KVKK Saklama ve İmha Politikası
1.AMAÇ
1.1. Bu politikanın amacı, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.
1.2. Bu politika; 6698 sayılı Kanunun 7 nci maddesinin üçüncü fıkrası ile 22 nci maddesinin birinci fıkrasının (e) bendine dayanılarak hazırlanmış Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Yönetmeliğine uygun olarak hazırlanmıştır.
1.3. Şirket; kişisel veri işleme envanterine uygun olarak bu Kişisel Veri Saklama ve İmha Politikası’nı hazırlamıştır.
2.KAPSAM
2.1. Kişisel Verilerin Korunması Politikamız, şirketimizin üretim ve satış faaliyetleri nedeniyle doğrudan veya dolaylı ilişki ve iletişim kurmak durumunda olduğu çalışanlar, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler, müşteriler, tüketiciler, sosyal medya ve web sitesi aboneleri ve diğer gerçek kişilerin, kurumların veya kuruluşların çalışanlarına ait kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin saklanması ve imhasına yönelik iş ve faaliyetleri kapsar.
2.2. İlgili kişinin tanımlanamayacağı şekilde anonim hale gelen istatistiki veriler ve tüzel kişileri tanımlayan veriler kişisel veri olarak kabul edilmemektedir ve bu politika kapsamında değildir.
3.TANIMLAR
3.1. Açık Rıza
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder.
3.2. İlgili Kullanıcı
Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.
3.3. İmha
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
3.4. Kayıt Ortamı
Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
3.5. Kişisel Veri
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
3.6. Kişisel Veri Politikası
Şirket tarafından hazırlanan Kişisel Verilerin Korunması ve Gizlilik Politikasını ifade eder.
3.7. Kişisel Verilerin İşlenmesi
Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
3.8. Kişisel Verilerin Anonim Hale Getirilmesi
Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
3.9. Kişisel Verilerin Silinmesi
Kişisel verilerin silinmesi; kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
3.10. Kişisel Verilerin Yok Edilmesi
Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
3.11 Kurul
Kişisel Verileri Koruma Kurulu
3.12. Özel Nitelikli Kişisel Veri
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri ifade eder.
3.13.Periyodik İmha
Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
3.14. Veri Sahibi/İlgili Kişi
Kişisel verisi işlenen gerçek kişi.
3.15.Veri Sorumlusu
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
3.16. Yönetmelik
28 Ekim 2017 tarihinde Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
3.17. Bu Politika’da yer almayan tanımlar için Kanun’daki tanımlar geçerlidir.
4.İLKELER
4.1. Şirketimizce mevcut ya da edinilen kişisel veriler KVKK madde 4 uyarınca hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olacak şekilde, belirli, açık ve meşru amaçlar için işlenmekte, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak kullanılmakta ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan ve Şirketçe işbu Politikada belirlenen süre kadar muhafaza edilmektedir.
4.2. Genel kaide, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenmemesidir. Ancak, KVKK madde 5’te belirtilen ve aşağıda sayılan hallerde ilgili kişinin açık rızası olmaksızın kişisel verinin işlenmesi mümkündür:
Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hali.
4.3. İlgili kişiler, kişisel veri işleme süreçlerine ilişkin olarak, Şirketimiz tarafından KVKK’nın 10. maddesine uygun olarak aydınlatmakta ve kişisel veri sahiplerinin bilgi talep etmeleri durumunda gerekli bilgilendirmeyi yapmaktadır.
4.4. Şirketimiz, kişisel verilerin işlenmesi ve aktarılması konusunda KVKK’da öngörülen ve Kurul tarafından ortaya konulan düzenlemeleri takip etmekte ve bu düzenlemelere uygun davranmaktadır.
4.5. Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tarafımızca seçilmektedir. Ancak, İlgili Kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilecektir.
4.6. Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler Şirket tarafından resen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta İlgili Kişi tarafından Şirket’e başvurulması halinde;
İletilen talepler en geç 30 (otuz) gün içerisinde cevaplandırılmaktadır,
Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir.
