Veri Yönetişimi & Bilgi Güvenliği

Veri Güvenliği ve İmha Politikası

Harpia Academy olarak işlediğimiz kurumsal, kişisel ve teknik verilerin saklama sürelerini, şifreleme mekanizmalarını ve güvenli imha süreçlerini şeffaflıkla yönetiyoruz.

Güvenlik Standartları:AES-256 (At-Rest)TLS 1.3 (In-Transit)Sıfır Güven (Zero Trust)NIST SP 800-88 İmha

Sürüm: 1.2.0Son Güncelleme: 14 Eylül 2026

Amaç ve Temel İlkeler

Bu politika, Harpia Academy bilgi sistemlerinde, sunucularında ve mobil istemcilerinde barındırılan tüm verilerin yaşam döngüsünü (oluşturma, saklama, arşivleme ve kalıcı imha) düzenler.

Veri Minimizasyonu: Yalnızca eğitim ve danışmanlık hizmetlerinin ifası için kesinlikle gerekli olan asgari veriler toplanır.

Sıfır Güven (Zero Trust) Mimarisi: Bilgi sistemlerinde varsayılan olarak hiçbir kullanıcıya veya dahili ağ bileşenine güvenilmez; her istek kimlik doğrulamasına ve yetki kontrolüne tabidir.

Hesap Verebilirlik: Tüm veri erişimleri ve değişiklikleri izlenebilir denetim loglarıyla (audit trail) kayıt altına alınır.

Veri Saklama Süreleri Matrisi (Data Retention)

Kişisel ve kurumsal veriler, yalnızca toplanma amacının gerektirdiği süre boyunca ve mevzuatta öngörülen yasal zamanaşımı süreleri sınırında saklanır.

Veri Kategorisi	Kapsam ve Türler	Saklama Süresi	Hukuki Dayanak
Kullanıcı Hesap ve Profil Bilgileri	Ad, soyad, e-posta, unvan, profil tercihleri	Hesap aktif kaldığı sürece; hesap silme talebinden sonra 72 saat	Sözleşmenin İfası & Rıza
Eğitim ve Sertifikasyon Kayıtları	Tamamlanan eğitimler, sınav sonuçları, sertifika doğrulama kodları	Sertifika doğrulanabilirliğini sağlamak amacıyla 5 yıl	Meşru Menfaat & Hizmet Güvencesi
İletişim ve Randevu Talepleri	Form girişleri, kurumsal mesajlar, toplantı notları	Talebin sonuçlanmasını takiben en fazla 2 yıl	Meşru Menfaat
Sistem ve Güvenlik Logları	IP adresleri, oturum tokenları, API erişim logları, kilitlenme raporları	5651 sayılı Kanun ve siber güvenlik denetimleri uyarınca 2 yıl	Kanuni Yükümlülük
Mali ve Faturalandırma Belgeleri	Fatura bilgileri, ödeme makbuzları, sözleşme metinleri	Türk Ticaret Kanunu ve Vergi Usul Kanunu gereğince 10 yıl	Kanuni Zorunluluk

Teknik Güvenlik ve Şifreleme Standartları

Verilerin gizliliği, bütünlüğü ve erişilebilirliği endüstri standardı kriptografik katmanlarla güvenceye alınır.

Aktarım Halindeki Veriler (In-Transit)

Web ve mobil istemciler ile sunucu arasındaki tüm trafik TLS 1.3 protokolü, modern şifreleme paketleri (AES-GCM / ChaCha20-Poly1305) ve HSTS (HTTP Strict Transport Security) ile korunur.

Durağan Veriler (At-Rest)

Veritabanı tabloları, yedekleme diskleri ve bulut depolama blokları donanımsal düzeyde AES-256 şifreleme ile tutulur.

Anahtar Yönetimi (Key Management)

Kriptografik anahtarlar kod depolarından ayrı olarak ayrılmış HSM (Hardware Security Module) ve KMS (Key Management Service) katmanlarında güvenli şekilde saklanır ve düzenli olarak yenilenir (key rotation).

