Kapsam
Bu politikanın amacı, Next4biz Bilgi Teknolojileri'nin Kayıt Saklama ve İmha politikası açısından yönetişimini sağlamak ve verilerini (Ör: belgeler, arşivler ve elektronik kayıtlar) nasıl yöneteceğini tanımlamaktır.
Bu politika, 6698 sayılı KVKK, GDPR (uygulanabildiği durumlarda), ISO 27001, ISO 27701 ve ISO 22301 standartları ile VERBİS yükümlülükleri, müşteri sözleşmeleri ve ilgili sektör düzenlemeleri dikkate alınarak hazırlanmıştır.
Kapsam Dahilindeki Veri ve Kayıt Türleri
Bu politika kapsamına belgeler, arşivler ve elektronik kayıtlar girer. Ayrıca aşağıdaki veri ve sistem türleri de kapsama dahildir:
Politika kapsamında ayrıca bulut servisleri, log kayıtları, veritabanları, yedekler, e-posta sistemleri, SaaS platformunda tutulan müşteri verileri ve API kayıtları yer alır.
Veri Sınıflandırması ve Güvenlik Kontrolleri
Bilginin sınıflandırmasına göre uygun güvenlik kontrolleri uygulanır.
Erişim
Next4biz Bilgi Teknolojileri, Gizlilik Politikamız uyarınca kişisel ve diğer tüm verileri işlerken veri koruma ilkelerine uyar. Bu ilkeler aşağıdaki başlıklarla ilgilidir: Yasal uyum, Şeffaflık, İzlenebilirlik. İşlenen verilerin, yasalara uygun şekilde, şeffaf ve izlenebilir bir yapıda erişimi hedeflenir.
Ayrıca aşağıdaki erişim güvenliği ilkeleri uygulanır:
Erişim güvenliği kapsamında en az yetki prensibi ve ihtiyaç kadar erişim esasları uygulanır; görevler ayrılığı (SoD) gözetilir, yetkiler düzenli olarak gözden geçirilir ve kimlik doğrulama ile çok faktörlü kimlik doğrulama (MFA) kontrolleri kullanılır.
Kayıt
Next4biz personeli tarafından Next4biz ürün ve hizmetleri kapsamında çeşitli faaliyet veya işlevlerin yerine getirilmesi sırasında, iletim veya depolama ortamına, depolama yerine veya önemine bakılmaksızın üretilen ve alınan tüm bilgiler bir kayıt olarak kabul edilir. Ayrıca Next4biz veri işleyen statüsünde hizmet verdiği platformlar vasıtasıyla veri işler.
Kayıt Saklama Süresi ve İmha
Saklama süresi, kaydın ticari sebepler ve verilen hizmet kapsamında gerekli olduğu veya geçerli düzenleyici regülasyonlar kapsamında tutulması gereken süreyi belirtir. Gerçek ve tüzel kişiler veya diğer şirketlere ait kayıtlar açısından, saklama süresi verilen hizmet ile başlar. Hizmetin sona ermesi ile birlikte periyodik imha süreçleri işletilir. (Kontratlarda aksi belirtilmedikçe.)
Saklama süreleri Veri Saklama ve İmha Envanteri'nde tanımlıdır.
KVKK Politikasında yer alan süreçlerin dışında, Next4biz veri işleyen sıfatıyla, hizmet verdiği kurumlardan ve tedarikçilerinden gelen veri anonimleştirme taleplerini yazılı alır. Komite değerlendirmesine alınan bu talepler, sözleşmelerine uygun olarak ele alınır ve gerekli anonimleştirme veya silme sağlanır.
İmha Yöntemleri
KVKK'ya göre imha üç yöntemle gerçekleştirilir:
KVKK'ya göre imha; silme, yok etme veya anonimleştirme yöntemlerinden biri uygulanarak gerçekleştirilir.
Kayıt Saklama ve İmha Programı
Kayıtlar için Saklama ve İmha Programı şirket operasyonları için yürütülür. Ayrıca, KVKK düzenlemesi için anonimleştirme (periyodik) prosedürleri ilgili prosedürde tanımlanmıştır. Şirketimiz topladığı ve sakladığı kişisel verileri Kanundan doğan yükümlülükleri süresince veya sözleşmeden doğan edim yükümlülüğü ve haklarının korunmasının gerektirdiği yasal zorunluluklar süresince saklamaktadır. Bu amaç ve yükümlülüğün gerçekleşmesi veya ortadan kalkması veya müşterimiz üzerinden veya doğrudan ilgili kişinin talebi üzerine, Kurumun veri bütünlüğünün bozulmaması garanti altına alınmak suretiyle, kişisel veri somut veri bazında talebin ulaşması ile birlikte ivedilikle ele alınır. Şirketimiz 6 (Altı) aylık zaman dilimlerinde, VERBİS süreçlerimizde kayıtlı sürelere riayet ederek, şirketimiz nezdindeki veri sorumlusu statüleriyle saklanan verilerin taraması yapılır. Bu tarama neticesinde imha edilmesi gereken verilerin ortaya çıkması durumunda topluca olmak üzere anonimleştirme gerçekleştirilir.
Periyodik imha kayıt altına alınır ve gerektiğinde denetimlerde ibraz edilir.
Müşteri Verisi ve Veri İşleyen Rolü
Sözleşmelerdeki hizmet süresini sona eren kurumsal müşterilerimiz veri kaybı yaşamamak için, sözleşmenin sona erdiği tarihten önce, hizmet aldıkları ve erişim sağladıkları Next4biz platformu üzerinden geçmiş verilerini almalıdırlar.
