Kişisel veriler ve iş: FoodSoul müşterilerinin bilmesi gerekenler

Dijital hizmetlerin ve yazılımların kullanımı kaçınılmaz olarak kişisel verilerin işlenmesiyle ilişkilidir. FoodSoul yazılımı ile çalışırken birçok müşteri ve ortak, yasal açıdan zaten kişisel veri operatörü rolünü üstlendiklerini ve belirli yükümlülükler taşıdıklarını düşünmez.

Bu makalede ele alacağız:

• kişisel veri operatörünün kim olduğunu;
• FoodSoul müşterilerinin hangi yükümlülüklerle karşılaştığını;
• FoodSoul yazılımının kullanımı kapsamında hangi verilerin işlendiğini;
• Roskomnadzor'un ne olduğunu ve hangi işlevleri yerine getirdiğini;
• Roskomnadzor'u bilgilendirmenin gerekip gerekmediğini ve nasıl yapılacağını;
• web sitenizde dış veri toplama formu kullanıyorsanız kullanıcı onayını nasıl doğru alacağınızı;
• çerezler, analizler ve kullanıcı talepleriyle nasıl çalışılacağını.

Kişisel veri operatörü kimdir

Kişisel veri operatörü, şu işlemleri yapan herhangi bir gerçek veya tüzel kişidir:

• kişisel verileri toplar;
• saklar, kullanır, iletir veya siler;
• işleme amaçlarını ve yöntemlerini bağımsız olarak belirler.

Basitçe söylemek gerekirse, kullanıcı verilerine neden ve ne için ihtiyacınız olduğuna karar veriyorsanız, siz bir operatörsünüz.

FoodSoul müşterileri, aşağıdaki durumlarda kişisel veri operatörü olurlar:

• kullanıcıları veya çalışanları kaydederler;
• müşteri veritabanlarıyla çalışırlar;
• sipariş, başvuru, talep alırlar;
• FoodSoul yazılımının kişisel hesaplar ve diğer işlevlerini kullanırlar.

Verilerin teknik olarak nerede saklandığı önemli değildir: operatörün sorumluluğu devam eder.

FoodSoul müşterilerinin hangi yükümlülükleri vardır

Kişisel veri operatörü olarak, FoodSoul müşterisinin aşağıdaki temel yükümlülükleri vardır:

• kişisel verileri yasal ve belirli amaçlarla işlemek;
• veri işleme için kullanıcı onayı almak (gerekirse);
• kullanıcıyı hangi verilerin ve neden işlendiği konusunda bilgilendirmek;
• verilerin gizliliğini ve güvenliğini sağlamak;
• kullanıcı taleplerine yanıt vermek (veri değişikliği, silinmesi);
• Rusya Federasyonu kişisel veriler yasasının gerekliliklerine uymak.

Bir IT platformunun varlığı, işletmeyi bu yükümlülüklerden kurtarmaz. FoodSoul teknik kısmı sağlar, ancak işleme yasallığına ilişkin yasal sorumluluk FoodSoul ortağında kalır.

FoodSoul yazılımı kapsamında hangi veriler işlenir

1. Kullanıcı tarafından sağlanan veriler

Bu, kullanıcının kendi isteğiyle belirttiği bilgilerdir. Şunları içerir:

• Kayıt veya hesap oluşturma sırasında: isim, cinsiyet, doğum tarihi, iletişim telefonu, e-posta adresi (e-mail), fotoğraf;
• Sipariş verme ve yerine getirme sırasında: isim, e-mail, ödeme kartı bilgileri, diğer ödeme bilgileri, teslimat adresi, iletişim telefonu;
• Geri bildirim, şikayetler, promosyonlar ve sadakat programlarına katılım sırasında: soyadı, isim, ikinci ad, iletişim bilgileri, metin bilgisi ve medya içeriği;
• Destek hizmetine başvuru sırasında: hesap bilgileri, cihaz ve yazılımın teknik parametreleri.

2. Otomatik olarak iletilen veriler

FoodSoul yazılımı kullanılırken otomatik olarak işlenebilecek veriler:

• Teknik veriler: IP adresi, HTTP başlıkları, çerez dosyası verileri, web işaretçileri/piksel etiketleri, tarayıcı ve işletim sistemi bilgileri, mobil cihaz kimliği, donanım ve yazılım bilgileri;
• Kullanım verileri: Siteler ve/veya Hizmetlere erişim tarihi ve saati, sipariş ve işlem geçmişi;
• Coğrafi konum verileri (uygulanabilir ve kullanıcı onayı ile).

