Gizlilik ve Kişisel Verilerin Korunması Politikası

Bu Gizlilik ve Kişisel Verilerin Korunması Politikası ("Politika"), Yonetior ("Yonetior", "biz" veya "Şirket") tarafından sunulan yonetior.com alan adlı web sitesi ve Yonetior Ofis ve İş Süreci Yönetim Platformu ("Platform" veya "Hizmetler") kapsamında kişisel verilerin nasıl toplandığını, işlendiğini, saklandığını, aktarıldığını ve korunduğunu açıklamak amacıyla hazırlanmıştır.

Bu Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK"), Avrupa Birliği Genel Veri Koruma Tüzüğü ("GDPR" - (AB) 2016/679) ve ilgili ikincil mevzuat hükümleri çerçevesinde düzenlenmiştir.

Politika, Yonetior'un sunduğu SaaS hizmetleri kapsamında işlenen tüm kişisel verileri kapsar ve Platform'u kullanan tüm gerçek kişiler ("Kullanıcılar" veya "İlgili Kişiler") ile kurumsal aboneler ("Müşteriler") için geçerlidir.

Bu Politika'da kullanılan terimler aşağıdaki anlamları taşır:

• Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
• Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
• Alt İşleyen (Sub-Processor): Veri İşleyen adına kişisel verileri işleyen üçüncü taraf hizmet sağlayıcı.
• İlgili Kişi (Veri Sahibi): Kişisel verisi işlenen gerçek kişi.
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleri, biyometrik ve genetik verileri ifade eder.
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
• Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Yonetior, kişisel verilerin işlenmesinde aşağıdaki temel ilkelere bağlı kalır:

• Hukuka ve dürüstlük kurallarına uygunluk: Tüm veri işleme faaliyetleri yasal çerçevede ve dürüstlük kurallarına uygun olarak yürütülür.
• Doğruluk ve güncellik: İşlenen kişisel verilerin doğru ve güncel olması sağlanır.
• Belirli, açık ve meşru amaçlarla işleme: Veriler, önceden belirlenen ve meşru amaçlar doğrultusunda işlenir.
• Amaçla bağlantılı, sınırlı ve ölçülü olma: Toplanan veriler, işleme amacıyla orantılı ve sınırlıdır.
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Veriler, yasal saklama sürelerinin veya işleme amacının gerektirdiği sürenin sonunda silinir, yok edilir veya anonim hale getirilir.

Yonetior, sunduğu hizmetlerin niteliğine göre farklı roller üstlenir:

• Veri Sorumlusu olarak Yonetior: Platform'a kayıt, hesap yönetimi, faturalama, pazarlama iletişimi ve web sitesi analitiği gibi faaliyetlerde Yonetior veri sorumlusu sıfatıyla hareket eder. Bu kapsamda toplanan veriler (kullanıcı adı, e-posta, ödeme bilgileri, kullanım verileri vb.) Yonetior tarafından belirlenen amaç ve vasıtalarla işlenir.
• Veri İşleyen olarak Yonetior: Müşterilerin (kurumsal abonelerin) kendi çalışanları, müvekkilleri veya danışanlarına ait kişisel verileri Platform üzerinden işlemesi durumunda, Yonetior veri işleyen sıfatıyla hareket eder. Bu veriler, Müşteri'nin (veri sorumlusu) talimatları doğrultusunda ve yalnızca hizmetin sunulması amacıyla işlenir.

Veri İşleyen sıfatıyla hareket ettiği durumlarda Yonetior, Müşteri ile ayrıca bir Veri İşleme Sözleşmesi (DPA) akdetmeye hazırdır.

Yonetior, hizmetlerinin doğası gereği özel nitelikli kişisel veri (sağlık, biyometrik, genetik veri, ceza mahkumiyeti vb.) işlemez ve bu tür verilerin Platform'a yüklenmesini talep etmez.

Ancak, Müşteriler'in Platform üzerinde saklayacağı belgeler veya notlar içinde özel nitelikli kişisel veri bulunması halinde, bu verilerin korunmasından veri sorumlusu sıfatıyla Müşteri sorumludur. Yonetior, bu verileri yalnızca Müşteri'nin talimatları doğrultusunda ve teknik altyapı hizmeti kapsamında işler.

