KURTARMA PLANI PROSEDÜRÜ

‍1. PROSEDÜR HAKKINDA

Buprosedür, 6362 sayılı Sermaye Piyasası Kanunu’nun 99/B maddesi ve III-35/B.1sayılı Tebliğ’in 47. maddesi uyarınca; kripto varlık hizmet sağlayıcılarınkripto varlık kaybı sonucunu doğurabilecek eylem ve riskleri belirlemesi ve burisk ve eylemlerin gerçekleşmesi durumunda alınacak aksiyonlara yer verilmesiamacıyla hazırlanmıştır. CLTS Kripto Varlık Alım Satım Platformu A.Ş. olarak,sistem sürekliliğini sağlamak, kullanıcı varlıklarının güvenliğini korumak veyasal yükümlülüklere tam uyum içerisinde hareket etmek temel önceliğimizdir.

2. TANIMLAR

Platform: CLTS Kripto Varlık AlımSatım Platformu A.Ş.’yi ifade eder.

Cüzdan: Kripto varlıklarıntransfer edilebilmesini ve bu varlıkların ya da bu varlıklara ilişkin özel veaçık anahtarların depolanmasını sağlayan yazılım, donanım, sistem ya dauygulamaları ifade eder.

Kripto Varlık: Dağıtık defterteknolojisi veya benzer bir teknoloji kullanılarak elektronik olarakoluşturulup saklanabilen, dijital ağlar üzerinden dağıtımı yapılan ve değerveya hak ifade edebilen gayri maddi varlıklardır.

Kurul: Sermaye PiyasasıKurulu’nu ifade eder.

Mevzuat: 6362 sayılı SermayePiyasası Kanunu, III-35/B.1 sayılı Kripto Varlık Hizmet Sağlayıcılarının Kuruluşve Faaliyet Esasları Hakkında Tebliğ, III-35/B.2 sayılı Kripto Varlık HizmetSağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği HakkındaTebliğ, İlke Kararları ve diğer ilgili düzenlemeleri kapsar.

MASAK Mevzuatı: 5549 sayılı SuçGelirlerinin Aklanmasının Önlenmesi Hakkında Kanun ve ilgili alt düzenlemeleriifade eder.

Sıcak Cüzdan: Kripto varlık hizmetsağlayıcıların müşterilerinin kripto varlık transferlerini karşılamak içinkullandıkları, internete bağlı olan ve soğuk cüzdan özelliği göstermeyen cüzdanteknolojisini ifade eder.

Soğuk Cüzdan: Kripto varlığınkontrolünü sağlayan anahtarların fiziksel, idari ve teknik bilgi güvenliğikontrolleri ile korunduğu, işlem onaylama ve işlem imzalama gibi kritikişlemlerin buna yetkili personel müdahalesiyle fiziki veya teknik havaboşlukları ile internetten izole edilmiş ortamlarda yapılmasına olanak sağlayancüzdan teknolojisidir.

3. GENEL ESASLAR

Kurtarmaplanımız, sistemlerimizi ve kullanıcı varlıklarını tehdit edebilecek çeşitlisenaryolar karşısında hızlı ve etkili bir müdahale sağlayacak şekildeyapılandırılmıştır. Bu kapsamda, operasyonel riskler, kripto varlıklarındeğersizleşmesi ya da ağ riskleri, siber saldırılar, dış hizmet sağlayıcıkaynaklı aksaklıklar ve likidite riskleri öncelikli olarak değerlendirilmiştir.

Planımızkapsamında bu risklerin gerçekleşmesi halinde yapılacak işlemler açık ve sıralışekilde belirlenmiştir. İlk olarak olayın niteliği tespit edilir ve ilgiliekipler süreci devralarak gerekli teknik ve güvenlik önlemlerini hızlauygulamaya başlar. Tehdit altındaki sistem veya cüzdanlar izole edilir.Varlıkların güvenliğini sağlamak adına sıcak cüzdanlarda bulunan kriptovarlıklar derhal soğuk cüzdanlara aktarılır. Bu sırada, sistemlerdeki tümkayıtların bütünlüğü sağlanır ve mevzuata uygun olarak veri kaybının önlenmesiiçin yedekleme süreçleri devreye girer.

