Veri İşleme Sözleşmesi

Bu Veri İşleme Sözleşmesi ("Sözleşme"), EnaFeedback hizmetini kullanan kurum ile ENA Innovation arasında, kurum adına işlenen kişisel verilere ilişkin hak ve yükümlülükleri düzenler. Sözleşme, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ikincil düzenlemeleri esas alınarak hazırlanmıştır.

1. Taraflar ve kapsamBağlantıyı kopyala

1.1. Taraflar şunlardır:

1.2. Bu Sözleşme; Müşteri'nin kabul ettiği teklif veya sipariş formu, Kullanım Koşulları, Son Kullanıcı Lisans Sözleşmesi ve taraflar arasında yazılı olarak kararlaştırılan diğer koşullarla ("Ana Sözleşme") birlikte uygulanır. Ücretsiz deneme süresi için de geçerlidir.

1.3. Kişisel verilerin korunmasına ilişkin konularda bu Sözleşme ile Ana Sözleşme arasında çelişki olursa bu Sözleşme uygulanır.

2. TanımlarBağlantıyı kopyala

Bu Sözleşmede geçen "kişisel veri", "özel nitelikli kişisel veri", "ilgili kişi", "veri sorumlusu", "veri işleyen", "işleme" ve "Kurul" kavramları KVKK'daki anlamları ile kullanılır. Ayrıca:

• Hizmet: EnaFeedback yazılımının web uygulaması, mobil uygulaması ve bunlara bağlı ENA Cloud hizmetleri (QR, NFC ve ekran yönlendirmeleri, kısa bağlantılar, bildirim ve yapay zekâ ağ geçitleri) aracılığıyla sunulması.
• Müşteri Verisi: Hizmet'in kullanımı sırasında Müşteri, Müşteri'nin kullanıcıları, personeli veya ziyaretçileri tarafından Hizmet'e girilen ya da Hizmet tarafından Müşteri adına oluşturulan kişisel veriler.
• Alt Veri İşleyen: ENA Innovation'ın Müşteri Verisi'nin işlenmesi için görevlendirdiği üçüncü kişi.
• Veri İhlali: Müşteri Verisi'nin kanuni olmayan yollarla başkaları tarafından elde edilmesi veya buna yol açan güvenlik olayı.
• Müşteri Ortamı: Müşteri'ye tahsis edilen ayrı uygulama yığını, veritabanı, önbellek ve dosya depolama alanı.

3. Rollerin belirlenmesiBağlantıyı kopyala

3.1. Müşteri Verisi bakımından Müşteri veri sorumlusu, ENA Innovation veri işleyendir. İşleme amaçlarını ve vasıtalarını Müşteri belirler.

3.2. ENA Innovation; sözleşme yönetimi, faturalama, Müşteri yetkilileriyle iletişim ve kendi merkezî hizmetlerinin güvenliği gibi kendi amaçlarıyla sınırlı işlemelerde veri sorumlusu sıfatını taşır. Bu işlemeler EnaFeedback Gizlilik Politikası'na tabidir.

3.3. Müşteri'nin kendi hesabıyla Hizmet'e bağladığı üçüncü taraf sağlayıcılar (örneğin kendi e-posta, SMS, anlık bildirim veya yapay zekâ sağlayıcı hesabı) ENA Innovation'ın Alt Veri İşleyeni değildir. Bu sağlayıcılarla ilişki Müşteri ile sağlayıcı arasındadır.

4. İşlemenin konusu, niteliği ve süresiBağlantıyı kopyala

4.1. İşlemenin konusu, amacı, ilgili kişi grupları ve veri kategorileri Ek-1'de yer alır.

4.2. ENA Innovation, Müşteri Verisi'ni Ana Sözleşme süresince ve bu Sözleşmenin 14. bölümündeki silme veya iade süresi sona erinceye kadar işler.

