Bilgi Güvenliği ve Kişisel Verilerin Korunması

Bu politika, MRT Havacılık AVIATION & DEFENCE TECHNOLOGIES bünyesinde işlenen, saklanan ve iletilen tüm bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumaya yönelik yönetsel ve teknik tedbirleri düzenler. Politika; şirket personelini, alt yüklenicilerini, tedarikçilerini ve müşteri verisine erişimi olan tüm üçüncü tarafları kapsar. Uygulama alanı, savunma sanayii ve havacılık sektörüne özgü teknik doküman, tasarım verisi ve müşteri bilgilerini de içerir.

Şirket bünyesinde işlenen bilgiler; "Genel", "Şirkete Özel", "Gizli" ve "Çok Gizli" olmak üzere dört seviyede sınıflandırılır. Müşteri teknik şartnameleri, tasarım dosyaları ve savunma sanayii projelerine ilişkin dokümanlar asgari "Gizli" seviyesinde işlem görür. Sınıflandırma seviyesi, ilgili verinin erişim, saklama, taşıma ve imha koşullarını belirler; bu koşullar ISO/IEC 27001 standardının varlık yönetimi (A.8) kontrol maddeleriyle uyumlu olarak uygulanır.

Bilgi sistemlerine erişim, görev gereksinimi ilkesi (need-to-know) çerçevesinde tanımlanır. Her kullanıcı hesabı bireysel kimlik doğrulamaya bağlıdır; ortak hesap kullanımı yasaktır. Yönetici yetkileri ayrı hesaplar üzerinden yürütülür ve periyodik olarak gözden geçirilir. Uzaktan erişim yalnızca kurumsal VPN altyapısı ve çok faktörlü kimlik doğrulama ile sağlanır. Erişim kayıtları, olay sonrası inceleme amacıyla asgari on iki ay süreyle tutulur.

Gizli ve Çok Gizli sınıfındaki veriler, hem depolama hem iletim sırasında endüstri standardı şifreleme algoritmalarıyla korunur. Taşınabilir depolama birimlerinde şifrelenmemiş kurumsal veri bulundurulamaz. Müşteriye ait teknik çizim ve tasarım dosyaları, yalnızca yetkilendirilmiş proje ekipleri tarafından erişilebilen ayrıştırılmış dosya alanlarında tutulur. Yedekleme süreçleri şifreli olarak yürütülür ve yedek bütünlüğü düzenli olarak doğrulanır.

Bilgiye erişimi olan tedarikçi ve alt yüklenicilerle gizlilik sözleşmesi imzalanmadan çalışma ilişkisi başlatılmaz. Kritik tedarikçilerin bilgi güvenliği kapasitesi, sözleşme öncesinde değerlendirmeye alınır ve sözleşme süresince periyodik olarak denetlenir. Üçüncü taraflara veri aktarımı, yalnızca sözleşmede tanımlı amaç ve kapsamla sınırlı olarak gerçekleştirilir; aktarım sona erdiğinde ilgili verinin imhası veya iadesi sözleşme hükmü olarak talep edilir.

Şüpheli erişim, veri sızıntısı veya sistem ihlali niteliğindeki her olay, tespit edildiği anda bilgi güvenliği sorumlusuna bildirilir ve olay müdahale prosedürü devreye alınır. Kişisel veri ihlali niteliği taşıyan olaylar, KVKK'nın 12. maddesi uyarınca Kişisel Verileri Koruma Kurulu'na ve etkilenen ilgili kişilere gerekliliği doğrultusunda gecikmeksizin bildirilir. Her olay, kök neden analizi ile sonuçlandırılır ve alınan önlemler kayıt altına alınır.

