OperasyonAI Kurumsal Satın Alma ve Güvenlik Anketi

Etkinleştirilen modüllere göre değişmekle birlikte tipik olarak şu veriler işlenir: personel kimlik ve iletişim bilgileri (ad, soyad, telefon, e-posta, görev unvanı), özel güvenlik kimlik/sertifika ve belge geçerlilik bilgileri, vardiya ve görev atamaları, devriye kontrol noktası okutmaları, olay raporları ve bunlara eklenen kanıt dosyaları (fotoğraf, not, ek belge), görev sırasında üretilen konum doğrulama kayıtları, ve tüm bu işlemlerin denetim izi (audit log). Faturalama tarafında ise müşteri firmanın yetkili kişilerine ait iletişim ve ödeme süreç bilgileri işlenir.

Müşteri verileri, Axyronis'in altyapı sağlayıcılarının veri merkezlerinde barındırılır. Üretim altyapısı ve veri tabanı bulut sağlayıcıları üzerinde çalışır; kullanılan sağlayıcı ve bölge bilgisi alt işleyen listesinde belirtilir [Alt işleyen sağlayıcı bilgisi eklenecek]. Belirli bir barındırma bölgesi (örneğin yalnızca Türkiye veya AB içinde) kurumsal müşteriler için bir gereklilikse, bu talep satın alma görüşmesinde netleştirilerek sözleşmeye yansıtılabilir.

Platform çok kiracılı (multi-tenant) mimaride tasarlanmıştır ve her müşteri firma ayrı bir tenant olarak yalıtılır. Veriler tenant kimliğine bağlanır ve uygulama katmanı ile veri tabanı erişim kuralları (satır düzeyi yetkilendirme dahil) her sorgunun yalnızca ilgili tenanta ait kayıtları döndürmesini hedefler. Tasarım amacı, bir firmanın hiçbir koşulda başka bir firmanın personel, görev, olay veya kanıt verisini görememesidir. Bu izolasyonu doğrulamak için iç testler ve gözden geçirmeler yapılır; bununla birlikte hiçbir sistem hatasız değildir, bu nedenle olası bir izolasyon kusuru ihlal süreci kapsamında ele alınır.

Evet. Platform içinde kullanıcılar rollere göre yetkilendirilir; örneğin firma yöneticisi, operasyon sorumlusu, denetçi ve saha personeli farklı yetki setlerine sahip olur. Bir kullanıcı yalnızca rolünün gerektirdiği modüllere ve verilere erişebilir. Rollerin atanması ve kullanıcıların yetki seviyesinin doğru tanımlanması müşteri firmanın yöneticilerinin sorumluluğundadır; OperasyonAI gerekli kontrolleri sağlar, kimin hangi yetkiye sahip olacağını müşteri belirler.

Evet. Kritik işlemler (kayıt oluşturma, görüntüleme, değiştirme, silme, yetki değişiklikleri, olay raporu ve kanıt erişimi gibi) denetim izi olarak kaydedilir. Audit log; kim, ne zaman, hangi kayıt üzerinde işlem yaptı sorularını yanıtlayacak şekilde tasarlanır ve hesap verebilirliği destekler. Logların saklama süresi ve müşteriye sunulma biçimi etkinleştirilen modüle ve sözleşmeye göre belirlenir.

Aktarım sırasında veriler güncel TLS protokolleri ile şifrelenir. Veri tabanı ve dosya depolama katmanında bekleyen veriler (at rest) için sağlayıcı düzeyinde şifreleme uygulanır. Kimlik doğrulama sırlarının düz metin olarak saklanmaması ve hassas yapılandırma değerlerinin korunması hedeflenen kontroller arasındadır. Şifreleme, makul bir koruma katmanıdır; tek başına mutlak güvenlik garantisi değildir.

Veri tabanı düzenli olarak yedeklenir ve yedeklerden geri dönüş (restore) tatbikatları planlanır. Amaç, donanım arızası, hatalı silme veya altyapı kesintisi gibi durumlarda veri kaybını ve hizmet kesintisini makul sınırlar içinde tutmaktır. Hedeflenen kurtarma süreleri ve yedek saklama süreleri kurumsal müşteriler için sözleşme ekinde tanımlanabilir.

