Bilgi Güvenliği Politikası

Bu Bilgi Güvenliği Politikası, Solid Reklam Ltd. Şti. ("Promoosyon", "Firma") tarafından yürütülen faaliyetlerde işlenen bilgi varlıklarının (müşteri ve ziyaretçi verileri, teklif ve sipariş kayıtları, müşterilerin yüklediği logo ve tasarım dosyaları, ticari sırlar, bilgi sistemleri ve promoosyon.com internet sitesi) gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için benimsenen ilkeleri, sorumlulukları ve olay müdahale esaslarını açıklar. Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") md.12 uyarınca alınması gereken teknik ve idari tedbirlerin kamuoyuyla paylaşılabilen özetini içerir. Firma'nın iç prosedürlerinin güvenlik sebebiyle gizli tutulan ayrıntıları bu metinde yer almaz.

1. Amaç ve Kapsam

Amaç; bilgi varlıklarını yetkisiz erişim, ifşa, değiştirme, kaybolma, zarar görme ve kullanılamaz hâle gelme risklerine karşı korumak, hukuki yükümlülüklere uymak ve müşteri güvenini sürdürmektir.
Politika; Firma yönetimini, çalışanları, stajyerleri, hizmet aldığı iş ortaklarını ve tedarikçileri, Site'yi ve Firma'nın kullandığı bilgi sistemlerini, ayrıca Site kullanıcılarını (kullanıcı sorumlulukları bakımından) kapsar.
Bu politika; KVKK Aydınlatma Metni, Gizlilik Politikası, Çerez Politikası ve Saklama ve İmha Politikası ile birlikte okunmalıdır.

2. Hukuki Dayanak

6698 sayılı KVKK md.12 (veri güvenliğine ilişkin yükümlülükler: uygun güvenlik düzeyinin sağlanması için gerekli her türlü teknik ve idari tedbirin alınması, denetim, verilerin hukuka aykırı olarak ifşası hâlinde bildirim) ve Kişisel Verileri Koruma Kurulu'nun kişisel veri güvenliği rehberleri ile kararları;
Kişisel Veri İhlali Bildirim Rehberi ve Kurul'un 24.01.2019 tarihli 2019/10 sayılı kararı (ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul'a bildirim);
5651 sayılı Kanun ve ilgili yönetmelikler (erişim/trafik kayıtlarının tutulması, bütünlüğünün korunması);
5237 sayılı Türk Ceza Kanunu'nun bilişim suçlarına ve kişisel verilerin korunmasına ilişkin hükümleri (bilişim sistemine girme, sistemi engelleme, bozma, verileri yok etme veya değiştirme; kişisel verileri hukuka aykırı kaydetme, verme veya ele geçirme);
6102 sayılı Türk Ticaret Kanunu, 213 sayılı Vergi Usul Kanunu ve ilgili mevzuatın kayıt saklama ve belge düzeni hükümleri;
6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve 5809 sayılı Elektronik Haberleşme Kanunu (elektronik iletişim ve haberleşme gizliliği bakımından).

3. Temel Güvenlik İlkeleri

İlke	Açıklama
Gizlilik	Bilgiye yalnızca yetkili kişiler, görevlerinin gerektirdiği ölçüde erişir.
Bütünlük	Bilginin doğruluğu ve tamlığı korunur; yetkisiz değişiklikler engellenir ve izlenir.
Erişilebilirlik	Bilgi ve sistemlere, ihtiyaç duyulduğunda yetkili kullanıcılar için ulaşılabilirlik sağlanır; yedekleme ve süreklilik planları uygulanır.
Asgari yetki ve veri minimizasyonu	Yalnızca amaç için gerekli veri toplanır; erişim yetkileri en az düzeyde tutulur.
Hesap verebilirlik	Kritik işlemler kayıt altına alınır ve izlenebilir; roller ve sorumluluklar tanımlıdır.
Tasarımdan güvenlik	Yeni özellik ve entegrasyonlar, geliştirme sırasında güvenlik ve gizlilik açısından değerlendirilir.
Sürekli iyileştirme	Riskler periyodik olarak gözden geçirilir; tedbirler güncel tehditlere göre iyileştirilir.

