TAŞIMACIM SOFTWARE TECHNOLOGIES INC.
DATENSCHUTZ- UND DATENSCHUTZRICHTLINIE

Diese Richtlinie legt die unternehmerische Verpflichtung von TAŞIMACIM YAZILIM TEKNOLOJİLERİ A.Ş. („TAŞIMACIM“) fest, die Vertraulichkeit aller innerhalb des Unternehmens verarbeiteten personenbezogenen, standortbezogenen, finanziellen und geschäftlichen Daten zu schützen, die Datenintegrität zu gewährleisten und den unterbrechungsfreien Zugriff auf die Informationssysteme der Plattform sicherzustellen. TAŞIMACIM verpflichtet sich, präventive und detektive Sicherheitsmaßnahmen gemäß internationalen Standards zu implementieren, um unbefugten Zugriff, Offenlegung, Änderung oder Zerstörung dieser Informationen zu verhindern. Diese Richtlinie dient der Einhaltung aller nationalen und internationalen Gesetze, insbesondere des Gesetzes Nr. 6698 zum Schutz personenbezogener Daten (KVKK), des Gesetzes Nr. 6563 zur Regulierung des elektronischen Geschäftsverkehrs (ETK) und des Gesetzes Nr. 5651 zur Regulierung von Veröffentlichungen im Internet. Mit dieser Richtlinie erfasst TAŞIMACIM alle seine Informations- und Technologie-Assets und managt proaktiv Cyber- und Betriebsrisiken.
Die Richtlinie überprüft und verbessert kontinuierlich das Informationssicherheits-Managementsystem (ISMS). Sie verpflichtet sich außerdem, die Rechte und die Privatsphäre von Nutzern und Datenverantwortlichen (Dateneigentümern) maximal zu respektieren. In diesem Zusammenhang wird die Datensicherheit durch die physische und logische Trennung von Entwicklungs-, Test- und Produktionsumgebungen maximiert. Die Berechtigungen von Nutzern und Mitarbeitern für das System werden gemäß dem „Need-to-know“-Prinzip auf das notwendige Minimum beschränkt und regelmäßig geprüft.

1. Informationssicherheitsmanagement und Corporate Governance

1.1 Die Etablierung einer Unternehmensorganisationsstruktur mit Unterstützung des Top-Managements ist für ein effektives Informationssicherheitsmanagement und dessen Koordination unerlässlich. Innerhalb dieser Struktur ist es verpflichtend, die Ziele des Informationssicherheitsmanagementsystems (ISMS) zu definieren und zu messen, sie jährlich entsprechend den E-Commerce- und Logistikzielen des Unternehmens zu aktualisieren und regelmäßig an das Top-Management zu berichten. Die Einhaltung der definierten Richtlinien und Verfahren durch alle Mitarbeiter und Geschäftspartner (einschließlich unabhängiger Transportunternehmen) wird durch schriftliche Verpflichtungen und digitale Genehmigungen sichergestellt. Die Gewährleistung, dass alle Aktivitäten den dokumentierten Verfahren im Rahmen der Risikobereitschaft des Unternehmens und der gesetzlichen Vorgaben entsprechen, sowie die Durchführung regelmäßiger interner und externer Audits der Informationssysteme sind in diesem Zusammenhang eine grundlegende Verpflichtung.

1.2 TAŞIMACIM verpflichtet sich zu den grundlegenden Geschäftsprinzipien der kontinuierlichen Überprüfung und Einhaltung aller nationalen und internationalen Gesetze, darunter das türkische Handelsgesetzbuch Nr. 6563, das Forstgesetz Nr. 5651, das Straßenverkehrsgesetz Nr. 4925 und das Datenschutzgesetz Nr. 6698. Das Unternehmen entwickelt die notwendige Cloud-Infrastruktur und Sicherheitsmaßnahmen, um die Genauigkeit und Integrität der Plattformdaten zu schützen und den kontinuierlichen Zugriff auf die Matching-/Softwaresysteme zu gewährleisten.

1.3 Die für ein effektives Informationssicherheitsmanagement geschaffene Organisationsstruktur entwickelt detaillierte Verfahren (Incident Response Plan) zur Erkennung, Meldung und Verhinderung des Wiederauftretens von Cybersicherheitsvorfällen. Sie inventarisiert Informationsbestände, identifiziert Bedrohungen und managt Risiken. Sie wendet die Anforderungen von „Security by Design“ bei der Codierung, Beschaffung, Entwicklung und Wartung von Plattformanwendungen (Web/Mobil) an.

2. Anlagenmanagement und kritische Risikoanalyse

2.1 TAŞIMACIM ist primär für die Inventarisierung aller Assets (Datenbanken, mobile Anwendungen, GPS-/Routenverfolgungssysteme, Server, Netzwerkkomponenten) und deren Zuordnung zu Verantwortlichen zuständig, um die Sicherheit der Informationsbestände zu gewährleisten. Diese Assets werden systematisch nach Sensibilitätsgrad (vertraulich, privat, intern, öffentlich) und rechtlichen Anforderungen (insbesondere dem Datenschutzgesetz) klassifiziert. Für die Verarbeitung und Speicherung von Standort- und Identitätsdaten des Netzbetreibers und der Nutzer gelten strenge Integritätsanforderungen.

