Dijital hizmetlerin ve yazılımların kullanımı kaçınılmaz olarak kişisel verilerin işlenmesiyle ilişkilidir. FoodSoul yazılımı ile çalışırken birçok müşteri ve ortak, yasal açıdan zaten kişisel veri operatörü rolünü üstlendiklerini ve belirli yükümlülükler taşıdıklarını düşünmezler.

Bu makalede ele alacağız:

• kişisel veri operatörünün kim olduğunu;

• FoodSoul müşterilerinin hangi yükümlülüklerle karşılaştığını;

• FoodSoul yazılımının kullanımı kapsamında hangi verilerin işlendiğini;

• Roskomnadzor'un ne olduğu ve hangi işlevleri yerine getirdiği;

• Roskomnadzor'u bilgilendirmenin gerekip gerekmediği ve nasıl yapılacağı;

• web sitenizde dış veri toplama formu kullanıyorsanız kullanıcı onayını nasıl doğru alacağınızı;

• çerezler, analizler ve kullanıcı talepleriyle nasıl çalışılacağını.

Kişisel veri operatörü kimdir

Kişisel veri operatörü, şu işlemleri yapan herhangi bir gerçek veya tüzel kişidir:

• kişisel verileri toplar;
• saklar, kullanır, iletir veya siler;
• işleme amaçlarını ve yöntemlerini bağımsız olarak belirler.

Basitçe söylemek gerekirse, kullanıcı verilerine neden ve ne için ihtiyacınız olduğuna karar veriyorsanız, siz bir operatörsünüz.

FoodSoul müşterileri, aşağıdaki durumlarda kişisel veri operatörü olurlar:

• kullanıcıları veya çalışanları kaydederler;
• müşteri veritabanlarıyla çalışırlar;
• sipariş, başvuru, talep alırlar;
• FoodSoul yazılımının kişisel hesaplar ve diğer işlevlerini kullanırlar.

Verilerin teknik olarak nerede saklandığı önemli değildir: operatörün sorumluluğu devam eder.

FoodSoul müşterilerinin hangi yükümlülükleri vardır

Kişisel veri operatörü olarak, FoodSoul müşterisinin aşağıdaki temel yükümlülükleri vardır:

• kişisel verileri yasal ve belirli amaçlarla işlemek;
• veri işleme için kullanıcı onayı almak (gerekiyorsa);
• kullanıcıyı hangi verilerin ve neden işlendiği konusunda bilgilendirmek;
• verilerin gizliliğini ve güvenliğini sağlamak;
• kullanıcı taleplerine yanıt vermek (veri değişikliği, silme);
• Rusya Federasyonu'nun kişisel verilerle ilgili yasalarına uymak.

Bir IT platformunun varlığı, işletmeyi bu yükümlülüklerden muaf tutmaz. FoodSoul teknik kısmı sağlar, ancak işleme yasallığına ilişkin yasal sorumluluk FoodSoul ortağında kalır.

FoodSoul yazılımı kapsamında hangi veriler işlenir

1. Kullanıcı tarafından sağlanan veriler

Bu, kullanıcının kendisinin belirttiği bilgidir. Şunları içerir:

• Kayıt veya hesap oluşturma sırasında: ad, cinsiyet, doğum tarihi, iletişim telefonu, e-posta adresi (e-mail), fotoğraf;
• Sipariş verme ve yerine getirme sırasında: ad, e-mail, ödeme kartı bilgileri, diğer ödeme bilgileri, teslimat adresi, iletişim telefonu;
• Geri bildirim, şikayetler, kampanyalara ve sadakat programlarına katılım sırasında: soyadı, ad, ikinci ad, iletişim bilgileri, metin bilgisi ve medya içeriği;
• Destek hizmetine başvuru sırasında: hesap bilgileri, cihaz ve yazılımın teknik parametreleri.

2. Otomatik olarak iletilen veriler

FoodSoul yazılımı kullanılırken otomatik olarak işlenebilecek veriler:

• Teknik veriler: IP adresi, HTTP başlıkları, çerez dosyası verileri, web işaretçileri/piksel etiketleri, tarayıcı ve işletim sistemi bilgileri, mobil cihaz kimliği, donanım ve yazılım bilgileri;
• Kullanım verileri: Siteler ve/veya Hizmetlere erişim tarihi ve saati, sipariş ve işlem geçmişi;
• Coğrafi konum verileri (uygulanabilir ve kullanıcı onayı ile).