4. Teknik Tedbirler

İletişim güvenliği: Site ile kullanıcı arasındaki trafik, güncel şifreleme protokolleri (TLS/HTTPS) ile korunur; güvenlik başlıkları ve içerik güvenliği politikası (CSP) uygulanır.
Uygulama güvenliği: Giriş verilerinin doğrulanması ve temizlenmesi, SQL enjeksiyonu, siteler arası betik çalıştırma (XSS) ve siteler arası istek sahteciliği (CSRF) gibi yaygın saldırılara karşı koruma, hazırlanmış sorgular, güvenli oturum yönetimi ve yüklenen dosyalarda tür/boyut denetimi yapılır.
Dosya güvenliği: Müşterilerin Kendin Tasarla ile yüklediği logo, görsel ve tasarımlar sunucuda özel ve geçici alanda tutulur, doğrudan herkese açık dizinlerde listelenmez; belirli bir süre sonunda veya amaç sona erdiğinde silinir.
Ağ ve sunucu güvenliği: Güvenlik duvarı, gereksiz servislerin kapatılması, sunucu ve yazılım bileşenlerinin güncel tutulması, yama yönetimi, zararlı yazılımdan korunma.
Kimlik doğrulama ve yetkilendirme: Yönetim ve sunucu erişimlerinde güçlü parola politikası, mümkün olan yerlerde çok aşamalı doğrulama, rol bazlı erişim ve ayrıcalıklı hesapların sınırlandırılması; parolaların düz metin olarak saklanmaması.
Kayıt ve izleme: Güvenlik açısından önemli olayların ve erişimlerin kaydı (log), şüpheli faaliyetlerin tespiti; log kayıtlarının bütünlüğünün korunması ve erişimin sınırlandırılması.
Şifreleme ve anonimleştirme: Uygun olan hâllerde saklanan ve iletilen verilerin şifrelenmesi; analiz amaçlı verilerin mümkünse toplulaştırılması veya anonimleştirilmesi.
Yedekleme ve süreklilik: Kritik verilerin düzenli ve ayrı bir ortamda yedeklenmesi, yedeklerin korunması ve geri yükleme prosedürlerinin periyodik olarak denenmesi; felaket ve kesinti durumları için kurtarma planı.
Fiziksel güvenlik: Bilgisayar, sunucu ve belgelerin bulunduğu alanlara erişimin kontrol edilmesi; ofis dışındaki taşınabilir cihaz ve ortamların korunması; kâğıt belgelerin güvenli imhası.

5. İdari Tedbirler

Roller ve sorumluluklar: Bilgi güvenliği sorumlulukları Firma yönetimi tarafından atanır; çalışanlar görevleriyle ilgili güvenlik kurallarına uymakla yükümlüdür.
Gizlilik taahhüdü: Çalışanlar ve ilgili iş ortakları, kişisel veri ve ticari sırlara ilişkin gizlilik yükümlülükleri altındadır; bu yükümlülük görev/sözleşme ilişkisinin sona ermesinden sonra da devam eder.
Eğitim ve farkındalık: Personelin KVKK, oltalama (phishing), sosyal mühendislik ve güvenli parola konusunda bilgilendirilmesi.
Erişim yönetimi: Yetkilerin göreve başlama, görev değişikliği ve ayrılış hâllerinde zamanında verilmesi, güncellenmesi ve kaldırılması; yetkilerin periyodik gözden geçirilmesi.
Temiz masa/temiz ekran: Gizli belge ve ekranların yetkisiz kişilerce görülmesinin önlenmesi.
Risk yönetimi ve denetim: Bilgi varlıklarının envanteri, risk değerlendirmesi, iç kontrol ve gerektiğinde bağımsız güvenlik testleri; tespit edilen eksikliklerin giderilmesi.
Veri minimizasyonu ve imha: Gereksiz verilerin toplanmaması; saklama süresi dolan verilerin Saklama ve İmha Politikasına göre silinmesi, yok edilmesi veya anonim hâle getirilmesi.

