Hangi veriyi, neden topluyoruz?

E-posta adresi ve parola (özet/hash olarak)

Görünen ad ve avatar görseli

Abonelik planı, durum, yenilenme tarihi ve Stripe müşteri/abonelik kimliği

Kaydettiğin geziler (şehir, ülke, gün sayısı, program, duraklar, notun)

İşaretlediğin gezilen yerler (ad, şehir, ülke, koordinat, tarih, not, fotoğraf bağlantısı)

Yüklediğin fotoğraf ve videolar, açıklama metni ve bağlı olduğu şehir

Beğenilerin ve yorumların (yorum metni, görünen adın, avatarın)

Kaydettiğin oteller

Sohbetin senin hakkında öğrendiği kalıcı tercihler (ör. "kırmızı et yemiyor")

Sorduğun sorunun metni (en fazla 200 karakter), şehir, dil ve zaman damgası

İhbarların ve moderasyon kayıtları (ihbar sebebi; kural ihlalinde eşleşen ifade ve metin parçası)

Anlık konumun

IP adresinden türetilen ÜLKE bilgisi

Tarayıcı depolaması (localStorage / IndexedDB)

1. Şifreleme anahtarı SENİN TARAYICINDA üretilir.

AES-GCM 256 bit anahtar, Web Crypto API ile istemcide üretilir. Sunucu bu adıma hiç karışmaz.

cryptoKey = await crypto.subtle.generateKey(
  { name: 'AES-GCM', length: 256 }, true, ['encrypt', 'decrypt']);

2. Anahtar davet bağlantısının # (fragment) kısmında paylaşılır — SUNUCUYA GİTMEZ.

Bu bir tercih değil, HTTP'nin kuralı: tarayıcılar adresin # işaretinden sonraki kısmını isteğe KOYMAZ (RFC 3986 §3.5). Yani anahtar, davet linkini açan kişinin tarayıcısında kalır; sunucunun erişebileceği bir yerde hiç bulunmaz.

const joinUrl = window.location.origin + window.location.pathname
  + '?plan=' + msg.planId + (keyB64 ? '#k=' + keyB64 : '');

3. Mesaj, cihazından çıkmadan ÖNCE şifrelenir.

Her mesaj için rastgele 12 baytlık IV üretilir ve metin AES-GCM ile şifrelenir. Sunucuya giden şey base64 kodlanmış şifreli metindir.

const iv = crypto.getRandomValues(new Uint8Array(12));
const ct = await crypto.subtle.encrypt(
  { name: 'AES-GCM', iv }, cryptoKey, new TextEncoder().encode(text));

4. Sunucu şifreli metni yalnız BELLEĞİNDE tutar ve iletir; çözmeye çalışmaz.

Gelen metin bir JavaScript dizisine eklenir, en fazla 200 mesaj tutulur, gruptakilere yayımlanır. Çözme (decrypt) çağrısı sunucu kodunda hiç geçmez — anahtar zaten orada yok.

// E2E: msg.text = istemcide AES-GCM ile şifrelenmiş ciphertext (base64).
// Sunucu içeriği ASLA çözmez/okumaz; yalnız RAM'de tutup iletir. Yedek YOK.
plan.messages.push(m);
if (plan.messages.length > 200) plan.messages.shift();

5. Kalıcı depoya yazılan alanların arasında MESAJ YOKTUR.

Grup, sunucu yeniden başlasa da üyelerin bağlantısını kaybetmemesi için kalıcı bir kayıt tutar. O kaydın içinde ne olduğu tek satırda görülüyor: tarihler, gezi programı, kurucunun takma adı ve onaylanmış takma ad listesi. Mesaj dizisi bu listede YOK.

savePlan(id, {
  startDate, endDate, createdAt,
  itinerary, creatorNick,
  onaylanan: [...],   // yalnız TAKMA AD listesi
});

6. Konumun da diske yazılmaz ve yalnız SEN açtıysan iletilir.

Konum mesajı, üyenin görünürlük bayrağı kapalıysa daha ilk satırda geri döner. Kabul edilen konum yalnız bellekteki üye nesnesine yazılır; yukarıdaki kalıcı kayıtta konum alanı yoktur.

const me = plan.members.get(ws);
if (!me || !me.visible) return;   // görünürlük kapalıysa İŞLENMEZ
me.lat = lat; me.lng = lng;       // yalnız BELLEK

7. Grup bitiminden 24 saat sonra her şey silinir.

Saatlik bir temizlik döngüsü, bitiş tarihinin üzerinden 24 saat geçmiş grupları bellekten ve kalıcı depodan siler; bağlı üyelere de grubun kapandığı bildirilir.

if (now > expiry) {
  plans.delete(id);
  deletePlan(id);
}

8. Sayfayı kapattığında anahtar bellekten silinir.

Gruptan çıkışta anahtar değişkeni boşaltılır. Yeniden girmek için davet bağlantısındaki anahtar gerekir — bizde bir kopyası yoktur, yani "şifreyi unuttum" diye kurtarabileceğimiz bir yedek de yoktur.

cryptoKey = null; keyB64 = null;   // E2E anahtarını bellekten sil