EK A — Siber Güvenlik, Güvenlik Olayları ve İş Birliği

A1. Amaç ve uygulama alanı

A1.1. Bu Ek; Hizmet'in güvenliği, güvenlik olaylarının bildirilmesi, tarafların kendi kontrol alanlarındaki yükümlülükleri ve bir olayın etkilerinin azaltılması için iş birliğini düzenler.

A1.2. Güvenlik tedbirleri, Hizmet'in niteliği, işlenen veriler, makul riskler ve uygulanabilir mevzuat gözetilerek belirlenir. Taraflardan hiçbiri bilişim sistemlerinin her saldırıya karşı mutlak şekilde güvenli olduğunu taahhüt etmez.

A1.3. Bu Ek; ayrıca imzalanmış bir hizmet seviyesi sözleşmesinin, kişisel veri işleme sözleşmesinin veya zorunlu kanuni bildirimlerin yerine geçmez.

A2. Tarafların yükümlülükleri

A2.1. Hizmet Sağlayıcı, kendi yönetimindeki hizmet ve yazılım bileşenleri bakımından uygun teknik ve idari güvenlik önlemlerini almak, bilinen önemli riskleri değerlendirmek, makul düzeltici önlemleri uygulamak ve güvenlik olaylarını yönetmekle yükümlüdür.

A2.2. Müşteri, kendi altyapısının, kullanıcı yetkilerinin, bağlantı bilgilerinin, veri yedeklerinin ve kendi kontrolündeki sistemlerin güvenliğini yürütür; Hizmet'e yalnız yetkili olduğu sistemleri bağlar. Müşteri, kendi kontrolünde bulunan güvenlik bildirimlerini ve güncelleme gereksinimlerini makul sürede değerlendirir.

A2.3. Müşteri ortamına kurulan bileşenlerin güvenli geliştirilmesi ve Hizmet Sağlayıcı tarafından sunulan güncellemeler, Hizmet Sağlayıcı'nın; bu bileşenlerin Müşteri tarafından kurulduğu ortamın yetki ve işletim ayarları ise kural olarak Müşteri'nin sorumluluk alanındadır. Tarafların somut kusurları ve sözleşmeyle açıkça üstlendikleri hizmetler saklıdır.

A2.4. Taraflar kendi erişim bilgilerini ve gizli verilerini korur, gerekli olduğu ölçüde ilgili yetkileri sonlandırır ve şüpheli faaliyetleri karşı tarafa gecikmeksizin bildirir.

A3. Güvenlik uygulamaları ve açıklama sınırları

A3.1. Hizmet Sağlayıcı; uygun kimlik ve erişim yönetimi, veri güvenliği, güncelleme ve değişiklik yönetimi, olay kayıtlarının korunması ve güvenlik olaylarına müdahale gibi kontrolleri risk temelli olarak sürdürür. Bu ifade belirli bir sertifikanın, ürünün, mimarinin veya değişmez bir teknik kontrolün varlığına dair garanti değildir.

A3.2. Müşteri'ye sunulması gereken güvenlik bilgileri, hizmetin risklerini ve Müşteri'nin kendi yükümlülüklerini anlayabileceği ölçüde verilir. Ayrıntılı mimari, kaynak kodu, gizli yapılandırma, güvenlik test çıktıları ve başka müşterilere ait bilgiler otomatik paylaşım kapsamında değildir.

A3.3. Sözleşmesel veya kanuni denetim gereksinimlerinde taraflar, bilgi güvenliğini zayıflatmayacak ve gizliliği koruyacak makul bir doğrulama usulü üzerinde anlaşır. Kanunen yetkili makamların bilgi edinme yetkileri saklıdır.

A4. Güvenlik olayı ve bildirim

A4.1. Güvenlik olayı, Hizmet veya ilgili verilerin gizliliği, bütünlüğü ya da erişilebilirliği üzerinde önemli olumsuz etki doğurduğu makul biçimde değerlendirilen olaydır. Her güvenlik uyarısı veya şüphe, kendiliğinden kişisel veri ihlali oluşturmaz.

A4.2. Hizmet Sağlayıcı, Müşteri'yi önemli ölçüde etkileyen doğrulanmış veya makul gerekçeyle ciddi olduğuna karar verilen bir olaydan haberdar olduğunda, durumu gereksiz gecikme olmaksızın uygun iletişim kanalıyla bildirir. Bildirimde, güvenlik ve gizliliği tehlikeye düşürmeksizin mevcut olduğu ölçüde olayın genel niteliği, muhtemel etkileri, Müşteri'den beklenen tedbirler ve takip iletişim yöntemi paylaşılır.