5. Müşteri'nin talimatlarıBağlantıyı kopyala

5.1. ENA Innovation, Müşteri Verisi'ni yalnızca Müşteri'nin belgelenmiş talimatlarıyla işler. Ana Sözleşme, bu Sözleşme, Müşteri'nin Hizmet içinde yaptığı ayarlar (modül, form alanı, bildirim, yapay zekâ ve entegrasyon ayarları dâhil) ve yetkili Müşteri temsilcisinin yazılı talepleri talimat sayılır.

5.2. ENA Innovation, bir talimatın KVKK'ya veya diğer mevzuata aykırı olduğunu düşünürse bunu Müşteri'ye gecikmeksizin bildirir ve talimat netleşene kadar ilgili işlemi askıya alabilir.

5.3. Mevzuat ENA Innovation'ın Müşteri Verisi'ni başka bir amaçla işlemesini zorunlu kılarsa ENA Innovation, kanunen yasaklanmadıkça bunu işlemeden önce Müşteri'ye bildirir.

5.4. ENA Innovation, Müşteri Verisi'ni kendi amaçları için kullanmaz, satmaz ve yapay zekâ modellerinin eğitiminde kullanmaz.

6. Müşteri'nin yükümlülükleriBağlantıyı kopyala

Müşteri, veri sorumlusu olarak özellikle şunlardan sorumludur:

• Her işleme faaliyeti için KVKK'nın 5. ve 6. maddelerinde öngörülen hukuki sebebi belirlemek.
• İlgili kişileri KVKK'nın 10. maddesi uyarınca aydınlatmak. Hizmet varsayılan olarak bir aydınlatma veya açık rıza metni içermez. Ziyaretçi ve personel formlarında bu metinleri Müşteri yazar ve yayımlar.
• Açık rızaya dayanılan durumlarda rızanın ispatını sağlamak. Hizmet, form üzerindeki onay kutusunun işaretlendiğine dair ayrı bir kayıt tutmaz.
• Özel nitelikli kişisel verilerin (örneğin hastaların sağlık bilgileri) serbest metin alanları veya ekler yoluyla gereksiz yere toplanmasını önleyecek form ayarlarını ve yönlendirmeleri yapmak. Özel nitelikli veri işlemeyi öngörüyorsa bunu ENA Innovation'a yazılı olarak bildirmek.
• VERBİS kaydı, saklama ve imha politikası ile ilgili kişi başvurularının yanıtlanması gibi veri sorumlusu yükümlülüklerini yerine getirmek.
• Kullanıcı rollerini ve yetkilerini ihtiyaç ölçüsünde atamak; ayrılan kullanıcıların erişimini kaldırmak.

7. GizlilikBağlantıyı kopyala

7.1. ENA Innovation, Müşteri Verisi'ne erişen çalışanlarının ve kendisi adına çalışan kişilerin yazılı gizlilik yükümlülüğü altında olmasını sağlar. Bu yükümlülük, KVKK'nın 12. maddesinin 4. fıkrası uyarınca görevden ayrılmadan sonra da devam eder.

7.2. Müşteri Verisi'ne erişim, Hizmet'in sunulması, destek, bakım ve güvenlik için gerekli kişilerle ve gerekli ölçüyle sınırlıdır.

7.3. ENA Innovation, Müşteri Verisi'ni bu Sözleşmede izin verilenler dışında üçüncü kişilere açıklamaz. Yetkili bir makam Müşteri Verisi'ni talep ederse ENA Innovation, kanunen yasaklanmadıkça bunu Müşteri'ye bildirir ve talebi kanunen zorunlu olanla sınırlı tutar.

8. Veri güvenliğiBağlantıyı kopyala

8.1. ENA Innovation, KVKK'nın 12. maddesi uyarınca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini temin eden teknik ve idari tedbirleri alır. Bu tedbirler Ek-2'de yer alır.

8.2. Tedbirler teknik gelişmeye göre güncellenebilir. Güncellemeler, Ek-2'de tanımlanan genel koruma seviyesini düşüremez.