Tümbu adımlar yürütülürken, etkilenen sistemler ve olayın muhtemel etkilerihakkında kapsamlı bir değerlendirme yapılır. Gerekli görülmesi halindekullanıcılarımıza yönelik geçici işlem kısıtlamaları (örneğin para çekmeişlemlerinin durdurulması veya sadece görüntüleme moduna geçilmesi)uygulanabilir. Bu geçici önlemler, sistem güvenliği tamamen sağlandığındakaldırılır ve işlemler olağan şekilde devam eder.

Ayrıca,platformun faaliyetlerini sürdüremeyeceği bir senaryoda, kullanıcıvarlıklarının güvenli cüzdanlara aktarılması, kullanıcıların varlıklarınıçekebilmesi için gerekli bilgilendirmelerin yapılması ve bu işlemlerin güvenlikdenetimleri altında gerçekleştirilmesi sağlanır.

4. KURTARMA PLANI UYGULAMA AŞAMALARI

Kurtarmaplanı kapsamında olayların önem derecelerine (risk seviyelerine) göresınıflandırılması ve uygun müdahale seviyelerinin belirlenmesi kritik önemesahiptir.

Önem Derecesi

Tanım

Müdahale Seviyesi

Çok Ciddi

Platform sistem erişimi tamamen durmuş  ya da müşteri varlıkları doğrudan tehdit altındadır.

Hızlı ve tam kapsamlı müdahale  uygulanır. Sistem izole edilir, varlık güvenliği önceliklendirilir.

Ciddi

Sistem kesintisi kritik düzeydedir ve  işlem bütünlüğü risk altındadır.

Öncelikli teknik ve güvenlik aksiyonları  alınır, sistem geri yükleme planları devreye girer.

Orta

Sınırlı hizmet aksaması veya izole  birimlerde risk oluşmuştur.

İzole müdahale gerçekleştirilir, hizmet  sürekliliği sağlanır. Sorun kaynakları değerlendirilir.

Düşük

Hizmetin genelini etkilemeyen ancak  gözlem gerektiren durumlar söz konusudur.

Gözlem, raporlama ve önleyici bakım  süreçleri başlatılır.

Tehdidinortadan kaldırılmasının ardından, olayın kaynağı sistem logları ve analizaraçları yardımıyla tespit edilir. İlgili tüm birimler iş birliği içindeçalışarak tespit edilen zayıflıkları ortadan kaldırır. Bu süreçlerinetkinliğini doğrulamak amacıyla hazırlanan müdahale planları yılda en az birkez test edilir ve sonuçları yönetim kuruluna raporlanır.

5. MÜŞTERİ VARLIKLARININ KORUNMASI VE BİLDİRİMSÜRECİ

Kurtarmaplanı uygulamaya alındığında, kullanıcılarımıza ait varlıkların güvenliği enüst önceliğimizdir. Tüm kullanıcı varlıkları platformun malvarlığından ayrıtutulmakta ve yalnızca müşterilere ait olarak korunmaktadır. Sıcak cüzdanlardabulunan varlıklar hızla soğuk cüzdanlara aktarılır, tehdit altındaki cüzdanlarizole edilerek işlemlere kapatılır ve tüm transferler çoklu onay sürecine tabitutulur.

Busüreçte kullanıcılarımız, sistem içi mesajlarla, e-posta ve SMS yoluyla düzenliolarak bilgilendirilir. SPK ve MASAK başta olmak üzere ilgili kurumlara yasalbildirimler yapılır. Kurtarma planının devreye alınmasından sonraki 15 güniçinde rezerv kanıtı denetimi bağımsız denetim kuruluşu tarafındangerçekleştirilir ve Kurul’a iletilir.

6. PLANIN GÖZDEN GEÇİRİLMESİ VE SORUMLULAR

Buprosedür yılda en az bir kez gözden geçirilir. Gerekli görülmesi hâlinde yılbeklenmeksizin güncellenebilir. Yönetim kurulu tarafından onaylanan planınuygulanmasından biri genel müdür yardımcısı düzeyinde olmak üzere iki yetkilipersonel sorumlu olarak atanmıştır ve iletişim bilgileri Kurul’abildirilmiştir.

‍