PLATİN MERKEZ SAÇ TASARIM DANIŞMANLIK TİC. LTD. ŞTİ.
KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
BÖLÜM 1 – GİRİŞ
Politikanın amacı;
Kişisel Verilerin Korunması hakkı, Türkiye Cumhuriyeti Anayasası MADDE 20’ de aşağıdaki şekilde yer almaktadır.
“Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz (Ek fıkra: 12/9/2010-5982/2 md.). Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”
Bireyin temel hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı amaçlayan, 6698 sayılı Kişisel Verilerin Korunması Kanunu, önceki metinler üzerinde yapılan çeşitli değişikliklerle 18 Ocak 2016 tarihinde TBMM Başkanlığı’na sevk edilmiş ve 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış, 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12.nci maddesinin (1) numaralı fıkrasında Veri Sorumlusunun;
Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
Kişisel verilerin muhafazasını sağlamak,
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğu, (5) numaralı fıkrasında ise, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna (Kurul) bildireceği, Kurulun, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceği hükme bağlanmıştır.
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında;
Veri Sorumlusu olarak; Şirketimiz tarafından yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik süreçler hakkında açıklamalarda bulunmak, uygulamada şeffaflığı ve hukuka uygunluğu sağlamak ve kişisel verileri şirket tarafından işlenen veri sahibi gerçek kişileri bilgilendirmek amacıyla bu politika hazırlanmıştır.
Bu politika ile çalışanlarımızın, çalışan adaylarımızın, gerçek kişi müşterilerimizin, ziyaretçilerimizin, işbirliği içinde olduğumuz kurumların çalışan ve hissedarlarının, yetkililerinin, mal ve hizmet tedarikçilerimizin ve bunların çalışanlarının, kurum ile iş ilişkisi bulunan danışman ve diğer üçüncü kişilerin kişisel verilerinin hukuka uygun şekilde korunması ve işlenmesi prensipleri oluşturulmaktadır.
Şirketimiz PLATİN MERKEZ SAÇ TASARIM DANIŞMANLIK TİC. LTD.ŞTİ. bu politika ile bir Anayasal hak olan Kişisel Verilerin Korunmasını bir Kurum Politikası haline getirmekte ve hukuki ve sosyal sorumluluğu kapsamında Kişisel Verileri Koruma Kanunu, Yönetmelik ve Tebliğler ile ek mevzuat ve düzenlemelerine uymayı taahhüt etmektedir.
Kişisel Verilerin Korunması ve İşlenmesi Politikası ile şirket bünyesinde kişisel verilerin hukuka uygun olarak işlenmesi ve korunması konusunda farkındalığın oluşması ve tüm süreçlerde mevzuata uyumu temin etmek için sürdürülebilir ve denetlenebilir sistemin kurulması amaçlanmaktadır.
Kişisel Verilerin Korunması Kanunu ve ek mevzuatların uygulanmasına yönelik olarak şirket içerisinde gerekli politika ve prosedürler düzenlenmekte, aydınlatma metinleri oluşturulmakta, açık rızalar uygulanmakta, gizlilik sözleşmeleri yapılmakta, görev tanımları revize edilmekte, kişisel verilerin korunması için şirketimiz tarafından mevzuata uygun idari ve teknik güvenlik tedbirleri alınmakta, bu kapsamda gerekli denetimler yapılmakta veya yaptırılmaktadır.
BÖLÜM 2- TANIMLAR
Kişisel Verileri Koruma Kanunu ve şirketimizin Kişisel Verilerin Korunması ve İşlenmesi Politikasında yer alan bazı tanımların açıklamalarına aşağıda yer verilmiştir.
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Kişisel Veri Sahibi: Kişisel verisi işlenen gerçek kişi müşteriler, çalışanlar, çalışan adayları, tedarikçiler ve çalışanları, ortaklar, Şirketle yapılmış sözleşme kapsamındaki diğer üçüncü şahıs gerçek kişiler.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Örneğin; adı-soyadı, TCKN, e-posta, adres, iş adresi, doğum tarihi, doğum yeri, kredi kartı numarası, ehliyet no, banka hesap numarası, pasaport no, ruhsat no, diploma vb.
Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli verilerdir.
Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde işlendiği ve saklandığı veri kayıt sistemini kuran ve yöneten kişi veri sorumlusudur.
Veri İşleyen: Veri sorumlusunun verdiği yetki kapsamında onun adına veri işleyen gerçek veya tüzel kişi.
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
Kişisel Verilerin Silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilmez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Kişisel Verilerin Yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir
Anonim Hale Getirme: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesidir.
KVKK: 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete de yayımlanan Kişisel Verilerin Korunması Kanunu
KVK Kurulu: Kişisel Verileri Koruma Kurulu
Kişisel Veri Saklama ve İmha Politikası: Kişisel Verilerin Silinmesi, Yok Edilmesi, Anonim Hale Getirilmesi Hakkında Yönetmelik gereğince, Şirket tarafından kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yapılmış olan Şirket “Kişisel Veri Saklama ve İmha Politikası”.
Veri Sorumluları Sicili: KVK Kurulu gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı gözetiminde tutulan ve kamuya açık olan Veri Sorumluları Sicili.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ: 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ.
BÖLÜM 3 – KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN GENEL İLKELER
Kişisel Verilerin İşlenmesi Genel İlkelerde;
“KANUN MADDE 4- (1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur: a) Hukuka ve dürüstlük kurallarına uygun olma. b) Doğru ve gerektiğinde güncel olma. c) Belirli, açık ve meşru amaçlar için işlenme. ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” hükümleri yer almaktadır.
Şirketimiz uygulamalarında; Kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven, dürüstlük ve şeffaflık kuralına uygun hareket edilmektedir. Bu çerçevede, kişisel veriler iş faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir.
Kişisel verilerin işlenme amaçları açıkça ortaya konulmakta ve bunlara Veri Envanterin de ve Aydınlatma metinlerin de yer verilmektedir. Veriler iş faaliyetleriyle bağlantılı amaçlar kapsamında işlenmektedir.
Kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemler alınmaktadır
Şirket, kişisel verileri yalnızca iş faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta olup belirlenen amaçlarla sınırlı olarak işlemektedir.
Şirketimiz kişisel verileri işlendikleri amaç için gerekli olan süre ve faaliyetle ilgili yasal mevzuatta öngörülen süre kadar muhafaza etmektedir. Mevzuatta kişisel verilerin saklanması için bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler saklama sürelerinin sonunda mevzuata göre belirlenen periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir
BÖLÜM 4- İŞLENEN KİŞİSEL VERİLER VE KİŞİSEL VERİLERİN İŞLENME AMAÇLARI
Şirket tarafından özel nitelikli kişisel verileriniz ve genel nitelikli kişisel verileriniz, veri envanterin de yer alan veri kategorileri ile bağlantılı, veri işleme amacına ve Kanunun 5. ve 6. Maddesinde yer verilen hukuki sebeplere bağlı olarak işlenebilmektedir.
Aydınlatma Metinlerin de; işlenen kişisel verilerinize, işleme amacı ve hukuki sebepleriyle eşleştirilerek her veri kategorisi bazında ayrı ayrı yer verilmektedir.
Şirket tarafından elde edilen ve bu bölümde yer verilen her türlü kişisel veriniz (Özel nitelikli kişisel veriler de dahil fakat bunlarla sınırlı olmamak kaydıyla) aşağıdaki amaçlar ile işlenebilecektir;
Mal Hizmet Satın Alım Süreçlerinin Yürütülmesi, Mal Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi, Mal Hizmet Satış Süreçlerinin Yürütülmesi, Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi, Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi, Organizasyon Ve Etkinlik Yönetimi, Pazarlama Analiz Çalışmalarının Yürütülmesi, Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi Kurumsal iletişim ve yönetim faaliyetlerinin planlanması ve icrası, İş ortakları ve tedarikçilerle olan ilişkilerin yönetimi ve icrası, Ziyaretçi Kayıtlarının Oluşturulması Ve Takibi, Fiziksel Mekân Güvenliğinin sağlanması, Mevzuattan kaynaklanan yükümlülüklerimizi yerine getirmek, yetkili ve görevli kamu kurum ve kuruluşlarına karşı diğer hukuki yükümlüklerimizi yerine getirmek.
