Tedarikçi ve Üçüncü Taraf Güvenliği Politikası

1. Amaç
Bu politikanın amacı, Cronexis Teknoloji A.Ş.’nin işbirliği yaptığı tedarikçilerin ve üçüncü tarafların, şirketin güvenlik standartlarına uygun hareket etmelerini sağlamaktır. Bu politika, dış ortaklarla çalışmanın risklerini azaltmayı ve bu ortakların şirketin bilgi güvenliği uygulamaları, veri koruma yasaları ve diğer ilgili düzenlemelere uygunluğunu temin etmeyi hedefler.

2. Kapsam
Bu politika, Cronexis Teknoloji A.Ş.’nin sistemlerine, verilerine veya diğer hassas varlıklarına erişimi olan tüm tedarikçi organizasyonları, taşeronları, satıcıları ve üçüncü tarafları kapsar. Politika, tedarikçi ilişkilerinin tüm aşamalarını kapsar: seçim, işe alım, izleme ve değerlendirme.

3. Tedarikçi ve Üçüncü Taraf Seçimi
Herhangi bir sözleşme yapmadan önce, Cronexis Teknoloji A.Ş. potansiyel tedarikçilerin ve üçüncü tarafların güvenlik duruşlarını değerlendirmek için kapsamlı bir risk değerlendirmesi yapacaktır. Bu değerlendirme şu unsurları içerecektir:

Güvenlik Politikaları: Tedarikçilerin bilgi güvenliği politikaları ve uygulamalarının, Cronexis Technology Inc.’nin güvenlik standartları ile uyumlu olup olmadığının incelenmesi.
Risk Değerlendirmesi: Tedarikçinin sisteme ve verilere erişimle ilgili potansiyel risklerin değerlendirilmesi.
Uyum Kontrolü: Tedarikçinin, ilgili yasa ve düzenlemelere (örneğin GDPR, KVKK) uyumlu olup olmadığının kontrol edilmesi.
Güvenlik Sertifikaları: Tedarikçinin güvenlik sertifikalarının (örneğin ISO 27001, SOC 2) ve güvenlik olaylarını yönetme geçmişinin değerlendirilmesi.

4. Sözleşmesel Anlaşmalar
Tüm tedarikçi sözleşmeleri, aşağıdaki güvenlik ile ilgili şartları içermelidir:

Gizlilik Anlaşması: Tedarikçiler, Cronexis Teknoloji A.Ş.’nin gizli ve hassas bilgilerini korumayı kabul etmelidir.
Veri Koruma Maddeleri: Verilerin nasıl işleneceği, depolanacağı, iletileceği ve korunacağına dair açık kurallar, veri koruma düzenlemelerine (GDPR, KVKK vb.) uyum sağlanmalıdır.
Olay Bildirimi Gereklilikleri: Tedarikçiler, güvenlik ihlalleri veya olaylarını belirli bir süre zarfında bildirmeyi kabul etmelidir.
Denetim Hakkı: Cronexis Teknoloji A.Ş., tedarikçinin güvenlik uygulamalarını denetleme hakkını saklı tutar.
Fesih Maddeleri: Güvenlik politikalarına uyumsuzluk durumunda, Cronexis Technology Inc. sözleşmeyi feshetme hakkına sahiptir.

5. Tedarikçi Erişim Kontrolü
Tedarikçilere ve üçüncü taraflara, yalnızca sözleşmede belirtilen görevleri yerine getirmek için gerekli olan sistemler, veriler veya tesisler erişimi verilecektir. Bu erişim:

Asgari: Erişim, yalnızca gerekli bilgiye en az şekilde sahip olmayı gerektirir.
Kontrollü: Tedarikçi erişimi, güçlü kimlik doğrulama mekanizmaları (örneğin çok faktörlü kimlik doğrulama) ile yönetilecektir.
İzlenmiş: Tüm tedarikçi aktiviteleri, şirketin sistemlerine veya verilerine erişimiyle ilgili güvenlik amaçlı olarak izlenecek ve kaydedilecektir.

6. Veri Güvenliği ve Koruma
Tedarikçiler ve üçüncü taraflar, Cronexis Teknoloji A.Ş.’nin veri güvenliği standartlarına uymalı ve kişisel ve hassas verilerin depolanması, işlenmesi ve iletilmesi sırasında korunmasını sağlamalıdır. Aşağıdaki uygulamalar gerçekleştirilmelidir:

Şifreleme: Tüm hassas veriler hem iletimde hem de dinleniyor durumda şifrelenmelidir.
Veri Depolama: Hassas veriler, endüstri en iyi uygulamalarına uygun güvenli ortamlarda saklanmalıdır.
Üçüncü Taraf Veri Paylaşımı: Veri paylaşımı, yalnızca Cronexis Teknoloji A.Ş.’nin güvenlik protokollerine uygun olarak onaylanmalı ve yönetilmelidir.