FoodSoul, yalnızca yazılımın çalışması ve hizmetlerin iyileştirilmesi için gerekli bilgileri işler.

Roskomnadzor nedir ve hangi işlevleri yerine getirir

Roskomnadzor, kişisel verilerle ilgili yasaların uygulanmasını denetleyen bir devlet organıdır.

O:

• kişisel veri operatörlerinin kaydını tutar;
• yasanın gerekliliklerine uyulmasını denetler;
• kullanıcı şikayetlerini inceler;
• planlı ve plansız denetimler yapar;
• ihlallerin giderilmesi için talimatlar verir;
• operatörleri idari sorumluluğa çeker.

Basitçe söylemek gerekirse, Roskomnadzor, işletmelerin kişisel verilerle doğru ve yasal bir şekilde çalışmasını sağlar.

Roskomnadzor'u bilgilendirmek gerekiyor mu

Çoğu durumda, FoodSoul müşterileri kişisel verilerin işlenmeye başlanması hakkında Roskomnadzor'u bilgilendirmek zorundadır. Bildirim, işlemeye başlamadan önce veya işlem zaten yapılıyorsa, mümkün olan en kısa sürede yapılır.

Aşağıda, pd.rkn.gov.ru sitesinde elektronik formu doldurmak için adım adım bir kılavuz bulunmaktadır, gizlilik politikanıza dayalı örneklerle.

"Kişisel verilerin işlenmeye başlanması bildirimini nasıl doldururum" kılavuzu

Adım 1: Operatör hakkında genel bilgiler

• Kayıt bölgesi / Operatör türü / Adı / Adres / Vergi Kimlik Numarası, Ticaret Sicil Numarası: Bilgiler kesinlikle Ticaret Sicil Kayıtlarına uygun olarak belirtilmelidir. Bilgilerin güncelliğini Vergi Dairesi sitesinde kontrol edin.
• Telefon / E-posta adresi: Roskomnadzor'un sizinle iletişime geçebileceği iletişim bilgilerini belirtin.
• İşleme bölgesi: Şirketinizin fiilen çalıştığı ve verilerin işlendiği bölgeleri belirtin (örneğin, merkez ofis, şubeler). Faaliyet tüm Rusya'da yürütülüyorsa, "Rusya Federasyonu" belirtilebilir.

Adım 2: Kişisel verilerin işlenme amaçları

Bu en önemli bloktur. Her amacı ayrıntılı olarak açıklamanız gerekir. Gizlilik Politikanızın 5. bölümünden yararlanın.

"Siparişlerin düzenlenmesi ve yerine getirilmesi, durum kontrolü, teslimat" amacı için örnek doldurma (Politika'nın 5.2 ve 5.3 maddelerine dayanarak):

• İşleme amacı: Kullanıcının mal/hizmet siparişlerinin düzenlenmesi, yerine getirilmesi, durum kontrolü ve teslimatı, siparişle ilgili kullanıcıyla etkileşim.
• Kişisel veri kategorileri: soyadı, ad, ikinci ad; telefon numarası; e-posta adresi (e-mail); teslimat adresi; ödeme kartı bilgileri/diğer ödeme bilgileri; sipariş detayları.
• Konu kategorileri: Sipariş veren ve teslimat talep eden kullanıcılar.
• İşlemenin yasal dayanağı: Kişisel veri sahibinin onayı (Kişisel Veriler Hakkında Kanun'un 6. maddesi); sözleşme (Kullanıcı Sözleşmesi).
• Eylem listesi: Toplama, kaydetme, sistematize etme, biriktirme, saklama, güncelleme (yenileme, değiştirme), çıkarma, kullanma, iletme (işleme yetkilendirme dahil), anonimleştirme, engelleme, silme, yok etme.
• İşleme yöntemleri: Otomatik  işleme.

Politikadaki diğer amaçları da benzer şekilde doldurun, örneğin:

• Hesap kaydı (madde 5.1).
• Pazarlama iletişimleri (madde 5.4).
• Geri bildirim ve destek (madde 5.5, 5.7).
• Kampanyalar ve sadakat programları yürütme (madde 5.6).
• Hizmetlerin iyileştirilmesi, analiz, güvenlik (madde 5.9, 5.10, 5.11).