Acil Durum Yönetimi Süreçlerinin Yürütülmesi, Bilgi Güvenliği Süreçlerinin Yürütülmesi, Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi, Çalışan Memnuniyeti ve Bağlılığı Süreçlerinin Yürütülmesi, Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi, Çalışanlar İçin Yan Haklar Ve Menfaatleri Süreçlerinin Yürütülmesi, Denetim/Etik Faaliyetlerinin Yürütülmesi, Eğitim Faaliyetlerinin Yürütülmesi, Faaliyetlerin Mevzuata Uygun Yürütülmesi, Fiziksel Mekan Güvenliğinin Temini, Görevlendirme Süreçlerinin Yürütülmesi, Hukuk İşlerinin Takibi ve Yürütülmesi, İletişim Faaliyetlerinin Yürütülmesi, İnsan Kaynakları Süreçlerinin Planlanması, İş Faaliyetlerinin Yürütülmesi/Denetimi, İş Sağlığı ve Güvenliği Faaliyetlerinin Yürütülmesi, İş Süreçlerinin İyileştirilmesine Yönelik Önerilerin Alınması ve Değerlendirilmesi, İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi, Saklama ve Arşiv Faaliyetlerinin Yürütülmesi, Sözleşme Süreçlerinin Yürütülmesi, Talep ve Şikayetlerin Takibi, Ücret Politikasının Yürütülmesi, Veri Sorumlusu Operasyonlarının Güvenliğinin Temini, Yetenek ve Kariyer Gelişimi Faaliyetlerinin Yürütülmesi, Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi, Yönetim Faaliyetlerinin Yürütülmesi, Faaliyetlerin Mevzuata Uygun Yürütülmesi, Finans ve Muhasebe İşlerinin Yürütülmesi, Hukuk İşlerinin Takibi ve Yürütülmesi, Saklama ve Arşiv Faaliyetlerinin Yürütülmesi, Sözleşme Süreçlerinin Yürütülmesi, Veri Sorumlusu Operasyonlarının Güvenliğinin Temini.
İşlenen Veri kategorileri:
Kimlik Bilgisi; Kişinin kimliğine dair bilgiler; ad soyad, T.C. kimlik numarası, uyruk bilgisi, anne adı, baba adı, doğum yeri, doğum tarihi, cinsiyet bilgileri, vergi numarası, SGK numarası, imza bilgisi, taşıt plakası, ehliyet, nüfus cüzdanı ve pasaport gibi belgelerin bilgileri.
İletişim Bilgileri; Telefon numarası, açık adres bilgisi, e-posta adresi, şirket içi iletişim bilgileri (dahili telefon numarası, kurumsal e-posta adresi) faks bilgileri, kayıtlı elektronik posta adresi (KEP), IP adresi, elektronik bağlantı sırasındaki sistem bilgileri.
Lokasyon Verisi; Şirket araçlarını ve cihazlarını kullanırken bulunduğu yerin konumunu tespit eden kişisel veriler; GPS lokasyonu.
Aile Bireylerin ve Yakınları Bilgisi; Şirket iş birimleri tarafından yürütülen operasyonlar çerçevesinde, Şirketin ve veri sahibinin hukuki menfaatlerini korumak amacıyla kişisel veri sahibinin aile bireyleri (eş, anne, baba, çocuk) ve yakınları hakkındaki kişisel veriler.
Fiziksel Mekan Güvenlik Bilgisi; Fiziksel mekana girişte, fiziksel mekanın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler; kamera kayıtları, parmak izi kayıtları ve güvenlik noktasında alınan kayıtlar.
