Bilgi Güvenliği Politikası

1. Amaç

İşbu Bilgi Güvenliği Politikası; ElpaFix bünyesinde işlenen müşteri, çalışan, tedarikçi ve iş ortağı bilgilerinin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak; yenilenmiş cihaz süreçlerinde müşteri verilerinin güvenli şekilde silinmesini ve işlenmesini güvence altına almak amacıyla hazırlanmıştır.

2. Kapsam

Politika; ElpaFix'in tüm çalışanlarını, staûyerlerini, alt yüklenicilerini, tedarikçilerini ve şirket bilgi sistemlerine erişen tüm tarafları; e-ticaret altyapısı, teknik servis sistemleri, mağaza satış noktaları, fiziksel arşivler ve bulut hizmetleri dahil tüm bilgi varlıklarını kapsar.

3. Temel İlkeler

  • Gizlilik: Bilgiye yalnızca yetkili kişilerin erişmesi sağlanır.
  • Bütünlük: Bilginin doğruluğu ve eksiksizliği korunur; yetkisiz değişiklikler engellenir.
  • Erişilebilirlik: Bilgiye yetkili kişilerce ihtiyaç duyulduğunda erişilebilmesi sağlanır.
  • Bilinmesi Gereken Prensibi: Çalışanlara yalnızca görevlerini yerine getirmek için gereken asgari yetki verilir.

4. Erişim Yönetimi

  • Tüm sistemlere erişim kişiye özel kullanıcı hesabı ile sağlanır; hesap paylaşımı yasaktır.
  • Kritik sistemlerde çok faktörlü kimlik doğrulama (MFA) uygulanır.
  • Şifreler karmaşıklık kurallarına tabidir ve düzenli aralıklarla değiştirilir.
  • İşe giriş, görev değişikliği ve işden ayrılış durumlarında erişim yetkileri derhal güncellenir veya kaldırılır.
  • Erişim yetkileri periyodik olarak gözden geçirilir.

5. Cihaz Veri Güvenliği (Yenileme Süreci)

ElpaFix'e satılan, takasa verilen veya servise bırakılan her cihazda:

  • Cihaz teslim alınır alınmaz kayıt altına alınır ve kilitli alana konur.
  • Yenileme sürecinde sertifikalı veri silme uygulanır; veriler kurtarılamayacak şekilde imha edilir.
  • Talep halinde cihaz bazında veri silme raporu müşteriye iletilir.
  • Kurumsal müşteri projelerinde silme süreci seri numarası bazında raporlanır.
  • Teknik personel, cihaz içeriğini görüntülememe ve kopyalamama yükümlülüğü altındadır; ihlali iş akdinin feshi sebebidir.

6. Teknik Tedbirler

  • Güvenlik duvarı, antıvirüs ve zararlı yazılım koruma çözümleri
  • Tüm web trafiğinde SSL/TLS şifreleme
  • Düzenli yedekleme ve yedekten geri dönme testleri
  • Sistem ve uygulama güncellemelerinin zamanında uygulanması
  • Log kayıtlarının tutulması ve düzenli incelenmesi
  • Ödeme işlemlerinde PCI-DSS uyumlu ödeme kuruluşları kullanılması; kart bilgilerinin Şirket sistemlerinde saklanmaması

7. İdari Tedbirler

  • Tüm çalışanlarla gizlilik taahhütnamesi imzalanır.
  • Düzenli bilgi güvenliği ve KVKK farkındalık eğitimleri verilir.
  • Tedarikçi ve iş ortaklarıyla veri işleyen sözleşmeleri akdedilir.
  • Temiz masa ve temiz ekran prensibi uygulanır.
  • Fiziksel arşivler kilitli dolaplarda saklanır.

8. İhlal Yönetimi

Bilgi güvenliği ihlali şüphesi oluştuğunda durum derhal Bilgi Güvenliği Sorumlusu'na bildirilir. İhlal doğrulanırsa etkilenen sistemler izole edilir, kayıp/etki analizi yapılır ve gerekli iyileştirmeler uygulanır. Kişisel veri ihlali söz konusu ise KVKK'nın 12. maddesi uyarınca en kısa sürede ve her halde 72 saat içinde Kişisel Verileri Koruma Kurulu'na, ayrıca ilgili kişilere bildirim yapılır.

9. Sorumluluklar

Bilgi güvenliği tüm çalışanların ortak sorumluluğudur. Üst yönetim gerekli kaynakları sağlamakla, Bilgi Güvenliği Ekibi politikanın uygulanmasını denetlemekle, tüm çalışanlar ise politikaya uymakla yükümlüdür. Politikaya aykırılık disiplin sürecine konu edilir.

10. Gözden Geçirme

İşbu Politika yılda en az bir kez ve önemli değişiklik durumlarında gözden geçirilir. Sorularınız için: info@elpafix.com