Veri İhlali Bildirim Politikası

Sürüm 2.0 · Yayım ve yürürlük tarihi: 21 Ekim 2026 · Elektronik ortamda onaylandığı veya Platform’da yayımlandığı anda yürürlüğe girer.

Bu metinde “Şirket”, yukarıda bilgileri yer alan SOLİD REKLAM LTD. ŞTİ.’yi; “Platform”, Şirket tarafından işletilen ve yenikare.com adresinden sunulan “Yeni Kare” web sitesi, alt sayfaları, yayın bağlantıları (ör. yenikare.com/k/…), yönetim paneli ve ilgili tüm hizmetleri; “Kullanıcı” ya da “Üye”, Platform’a üye olan, Platform’u kullanan veya oluşturduğu QR kod sayfalarını yöneten gerçek ya da tüzel kişileri; “Ziyaretçi”, Kullanıcı’nın QR kodunu tarayarak veya bağlantısını açarak yayın sayfasına ulaşan kişileri ifade eder.

Bu Belgenin Özeti

• Bu politika, kişisel verilerin hukuka aykırı yollarla ele geçirilmesi (veri ihlali) hâlinde Şirket’in nasıl hareket edeceğini açıklar: tespit, sınıflandırma, müdahale, bildirim, kayıt ve iyileştirme.
• Veri sorumlusu olarak Şirket, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu’na, ilgili kişilere ise en kısa sürede bildirimde bulunur (KVKK m.12/5; Kurul’un 24.1.2019 tarihli ve 2019/10 sayılı kararı).
• Kullanıcı’nın kendi Ziyaretçileri’nin verilerini topladığı hâllerde Kullanıcı veri sorumlusu, Şirket veri işleyendir; bu durumda Şirket ihlali gecikmeksizin Kullanıcı’ya bildirir ve Kurul bildirimi yükümlülüğü Kullanıcı’ya aittir.
• Şirket bir ihlal defteri tutar; ihlalin gerçekleşip gerçekleşmediği fark etmeksizin tüm olaylar ve alınan aksiyonlar kayıt altına alınır.
• İhlalin 7545 sayılı Siber Güvenlik Kanunu kapsamında da bildirimi gerekiyorsa gecikmeksizin ilgili otoriteye bildirim yapılır.
• Şirket’in sorumluluğu, kanunların izin verdiği ölçüde ve Kullanıcı Sözleşmesi hükümlerine göre sınırlıdır.

Madde 1 — Amaç, Kapsam ve Hukuki Dayanak

1.1. Bu Veri İhlali Bildirim Politikası (“Politika”); SOLİD REKLAM LTD. ŞTİ. (“Şirket”) tarafından işlenen veya Şirket’in veri işleyen sıfatıyla Kullanıcılar adına işlediği kişisel verilerin güvenliğinin ihlal edilmesi durumunda izlenecek süreçleri, görevlileri, bildirim yükümlülüklerini ve kayıt tutma esaslarını belirler.

1.2. Politika’nın hukuki dayanakları şunlardır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu m.12/5: “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.”
• Kişisel Verileri Koruma Kurulu’nun 24.1.2019 tarihli ve 2019/10 sayılı “Kişisel Veri İhlali Bildirimi” kararı (ihlalin öğrenilmesinden itibaren 72 saat) ve Kurul’un “Kişisel Veri İhlali Bildirimi Rehberi” ile “Kişisel Veri Güvenliği Rehberi”;
• 7545 sayılı Siber Güvenlik Kanunu (7590 sayılı Kanunla yapılan değişiklikler dâhil) ve ilgili ikincil düzenlemeler;
• 5651 sayılı Kanun, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, TCK m.135-138 ve TCK m.243-245.

1.3. Bu Politika; Bilgi Güvenliği Politikası, KVKK Aydınlatma Metni, Veri İşleme Sözleşmesi ve Veri Saklama belgeleriyle birlikte uygulanır.