Hukuki İşlem Bilgisi; Şirketin hukuki alacak ve haklarının tespiti, takibi ve borçlarının ifası ile kanuni yükümlülükler Şirket politikalarına uyum kapsamında işlenen kişisel veriler.
Denetim ve Teftiş Bilgisi; Şirketin kanuni yükümlülükleri ve Şirket politikalarına uyumu kapsamında işlenen kişisel veriler.
Özel Nitelikli Kişisel Veri; KVK Kanunu’nun 6. maddesinde belirtilen veriler (kan grubu da dahil çalışanlara ait sağlık verileri, biyometrik veriler, engellilik durumu, kullanılan cihaz ve protez bilgileri).
Talep/Şikayet Yönetimi Bilgisi; Şirkete yöneltilmiş olan her türlü talep veya şikayetin alınması ve değerlendirilmesine ilişkin kişisel veriler.
Finansal Bilgiler; IBAN, Banka hesap no, kredi kart bilgisi, çalışılan banka adı, mail order formu, müşteri ve tedarikçi finansal profil kredi notu bilgileri, sözleşme bilgileri, vergi dairesi numarası.
Çalışan Özlük Bilgileri; T.C. kimlik numarası, SGK numarası, emeklilik tahsis numarası, şirketteki pozisyon adı, departmanı ve birimi, unvanı, sağlık bilgileri, AGİ belgesi, aile yakını verileri; evlilik cüzdanı; eş ve çocuklarının adı soyadı, performans değerlendirme bilgileri, geri bildirim formları, savunma ve ihtar belgeleri/tutanaklar, telefon numarası ve e-mail adresi, acil durumda aranacak yakınlarının adı, soyadı ve telefon numarası, şirket sicil numarası, son işe giriş tarihi, işe giriş çıkış tarihleri, Özgeçmişi (CV),
Ceza Mahkumiyetine İlişkin Bilgiler; Güvenlik tedbirlerine ilişkin bilgiler: Sabıka kaydı, Hukuki belgeler Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler.
Mesleki deneyim bilgisi; Diploma bilgileri, kurs bilgileri, meslek içi eğitim bilgileri, sertifikalar, tecrübe belgesi, lisans belgesi.
KVKK mevzuatına uyumlu olarak elde edilen ve işlenen kişisel verileriniz Şirketimize ait fiziki arşivler ve/veya bilişim sistemlerine nakledilerek, hem digital ortamda hem de fiziki ortamda muhafaza edilecek, güvenlik tedbirleri alınarak kontrolü Şirketimizde olmak üzere Şirket dışındaki teknolojik ortamlarda yedeklenebilecektir.
BÖLÜM 5- KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ
Kanunun veri sorumlularına ilişkin getirdiği en önemli yükümlülüklerden biri de aydınlatma yükümlülüğüdür. Bu yükümlülük, ilgili kişilerin kişisel verileri üzerinde kontrol ve denetim yetkisinin sahip olduğunun en önemli göstergesidir. Kanunun 10. maddesi ile getirilen aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte aynı zamanda kişisel verisi işlenen gerçek kişiler için de bir haktır.
Şirketimiz KVKK 10. Madde yükümlülüğüne uygun olarak, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatmaktadır.
KVKK 10. madde kapsamında Şirket, veri sorumlusunun kimliği, varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile kişisel veri sahibinin sahip olduğu haklar konusunda veri sahibinin niteliğine ve veri işleme sürecine göre ilgili kişilere bilgilendirme yapmaktadır.
Şirketimiz kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmekte, kişisel verileri amacın gerektirdiği faaliyetler dışında kullanmamaktadır.
Şirket, meşru ve hukuka uygun olan kişisel veri işleme amacını ve aktarma amacını açık ve kesin olarak belirlemektedir. Kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır. Veri kategorisi bazında amaçlar belirlenmekte ve her kategori için Kanunun 5. Ve 6. Maddelerinde yer alan hukuki şartlardan hangisine dayalı olarak veri işlendiğine ve verilerin kimlere aktarılabileceğine ve aktarma amaçlarına Aydınlatma Metninde yer verilmektedir. Amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmaktadır.