5.KİŞİSEL VERİLERİN SAKLANDIĞI KAYIT ORTAMLARI
5.1.Veri sahiplerine ait kişisel veriler, aşağıdaki listelenen ortamlarda başta Kanun hükümleri olmak üzere ilgili mevzuata uygun olarak güvenli bir şekilde saklanmaktadır:
Elektronik ortamlar:
•CRM
•MS SQL Server
• E-Posta Kutusu
• Microsoft Office Programları
• Görüntü Kayıt Cihazları
Fiziksel ortamlar:
•Birim Dolapları
•Klasörler
• Arşiv
6. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEKNİK VE İDARİ TEDBİRLER
6.1.Şirketimizin istihdam kapsamında yerine getirmesi gereken yükümlülüklerini yerine getirebilmesi, bir hakkın tesisi için veri işlemenin zorunlu olması, müşteri hizmetleri, tüketici hakları ve diğer imkânlardan istifade edebilmeniz ve/veya bunlarla ilgili ticari mali hukuki sorumluluk ve yükümlülüklerin yerine getirilebilmesi, Şirketimizin güvenliğinin sağlanması veya Şirketimizin meşru amaçları için kişisel verilerinizin işlenmesine gerek olması halinde toplanılacak olan kişisel veriler şirket sistemine işlenmektedir.Buna ek olarak dijital kopya şeklinde saklanan tüm veriler Şirket’in sisteminde bulunan serverına kaydedilmektedir. Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla Kanun’un 12. maddesindeki ilkeler çerçevesinde, Şirket tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır:
6.1.1 Teknik Tedbirler
6.1.1.1 Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
6.1.1.2. Ağ yoluyla veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
6.1.1.3. Anahtar yönetimi uygulanmaktadır.
6.1.1.4. Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
6.1.1.5. Çalışanlar için yetki matrisi oluşturulmuştur.
6.1.1.6. Erişim logları düzenli olarak tutulmaktadır.
6.1.1.7. Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulanmaya başlanmıştır.
6.1.1.8. Gerektiğinde veri maskeleme yöntemi uygulanmaktadır.
6.1.1.9. Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
6.1.1.10. Kişisel veri güvenliğinin takibi yapılmaktadır.
6.1.1.11. Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
6.1.1.12. Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
6.1.1.13. Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
6.1.1.14. Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
6.1.1.15. Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
6.1.1.16. Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
6.1.1.17. Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
6.1.1.18. Mevcut risk ve tehditler belirlenmiştir.
6.1.1.19. Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
6.1.1.20. Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
6.1.1.21. Saldırı tespit ve önleme sistemleri kullanılmaktadır.
6.1.1.22. Sızma testi uygulanmaktadır.
6.1.1.23. Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
6.1.1.24. Şifreleme yapılmaktadır.
6.1.1.25. Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklara denetimi sağlanmaktadır.
6.1.1.26. Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.
6.1.1.27. Veri kaybı önleme yazılımları kullanılmaktadır.
6.1.1.28. Özel nitelikli kişisel verilerin aktarıldığı durumlarda;
Verilerin e-posta ile aktarılması gerekiyor ise bunların şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmasını,
Verilerin taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemler ile şifrelenmesini,
Farklı fiziksel ortamdaki sunucular arasında aktarma gerçekleşiyor ise sunucular arasında VPN kurularak veya sFTP yöntemiyle aktarmanın sağlanmasını,
Verilerin kağıt ortamında aktarımı gerekiyorsa evrakın “gizlilik dereceli belgeler” formatında gönderilmesini sağlar.
6.1.1.29. Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
6.1.1.30. Silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için idari ve teknik önlemleri alınmaktadır.
6.1.2. İdari Tedbirler
6.1.2.1. Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
6.1.2.2. Çalışanlar için veri güvenliği konusunda belirli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
6.1.2.3. Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulanmaya başlanmıştır.
6.1.2.4. Gizlilik taahhütnameleri yapılmaktadır.
6.1.2.5. İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
6.1.2.6. Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
6.1.2.7. Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
6.1.2.8. Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
6.1.2.9. Kişisel veriler mümkün olduğunca azaltılmaktadır.
6.1.2.10. Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
6.1.2.11. Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler mevcuttur.
6.1.2.12.Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır. Erişimin sınırlandırılmasında verinin özel nitelikli olup olmadığı ve önem derecesi de dikkate alınır.
6.1.2.13. İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.
6.1.2.14. Kendi tüzel kişiliği nezdinde Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapar ve yaptırır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik zafiyetlerini giderir.