7. Güvenlik Olay Yönetimi
Bir güvenlik ihlali veya olayı durumunda, tedarikçiler ve üçüncü taraflar aşağıdaki prosedürleri izlemelidir:

Hızlı Bildirim: Tedarikçiler, Cronexis Technology Inc.’nin verilerine, sistemlerine veya güvenliğine zarar verebilecek bir güvenlik olayı keşfettiklerinde hemen bildirimde bulunmalıdır.
Olay Araştırması: Tedarikçiler, Cronexis Technology Inc. ile işbirliği yaparak olayın araştırılmasında ve düzeltici önlemlerin alınmasında yardımcı olmalıdır.
Azaltma ve Kurtarma: Tedarikçiler, ihlalin etkilerini azaltacak uygun önlemleri almalı ve kurtarma çabalarına yardımcı olmalıdır.

8. Sürekli İzleme ve Değerlendirme
Tedarikçi ve üçüncü taraf güvenlik uygulamaları, Cronexis Teknoloji A.Ş.’nin güvenlik standartlarına uyum sağlandığından emin olmak için sürekli izlenecektir. Bu şunları içerir:

Periyodik Denetimler: Güvenlik uygulamalarının etkinliğini değerlendirmek için düzenli denetimler yapılacaktır.
Güvenlik Gözden Geçirmeleri: Tedarikçi veya üçüncü tarafların güvenlik uygulamalarının gelişen güvenlik tehditlerine karşı değerlendirileceği güvenlik gözden geçirmeleri yapılacaktır.
Sözleşme Yenileme Değerlendirmesi: Sözleşme yenileme veya uzatma durumunda, tedarikçinin güvenlik uyumunu yeniden değerlendirmek gerekecektir.

9. Üçüncü Taraf İlişkilerinin Sonlandırılması
Bir sözleşme ihlali, önemli bir güvenlik olayı veya güvenlik önlemlerine uyumsuzluk durumunda, Cronexis Teknoloji A.Ş. sözleşmeyi feshetme hakkını saklı tutar. Sözleşmenin sona ermesi durumunda, tedarikçi aşağıdaki işlemleri gerçekleştirecektir:

Verilerin Geri İade Edilmesi: Tüm şirket verileri ve özel bilgiler geri verilecek veya güvenli bir şekilde silinecektir.
Erişim İptali: Cronexis Technology Inc.’nin sistemlerine veya verilerine verilen tüm erişim derhal iptal edilecektir.
Çıkış Stratejisi: Verilerin ve sorumlulukların güvenli bir şekilde devredilmesini sağlamak için uygun bir çıkış stratejisi izlenecektir.

10. Tedarikçi Güvenlik Eğitimi
Tedarikçiler ve üçüncü taraflar, Cronexis Teknoloji A.Ş.’nın verilerine veya sistemlerine erişimi olan çalışanlarının bilgi güvenliği uygulamaları konusunda yeterli eğitim almasını sağlamalıdır. Bu şunları içerir:

Temel Güvenlik Farkındalığı Eğitimi: Çalışanların veri koruma, gizlilik yasaları ve hassas bilgilerin korunması hakkında eğitilmesi.
Sürekli Eğitim: Tedarikçiler, çalışanlarının güvenlik tehditleri ve en iyi uygulamalar konusunda bilgilendirilmelerini sağlamak için sürekli eğitimler düzenlemelidir.

11. Geçerli Yasalara Uyum
Tüm tedarikçiler ve üçüncü taraflar, aşağıdaki yerel, ulusal ve uluslararası veri koruma yasalarına ve düzenlemelerine uymalıdır:

Genel Veri Koruma Yönetmeliği (GDPR)
Kişisel Verilerin Korunması Kanunu (KVKK)
ISO 27001 Standartları

12. Sonuç
Cronexis Teknoloji A.Ş., tedarikçi ve üçüncü taraf ilişkilerini yönetmenin, verilerinin, sistemlerinin ve diğer kaynaklarının korunmasında büyük öneme sahip olduğunu kabul etmektedir. Tedarikçilere ve üçüncü taraflara yönelik katı güvenlik gereksinimleri uygulayarak, şirket, potansiyel riskleri azaltmakta ve ortaklarının aynı yüksek güvenlik, veri koruma ve gizlilik standartlarına uymasını sağlamaktadır.