Şirketimiz kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Kurum tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir. Gelecekte kullanma ihtimali ile kişisel veriler saklanmamaktadır.
Bu prensipler KVKK 10. Madde kapsamında, KVKK Aydınlatma Metni ile verisi işlenecek gerçek kişilere iletilerek bilgilendirme yapılmaktadır. Müşteri, Tedarikçi, Ziyaretçi, Çalışan ve çalışan adaylarına yönelik Aydınlatma metinleri kendilerine mevzuata uygun olarak iletilmektedir. Genel Aydınlatma metni Şirket internet sitesinde yer almakta, veri sahipleri iş ilişkisi ve sözleşme kurulmasından önce açık bir şekilde bilgilendirilmektedir.
Anayasa’nın 20. maddesinde herkesin, kendisiyle ilgili kişisel veriler hakkında bilgilendirilme hakkına sahip olduğu ortaya konulmuştur. Bu doğrultuda KVKK 11. maddesinde kişisel veri sahibinin hakları arasında “bilgi talep etme” hakkına yer verilmiştir.
Şirket KVKK 11. maddesine uygun olarak Kişisel Veri Sahibinin bilgi talep etmesi durumunda, ilgili kişiye gerekli bilgilendirmeleri süresi içinde yapmaktadır. Başvuru cevaplanmasının zamanında ve hukuka uygun yapılmasını teminen ‘Başvuru Cevaplama Prosedürü’ düzenlenerek Şirket içinde sorumlu kişiler belirlenmiş ve görevlendirilmiştir.
BÖLÜM 6- KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ VE HUKUKİ SEBEBİ
Kişisel veriler; Şirketimizin meşru menfaati gereği ilgili kişilerden, bizzat talep ettiği bilgi ve dökümanlar, sözlü ve yazılı iletiler, maille iletilen ve elde edilen bilgiler, çağrı merkezi, internet sitesi üzerinden elde edilen bilgiler, sözleşmelerde yer alan bilgileriniz, tarafınızdan alenileştirilen kişisel bilgiler, Şirkete hizmet vermekte olan İK kuruluşları vasıtasıyla elde edilen bilgiler ve hukuki yükümlülüklerimizi yerine getirmek için bize iletilen hukuki belge ve tebligatlar vasıtasıyla fiziksel ya da digital ortam kullanılarak toplanmaktadır.
KVKK 5. Maddesinin 1. Fıkrasında yer alan ‘Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez’ düzenlemesi çerçevesinde, Şirketimiz kanunun tanıdığı istisnai haller dışında, açık rızanın bulunması halinde kişisel veri işlemektedir.
KVKK 5. Madde 2.fıkra kapsamında, aşağıda belirtilen durumlarda Şirket kişisel veri sahiplerinin verilerini açık rıza almaksızın işleyebilmektedir;
‘’5/2-a:Kanunlarda açıkça öngörülmesi,
5/2-b: Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendi sinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması”,
5/2-c: “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması”,
5/2-ç: “Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması”,
5/2-e: “ Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması” hukuki sebep veya sebeplerine dayanarak işlenmektedir.
Şirketimiz Anayasa’nın 20. maddesine ve KVKK 4. maddesine uygun olarak, kişisel verilerin işlenmesi konusunda; hukuka ve dürüstlük kuralına uygunluk, doğru ve güncel tutma, belirli, açık ve meşru amaçlar için işleme, amaçla bağlantılı, sınırlı ve ölçülü olarak mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uyarak öngörülen usul ve esaslara bağlı olarak kişisel veri işleme faaliyetinde bulunmaktadır.
Veri işleme faaliyeti başlamadan önce, Veri envanterine kaydedilen verilerle ilgili, Kanun 5. maddesi ve özel nitelikli verilerle ilgili 6. Maddesinde yer alan hukuki sebeplerden en az birinin varlığı tespit edilmediği takdirde mutlaka açık rıza teminine gidilmekte, açık rıza alınamaması durumunda veri işlenmemekte işleme hemen durdurulmaktadır.
