Veri İhlal Müdahale Planı

1. Amaç

1.1. Bu plan; Anıl Açık (“Organizasyol” markası ile faaliyet gösteren şahıs işletmesi) bünyesinde işlenen kişisel verilere ilişkin veri ihlali (kişisel verilerin hukuka aykırı olarak ele geçirilmesi, yetkisiz erişim, ifşa, değiştirilme, kaybolma veya imha edilmesi) durumlarında uygulanacak müdahale, bildirim ve iyileştirme süreçlerini tanımlar.

1.2. Plan; 6698 sayılı KVKK, Kişisel Verilerin Korunması Kurulu (“Kurul”) kararları ve iyi uygulama standartlarına uygun hazırlanmıştır.

1.3. Organizasyol bir eşleştirme platformu olup Platform üzerinden ödeme işlemi yapılmaz; bu plan Organizasyol sistemlerinde işlenen kişisel verileri kapsar.

2. Kapsam

2.1. Bu plan aşağıdaki sistemleri kapsar:

• Organizasyol mobil uygulaması ve API altyapısı (api.organizasyol.com)
• Web sitesi (organizasyol.com) ve CDN (cdn.organizasyol.com)
• İşletme sistemleri ve üçüncü taraf hizmet sağlayıcılar (Firebase, Organizasyol Cloud vb.)
• Tüm kişisel veri kategorileri (kimlik, iletişim, hesap, partner profili, medya, log verileri)

2.2. Kullanıcı ile Partner arasında Platform dışında (WhatsApp, telefon vb.) gerçekleşen iletişim ve veri paylaşımları bu planın kapsamı dışındadır; ancak ihlalin Organizasyol sistemlerinden kaynaklandığı durumlarda plan uygulanır.

3. Tanımlar

3.1. Veri ihlali: Kişisel verilerin güvenliğini ihlal eden, kazara veya hukuka aykırı olarak yok edilmesi, kaybolması, değiştirilmesi, ifşa edilmesi veya yetkisiz erişime uğraması.

3.2. Veri ihlali müdahale ekibi: İhlalin tespiti, kontrolü, bildirimi ve sonrası iyileştirmeden sorumlu ekip.

3.3. İlgili kişi: Kişisel verisi işlenen gerçek kişi (Kullanıcı, Partner).

3.4. Kurul: Kişisel Verileri Korunması Kurumu.

4. Müdahale Ekibi ve Sorumluluklar

4.1. İhlal Koordinatörü — Anıl Açık / info@organizasyol.com Sürecin yönetimi, zaman çizelgesi, Kurul ve ilgili kişi bildirimleri.

4.2. BT / Güvenlik Sorumlusu — Anıl Açık / info@organizasyol.com Teknik müdahale, log analizi, erişim kapatma, kanıt toplama.

4.3. Hukuk Sorumlusu — Anıl Açık / info@organizasyol.com Hukuki değerlendirme, bildirim metinleri, Kurul başvurusu.

4.4. İşletme Sahibi — Anıl Açık Kritik kararlar ve kamuoyu / iletişim onayı.

4.5. Şahıs işletmesi yapısı nedeniyle tüm sorumluluklar işletme sahibi Anıl Açık tarafından yürütülür.

5. İhlal Tespit Kaynakları

5.1. Veri ihlali şu kanallardan tespit edilebilir:

• Güvenlik izleme ve alarm sistemleri (sunucu, API, veritabanı)
• Yetkisiz erişim / anormal trafik logları
• Kullanıcı veya partner şikâyetleri (info@organizasyol.com, destek talepleri)
• Üçüncü taraf hizmet sağlayıcı güvenlik bildirimleri (Firebase, bulut sağlayıcı)
• Penetrasyon testi veya güvenlik denetimi bulguları
• Basın / sosyal medya sızıntı bildirimleri

6. Müdahale Aşamaları ve Zaman Çizelgesi

6.1. Aşama 1 — Tespit ve İlk Müdahale (0–4 saat)

• 6.1.1. İhlal şüphesinin kayda alınması (tarih, saat, kaynak, ilk belirtiler).
• 6.1.2. İhlal Koordinatörünün bilgilendirilmesi.
• 6.1.3. Etkilenen sistemlere erişimin geçici olarak kısıtlanması (gerekirse).
• 6.1.4. İhlalin yayılmasını önleyici acil teknik önlemler (token iptali, API anahtarı rotasyonu, şifre sıfırlama).
• 6.1.5. Olay kaydı açılması.