Adım 3: İşleme yöntemleri

Seçenekler arasında seçin: "Otomatik", "Tüzel kişinin iç ağı üzerinden iletim", "İnternet üzerinden iletim".

Adım 4: Kişisel verilerin korunmasına yönelik önlemler (Kanun-152 madde 18.1 ve 19)

Belirli organizasyonel ve teknik önlemleri açıklayın. Gizlilik Politikanızın 7. bölümünü temel alabilirsiniz.

Örnek doldurma:

1. Kişisel verilerin işlenmesi ve güvenliğinin sağlanmasından sorumlu kişiler atanmıştır.

2. Kişisel verilerin işlenmesine ilişkin Politika geliştirilmiş ve onaylanmıştır.

3. Veri işleme yapan çalışanlar, Rusya Federasyonu'nun kişisel verilerle ilgili yasaları ve yerel düzenlemeler hakkında bilgilendirilmiştir.

4. Bilgi sistemlerine erişim yönetimi sağlanmaktadır (hesaplar, şifreler).

5. Koruma teknik araçları uygulanmaktadır: güvenlik duvarları (firewall), antivirüs yazılımı, saldırı tespit sistemleri.

6. Bilgilerin yedeklenmesi sağlanmaktadır.

7. Bilgi sistemlerinde kullanıcı eylemlerinin kaydı ve takibi yapılmaktadır.

8. İnternet üzerinden veri iletimi sırasında güvenli bağlantı (HTTPS/TLS protokolü) kullanılmaktadır.

Adım 5: Şifreleme (kriptografik) araçların kullanımı

Kullanılıyor / kullanılmıyor belirtin.

Eğer kullanılıyorsa, şifreleme araçlarının sınıfı ve adı, üreticileri, seri numaraları belirtilmelidir.

Örneğin:

• Şifreleme araçları sınıfı: KCS2; KCS3.
• Şifreleme araçlarının adı, üreticileri, seri numaraları: KCS KryptoPro CSP, PAK "AK-server", VipNet CSP.

Adım 6: Tarihler ve koşullar

• İşlemeye başlama tarihi: Müşteri verileriyle fiilen çalışmaya başladığınız tarihi belirtin (şirketin kayıt tarihiyle aynı olabilir).
• İşlemenin sona erme süresi veya koşulu: Sekmede "Bitiş koşulu" seçin. Ardından belirtin: "Tüzel kişinin tasfiyesi veya yeniden yapılandırılması".

Adım 7: Sınır ötesi veri aktarımı

Verileri Rusya dışına aktarmıyorsanız, "Gerçekleştirilmiyor" belirtin.

Adım 8: Veritabanının bulunduğu yer hakkında bilgiler

Bu, FoodSoul müşterileri için kritik bir noktadır. OOO "FoodSoul", platformun teknolojik altyapısını (sunucu ekipmanı) Rusya Federasyonu topraklarında dış kaynaklı bir veri işleme merkezinde (DIC) barındırmaktadır. Ayrıca, kendi DIC'nizi kullanıyorsanız, bilgileri ekleyin ve kendi DIC'nizle ilgili bilgileri doldurun.

Verilerin saklandığı yer hakkında bilgi doldurma örneği:

• Ülke: Rusya
• DIC adresi: 123060, Moskova, Berzarina Sokak, 36, Bina 3
• Kendi DIC: yok

Verilerin saklanmasından sorumlu organizasyon hakkında bilgiler:

• Organizasyon türü: tüzel kişi

• Organizasyonun hukuki yapısı: AO

• Organizasyonun adı: Anonim Şirket "Selectel"

• Ticaret Sicil Numarası: 1247800067790

• Vergi Kimlik Numarası: 7810962785

• Bulunduğu ülke: Rusya

• Bulunduğu adres: 196006, St. Petersburg, Tsvetochnaya Sokak, 21, A Binası (Ticaret Sicil Kayıtlarına uygun olarak)

* Kendi DIC'niz de kullanılıyorsa, 2. Veritabanını ekleyin ve organizasyonunuzun bilgilerini Ticaret Sicil Kayıtlarına uygun olarak girin.

Adım 9: Devlet ve belediye bilgi sistemlerinde yer alan kişisel verileri işleyen veya erişimi olan kişiler hakkında bilgiler.

