Veri Koruma Politikası

Amaç ve sorumluluk

Bu politika MAXLED AYDINLATMA SANAYİ VE TİCARET LİMİTED ŞİRKETİ bünyesinde web sitesi ve B2B işlemlerine ilişkin kişisel verilerin korunmasında uygulanacak esasları belirler. Politika bir ISO belgesi, bağımsız denetim sonucu veya her tedbirin teknik olarak eksiksiz uygulandığına ilişkin sertifika beyanı değildir. Veri sorumlusu, işleme faaliyetini ve uygun tedbirleri kendi sorumluluğunda değerlendirmekle yükümlüdür.

Veri işleyen hizmet sağlayıcı kullanılması Şirketin kanuni sorumluluğunu kaldırmaz. İş birimleri kendi faaliyetlerindeki verinin amacı, kaynağı, erişim yetkisi ve saklama ihtiyacını belirler; teknik ve idari sorumlular gerekli tedbirlerin uygulanmasını ve denetimini koordine eder.

İşleme ilkeleri

• Hukuka ve dürüstlüğe uygunluk: her faaliyet için geçerli hukuki sebep belirlenir; veri bir amaçla alınıp ilgisiz başka amaçta kullanılamaz.
• Doğruluk ve güncellik: iletişim, temsil ve hesap bilgileri gerektiğinde düzeltilir; yanlış cari eşlemesi veya yetki bildirimi geciktirilmeden değerlendirilir.
• Belirli ve meşru amaç: teklif, teslimat, fatura ve güvenlik süreçleri ayrı değerlendirilir; ölçüsüz izleme veya profilleme yapılmaması esastır.
• Veri minimizasyonu: gerekli alanlar ve belgelerle sınırlı işlem yapılır; kimlik belgesi kopyası ve hassas veri rutin form koşulu haline getirilmez.
• Süreyle sınırlılık: yasal zorunluluk ve işlemin gerçek ihtiyacı sona erdiğinde veri saklanmaz; uyuşmazlık nedeniyle tutulan sınırlı kayıt ayrıca gerekçelendirilir.

Erişim ve uygulama güvenliği

Erişimler göreve ve gerekli cari kapsamına göre tanımlanır; bayi hesaplarının başka işletmeye ait fiyat ve belgeye erişmemesi, personel kapsamının görevle sınırlı olması ve yönetici yetkisinin ayrı tutulması esastır. Yetki değişikliği, görevden ayrılma, şüpheli oturum ve yanlış hesap eşlemesi halinde erişim yeniden değerlendirilir.

Parola koruması, güvenli aktarım, güncel yazılım, erişim ve olay kayıtları, yedekleme ve geri dönüş yetkileri, hata ekranlarının bilgi sızdırmaması ve dosya erişiminin sınırlandırılması riskin niteliğine göre ele alınır. Yedek, dışa aktarma ve destek kopyalarında da veri koruma kuralları geçerlidir. Her logun sınırsız süreyle veya tam mesaj içeriğiyle tutulması gerekli kabul edilmez.

Tedarikçiler ve yurt dışı erişim

Hizmet sağlayıcılarla ilişkinin kapsamı; veri işleme talimatı, gizlilik, alt hizmet sağlayıcı kullanımı, güvenlik, ihlal bildirimi ve hizmet sonunda iade/imha yükümlülükleri yönünden değerlendirilir. Destek erişimi gerektiği kadar ve gerektiği süreyle sınırlandırılmalı; bağımsız amaçla kullanım ayrı hukuki şart olmadan yapılmamalıdır.

Yurt dışındaki sunucuda tutma veya dışarıdan erişim, yalnız hizmet sözleşmesi bulunduğu için kendiliğinden hukuka uygun sayılmaz. KVKK m.9 kapsamındaki işleme şartı, aktarım mekanizması ve gerektiğinde standart sözleşmenin bildirimi ayrıca yerine getirilir. Yeni bir entegrasyon devreye alınmadan önce alıcılar ve veri akışı gözden geçirilir.

Özel veriler ve otomatik değerlendirmeler

Sağlık, biyometrik veri, ceza mahkûmiyeti ve diğer özel nitelikli kişisel veriler genel portal işlemleri için toplanmaz. Böyle bir işleme zorunluluğu doğarsa güncel KVKK m.6, Kurulun yeterli önlem kararları, erişim sınırları ve ayrı aydınlatma esas alınır. Genel kullanım koşulu özel nitelikli veriler için toplu izin yerine geçmez.

Dijital asistan çıktıları bilgi ve işlem desteği sağlar; yanıta dayanarak kişiye karşı tek başına bağlayıcı kredi, hak kaybı veya benzeri olumsuz karar verilmemesi esastır. Yanlış bilgi veya otomatik sonuç itirazı yetkili personelce değerlendirilebilir. Ticari ve finansal sonuçlar ilgili kayıt ve belgelerle doğrulanır.

İhlal ve gözden geçirme

Şüpheli olaylarda yetkisiz erişimi sınırlama, delilleri koruma, etkilenen veri ve kişileri belirleme, zararı azaltma ve tekrarını önleme adımları yürütülür. Bildirime tabi veri ihlali öğrenildiğinde Kurula gecikmeksizin ve en geç 72 saat içinde bildirim yapılması; etkilenen kişilerin belirlenmesinden sonra onlara da makul olan en kısa sürede ulaşılması esastır. Gecikme varsa nedeni açıklanır. Bildirim yükümlülüğü, olayın sırf teknik ekip içinde çözülmesiyle ortadan kalkmaz.

Politika; yeni hizmetler, veri kategorileri, alıcılar veya mevzuat değişikliklerinde gözden geçirilir. İlgili kişi talepleri, gizlilik ve güvenlik bildirimleri info@maxled.com.tr üzerinden yönlendirilebilir. Bu politika somut veri işleme faaliyetinin ayrıca aydınlatılması gereğini ortadan kaldırmaz.