Veri İşleme ve Altyapı Politikası
Bu politika, CXR App platformu kapsamında işlenen verilerin teknik altyapı, sistem mimarisi, barındırma yapısı ve üçüncü taraf hizmet sağlayıcıları çerçevesinde nasıl yönetildiğini açıklamak amacıyla hazırlanmıştır.
Platform, internet üzerinden sunulan bulut tabanlı bir yazılım altyapısıdır. Hizmetlerin sürekliliği, güvenliği ve performansı için farklı teknik bileşenler, veri merkezleri ve servis sağlayıcılar birlikte kullanılabilir.
VERİ İŞLEME ROLLERİ
Platform üzerinde işlenen veriler farklı kapsam ve rollerde değerlendirilebilir:
Platform kullanıcılarına ait hesap, abonelik, ödeme ve güvenlik verileri bakımından Şirket veri sorumlusu olarak hareket edebilir.
Kullanıcıların kendi müşterilerine veya üçüncü kişilere ait verileri Platform’a yüklemesi durumunda, ilgili kullanıcılar veri sorumlusu konumunda olabilir. Bu durumda Şirket, teknik altyapı sağlayıcısı olarak veri işleyen rolünde hareket edebilir.
Bu ayrım, yürürlükteki veri koruma mevzuatına uygun şekilde değerlendirilir.
ALTYAPI VE BARINDIRMA MİMARİSİ
Platform hizmetleri, ölçeklenebilir ve güvenli bir bulut altyapısı üzerinde barındırılır. Sistem mimarisi; uygulama sunucuları, veritabanları, dosya depolama sistemleri ve ağ bileşenlerinden oluşabilir.
Hizmet sürekliliğini sağlamak amacıyla yedekleme sistemleri, yük dengeleme çözümleri ve güvenlik katmanları kullanılabilir. Teknik altyapı zaman içinde güncellenebilir ve geliştirilebilir.
VERİ MERKEZLERİ VE COĞRAFİ KONUM
Veriler, kullanılan altyapı sağlayıcılarına bağlı olarak farklı ülkelerde bulunan veri merkezlerinde saklanabilir veya işlenebilir. Bu lokasyonlar belirlenirken veri güvenliği, mevzuata uyum ve hizmet sürekliliği dikkate alınır.
Avrupa Birliği dışındaki ülkelere veri aktarımı söz konusu olduğunda, yürürlükteki veri koruma mevzuatının öngördüğü uygun güvenlik önlemleri uygulanır.
ÜÇÜNCÜ TARAF TEKNOLOJİLER VE SERVİS SAĞLAYICILAR
Platform’un çalışması sırasında aşağıdaki türde üçüncü taraf teknolojiler ve hizmet sağlayıcılar kullanılabilir:
bulut ve barındırma hizmetleri
veritabanı ve veri depolama sistemleri
e-posta ve bildirim servisleri
ödeme ve finans sistemleri
güvenlik ve izleme araçları
yapay zeka ve veri analiz teknolojileri
Bu sağlayıcılar, yalnızca hizmetlerin sunulması için gerekli olduğu ölçüde verilere erişebilir ve sözleşmesel yükümlülükleri çerçevesinde veri güvenliğini sağlamakla yükümlüdür.
YAPAY ZEKA VE OTOMATİK İŞLEME ALTYAPISI
Platform’un bazı özellikleri, yapay zeka ve otomatik veri işleme teknolojileriyle entegre çalışabilir. Bu sistemler; metin işleme, veri analizi, öneri üretimi, sınıflandırma veya içerik oluşturma gibi işlevler için kullanılabilir.
Bu tür sistemler, üçüncü taraf sağlayıcılar üzerinden çalışabilir ve veri işleme süreçleri ilgili sağlayıcıların teknik altyapılarına bağlı olabilir. Bu entegrasyonlar, yürürlükteki veri koruma mevzuatına uygun şekilde ve gerekli güvenlik önlemleri alınarak gerçekleştirilir.
ERİŞİM YÖNETİMİ VE GÜVENLİK
Platform altyapısında;
yetkisiz erişimi önleyici teknik önlemler
erişim yetkilerinin rol bazlı sınırlandırılması
şifreleme ve güvenli veri iletimi yöntemleri
düzenli sistem güncellemeleri ve güvenlik kontrolleri
olası güvenlik ihlallerinin izlenmesi ve yönetimi gibi teknik ve idari güvenlik önlemleri uygulanır.
BARINDIRMA VE ALTYAPI KONUMU: GÜNCEL DURUM VE PLAN
Tanıtım sitesi (cxr.app) Türkiye’deki bir web sunucusunda barındırılır; siteyi açtığınızda tarayıcınızın ilettiği teknik erişim verileri (IP adresi, tarih ve saat, açılan sayfa gibi) orada işlenir. Uygulamaların (Linke, Catalog, Menux, Eventix, Momento ve Selecto) Almanya’daki Hetzner altyapısına taşınması planlanmaktadır; taşıma henüz tamamlanmamıştır ve tamamlanana kadar uygulamalar mevcut altyapıda çalışır. Taşıma sonrası için Almanya’da üç sunucu, ayrı bir yedek/bulut ortamı ve devir (failover) düzeni planlanmaktadır. E-posta barındırma Almanya’dadır. Tanıtım sitesi ile uygulamalar ayrı sistemlerdir ve ayrı veri akışlarına sahiptir. Taşıma tamamlandığında bu metin güncellenir.
Sağlayıcıların veri koruma bakımından rolü işlemeye göre değişir. Barındırma ve e-posta sağlayıcıları esas olarak bizim adımıza ve talimatlarımız doğrultusunda veri işleyen olarak hareket eder. Yapay zekâ sağlayıcıları, hizmete ve yapılandırmaya göre veri işleyen olabileceği gibi kendi amaçları bakımından veri sorumlusu da olabilir. Ödeme sağlayıcıları ödemeyi müşterileri adına yürütürken veri işleyen, kendi amaçlarıyla yürüttükleri faaliyetlerde (ör. dolandırıcılığın önlenmesi, kendi yasal yükümlülükleri) ise bağımsız veri sorumlusu olabilir; ayrıntılar sağlayıcıların kendi gizlilik bildirimlerinde yer alır (PayTR ve iyzico için kendi gizlilik bildirimleri). Yurt dışına aktarımlar KVKK’nın 9. maddesine ve uygulanabildiği ölçüde GDPR kurallarına uygun olarak yapılır.
DEĞİŞİKLİKLER
Bu politika, kullanılan altyapı teknolojilerinde, üçüncü taraf hizmet sağlayıcılarda veya mevzuatta meydana gelebilecek değişikliklere bağlı olarak güncellenebilir. Güncel metin yayımlandığı tarihten itibaren geçerlidir.