Bir güvenlik olayından şüphelenildiğinde, olayın kapsamı sınırlandırılır, etkilenen sistemler ve veriler tespit edilir ve etki değerlendirilir. KVKK kapsamında veri sorumlusunun (genellikle müşteri firmanın) Kişisel Verileri Koruma Kurumu'na ve ilgili kişilere bildirim yükümlülüğü olabilir. Axyronis, veri işleyen sıfatıyla öğrendiği ilgili ihlalleri gecikmeksizin etkilenen müşterilere bildirmeyi ve incelemeye makul ölçüde destek olmayı hedefler. Bildirim süreleri ve detaylar sözleşmeyle netleştirilir; güvenlikle ilgili bildirimler için iletişim adresi [Güvenlik iletişim e-postası eklenecek].

OperasyonAI; barındırma, veri tabanı, dosya depolama, e-posta/bildirim ve hata izleme gibi hizmetler için üçüncü taraf sağlayıcılardan yararlanır. Güncel alt işleyen listesi ve her birinin işlediği veri kategorisi talep üzerine kurumsal müşterilerle paylaşılır [Alt işleyen sağlayıcı bilgisi eklenecek]. Yeni bir alt işleyen eklendiğinde müşterilerin bilgilendirilmesi ve sözleşmede öngörülen itiraz mekanizmaları uygulanır.

Kullanılan bazı altyapı veya destek hizmetleri yurt dışında bulunan sağlayıcılar üzerinden çalışabilir; bu durumda KVKK'nın yurt dışına veri aktarımına ilişkin kuralları (uygun güvenceler, gerektiğinde açık rıza veya mevzuatın izin verdiği diğer koşullar) dikkate alınır. Yalnızca yurt içinde barındırma gibi özel gereksinimler, satın alma sürecinde değerlendirilip sözleşmeye yansıtılabilir [Alt işleyen sağlayıcı bilgisi eklenecek].

Hayır. OperasyonAI sürekli/gizli bir takip aracı değildir. Konum doğrulama, devriye kontrol noktası okutması veya bir göreve başlama/bitirme gibi belirli ve amaca bağlı anlarda kaydedilir. Konum modülünün etkinleştirilmesi, hangi durumlarda konum alınacağı ve personelin bu konuda aydınlatılması müşteri firmanın sorumluluğundadır. Konum verisi yalnızca tanımlı operasyonel amaç için işlenmeli ve personele bu husus açıkça bildirilmelidir.

OperasyonAI standart işleyişinde parmak izi, yüz tanıma gibi biyometrik özel nitelikli kişisel verileri işlemeyi gerektirmez. Müşteri firma kendi süreçlerinde böyle bir veri toplamayı planlıyorsa, bunun KVKK'nın özel nitelikli verilere ilişkin sıkı şartlarına uygun yürütülmesi tamamen müşterinin sorumluluğundadır ve bu tür bir kullanım önceden değerlendirilmelidir.

Sözleşme sona erdiğinde, müşteriye verilerini dışa aktarması için makul bir süre tanınır. Bu sürenin ardından müşteri verileri, sözleşmede ve yasal saklama yükümlülüklerinde öngörülen istisnalar dışında, üretim sistemlerinden silinir veya geri döndürülemez biçimde anonimleştirilir. Yasal zorunluluk nedeniyle saklanması gereken sınırlı kayıtlar (örneğin faturalama) ilgili mevzuatın gerektirdiği süre boyunca saklanabilir.

Yetkili müşteri yöneticileri, kendi tenantları kapsamındaki verileri platform üzerinden veya destek talebiyle yapılandırılmış formatlarda dışa aktarabilir. İlgili kişilerin (personelin) KVKK kapsamındaki erişim, düzeltme ve silme taleplerini öncelikle veri sorumlusu olan müşteri firma karşılar; Axyronis, veri işleyen sıfatıyla bu taleplerin yerine getirilmesinde müşteriye makul ölçüde teknik destek sağlar. Silme talepleri, yasal saklama yükümlülükleri saklı kalmak kaydıyla işlenir.