Bilgi Güvenliği Politikası

STAFFLINK BİLGİ GÜVENLİĞİ POLİTİKASI

Bilgi Sistemleri, Kişisel Veriler ve Platform Güvenliği Politikası

Versiyon: 1.0
Yayın Tarihi: [●]
Yürürlük Tarihi: [●]

1. Amaç

İşbu Bilgi Güvenliği Politikası (“Politika”), Stafflink Teknoloji ve Yazılım A.Ş. (“Stafflink” veya “Şirket”) tarafından işletilen stafflinkapp.com internet sitesi, Stafflink mobil uygulaması, web panelleri, admin panelleri, kullanıcı hesapları, veri tabanları, bulut altyapıları ve dijital hizmetlerde bilgi güvenliğinin sağlanmasına yönelik temel ilkeleri açıklamak amacıyla hazırlanmıştır.

Bu Politika’nın amacı; Stafflink kullanıcılarına, çalışanlarına, iş ortaklarına, tedarikçilerine ve yetkili kişilere ait bilgilerin gizliliğini, bütünlüğünü ve erişilebilirliğini korumaktır.

2. Kapsam

Bu Politika aşağıdaki varlıkları ve süreçleri kapsar:

1. Stafflink web sitesi,
2. Stafflink mobil uygulaması,
3. Kullanıcı hesapları,
4. Aday, işveren, eğitmen, tedarikçi ve çalışan kullanıcı panelleri,
5. Admin ve operasyon panelleri,
6. Veri tabanları,
7. Bulut altyapıları,
8. Dosya ve medya depolama sistemleri,
9. Eğitim içerikleri,
10. CV, profil, başvuru ve aday havuzu verileri,
11. İş ilanı, vardiya, tedarik ve chat verileri,
12. Ödeme ve fatura süreçleri,
13. Log, güvenlik ve işlem kayıtları,
14. Üçüncü taraf hizmet sağlayıcı entegrasyonları,
15. Stafflink çalışanları, danışmanları, iş ortakları ve yetkili kullanıcıların erişimleri.

3. Temel Bilgi Güvenliği İlkeleri

Stafflink bilgi güvenliği yaklaşımı aşağıdaki temel ilkelere dayanır:

1. Gizlilik: Bilgilere yalnızca yetkili kişiler erişebilir.
2. Bütünlük: Bilgilerin doğruluğu ve değiştirilmemiş olması korunur.
3. Erişilebilirlik: Yetkili kullanıcıların hizmetlere makul ve güvenli şekilde erişebilmesi sağlanır.
4. Yetki Sınırlandırması: Kullanıcılar yalnızca görevleri için gerekli verilere erişebilir.
5. İzlenebilirlik: Kritik işlemler loglanır ve gerektiğinde incelenebilir.
6. Asgari Veri İlkesi: Gereksiz veri toplanmaması ve saklanmaması hedeflenir.
7. Güvenli Tasarım: Yeni özellikler mümkün olduğunca güvenlik ve gizlilik dikkate alınarak geliştirilir.
8. Sürekli İyileştirme: Güvenlik süreçleri teknik gelişmeler ve riskler doğrultusunda güncellenir.

4. Korunan Bilgi ve Veri Türleri

Stafflink tarafından korunması hedeflenen bilgi ve veri türleri şunlardır:

1. Kullanıcı hesap bilgileri,
2. Kimlik ve iletişim verileri,
3. CV, profil ve başvuru bilgileri,
4. Aday havuzu verileri,
5. İşveren ve işletme bilgileri,
6. Eğitim ve sertifika verileri,
7. Eğitmen içerikleri ve hak ediş kayıtları,
8. Tedarikçi katalog/vitrin bilgileri,
9. Vardiya, görev, izin ve çalışan hesap verileri,
10. Chat ve mesajlaşma verileri,
11. Sosyal paylaşım içerikleri,
12. Ödeme, fatura ve abonelik kayıtları,
13. Log, IP, cihaz ve işlem güvenliği verileri,
14. Admin panel kayıtları,
15. Kaynak kodu, sistem mimarisi ve teknik konfigürasyonlar,
16. İş planları, ticari sırlar ve operasyonel kayıtlar.

5. Erişim Yönetimi

Stafflink, bilgi sistemlerine erişimi görev, rol ve ihtiyaç esasına göre sınırlandırır.

