Kişisel Verilerin Korunması

Yaklaşımımız

Ofansif güvenlik hizmeti veriyoruz; bu hizmetin kalbi, müşterilerimizin ve onların müşterilerinin verilerinin gerçek dünyada nasıl risk altına girdiğini doğrulamaktır. Kendi veri işleme süreçlerimizde de aynı disiplini uygularız.

Kişisel verileri yalnız belirli, açık ve meşru amaçlarla, gerekli olduğu kadarıyla işleriz. Topladığımız her veri için hukuki bir dayanak vardır; aydınlatma yükümlülüğümüzü her seferinde yerine getiririz.

İlgili kişinin haklarını kullanması için hızlı, anlaşılır ve sürtünmesiz bir kanal sunarız. Bunun için ayrı bir başvuru sayfası kurulmuştur.

KVKK ilkelerine bağlılığımız

KVKK Md. 4 hükümlerine uygun olarak kişisel verilerin işlenmesinde aşağıdaki ilkelere bağlı kalırız.

• Hukuka ve dürüstlük kurallarına uygunluk: Her işleme faaliyetinin hukuki dayanağını ve dürüstlük testini önceden netleştiririz.
• Doğru ve gerektiğinde güncel olma: Verileri doğru tutar, gerektiğinde güncelleriz.
• Belirli, açık ve meşru amaçlar için işleme: Amaçları önceden tanımlar; metin ve süreçlerde açıkça paylaşırız.
• İşleme amacı ile bağlantılı, sınırlı ve ölçülü olma: Amaç için gereken minimum veriyi alırız.
• Mevzuatta öngörülen veya işleme amacı için gerekli süre kadar muhafaza etme: Saklama sürelerini iş süreci ve mevzuat bazında tanımlarız; süresi dolan veriler silinir, yok edilir veya anonim hâle getirilir.

Bilgi güvenliği yaklaşımımız

KVKK Md. 12 uyarınca, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak için uygun teknik ve idari tedbirler alırız.

Ofansif güvenlik tarafında geliştirdiğimiz disiplini iç süreçlerimize de uygularız. Aşağıdaki tedbirler bu yaklaşımın çekirdeğini oluşturur.

• Erişim yönetimi: kişisel verilere erişim, görevle sınırlı yetki ve en az ayrıcalık (least privilege) ilkesine göre verilir; düzenli olarak gözden geçirilir.
• Kimlik doğrulama: kritik sistemlerde çok faktörlü kimlik doğrulama (MFA) zorunludur.
• Şifreleme: kişisel veri içeren iletişim TLS ile şifrelenir; hassas veriler depoda dinlendiğinde şifreli tutulur (encryption at rest).
• Log kaydı ve izleme: erişim ve işlem logları tutulur; gözlemlenebilirlik araçları ile düzenli incelenir.
• Güvenlik testi disiplini: kendi sistemlerimiz dahil olmak üzere kritik akışlar düzenli aralıklarla doğrulanır; bulgular fix-first iş listesi ile kapatılır.
• Eğitim ve farkındalık: çalışanlarımız için kişisel veri koruma ve güvenlik bilinci düzenli olarak güncellenir.
• Olay müdahalesi: veri güvenliği ihlali şüphesi durumunda iç müdahale akışı devreye girer; KVKK'nın gerektirdiği bildirim yükümlülükleri yerine getirilir.

Bilgi güvenliği önlemlerimiz dış doğrulamalardan da geçer; standart sertifikasyonlarımız [Sertifika listesi - iç ekip doldurur] ile belgelenir.

Sorumluluk modelimiz

Bazı süreçlerde veri sorumlusu, bazılarında veri işleyen sıfatıyla hareket ederiz; bu ayrım, hangi kişisel verinin hangi gerekçeyle ve kimin hesabına işlendiğine bağlıdır.

• Kendi internet sitemiz, keşif görüşmesi, uzman ağı başvurusu, müşteri sözleşme süreci gibi kendi süreçlerimizde veri sorumlusu sıfatıyla hareket ederiz.
• Müşterilerimize sunduğumuz ofansif güvenlik hizmetleri kapsamında, sözleşme uyarınca müşterimizin verilerini onun hesabına işlediğimiz hâllerde veri işleyen sıfatıyla hareket ederiz. Bu süreçlerde müşterinin yazılı talimatlarına uyar; gizlilik ve güvenlik yükümlülükleri sözleşmeyle düzenlenir.

Veri işleyen sıfatıyla hareket ettiğimiz süreçlerde aydınlatma yükümlülüğü ve ilgili kişi başvurularını veri sorumlusu olan müşterimiz yürütür; biz sözleşmeyle yükümlülüklerimizi yerine getiririz.

Politika güncelleme

Bu politika, mevzuat değişiklikleri, Kurul kararları veya iç süreçlerimizdeki değişiklikler doğrultusunda gözden geçirilir ve güncellenir. Önemli değişiklikler güncel sürümün başında belirtilir; eski sürümler arşivde saklanır.