Next4biz müşteri verilerini veri işleyen sıfatıyla işler. Veri işleme faaliyetleri müşteri talimatları ve sözleşmeler kapsamında yürütülür.
Sözleşme Sonu Veri Yönetimi
Hizmetin sona ermesi ve hesabın kapatılmasını takip eden 30 takvim gününün (KVKK Politikalarında belirlenen) sonunda ilgili kuruma ait işlenen tüm veriler silinerek, erişilemez hale getirilir.
Bu sürece ek olarak aşağıdaki hususlar sağlanır:
Bu süreç kapsamında müşteriye verilerini dış ortama aktarma imkânı sağlanır; müşteri talebi halinde erken silme gerçekleştirilir, verilerin yedeklerden temizlenmesi süreci işletilir ve gerçekleştirilen silme işlemlerine ilişkin kayıtlar tutulur.
Roller
Şirket kayıtlarının tüm sahipleri ve/veya sorumluları kayıtlarını değerlendirir ve kayıt tutma ve imha konusunda uygun kararlar alır. Bu politikanın uygulanması açısından, gerekli uyum faaliyetleri, tanımlı rol ve sorumluluklarla gerçekleşir.
Bu politika kapsamındaki roller aşağıdaki gibidir:
Bu politika kapsamındaki roller; Veri Sahibi, Veri Sorumlusu, Veri İşleyen, Bilgi Güvenliği, Sistem Yöneticileri, İş Birimi Sahipleri, KVKK Komitesi ve Teknoloji Komitesi'dir.
Sorumluluklar
İmha edilmesi düşünülen herhangi bir dokümanın/verinin niteliği/içeriği tespit edilir. İnceleme yapılmadıkça hiçbir belge imha edilmez. Gerekli fiziksel/elektronik inceleme ve değerlendirme yapılarak gerçekleştirilir.
Yedekler
Next4biz'in işlediği müşteri verilerinin saklanma ve yedekleme süreçleri, veri merkezleri nezdinde gerçekleşmektedir. İş sürekliliği ve acil durum süreç ve planları tanımlıdır. Acil Durum Merkezi bulunmaktadır.
Yedeklerden veri geri yükleme süreçleri kontrollü yürütülür. Yedek ortamlarına erişim yetkilendirilmiş personel ile sınırlandırılır.
Denetim ve Raporlama
Veri saklama ve imha süreçleri, belirlenen periyotlarda bilgi güvenliği komitesi tarafından denetlenir ve sonuçlar üst yönetime raporlanır. Raporlama süreci, imha edilen kayıtların türü, yöntemi ve sorumlu kişileri kapsayacak şekilde yürütülür.
Bu denetimler; iç denetim, bağımsız denetim, müşteri denetimleri ve sertifikasyon denetimleri kapsamında yürütülmektedir.
Çalışan Bilgilendirme ve Eğitim
Tüm çalışanlar, veri saklama ve imha politikaları konusunda düzenli aralıklarla bilgilendirilir ve gerekli eğitimleri alır. Eğitimler, çalışanların yasal yükümlülükler ve şirket prosedürleri hakkında farkındalıklarını artırmayı amaçlar.
Yeni başlayan çalışanlara oryantasyon kapsamında eğitim verilir. Eğitim katılım kayıtları tutulur.
İhlal Durumları
Veri saklama veya imha süreçlerinde meydana gelebilecek ihlaller, derhal Bilgi Güvenliği Komitesi'ne bildirilir. İhlal durumunda, ilgili mevzuat uyarınca gerekli bildirimler yapılır ve tekrarının önlenmesi için düzeltici/önleyici tedbirler alınır.
İhlal yönetim süreci aşağıdaki adımları içerir:
İhlal yönetim sürecinde olay kayıt altına alınır, Bilgi Güvenliği tarafından değerlendirilir, kök neden analizi yapılır ve düzeltici faaliyet başlatılır. Gerekmesi halinde ilgili otoritelere bildirim yapılır.
Bilgi Sınıflandırması
Bilgiler aşağıdaki sınıflandırma seviyelerinden biri ile etiketlenir:
- Genel
- İç Kullanıma / Hizmete Özel
- Korunan Bilgi / Gizli
- Çok Gizli / Hassas
Teknik Güvenlik Tedbirleri
Aşağıdaki teknik tedbirler uygulanmaktadır;
Teknik güvenlik tedbirleri kapsamında şifreleme, MFA, loglama, DLP, yedekleme, erişim kontrolü, virüs ve zararlı yazılımdan koruma, yama yönetimi ve zafiyet yönetimi uygulanmaktadır.
Bulut Hizmetleri
Bulut hizmetlerinin kullanımında aşağıdaki hususlar dikkate alınır:
Bulut hizmetlerinin kullanımında müşteri verilerinin barındırılması, veri lokasyonu, alt yükleniciler, bulut güvenliği ve şifreleme hususları dikkate alınır.
Log Yönetimi
Log yönetimi kapsamında aşağıdaki hususlar takip edilir:
Log yönetimi kapsamında erişim logları, admin logları, audit trail, log saklama süresi ve log bütünlüğü takip edilir.
Referans Dokümanlar
- Bilgi Güvenliği Politikası
- Kişisel Veri Koruma Politikası
- Bilgi Sınıflandırma Politikası
- Erişim Kontrol Politikası
- Yedekleme Politikası
- İş Sürekliliği Politikası
- Olay Müdahale Prosedürü
- Veri Saklama ve İmha Envanteri