5.1. Rol Bazlı Erişim

Kullanıcı ve personel erişimleri rol bazlı olarak tanımlanır.

Örnek roller:

1. Aday,
2. İşveren / işletme yetkilisi,
3. Çalışan kullanıcı,
4. Eğitmen,
5. Tedarikçi,
6. Admin,
7. Moderatör,
8. Destek ekibi,
9. Finans yetkilisi,
10. Teknik yönetici.

Her rol yalnızca kendi kullanım amacı için gerekli alanlara erişebilir.

5.2. Yetki Sınırlandırması

Stafflink çalışanları ve yetkili kullanıcılar yalnızca görevleri için gerekli verilere erişebilir.

Örneğin:

1. Destek ekibi yalnızca destek talebi için gerekli verilere erişebilir.
2. Moderasyon ekibi şikâyet edilen içerikleri inceleyebilir.
3. Finans ekibi ödeme ve fatura kayıtlarına erişebilir.
4. Teknik ekip sistemsel hata ve log kayıtlarına erişebilir.
5. Aday verilerine erişim yalnızca yetkili işveren hesabı ve ilgili başvuru süreciyle sınırlıdır.

5.3. Admin Erişimleri

Admin erişimleri özel güvenlik kurallarına tabidir.

Admin hesaplarında:

1. Güçlü parola kullanımı,
2. Çok faktörlü kimlik doğrulama,
3. Yetki sınırlandırması,
4. Loglama,
5. Periyodik erişim gözden geçirme,
6. Gerekli hallerde IP veya cihaz bazlı kısıtlama uygulanabilir.

6. Kimlik Doğrulama ve Hesap Güvenliği

Stafflink, kullanıcı hesaplarının güvenliği için doğrulama ve güvenlik mekanizmaları uygulayabilir.

Bu kapsamda:

1. E-posta doğrulaması,
2. Telefon doğrulaması,
3. Şifre güvenliği,
4. Oturum güvenliği,
5. Şüpheli giriş tespiti,
6. Gerekli hallerde çok faktörlü doğrulama,
7. Cihaz veya oturum takibi,
8. Hesap kurtarma süreçleri uygulanabilir.

Kullanıcılar kendi hesap güvenliklerinden sorumludur. Şifre, doğrulama kodu, oturum bilgisi veya hesap erişim bilgilerinin üçüncü kişilerle paylaşılmaması gerekir.

7. Şifre Güvenliği

Stafflink, kullanıcı şifrelerinin güvenli şekilde saklanması ve işlenmesi için teknik önlemler alır.

Şifre güvenliği kapsamında:

1. Şifreler düz metin olarak saklanmaz.
2. Uygun hashleme ve güvenlik yöntemleri kullanılır.
3. Güçlü parola kullanımı teşvik edilir.
4. Şüpheli oturumlarda ek doğrulama istenebilir.
5. Kullanıcılar şifrelerini gizli tutmakla yükümlüdür.
6. Aynı şifrenin farklı platformlarda kullanılmaması önerilir.

8. Veri Tabanı ve Sunucu Güvenliği

Stafflink, veri tabanları ve sunucu altyapılarında uygun güvenlik önlemleri uygulamayı hedefler.

Bu kapsamda:

1. Veri tabanı erişimleri yetkiyle sınırlandırılır.
2. Üretim ortamı erişimleri kontrollü tutulur.
3. Hassas bilgiler ortam değişkenleri veya güvenli yapılandırmalarla yönetilir.
4. Yetkisiz dış erişimler engellenir.
5. Sistemler güncel tutulmaya çalışılır.
6. Kritik erişimler loglanır.
7. Gerekli hallerde ağ seviyesinde koruma uygulanır.
8. Güvenlik açıkları takip edilir ve giderilmeye çalışılır.

9. Şifreleme ve Veri Koruma

Stafflink, kişisel verileri ve hassas sistem bilgilerini korumak için uygun şifreleme ve veri koruma yöntemlerinden yararlanabilir.

