki fark nedir?
  C: Kişisel veri, kimliği belirli veya belirlenebilir bir kişiye ilişkin her türlü bilgidir. Özel nitelikli kişisel veri; sağlık ve biyometrik veri gibi, açığa çıktığında daha yüksek risk taşıyan daha dar bir kümedir. Hassas veri ise daha geniş bir iş terimidir; ticari sırları, fiyatlandırmayı, teklifleri, müşteri koşullarını ve rekabete duyarlı diğer bilgileri de kapsar. Seratus bunların tamamını tür, gizlilik derecesi ve iş kategorisi eksenlerinde sınıflandırır.
- S: DLP nedir?
  C: Veri kaybı önleme (DLP); hassas verinin olmaması gereken yerde açığa çıkmasını, taşınmasını veya paylaşılmasını durduran kontroller bütünüdür. Klasik DLP e-posta veya uç cihaz gibi kanalları izler. Seratus bir adım önce başlar: durağan veriyi bulur, kimin erişebildiğini haritalar ve maskeleme, karantina veya silme ile maruziyeti kaldırır; her eylem kayıt altındadır.
- S: Seratus bir DLP ürünü mü?
  C: Seratus, iyileştirme yeteneği olan bir veri güvenliği duruşu (DSPM) ve uyum konsoludur. Durağan veri keşfi, maruziyet analizi ve iyileştirmeyi kapsar; DLP programlarının çoğu ilk olarak burada başarısız olur. Kanal izleme ve engelleme (web, mesajlaşma, webmail) geliştirme aşamasındadır ve mevcut yetenek olarak satılmaz.
- S: Aşırı paylaşım nedir, nasıl tespit edilir?
  C: Aşırı paylaşım, ihtiyacı aşan erişimdir: “herkes” tarafından okunabilen bir bordro dosyası, bir sözleşmeye anonim paylaşım linki, tüm tablolara erişen bir veritabanı rolü. Seratus içerik bulgularının yanında izinleri (ACL’ler, paylaşım linkleri, veritabanı rolleri) toplar ve bu bileşimleri riske göre sıralayan bir maruziyet grafiği kurar.
- S: Seratus bulguları SIEM veya talep yönetimi sistemimize gönderebilir mi?
  C: Evet. Bulgular ve iyileştirme eylemleri SIEM ve talep yönetimi sistemlerine iletilebilir; kullanıcı ve kapsam dizinden (LDAP) senkronize edilebilir.
- S: Veri maskeleme nedir?
  C: Veri maskeleme, hassas değerlerin yerine vekil değerler koyarak verinin amacı için kullanılabilir kalmasını ama asıl değerin artık açığa çıkmamasını sağlar. Seratus’ta maskeleme bir iyileştirme eylemidir: sorumluya atanır, onaya tabidir ve kim, ne zaman, neden bilgisiyle denetim kaydına yazılır.
- S: Anonimleştirme ile takma adlandırma (pseudonymization) arasındaki fark nedir?
  C: Anonimleştirme, kişiyle bağı geri döndürülemez biçimde kaldırır; sonuç artık kişisel veri değildir. Takma adlandırma tanımlayıcıları bir anahtar veya belirteçle değiştirir ama geri dönüş yolunu korur; veri hâlâ kişisel veridir ve korunması gerekir. Seratus anonimleştirme yoluyla imhayı, redakte bir kopya üretip aslını imha etmek ve kaliteyi tekillik denetimiyle ölçmek olarak ele alır.
- S: Seratus verinin gerçekten imha edildiğini nasıl kanıtlar?
  C: Her imha bir kayıt üretir: ne bulundu, hangi kaynaklarda, hangi eylem kim tarafından onaylandı, aslı ne zaman imha edildi ve redakte kopya üzerindeki tekillik denetimi sonucu nedir. Kayıt, ait olduğu başvuru veya saklama olayına eklenir; denetçi zinciri uçtan uca okuyabilir.
- S: Seratus KVKK uyumunu nasıl destekler?
  C: Seratus, KVKK’nın operasyonel tarafını tek konsolda yürütür: anketler yerine gerçek keşif sonuçlarından kurulan VERBİS envanteri, kaynaklar arasında bulunan ilgili kişi başvuruları (DSAR), saklama takvimi, ihlal kayıtları ve kanıtlı imha veya anonimleştirme. Hukuki yorum kurumun hukuk biriminde kalır.
- S: İlgili kişi başvurusu (DSAR) nedir, nasıl ele alınır?
  C: İlgili kişi başvurusu; bir kişinin kurumun kendisi hakkında hangi veriyi tuttuğunu sorması ya da düzeltme veya silme istemesidir. Seratus başvuruyu alır, kişinin verisini bağlı kaynaklarda bulur, yanıtı veya redakte kopyayı üretir, onaylı imhayı yürütür ve kanıtı başvuruya ekler.
