Gizlilik — En az yetki ilkesi.
Kullanıcılar ve personel yalnızca rolleri ile ilgili müşteri veya mevzuat işlemi için gerçekten ihtiyaç duydukları yetkilere sahip olmalıdır.
Güven, Veri ve Güvenlik
Veri ve Güvenlik Politikası
Bu sayfa, Beyoğlu Professional PPWR-EPR hizmetlerinde benimsediğimiz güvenlik ilkelerini, herkese açık web sitesi ile operasyonel uyum sistemlerini nasıl birbirinden ayırdığımızı ve güvenlik sorumluluklarının Beyoğlu, müşteriler ve altyapı sağlayıcıları arasında nasıl paylaşıldığını açıklar.
Güven, Veri ve Güvenlik
Güvenlik yaklaşımımız
Mevzuata uygunluğu gösteren kayıt ve belgeler, sıradan web içeriği değil, operasyonel iş verisidir. Üretici kimlikleri, ulusal kayıt bilgileri, ambalaj defterleri, beyannameler, ödeme kayıtları ve yasal yetkilendirmeler bir müşterinin belirli bir pazarda faaliyet gösterebilmesini doğrudan etkileyebilir. Bu nedenle gizlilik, bütünlük, erişilebilirlik, izlenebilirlik ve geri kazanılabilirliği birer pazarlama ifadesi değil, operasyonel gereklilik olarak ele alıyoruz.
1. Kurumsal sorumluluk
Güncel işletim bilgileri
| Başlık | Güncel durum |
|---|---|
| Hizmet markası | Beyoğlu Professional — PPWR-EPR Compliance Services |
| Mevcut işletme tüzel kişisi | THEMİR MEDYA İNŞAAT İTHALAT İHRACAT SANAYİ TİCARET ANONİM ŞİRKETİ |
| Mevcut merkez | İstanbul, Türkiye |
| Herkese açık web sitesi | Bulut nesne depolama ve CDN altyapısı üzerinden sunulan static-first web sitesi |
| Üretim uyum mimarisi | Herkese açık bilgi katmanından ayrı işletilir. Kimlik doğrulamalı uygulama, API, veri, ödeme ve kanıt hizmetleri gerektiğinde kendi çalışma zamanı ve depolama kontrollerini kullanır. Herkese açık web sitesinin güvenlik özellikleri, operasyonel sistemdeki her kontrolün statik site için de geçerli olduğu; ya da tersinin doğru olduğu anlamına gelmez. |
2. Güvenlik ilkeleri
Kontroller, pazarlama söylemine göre değil, gerçek riske göre seçilir.
Kontroller, pazarlama söylemine göre değil, gerçek riske göre seçilir.
Bütünlük — Sürümlenmiş uyum verisi.
Bir önceki beyannamenin dayandığı tarihsel veriyi ortadan kaldıracak şekilde önemli ambalaj veya mevzuat verileri sessizce üzerine yazılmamalıdır.
Erişilebilirlik — Yedekleme ve geri dönüş.
Üretim kayıtları, operasyonel ve mevzuata ilişkin önemleriyle orantılı biçimde yedeklenmeli ve geri yüklenebilir olmalıdır.
İzlenebilirlik — İşlem ve kanıt bağlantısı.
Önemli uyum işlemleri; kaynak veriye, hesaba, zamana, ülkeye ve ortaya çıkan kanıta bağlanabilmelidir.
Veri minimizasyonu — İş için gerekli olan kadar veri.
Varış ülkesi, koli ve SKU bilgisi uyum amacı için yeterliyse entegrasyonlar tüketici kimlik verisini toplamaktan kaçınmalıdır.
Gözden geçirme — Kontroller riskle birlikte gelişir.
Ülke sayısı, entegrasyonlar, müşteri hacmi ve ödeme operasyonları büyüdükçe güvenlik önlemleri yeniden değerlendirilmelidir.
3. GDPR Madde 32
Güvenlik önlemleri gerçek riskle orantılı olmalıdır.
