Bilgi Güvenliği Politikası

Leapers Eğitim Danışmanlık Teknoloji A.Ş., bilgi güvenliğini hizmet kalitesinin ve müşteri güveninin temel unsurlarından biri olarak görür. Bilgi güvenliği yaklaşımımız; gizlilik, bütünlük ve erişilebilirliğin korunmasına, risklerin sistematik olarak yönetilmesine ve uygulanabilir yasal, düzenleyici ve sözleşmesel yükümlülüklerin gözetilmesine dayanır.

Bu kamuya açık politika, kurum içi Bilgi Güvenliği Politikamızın temel taahhütlerini özetler. Sistem mimarisi, risk kayıtları, teknik yapılandırmalar, güvenlik testleri ve iç kontrol kanıtları güvenlik gerekçeleriyle kamuya açıklanmaz.

Politika, Türkiye'de kurulu Leapers Eğitim Danışmanlık Teknoloji A.Ş. tarafından dünya genelindeki müşterilere sunulan TAP platformu ile TAP'i destekleyen yazılım geliştirme, işletim, bakım, müşteri desteği, değerlendirme ve raporlama süreçlerini kapsar. TAP, müşteri ve bölge gereksinimlerine göre bölgesel bulut ortamında SaaS olarak veya müşteri tarafından kontrol edilen on-premise / özel ortamda çalıştırılabilir. TAP güvenliğini etkileyen personel, cihaz, altyapı ve hizmet sağlayıcılar dağıtım modelinden bağımsız olarak risk yaklaşımımız kapsamında değerlendirilir.

Yönetim ve üretim sistemlerine erişimler yalnız yetkili iş ihtiyacı bulunan kişilerle sınırlandırılır. Ayrıcalıklı erişimler daha güçlü kontrollerle korunur; görev değişikliği veya erişim ihtiyacının sona ermesi halinde yetkiler güncellenir veya kaldırılır.

Uygulama, sunucu, konteyner ve ilgili altyapı bileşenleri için güvenli yapılandırma, güncelleme, zafiyet yönetimi, uygun şifreleme ve kayıt/izleme kontrolleri risk düzeyine göre uygulanır.

Kişisel veriler, hizmetin gerektirdiği amaçlarla ve uygulanabilir veri koruma mevzuatına uygun şekilde işlenir. TAP, bölgesel veri yerleşimini destekleyen bir dağıtım modeline sahiptir; üretim ortamının konumu uygulanabilir mevzuat, müşteri sözleşmesi, veri yerleşimi gereksinimleri ve risk değerlendirmesi dikkate alınarak belirlenir. Türkiye üretim ortamında müşteri ve katılımcılara ait üretim kişisel verileri Amazon Web Services (AWS) İstanbul Local Zone altyapısında Türkiye sınırları içerisinde işlenir ve saklanır. Diğer ülkeler veya bölgeler için onaylı AWS Region/Local Zone veya müşteri tarafından kontrol edilen on-premise ortam kullanılabilir. Bölge dışı aktarım veya erişim gerektiğinde ilgili hukuki, sözleşmesel ve güvenlik koşulları ayrıca değerlendirilir.

Müşteri ve katılımcı verileri, yazılı ve onaylı bir amaç bulunmadıkça genel amaçlı model eğitimi veya üçüncü taraf ürünlerinin geliştirilmesi amacıyla kullanılmaz.

TAP kapsamında kullanılan yapay zekâ bileşenleri bilgi güvenliği, veri minimizasyonu ve insan gözetimi ilkeleriyle birlikte değerlendirilir. Harici yapay zekâ, transkripsiyon, analitik veya benzeri hizmetlere kişisel veri aktarılmadan önce hizmet sağlayıcı, veri yerleşimi, gizlilik ve sözleşmesel koşullar gözden geçirilir.

Yapay zekâ çıktıları hizmetin niteliğine göre karar destek amacıyla kullanılır; insan değerlendirmesi gereken süreçlerde nihai karar yalnızca otomatik sistem çıktısına bırakılmaz.

Leapers, bilgi veya sistem erişimi sağlayan hizmet sağlayıcıları devreye almadan önce hizmet kapsamı, veri işleme rolü, veri yerleşimi, erişim, güvenlik taahhütleri, olay bildirimi ve hizmet sonlandırma koşullarını riskle orantılı biçimde değerlendirir. Gerekli gizlilik ve veri koruma hükümleri sözleşmesel olarak güvence altına alınır.

Bölgesel SaaS dağıtımlarında birincil bulut altyapı sağlayıcısı olarak Amazon Web Services (AWS) hizmetlerinden yararlanılmaktadır. AWS; ISO/IEC 27001:2022, ISO/IEC 27017:2015, ISO/IEC 27018:2019 ve ISO/IEC 27701:2019 dahil uluslararası bilgi güvenliği, bulut güvenliği ve gizlilik standartları kapsamında sertifikalıdır. Bu sertifikalar AWS'nin kendi sertifikasyon kapsamındaki bilgi güvenliği yönetim sistemi, altyapısı ve hizmetlerine ilişkindir; The Leapers'ın kendi ISO/IEC 27001 belgelendirme sürecinin yerine geçmez. On-premise dağıtımlarda üretim altyapısı müşterinin kontrolündeki ortamda çalışabilir ve sorumluluk paylaşımı proje özelinde belirlenir.

The Leapers, AWS'nin paylaşılan sorumluluk modeli doğrultusunda kendi sorumluluk alanındaki erişim yönetimi, ağ ve uygulama güvenliği, şifreleme, güvenli yapılandırma, loglama, yedekleme, veri yerleşimi, zafiyet yönetimi ve olay müdahalesi kontrollerini ayrıca uygular. Kullanılan AWS servisleri ve veri akışları risk temelli tedarikçi ve mimari değerlendirmelere tabi tutulur.

Kritik bilgi ve hizmetler için yedekleme, geri yükleme ve süreklilik ihtiyaçları iş etkisine göre belirlenir. Yedeklerin yalnız alınmış olması yeterli kabul edilmez; geri yüklenebilirlik ve süreklilik kontrolleri planlı olarak değerlendirilir.

Bilgi güvenliği olayları; tespit, değerlendirme, sınırlama, kayıtların korunması, giderme, geri dönüş, iletişim ve iyileştirme adımlarını içeren tanımlı süreçlerle yönetilir. Kişisel veri ihlallerinde Leapers'ın ilgili faaliyetteki rolü, müşteri sözleşmeleri ve uygulanabilir mevzuat doğrultusunda gerekli bildirimler koordine edilir.

Güvenlik açığı veya şüpheli bir olay bildirmek için security@theleapers.co adresine ulaşılabilir.

Kişisel veri ve gizlilik konularında privacy@theleapers.co veya kvkk@theleapers.co adresleri üzerinden bizimle iletişim kurulabilir. İlgili kişi talepleri ve müşteri talepleri, uygulanabilir mevzuat ve tarafların veri işleme rolleri doğrultusunda değerlendirilir.

Bilgi güvenliği politikamız en az yılda bir ve önemli sistem, organizasyon, mevzuat, müşteri, ülke/bölge veya risk değişikliklerinde gözden geçirilir. Bölgesel gereksinimler gerektiğinde ek politika, sözleşme eki, teknik standart veya kontrol setleriyle yönetilir. Risk değerlendirmeleri, güvenlik testleri, olaylar ve denetim bulguları sürekli iyileştirmeye girdi sağlar.