- S: Seratus KVKK’nın yanında GDPR için de yardımcı olur mu?
  C: Operasyonel mekanizmalar ortaktır: keşif, sınıflandırma, erişim incelemesi, başvuru yönetimi, saklama ve kanıtlı imha. Seratus öncelikle Türkçe veri ve KVKK süreçleri için geliştirilip test edilmiştir; GDPR yükümlülüğü olan kurumlar aynı envanter ve başvuru akışlarını kullanır.
- S: Türkçeye özel tespit neden önemlidir?
  C: Başka diller için ayarlanmış genel tespit motorları Türkçe tanımlayıcıları kaçırır ve Türkçe metinde yanlış pozitif üretir. Seratus’un tespit motoru Türkçeye özel geliştirilmiştir; TCKN, IBAN, telefon ve özel nitelikli veri bağlamıyla tespit edilir, her kuralın kendi doğruluk ve yanlış-pozitif azaltma programı vardır.
- S: Rekabet hukuku uyumu nedir, veriyle ilgisi nedir?
  C: Rekabet hukuku uyumu; kurumun, rekabet otoritelerinin soruşturduğu davranışlardan (rakiplerle rekabete duyarlı bilgi paylaşımı, fiyat ve teklif koordinasyonu gibi) kaçınmaya yönelik programıdır. Bu riskin büyük kısmı belgelerde, tablolarda ve postada yaşar: fiyatlandırma, teklif koşulları, müşteri şartları ve rakiplere atıf yapan iletiler. Bu materyalin nerede olduğunu, kimin erişebildiğini ve nasıl paylaşıldığını bilmek, hukuki olmadan önce bir veri sorusudur.
- S: Seratus rekabet uyum modülü ne yapar?
  C: Aynı keşif, sınıflandırma ve maruziyet motorunu rekabet hukuku riskine uygular: rekabete duyarlı bilgi taşıyabilecek belge ve iletişimleri tespit eder, kimin erişebildiğini ve nasıl paylaşıldığını gösterir, bunları onaylı bir inceleme ve iyileştirme akışına yönlendirir ve her kararı kanıt olarak kaydeder. Kurumun uyum programını destekler; hukuki tavsiye değildir ve hukuk danışmanının yerini almaz.
- S: Bu, bir rekabet otoritesi incelemesinden önce veya sırasında nasıl yardımcı olur?
  C: Öncesinde: kurum riskli materyali proaktif olarak bulup azaltabilir, erişimi daraltabilir ve işleyen bir uyum programı gösterebilir. Sırasında: ilgili belgeleri kaynaklar arasında hızla bulabilir ve hangi kontrollerin yerinde olduğunu, hangi eylemlerin ne zaman alındığını denetim kayıtlarıyla gösterebilir.
- S: Rekabete duyarlı bilgi sayılan nedir?
  C: Genellikle rakiplerin davranışlarını hizalamasına imkân verecek, kamuya açık olmayan bilgiler: güncel veya gelecek fiyatlar ve indirimler, teklif ve ihale koşulları, maliyet ve marjlar, müşteriye özel şartlar, kapasite ve üretim planları, stratejik planlar. Seratus, sabit bir listeye güvenmek yerine kurumun bu kategorileri kendi taksonomisinde tanımlayıp ayarlamasına imkân verir.
- S: Seratus nerede çalışır? Herhangi bir veri kurumdan çıkar mı?
  C: Seratus kurumun kendi sunucularına (yerinde) kurulur ve tamamen kapalı (air-gap) ağları destekler. Tarama, sınıflandırma ve raporlama kurumun içinde gerçekleşir. Analiz için hiçbir veri dışarı gönderilmez.
- S: Seratus yapay zeka kullanıyor mu, model özel mi?
  C: Temel tespit bir büyük dil modeline bağımlı değildir. İsteğe bağlı olarak kurumun kendi veya kendi altyapısında barındırılan özel bir LLM, belge türü ve başvuru özeti gibi işleri zenginleştirebilir. Bu air-gap ortamda ve veri minimizasyonu sözleşmesiyle çalışır; dış yapay zeka servislerine veri gönderilmez.
- S: Seratus’un kendisine erişim nasıl kontrol edilir?
  C: Rol tabanlı erişim; tarama, inceleme, onay ve yönetimi birbirinden ayırır. Kurulum ve güncellemeler doğrulanabilir imzalı paketlerle gelir. Arayüz Türkçe ve İngilizce olarak sunulur.
- S: İlk kurulum ne kadar sürer?
  C: Ajan olmadığı için ilk tarama, konsol kurulup ilk kaynağa salt okunur bağlantı tanımlanır tanımlanmaz başlayabilir. Kapsam daha sonra kaynak kaynak genişletilir. Kesilen taramalar kaldığı yerden devam eder.