GDPR'ın uygulandığı durumlarda Madde 32, veri sorumluları ve veri işleyenlerin riske uygun teknik ve organizasyonel önlemleri hayata geçirmesini ister. Bu değerlendirmede teknolojinin güncel seviyesi, uygulama maliyetleri, işlemenin niteliği, kapsamı, bağlamı ve amacı ile kişilerin hak ve özgürlükleri bakımından riskin olasılığı ve ağırlığı dikkate alınır.
Uygun olduğu ölçüde şifreleme ve takma adlandırma, gizlilik, bütünlük, erişilebilirlik ve dayanıklılığı destekleyen önlemler, geri kazanım kabiliyeti ve güvenlik önlemlerinin düzenli olarak test edilip değerlendirilmesi bu kapsama girebilir.
Beyoğlu, gerçekten uygulanmış veya belgelendirilebilir olmadığı sürece bir ISO sertifikasını, şifreleme algoritmasını ya da güvenlik standardını pazarlama iddiası olarak kullanmaz.
4. Kimlik ve erişim
Bir uyum dosyasına erişim müşterinin organizasyon yapısını izlemelidir.
Bir uyum dosyasına erişim, müşterinin organizasyon yapısına ve kullanıcının yetkili rolüne uygun olmalıdır.
Üretim hesap mimarisi, hizmetin niteliğine uygun kimlik doğrulamalı hesaplar ve rol bazlı yetkilendirme kullanacak şekilde tasarlanır.
Müşteri yöneticileri hesapların yetkisiz kişilerle paylaşılmamasından ve görevden ayrılan ya da rolü değişen kişilerin erişiminin kaldırılmasından sorumludur. Hesabın ele geçirildiğinden, kötüye kullanımdan veya yetkisiz erişimden şüphe edilirse Beyoğlu ilgili kimlik bilgilerini askıya alabilir veya iptal edebilir.
5. API güvenliği
Bir uyum API'si müşterinin müşteri veri tabanının gereksiz bir kopyasına dönüşmemelidir.
Bir uyum API'si, müşterinin müşteri veri tabanının gereksiz bir kopyasına dönüşmemelidir.
Entegrasyonlar yalnızca uyum işlemi için gerekli olan asgari yapılandırılmış veriyi aktarmalıdır. Tipik veri alanları; satıcı tanımlayıcısı, sipariş veya sevkiyat referansı, varış Üye Devleti, SKU, adet, koli sayısı, fulfillment rotası, sevkiyat olayı ve iade veya iptal durumu olabilir.
Uyum amacı tüketici adı, kişisel telefon numarası, kişisel e-posta adresi veya tam teslimat adresi olmadan yerine getirilebiliyorsa bu veriler aktarılmamalıdır.
API kimlik bilgileri gizli bilgi olarak ele alınmalı, herkese açık istemci kodunun dışında saklanmalı ve ele geçirilme şüphesinde döndürülmeli veya iptal edilmelidir.
6. Mevzuat kanıtlarının bütünlüğü
Geçmiş beyannameler geçmişte kullanılan kaynak veriye dayanmalıdır.
Geçmiş beyannamelerin dayandığı kaynak veri de geçmişe ait olmalıdır.
Bir ambalaj profili değiştiğinde üretim mimarisi, geçmiş raporlamada kullanılan sürümü korumalı; tarihsel kaydı güncel SKU yapılandırmasıyla değiştirmemelidir.
Kayıt belgeleri, başvuru onayları, raporlar, faturalar ve ödeme kanıtları ilgili ülke ve dönemle ilişkilendirilebilir kalmalıdır. Bu hem müşterinin denetlenebilirliğini hem de daha sonra bir otorite veya pazar yeri tarafından yöneltilebilecek sorulara cevap verilebilmesini destekler.
7. Mevzuat ödemelerine ayrılan fonlar
Fonların korunma mimarisi yalnızca muhasebe tercihi değil, hukuki bir kontrol meselesidir.
