Veri İhlali Müdahale Politikası

1. Amaç

Kişisel verilerin yetkisiz kişilerce elde edildiği, değiştirildiği ya da kaybolduğu durumlarda ne yapacağımızı, kimi ne zaman bilgilendireceğimizi açıklar.

2. Kapsam

hangel platformunda ve Derneğin sistemlerinde işlenen tüm kişisel veriler; Dernek adına veri işleyen hizmet sağlayıcılarda yaşanan ihlaller.

3. İlkeler

1. Süre öğrenilen andan başlar. KVKK m.12/5 ve Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararı uyarınca ihlal, öğrenildiği andan itibaren en geç 72 saat içinde Kurul'a bildirilir; etkilenen kişilere makul en kısa sürede bildirim yapılır. AB'deki kişiler için GDPR m.33 ve m.34 gözetilir.
2. Önce sızıntıyı durdur. İlk iş kaynağın kapatılmasıdır (kural düzeltmesi, anahtar değişimi, erişimin kesilmesi).
3. Hassas veri önceliklidir. Sağlık verisi (kan grubu, sağlık rızası) ya da kurum banka bilgisi içeren ihlallerde bildirim eşiği düşük tutulur.
4. Kayıt. Her ihlal, bildirim gerekmese bile kayda geçirilir.

4. Roller ve sorumluluklar

• Tespit eden kişi: Hemen kvkk@hangel.org ve teknik sorumluya haber verir.
• Teknik sorumlu: Sızıntıyı durdurur, kök nedeni bulur, kanıtı korur.
• Veri sorumlusu irtibat kişisi: Kayıt açar, Kurul ve kişi bildirimlerini hazırlar.
• Yönetim Kurulu: Bildirim kararını onaylar.

5. Uygulama: hangel'de bugün nasıl işliyor

1. Tespit (T0): İhlal şüphesi; izinsiz erişim uyarısı, kullanıcı ya da araştırmacı bildirimi, yanlış yapılandırılmış erişim kuralı, hizmet sağlayıcıdan gelen bildirim ya da sızdırılmış anahtar ile gelebilir. 72 saat, ihlalin öğrenildiği andan başlar.
2. Kayıt: Süper yönetici panelindeki (Sözleşmeler → Hukuk Masası) "İhlal Kayıtları"na tarih, özet, etkilenen kişi sayısı, veri türleri ve durum (inceleniyor, kuruma bildirildi, kapandı) yazılır. Öğrenme zamanı, kök neden ve bildirim zamanları özet alanına yazılır.
3. Sınırlandırma: Kaynak kapatılır; gerekirse oturumlar ve anahtarlar yenilenir.
4. Değerlendirme ve bildirim: Risk değerlendirilir; Kurul'a Veri İhlali Bildirim Formu ile bildirim yapılır; etkilenen kişilere e-posta ve uygulama bildirimiyle haber verilir.
5. Ders çıkarma: Kök neden ve alınan önlem kaydın özetine eklenir.

Bu adımlar depodaki yazılı müdahale belgesine (veri ihlali runbook'u) dayanır.

6. Henüz yapmadıklarımız ve hedeflerimiz

• Müdahale adımları bir tatbikatla denenmedi; hedefimiz yılda bir masa başı tatbikat.
• Hizmet sağlayıcılarla yapılan sözleşmelerde ihlal bildirim süresi her sağlayıcı için ayrıca kontrol edilmedi.
• Etkilenen kişilere gönderilecek bildirim için hazır metin şablonu yok.
• İhlal kaydında öğrenme zamanı, olay zamanı, kök neden, sınırlandırma zamanı ve Kurul ile kişi bildirim zamanları için ayrı alanlar ve zaman çizelgesi yok; hedefimiz bunları kayda eklemek ve 72 saatlik süreyi gösteren bir sayaç kurmak.
• Atanmış bir Veri Koruma Görevlisi (DPO) yok.

7. Bildirim kanalı

Kişisel veri ihlali şüphesi: kvkk@hangel.org. Güvenlik açığı: info@hangel.org (konu: "Güvenlik bildirimi").

8. Gözden geçirme

Yılda en az bir kez ve her ihlalden sonra.

9. İlgili belgeler

Mevcut "Veri İhlali Bildirim Prosedürü" · Bilgi Güvenliği Politikası · Kişisel Verilerin Korunması Politikası · Kriz ve İş Sürekliliği Politikası