6.1.2.15. Kişisel verilerin bulunduğu ortama göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınmasını sağlar ve bu ortamlara yetkisiz giriş çıkışları engeller.
6.1.2.16.İşyerimizde 5188 sayılı yasa kapsamında özel güvenlik birimi görev yapmakta ve işyerinin 7/24 fiziki güvenliğini sağlamaktadır.
6.1.2.17.Kişisel veri işlemeye başlamadan önce Şirket tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
6.1.2.18.Kişisel veriler olabildiğince azaltılmaktadır.
7.KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN HUKUKİ, TEKNİK VE DİĞER SEBEPLER
7.1. Şirket, elde ettiği kişisel verileri aşağıdaki amaçlar ile işlemektedir:
Şirketimiz tarafından Şirketimizin üretim, satış ve pazarlama faaliyetleri başta olmak üzere gerçekleştirmiş olduğu ya da gerçekleştireceği tüm faaliyetlerin icrası,
Şirketimizin mevzuattan kaynaklanan yükümlülüklerinin yerine getirilmesi, bu kanuni yükümlülükler sebebi ile Vergi Dairesi Başkanlığı, Sosyal Güvenlik Kurumu ve İŞKUR, Serbest Bölge Müdürlüğü, ESBAŞ, Türk Metal Sendikası, MESS İşveren Sendikası, Merkezi Kayıt Kuruluşu, Sanayi ve Ticaret Odaları, Bakanlıklar gibi özel ve resmi kuruluşlara bilgi verilmesi,
İş ortakları ve tedarikçilerle olan ilişkilerin yönetimi, Şirketimizin insan kaynakları politikaları doğrultusunda,
Şirketimizin insan kaynakları politikalarına uygun şekilde açık pozisyonlara uygun personel temini, insan kaynakları politikalarına uygun şekilde insan kaynakları operasyonlarının yürütülmesi, Çalışılanlar adına bireysel emeklilik, özel sağlık sigortası süreçlerinin takibi de dahil olmak gerekli bilgilendirmelerin yapılması ve ilgili kurum, kuruluş ve kişilerle bu çerçevede bilgi akışının sağlanması,
İş Kanunu ve İş Sağlığı ve Güvenliği Kanunu ve ilgili mevzuat çerçevesinde iş sağlığı ve güvenliği yükümlülüklerinin yerine getirilmesi çerçevesinde çalışan ve iş ortaklarımızın çalışanlarına ilişkin işe giriş ve işe devam süreçlerinde sağlık durumlarının takibi, ortak sağlık birimi ile bu çerçevede bilgi akışının sağlanması,
Kurumsal yönetim faaliyetlerinin icrası, risk yönetimi, finansal raporlama işlemlerinin icrası ve takibi,
Şirket faaliyetlerinin ilgili mevzuata uygun olarak yürütülmesinin temini için denetim faaliyetlerinin planlanması ve icrası,
Kurumsal iletişim ve yönetim faaliyetlerinin icrası,
Şirketin mevcut ve müstakbel çalışanları, yetkilileri, iş ortakları, iş ortaklarının yetkilileri, pay sahipleri, çalışanları ile hukuki ve ticari ilişkilerinin yürütülmesi, bu çerçevede sözleşmelerin akdedilmesi ve akdedilen sözleşmelerin ifası, bu kişilerle
Şirket süreçleri ve Şirket ile bağlantılı konuların değerlendirilmesi ve bilgi akışının sağlanması,
Şirket tarafından yapılan üretim ve sunulan hizmetin gerekli kalite standartlarını sağladığına ilişkin gereken denetim faaliyetlerinin sağlanması ve akreditasyonlar, Şirket faaliyet ve ihtiyaçları doğrultusunda satın alma ve tedarik ilişkilerinin oluşturulması ve takibi,
Şirketler Hukukuna ilişkin gereklerin yerine getirilmesi,
Şirket içi iletişim ve iş birliğinin sağlanması,
Şirket, pay sahipleri, çalışanlar ya da yetkililerinin taraf olduğu Şirket ile ilişkili olan dava, icra takibi, idari ve cezai soruşturma ve benzeri süreçlerin takibi,
Şirket pay sahibi, çalışan, ziyaretçi ya da iş ortaklarının çalışan, yetkili ya da pay sahiplerinin seyahatleri sebebi ile gerekli izin ve işlemlerin takibi,
Ziyaretçi kayıtlarının oluşturulması ve takibi,
Yatırımcı ilişkililerinin yönetilmesi,
Veri güvenliğinin en üst düzeyde sağlanması, veri tabanlarının oluşturulması, Şirketimiz internet sitesinde sunulan hizmetlerin geliştirilmesi, Şirketimize talep ve şikayetlerini iletenler ile iletişime geçilmesi, KVKK, CMS, Kişisel Veri Saklama ve İmha Politikası
