1 - GİZLİLİK VE KİŞİSEL VERİLERİN KORUNMASI POLİTİKASININ KAPSAM VE AMACI

Veri işleme faaliyetine bağlı olarak aşağıda belirtilen durumlarda veri sorumlusu veya veri işleyen sıfatıyla Craftgate Teknoloji Anonim Şirketi (“Şirket”) olarak, kişisel verilerin işlenmesi, aktarılması, muhafaza edilmesi, silinmesi, yok edilmesi, imha edilmesi, anonim hale getirilmesi ve belirtilen hususlarda aydınlatma yükümlülüğünün yerine getirilmesiyle ilgili bütün süreçlerde 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve ilgili ikincil mevzuatlarla belirlenen ilkelere ve sınırlara bağlı kalmaktayız.

İşbu Gizlilik ve Kişisel Verilerin Korunması Politikası (“Politika”), Kanun’a ve ilgili ikincil mevzuata uygun bir şekilde düzenlenmiş olup, kişisel verisi işlenen gerçek kişilerin (“ilgili kişi”) erişimine sunulmaktadır.

• Kişisel verileri hangi yöntemlerle topladığı
• Kişisel verisini işlediği veri grupları (İlgili Kişi Kategorileri)
• Hangi tür kişisel verileri işlediği (Veri Kategorileri)
• İşlediği kişisel verilerin kullanım amaçları
• Kişisel verilerin güvenliğini sağlamak amacıyla aldığı teknik ve idari güvenlik tedbirleri
• Kişisel verileri kimlere hangi amaçlarla aktarabileceği
• İşlediği kişisel verilerin saklama ve imha süreleri
• İlgili kişilerin, kişisel verileri üzerindeki hakları ve bu hakları nasıl kullanabilecekleri

detaylı şekilde anlatılmaktadır.

2 - KİŞİSEL VERİLERİ TOPLAMA YÖNTEMLERİ VE HUKUKİ SEBEPLERİ

Şirket, kişisel verileri e-posta, posta, çerezler, internet sitesi, idari ve adli makamlardan gelen tebligatlar, sosyal medya hesapları ve sair iletişim kanalları aracılığıyla görsel, işitsel, elektronik veya yazılı olarak, iş başvuruları esnasında internet üzerinden veya kağıt ortamında, mevzuatın gerektirdiği hallerde veri sahiplerinden bizzat toplamakta ve gerektiği yerde ilgili kişilerin açık rızalarını alarak, açık rıza alınmasının gerekmediği hallerde ise aydınlatma yükümlülüğünü yerine getirerek ve her halükarda Kanun’un 4 üncü maddesinde yer alan genel ilkeleri gözeterek işlemektedir.
Şirket tarafından kişisel veriler, ilgili kişilerin açık rızası, kanunlarda açıkça öngörülmüş olma, sözleşmenin kurulması ve ifasıyla doğrudan ilgili olma, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olma, ilgili kişinin kendisi tarafından alenileştirilmiş olma, bir hakkın tesisi, kullanılması veya korunması için veri işlenmesinin zorunlu olması ve veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hukuki sebepleriyle işlenmektedir.

Şirket tarafından özel nitelikli kişisel veriler ise kanunlarda açıkça öngörülme, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hukuki sebepleriyle işlenmektedir.

3 - İLGİLİ KİŞİ KATEGORİLERİ

Şirket, aşağıdaki kişi gruplarının kişisel verilerini işlemektedir.

• Çalışan Adayı
• Çalışan, Eski Çalışan
• Hissedar/Ortaklar
• İş Ortağı / Tedarikçi İmza Yetkilisi
• İş Ortağı/ Tedarikçi Çalışanı
• Üye İşyeri Panel Yetkilisi
• Üye İşyeri İmza Yetkilisi
• Üye İşyeri Müşterisi (Üye İşyerinin hizmetlerinden yararlanan gerçek/tüzel kişiler)
• Web sitesi ziyaretçisi
• Potansiyel ürün/hizmet alıcısı

4 - İLGİLİ KİŞİ KATEGORİLERİ

Şirket tarafından, yukarıda belirtilen ilgili kişi gruplarının aşağıdaki tabloda belirtilen kişisel verileri işlenmektedir.