Mobil Cihaz İçi Korumalar

Mobil uygulamada hassas oturum verileri hiçbir zaman düz metin (plaintext) tutulmaz; iOS Keychain ve Android Keystore donanım tabanlı şifrelenmiş depolama sistemleri kullanılır.

Erişim Kontrolleri ve Yetkilendirme

Verilere erişim katı kurumsal hiyerarşi ve Rol Tabanlı Erişim Kontrolü (RBAC) ile sınırlandırılmıştır.

•Tüm mühendislik ve operasyon personeli için Donanımsal Çok Faktörlü Doğrulama (FIDO2/MFA) zorunluluğu,

•Yalnızca iş tanımının gerektirdiği verilere 'Bilmesi Gereken Kadar' (Need-to-Know) esasına göre yetkilendirme,

•Üretim (Production) ortamlarına doğrudan erişimin engellenmesi, yalnızca denetimli CI/CD ve izin onay mekanizmaları üzerinden dağıtım yapılması,

•Düzenli aralıklarla gerçekleştirilen yetki gözden geçirmeleri ve erişim revizyonları.

Veri İmha ve Anonimleştirme Yöntemleri

Saklama süresi dolan veya kullanıcının silinmesini talep ettiği veriler güvenli yöntemlerle geri döndürülemez biçimde yok edilir.

Kalıcı Mantıksal Silme (Cryptographic Erasure / Hard Delete)

İlgili veritabanı kayıtları ve ilişkili nesneler tablolardan fiziksel olarak silinir ve üzerlerine rastgele veri yazılarak kurtarılamaz hale getirilir.

Anonimleştirme ve Maskeleme

İstatistiksel raporlama veya model performansı analizi için gereken durumlarda veriler, k-anonimlik ve diferansiyel gizlilik prensipleriyle hiçbir gerçek kişiyle eşleştirilemeyecek şekilde dönüştürülür.

Fiziksel Medya İmhası

Bulut sağlayıcılarımız (AWS/Vercel), kullanım ömrü dolan depolama disklerini DoD 5220.22-M ve NIST SP 800-88 yönergelerine göre demanyetize eder ve fiziksel olarak öğütür.

Veri İhlali Bildirim Protokolü (Incident Response)

Olası bir siber güvenlik olayı veya veri ihlali şüphesi durumunda devreye girecek acil müdahale planımız tanımlanmıştır.

İhlal Tespiti ve İzolasyon: Şüpheli bir aktivite algılandığında etkilenen servisler derhal izole edilir ve adli bilişim (forensic) incelemesi başlatılır.

Mevzuat Bildirimi: Kişisel verileri etkileyebilecek nitelikteki ihlaller, tespit edildiği andan itibaren KVKK Kurulu'na ve GDPR uyarınca yetkili otoritelere en geç 72 saat içinde resmi olarak bildirilir.

Kullanıcı Bilgilendirmesi: Hak ve özgürlükleri olumsuz etkileyebilecek ihlallerde, etkilenen kullanıcılara e-posta veya uygulama içi bildirim kanallarıyla şeffaf ve anlaşılır bilgi verilir.

Veri Talepleri ve İletişim

Verilerinizin saklama durumu, imha süreci veya güvenlik standartlarımız hakkında detaylı bilgi almak için Veri Güvenliği Birimimizle iletişime geçebilirsiniz.

Harpia Academy Bilgi Güvenliği ve Uyum Departmanı

Güvenlik İletişimi: data-security@harpiaacademy.com

Veri Koruma Yetkilisi (DPO): privacy@harpiaacademy.com

Talepleriniz en geç 1 iş günü içinde işleme alınır ve yasal süre olan 30 gün içinde yazılı olarak yanıtlanır.

Gizlilik Politikasını İnceleyin →KVKK Aydınlatma Metnine Git