Şirket ve şirkete ait tesis güvenliğinin sağlanması ve çalışan ulaşımlarının sağlandığı araçlarda yine güvenlik amacıyla ve “kamera ile izlenmektedir” açıklama ya da işaretinin yer aldığı alanlarda sınırlı olmak üzere, çalışılanların, Şirket pay sahipleri ve yetkililerinin, ziyaretçilerin görüntülerinin kamera ile kayıt altına alınması suretiyle, çalışan ve ziyaretçi giriş çıkışlarının kayıt altına alınması, internet sitesi ziyaretlerinde site içi hareketlerin kaydı amacıyla KVKK’nın 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları kapsamında işlenir.
7.2. Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, Şirket tarafından resen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:
• Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası sebebiyle gerekli olması hali,
• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
• İlgili kişinin, Kanun’un 11. maddesindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,
• Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.
8. İMHAYA İLİŞKİN TEDBİRLER
8.1. Yönetmelik uyarınca, işbu Politika’nın asgari olarak; Kişisel Verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirlere ilişkin bilgileri kapsaması gerekmektedir. Bu doğrultuda, Kişisel Verilerin, Kişisel Veri İşlenmesi ilkelerine uygun olarak işlenmesinin temin edilmesi için gerekli teknik ve idari tedbirler aşağıda belirtilmektedir. Ayrıca yeni gereklilikler ortaya çıktıkça yeni idari ve teknik tedbirler de alınacaktır.
8.2. Kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel verilerin veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekir.
8.3. Türk Ceza Kanunu’nun 138. maddesinde ve KVK Kanunu’nun 7. maddesinde düzenlendiği üzere ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde Şirket kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hale getirilir.
8.4.. 6493 sayılı Ödeme ve Menkul Kıymet Mutabakat Sistemleri, Ödeme Hizmetleri ve Elektronik Para Kuruluşları hakkında Kanunun 23. maddesi gereğince işletme konusuna giren iş ve işlemlerden kaynaklı belgeler ve kayıtlar en az on yıl süreyle güvenli ve Merkez Bankası tarafından istenildiği an erişime imkân sağlayacak şekilde yurt içinde saklanır.
8.5. İlgili kişi, Şirkete başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde bu talebi yerine getirilmek üzere hemen değerlendirmeye alınır.
8.6. Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; Şirket talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. Şirket, ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir.
8.7. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa Şirket bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde bu politika kapsamında gerekli işlemlerin yapılmasını temin eder.
8.8. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep Şirket tarafından gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.
Kişisel Verilerin korunmasına ilişkin mevzuata etkin uyum sağlamak amacıyla nihai sorumluluk Yönetim Kurulu’nda olmak üzere Yönetim Kurulu tarafından Kişisel Veri Komitesi Kurulması,
Bilgi Güvenliği Politikası’nın hazırlanması,
İç Denetim birimi tarafından KVKK yükümlülüklerine uyumun periyodik olarak denetlenmesi,
Erişim yetki kısıtlamalarının öngörülmesi,
Veri minimizasyonunun sağlanması,
Veri saklama sürelerinin tespit edilmesi,
Tüm iş birimleri ile gerçekleştirilen/gerçekleştirilecek toplantı/eğitimlerle farkındalık yaratılması,
Çalışanlara yönelik Kanun’a uyumun süreçlerinde dikkat edilmesi gereken hususlara yönelik eğitim verilmesi,
iş ve operasyonel süreçlerin Kanun’a uyumlu hale getirilmesi,
Veri envanteri ile veri işleme şartlarının hangi durumlarda gerçekleştiğinin tespiti,
Tüm üçüncü taraf (acente, broker başta olmak üzere) ve çalışanlarla yapılan sözleşmelere Kişisel Verilerin Korunması’na İlişkin hükümlerin eklenmesi.