5 - KİŞİSEL VERİLERİN KULLANIM AMAÇLARI

Kişisel veriler, Şirket tarafından faaliyet konusu doğrultusunda aşağıdaki örnek genel amaçlar ile kullanılmaktadır:

· Şirket tarafından sunulan ödeme orkestrasyonu ve diğer bağlı hizmetler kapsamında;

• Üye işyerleri tarafından ödeme hizmeti sağlayıcılarına ödeme isteğinin iletilmesi
• Ödeme hizmeti sağlayıcıları tarafından ödeme isteğine gönderilen yanıtın üye işyerlerine iletilmesi
• Ödeme işlemlerinin başarı durumlarının üye işyerleri tarafından takip edilmesi
• Ödeme iptal/iade işlemlerinin gerçekleştirilmesi için gerekli bilgilerin üye işyerlerine aktarılması
• Ödeme analiz/raporlama hizmetinin verilmesi
• Talep halinde kart bilgilerinin saklanması
• Talep halinde fraud yönetimi hizmeti kapsamında üye işyerinin belirlediği parametreler çerçevesinde üye işyerine uyarı mesajlarının iletilmesi
• Talep halinde alışveriş kredisi hizmeti kapsamında üye işyerinin findeks sorgulaması yapması için gerekli bilgilerin işlenmesi
• Talep halinde anında havale hizmeti kapsamında para gönderimi işleminin gerçekleştirilmesi
• Talep halinde hesap hareketi izleme hizmeti çerçevesinde para gönderimi işlemlerinin görüntülenmesi vb.

Veri kategorilerine göre detaylı veri işleme amaçları ise aşağıda belirtilmiştir:

6 - KİŞİSEL VERİLERİN AKTARILDIĞI KAMU KURUM VE KURULUŞLARI
İLE RESMİ MAKAMLAR VE AKTARIM AMAÇLARI

7 - KİŞİSEL VERİLERİN AKTARILDIĞI ÖZEL HUKUK GERÇEK/TÜZEL KİŞİLERİ VE AKTARIM AMAÇLARI

Şirket, kişisel verileri yalnızca işbu Politika’da belirtilen amaçlar doğrultusunda, üçüncü kişilere ve kurumlara aktarmaktadır.
Aktarıma konu olan kişisel veriler, gerekli teknik ve idari tedbirler alınarak, ilgili üçüncü kişinin sunduğu güvenli ortam ve kanallar aracılığıyla gerçekleşmektedir. Dahası aktarım yapılan üçüncü kişiler ile ek protokoller imza edilerek aktarılan kişisel veriler hukuki olarak da korunmaktadır.
Bu kapsamda aşağıda belirtildiği şekilde kişisel veri aktarımları gerçekleştirilmektedir.

8 - KİŞİSEL VERİLERİN GÜVENLİĞİNİ SAĞLAMAK AMACIYLA ALINAN TEKNİK VE İDARİ TEDBİRLER

Şirket, kişisel verilerinizin gizliliği, bütünlüğü ve güvenliğinin sağlanması için gerekli özeni göstermekte ve gerekli teknik ve idari tedbirleri almaktadır. Bu kapsamda, kişisel verilerin hatalı kullanımını, hukuka aykırı olarak işlenmesini, kişisel verilere yetkisiz erişimi, verilerin ifşa edilmesini, değiştirilmesini veya imha edilmesini engellemek için aşağıda belirtilen önlemleri alır.

