Spirit Cultural Exchange, Inc.
KVKK veri ihlali bildirimi · · Kurul kararı 30.09.2026
Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanununun “Veri güvenliğine ilişkin yükümlülükler” başlıklı 12 nci maddesinin (5) numaralı fıkrası “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.” hükmünü amirdir.
Veri sorumlusu sıfatını haiz Spirit Cultural Exchange, Inc. tarafından Kurula iletilen veri ihlal bildiriminde özetle;
- Veri sorumlusunun internet sitesindeki başvuru yükleme alt sisteminde bulunan güvenlik açığı nedeniyle URL adreslerinde kimlik doğrulaması yapılamadığından, depolanan başvuru belgelerinin yetkisiz bir üçüncü kişi tarafından otomatik taleplerle ele geçirilerek veri ihlalinin gerçekleştiği,
- İhlalin 04.09.2026 tarihinde başladığı ve 09.09.2026 tarihinde tespit edildiği,
- İhlalden etkilenen ilgili kişi grubunun; müşteriler olduğu,
- İhlalinden etkilenen kişisel verilerin; kimlik (ad, doğum tarihi, imza, pasaport bilgileri, mali kefilin adı, doğum tarihi ve yakınlık derecesi), ceza mahkûmiyeti ve güvenlik tedbirleri (adli sicil ve güvenlik soruşturması belgeleri), eğitim (diploma, not dökümü, denklik belgeleri), mesleki deneyim (iş ve referans mektupları) ile görsel kayıtlar (fotoğraflar) verileri olduğu,
- İhlalden etkilenen kişi sayısının 7.591 kişi olduğu,
- İlgili kişilerin, veri sorumlusuna ait dataprotection@spiritexchange.com e-posta adresi aracılığıyla veri ihlali hakkında bilgi alabileceği bilgilerine yer verilmiştir.
Konuya ilişkin inceleme devam etmekle birlikte, Kişisel Verileri Koruma Kurulunun 30.09.2026 tarih ve 2026/2140 sayılı Kararı ile söz konusu veri ihlal bildiriminin Kurumun internet sitesinde ilan edilmesine karar verilmiştir.
Kamuoyuna saygıyla duyurulur.
Kaynak: KVKK kamuoyu duyurusu