Madde 2 — Tanımlar

2.1. Veri İhlali (Kişisel Veri İhlali): Kişisel verilerin güvenliğinin ihlali sonucunda, işlenen kişisel verilerin hukuka aykırı olarak ele geçirilmesi, açığa çıkması, ifşa edilmesi, yetkisiz erişime konu olması, kaybolması, değiştirilmesi, bozulması, silinmesi veya erişilemez hâle gelmesidir. İhlal; kasıtlı (siber saldırı, içeriden tehdit) veya kazara (yanlış e-posta gönderimi, yapılandırma hatası, cihaz kaybı) olabilir.

2.2. Güvenlik Olayı: Bilgi sistemlerinin güvenliğini tehlikeye atan veya atabilecek her türlü olaydır. Her güvenlik olayı veri ihlali değildir; ancak her ihlal bir güvenlik olayı olarak ele alınır.

2.3. Kurul / Kurum: Kişisel Verileri Koruma Kurulu ve Kişisel Verileri Koruma Kurumu’dur.

2.4. İlgili Kişi: Kişisel verisi ihlalden etkilenen gerçek kişidir.

2.5. Veri Sorumlusu / Veri İşleyen: Kişisel veri işleme amaçlarını ve vasıtalarını belirleyen kişi veri sorumlusu; veri sorumlusu adına işleyen kişi veri işleyendir. Şirket; üyelik, faturalama ve tarama istatistiği verileri bakımından veri sorumlusu, Kullanıcılar’ın kendi Ziyaretçileri’nin verileri (sipariş, rezervasyon, form, yorum vb.) bakımından veri işleyendir.

2.6. Müdahale Ekibi: Şirket yönetimi tarafından görevlendirilen, güvenlik ve veri koruma süreçlerinden sorumlu kişi veya kişilerdir. Küçük ölçekli yapı nedeniyle bu işlevler az sayıda kişide toplanabilir; gerektiğinde dış uzman (hukuk danışmanı, adli bilişim uzmanı) görevlendirilir.

Madde 3 — İhlal Türleri ve Örnekler

3.1. Veri ihlali örnekleri şunlardır (liste sınırlayıcı değildir):

• Yetkisiz kişilerin Kullanıcı hesaplarına, yönetim paneline, veri tabanına veya sunuculara erişimi;
• Kimlik bilgilerinin (kullanıcı adı, parola özeti, oturum belirteçleri) çalınması;
• Gelen Kutusu’ndaki form, sipariş ve rezervasyon verilerinin yanlış kişilere gösterilmesi veya sızması;
• Kişisel veri içeren yedeklerin, dosyaların veya cihazların kaybı ya da çalınması;
• Kötü amaçlı yazılım, fidye yazılımı veya SQL enjeksiyonu gibi saldırılar;
• Yanlış alıcıya e-posta gönderimi veya yetkisiz paylaşım;
• Üçüncü taraf hizmet sağlayıcıların (barındırma, SMS, e-posta, ödeme, analiz) sistemlerinde yaşanan ve Şirket’e ait verileri etkileyen ihlaller;
• Çalışan veya hizmet sağlayıcı tarafından yetkisiz veri kullanımı veya ifşası.

3.2. İhlal sayılmayan hâller: Verilerin yalnızca geçici olarak erişilemez olduğu, kişilerin hakları ve özgürlükleri bakımından risk oluşturmayan kısa süreli kesintiler veya yalnızca şifrelenmiş ve anahtarı ele geçirilmemiş verilerin kaybı gibi durumlar, olayın niteliğine göre ihlal sayılmayabilir; ancak bu değerlendirme Müdahale Ekibi tarafından yapılır, gerekçesiyle kayıt altına alınır ve şüphe hâlinde ihlal varmış gibi hareket edilir.

Madde 4 — Tespit, Bildirim ve Başlangıç Anı

4.1. Şirket çalışanları ve hizmet sağlayıcıları, olası bir ihlali fark eder etmez Müdahale Ekibi’ne gecikmeksizin bildirmekle yükümlüdür. İhlal şüphesi bildirmemek veya gizlemek disiplin ve hukuki sorumluluk doğurabilir.

4.2. İhlal; izleme sistemleri, günlük kayıtları, Kullanıcı, Ziyaretçi veya Güvenlik Araştırmacısı bildirimleri (Güvenlik Açığı Bildirim Politikası), tedarikçi bildirimleri veya yetkili makamların uyarıları yoluyla tespit edilebilir.

