Gizlilik ve Bilgi Güvenliği Politikası

1. Amaç ve kapsam

Bu politika, Uluova İşletme Sistemi ve bağlantılı iş süreçlerinde bulunan kişisel veriler, ticari sırlar, üretim/kalite kayıtları, finansal bilgiler, sözleşmeler ve diğer kurumsal bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korur. Sistemi kullanan herkes bu kurallara uymakla yükümlüdür.

2. Erişim ve yetki ilkeleri

• Erişimler en az yetki, görev gerekliliği, görevlerin ayrılığı ve bilmesi gereken prensiplerine göre verilir.
• Organizasyon, departman, rol ve kayıt kapsamı kontrolleri sunucu tarafında uygulanır; arayüzde bir alanın görünmesi tek başına erişim yetkisi oluşturmaz.
• Hassas işlemler gerekli olduğunda ikinci göz, onay, gerekçe, süreli yetki ve yeniden kimlik doğrulama kontrollerine tabidir.
• Yetkiler iş değişikliği, görevden ayrılma, risk veya ihtiyaç sona erdiğinde gecikmeksizin kaldırılır; periyodik olarak gözden geçirilir.

3. Teknik ve idari güvenlik

• İletişim kanalları şifrelenir; desteklenen hassas alanlar güçlü algoritmalar ve anahtar yönetimiyle saklanır.
• Parolalar geri döndürülemez biçimde özetlenir; oturumlar süre, güvenli çerez ve iptal kontrollerine tabidir.
• Hassas veriler ihtiyaca göre maskelenir; dışa aktarımlar ve toplu işlemler ayrıca kaydedilir.
• Yedekleme, geri yükleme, zafiyet yönetimi, güvenlik güncellemeleri, olay izleme ve iş sürekliliği kontrolleri uygulanır.
• Hizmet sağlayıcılar yalnızca talimatla işlem yapar ve sözleşmesel gizlilik/güvenlik yükümlülüklerine tabi tutulur.

4. Denetim izi ve izleme

Girişler, başarısız erişimler, yetki değişiklikleri, hassas görüntülemeler, dışa aktarımlar, onaylar, kayıt oluşturma/değiştirme/arşivleme ve güvenlik olayları; kullanıcı, zaman, kapsam ve işlem bilgileriyle kaydedilebilir. Kayıtlar yalnızca güvenlik, denetim, hukuki yükümlülük ve hakların korunması amaçlarıyla, yetkili kişilerce incelenir.

Çalışanların sistem kullanımı gizli veya ölçüsüz biçimde izlenmez. İzleme; belirli, meşru ve açıklanmış amaçlarla sınırlı, gerekli ve orantılı yürütülür.

5. Kullanıcı yükümlülükleri

• Hesap, parola, doğrulama kodu ve oturum bilgileri başkalarıyla paylaşılmaz; ortak hesap kullanılmaz.
• Yalnızca görev için gerekli veriye erişilir; merak, kişisel çıkar veya yetkisiz üçüncü kişi yararı için sorgu yapılamaz.
• Kayıtlar doğru, güncel, ölçülü ve kaynağı belirli biçimde girilir; belge ve dosyalarda gereksiz kişisel veri bulundurulmaz.
• Veriler kişisel e-posta, yetkisiz bulut, harici bellek, mesajlaşma uygulaması veya onaysız yapay zekâ hizmetine aktarılamaz.
• Şüpheli e-posta, yanlış alıcı, kayıp cihaz, yetkisiz erişim, veri sızıntısı veya hatalı paylaşım derhal sistem yöneticisi ve ilgili güvenlik kanalına bildirilir.

6. Analiz ve otomatik kararlar

Sistem risk, tahmin veya öneri üretebilir. Hukuki, mali, istihdama ilişkin veya kişiyi önemli ölçüde etkileyen kararlar yalnızca model çıktısına dayanılarak kesinleştirilmez; yetkili insan incelemesi, gerekçe ve itiraz olanağı sağlanır. Modelin veri kapsamı ve güven düzeyi karar verene gösterilir.

7. Olay yönetimi ve bildirim

Gizlilik veya güvenlik ihlali şüphesinde erişim sınırlandırılır, deliller korunur, etki ve kapsam belirlenir, düzeltici faaliyet başlatılır. Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespiti hâlinde ilgili kişiler ve Kişisel Verileri Koruma Kurulu mevzuata uygun ve mümkün olan en kısa sürede bilgilendirilir.

8. Saklama ve politika yönetimi

Veriler, erişim ve denetim kayıtları tanımlı saklama planına göre korunur; süresi dolan kayıtlar hukuki muhafaza yoksa güvenli biçimde imha edilir. Politika değişiklikleri sürümlenir, önceki sürümler ve kullanıcı kabul kayıtları saklanır. Kişiyi veya kullanım şartlarını esaslı etkileyen değişikliklerde yeniden bildirim veya kabul alınır.