Burada, operatörün verileri aktardığı, bilgi sistemlerine erişimi olan veya sözleşme temelinde verileri işleyen üçüncü şahıslar belirtilir (Kanun-152 madde 6). İsimler/Adlar, Vergi Kimlik Numarası, adres ve işleme amacı listelenmelidir. Bunlar arasında bilgi sistemlerini yöneten IT şirketleri, iletişim operatörleri, sözleşmeli iş ortakları, kişisel verilerin aktarıldığı bulut sağlayıcıları bulunur.

Böyle sistemleriniz yoksa, iletişim bilgileri alanlarının listesinin altındaki "Sil" düğmesiyle alan setini silmeniz gerekir.

Adım 10: Kişisel verilerin güvenliğini sağlama hakkında bilgiler

Burada, Rusya Federasyonu Hükümeti'nin 01.11.2012 tarihli 1119 sayılı kararnamesi ile belirlenen gerekliliklerin yerine getirilmesi amacıyla uyguladığınız önlemler listelenir. Bu bölümde şunları belirtebilirsiniz:

Operatör, verilerin korunmasına yönelik gereklilikleri OOO "FoodSoul" (Vergi Kimlik Numarası 4345369685) tarafından sağlanan bulut platformunu kullanarak yerine getirir, bu platform aşağıdaki gerekliliklere uygundur:

1. Organizasyonel önlemler:

• Platformun sahibi (OOO "FoodSoul") ile, işleme yetkilendirme yükümlülüklerini belirleyen bir sözleşme imzalanmıştır.
• Operatörün çalışanlarının platformun işlevselliğine erişim hakları, en az ayrıcalık ilkesi temelinde sınırlandırılmıştır (rol tabanlı erişim modeli).
• Çalışan hesapları benzersiz şifrelerle korunmaktadır.

2. Teknik önlemler:

• Platforma erişim ve kullanıcı ile sistem arasındaki veri iletimi, yalnızca HTTPS/TLS protokolleri (şifreleme) kullanılarak güvenli iletişim kanalları üzerinden gerçekleştirilir.
• Kullanıcıların kimlik doğrulaması ve yetkilendirilmesi platformun kendi araçlarıyla sağlanır.
• Kötü amaçlı yazılımlara karşı koruma (antivirüs koruması) ve güvenlik duvarları (Firewall) platform sahibinin altyapısında uygulanmıştır.
• Platform sahibi, verilerin düzenli yedeklenmesini ve sunucu ekipmanının fiziksel korunmasını Rusya Federasyonu'ndaki veri merkezlerinde sağlar.
• Platformun sağladığı işlevsellik çerçevesinde güvenlik olaylarının kaydı sağlanır (eylem günlükleri).

3. Önlemlerin uygulanmasının kontrolü:

• Operatör, platform sahibinin kişisel verilerin güvenliğini sağlama konusundaki sözleşme şartlarına uyumunu kontrol eder.

Adım 11: Bildirimi oluşturan kişi hakkında bilgiler

Roskomnadzor'a bu bildirimi gönderen kişinin adı, pozisyonu ve iletişim bilgilerini belirtin.

Adım 12: Bildirimin imzalanması ve gönderilmesi

Seçenek 1. Basılı formda

Basılı formda oluşturulan Bildirim, organizasyonun yöneticisi veya belgeleri imzalama yetkisine sahip kişi tarafından imzalanmalı, tarih ve mühür (varsa) eklenmeli ve Roskomnadzor'un bölgesel ofisine posta yoluyla veya elden teslim edilmelidir.

Seçenek 2. Güçlendirilmiş nitelikli elektronik imza kullanarak elektronik formda

Formu doldurup elektronik imza ile imzalayabilirsiniz. Bu durumda basılı formda gönderim gerekmeyecektir. KryptoPro ECP Tarayıcı eklentisi yüklü olmalı ve onunla çalışmak için ayarlanmış olmalıdır.

Seçenek 3. ESIA kimlik doğrulama araçlarını kullanarak elektronik formda

Devlet Hizmetleri portalında kimlik doğrulaması yapın, formu doldurun ve elektronik olarak gönderin. Onaylanmış bir hesabınız olmalıdır. Bu durumda basılı formda kopya gönderimi gerekmeyecektir. Eğer bildirimi bir organizasyon adına gönderiyorsanız, hesabınızın Devlet Hizmetleri portalında bu organizasyona bağlı olması gerekir.

TAMAM! Başarılı gönderimden sonra operatörler kaydına dahil edileceksiniz. Bildirim numarasını ve anahtarını saklayın.