A4.3. İnceleme devam ederken kesinleşmemiş hususlar kesin bulgu olarak sunulmaz; önemli yeni bilgiler öğrenildikçe uygun güncellemeler yapılır. Diğer müşterilerin bilgileri veya saldırıya yardımcı olabilecek hassas teknik ayrıntılar açıklanmaz.

A4.4. Müşteri de kendi ortamında Hizmet ile ilgili olabilecek önemli güvenlik olayı veya yetkisiz erişim şüphesi tespit ettiğinde Hizmet Sağlayıcı'yı gereksiz gecikme olmaksızın bilgilendirir.

A4.5. Kişisel veri ihlallerine ilişkin bildirimler, rol ve olayın niteliğine göre yürürlükteki mevzuata tabidir. Veri işleyen olarak hareket edildiği hallerde Hizmet Sağlayıcı ilgili veri sorumlusuna gecikmeksizin bilgi verir ve gerekli iş birliğini yürütür. Veri sorumlusunun Kişisel Verileri Koruma Kurumuna ve ilgili kişilere karşı yükümlülükleri ile diğer kanuni bildirimler saklıdır.

A5. Olayın etkisini azaltma ve faaliyetlerin devamı

A5.1. Taraflar güvenlik olayının etkilerini azaltmak, ilgili kayıtları hukuka uygun biçimde korumak, gereken erişim ve işlemleri sınırlandırmak ve faaliyetleri güvenli koşullarda sürdürmek için makul iş birliği yapar.

A5.2. Hizmet Sağlayıcı, ciddi tehditlerin değerlendirilmesi sırasında gerekli ve ölçülü geçici koruma veya hizmet sınırlamalarını uygulayabilir. Ticari hakların ve kanuni yükümlülüklerin korunması esastır; mümkün olduğunda Müşteri bilgilendirilir.

A5.3. Taraflar, olay sonrasında görev alanlarıyla sınırlı iyileştirme ve tekrarını önleme tedbirlerini değerlendirir. Hizmet Sağlayıcı, başka kişilerin sırlarını veya güvenlik önlemlerinin etkinliğini zayıflatacak bilgileri paylaşmak zorunda değildir.

A6. Zafiyet bildirimleri ve güncellemeler

A6.1. Hizmet ile ilgili güvenlik bildirimleri, doğrulanmış kurumsal iletişim kanalı üzerinden alınır; ciddiyet ve uygulanabilir tedbirler değerlendirilerek uygun önlemler planlanır.

A6.2. Güvenlik güncellemeleri ve geçici koruma tedbirleri, somut riske göre uygulanabilir. Müşteri'nin kontrolündeki bileşenlerde yapılması gereken işlemler, mümkün olduğu ölçüde işlevsel düzeyde açıklanır.

A6.3. Bu Ek, belirli bir zamanda bütün zafiyetlerin giderileceği, hiçbir hizmet kesintisi yaşanmayacağı veya belirli bir güvenlik standardına sahip olunduğu yönünde koşulsuz taahhüt oluşturmaz.

A7. Sorumluluk ve ticari sınırlar

A7.1. Güvenlik olayından doğan sorumluluk; tarafların üstlendikleri yükümlülükler, somut kusur, zarar, illiyet bağı ve uygulanabilir hukuk dikkate alınarak belirlenir. Üçüncü kişinin saldırıyı gerçekleştirmiş olması tek başına Hizmet Sağlayıcı'nın kendi kusurundan doğabilecek sorumluluğunu ortadan kaldırmaz.

A7.2. Varsa müzakere edilerek kabul edilmiş sorumluluk tavanları yalnız geçerli oldukları ölçüde uygulanır. Kasıt, ağır kusur ve emredici hukuk gereğince sınırlandırılamayan yükümlülükler saklıdır. Kanuni idari yükümlülükler sözleşmeyle bertaraf edilemez.

A7.3. Siber sigorta veya bağımsız sertifikasyon ancak gerçekten mevcutsa ve açıkça yazılı bildirilmişse geçerli bir hizmet beyanı oluşturur. İşbu Ek tek başına sigorta veya bağımsız güvenlik sertifikası varlığı taahhüt etmez.