FoodSoul, yalnızca yazılımın çalışması ve hizmetlerin iyileştirilmesi için gerekli bilgileri işler.

Roskomnadzor nedir ve hangi işlevleri yerine getirir

Roskomnadzor, kişisel veriler yasasına uyumu denetleyen bir devlet kurumudur.

O:

• kişisel veri operatörlerinin kaydını tutar;
• yasanın gerekliliklerine uyumu denetler;
• kullanıcı şikayetlerini inceler;
• planlı ve plansız denetimler yapar;
• ihlallerin giderilmesi için talimatlar verir;
• operatörleri idari sorumluluğa çeker.

Basitçe söylemek gerekirse, Roskomnadzor, işletmelerin kişisel verilerle doğru ve yasal bir şekilde çalışmasını sağlar.

Roskomnadzor'u bilgilendirmek gerekiyor mu

Çoğu durumda, FoodSoul müşterileri kişisel verilerin işlenmesine başlamadan önce Roskomnadzor'u bilgilendirmek zorundadır. Bildirim, işleme başlamadan önce veya işleme zaten yapılıyorsa, mümkün olan en kısa sürede yapılmalıdır.

Aşağıda, pd.rkn.gov.ru sitesinde elektronik formu doldurma konusunda, Gizlilik Politikanıza dayalı örneklerle pratik bir adım adım kılavuz bulunmaktadır.

Kılavuz “Kişisel verilerin işlenmesine başlama bildirimini nasıl doldurulur”

Adım 1: Operatör hakkında genel bilgiler

• Kayıt bölgesi / Operatör türü / Adı / Adres / Vergi Kimlik Numarası, Ticaret Sicil Numarası: Bilgiler kesinlikle Ticaret Sicil Kayıtlarına uygun olarak belirtilmelidir. Bilgilerin güncelliğini Vergi Dairesi sitesinde kontrol edin.
• Telefon / E-posta adresi: Roskomnadzor'un sizinle iletişime geçebileceği iletişim bilgilerini belirtin.
• İşleme bölgesi: Şirketinizin fiilen çalıştığı ve verilerin işlendiği bölgeleri belirtin (örneğin, merkez ofis, şubeler). Faaliyet tüm Rusya'da yürütülüyorsa, “Rusya Federasyonu” belirtilebilir.

Adım 2: Kişisel verilerin işlenme amaçları

Bu en önemli bloktur. Her amacı ayrıntılı olarak açıklamanız gerekir. Gizlilik Politikanızın 5. bölümünden yararlanın.

“Siparişlerin düzenlenmesi ve yerine getirilmesi, durum kontrolü, teslimat” amacı için doldurma örneği (Politika'nın 5.2 ve 5.3 maddelerine dayanarak):

• İşleme amacı: Kullanıcının mal/hizmet siparişlerinin düzenlenmesi, yerine getirilmesi, durum kontrolü ve teslimatı, siparişle ilgili kullanıcıyla etkileşim.
• Kişisel veri kategorileri: soyadı, isim, ikinci ad; telefon numarası; e-posta adresi (e-mail); teslimat adresi; ödeme kartı bilgileri/diğer ödeme bilgileri; sipariş detayları.
• Konu kategorileri: Sipariş veren ve teslimat talep eden kullanıcılar.
• İşlemenin yasal dayanağı: Kişisel veri sahibinin onayı (Kişisel Veriler Yasası'nın 6. maddesi); sözleşme (Kullanıcı Sözleşmesi).
• Eylem listesi: Toplama, kaydetme, sistematize etme, biriktirme, saklama, güncelleme (güncelleme, değiştirme), çıkarma, kullanma, iletme (işleme yetkilendirme dahil), anonimleştirme, engelleme, silme, yok etme.
• İşleme yöntemleri: Otomatik işleme.

Politikadan diğer amaçları da benzer şekilde doldurun, örneğin:

• Hesap kaydı (madde 5.1).
• Pazarlama iletişimleri (madde 5.4).
• Geri bildirim ve destek (madde 5.5, 5.7).
• Promosyonlar ve sadakat programları yürütme (madde 5.6).
• Hizmetlerin iyileştirilmesi, analiz, güvenlik (madde 5.9, 5.10, 5.11).