6. Tedarikçi ve İş Ortağı Yönetimi

Barındırma, e-posta/e-bülten, SMS, yedekleme, analitik, kargo ve baskı gibi hizmet sağlayıcılar, veri güvenliği ve gizlilik bakımından değerlendirilir.
Kişisel veri işleyen hizmet sağlayıcılarla yapılan sözleşmelerde; verilerin yalnızca Firma'nın talimatı doğrultusunda işlenmesi, gizlilik, uygun güvenlik tedbirleri, alt işleyen kullanımının kontrolü, ihlal hâlinde gecikmeksizin bildirim ve sözleşme sonunda verilerin iade/silinmesi hükümlerine yer verilmesi esastır.
Yurt dışında hizmet alınması hâlinde, KVKK md.9 uyarınca aktarım rejimi (yeterlilik kararı, uygun güvenceler, arızi aktarım) gözetilir.
Sözleşme hükümlerini ihlal eden veya güvenlik seviyesi yetersiz kalan tedarikçiler için düzeltici önlemler istenir; gerektiğinde ilişki sonlandırılır.

7. Güvenlik Olaylarına Müdahale ve Veri İhlali Bildirimi

7.1. Olay müdahale süreci

Tespit ve bildirim: Şüpheli bir olay (yetkisiz erişim, kötü amaçlı yazılım, veri sızıntısı, kayıp/çalıntı cihaz, yanlış alıcıya gönderim vb.) fark eden her çalışan, olayı gecikmeksizin Firma yönetimine bildirir.
Değerlendirme: Olayın kapsamı, etkilenen sistemler ve veriler, etkilenen kişi sayısı ve riskler belirlenir; olay bir kişisel veri ihlali olup olmadığı yönünden değerlendirilir.
Sınırlandırma ve giderme: Erişimlerin kesilmesi, parolaların/anahtarların değiştirilmesi, zafiyetlerin kapatılması, etkilenen sistemlerin izole edilmesi ve gerekirse yedekten geri dönüş.
Kanıt koruma: İlgili logların, dosyaların ve sistem görüntülerinin delil niteliği korunarak saklanması.
Bildirim: Aşağıdaki esaslara göre ilgili kişilerin ve yetkili makamların bilgilendirilmesi.
İnceleme ve iyileştirme: Olayın kök nedeni analiz edilir; tedbirler gözden geçirilir ve olay kaydı tutulur.

7.2. Kişisel veri ihlali bildirimi (KVKK md.12/5)

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, Firma bu durumu en kısa sürede ilgili kişiye ve Kişisel Verileri Koruma Kurulu'na bildirir. Kurul'un 2019/10 sayılı kararına göre Kurul'a bildirim, ihlalin öğrenildiği andan itibaren en geç 72 saat içinde, Kurum'un internet sitesinde yayımlanan "Kişisel Veri İhlali Bildirim Formu" ile yapılır; bilgilerin aynı anda sağlanamadığı hâllerde aşamalı bildirim yapılabilir; 72 saatin aşılması hâlinde gecikmenin gerekçesi bildirimde açıklanır. İlgili kişilere bildirim, iletişim adreslerine ulaşılabiliyorsa doğrudan; ulaşılamıyorsa uygun yöntemlerle (ör. Firma'nın internet sitesinde yayım) yapılır. Bildirim, ihlalden etkilenenlerin riske karşı tedbir almalarını mümkün kılacak şekilde olayın niteliğini ve alınan önlemleri içerir. Firma ayrıca tüm ihlalleri, ihlalin hukuki, mali ve diğer sonuçlarını ve alınan tedbirleri içeren bir ihlal kaydında tutar. Ayrıntılı rehber için kvkk.gov.tr adresine bakınız.