Yonetior, kişisel verilerin güvenliğini sağlamak için aşağıdaki teknik ve idari tedbirleri uygulamaktadır:

• Şifreleme: Tüm veri iletimi TLS/SSL protokolü ile şifrelenir. Hassas veriler AES-256 standardında şifrelenerek saklanır.
• Erişim Kontrolü: Rol tabanlı erişim kontrolü (RBAC) uygulanır. Her kullanıcı yalnızca yetkili olduğu verilere erişebilir. Çok kiracılı (multi-tenant) mimaride her kuruluşun verileri izole edilir.
• Altyapı Güvenliği: Platform, güvenlik duvarı, DDoS koruması ve düzenli güvenlik taramaları ile korunan sunucularda barındırılır.
• Yedekleme: Düzenli otomatik yedekleme yapılır ve yedekler şifreli olarak saklanır.
• Günlük Kaydı ve İzleme: Sistem erişimleri ve kritik işlemler denetim günlükleri (audit log) ile kayıt altına alınır.
• Personel Güvenliği: Yonetior çalışanları gizlilik sözleşmeleri ile bağlıdır ve kişisel verilere erişim "bilmesi gereken" prensibiyle sınırlandırılmıştır.

Yurt İçi Aktarım: Kişisel veriler, KVKK'nın 8. maddesi kapsamında, hizmetin ifası ve hukuki yükümlülüklerin yerine getirilmesi amacıyla yurt içindeki iş ortaklarına ve yasal makamlara aktarılabilir.

Yurt Dışı Aktarım: Platform'un teknik altyapısı gereği kişisel veriler, KVKK'nın 9. maddesi ve GDPR'ın 46. maddesi uyarınca yurt dışına aktarılabilir. Bu aktarımlar; açık rıza, yeterli koruma kararı, standart sözleşme maddeleri (SCC) veya bağlayıcı kurumsal kurallar (BCR) gibi uygun güvencelere dayanır.

Kişisel veri güvenliğini etkileyen bir ihlal tespit edilmesi halinde:

• KVKK kapsamında Kişisel Verileri Koruma Kurulu'na ve ilgili kişilere en kısa sürede bildirim yapılır.
• GDPR kapsamında yetkili denetim otoritesine 72 saat içinde bildirim yapılır.
• İhlalden etkilenen kullanıcılara, ihlalin niteliği, olası sonuçları ve alınan önlemler hakkında gecikmeksizin bilgi verilir.

Kişisel veriler, işleme amacının gerektirdiği süre boyunca ve ilgili mevzuatın öngördüğü yasal saklama süreleri dahilinde muhafaza edilir.

• Hesap verileri: Hesap kapatıldıktan sonra 30 gün içinde silinir (yasal zorunluluklar saklıdır).
• Fatura ve muhasebe verileri: Vergi mevzuatı gereği 10 yıl saklanır.
• Kullanım verileri ve günlükler: En fazla 12 ay saklanır.
• Yedekler: Aktif verinin silinmesinin ardından en geç 90 gün içinde yedeklerden de kaldırılır.

Saklama süresi dolan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca periyodik olarak imha edilir.

İlgili kişiler, kişisel verilerine ilişkin taleplerini info@yonetior.com adresine yazılı olarak iletebilir. Yonetior, talepleri en geç 30 gün içinde ücretsiz olarak yanıtlar.

Kurumsal Müşteriler, veri işleme faaliyetlerinin bu Politika ve Veri İşleme Sözleşmesi'ne uygunluğunu denetleme hakkına sahiptir. Denetim talepleri makul süre öncesinde yazılı olarak bildirilmelidir.

KVKK'nın 11. maddesi ve GDPR'ın 15-22. maddeleri kapsamında aşağıdaki haklara sahipsiniz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme
• KVKK m.7 / GDPR m.17 kapsamında kişisel verilerinizin silinmesini veya yok edilmesini isteme
• Düzeltme ve silme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme
• Veri taşınabilirliği hakkı (GDPR m.20)
• İşlemeye itiraz hakkı (GDPR m.21)

Yonetior'un çerez kullanımına ilişkin detaylı bilgi için lütfen Çerez Politikası sayfamızı inceleyiniz. Çerez Politikası bu Gizlilik Politikası'nın ayrılmaz bir parçasıdır.