Adım 3: İşleme yöntemleri

“Otomatik”, “Tüzel kişinin iç ağı üzerinden iletim”, “İnternet üzerinden iletim” sekmelerinde seçin.

Adım 4: Kişisel verilerin korunmasına yönelik önlemler (madde 18.1 ve 19 FZ-152)

Belirli organizasyonel ve teknik önlemleri açıklayın. Politikanızın 7. bölümünü temel alabilirsiniz.

Doldurma örneği:

1. Kişisel verilerin işlenmesi ve güvenliğinin sağlanmasından sorumlu kişiler atanmıştır.
2. Kişisel verilerin işlenmesine ilişkin Politika geliştirilmiş ve onaylanmıştır.
3. İşlem yapan çalışanlar, Rusya Federasyonu kişisel veriler yasası ve yerel düzenlemeler hakkında bilgilendirilmiştir.
4. Bilgi sistemlerine erişim yönetimi sağlanmaktadır (hesaplar, şifreler).
5. Koruma teknik araçları uygulanmaktadır: güvenlik duvarları (firewall), antivirüs yazılımı, saldırı tespit sistemleri.
6. Bilgilerin yedeklenmesi sağlanmaktadır.
7. Bilgi sistemlerinde kullanıcı işlemlerinin kaydı ve takibi yapılmaktadır.
8. İnternet üzerinden veri iletiminde güvenli bağlantı (HTTPS/TLS protokolü) kullanılmaktadır.

Adım 5: Şifreleme (kriptografik) araçlarının kullanımı

Kullanılıyor / kullanılmıyor belirtin.

Kullanılıyorsa, şifreleme araçlarının sınıfı ve adı, üreticileri, seri numaralarını belirtin.

Örneğin:

• Şifreleme araçları sınıfı: KCS2; KCS3.
• Şifreleme araçlarının adı, üreticileri, seri numaraları: KCS KryptoPro CSP, PAK “AK-server”, VipNet CSP.

Adım 6: Tarihler ve koşullar

• İşleme başlangıç tarihi: Müşteri kişisel verileriyle fiilen çalışmaya başladığınız tarihi belirtin (şirketin kayıt tarihiyle aynı olabilir).
• İşlemenin sona erme süresi veya koşulu: Sekmede “Bitiş koşulu” seçin. Ardından belirtin: “Tüzel kişinin tasfiyesi veya yeniden yapılandırılması”.

Adım 7: Sınır ötesi veri aktarımı

Verileri Rusya dışına aktarmıyorsanız, “Gerçekleştirilmiyor” belirtin.

Adım 8: Veritabanının bulunduğu yer hakkında bilgiler

Bu, FoodSoul müşterileri için kritik bir noktadır. LLC “FoodSoul”, platformun teknolojik altyapısını (sunucu ekipmanı) Rusya Federasyonu'nda bir dış kaynak veri işleme merkezinde (DPC) barındırmaktadır. Ayrıca, kendi DPC'nizi kullanıyorsanız, bilgileri ekleyin ve kendi DPC'niz hakkında Bilgi Bankası No.2'yi doldurun.

Verilerin saklandığı yer hakkında bilgi doldurma örneği:

• Ülke: Rusya
• DPC adresi: 123060, Moskova, Berzarina Sokak, 36, Bina 3
• Kendi DPC: yok

Verilerin saklanmasından sorumlu kuruluş hakkında bilgiler:

• Kuruluş türü: tüzel kişi
• Kurumsal-yasal form: AO
• Kuruluş adı: Anonim Şirket "Selectel"
• Ticaret Sicil Numarası: 1247800067790
• Vergi Kimlik Numarası: 7810962785
• Bulunduğu ülke: Rusya
• Bulunduğu adres: 196006, St. Petersburg, Tsvetochnaya Sokak, 21, Lit. A (Ticaret Sicil Kayıtlarına uygun olarak)

* Ayrıca kendi DPC'nizi kullanıyorsanız, Bilgi Bankası No.2'yi ekleyin ve kendi kuruluşunuzun bilgilerini Ticaret Sicil Kayıtlarına uygun olarak girin.

Adım 9: Devlet ve belediye bilgi sistemlerinde yer alan kişisel verilerin işlenmesini gerçekleştiren veya erişimi olan kişiler hakkında bilgiler.