8.3. Taraflar, KVKK'nın 12. maddesinin 2. fıkrası uyarınca veri güvenliği tedbirlerinin alınmasından birlikte sorumlu olduklarını kabul eder. Hizmet içindeki ayarlar, kullanıcı hesapları, roller, Müşteri'nin kendi bağladığı sağlayıcılar ve Müşteri'nin Hizmet dışına aktardığı dosyalar (Excel ve PDF dışa aktarımları, SQL dökümleri) Müşteri'nin sorumluluğundadır.

9. Alt veri işleyenlerBağlantıyı kopyala

9.1. Müşteri, Ek-3'te listelenen Alt Veri İşleyenlerin görevlendirilmesine genel yazılı izin verir.

9.2. ENA Innovation, yeni bir Alt Veri İşleyen eklemeden veya mevcut birini değiştirmeden en az 30 gün önce Müşteri'ye e-posta ile veya Hizmet içinden bildirimde bulunur. Bildirim; Alt Veri İşleyenin adını, işleme faaliyetini ve işleme yerini içerir.

9.3. Müşteri, bildirimden itibaren 15 gün içinde haklı gerekçeyle yazılı olarak itiraz edebilir. Taraflar makul bir çözüm üzerinde iyi niyetle görüşür. Çözüm bulunamazsa Müşteri, etkilenen hizmet bölümüne ilişkin Ana Sözleşmeyi, değişikliğin yürürlüğe gireceği tarihten önce ve cezai şart ödemeksizin feshedebilir.

9.4. Güvenlik veya hizmet sürekliliği nedeniyle acil bir değişiklik gerekirse ENA Innovation değişikliği yapar ve Müşteri'yi gecikmeksizin bilgilendirir. Bu durumda da 9.3. madde uygulanır.

9.5. ENA Innovation, her Alt Veri İşleyen ile bu Sözleşmedeki yükümlülüklerden daha az koruyucu olmayan yazılı veri koruma yükümlülükleri öngörür. Alt Veri İşleyenin yükümlülüklerini yerine getirmemesinden Müşteri'ye karşı ENA Innovation sorumludur.

10. Yurt dışına aktarımBağlantıyı kopyala

10.1. Ek-3'te "yurt dışı aktarım" olarak işaretlenen hizmetlerin kullanılması, Müşteri Verisi'nin yurt dışına aktarılmasını gerektirebilir. Müşteri'nin Hizmet içinde yaptığı seçimler (örneğin yapay zekâ özelliklerini açması veya kendi sağlayıcısını bağlaması) aktarımın kapsamını belirler.

10.2. ENA Innovation, kendi taraf olduğu her yurt dışı aktarımda KVKK'nın 7499 sayılı Kanunla değişik 9. maddesine ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'e uyar. Buna göre aktarım; yeterlilik kararına, yeterlilik kararı yoksa uygun güvencelerden birine (öncelikle Kurul'un ilan ettiği standart sözleşmeye) dayandırılır.

10.3. ENA Innovation'ın veri aktaran taraf olarak standart sözleşme imzaladığı durumlarda, sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurul'a bildirimi ENA Innovation yapar. Müşteri'nin veri aktaran olduğu durumlarda bildirim Müşteri'ye aittir. ENA Innovation bu bildirim için gerekli bilgileri sağlar.

10.4. Bir Alt Veri İşleyenin standart koşulları KVKK standart sözleşmesinin imzalanmasına imkân vermezse ENA Innovation bunu Müşteri'ye bildirir. Taraflar, ilgili özelliğin kapatılması, alternatif bir sağlayıcı veya başka bir hukuki dayanak gibi seçenekleri birlikte değerlendirir.

10.5. Müşteri Ortamının barındırıldığı bölge, sipariş formunda belirtilir veya Müşteri'nin talebi üzerine yazılı olarak bildirilir.

11. İlgili kişi başvurularına destekBağlantıyı kopyala

11.1. ENA Innovation'a doğrudan bir ilgili kişi başvurusu ulaşırsa ENA Innovation başvuruyu yanıtlamaz; başvuruyu 5 iş günü içinde Müşteri'ye iletir ve başvuru sahibine Müşteri'ye yönlendirildiğini bildirir.