7.3. Ek bildirimler

Olayın niteliğine göre, mevzuattan kaynaklanan başka bildirim yükümlülükleri (ör. kolluk ve savcılık makamlarına suç duyurusu, sözleşmelerden kaynaklanan müşteri bildirimleri) de yerine getirilir.

8. Güvenlik Açığı Bildirimi (Sorumlu Bildirim)

Site ve sistemlerimizdeki güvenlik açıklarını bize bildirerek güvenliğin artırılmasına katkıda bulunmanızı memnuniyetle karşılarız. Güvenlik açığı bildirirken aşağıdaki kurallara uymanızı rica ederiz:

8.1. Bildirim yöntemi

Bulduğunuz açığı, iletişim formumuz üzerinden konu olarak "Güvenlik Açığı Bildirimi" seçerek veya yazarak iletiniz. Bildiriminizde; etkilenen adres/sayfa, açığın türü, adım adım yeniden üretme yöntemi, varsa kanıt (ekran görüntüsü, istek/yanıt) ve size ulaşabileceğimiz iletişim bilgisi bulunmalıdır. Açığın ayrıntılarını (özellikle istismar kodunu) herkese açık platformlarda paylaşmayınız. Bildiriminizin alındığı en kısa sürede teyit edilmeye çalışılır; değerlendirme sonucu ve düzeltme durumu hakkında makul süre içinde bilgi verilir.

8.2. Uyulması gereken kurallar

Yalnızca açığın varlığını göstermek için gerekli asgari testi yapınız; veri indirmeyiniz, kopyalamayınız, değiştirmeyiniz veya silmeyiniz. Karşılaştığınız kişisel verilere erişmeyiniz, bunları saklamayınız ve paylaşmayınız.
Hizmetin kesilmesine veya yavaşlamasına yol açacak yük testi, hizmet dışı bırakma (DoS/DDoS), kaba kuvvet (brute force) ve otomatik yoğun tarama gibi yöntemleri kullanmayınız.
Sosyal mühendislik, fiziksel saldırı, oltalama, çalışanlara veya müşterilere yönelik saldırılar ile üçüncü taraf hizmetlere (barındırma sağlayıcısı vb.) karşı test yapmak kapsam dışıdır.
Açığı kötüye kullanmayınız, bildirmeden önce üçüncü kişilerle paylaşmayınız; düzeltme için makul süre tanıyınız.
Bildirim karşılığında ödül, ücret veya başka bir menfaat talep etmeyiniz; Firma bir ödül taahhüdünde bulunmaz, ancak katkınızdan dolayı teşekkür edebilir.

8.3. Hukuki çerçeve

Bu bölümdeki kurallara iyi niyetle ve eksiksiz uyan bildirimciler hakkında Firma, bildirim nedeniyle hukuki yollara başvurmama yönünde iyi niyet gösterir. Ancak bu bir muafiyet veya izin değildir: Türk Ceza Kanunu'nun bilişim sistemine girme, sistemi engelleme/bozma, verileri yok etme/değiştirme ve kişisel verilerin hukuka aykırı elde edilmesine ilişkin hükümleri ile 6698 sayılı Kanun ve diğer mevzuattan doğan sorumluluk saklıdır. Kuralları aşan, kişisel verilere erişen/ifşa eden, hizmeti aksatan veya kötü niyetli fiiller hakkında yasal yollara başvurma hakkımız saklıdır. Bildiriminiz nedeniyle edindiğiniz bilgiler gizli tutulmalıdır.