2.2 Das Unternehmen führt regelmäßig Risikoanalysen durch, um interne und externe Bedrohungen (DDoS-Angriffe, Datenlecks, unbefugter Zugriff usw.), Schwachstellen und potenzielle Auswirkungen auf die Infrastruktur seines E-Commerce-Dienstleisters zu identifizieren. Sicherheitsmaßnahmen wie Schwachstellenscans und Penetrationstests werden implementiert, um die identifizierten Cyberrisiken auf ein akzeptables Maß zu reduzieren.

2.3 Die Datensicherheit wird durch die physische und logische Trennung von Entwicklungs-, Test- und Produktionsumgebungen maximiert. Insbesondere ist die Verwendung von nicht anonymisierten, realen Daten von Nutzern und Netzbetreibern in Testumgebungen strengstens untersagt. Für die sichere Übertragung und Speicherung tokenisierter Finanzdaten und personenbezogener Daten im Zusammenhang mit Zahlungen über die Plattform werden Ende-zu-Ende-Verschlüsselungsmechanismen eingesetzt.

3. PERSONAL- UND PERSONALSICHERHEIT

3.1 Die Autorisierung erfolgt gemäß dem Prinzip der Funktionstrennung (Segregation of Duties, SoD) während des gesamten Design-, Entwicklungs-, Test- und Betriebsprozesses. Für kritische Prozesse wie Kundensupport, Retourenfreigaben oder die Auswahl von Spediteuren sind Genehmigungs- und Protokollierungsmechanismen eingerichtet. Die Berechtigungen des Personals sind auf das für die Ausführung der Stellenbeschreibung notwendige Minimum beschränkt (minimale Berechtigungen) und werden regelmäßig überprüft.

3.2 Das Unternehmen garantiert, dass alle Mitarbeiter (Softwareentwickler, Betriebsspezialisten, Kundendienstmitarbeiter) die festgelegten Sicherheitsverfahren durch rechtsverbindliche Geheimhaltungsvereinbarungen (NDAs) einhalten. Regelmäßige Schulungen sensibilisieren für Phishing-Angriffe, Social Engineering und das Datenschutzrecht (KVKK).

3.3 Es werden die notwendigen Sicherheitsvorkehrungen getroffen, um die Sicherheit in den Bereichen zu gewährleisten, in denen sich Informationen und Server befinden. Für Büroräume, Serverräume und Archive werden biometrische Zugangskontrollen oder Kartenzugangskontrollen eingesetzt, um unbefugten Zugriff zu verhindern. Die Richtlinie für aufgeräumte Arbeitsplätze und übersichtliche Bildschirme wird konsequent durchgesetzt.

4. ZUGRIFFSKONTROLLE UND LOGISCHE SICHERHEIT

4.1 Die Zugriffsberechtigungen für Systeme (CRM, Datenbank, Administrationsbereich) werden regelmäßig geprüft. Es ist zwingend erforderlich, dass die Prozesse zur Definition, Zuweisung, Nutzung und sofortigen Beendigung von Zugriffsrechten beim Ausscheiden aus dem Unternehmen über ein formelles Identitäts- und Zugriffsmanagement-Verfahren (IAM) geregelt werden und dass alle Zugriffsprotokolle (mit Zeitstempel gemäß Gesetz Nr. 5651) nachvollziehbar sind.

4.2 Redundante Infrastrukturen wurden entwickelt, um die Genauigkeit und Vollständigkeit der Informationen zu gewährleisten und einen kontinuierlichen Zugriff auf die Plattform und die mobilen Anwendungen rund um die Uhr zu ermöglichen. Multi-Faktor-Authentifizierungssysteme (MFA/2FA) sind in die Infrastruktur integriert, um die Sicherheit von Benutzer- und Mobilfunkkonten zu gewährleisten, und verdächtige Anmeldeversuche werden in Echtzeit überwacht.

4.3 Um die Netzwerksicherheit vor externen Bedrohungen zu gewährleisten, werden Firewalls der nächsten Generation (WAF) und Intrusion-Detection-/Prevention-Systeme (IDS/IPS) eingesetzt. Dabei kommt ein mehrschichtiger Sicherheitsansatz zum Einsatz, bei dem Protokolle korreliert und kontinuierlich über SIEM-Systeme (Security Information and Event Management) überwacht werden.