BÖLÜM 7- ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI
Şirketimiz için “Özel Nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunması özel öneme sahiptir. KVKK 6.maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiş olup bu verilerin işlenmesinde dikkat ve hassasiyet gösterilmesi gerekmektedir.
KVKK birtakım kişisel verilere, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem vermektedir.
Bu veriler; ‘ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik’ verilerdir.
Şirketimiz tarafından, “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, Şirket tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle ve özel olarak uygulanmaktadır.
Özel Nitelikli veri kapsamında, Şirket bünyesinde sağlık verileri işlenmekte ve bazı durumlarda adli sicil belgesi kayıtları tutulmaktadır. Bu özel nitelikli kişisel verilere erişebilen personele periyodik gizlilik eğitimleri verilmekte, erişim yetkisi kapsam ve süreleri belirlenmekte ve periyodik olarak denetimler yapılmakta ve gizlilik sözleşmeleri imzalanmaktadır. İlgili personelin işten ayrılması durumunda erişim yetkisi derhal iptal edilmektedir.
Çalışanların sağlık dosyalarında fiziki olarak saklanan kişisel sağlık verilerinin bulunduğu fiziki dosyalar kilitli ve sadece görevlendirilen yetkili işyeri hekiminin erişebildiği alanlarda saklanmaktadır.
BÖLÜM 8- KİŞİSEL VERİLERİN AKTARILMASI
Şirketimiz, gerekli güvenlik önlemlerini alarak, kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere ve kurumlara aktarabilmektedir. KVK Kurulu'nca yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere veya yeterli korumanın bulunmaması durumunda, açık rıza alınarak veya 9. Madde kapsamında Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve KVK Kurulu’nun izninin bulunduğu yabancı ülkelere kişisel veriler aktarılabilmektedir.
Kişisel verilerin aktarılmasına ilişkin KVKK 8. ve 9. Madde hükümlerine aşağıda yer verilmiştir.
MADDE 8- (1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. (2) Kişisel veriler; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir. (3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
Kişisel verilerin yurt dışına aktarılması MADDE 9- (1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz. (2) Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede; a) Yeterli korumanın bulunması, b) Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması, kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.
Özel nitelikteki verilerin aktarılabilmesi için Kanun 6. Madde de yer verilen istisnalar dışında veri sahibinin açık rızasının alınması zorunludur.
Şirketimiz, KVKK 8. ve 9. maddelerine uygun olarak veri kişisel verilerini aşağıda sıralanan kişi ve kurumlara belirtilen amaçlarla aktarabilir:
Şirket İştiraklerine ve Grup şirketlerine katılımlarını gerektiren ticari faaliyetlerin yürütülmesinin temini amacıyla sınırlı olarak, İş Ortaklarına, iş ortaklığının kurulması ve sürdürülmesinin temini amacıyla sınırlı olarak, Mal ve Hizmet Tedarikçilerine, tedarikçiden temin edilen ve Şirketin ticari faaliyetlerini yerine getirmek amacıyla sınırlı olarak, Yetkili kamu kurum ve kuruluşları ile yetkili özel hukuk kişilerine, hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak, Çalışanlar için iş akdi ve mevzuat kaynaklı yükümlülüklerin yerine getirilmesini teminen işyeri hekimine, İş Kanunu, İş Sağlığı ve Güvenliği Kanunu, Sosyal Güvenlik Kanunu ve ilgili mevzuat ile kapsamında gereklilikleri yerine getirmek amacıyla, Çalışma ve Sosyal Güvenlik Bakanlığı, Türkiye İş Kurumu (İş-Kur)/Sosyal Güvenlik Kurumuna, İlgili mevzuat gereği Emniyet Genel Müdürlüğüne, Finans Ve Muhasebe İşlerinin Yürütülmesi kapsamında bordrolama ve muhasebe sürecini yürütmek üzere anlaşmalı Mali Müşavirlik firmasına, Veri Sorumlusunun meşru menfaati kapsamında yararlanabileceğimiz mevzuat teşviklerinin tespiti ve hesabı hususunda çalıştığımız danışmanlık firmalarına, Denetim Faaliyetlerinin Yürütülmesi amacıyla denetim faaliyetlerinde kullanmaları için Şirket denetçilerine ve ortaklarımıza.