İnternet sitesinde, ilgili kişilerin kişisel verileri ile ilgili başvurularının alınması amacıyla gerekli yönlendirmelerin yapılması,
Sistem güvenliğine yönelik süreçlerin geliştirilmesi vb.
9. KİŞİSEL VERİLERİN İMHASI
9.1. Kişisel Verilerin Silinmesi Teknikleri
9.1.1. Elektronik Ortamda Yer Alan Kişisel Verileri Silme:
9.1.1.1. Yazılımdan Güvenli Olarak Silinmesi: Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken/yok edilirken; çok yüksek ihtimalle bir daha kurtarılamayacak biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılmaktadır.
9.1.1.2. Veri Tabanlarında Bulunan Kişisel Verilerin Silinmesi: Kişisel verilerin bulunduğu ilgili satırların veritabanı komutları ile (DELETE vb.) silinmektedir. Anılan işlem gerçekleştirilirken ilgili kullanıcının aynı zamanda veritabanı yöneticisi olmadığına dikkat edilmektedir.
9.1.2. Taşınabilir Medyada Bulunan Kişisel Verilerin Silme: Bulut ortamı ve flash tabanlı saklama ortamlarındaki kişisel veriler, şifreli olarak saklanmakta olup bu ortamlara uygun yazılımlar kullanılarak silinmektedir.
9.1.3. Sunucularda Yer Alan Kişisel Verilerin Silme: Yasal yükümlülük dolayısıyla saklanmasını gerektiren süre sona ermiş olan veriler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
9.1.4. Uzman Tarafından Güvenli Olarak Silme: Şirket bazı durumlarda kendisi adına kişisel verileri silmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından bir daha kurtarılamayacak biçimde güvenli olarak silinir/yok edilir. 9.2. Kişisel Verilerin Yok Edilmesi Teknikleri
9.2.1 Fiziksel Ortamda Yer Alan Kişisel Verilerin Olarak Yok Edilmesi: Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler silinirken/yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır. Örnek: İlgili dosyanın, belgenin parçalanarak çöpe atılması.
9.2.2. Optik/ Manyetik Medyada Yer Alan Kişisel Verilerin Yok Edilmesi:
9.2.2.1. De- manyetize edilerek yok edilmesi: Manyetik medyanın özel bir cihazdan geçirilerek gayet yüksek değerde bir manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması sağlanmaktadır. Örn: Harddiskler için kullanılmaktadır.
9.2.2.2. Fiziksel olarak yok edilmesi: Optik medya ve manyetik medyayı eritmek, yakmak, toz haline getirmek ya da metal öğütücüden geçirmek gibi işlemlerle verilerin erişilmez kılınması sağlanır. 9.2.2.3. Üzerine yazılarak yok edilmesi: Manyetik medya ve yeniden yazılabilir optik medya üzetrine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının önüne geçilmesi işlemidir. Bu işlem özel yazılımlar kullanılarak yapılmaktadır.
9.3. Kişisel verileri anonim hale getirme teknikleri:
9.3.1. Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade eder. Şirket, hukuka uygun olarak işlenen kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında kişisel verileri anonimleştirebilmektedir.
9.3.2. KVK Kanunu’nun 28. maddesine uygun olarak; anonim hale getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işlemeler KVK Kanunu kapsamı dışındadır. Anonim hale getirilerek işlenen kişisel veriler KVK Kanunu kapsamı dışında olacağından politikanın 10. bölümünde düzenlenen haklar bu veriler için geçerli olmayacaktır.
9.3.3. Maskeleme (Masking): Veri maskeleme, kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir. Örnek: Kişisel veri sahibinin tanımlanmasını sağlayan isim, TC Kimlik No, ad, soyad vb. bilginin çıkartılması yoluyla kişisel veri sahibinin tanımlanmasının imkansız hale geldiği bir veri setine dönüştürülmesi.
9.3.4. Toplulaştırma (Aggregation): Veri toplulaştırma yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmektedir. Örnek: Müşterilerin doğum yıllarını tek tek göstermeksizin 1975 yılında doğan 100 müşteri bulunduğunun ortaya konulması.
