1. Amaç
hangel'in hizmet aldığı şirketleri nasıl seçtiğimizi, onlarla hangi veriyi paylaştığımızı ve bu ilişkileri nasıl izlediğimizi açıklar.
2. Kapsam
Derneğin mal ve hizmet aldığı tüm tedarikçiler; özellikle hangel adına kişisel veri işleyen bulut, e-posta, mesajlaşma, yapay zekâ, hata izleme, toplantı ve satış ortaklığı hizmet sağlayıcıları.
3. İlkeler
- Gerekli olan kadar veri. Tedarikçiye yalnız hizmet için gereken veri verilir.
- Veri koruma güvencesi. Kişisel veri işleyen tedarikçinin veri koruma koşulları (veri işleme sözleşmesi, bölge, alt işleyenler) incelenir.
- Paylaşılan sorumluluk. Tedarikçinin güvenlik belgeleri hangel'e geçmez; hangel kendi yapılandırmasından sorumludur.
- Etik beklenti. Tedarikçilerden rüşvet, zorla çalıştırma ve ayrımcılığa karşı tutumumuzla bağdaşan bir davranış beklenir.
- Açıklık. Başlıca hizmet sağlayıcılarımızı ve veri konumlarını kamuya açık metinlerde yazarız.
4. Roller ve sorumluluklar
- Yönetim Kurulu: Önemli tedarikçi sözleşmelerini onaylar.
- Teknik sorumlu: Hizmet sağlayıcıların teknik ve güvenlik ayarlarını yönetir.
- Süper yöneticiler: Panelden yönetilen sağlayıcı anahtarlarını yönetir; anahtarlar ekranda tam gösterilmez.
5. Uygulama: hangel'de bugün nasıl işliyor
Başlıca hizmet sağlayıcı türleri ve örnekleri:
| Tür | Örnek | Not |
|---|---|---|
| Bulut altyapısı | Google Cloud / Firebase | Veritabanı Avrupa'da (eur3), uygulama sunucusu Hollanda'da, dosya deposu ABD'de |
| Yapay zekâ | Google Gemini, Anthropic Claude | Yapay Zekâ Etiği Politikası |
| Hata izleme | Sentry | Avrupa (Almanya) veri bölgesi; ad, e-posta ve kullanıcı kimliği gönderilmez |
| Ziyaret analitiği | Microsoft Clarity | Yalnız analitik çerez onayıyla; form alanları maskelenir |
| Bot koruması | Google reCAPTCHA | Kayıt, iletişim ve anket formlarında |
| E-posta, SMS, WhatsApp | E-posta gönderim hizmetleri, SMS sağlayıcıları, Meta WhatsApp | Bildirim ve doğrulama kodları |
| Toplantı | LiveKit tabanlı Oda sunucusu, Google Meet ve YouTube entegrasyonları | Kurum bağlantıyı kendisi kurar |
| Satış ortaklığı | Affiliate ağları ve anlaşmalı mağazalar | Bağış ve Satış Ortaklığı Şeffaflığı Politikası |
| Mobil platform | Apple ve Google (bildirim, cüzdan, giriş) |
- Gizli anahtarların bir kısmı Secret Manager'da, yapay zekâ sağlayıcı anahtarları yalnız sunucunun okuyabildiği kayıtlarda tutulur.
- Yazılım bileşenleri listesi (SBOM) her yayında üretilir ve yayımlanır.
6. Henüz yapmadıklarımız ve hedeflerimiz
- Tüm tedarikçileri, işledikleri veri türlerini, bölgelerini ve sözleşme durumlarını gösteren tek bir güncel tedarikçi listesi (BGYS-09) henüz hazırlanmadı.
- Her tedarikçiyle veri işleme sözleşmesinin varlığı ve yurt dışı aktarım dayanağı tek tek kontrol edilmedi; KVKK m.9 kapsamındaki değerlendirme avukat incelemesindedir.
- Tedarikçiler için yıllık güvenlik ve etik değerlendirmesi yapılmıyor.
- Tedarikçi sözleşmelerinde etik ve insan hakları maddesi yok.
7. Bildirim kanalı
Tedarikçiyle ilgili endişe ya da güvenlik sorunu: info@hangel.org. Usulsüzlük: kvkk@hangel.org (konu: "İhbar — Gizli").
8. Gözden geçirme
Yılda en az bir kez ve yeni bir hizmet sağlayıcı eklendiğinde ya da çıkarıldığında.
9. İlgili belgeler
Bilgi Güvenliği Politikası · Gizlilik Politikası · Mevcut "Veri Transferi ve Barındırma Beyanı", "Satın Alma Politikası" ve "Üçüncü Taraf Gözetim ve Etik Performans Beyanı"
Bu belgenin güncel sürümü: https://hangel.org/policies/supplier-third-party