4.3. 72 saatlik sürenin başlangıcı: Süre, ihlalin Şirket tarafından öğrenildiği andan itibaren işlemeye başlar. İhlalin öğrenilme anı, Müdahale Ekibi’nin ihlalin gerçekleştiğine dair makul bir kesinliğe ulaştığı andır; bu an olay kaydına işlenir. Ancak şüphenin varlığı hâlinde dahi inceleme gecikmeksizin başlatılır; incelemenin kasıtlı olarak geciktirilmesi durumunda süre, ihlalin objektif olarak öğrenilebileceği tarihten başlatılmış sayılabilir.

Madde 5 — Sınıflandırma ve Risk Değerlendirmesi

5.1. Müdahale Ekibi, ihlali aşağıdaki ölçütlere göre sınıflandırır:

5.2. Risk değerlendirmesinde şu unsurlar dikkate alınır: ihlale konu verilerin türü ve hassasiyeti, etkilenen kişi sayısı ve kategorileri (çocuklar, hassas gruplar), verilerin kolayca kimlik tespitine imkân verip vermediği, verilerin şifrelenip şifrelenmediği, ihlalin kasıtlı olup olmadığı, ele geçiren kişinin niyeti ve verilerin geri alınıp alınmadığı, ilgili kişiler bakımından olası sonuçlar (kimlik hırsızlığı, dolandırıcılık, itibar kaybı, ayrımcılık, finansal kayıp, fiziksel risk) ve alınan önlemler.

Madde 6 — Müdahale Adımları

6.1. Müdahale Ekibi, ihlal tespit edildiğinde şu adımları izler:

1. Kayıt ve ilk değerlendirme: Olay, tarih ve saatiyle birlikte kayıt altına alınır; ilk bilgiler (ne oldu, ne zaman, nasıl öğrenildi) toplanır; delil niteliği taşıyan kayıtlar korunur.
2. Sınırlama: İhlalin yayılması engellenir: etkilenen hesapların kilitlenmesi, oturumların sonlandırılması, parolaların ve anahtarların yenilenmesi, ilgili sistemin ağdan ayrılması, zafiyetin geçici olarak kapatılması.
3. Araştırma: Etkilenen veri türleri, kişi sayıları, ihlalin nedeni, zaman aralığı ve etkisi tespit edilir; gerektiğinde bağımsız adli bilişim desteği alınır.
4. Sınıflandırma ve karar: Madde 5’e göre risk belirlenir; Kurul ve ilgili kişilere bildirim yükümlülüğünün doğup doğmadığı karara bağlanır ve gerekçelendirilir.
5. Bildirimler: Madde 7-9’a göre yapılır.
6. Giderme ve kurtarma: Zafiyet kalıcı olarak giderilir, sistemler güvenli şekilde yeniden devreye alınır, veriler yedekten geri yüklenir, gerekirse ek izleme uygulanır.
7. Olay sonrası inceleme: Kök neden analizi yapılır; alınması gereken ek idari ve teknik tedbirler belirlenir; politika ve eğitimler güncellenir.

6.2. Müdahale sırasında, kolluk ve savcılık makamlarına suç duyurusunda bulunulması, sigorta bildirimi yapılması, hukuki danışmanlık alınması gibi ek işlemler de değerlendirilir.

6.3. İhlalin tespitinde ve giderilmesinde Kullanıcılar’ın, Ziyaretçiler’in ve hizmet sağlayıcıların makul işbirliği yapması beklenir.

Madde 7 — Kurul’a Bildirim

7.1. Şirket (veri sorumlusu olduğu hâllerde), ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kurul’a bildirimde bulunur. Bildirim, Kurul’un yayımladığı “Veri İhlali Bildirim Formu” üzerinden, Kurul’un belirlediği yöntemle yapılır.

7.2. İhlalin tüm ayrıntılarının 72 saat içinde belirlenememesi hâlinde, bildirim aşamalı olarak yapılabilir: eldeki bilgilerle ilk bildirim süresinde yapılır, gecikmenin gerekçeleri belirtilir ve ayrıntılar belirlendikçe gecikmeksizin eklenir. 72 saati aşan bildirimlerde gecikme gerekçesi Kurul’a birlikte sunulur.

