Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Amaç ve kapsam

Bu politika, ORGA’nın kişisel veri işleme faaliyetlerinde veri minimizasyonu, amaçla sınırlılık, doğruluk, güvenlik, saklama ve hesap verebilirlik yaklaşımını belirler. Ayrıntılı kullanıcı bilgilendirmesi için Aydınlatma Metni esas alınır.

2. Veri minimizasyonu

• Üyelikte yalnız hizmet için gerekli temel alanlar istenir; ad, soyad ve cinsiyet kayıt için zorunlu değildir.
• Üyelikte yalnız 13+ yaş beyanı alınır; tam doğum tarihi ancak kullanıcı profilinden isteğe bağlı eklerse işlenir ve görünürlüğü varsayılan kapalıdır.
• Kart verileri ORGA veritabanında tutulmaz; Premium ödeme işlemleri Lemon Squeezy ödeme ortamında yürütülür.
• Gereksiz özel nitelikli kişisel veri toplanmaması esastır.

3. Rol ve erişim yönetimi

Yönetim, destek, üretici inceleme ve kullanıcı işlemleri görev ihtiyacına göre ayrıştırılır. Yönetim erişimleri oturum güvenliği, CSRF koruması, MFA/güvenlik kayıtları ve denetim günlükleriyle desteklenir.

4. Teknik ve idari güvenlik

• Parolalar geri döndürülemez güçlü parola özetleriyle saklanır.
• Oturum/çerezlerde güvenli bayraklar, CSRF kontrolleri, hız sınırları ve güvenlik günlükleri kullanılır.
• Üretici paketleri yayımdan önce meta veri ve güvenlik incelemesinden geçirilir; dosya özetleri kaydedilir.
• Gizli anahtarlar ve sağlayıcı kimlik bilgileri mümkün olduğunca ortam yapılandırmasında tutulur.
• Yetkisiz erişim veya veri ihlali şüphesi kayda alınır, kapsamı değerlendirilir ve uygulanabilir bildirim yükümlülükleri yerine getirilir.

5. Saklama, anonimleştirme ve imha

Her veri grubu için amaç, hesap/abonelik ilişkisi, güvenlik ihtiyacı ve yasal saklama yükümlülüğü dikkate alınır. Saklama gerekçesi sona eren veriler güvenli şekilde silinir, anonimleştirilir veya erişimi kısıtlanır. Yedeklerdeki silme, yedek döngüsüne uygun biçimde tamamlanır.

6. Tedarikçiler ve yurt dışı aktarım

Bir hizmet sağlayıcı eklenmeden önce aktarılan veri, amaç, güvenlik ihtiyacı ve ülke/aktarım yapısı değerlendirilir. Yurt dışı aktarım varsa KVKK m.9 kapsamında uygun mekanizma uygulanır ve gerekli kayıt/bildirim süreçleri ayrıca yürütülür.

7. İlgili kişi talepleri

KVKK başvuruları destek@orga.net.tr veya Destek Merkezi üzerinden alınır. Başvuru sahibinin kimliği ölçülü yöntemlerle doğrulanır, talep ilgili sistemlerde araştırılır ve mevzuattaki süreler içinde cevaplandırılır.