Verilerin sınıflandırılması, erişim yetkilendirmesi, şifreleme, yedekleme ve olay müdahalesine ilişkin esaslarımız.
Bu politika, Loyaltfy tarafından işlenen bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak amacıyla uygulanan esasları tanımlar. Kapsam; platform altyapısını, çalışanlarımızı, iş ortaklarımızı, tedarikçilerimizi ve müşterilerimize sunulan hizmetler kapsamında işlenen tüm verileri içerir.
Bilgi güvenliği yaklaşımımız; en az yetki, bilmesi gereken prensibi, veri minimizasyonu, tasarımdan itibaren mahremiyet ve katmanlı savunma ilkelerine dayanır. Ürünümüzün yüz tanıma yapmaması ve ölçümlerin anonim olması, bu ilkelerin ürün tasarımındaki doğrudan karşılığıdır. Süreçlerimizi 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili ikincil mevzuatın gereklerini ve yaygın kabul görmüş bilgi güvenliği yönetim standartlarının esaslarını temel alarak yürütürüz.
Veriler duyarlılık düzeyine göre sınıflandırılır ve her sınıf için farklı koruma önlemleri uygulanır. Genel bilgiler kamuya açıktır. İç kullanım verileri yalnızca kurum içinde paylaşılır. Gizli veriler; müşteri sözleşmeleri, ticari bilgiler ve operasyonel kayıtlar gibi yetkili personelle sınırlı verilerdir. Kritik veriler ise kimlik doğrulama bilgilerini, erişim anahtarlarını ve müşteri sistemlerine ilişkin yapılandırma bilgilerini kapsar. Analiz ürünümüzün ürettiği ölçüm sonuçları anonim istatistiklerdir ve kişi kimliğine bağlanamaz.
Sistemlere erişim, görev tanımına dayalı olarak ve yalnızca işin gerektirdiği asgari düzeyde verilir. Her kullanıcı kendi hesabıyla işlem yapar; paylaşılan hesap kullanımı kabul edilmez. Yönetimsel erişimler ayrı yetkilerle tanımlanır ve çok faktörlü kimlik doğrulama uygulanır. Görev değişikliği veya işten ayrılma durumunda erişimler gecikmeksizin güncellenir ya da kapatılır. Yetki listeleri düzenli aralıklarla gözden geçirilir.
Verilerin iletiminde güncel şifreleme protokolleri kullanılır; yönetim paneline ve API uç noktalarına erişim yalnızca şifreli bağlantı üzerinden sağlanır. Depolanan hassas veriler için şifreleme uygulanır, parolalar geri döndürülemez özet algoritmalarıyla saklanır. Erişim anahtarları kullanıcı bazında üretilir, kapsamı sınırlandırılır ve gerektiğinde iptal edilir.
Kritik veriler düzenli olarak yedeklenir. Yedekler ana sistemden ayrı ortamda ve şifreli biçimde tutulur. Geri yükleme süreçleri belirli aralıklarla test edilir; yalnızca yedek almak değil, yedeğin geri dönebildiğini doğrulamak da sürecin parçasıdır. Hizmet kesintisi ihtimaline karşı kurtarma önceliklerini ve sorumlularını tanımlayan bir iş sürekliliği planı bulunur.
Sistem ve uygulama kayıtları tutulur; oturum açma girişimleri, yetki değişiklikleri ve kritik işlemler kayıt altına alınır. Kayıtlar yetkisiz değişikliğe karşı korunur ve olağan dışı durumların tespiti amacıyla incelenir.
Kullanılan bileşenler ve bağımlılıklar güncel tutulur; yayımlanan güvenlik yamaları önceliklendirilerek uygulanır. Yeni geliştirmeler devreye alınmadan önce güvenlik gözden geçirmesinden geçirilir. Tespit edilen açıklar risk düzeyine göre sıralanır ve giderilme süreci takip edilir.
Bir güvenlik olayı şüphesi doğduğunda tanımlı müdahale süreci işletilir: olayın tespiti ve kayda alınması, etkinin sınırlandırılması, kök nedenin araştırılması, sistemlerin güvenli duruma getirilmesi ve olay sonrası değerlendirme. Kişisel veri ihlali söz konusu olduğunda mevzuatın öngördüğü bildirim yükümlülükleri ilgili kişilere ve yetkili kuruma karşı yerine getirilir. Etkilenen müşterilerimiz süreç boyunca bilgilendirilir.
Hizmet aldığımız altyapı ve yazılım sağlayıcıları, güvenlik uygulamaları ve veri işleme koşulları açısından değerlendirilir. Kişisel veri işlenmesini gerektiren ilişkilerde veri işleme şartları sözleşme ile düzenlenir. Tedarikçilere verilen erişimler asgari düzeyde tutulur ve ilişkinin sona ermesiyle birlikte kapatılır.
Çalışanlarımız işe başlangıçta ve düzenli aralıklarla bilgi güvenliği ve kişisel verilerin korunması konusunda bilgilendirilir. Tüm çalışanlar gizlilik yükümlülüğü altındadır. Cihaz kullanımı, parola yönetimi, oltalama girişimlerinin tanınması ve şüpheli durumların bildirilmesi bu bilgilendirmenin kapsamındadır.
Müşteri mekânlarındaki kamera akışlarına erişim, yalnızca hizmetin gerektirdiği kapsamda ve müşterinin onayladığı yapılandırma ile sağlanır. Ürün biyometrik şablon üretmez, yüz tanıma yapmaz ve kişileri kimliklendirmez; çıktılar sayı, süre ve yoğunluk gibi anonim ölçümlerden oluşur. Bu tasarım tercihi, müşterilerimizin kendi uyum yükümlülüklerini de kolaylaştırır.
Bu politika; teknolojik değişiklikler, mevzuat güncellemeleri ve operasyonel ihtiyaçlar doğrultusunda düzenli olarak gözden geçirilir ve güncellenir. Güncel sürüm her zaman bu sayfada yayımlanır.
Bilgi güvenliğine ilişkin sorularınız, denetim talepleriniz veya şüpheli bir durumun bildirimi için info@loyaltfy.com adresine yazabilir, 0850 840 80 45 numarasından bize ulaşabilir ya da Fenerbahçe Mah. İğrip Sk. No: 13/1 Kadıköy / İstanbul adresindeki ofisimize başvurabilirsiniz.
Mevcut kameralarınızla çalışır. Kurulum 3–7 iş günü sürer.