Değerlendirme Hizmeti Kişisel Verilerin Korunması Aydınlatma Metni

Veri sorumlusu

GRC Yönetim Bilişim Yazılım ve Danışmanlık Hizmetleri A.Ş. (“GRC Management”), İstanbul Üniversitesi Entertech Teknopark, Avcılar / İstanbul. RiskOpto, GRC Management’ın ürünüdür.

İletişim: sales@grcmngmnt.com

Hangi kişisel veriler işlenir?

• Başvuru sahibi ve raporu talep eden kurumun yetkilileri: ad soyad, unvan, kurum, e-posta, telefon; başvuru, teklif ve yazışma içerikleri.
• Değerlendirilen işletmenin (adayın) yetkilileri: ad soyad, unvan ve iletişim bilgileri; işletmeye ait ticari, finansal ve operasyonel bilgiler; panelde verilen cevaplar, yüklenen belgeler ve bu belgelerde yer alan kişisel veriler (ör. ortak ve yönetici bilgileri).
• Franchise adayı bir gerçek kişi ise: yatırım kapasitesi, deneyim ve finansman kaynakları gibi kendi beyan ettiği finansal bilgiler.
• Panel kullanıcıları: hesap bilgileri, parolanın geri döndürülemez özeti (parolanın kendisi saklanmaz), dil tercihi ve giriş, belge indirme, onay gibi işlem kayıtları.
• Güvenlik kayıtları: IP adresinin geri döndürülemez özeti (ham IP adresi saklanmaz) ve hatalı giriş denemeleri.

Hizmet kapsamında Kanun’un 6. maddesinde sayılan özel nitelikli kişisel veriler (ör. sağlık, din, ceza mahkûmiyeti) istenmez. Belgelerde bu tür veriler ya da kimlik numaraları varsa yüklemeden önce karartılmasını rica ederiz.

Hangi amaçlarla işlenir?

• Başvurunun alınması, kapsamın belirlenmesi ve teklif hazırlanması
• Hizmet sözleşmesinin kurulması ve ifası
• Bilgi ve belgelerin toplanması, incelenmesi ve değerlendirme raporunun hazırlanması
• Raporun talep eden kuruma teslimi ve raporun gerçekliğinin doğrulanabilmesi
• Panel hesaplarının yönetimi, bilgi güvenliğinin sağlanması ve kötüye kullanımın önlenmesi
• Hukuki yükümlülüklerin yerine getirilmesi ve olası uyuşmazlıklarda hakların korunması

Hukuki sebepler

Kişisel veriler Kanun’un 5/2. maddesindeki şu sebeplere dayanılarak işlenir: bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması (c), veri sorumlusunun hukuki yükümlülüğü (ç), bir hakkın tesisi, kullanılması veya korunması (e) ve ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati (f). Bu sebeplerin bulunmadığı durumlarda açık rıza alınır.

Nasıl toplanır?

Veriler elektronik ortamda; başvuru formu, panelde verilen cevaplar ve yüklenen belgeler ile e-posta yazışmaları yoluyla toplanır. Değerlendirilen işletmeye ait bilgiler, raporu talep eden kurum ya da onun yönlendirmesiyle işletmenin kendisi tarafından iletilir.

Değerlendirilen işletmenin bilgilendirilmesi

Değerlendirilen işletmeye ait bilgileri ileten kurum, bu bilgileri paylaşma yetkisine sahip olduğunu ve işletmeyi bu değerlendirme hakkında bilgilendirdiğini başvuru sırasında beyan eder. Panelden bilgi vermeye davet edilen işletmeye ayrıca bir bilgilendirme notu sunulur. GRC Management, bu bilgileri yalnızca ilgili değerlendirme dosyası için kullanır.

İlgili metin: Değerlendirilen İşletmeler İçin Bilgilendirme Notu

Değerlendirme nasıl yapılır?

Cevaplar, GRC Management’ın metodolojisine dayanan bir puanlama modeliyle ön değerlendirmeden geçer. Sonuç bir GRC uzmanı tarafından incelenir ve ayrı bir onaylayıcı tarafından onaylanır; rapor yalnızca otomatik işlemeye dayanılarak oluşturulmaz. Rapor, verilen bilgilere ve rapor tarihine dayanan bir uzman görüşüdür.

Kimlere aktarılır?

Değerlendirme raporu yalnızca raporu talep eden kuruma teslim edilir. Talep eden kurum, değerlendirilen işletmenin panelde verdiği cevapları ve yüklediği belgeleri görmez; bunları yalnızca GRC ekibi inceler.

Tedarikçinin kendi talebiyle hazırlanan raporlarda (Tedarikçi Kabul Değerlendirmesi) rapor tedarikçiye teslim edilir; tedarikçi raporu alıcılarıyla kendisi paylaşır.

Onaylanan raporun doğrulama kodunu bilen kişiler, herkese açık doğrulama sayfasında yalnızca dosya numarasını, değerlendirilen işletmenin unvanını, hizmet türünü, rapor sürümünü, onay tarihini ve geçerlilik durumunu görebilir; sınıf ve rapor içeriği gösterilmez.

Kişisel veriler, hizmetin yürütülmesi için gerekli ölçüde aşağıdaki hizmet sağlayıcılarına ve talep hâlinde yetkili kamu kurum ve kuruluşlarına aktarılabilir:

• Uygulama barındırma: Vercel Inc. (ABD)
• Veritabanı: Neon (sunucular Frankfurt, Almanya)
• Belge depolama: Cloudflare R2 (Avrupa Birliği içindeki veri merkezleri)
• E-posta gönderimi: Resend (gönderim altyapısı İrlanda)

Bu sağlayıcıların bir kısmı yurt dışında bulunduğundan yurt dışına aktarım, Kanun’un 9. maddesine uygun olarak yapılır.

Ne kadar süre saklanır?

Değerlendirme dosyasındaki veriler, dosyanın kapanışından (raporun teslimi ya da başvurunun sonuçlanmaması) itibaren 3 yıl saklanır. Bu sürenin sonunda silinir, yok edilir veya anonim hâle getirilir. Faturalar gibi kanunen saklanması gereken kayıtlar ilgili mevzuattaki süre boyunca tutulur.

Güvenlik

Panel hesapları yalnızca davetle açılır. Bağlantılar şifrelidir; belgeler özel bir depoda tutulur ve yalnızca yetkili kullanıcılara kısa süreli bağlantıyla açılır. Belge indirme ve onay gibi işlemler kayıt altına alınır.

Haklarınız

Kanun’un 11. maddesi uyarınca veri sorumlusuna başvurarak:

• kişisel verilerinizin işlenip işlenmediğini öğrenme,
• işlenmişse buna ilişkin bilgi talep etme,
• işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• eksik veya yanlış işlenmişse düzeltilmesini isteme,
• Kanun’un 7. maddesindeki şartlar çerçevesinde silinmesini veya yok edilmesini isteme,
• düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• münhasıran otomatik sistemlerle analiz edilmesi sonucu aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
• kanuna aykırı işleme nedeniyle zarara uğramanız hâlinde zararın giderilmesini talep etme

haklarına sahipsiniz. Başvurularınızı sales@grcmngmnt.com adresine e-postayla ya da yukarıdaki adrese yazılı olarak iletebilirsiniz. Başvurular en geç 30 gün içinde ücretsiz olarak sonuçlandırılır.