11.2. Müşteri, ilgili kişi başvurularını öncelikle Hizmet'in kendi araçlarıyla (kayıtları görüntüleme, Excel ve PDF dışa aktarma, kayıt silme) karşılar. Bu araçlar yetmezse ENA Innovation, Müşteri'nin yazılı talebi üzerine makul teknik destek sağlar. Müşteri'nin KVKK'nın 13. maddesindeki 30 günlük yanıt süresine uyabilmesi için ENA Innovation, destek talebini kural olarak 10 iş günü içinde karşılar.

11.3. Hizmet'te silme işlemleri kural olarak kaydı arayüzden kaldırır ve veritabanında silinmiş olarak işaretler. Belirli bir ilgili kişiye ait verilerin veritabanından kalıcı olarak silinmesi veya anonim hâle getirilmesi gerekirse ENA Innovation, Müşteri'nin talebi üzerine bu işlemi gerçekleştirir veya Müşteri'ye nasıl yapılacağını gösterir. Denetim kayıtlarının bütünlüğünü korumak için gereken istisnalar Müşteri ile birlikte belirlenir.

12. Veri ihlali bildirimiBağlantıyı kopyala

12.1. ENA Innovation, Müşteri Verisi'ni etkileyen bir Veri İhlali'nden haberdar olduğunda Müşteri'yi gecikmeksizin ve her hâlde ihlali öğrendiği andan itibaren en geç 48 saat içinde bilgilendirir. Bu süre, Müşteri'nin Kurul'a KVKK'nın 12. maddesinin 5. fıkrası ve Kurul'un 72 saatlik bildirim süresine ilişkin kararı uyarınca zamanında bildirim yapabilmesini amaçlar.

12.2. Bildirim, o anda bilinen ölçüde şunları içerir:

• ihlalin niteliği, başlangıç ve tespit tarihi
• etkilenen veri kategorileri ve yaklaşık ilgili kişi sayısı
• olası sonuçlar
• alınan ve önerilen tedbirler
• ENA Innovation'daki irtibat kişisi

Bilgiler henüz mevcut değilse ENA Innovation ilk bildirimi geciktirmez; eksik bilgileri öğrendikçe tamamlar.

12.3. ENA Innovation, ihlalin etkilerini sınırlamak için gerekli tedbirleri alır ve Müşteri'nin Kurul'a ve ilgili kişilere bildirim yapmasına makul ölçüde destek olur. Kurul'a ve ilgili kişilere bildirim yapma yükümlülüğü veri sorumlusu olarak Müşteri'ye aittir. ENA Innovation, Müşteri'nin önceden yazılı onayı veya kanuni zorunluluk olmadıkça ihlali Müşteri adına üçüncü kişilere duyurmaz.

12.4. Veri İhlali bildirimleri, Ana Sözleşmede Müşteri'nin bildirdiği yetkili kişinin e-posta adresine ve telefonuna yapılır. Müşteri bu bilgileri güncel tutar.

13. Denetim ve bilgi sağlamaBağlantıyı kopyala

13.1. ENA Innovation, bu Sözleşmeye uyumu göstermek için gerekli bilgi ve belgeleri Müşteri'nin talebi üzerine sağlar. Bu kapsamda güvenlik soru formları yanıtlanır ve bu Sözleşmenin ekleri güncel tutulur.

13.2. Müşteri, KVKK'nın 12. maddesinin 3. fıkrası uyarınca denetim yapabilir veya bağımsız bir denetçiye yaptırabilir. Denetim:

• yılda en fazla bir kez yapılır; Veri İhlali, Kurul talebi veya ciddi bir uyumsuzluk şüphesi varsa ayrıca yapılabilir
• en az 30 gün önceden yazılı bildirimle ve kapsamı önceden kararlaştırılarak yapılır
• mesai saatleri içinde ve ENA Innovation'ın faaliyetlerini makul olmayan ölçüde aksatmadan yürütülür
• diğer müşterilerin verilerine veya ENA Innovation'ın ticari sırlarına erişim sağlamaz
• gizlilik taahhüdü altında yapılır; giderleri, aksi kararlaştırılmadıkça Müşteri'ye aittir

13.3. Bilgi güvenliği yönetim sistemine ilişkin ISO 27001 belgelendirme süreci devam etmektedir. Bu Sözleşme, ENA Innovation'ın herhangi bir belgeye sahip olduğu anlamına gelmez.