Bu kapsamda:

1. Aktarım sırasında güvenli bağlantı protokolleri kullanılır.
2. Hassas erişim bilgileri güvenli şekilde saklanır.
3. Yetki dışı erişimi önlemek için erişim kontrolleri uygulanır.
4. Hassas veriler mümkün olduğunda maskeleme, ayrıştırma veya şifreleme yöntemleriyle korunur.
5. Üçüncü taraf servislerle veri paylaşımında güvenli bağlantılar tercih edilir.

10. Loglama ve İzleme

Stafflink, güvenlik, sistem sağlığı, hata takibi, kötüye kullanımın önlenmesi ve hukuki süreçler için log kayıtları tutabilir.

Loglanabilecek kayıtlar:

1. Kullanıcı giriş/çıkış kayıtları,
2. IP adresi,
3. Cihaz ve tarayıcı bilgileri,
4. Oturum bilgileri,
5. Admin işlemleri,
6. İlan, başvuru, eğitim, tedarik ve vardiya işlem kayıtları,
7. Ödeme ve abonelik işlem kayıtları,
8. Güvenlik olayları,
9. Hata ve crash kayıtları,
10. Şüpheli işlem kayıtları.

Log kayıtlarına erişim yetkili kişilerle sınırlandırılır. Loglar yalnızca güvenlik, destek, hata çözümü, hukuki yükümlülük ve platform bütünlüğü amaçlarıyla kullanılır.

11. Yedekleme ve İş Sürekliliği

Stafflink, veri kaybını azaltmak ve hizmet sürekliliğini sağlamak amacıyla yedekleme süreçleri uygulayabilir.

Yedekleme kapsamında:

1. Kritik veri tabanları belirli aralıklarla yedeklenebilir.
2. Yedeklere erişim sınırlandırılır.
3. Yedekler yalnızca sistem kurtarma ve iş sürekliliği amacıyla kullanılır.
4. Yedeklerin saklama ve imha süreleri teknik altyapıya göre belirlenir.
5. Hesap silme veya veri imha taleplerinde yedeklerdeki veriler teknik döngü kapsamında imha edilir.

12. Üçüncü Taraf Hizmet Sağlayıcı Güvenliği

Stafflink, hizmetlerini sunmak için üçüncü taraf altyapı ve servis sağlayıcılardan yararlanabilir.

Bu hizmet sağlayıcılar arasında şunlar yer alabilir:

1. Supabase,
2. Firebase,
3. Vercel,
4. Cloudflare,
5. Google Cloud,
6. Google Analytics,
7. Resend / SMTP servisleri,
8. OpenAI veya benzeri yapay zeka servisleri,
9. iyzico,
10. Hata takip, medya depolama, CDN, güvenlik ve bildirim servisleri.

Stafflink, hizmet sağlayıcı seçiminde güvenlik, gizlilik, erişilebilirlik, veri koruma ve operasyonel ihtiyaçları dikkate alır.

Üçüncü taraf hizmet sağlayıcılarının kendi güvenlik, gizlilik ve hizmet koşulları da uygulanabilir.

13. Ödeme Güvenliği

Stafflink’te ödeme işlemleri iyzico veya Stafflink tarafından belirlenen diğer ödeme altyapıları üzerinden yürütülebilir.

Ödeme güvenliği kapsamında:

1. Kart bilgileri kural olarak Stafflink tarafından doğrudan saklanmaz.
2. Ödeme işlemleri ödeme kuruluşunun güvenli altyapısı üzerinden yürütülür.
3. Ödeme durumu, işlem ID’si, fatura ve abonelik kayıtları Stafflink tarafından işlenebilir.
4. Şüpheli ödeme işlemleri incelenebilir.
5. Ödeme uyuşmazlıkları için işlem kayıtları saklanabilir.

14. Uygulama ve Web Güvenliği

Stafflink web sitesi ve mobil uygulamasında güvenlik risklerini azaltmak için çeşitli kontroller uygulanabilir.

Bu kontroller şunları içerebilir:

1. Güvenli bağlantı kullanımı,
2. Oturum güvenliği,
3. CSRF/XSS gibi web saldırılarına karşı önlemler,
4. Rate limit ve kötüye kullanım önleme,
5. Bot/spam koruması,
6. Yetkisiz dosya yükleme kontrolleri,
7. Dosya türü ve boyut kısıtlamaları,
8. Zararlı içerik ve link kontrolü,
9. Yetki kontrolü,
10. Güvenli API erişimi.