Bilgi sistemlerine erişimi olan her personel, işe başlama aşamasında gizlilik taahhüdü imzalar ve bilgi güvenliği farkındalık eğitiminden geçer. Eğitimler yıllık olarak tekrarlanır ve sosyal mühendislik, oltalama (phishing) ve veri sınıflandırma konularını kapsar. Görev değişikliği veya işten ayrılma hâlinde erişim yetkileri aynı gün içinde sonlandırılır.

Bu politika yılda en az bir kez veya mevzuatta, tehdit ortamında ya da şirket organizasyonunda önemli bir değişiklik olması hâlinde gözden geçirilir. Güncellemeler yönetim onayı ile yürürlüğe girer ve ilgili tüm personele bildirilir.

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") kapsamında veri sorumlusu, MRT Havacılık AVIATION & DEFENCE TECHNOLOGIES'dir. Kanun'un 10. maddesi uyarınca aşağıdaki bilgiler, kişisel verilerinizin işlenmesine ilişkin sizi aydınlatmak amacıyla sunulmaktadır.

İletişim kurduğunuz kanala bağlı olarak; ad-soyad, telefon numarası, e-posta adresi, şirket ve unvan bilgisi ile tarafımıza ilettiğiniz talep veya teknik doküman içeriğindeki kişisel veriler işlenmektedir. İş ortaklığı veya tedarikçi başvurularında ayrıca meslekî deneyim ve iletişim bilgileri işleme kapsamına girebilir.

Kişisel verileriniz; talebinizin değerlendirilmesi ve yanıtlanması, sözleşme öncesi görüşmelerin yürütülmesi, mevcut veya potansiyel iş ilişkisinin kurulması, hizmet kalitesinin izlenmesi, hukuki yükümlülüklerin yerine getirilmesi ve savunma-havacılık sektörüne özgü mevzuat gerekliliklerinin karşılanması amaçlarıyla işlenmektedir.

Kişisel verileriniz; internet sitesi üzerindeki iletişim kanalları, telefon, e-posta veya yüz yüze görüşmeler yoluyla, KVKK'nın 5. maddesinde yer alan "bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olma", "veri sorumlusunun meşru menfaati" ve talebinizin niteliğine göre "açık rıza" hukuki sebeplerine dayanılarak toplanmaktadır.

Kişisel verileriniz; yalnızca hizmetin ifası için zorunlu olduğu ölçüde, bilgi teknolojileri altyapısı sağlayan hizmet sağlayıcılarımıza, hukuki yükümlülüklerimiz gereği yetkili kamu kurum ve kuruluşlarına, ve savunma sanayii projelerinde tarafı olduğumuz sözleşmeler kapsamında ilgili kamu otoritelerine, KVKK'nın 8. ve 9. maddelerinde belirtilen şartlara uygun olarak aktarılabilir. Verileriniz, açık rızanız veya kanuni bir dayanak bulunmadıkça yurt dışına aktarılmaz.

Kişisel verileriniz, işleme amacının gerektirdiği süre ile sınırlı olarak ve ilgili mevzuatta öngörülen zamanaşımı süreleri gözetilerek saklanır. Sözleşme ilişkisine konu olan veriler, ticari ilişkinin sona ermesinden itibaren yasal saklama süreleri boyunca muhafaza edilir; bu sürenin sonunda silinir, yok edilir veya anonim hâle getirilir.

KVKK'nın 11. maddesi uyarınca; kişisel verinizin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, işleme sebeplerinin ortadan kalkması hâlinde silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, işlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işlenme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarına sahipsiniz.

Yukarıda sayılan haklarınızı kullanmak için talebinizi, kimliğinizi tevsik eden bilgi ve belgelerle birlikte yazılı olarak veya Kişisel Verileri Koruma Kurulu'nun belirlediği diğer yöntemlerle veri sorumlusuna iletebilirsiniz. Başvurunuz, niteliğine göre en kısa sürede ve her hâlükârda en fazla otuz gün içinde ücretsiz olarak sonuçlandırılır; işlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul tarafından belirlenen tarifedeki ücret talep edilebilir.