Fonların korunma mimarisi yalnızca muhasebe tercihi değil, hukuki bir kontrol meselesidir.
Beyoğlu'nun mevzuat giderleri için önden fonlama yaklaşımı, müşteriye ait düzenleyici bakiyelerin olağan işletme geliri gibi değerlendirilmesine dayanmaz.
Müşteri parasının bir kamu otoritesine, Üretici Sorumluluk Organizasyonuna (PRO) veya ilgili sisteme aktarılmadan önce tutulması gerekiyorsa hedeflenen yapı; lisanslı bir ödeme hizmeti sağlayıcısı, korumalı müşteri parası düzeni veya hukuken uygun başka bir üçüncü taraf ödeme modelidir.
İlgili sözleşme gerçekten yürürlüğe girmeden bu sayfada belirli bir ödeme sağlayıcısının veya fon koruma kuruluşunun adı verilmez. Altyapı devreye girdiğinde sağlayıcı, ödeme akışı ve müşteri fonlarının hukuki muamelesi ayrıca açıklanmalıdır.
8. Herkese açık web sitesi altyapısı
Herkese açık bilgi katmanını operasyonel uyum platformundan ayrı tutuyoruz.
Herkese açık bilgi sitesini operasyonel uyum platformundan ayrı tutuyoruz.
Beyoğlu Professional'ın güncel herkese açık web sitesi static-first mimariyle yayımlanır. Sayfalar önceden oluşturulur ve bulut nesne depolama ile CDN altyapısı üzerinden sunulur. Sıradan bir herkese açık sayfanın görüntülenmesi için müşteri uyum kayıtlarına erişilmesi gerekmez.
Kimlik doğrulama, API, veri tabanı, gizli bilgiler, ödeme orkestrasyonu veya başka bir sunucu tarafı çalışma zamanı gerektiren operasyonel hizmetler statik web sitesinden ayrı yürütülür ve kendi işlevlerine uygun kontrollere tabi tutulur.
Tek bir sağlayıcının veya dağıtım katmanının güvenlik özelliklerini Beyoğlu platformunun tamamı için desteklenmeyen bir güvenlik iddiasına dönüştürmeyiz.
9. Sağlayıcılar ve alt veri işleyenler
Bir sağlayıcı, kendisine emanet edilen veri ve görev üzerinden değerlendirilir.
Bir sağlayıcı, kendisine emanet edilen veri ve görev üzerinden değerlendirilir.
Üretim sağlayıcıları barındırma, kimlik doğrulama, iletişim, güvenlik, ödeme ve diğer teknik hizmetleri kapsayabilir. Bir sağlayıcı Beyoğlu adına kişisel veri işliyorsa ve GDPR Madde 28 uygulanıyorsa uygun bir veri işleme düzenlemesi gerekir.
Banka, kamu otoritesi, PRO veya pazar yeri gibi kendi amaçları doğrultusunda bağımsız hareket eden kuruluşlar ise Beyoğlu'nun alt veri işleyeni değil, bağımsız veri sorumlusu olarak faaliyet gösterebilir.
10. Uluslararası veri aktarımları
Türkiye'deki veri işlemeyi AB içi veri aktarımı olarak tanımlamıyoruz.
Türkiye'deki veri işlemeyi AB içi veri aktarımı olarak tanımlamıyoruz.
Mevcut işletme tüzel kişisi Türkiye'dedir. Türkiye, hâlen AB GDPR kapsamında yeterlilik kararı bulunan ülkeler arasında yer almamaktadır. Bu nedenle GDPR Bölüm V kapsamına giren bir aktarım söz konusuysa, işleme ilişkisinin niteliğine göre Standart Sözleşme Maddeleri ve gerektiğinde tamamlayıcı önlemler gibi uygun bir aktarım mekanizması gerekebilir.
Kişisel verilerin işlenmesi ve uluslararası aktarımıyla ilgili daha fazla bilgi Gizlilik Politikası'nda yer alacaktır. Seçili dilde ilgili sayfa henüz yayımlanmadıysa bu yönlendirme, politika sayfası yayına alındığında aktif hâle gelecektir.