BÖLÜM 9- KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI
Kişisel Verilerin Hukuka Aykırı Erişiminin Engellenmesi ve Kişisel Verilerin Güvenli Ortamlarda Saklanması İçin Alınan İdari ve Teknik Tedbirler:
Şirket, bilginin bütünlüğünü koruyacak ve sürekli erişilebilirliğini garanti altına alacak alt yapıyı ve kontrolleri hayata geçirmiştir. Kişisel verilerin tedbirsizlikle veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerdeki hukuka aykırı erişimi önlemek için ve oluşabilecek diğer teknik tehditler karşısında korunacak verinin niteliğine göre, aşağıda yer verilen teknik ve idari tedbirleri uygulamaya koymuştur.
Teknik Tedbirler:
Güvenlik sistemi kişisel verilerin kişilere ait bilgi sistemlerinde bulunduğu esnada tüm tehditlere karşı korunmasıdır.
Bilgi güvenliği tehditleri arasında, organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz tehditler olarak tanımlayabileceğimiz iç tehditler çok önemli bir yer tutmaktadır.
Organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz tehditler dikkate alınarak bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek için ilgili tüm alanlarda gerekli güvenlik kontrollerini hayata geçirilmiştir.
Çalışanların günlük faaliyetlerinin yetki profillerine uyum sağlayıp sağlamadığı Kurum bilgi sistem birimi tarafından düzenli olarak kontrol edilmektedir.
Yetki düzeyi onayları veri koruma görevlisi tarafından verilmektedir.
Kişisel veri kaynaklarına erişim için personel veya üçüncü şahıslar tarafından kullanılan şifreler, ilgili sistemler için tanımlanmış olan şifre belirleme kurallarına uyumlu olarak düzenlenmektedir.
Şirkette dış ağlardan gelebilecek tehditlere karşı katmanlı ağ güvenlik tedbirleri tesis edilmiştir. Kurum Bilgisayar sistemlerinde antivirüs yazılımları, güvenlik duvarları, merkezi yönetim yazılımları kullanılmaktadır.
Virüslerin en çok yayıldığı servisler olan e-mail, http ve ftp trafikleri firewall mantığı esas alınarak antivirüs ağ geçidine yönlendirilir. Buradaki tarama işleminden sonra gerekli yerlere yönlendirilme yapılır. Bu sistemle dışarıdan gelecek olan virüsler engellenmiş olur. Mail sunucuları üzerine kurulan antivirüs sistemiyle yerel ağ içerisinde e-mail aracılığıyla dolaşan virüslerde etkisiz hale getirilmiş olur.
Sunucu bilgisayarları üzerine kurulan virüs koruma yazılımları ve Kurum çalışanlarının sistemlerini kontrol edecek yazılımlarla Kurum içerisinde kurumsal antivirüs çözümü sağlanmış olmaktadır. Bu denetleme çalışmaları; bilinen açıklara karşı güvenlik taraması, uygulama tipine göre uygulamaya yönelik güvenlik taramaları ve sistem yapılandırma kontrollerini kapsamaktadır. Kullanılan log programları sistem yöneticilerinin sistemi güçlü bir şekilde izlemesine yardımcı olmaktadır. Yedekleme için yedekleme prosedürü düzenlenerek kritik sistemlerin yedekleri periyodik olarak alınmakta, yedekler belirli aralıklarla dış ortama taşınmakta ve belirlenen zamanlarda geri dönüş testleri yapılmaktadır.