7.3. Kurul’a yapılan bildirimde mümkün olduğunca şu bilgiler yer alır: ihlalin ne zaman ve nasıl gerçekleştiği ve öğrenildiği, etkilenen kişi sayısı ve kategorileri, etkilenen veri türleri ve kayıt sayısı, ihlalin olası sonuçları, ihlalin etkilerini azaltmak için alınan veya alınacak tedbirler, ilgili kişilere bildirim yapılıp yapılmadığı ve yapılacaksa zamanı, iletişim kişisi bilgileri.

7.4. Kurul gerekli gördüğünde ihlali kendi internet sitesinde veya uygun göreceği başka bir yöntemle ilan edebilir. Şirket, Kurul’un talep ettiği ek bilgi ve belgeleri süresinde sunar; Kurul’un kararlarına uyar.

Madde 8 — İlgili Kişilere Bildirim

8.1. Şirket, ihlalden etkilenen ilgili kişilere ihlali en kısa sürede bildirir. Bildirim; ihlalin tarihi, etkilenen veri türleri, olası sonuçları, Şirket’in aldığı tedbirler, ilgili kişilerin kendilerini korumak için alabilecekleri önlemler (parola değiştirme, hesap hareketlerini izleme, oltalamaya karşı dikkat vb.) ve iletişim noktası hakkında açık ve sade bir dille yapılır.

8.2. Bildirim; e-posta, SMS, Platform içi bildirim, Platform’da duyuru veya mevzuata uygun başka bir yöntemle yapılabilir. İlgili kişilere ayrı ayrı ulaşmanın mümkün olmaması hâlinde, Şirket’in internet sitesinde duyuru ve basın yoluyla bildirim yapılabilir.

8.3. Kurul, ilgili kişilere bildirimi gerekli görmediği veya ertelenmesini istediği durumlarda, Şirket Kurul’un kararına uyar.

8.4. Bildirim, Şirket’in ihlalle ilgili kusurunun veya sorumluluğunun kabulü anlamına gelmez.

Madde 9 — Kullanıcı’ya Bildirim (Veri Sorumlusu Olduğu Hâllerde)

9.1. Kullanıcı’nın kendi Ziyaretçileri’nin kişisel verilerini Platform aracılığıyla topladığı hâllerde (sipariş, rezervasyon, form, yorum, anket, bağış, kupon vb.), Kullanıcı veri sorumlusu, Şirket veri işleyendir (Veri İşleme Sözleşmesi). Bu durumda Şirket, veri işleyen olarak ihlali öğrendiğinde, gecikmeksizin (kural olarak öğrenmeden itibaren makul ve mümkün olan en kısa sürede, hâlin gerektirdiği hızla) Kullanıcı’ya bildirir.

9.2. Bildirim Kullanıcı’nın Platform’a kayıtlı e-posta adresine yapılır. Bildirimde, bilinen ölçüde ihlalin niteliği, etkilenen veri türleri ve kayıt sayısı, tahmini zaman aralığı, Şirket’in aldığı sınırlama tedbirleri ve irtibat bilgileri yer alır. Ayrıntılar belirlendikçe tamamlayıcı bilgi verilir.

9.3. Kurul’a ve ilgili kişilere bildirim yükümlülüğü, veri sorumlusu olarak Kullanıcı’ya aittir. Kullanıcı, Şirket’in bildirimini aldıktan sonra yasal süreler içinde kendi yükümlülüklerini yerine getirmekten ve Kurul bildirimini yapmaktan sorumludur. Şirket, Kullanıcı’ya gereken bilgileri sağlamak ve bildirim için makul teknik destek vermekle yükümlüdür; ancak Kullanıcı adına bildirimde bulunma yükümlülüğü altında değildir. Kullanıcı’nın bildirim yükümlülüğünü yerine getirmemesinden, geç yerine getirmesinden veya eksik yerine getirmesinden doğan idari para cezaları ve zararlar Kullanıcı’ya aittir.