Roskomnadzor'a bildirimin başarılı bir şekilde gönderilmesinden ve operatörler kaydına dahil edilmesinden sonra, kişisel verilerle günlük çalışmanın doğru bir şekilde yürütülmesi gerekmektedir. Bu çalışmanın ana pratik yönleri, çerezlerin ve analizlerin kullanımı ile kullanıcı taleplerinin işlenmesidir.

Dış veri toplama formları kullanırken onay alma mekanizması

Birçok FoodSoul müşterisi, müşterileri çekmek için web sitelerinde dış veri toplama formları (widget'lar) yerleştirir - örneğin, geri arama siparişi veya teknik destek başvurusu formları. Bu tür entegrasyonların müşteriler tarafından bağımsız olarak kurulduğunu anlamak önemlidir.

Bu formlar aracılığıyla veri toplamanın yasal olması için iki koşulun yerine getirilmesi gerekir:

1. Metin onayı. Veri toplama formunun (widget) hemen altında, kullanıcının gönder düğmesine basarak kişisel verilerinin işlenmesine onay verdiğini belirten anlaşılır bir ifade yerleştirilmelidir.

2. Belgelere bağlantılar. Bu ifade, iki belgeye aktif (tıklanabilir) bağlantılar içermelidir:

   • Hizmet şartlarının açıklandığı Kullanıcı Sözleşmesi (veya Teklif Sözleşmesi).

   • Hangi verilerin toplandığı, neden ve nasıl işlendiğinin ayrıntılı olarak açıklandığı Gizlilik Politikası.

Formun altına yerleştirilmesi önerilen ifade:

"Gönder'e tıklayarak, Kullanıcı Sözleşmesi şartlarını kabul ediyor ve Gizlilik Politikası'na göre kişisel verilerinizin işlenmesine onay veriyorsunuz."

Bu basit önlem, kontrol organlarından gelen taleplerden sizi koruyacak ve kullanıcının bilinçli ve gönüllü olarak hareket ettiğini kanıtlayacaktır.

Çerezler, analizler ve kullanıcı talepleriyle nasıl çalışılır

Çerezler ve analizler

FoodSoul yazılımı, çerez dosyalarını ve sayaçları (uygulanabilir ise) şu amaçlarla kullanır:

• hizmetlerin çalışmasını sağlamak;
• işlevlerin kişiselleştirilmesi;
• analiz ve istatistik;
• yazılımın kalitesini artırmak;
• reklamların kişiselleştirilmesi.

Bu veriler de kişisel verilerdir ve işlenmeleri, yukarıda açıklandığı gibi bildirimde yer almalıdır. Kullanıcının tarayıcı ayarlarında çerez kullanımını yasaklayabileceğini, ancak bu durumda hizmetin bazı işlevlerinin kullanılamayabileceğini unutmamak önemlidir.

Kullanıcı talepleri

Operatörün doğrudan yükümlülüklerinden biri, kişisel veri sahiplerinin taleplerine zamanında yanıt vermektir. Kullanıcı şu haklara sahiptir:

• verilerinin işlenmesi hakkında bilgi talep etmek;
• kişisel verilerini değiştirmek;
• verileri silmek için info@fs.me adresine talep göndermek.

Kullanıcı, haklarını gerçekleştirmek için operatöre (FoodSoul müşterisine) başvurabilir veya kişisel hesap işlevselliğini kullanabilir (uygulanabilir ise). Hesabın silinmesi veya onayın geri çekilmesi, ilgili Hizmetlerin daha fazla kullanılmasını imkansız hale getirebilir.

Bununla birlikte, yasa, operatörü belirli verileri belirli bir süre boyunca saklamaya veya devlet organlarına iletmeye zorlayabilir.

Sonuç

FoodSoul yazılımını kullanarak, işletme kullanışlı ve güvenli bir araç elde eder, ancak bununla birlikte kişisel veri operatörü statüsünü de üstlenir. Yükümlülüklerinizi anlamak, verilerle doğru çalışmak ve kullanıcılarla şeffaf etkileşim kuralları, yasal riskleri azaltmanın ve müşteri güvenini artırmanın gerçek bir yoludur.

Hâlâ kayıtta değil misiniz? Kılavuzumuzla bildirim gönderin — göründüğünden daha kolay!
FoodSoul her adımda sizinle.

Saygılarımızla,

FoodSoul Ekibi