9. Kullanıcı Sorumlulukları

Site'yi hukuka ve dürüstlük kurallarına uygun kullanmak; sistemlerin güvenliğini ve işleyişini bozacak, yetkisiz erişim sağlayacak, zararlı yazılım yükleyecek veya otomatik araçlarla Site'ye aşırı yük bindirecek eylemlerden kaçınmak;
Kendi cihazlarını, tarayıcılarını ve e-posta hesaplarını güncel ve güvenli tutmak; parolalarını üçüncü kişilerle paylaşmamak;
Kendin Tasarla veya diğer formlar aracılığıyla yüklediği dosyaların zararlı kod içermediğinden ve üçüncü kişi haklarını ihlal etmediğinden emin olmak (bkz. Fikri Mülkiyet ve Telif Hakları);
Firma adına gelen şüpheli e-posta/iletileri doğrulamak: Firma, e-posta veya mesaj yoluyla parolanızı ya da kart bilgilerinizi asla istemez; ödeme bilgilerinin teyidi için 0850 302 20 09 numaralı hattımızı veya iletişim formunu kullanınız;
Güvenlik ihlali şüphesi veya hesabınızın/bilgilerinizin kötüye kullanıldığına dair bir bulgu hâlinde Firma'yı gecikmeksizin bilgilendirmek.

Bu yükümlülüklere aykırılıktan doğan zararlardan, kusuru oranında, ilgili kullanıcı sorumludur; Firma'nın uğradığı zararlar ve üçüncü kişi taleplerinde kullanıcı, kusurlu davranışı oranında Firma'yı tazmin eder. Kullanıcının ihlal etmesi hâlinde Firma, ilgili erişimi sınırlama, içeriği kaldırma ve yasal yollara başvurma hakkına sahiptir.

10. Çalışanlar ve Disiplin

Bu politikanın ve Firma'nın güvenlik kurallarının ihlali; iş sözleşmesi ve iş mevzuatı çerçevesinde disiplin işlemi, sözleşmesel yaptırım ve gerektiğinde hukuki ve cezai yollara başvurulmasına yol açabilir. İhlal şüphesi ihbarında bulunan çalışanlar ve bildirimciler hakkında kötü niyet bulunmadıkça misilleme yapılmaz.

11. Politikanın Sorumlusu, Gözden Geçirme ve Sınırlamalar

Politika Firma yönetimi tarafından onaylanır; yılda en az bir kez veya önemli bir değişiklik/olay sonrasında gözden geçirilir.
Hiçbir bilgi güvenliği sistemi mutlak güvenlik sağlayamaz. Firma, KVKK md.12 ve ilgili mevzuat kapsamında makul ve gerekli tedbirleri almayı taahhüt eder; ancak Firma'nın kontrolü dışındaki olaylar (mücbir sebep, üçüncü kişilerin hukuka aykırı eylemleri, kullanıcı cihaz ve hesaplarının ele geçirilmesi, internet altyapısı ve hizmet sağlayıcı arızaları) nedeniyle oluşan zararlardan, Firma'nın kasıt veya ağır kusuru ile kanunen sorumlu olunan haller saklı kalmak kaydıyla, sorumlu tutulamaz.
Tüketici işlemlerinde kanundan doğan emredici haklar ile KVKK'dan doğan veri sahibi hakları saklıdır.
Firma, politikayı mevzuat ve teknolojik gelişmelere bağlı olarak değiştirme hakkını saklı tutar; güncel sürüm yayımlandığı tarihte yürürlüğe girer. Bir hükmün geçersizliği, diğer hükümlerin geçerliliğini etkilemez.
Bu politikadan doğan uyuşmazlıklarda Türk hukuku uygulanır; tüketici mevzuatından doğan yetki kuralları saklı kalmak kaydıyla, Konya Mahkemeleri ve İcra Daireleri yetkilidir. Firma'nın sistem kayıtları, HMK md.193 uyarınca delil niteliğindedir.

12. İletişim

Bilgi güvenliği, ihlal ve güvenlik açığı bildirimleriniz için: Solid Reklam Ltd. Şti., Akademi Mah. Gürbulut Sk. Teknokent Sit. No:67 Selçuklu/KONYA, telefon: 0850 302 20 09; iletişim formumuz. Kişisel verilerinize ilişkin başvurularınız için Veri Sahibi Başvuru Prosedürü'ne bakınız.

Yürürlük tarihi: 22 Ekim 2026

Son güncelleme: 22 Ekim 2026