9.4. Kullanıcı, kendi hesabının, panelinin veya parolasının ele geçirilmesi nedeniyle Ziyaretçi verilerinin ihlal edilmesi durumunda, ihlali gecikmeksizin Şirket’e bildirmeyi ve Şirket’le işbirliği yapmayı kabul eder. Bu durumda ihlalden doğan sorumluluk, Kullanıcı’nın güvenlik yükümlülüklerine aykırılık oranında Kullanıcı’ya aittir.

9.5. Şirket, veri işleyen olarak, Kullanıcı’nın Kurul’a ve ilgili kişilere yaptığı bildirimde Şirket’in adını anabilir; Kullanıcı bu konuda Şirket’i önceden haberdar eder.

Madde 10 — Siber Güvenlik Kanunu Kapsamındaki Bildirimler

10.1. 7545 sayılı Siber Güvenlik Kanunu, bilişim sistemleri kullanarak hizmet sunan, veri toplayan veya işleyen kişi ve kuruluşlara, ilgili hükümleri çerçevesinde; gerekli tedbirleri almak, tespit ettikleri zafiyet ve siber olayları gecikmeksizin Siber Güvenlik Başkanlığı’na bildirmek ve yetkili otoritenin talep ettiği bilgi ve belgeleri sağlamak yükümlülükleri getirmektedir.

10.2. Şirket, bir veri ihlalinin aynı zamanda Siber Güvenlik Kanunu kapsamında bildirimi gerektiren bir siber olay niteliğinde olup olmadığını değerlendirir ve gerektiğinde mevzuata uygun şekilde yetkili otoriteye bildirimde bulunur. KVKK ve Siber Güvenlik Kanunu kapsamındaki bildirimler paralel yürütülür ve çelişki oluşmaması için koordine edilir.

10.3. Kanun’un kapsamı ve ayrıntıları ikincil düzenlemelerle netleşmektedir; Şirket gelişmeleri izler ve bu Politika’yı gerektiğinde günceller. Bu madde, Şirket’in Siber Güvenlik Kanunu’na tabi olduğu yönünde bir beyan oluşturmaz; “gerekli olduğu ölçüde” uygulanır.

10.4. Ayrıca; ihlal bir suç şüphesi içeriyorsa kolluk ve savcılığa bildirim yapılabilir; ödeme kuruluşu veya bankalar gibi diğer ilgili paydaşlara mevzuata ve sözleşmelere göre bildirim yapılabilir.

Madde 11 — Kayıt Tutma ve İhlal Defteri

11.1. Şirket, Kurul’un 2019/10 sayılı kararı uyarınca, Kurul’a bildirilsin veya bildirilmesin, ihlalin etkilerini, sonuçlarını ve alınan aksiyonları içerecek şekilde tüm ihlalleri kayıt altına alır ve bu kayıtları Kurul’un incelemesine sunulabilecek şekilde hazır bulundurur.

11.2. İhlal Defteri aşağıdaki alanları içerir: olay numarası, ihlalin tarihi/saati ve öğrenilme tarihi, ihlalin türü ve nedeni, etkilenen sistemler, etkilenen veri kategorileri ve yaklaşık kişi/kayıt sayısı, risk düzeyi, Kurul’a bildirim yapılıp yapılmadığı (yapıldıysa tarih ve gerekçe, yapılmadıysa gerekçe), ilgili kişilere bildirim tarihi ve yöntemi, Kullanıcı’ya bildirim, alınan teknik ve idari tedbirler, olay sorumlusu ve olay sonrası değerlendirme.

11.3. İhlal defteri ve ilgili belgeler en az beş yıl süreyle veya uyuşmazlık, soruşturma ya da idari süreç varsa bu süreç sona erene kadar saklanır. Defterde kişisel veri minimum düzeyde yer alır; mümkün olduğunca anonim veya takma adlı kayıt tutulur.

11.4. Kayıtların bütünlüğü korunur ve yalnızca yetkili kişiler erişebilir.

Madde 12 — Kamuoyu İletişimi, Gizlilik ve İşbirliği

12.1. İhlale ilişkin kamuoyu açıklamaları yalnızca Şirket yönetimi tarafından yetkilendirilen kişilerce yapılır. Çalışanlar, Kullanıcılar ve hizmet sağlayıcılar, ihlal bilgilerini yetkisiz kişilerle veya kamuoyuyla paylaşmaz.