6.2. Aşama 2 — Değerlendirme ve Kapsam Analizi (4–24 saat)

• 6.2.1. Etkilenen veri kategorilerinin ve tahmini ilgili kişi sayısının belirlenmesi.
• 6.2.2. İhlal nedeninin araştırılması (ön kök neden analizi).
• 6.2.3. İhlalin ilgili kişiler üzerindeki olası risk düzeyinin değerlendirilmesi (düşük / orta / yüksek).
• 6.2.4. Adli bilişim / log yedekleme (delil koruma).
• 6.2.5. Risk değerlendirme kriterleri (özet): Yüksek: Toplu veri sızıntısı, kimlik/iletişim verilerinin kamuya açık ifşası, yetkisiz profil/ilan değişikliği
• Orta: E-posta + telefon kombinasyonu, partner işletme verileri, sınırlı kullanıcı grubu
• Düşük: Anonim veya zaten kamuya açık veriler; ihlal hızla kapatıldı ve veri ele geçirilmedi

6.3. Aşama 3 — Bildirimler (24–72 saat)

• 6.3.1. KVKK uyarınca ihlalin öğrenilmesinden itibaren en kısa sürede ve mümkün olan hâllerde 72 saat içinde Kurul’a bildirim yapılır.
• 6.3.2. İlgili kişilere bildirim (risk yüksekse veya Kurul gerektiriyorsa): kayıtlı e-posta, uygulama içi bildirim, organizasyol.com duyurusu.
• 6.3.3. Üçüncü taraf hizmet sağlayıcılarla koordinasyon.
• 6.3.4. Gerekirse kolluk bildirimi (ağır suç şüphesi).

6.4. Aşama 4 — İyileştirme ve Kapanış (72 saat sonrası)

• 6.4.1. Kök neden analizinin tamamlanması ve kalıcı teknik/organizasyonel önlemlerin uygulanması.
• 6.4.2. Etkilenen kullanıcılara destek (hesap kilitleme, oturum iptali vb.).
• 6.4.3. Olay raporunun hazırlanması ve politika güncellemesi (gerekirse).

7. Teknik Müdahale Kontrol Listesi

7.1. İhlal türüne göre değerlendirilecek önlemler:

• Etkilenen kullanıcı oturumlarının ve refresh tokenlarının iptali
• Firebase / API anahtarlarının rotasyonu
• Yetkisiz erişimlerin kaldırılması
• Etkilenen sunucu veya konteynerin izole edilmesi
• Güvenlik yamalarının uygulanması
• WAF / rate limiting kurallarının güncellenmesi
• Veritabanı yedeklerinden bütünlük kontrolü
• CDN’de yetkisiz yüklenen dosyaların kaldırılması
• Logların yedeklenmesi ve saklanması (adli inceleme için)

8. İlgili Kişiye Bildirim Şablonu (Taslak)

9. Kayıt ve Dokümantasyon

9.1. Her veri ihlali olayı için Olay Kayıt Formu doldurulur ve en az 5 yıl saklanır. Form alanları: olay numarası, tespit tarihi, ihlal türü, etkilenen sistemler ve veri kategorileri, tahmini kişi sayısı, risk seviyesi, alınan önlemler, Kurul ve ilgili kişi bildirim tarihleri, kök neden, kalıcı önlemler, kapanış tarihi.

10. Eğitim ve Tatbikat

10.1. Bu plan yılda en az 1 kez gözden geçirilir. Mümkünse yılda 1 masa başı tatbikat yapılır.

11. Planın Gözden Geçirilmesi

11.1. Bu plan; her veri ihlali sonrası, önemli altyapı değişikliğinde ve en geç yılda bir gözden geçirilir.

12. İletişim Bilgileri (Acil)

• İhlal Koordinatörü / İşletme Sahibi: Anıl Açık — info@organizasyol.com
• Telefon: 0551 488 28 66
• Adres: NAMIK KEMAL MAH. MECNUN SK. KALKAN APT NO: 9 İÇ KAPI NO: 5 ÜMRANİYE / İSTANBUL
• Kurul: https://www.kvkk.gov.tr