15. Dosya, Medya ve İçerik Güvenliği

Stafflink üzerinde kullanıcılar CV, fotoğraf, video, eğitim içeriği, katalog, belge, görev dosyası veya diğer medya içeriklerini yükleyebilir.

Bu kapsamda:

1. Dosya türü ve boyutu sınırlandırılabilir.
2. Zararlı dosya yüklemeleri engellenebilir.
3. Telif veya kişisel veri ihlali içeren dosyalar kaldırılabilir.
4. Eğitim ve katalog içerikleri onaya tabi tutulabilir.
5. Kullanıcı içerikleri güvenlik, şikâyet veya hukuki gerekçelerle incelenebilir.
6. Yetkisiz erişimi önlemek için dosya erişimleri sınırlandırılabilir.

16. Chat ve Sosyal Alan Güvenliği

Stafflink, chat ve sosyal paylaşım alanlarında kullanıcı güvenliğini sağlamak için moderasyon ve güvenlik kontrolleri uygulayabilir.

Bu kapsamda:

1. Şikâyet edilen mesajlar incelenebilir.
2. Taciz, tehdit, spam, dolandırıcılık, kişisel veri ihlali ve hukuka aykırı içerikler kaldırılabilir.
3. Hesaplar askıya alınabilir veya kapatılabilir.
4. Platform dışı dolandırıcılık veya kötüye kullanım girişimleri incelenebilir.
5. Kullanıcılar arası güvenliği tehdit eden davranışlar engellenebilir.

Chat içerikleri güvenlik, şikâyet inceleme, hukuki yükümlülük ve uyuşmazlık çözümü amacıyla makul süreyle saklanabilir.

17. Personel ve İç Erişim Güvenliği

Stafflink çalışanları, danışmanları veya yetkilileri bilgi güvenliği kurallarına uymakla yükümlüdür.

Bu kapsamda:

1. Gizlilik yükümlülükleri uygulanır.
2. Yetki seviyesi göreve göre belirlenir.
3. Erişimler periyodik olarak gözden geçirilebilir.
4. İşten ayrılan veya görevi değişen kişilerin erişimleri kapatılır.
5. Kritik verilere erişim kayıt altına alınabilir.
6. Güvenlik farkındalığı artırılmaya çalışılır.

18. Olay Müdahale Süreci

Stafflink, güvenlik ihlali veya veri ihlali şüphesi halinde olay müdahale süreci işletebilir.

Olay müdahale süreci genel olarak şu adımları içerebilir:

1. Olayın tespiti,
2. Etki alanının belirlenmesi,
3. Yetkisiz erişimin sınırlandırılması,
4. Teknik ve idari önlemlerin alınması,
5. Etkilenen verilerin ve kullanıcıların tespiti,
6. Gerekli hallerde ilgili kişilere bildirim yapılması,
7. Gerekli hallerde Kişisel Verileri Koruma Kurumu’na bildirim yapılması,
8. Kök neden analizi yapılması,
9. Tekrarını önleyici tedbirlerin alınması.

19. Veri İhlali Bildirimi

Kişisel veri ihlali meydana gelmesi halinde Stafflink, ilgili mevzuata uygun şekilde gerekli değerlendirmeleri yapar.

İhlalin niteliğine göre:

1. Etkilenen kişiler tespit edilir,
2. Etkilenen veri kategorileri belirlenir,
3. Risk seviyesi değerlendirilir,
4. Gerekli teknik ve idari önlemler alınır,
5. Gerekli hallerde Kişisel Verileri Koruma Kurumu’na bildirim yapılır,
6. Gerekli hallerde ilgili kişilere bilgi verilir.

20. Tedarikçi ve İş Ortağı Güvenliği

Stafflink, hizmet aldığı tedarikçi ve iş ortaklarının bilgi güvenliği süreçlerini mümkün olduğu ölçüde değerlendirir.

Bu kapsamda:

1. Gizlilik yükümlülükleri düzenlenebilir.
2. Veri işleme sözleşmeleri yapılabilir.
3. Erişim yetkileri sınırlandırılabilir.
4. Hizmet sağlayıcıların güvenlik standartları dikkate alınabilir.
5. Gereksiz veri paylaşımından kaçınılır.
6. Hizmet sona erdiğinde erişimler kaldırılabilir.