5. Kryptographie, Netzwerksicherheit und Datenschutz

5.1 Für die sichere Übertragung (Daten während der Übertragung – via TLS/SSL-Protokolle) und die sichere Speicherung (ruhende Daten) von Benutzerpasswörtern, Authentifizierungsdaten und sensiblen Kommunikations-/Standortinformationen in Datenbanken werden branchenübliche kryptografische Verschlüsselungs- und Maskierungsmaßnahmen eingesetzt. Lebenszyklus und Vertraulichkeit der verwendeten Verschlüsselungsschlüssel werden durch sichere Schlüsselverwaltungsprozesse gewährleistet.

5.2 Um die Netzwerkintegrität der Plattform zu gewährleisten, werden strenge Isolationsregeln zwischen externen Netzwerken, der DMZ (Disposal Zone) und internen Netzwerken angewendet. Anwendungsprogrammierschnittstellen (APIs) und Integrationen mit Zahlungsinstituten werden hochrangigen kryptografischen Prüfungen unterzogen, um eine sichere Kommunikation sicherzustellen.

5.3 Cloudbasierte Rechenzentren müssen über internationale Sicherheitszertifizierungen der Stufe 3 oder höher verfügen. Um die physische Integrität zu gewährleisten, werden physische und umweltbezogene Maßnahmen eingesetzt, darunter Klimaanlagen, Brandschutzanlagen und unterbrechungsfreie Stromversorgungsanlagen (USV/Generatoren).

6. Management von Informationssicherheitsvorfällen und Geschäftskontinuität

6.1 Für die Erkennung, Klassifizierung, Analyse und Isolierung von Informationssicherheitsverletzungen (unbefugter Zugriff, Datenlecks, Denial-of-Service-Angriffe – DDoS) sind detaillierte Verfahren zur Reaktion auf Sicherheitsvorfälle implementiert. Die Meldung von Verstößen an die Datenschutzbehörde und die zuständigen Stellen innerhalb der gesetzlichen Frist (72 Stunden) und gemäß den Unternehmensrichtlinien ist unerlässlich. Es werden Ursachenanalysen durchgeführt und Systeme mit Sicherheitslücken versehen, um ein erneutes Auftreten von Vorfällen zu verhindern.

6.2 Es werden Maßnahmen ergriffen, um Störungen in der Logistik und im Matching-Prozess zu verhindern. TAŞIMACIM erstellt einen Business Continuity Plan (BCP) und einen Disaster Recovery Plan (DRP), um die Aufrechterhaltung des Betriebs zu gewährleisten. Diese Pläne zielen darauf ab, kritische Server schnell wiederherzustellen und Verluste für Nutzer und Netzbetreiber im Falle von Naturkatastrophen, Cyberangriffen oder Infrastrukturausfällen zu minimieren. Die Pläne werden regelmäßig durch Übungen (Failover-Tests) überprüft.

7. Einhaltung der gesetzlichen Bestimmungen und Schutz personenbezogener Daten

7.1 TAŞIMACIM verpflichtet sich zur uneingeschränkten Einhaltung des spanischen Datenschutzgesetzes Nr. 6698 (KVKK) und der entsprechenden Beschlüsse des Verwaltungsrats bei der Verarbeitung aller personenbezogenen Daten (Nutzer-, Mobilfunk-, Lizenzinhaber- und Mitarbeiterdaten). Die Datenverarbeitung erfolgt auf Rechtsgrundlagen wie ausdrücklicher Einwilligung, Vertragserfüllung oder gesetzlicher Verpflichtung. Die Informationspflicht wird bei jedem Kontaktpunkt transparent erfüllt.

7.2 Die gesetzlichen Rechte der betroffenen Personen (Recht auf Auskunft, Berichtigung, Datenübertragbarkeit, Löschung und „Recht auf Vergessenwerden“) werden sorgfältig geschützt. Im Rahmen des bei TAŞIMACIM eingerichteten Verfahrens zur Bearbeitung von Anfragen an den Verantwortlichen für die Datenverarbeitung werden diese Anfragen schnellstmöglich (maximal 30 Tage) beantwortet. Mit Ausnahme gesetzlich vorgeschriebener Aufbewahrungspflichten (Protokollierung und Geschäftsbuchhaltung) werden Daten, deren Verarbeitungsgrundlage entfallen ist, gemäß der „Richtlinie zur Datenaufbewahrung und -löschung“ regelmäßig gelöscht, vernichtet oder anonymisiert.

7.3 Die regulatorischen Verpflichtungen als Anbieter von E-Commerce-Dienstleistungen werden vollständig erfüllt. Die kommerzielle elektronische Kommunikation (einschließlich der IYS-Integration) wird gemäß Gesetz Nr. 6563 kontrolliert; und die Verkehrsdaten (Protokolle) werden gemäß Gesetz Nr. 5651 für die gesetzlich vorgeschriebenen Zeiträume in unveränderlicher Form (gehasht) gespeichert. Die gesetzlichen Sicherheitsanforderungen bei der Beschaffung von Informationssystemen und der Integration von Drittanbietersoftware werden durch Verträge (Auftragsverarbeitungsverträge) sichergestellt.