14. Süre, sona erme, iade ve silmeBağlantıyı kopyala

14.1. Bu Sözleşme, Ana Sözleşme ile birlikte yürürlüğe girer ve ENA Innovation'ın Müşteri Verisi'ni işlemesi sona erinceye kadar yürürlükte kalır.

14.2. Ana Sözleşmenin sona ermesinden önce Müşteri, Hizmet'in dışa aktarma araçlarıyla (Excel ve PDF dışa aktarımları; Sahip rolüne açık SQL dışa aktarma) verilerini alabilir. Müşteri, sona ermeden itibaren 30 gün içinde yazılı olarak talep ederse ENA Innovation, Müşteri Verisi'nin bir kopyasını yaygın bir makine tarafından okunabilir biçimde Müşteri'ye teslim eder.

14.3. ENA Innovation, Ana Sözleşmenin sona ermesinden itibaren 30 gün içinde Müşteri Ortamını kapatır ve Müşteri Verisi'ni; veritabanı, dosya depolama, önbellek ve sunucu üzerindeki yedek dökümler dâhil olmak üzere siler. Yönetilen veritabanı hizmetinin otomatik yedekleri, yapılandırılmış saklama süresinin dolmasıyla kendiliğinden silinir. ENA Cloud yönlendirme kayıtları, ENA Innovation'ın kayıt saklama uygulaması kapsamında en geç [●] ay içinde silinir veya anonim hâle getirilir.

14.4. Mevzuat daha uzun bir saklama süresi öngörüyorsa ENA Innovation ilgili veriyi yalnızca bu amaçla ve süreyle saklar, gizliliğini korur ve süre sonunda siler.

14.5. ENA Innovation, Müşteri'nin talebi üzerine silme işleminin tamamlandığını yazılı olarak teyit eder.

14.6. Deneme süresi sonunda Müşteri ücretli kullanıma geçmezse deneme ortamındaki veriler de 14.3. madde uyarınca silinir.

15. SorumlulukBağlantıyı kopyala

15.1. Her taraf, bu Sözleşmeden ve KVKK'dan doğan kendi yükümlülüklerini ihlal etmesinden sorumludur.

15.2. Ana Sözleşmedeki sorumluluk sınırlamaları, kanunen izin verilen ölçüde bu Sözleşme için de geçerlidir. Kast ve ağır ihmal hâllerinde ve kanunen sınırlanamayan durumlarda sorumluluk sınırlanmaz.

16. Uygulanacak hukuk ve diğer hükümlerBağlantıyı kopyala

16.1. Bu Sözleşme Türkiye Cumhuriyeti hukukuna tabidir. Uyuşmazlıklarda Ana Sözleşmedeki yetki hükmü uygulanır.

16.2. Bu Sözleşmenin bir hükmünün geçersiz sayılması diğer hükümlerini etkilemez.

16.3. ENA Innovation, mevzuat değişikliklerine veya Hizmet'teki değişikliklere uyum için bu Sözleşmeyi güncelleyebilir. Müşteri aleyhine esaslı değişiklikler, yürürlükten en az 30 gün önce Müşteri'ye bildirilir.

16.4. Bu Sözleşme Türkçe ve İngilizce olarak yayımlanmıştır. Çelişki hâlinde Türkçe metin esas alınır.

17. İletişimBağlantıyı kopyala

Ek-1: İşlemenin ayrıntılarıBağlantıyı kopyala

Konu ve amaç. Müşteri'nin fiziksel mekânlarında QR kod, NFC etiketi ve canlı ekranlar aracılığıyla ziyaretçi geri bildirimi, hijyen değerlendirmesi, anket ve içerik sayfası hizmetinin sunulması; talep (ticket) yönetimi ve çözüm ekiplerine yönlendirme; temizlik kaydı, kontrol kaydı ve giriş/çıkış kayıtlarının tutulması; bildirimlerin gönderilmesi; raporlama; Müşteri'nin açtığı yapay zekâ özelliklerinin (duygu analizi, ses ve video dökümü, çeviri) çalıştırılması; destek, bakım ve güvenlik.

