ZİYAREM YAZILIM TEKNOLOJİ VE TİCARET A.Ş.
BİLGİ GÜVENLİĞİ VE KİŞİSEL VERİ YÖNETİMİ POLİTİKASI
Ziyarem Yazılım Teknoloji ve Ticaret A.Ş.; sunduğu yazılım, dijital platform ve destek hizmetleri kapsamında sahip olduğu veya kendisine emanet edilen bilgi varlıkları ile işlediği kişisel verilerin güvenliğini ve mahremiyetini; ISO/IEC 27001 Bilgi Güvenliği Yönetim Sistemi ve ISO/IEC 27701 Kişisel Veri/Mahremiyet Yönetim Sistemi standartları, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve uygulanabilir diğer yasal, düzenleyici ve sözleşmesel yükümlülükler doğrultusunda yönetmeyi temel ilke olarak kabul eder.
Ziyarem; kişisel veri işleme faaliyetlerinde veri sorumlusu ve/veya veri işleyen rolüne göre sorumluluklarını belirler, bilgi güvenliği ile mahremiyet risklerini bütünleşik bir risk yönetimi yaklaşımıyla ele alır ve kişisel verilerin hukuka ve dürüstlük kurallarına uygun, belirli, açık ve meşru amaçlarla, amaçla bağlantılı, sınırlı ve ölçülü, doğru ve gerektiğinde güncel olacak şekilde işlenmesini; gerekli süre kadar muhafaza edilmesini ve hesap verebilirliğin sağlanmasını esas alır.
Bu çerçevede Ziyarem aşağıdaki hususları uygulamayı ve sürdürmeyi taahhüt eder:
- Bilgi güvenliği ve kişisel veri yönetimi kapsamını, kuruluşun bağlamını, ilgili tarafların ihtiyaç ve beklentilerini, yasal ve sözleşmesel şartları dikkate alarak belirlemeyi; BGYS ve kişisel veri/mahremiyet yönetim sistemini iş süreçlerine entegre etmeyi,
- Bilgi varlıkları ile kişisel veri işleme faaliyetlerini, veri kategorilerini, işleme amaçlarını, hukuki dayanakları, veri alıcılarını, saklama sürelerini ve veri akışlarını belirlemeyi; bunlara ilişkin envanter ve kayıtları güncel tutmayı,
- Bilgi güvenliği ve mahremiyet risklerini sistematik olarak belirlemeyi, analiz etmeyi, değerlendirmeyi ve uygun risk işleme seçenekleri ile kontrolleri uygulamayı; kabul edilebilir risk seviyelerini ve gerekli aksiyonları takip etmeyi,
- Bilgi varlıklarının ve kişisel verilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı; erişimleri görev ve ihtiyaç esasına göre sınırlandırmayı, yetkisiz erişim, ifşa, değiştirme, kayıp ve imhaya karşı uygun idari ve teknik tedbirleri uygulamayı,
- Yeni ürün, hizmet, sistem, yazılım ve süreçlerin tasarımında veya önemli değişikliklerinde bilgi güvenliği ve mahremiyet gereksinimlerini başlangıçtan itibaren dikkate almayı; kişisel verilerin korunmasını tasarım ve varsayılan ayarlar yoluyla desteklemeyi,
- Kişisel verileri yalnızca belirlenmiş ve meşru amaçlar ile uygun hukuki işleme şartlarına dayanarak işlemeyi; amaç için gerekli olandan fazla kişisel veri toplamamayı ve işleme amaçlarının değişmesi halinde gerekli değerlendirme ve bilgilendirmeleri yapmayı,
- İlgili kişilerin kişisel verilerine ilişkin bilgi edinme, erişim, düzeltme, silme, yok etme ve diğer yasal haklarına yönelik başvuruların belirlenen sorumluluklar ve yasal süreler çerçevesinde güvenli ve izlenebilir şekilde yönetilmesini sağlamayı,
- Kişisel veriler ile bilgi varlıklarının saklama sürelerini yasal, sözleşmesel ve iş gereksinimlerine göre belirlemeyi; saklama süresi sona eren verileri güvenli silme, yok etme veya anonim hale getirme yöntemleriyle kontrol altında ortadan kaldırmayı,
- Kişisel verilerin üçüncü taraflara ve yurt içine/yurt dışına aktarımında uygulanabilir mevzuat şartlarını, aktarım amaçlarını, alıcı tarafın güvenlik ve mahremiyet yeterliliğini ve gerekli sözleşmesel/teknik güvenceleri dikkate almayı,
- Tedarikçi, hizmet sağlayıcı, iş ortağı, veri işleyen ve alt veri işleyenlerle yürütülen süreçlerde bilgi güvenliği ve kişisel veri koruma şartlarını sözleşme ve diğer bağlayıcı düzenlemelerle tanımlamayı; ilgili tarafların performansını ve uyumunu risk düzeyine göre izlemeyi,
- Bilgi güvenliği ve kişisel veri ihlallerini zamanında tespit etmeyi, bildirmeyi, kayıt altına almayı, müdahale etmeyi ve kök nedenlerini değerlendirmeyi; gerekli düzeltici faaliyetleri uygulamayı ve mevzuatın gerektirdiği bildirim yükümlülüklerini yerine getirmeyi,
- İş sürekliliği, yedekleme, kurtarma ve kriz yönetimi süreçlerinde bilgi güvenliği ve kişisel veri gereksinimlerini dikkate almayı; kritik bilgi ve sistemlerin kesinti, kayıp veya bozulma durumlarında uygun sürede geri kazanılmasını sağlamayı,
- Çalışanların ve kuruluş adına görev yapan kişilerin gizlilik ve bilgi güvenliği sorumluluklarını açıkça belirlemeyi; işe girişten görev değişikliği ve işten ayrılışa kadar uygun yetkilendirme, gizlilik, farkındalık, eğitim ve gerektiğinde disiplin süreçlerini uygulamayı,
- Bilgi güvenliği ve kişisel veri yönetimine ilişkin amaç ve hedefleri belirlemeyi; performansı uygun göstergelerle izlemeyi, iç tetkikler ve yönetimin gözden geçirmesi yoluyla sistemin uygunluğunu ve etkinliğini değerlendirmeyi,
- Bilgi güvenliği ve mahremiyet yönetim sisteminin etkin işletilmesi için gerekli kaynakları sağlamayı, görev ve yetkileri tanımlamayı, değişiklikleri kontrollü şekilde yönetmeyi ve yönetim sistemini sürekli iyileştirmeyi,
- Müşteri, çalışan, tedarikçi, iş ortağı ve diğer ilgili tarafların bilgi güvenliği ve kişisel veri koruma beklentilerini dikkate almayı; ulusal ve uluslararası yasal yükümlülüklere, düzenleyici gerekliliklere, sözleşmelere ve kuruluşun kabul ettiği standartlara uyum sağlamayı.
Bu politika, kuruluş genelinde uygulanır; çalışanlar ve ilgili taraflar için erişilebilir tutulur, ihtiyaç halinde ve yönetim sistemi değişiklikleri doğrultusunda gözden geçirilerek güncellenir.