Burada, operatörün verileri aktardığı, bilgi sistemlerine erişimi olan veya sözleşme temelinde işleme yapan üçüncü şahıslar belirtilir (madde 6 152-FZ). İsimler/Adlar, Vergi Kimlik Numarası, adres ve işleme amacı belirtilmelidir. Bunlar arasında GİS/MİS hizmet veren IT şirketleri, iletişim operatörleri, sözleşmeli iş ortakları, kişisel verilerin aktarıldığı bulut sağlayıcıları yer alır.

Böyle sistemleriniz yoksa, iletişim bilgileri alanlarının listesinin altındaki “Sil” düğmesiyle alan setini silmeniz gerekir.

Adım 10: Kişisel verilerin güvenliğini sağlama hakkında bilgiler

Burada, Rusya Federasyonu Hükümeti'nin 01.11.2012 tarihli ve 1119 sayılı kararnamesi ile belirlenen gerekliliklerin yerine getirilmesi amacıyla uyguladığınız önlemler listesi belirtilir. Bu bölümde şunları belirtebilirsiniz:

Operatör, verilerin korunmasına yönelik gerekliliklerin yerine getirilmesini LLC “FoodSoul” (Vergi Kimlik Numarası 4345369685) tarafından sağlanan bulut platformunu kullanarak sağlar, bu platform aşağıdaki gerekliliklere uygundur:

1. Organizasyonel önlemler:

• Platformun sahibi (LLC “FoodSoul”) ile, işleme yapan operatör olarak yükümlülüklerini belirleyen bir sözleşme imzalanmıştır.
• Operatör çalışanlarının platformun işlevselliğine erişim hakları, en az ayrıcalık ilkesi temelinde sağlanmaktadır (rol tabanlı erişim modeli).
• Çalışan hesapları benzersiz şifrelerle korunmaktadır.

2. Teknik önlemler:

• Platforma erişim ve kullanıcı ile sistem arasındaki veri iletimi, yalnızca HTTPS/TLS protokolleri (şifreleme) kullanılarak güvenli iletişim kanalları üzerinden gerçekleştirilir.
• Kullanıcıların kimlik doğrulaması ve yetkilendirilmesi platformun kendi araçlarıyla sağlanır.
• Kötü amaçlı yazılımlara karşı koruma (antivirüs koruması) ve güvenlik duvarları (Firewall) platform sahibinin altyapısında uygulanmıştır.
• Platform sahibi, verilerin düzenli yedeklenmesini ve sunucu ekipmanının fiziksel korunmasını Rusya Federasyonu'ndaki veri merkezlerinde sağlar.
• Platform tarafından sağlanan işlevsellik çerçevesinde güvenlik olaylarının kaydı sağlanır (işlem günlükleri).

3. Önlemlerin uygulanmasının kontrolü:

• Operatör, platform sahibinin kişisel verilerin güvenliğini sağlama konusundaki sözleşme şartlarına uyumunu kontrol eder.

Adım 11: Bildirimi oluşturan kişi hakkında bilgiler

Roskomnadzor'a bu bildirimi gönderen kişinin adı, soyadı, pozisyonu ve iletişim bilgilerini belirtin.

Adım 12: Bildirimin imzalanması ve gönderilmesi

Seçenek 1. Basılı formda

Basılı formda oluşturulan Bildirim, kuruluşun yöneticisi veya belgeleri imzalama yetkisine sahip kişi tarafından imzalanmalı, tarih ve mühür (varsa) eklenmeli ve Roskomnadzor'un bölgesel ofisine posta yoluyla veya elden teslim edilmelidir.

Seçenek 2. Güçlendirilmiş nitelikli elektronik imza kullanarak elektronik formda

Formu doldurup elektronik imza ile imzalayabilirsiniz. Bu durumda basılı formda gönderim gerekmeyecektir. CryptoPro EDS Tarayıcı eklentisi kurulmuş olmalı ve onunla çalışmak için ayarlanmış olmalıdır.

Seçenek 3. ESIA kimlik doğrulama araçlarını kullanarak elektronik formda

Devlet Hizmetleri portalında kimlik doğrulaması yapın, formu doldurun ve elektronik olarak gönderin. Onaylanmış bir hesabınız olmalıdır. Bu durumda basılı formda kopya gönderimi gerekmeyecektir. Eğer bildirimi bir kuruluş adına gönderiyorsanız, hesabınızın Devlet Hizmetleri portalında bu kuruluşa bağlı olması gerekir.

TAMAM! Başarılı gönderimden sonra operatörler kaydına dahil edileceksiniz. Bildirim numarasını ve anahtarını saklayın.