11. Güvenlik olayları
Bir olay, sonunda bildirim yükümlülüğü doğurmasa bile kayıt altına alınır.
Bir olay, sonunda bildirim yükümlülüğü doğurmasa bile kayıt altına alınır.
Olay müdahalesi; tespit, sınırlama, delillerin korunması, kimlik bilgilerinin iptali, etkilenen sistem ve verilerin değerlendirilmesi, geri kazanım ve düzeltici önlemleri içerebilir.
GDPR'ın uygulandığı durumlarda bildirilmesi gereken bir kişisel veri ihlali, kişilerin hak ve özgürlükleri bakımından risk doğurmasının muhtemel olmadığı durumlar hariç, veri sorumlusunun ihlalden haberdar olmasından sonra gereksiz gecikme olmaksızın ve mümkünse en geç 72 saat içinde yetkili denetim makamına bildirilmelidir. İhlalin yüksek risk yaratması muhtemelse ve GDPR'da öngörülen bir istisna yoksa etkilenen kişiler de gereksiz gecikme olmaksızın bilgilendirilmelidir.
12. İş sürekliliği
Teknoloji aksasa bile mevzuat takvimleri işlemeye devam eder.
Teknoloji aksasa bile mevzuat takvimleri işlemeye devam ettiği için uyum sürekliliği önemlidir.
Üretim mimarisi, verinin mevzuat bakımından önemine uygun yedekleme, geri kazanım ve kanıt dışa aktarma mekanizmalarını içermelidir. Harici bir otorite portalı kullanılamadığında operasyonel açıdan anlamlıysa Beyoğlu yapılan işlem girişiminin kanıtını, ilgili zaman damgalarını ve daha sonra gerçekleştirilen gönderimin kanıtını saklayabilir.
13. Müşteri sorumlulukları
Güvenli bir platform, ele geçirilmiş müşteri kimlik bilgilerini telafi edemez.
Güvenli bir platform, ele geçirilmiş müşteri kimlik bilgilerini telafi edemez. Müşterilerden şu önlemleri almaları beklenir:
- hesap kimlik bilgilerini ve API sırlarını korumak
- sunulduğu yerlerde her yetkili kişi için ayrı kullanıcı hesabı kullanmak
- artık erişime ihtiyacı olmayan kullanıcıların yetkisini kaldırmak
- kendi e-ticaret ve ERP sistemlerini korumak
- uyum amacı için yalnızca gerekli veriyi aktarmak
- şüpheli bir ele geçirme veya kötüye kullanımı Beyoğlu'na gecikmeden bildirmek; ve
- ürün ve ambalaj kaynak verisini doğru ve güncel tutmak
14. Sertifikalar ve güvenlik iddiaları
Sahip olmadığımız bir sertifikaya sahipmişiz gibi davranmayız.
Sahip olmadığımız bir sertifikaya sahipmişiz gibi davranmayız.
Bu sayfa, ilgili sertifika resmen alınmadıkça ve kapsamı açıkça tanımlanamadıkça Beyoğlu Professional'ın ISO 27001, SOC 2, PCI DSS veya başka bir güvenlik sertifikasına sahip olduğunu söylemez.
Aynı şekilde mevcut altyapı bu iddiayı desteklemiyorsa bütün verilerin münhasıran Avrupa Birliği içinde barındırıldığını da ileri sürmeyiz.
Güvenlikle ilgili bir bildirim mi yapmak istiyorsunuz?
Etkilenen sayfa, hesap, API veya işlemi belirtin ve inceleme için yeterli teknik ayrıntıyı paylaşın; ancak kimlik bilgileri, token'lar veya başka gizli bilgileri herkese açık bir kanalda yayımlamayın. Güvenlik bildirimleri için Beyoğlu Professional iletişim sayfasını kullanın.
Güvenlik bildirimi gönder