9.3.5. Veri Türetme (Data Derivation): Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır. Örnek: Doğum tarihleri yerine yaşların belirtilmesi; açık adres yerine ikamet edilen ilçenin veya şehrin belirtilmesi.
10. İMHA SÜRELERİ
10.1. Şirket faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;
Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde;
Veri kategorileri bazında saklama süreleri VERBİS’e kayıtta;
Süreç bazında saklama süreleri ise Kişisel Veri Saklama ve İmha Politikasında yer alır.
Yasal düzenlemeler veya ihtiyaçlar çerçevesinde saklama sürelerinde güncellemeler ve değişiklikler yapılır.
Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi yetkilendirilen İlgili Kullanıcı / Özel Yetkili Kullanıcı tarafından yerine getirilir.
10.2. Saklama ve imha süresinin belirlenmesinde;
İşlenen kişisel verinin iş sözleşmesi ile kurulan ilişki kapsamında yürütülen süreçlerle ilgili olması durumunda, yasal zamanaşımı süresi göz önüne alınarak, iş sözleşmesinin sona ermesinden itibaren 10 yıl saklanması,
İşlenen kişisel verinin ticari sözleşmeler ile kurulan her tür ticari ilişki kapsamında yürütülen süreçlerle ilgili olması durumunda, yasal zamanaşımı süresi göz önüne alınarak, ticari ilişkinin sona ermesinden itibaren 10 yıl saklanması,
İşlenen kişisel verinin dolaylı olarak iş veya ticari sözleşmesi ile kurulan ilişki kapsamında yürütülen süreçlerle ilgili olması durumunda, yasal zamanaşımı süresi göz önüne alınarak, hukuki ilişkinin sona ermesinden itibaren 10 yıl saklanması,
İşlenen kişisel verinin herhangi bir ticari alışveriş ile doğrudan ilgisi olmaması, irtibat kurulma, ziyaret, tanışma, teklif verme, iş veya staj için başvurma gibi amaçlarla verilmesi ve sonrasında iş veya ticari ilişkiye dönüşmemesi halinde 2 yıl saklanması,
Güvenlik kayıtlarının otomatik olarak altı ay içinde silinmesi, herhangi bir olay veya görüntüye ihtiyaç olması nedeniyle başka bir amaç ve hukuki nedene bağlı olarak saklanması gereken bölümlerin kesilerek, ilgili hukuki neden ve amacın tabi olduğu zamanaşımı süresine uygun olarak saklanması, İlkeleri temel alınmış ve saklama süreleri buna göre belirlenmiştir.
10.3. Veri Sahibinin kendisine ait kişisel verilerin silinmesini veya yok edilmesi için başvurması durumunda;
Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; başvuru konusu kişisel veriler silinir, yok edilir veya anonim hale getirilir. İlgili kişinin talebi en geç 30 gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir.
Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve başvuru konusu kişisel veriler üçüncü kişilere aktarılmışsa, durum veri aktarılan üçüncü kişiye bildirilir; üçüncü kişi nezdinde Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında gerekli işlemlerin yapılmasını sağlanır.
Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, ilgilinin isteği gerekçesi açıklanarak reddedilebilir ve ret cevabı Veri Sahibine en geç 30 gün içinde yazılı olarak ya da elektronik ortamda bildirilir.
10.4. Saklama süresi sona eren veya saklama amacı ortadan kalkan kişisel veriler altı ayda bir imha edilir. Periyodik imha işlemi her yılın Ocak ve Temmuz aylarında gerçekleştirilir.
11. POLİTİKANIN YAYINLANMASI
11.1.Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda oluşturulur. Elektronik ortamda oluşturulan internet sayfasında ilan edilir. Basılı kâğıt olarak oluşturulan dosyasında saklanır.
12.YÜRÜRLÜK
12.1.Politika, Verbis Sistemine kayıt olduğunda yürürlüğe girer. Politika metni ve içeriğinde değişiklik olması durumunda, eski nüsha 5 yıl saklanmak üzere arşive kaldırılarak güncel metin dosyasına konulur. Elektronik ortamda bulunan eski metinler tamamen yok edilir, gerekiyorsa yerine yeni politika konulur.