Roskomnadzor'a bildirimin başarılı bir şekilde gönderilmesinden ve operatörler kaydına dahil edilmesinden sonra, kişisel verilerle günlük çalışmanın doğru bir şekilde sağlanması gerekmektedir. Bu çalışmanın ana pratik yönleri, çerezlerin ve analizlerin kullanımı ile kullanıcı taleplerinin işlenmesidir.

Dış veri toplama formları kullanırken onay alma mekanizması

Birçok FoodSoul müşterisi, müşterileri çekmek için web sitelerinde dış veri toplama formları (widget'lar) yerleştirir — örneğin, geri arama siparişi veya teknik destek başvurusu formları. Önemli olan, bu tür entegrasyonların siteye müşteriler tarafından bağımsız olarak kurulmasıdır.

Bu formlar aracılığıyla veri toplamanın yasal olması için iki koşulun yerine getirilmesi gerekir:

1. Metin onayı. Veri toplama formunun (widget) hemen altında, kullanıcıya, gönder düğmesine basarak kişisel verilerinin işlenmesine onay verdiğini belirten anlaşılır bir ifade yerleştirilmelidir.
2. Belgelere köprüler. Bu ifade, iki belgeye aktif (tıklanabilir) bağlantılar içermelidir:
   • Hizmet şartlarının açıklandığı Kullanıcı Sözleşmesi (veya Teklif Sözleşmesi).
   • Hangi verilerin toplandığı, neden ve nasıl işlendiğinin ayrıntılı olarak açıklandığı Gizlilik Politikası.

Formun altına yerleştirilmesi önerilen ifade:

“Gönder'e tıklayarak, Kullanıcı Sözleşmesi şartlarını kabul ettiğinizi ve Gizlilik Politikası uyarınca kişisel verilerinizin işlenmesine onay verdiğinizi kabul ediyorsunuz.”

Bu basit önlem, kontrol organlarından gelen taleplerden sizi koruyacak ve kullanıcının bilinçli ve gönüllü olarak hareket ettiğini kanıtlayacaktır.

Çerezler, analizler ve kullanıcı talepleriyle nasıl çalışılır

Çerezler ve analizler

FoodSoul yazılımı, çerez dosyalarını ve sayaçları (uygulanabilir ise) şu amaçlarla kullanır:

• hizmetlerin çalışmasını sağlamak;
• işlevlerin kişiselleştirilmesi;
• analiz ve istatistik;
• yazılımın kalitesini artırmak;
• reklamların kişiselleştirilmesi.

Bu veriler de kişisel verilerdir ve yukarıda açıklandığı gibi bildirimde yer almalıdır. Kullanıcının tarayıcı ayarlarında çerez kullanımını yasaklayabileceğini, ancak bu durumda hizmetin bazı işlevlerinin kullanılamayabileceğini unutmamak önemlidir.

Kullanıcı talepleri

Operatörün doğrudan yükümlülüklerinden biri, kişisel veri sahiplerinin taleplerine zamanında yanıt vermektir. Kullanıcı şu haklara sahiptir:

• verilerinin işlenmesi hakkında bilgi talep etmek;
• kişisel verilerini değiştirmek;
• verileri silmek için info@fs.me adresine talep göndermek.

Kullanıcı, haklarını gerçekleştirmek için operatöre (FoodSoul müşterisine) başvurabilir veya kişisel hesap işlevselliğini kullanabilir (uygulanabilir ise). Hesabın silinmesi veya onayın geri çekilmesi, ilgili Hizmetlerin daha fazla kullanılmasını imkansız hale getirebilir.

Bununla birlikte, yasa, operatörün belirli verileri belirli bir süre boyunca saklamasını veya devlet organlarına iletmesini zorunlu kılabilir.

Sonuç

FoodSoul yazılımını kullanarak, işletme kullanışlı ve güvenli bir araç elde eder, ancak bununla birlikte kişisel veri operatörü statüsünü de üstlenir. Yükümlülüklerinizi anlamak, verilerle doğru çalışmak ve kullanıcılarla şeffaf etkileşim kuralları, bir formalite değil, yasal riskleri azaltmanın ve müşteri güvenini artırmanın gerçek bir yoludur.

Hâlâ kayıtta değil misiniz? Kılavuzumuzla bildirim gönderin — göründüğünden daha kolay!
FoodSoul her adımda sizinle.

Saygılarımızla,

FoodSoul Ekibi