21. Kullanıcıların Güvenlik Sorumlulukları

Stafflink kullanıcıları da hesap güvenliğini korumakla yükümlüdür.

Kullanıcılar:

1. Güçlü ve benzersiz şifre kullanmalıdır.
2. Şifresini üçüncü kişilerle paylaşmamalıdır.
3. Doğrulama kodlarını kimseyle paylaşmamalıdır.
4. Ortak cihazlarda oturumu açık bırakmamalıdır.
5. Şüpheli bağlantılara tıklamamalıdır.
6. Sahte Stafflink e-postalarına karşı dikkatli olmalıdır.
7. Hesabında şüpheli işlem fark ederse Stafflink’e bildirmelidir.
8. Başkalarına ait kişisel verileri izinsiz paylaşmamalıdır.
9. Platformu bot, scraper veya otomasyon araçlarıyla kötüye kullanmamalıdır.

22. Yasaklı Güvenlik Davranışları

Aşağıdaki davranışlar yasaktır:

1. Stafflink sistemlerine yetkisiz erişim sağlamak,
2. Hesap ele geçirme girişiminde bulunmak,
3. Başka kullanıcıların verilerini izinsiz toplamak,
4. Bot, scraper, crawler veya otomasyon araçlarıyla veri kazımak,
5. API’leri kötüye kullanmak,
6. Platformu aşırı yüklemek veya hizmet kesintisine sebep olmak,
7. Zararlı yazılım, virüs, phishing linki veya kötü amaçlı dosya paylaşmak,
8. Güvenlik açıklarını izinsiz test etmek,
9. Stafflink yazılımını tersine mühendislik yapmak,
10. Yetki sınırlarını aşmaya çalışmak,
11. Başka kullanıcıların hesaplarına erişmeye çalışmak.

Bu tür davranışlar hesap kapatma, hukuki işlem, tazminat talebi ve yetkili makamlara bildirimle sonuçlanabilir.

23. Güvenlik Açığı Bildirimi

Stafflink platformunda güvenlik açığı tespit ettiğinizi düşünüyorsanız, bunu sorumlu şekilde Stafflink’e bildirmeniz beklenir.

Bildirim kanalı:

Güvenlik E-postası: [info@stafflinkapp.com] / [●]

Güvenlik açığı bildirirken:

1. Açığın açıklaması,
2. Etkilenen URL veya ekran,
3. Açığı yeniden üretme adımları,
4. Ekran görüntüsü veya teknik kanıt,
5. İletişim bilgileriniz paylaşılabilir.

Stafflink’in yazılı izni olmadan güvenlik açığını kötüye kullanmak, kullanıcı verilerine erişmek, veri indirmek, sistemi bozmak veya kamuya açıklamak yasaktır.

24. Denetim ve Gözden Geçirme

Stafflink, bilgi güvenliği süreçlerini periyodik olarak gözden geçirebilir.

Bu kapsamda:

1. Erişim yetkileri gözden geçirilebilir,
2. Log ve güvenlik olayları incelenebilir,
3. Kritik sistemler değerlendirilebilir,
4. Tedarikçi erişimleri kontrol edilebilir,
5. Güvenlik politikaları güncellenebilir,
6. Yeni riskler için önlemler geliştirilebilir.

25. Politikanın Güncellenmesi

Stafflink, bu Bilgi Güvenliği Politikası’nı mevzuat değişiklikleri, teknik gelişmeler, güvenlik riskleri, platform özellikleri veya operasyonel ihtiyaçlar doğrultusunda güncelleyebilir.

Güncel metin Stafflink web sitesi, mobil uygulama veya kullanıcı paneli üzerinden yayımlanır.

Esaslı değişikliklerde kullanıcılara uygun yöntemlerle bildirim yapılabilir.

26. İletişim

Bilgi güvenliği, hesap güvenliği veya güvenlik açığı bildirimleri için Stafflink’e ulaşabilirsiniz:

E-posta: info@stafflinkapp.com
Güvenlik E-postası: [info@stafflinkapp.com] / [●]
KEP Adresi: Stafflinkteknoloji@hs06.kep.tr
Posta Adresi: Akdeniz Mahallesi Şehit Fethi Bey Cd. No:55 Kat:9 Heris Tower Alsancak Konak İzmir