İşlemenin niteliği. Toplama, kaydetme, depolama, düzenleme, görüntüleme, aktarma (bildirim ve yapay zekâ sağlayıcılarına), dönüştürme (görsel, ses ve video dosyalarının yeniden kodlanması), raporlama, dışa aktarma ve silme.

İlgili kişi grupları ve veri kategorileri:

Özel nitelikli kişisel veriler. Hizmet, özel nitelikli kişisel veri toplamak için tasarlanmamıştır. Ancak serbest metin alanları ve ekler, ilgili kişinin kendi girdiği sağlık bilgisi veya görüntü gibi özel nitelikli veriler içerebilir. Müşteri bu riski 6. bölüm uyarınca yönetir.

Saklama. Geri bildirim, hijyen değerlendirmesi, talep ve tarama kayıtları ile denetim kayıtları, Müşteri silinceye veya Ana Sözleşme sona erinceye kadar saklanır. Hizmet'te otomatik olarak uygulanan süreler şunlardır: gönderime bağlanmayan dosya yüklemeleri 24 saat sonra; tamamlanmamış anket oturumları 90 gün sonra silinir; lokasyon oturumları en fazla 30 dakika, personel oturumları 12 saat sonra sona erer.

Ek-2: Teknik ve idari tedbirlerBağlantıyı kopyala

Aşağıdaki tedbirler, Hizmet'in güncel sürümünde uygulanan tedbirlerdir. Bu listede yer almayan tedbirler bu Sözleşme kapsamında taahhüt edilmez.

Ortam ayrımı

• Her Müşteri için ayrı bir uygulama yığını (API, web uygulaması, önbellek, dosya depolama ve ters vekil sunucu) çalıştırılır.
• Her Müşteri'nin ayrı bir PostgreSQL veritabanı ve ayrı bir veritabanı kullanıcısı vardır.

Ağ ve iletim güvenliği

• Tüm alan adları, uçtan uca doğrulanan TLS ile Cloudflare üzerinden yayınlanır.
• Uygulama sunucuları TLS 1.2 ve 1.3 kabul eder. Web uygulaması HSTS kullanır.
• Sunucuya uzaktan yönetim erişimi (SSH) yetkili yönetici IP adresiyle sınırlıdır.
• Web uygulaması içerik güvenliği politikası (CSP), çerçeve koruması, MIME türü koruması ve kısıtlı yönlendiren politikası başlıklarını gönderir. Çerez ile kimlik doğrulanan yazma isteklerinde CSRF'e karşı özel başlık zorunludur. API'de CORS izin listesi uygulanır.

Kimlik doğrulama ve yetkilendirme

• Yönetim paneline giriş, davet usulüyle çalışan kimlik hizmeti (Logto) üzerinden yapılır; herkese açık kayıt kapalıdır.
• 7 kurum rolü ve 35 yetki kapsamı ile rol tabanlı erişim kontrolü uygulanır. Sahip rolüne özgü işlemler ayrıca sınırlandırılmıştır. Son sahip kaldırılamaz.
• Saha personeli kişisel kodla veya cihaz tabanlı hızlı giriş anahtarıyla (passkey) giriş yapar. Personel kodları Argon2id ile özetlenerek saklanır. 15 dakikada 10 hatalı denemeden sonra giriş kilitlenir.
• Personel web oturumu 12 saat sonra sona erer. Mobil uygulamada erişim belirteci 15 dakika geçerlidir; yenileme belirteçleri döndürülür ve yeniden kullanım tespit edilir.