Anti-Virus: Şirket’in bilgi teknolojileri altyapısında bulunan tüm bilgisayar ve sunucularda her ay periyodik olarak güncellenen anti-virüs uygulaması yüklüdür.
Firewall: Şirkette tüm PC tabanlı bilgisayarlarda Firewall açıktır. Yeni nesil firewalllar tüm personellerin internet bağlantılarını kontrol etmekte ve bu kontrol sırasında virüs ve benzeri tehditlere karşı koruma sağlamaktadır.
VPN: Çalışanların ve gerekli görüldüğü takdirde tedarikçilerin uzaktan bağlanması için kriptolu tünellerle ve VPN gibi özel ağlar ile gerçekleştirilir.
SSL: Kurumsal internet sayfasında iletişim ve bilgi güvenliğini sağlamak amacı ile SSL Secure Sockets Layer (Güvenli Giriş Katmanı) sertifikası bulunmaktadır.
Kullanıcı Tanımlamaları ve Yetki Matrisi: Şirket çalışanlarının, Şirket sistemlerindeki yetkileri sadece iş tanımları ile gerekli olduğu ölçüde sınırlandırılmış olup, herhangi bir yetki ve görev değişikliği söz konusu olması durumunda yetkiler derhal sonlandırılmaktadır.
Bilgi Güvenliği Tehdit ve Olay Yönetimi: Şirket sunucularında ve Firewallarında meydana gelen ihlaller veya tespit edilen riskler analiz edilerek Bilgi Güvenliği Yönetim Temsilcisi & Bilgi Güvenliği Ekibi tarafından ilgili risk değerlendirilerek alınacak önlemler belirlenir. Bilgi güvenliği ihlal durumunda ise Bilgi Güvenliği Yönetim Temsilcisi bilgisi dahilinde Olay İhlal Formu düzenlenir. İhlal, personelden kaynaklanıyorsa Disiplin Prosedürüne göre hareket edilir. İhlal bir yazılım veya donanımın hatasından kaynaklanıyor ise teknik rapor düzenlenerek yönetime sunulur. İhlal 3. şahıslardan kaynaklanıyorsa gerekli tespitler yapılarak yönetime raporlanır.
Sızma Testi: Periyodik olarak Şirket sistemindeki sunuculara, bilgisayarlarına sızma testi manuel olarak tedarikçi bir firma tarafından yapılmaktadır. Bu test sonucunda oluşan güvenlik açıkları kapatılarak, ilgili güvenlik açıklarının kapatıldığına dair doğrulama testi yapılmaktadır.
Bilgi Güvenliği Yönetim Sistemi (“BYGS”): Şirket bünyesinde oluşturulan BGYS toplantılarında kontrol forumda yer alan başlıklar aylık olarak CTO tarafından denetlenmektedir.
Çalışanlara Eğitim Verilmesi ve Farkındalığın Arttırılması: Şirket çalışanlarının çeşitli bilgi güvenliği ihlallerine karşı farkındalıklarını artırmak ve bilgi ihlali olaylarında insan faktörünün etkisini en aza indirmek için çalışanlara düzenli aralıklarla bilgi güvenliği hususunda hatırlatmalar yapılarak eğitimler verilmektedir. Şirket sistem kullanıcılarının farkındalığını artırmak için düzenli olarak kullanıcılara gönderilmektedir. Çıkan sonuçlara göre kullanıcılara gerekirse tekrar hatırlatma ve uyarı yapılmaktadır. Ayrıca işe başlayan her çalışana PCI DSS kapsamında bilgi güvenliğine ilişkin dokümanlar ve bilgi güvenliği eğitim sunumu mail yoluyla iletilmekte ve okunup anlaşıldığına dair teyit alınmaktadır.
Temiz Masa Prensibi: Şirket çalışanları, şirket iç kuralları uyarınca temiz masa prensibine uymakla yükümlüdür.
Diğer: Şirket web sitemizde kişisel verilerin alındığı tüm alanlar SSL ile korunmaktadır.
Fiziki Güvenlik: Kağıt ortamındaki kişisel verilerin mutlaka kilitli dolaplarda muhafaza edilmesini ve sadece yetkili kişiler tarafından erişilmesini sağlamaktayız.
Çerezler: Şirket resmi internet sitesinde ziyaretçilerin siteye girdiği an erişebileceği Çerez Aydınlatma Metni ve Çerez Ayarları ile kişisel verilerin hukuka uygun bir şekilde işlenmesi sağlanmaktadır.
İhlal Bildirimi: Şirket tarafından gerekli teknik ve idari bilgi güvenliği tedbirlerinin alınmasına rağmen, Şirket tarafından işletilen online platformlara veya Şirket sistemine yapılan saldırılar sonucunda kişisel verilerin zarar görmesi veya yetkisiz üçüncü kişilerin eline geçmesi durumunda, Şirket bu durumu derhal sizlere ve Kişisel Verileri Koruma Kurulu’na bildirir ve ihlalin sonuçlarını en aza indirmek için gerekli önlemleri alır.

9 - KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ VE İMHA KOŞULLARI

Şirket, işlediği kişisel verileri ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süreler boyunca mevzuat ile uyumlu olarak muhafaza eder. Bu süreler aşağıdaki tabloda belirtilmiştir:

Şirket, iş süreçleri kapsamında fiziki, elektronik, web sitesi, e-posta, sosyal medya gibi kanallardan toplayarak işlediği kişisel verileri, Kanun’un 7. ve 17. maddeleri ve Türk Ceza Kanunu Madde 138 uyarınca, ilgili kanunların veya ikincil mevzuatın öngördüğü süreler ve/veya işleme amacının gerekli kıldığı süreler boyunca saklamaktadır. Bu sürelerin sona ermesi durumunda ise Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi uyarınca silmekte, yok etmekte veya anonim hale getirmektedir. Şirket tarafından periyodik imha süresi 6 ay olarak belirlenmiştir.
Şirket tarafından kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini; kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir. Kişisel verilerin anonim hale getirilmesi ise, bu verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir.
Şirket, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca hazırladığı Kişisel Verilerin Saklanması ve İmhası Politikası kapsamında silme, yok etme ve anonim hale getirmeye ilişkin yöntemleri ve aldığı teknik ve idari tedbirleri ayrıntılı olarak açıklamaktadır.

10 - İLGİLİ KİŞİLERİN HAKLARI VE BU HAKLARIN KULLANIMI

Kişisel veri sahibi ilgili kişiler, Kanun’un 11. maddesi uyarınca aşağıda sayılan haklara sahiptir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
• Kişisel verilerin silinmesini veya yok edilmesini isteme
• Kişisel verilerinin düzeltilmesi, silinmesi ya da yok edilmesi halinde bu durumun kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme

internet sitesinden erişebileceğiniz "Başvuru Formu"nu doldurup;

• Merdivenköy Mh. Bora Sk. No:1 K:10 D:35 Nidakule Göztepe, Kadıköy/İstanbul adresine bizzat getirebilir,
• Belirtilen adrese, ıslak imzalı olarak posta yoluyla gönderebilir,
• legal@craftgate.io adresine elektronik posta aracılığıyla iletebilirsiniz.