12.2. Şirket, ihlalin soruşturulmasında yetkili makamlar ve gerekirse hizmet sağlayıcılarla işbirliği yapar. İhlalin araştırılması sırasında elde edilen bilgiler, Gizlilik Sözleşmesi kapsamında korunur.

12.3. Kullanıcı ve Ziyaretçiler, ihlal bildirimlerinin gerçekliğini Platform’un resmî kanallarından doğrulamalıdır; Şirket parola, kart bilgisi veya doğrulama kodu isteyen bildirimler göndermez. Bu tür taleplerin oltalama olabileceği unutulmamalıdır.

Madde 13 — Önleme, Eğitim ve İyileştirme

13.1. Şirket, ihlal riskini azaltmak için Bilgi Güvenliği Politikası’nda belirtilen teknik ve idari tedbirleri uygular; çalışanlara düzenli farkındalık eğitimi verir; ihlal müdahale planını yılda en az bir kez gözden geçirir ve gerektiğinde tatbikat yapar.

13.2. Her ihlalin ardından, kök neden analizi yapılır ve tekrarını önlemek için gerekli düzeltici tedbirler uygulanır.

Madde 14 — Şirket’in Sorumluluğunun Sınırı

14.1. Şirket, KVKK m.12 kapsamında makul teknik ve idari tedbirleri almakla yükümlüdür; ancak hiçbir sistemin mutlak güvenli olmadığı ve bir ihlalin her koşulda önlenemeyeceği Kullanıcı tarafından kabul edilir. Bir ihlalin gerçekleşmiş olması, tek başına Şirket’in kusurlu olduğu anlamına gelmez.

14.2. Şirket’in bir ihlal nedeniyle Kullanıcı’ya karşı sorumluluğu, kanunların izin verdiği azami ölçüde, Kullanıcı Sözleşmesi ve Veri İşleme Sözleşmesi’ndeki sorumluluk sınırlamalarına tabidir. İhlalin; Kullanıcı’nın parolasını paylaşması, güvenlik yükümlülüklerini yerine getirmemesi, kendi kullandığı üçüncü taraf hizmetler, mücbir sebepler, Şirket’in kontrolü dışındaki üçüncü kişilerin hukuka aykırı eylemleri veya üçüncü taraf hizmet sağlayıcıların kusurundan kaynaklandığı hâllerde Şirket sorumlu tutulamaz.

14.3. Kurul tarafından Kullanıcı’ya (veri sorumlusu) uygulanan idari para cezaları, Kullanıcı’nın kendi yükümlülüklerini yerine getirmemesinden doğuyorsa Şirket’e rücu edilemez. Kullanıcı’nın kusuru nedeniyle Şirket’e uygulanan yaptırımlar ve doğan zararlar Kullanıcı tarafından tazmin edilir. Kast ve ağır kusur hâlleri ile tüketici mevzuatının emredici hükümleri saklıdır.

14.4. Şirket ilgili kişilerin hak taleplerini ve şikâyetlerini Veri Sahibi Başvuru Prosedürü uyarınca değerlendirir.

Madde 15 — Yürürlük ve Kabul

15.1. Bu Politika yayımlandığı tarihte yürürlüğe girer. Şirket Politika’yı mevzuat ve Kurul kararlarına uygun olarak güncelleyebilir; güncel metin Platform’da yayımlanır.

15.2. Kullanıcı; Platform’a üye olarak veya Hizmet’i kullanarak bu Politika’yı okuduğunu ve kabul ettiğini beyan eder. Elektronik onay ıslak imza yerine geçer; elektronik kayıtlar HMK m.193 uyarınca kesin delil niteliğindedir.

15.3. Politika’ya Türk hukuku uygulanır; uyuşmazlıklarda Konya Mahkemeleri ve İcra Daireleri yetkilidir. Tüketici işlemlerinde kanunen yetkili merci saklıdır. İhlal bildirimi ve iletişim için: merhaba@yenikare.com, 0850 302 2009.

Son güncelleme: 21 Ekim 2026