Şifreleme ve özetleme

• Sağlayıcı ve yapay zekâ API anahtarları AES-256-GCM ile şifrelenerek saklanır. Şifreleme anahtarları, ana gizli anahtardan HKDF-SHA256 ile amaca göre ayrı ayrı türetilir.
• Ekran kimlik bilgileri ve NFC güven belirteçleri yalnızca SHA-256 özetleri olarak saklanır ve zamanlama saldırısına dayanıklı yöntemle karşılaştırılır.
• Merkezî ENA Cloud hizmetlerine yapılan istekler HMAC-SHA256 ile imzalanır ve zaman damgasıyla sınırlandırılır.

Kayıt ve izlenebilirlik

• Yönetim işlemleri; kullanıcı, IP adresi, tarayıcı bilgisi ve önceki/sonraki değerlerle denetim kaydına yazılır.
• Denetim kayıtları HMAC-SHA256 karma zinciriyle bağlanır; zincir bütünlüğü kayıt detayında doğrulanır.
• Tüm dışa aktarma işlemleri denetim kaydına yazılır.
• Bildirim gönderimleri ve yapay zekâ çağrıları ayrıca kaydedilir. Yapay zekâ çağrı kayıtları istem veya içerik metnini saklamaz.

Veri en aza indirme ve erişim sınırlama

• Ziyaretçi gönderimleri varsayılan olarak anonimdir; iletişim alanları Müşteri tarafından açılıp kapatılabilir.
• Yönetim panelinde personel iletişim bilgileri, kullanıcı listesi, ekip üyeleri ve bildirim alıcıları maskelenerek gösterilir.
• Anket oturumları yanıtlayanın kimliğini saklamaz.
• Yüklenen fotoğraflar sunucuda yeniden kodlanır; dosyalar beyan edilen türe karşı içerik baytlarından doğrulanır.

Kötüye kullanıma karşı koruma

• Genel ve uç noktaya özel istek sınırları, sunucu düzeyinde IP başına istek sınırı ve istek boyutu sınırları uygulanır.
• Ziyaretçi formlarında bot tuzağı alanı ve yinelenen gönderim engeli bulunur.

Yedekleme ve süreklilik

• Veritabanı, yönetilen veritabanı hizmetinin otomatik yedekleme ve zamana bağlı geri dönüş özelliğiyle korunur.
• Her güncellemeden önce veritabanının ayrıca yedeği alınır.

Güvenli geliştirme

• Her sürümden önce tür denetimi, statik kod analizi (ESLint, Semgrep), birim testleri, bağımlılık güvenlik denetimi ve gizli bilgi taraması (gitleaks) çalıştırılır.
• Hata izleme hizmeti etkinleştirildiğinde kimlik doğrulama başlıkları, çerezler ve parola/belirteç alanları gönderilmeden temizlenir.

İdari tedbirler

• Müşteri Verisi'ne erişim, görev gereği ihtiyaç duyan personelle sınırlıdır ve personel gizlilik yükümlülüğü altındadır.
• Güvenlik açıkları, yayımlanan güvenlik açığı bildirim politikası üzerinden kabul edilir ve değerlendirilir.
• Alt Veri İşleyenler 9. bölüm uyarınca yazılı yükümlülüklere bağlanır.
• ISO 27001 belgelendirme süreci devam etmektedir.

Ek-3: Alt veri işleyenlerBağlantıyı kopyala

Notlar

• ENA Cloud (QR, NFC ve ekran yönlendirmeleri, kısa bağlantılar, bildirim ve yapay zekâ ağ geçitleri), ENA Innovation'ın kendi işlettiği hizmettir ve Alt Veri İşleyen değildir.
• Müşteri'nin kendi hesabıyla bağladığı sağlayıcılar (örneğin SendGrid, SMTP sunucusu, Twilio, Bird, Firebase Cloud Messaging, OpenAI, Anthropic veya kendi Google Gemini anahtarı) ve sayfa yazarlarının eklediği YouTube veya Vimeo gömmeleri bu listede yer almaz (3.3. madde).
• Güncel liste ayrıca Alt İşleyenler sayfasında yayımlanır. Alt Veri İşleyenlerin tam unvanları ve işleme yerleri, talep üzerine yazılı olarak bildirilir.