İdari Tedbirler:
Kurum'un Veri Güvenliğine ilişkin hazırladığı politika ve prosedürleri temel amacı, yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik süreçler hakkında açıklamalarda bulunmak, kişisel verileri Kurum tarafından işlenen veri sahibi gerçek kişileri bilgilendirmek, uygulamada şeffaflığı ve veri güvenliğini ve Kanuna uyumu sağlamaktır.
Organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz tehditler ve dış ağlardan gelebilecek tehlikelerin işlendiği ‘Risk ve Tehditler Tablosu’ Veri Güvenlik Komitesi tarafından periyodik dönemlerde incelenmekte ve tedbirler güncellenmektedir.
Uygulamalar üzerinde teknik kontrol sistemleri kurulmuştur. Veri sorumlusu olarak kurum içi sistematik periyodik denetimleri Veri Koruma Görevlisi kanalıyla yapmaktadır. Denetimler gerek görüldüğünde uzman şirketlere veya bağımsız denetim şirketlerine yaptırılacaktır.
Bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek, veri güvenliğini sağlamak, hukuka uygun saklama ve imha işlemleri uygulamaları için ilgili alanlarda, ‘Erişim ve Yetkilendirme Prosedürü’ ve ‘Kişisel Veri Saklama ve İmha Politikası‘ hazırlanmış ve uygulamaya alınmıştır. Veri ihlalinin tespiti halinde Kişisel Verilerin Korunması Kurulu ve veri sahiplerinin bilgilendirilmesi ihlalle ilgili önleyici tedbirlerin derhal alınmasının sağlanmasını teminen Veri Müdahale Planı ve Veri İhlali Bildirim Prosedürü yürürlüğe konularak görevlendirmeler yapılmıştır.
Gizlilik taahhütnameleri;
“Veri sorumluları ile veri işleyen gerçek veya tüzel kişiler, öğrendikleri kişisel verileri KVKK hükümlerine aykırı olarak başkasına açıklayamazlar. Bu yükümlülük görevden ayrılmalarından veya hizmet sözleşmelerinin sona ermesinden sonra da devam eder.
Kanunun 12. Maddesi ikinci fıkrası gereği Veri İşleyenler, kişisel verilerin güvenliğinin sağlanması konusunda veri sorumlusu ile müştereken sorumludur.” hükmü kapsamında;
Kanuna ve gizlilik esaslarına uyumu içeren ve veri sorumlusu yükümlülüklerine veri işleyenleri de tabi tutan ve kanunu ihlal durumunda veri işleyeni de müşterek sorumlu tutan hükmü içeren sözleşmesi veri işleyenlere imzalatılmaktadır. Şirket tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişi ve şirketler ile yapılan ve yapılacak sözleşmelere; kişisel verilerin korunması amacıyla gerekli güvenlik ve gizlilik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına dair müşterek sorumluluk hükümleri eklenmektedir.
Veri gizliliğinin sağlanması ve güvenlik tedbirlerine uyulması konusunda tüm çalışanlardan ve veri işleyen diğer şahıs veya kurumlardan taahhütname alınması zorunlu kılınmıştır.
Çalışanlar, danışmanlar, bilgi sistem destek şirketleri ve diğer üçüncü kişi veya şirketler yapılan sözleşmelere de bu kapsamda gizlilik taahhütnameleri eklenmektedir.
Şirket, kişisel verilerin hukuka aykırı olarak işlenmesini, verilere hukuka aykırı olarak erişilmesini önlemeye ve verilerin muhafazasını sağlamaya yönelik farkındalığın artırılması için iş birimlerine gerekli eğitimlerin düzenlenmesini sağlamaktadır.
Şirketin, iştiraklerinin ve bağlı ortaklıklarının çalışanlarının kişisel verileri özel veya ticari amaçlarla kullanması, bu verileri yetkisiz kişilerle paylaşması veya başka bir yöntemle bu verileri erişilebilir hale getirmeleri yasaktır.
Şirketin, iştiraklerinin ve bağlı ortaklıklarının çalışanları kişisel bilgilere ancak söz konusu görevlerinin türü ve kapsamı çerçevesinde yetkiye dayalı şekilde erişebilir. Bunun için rol ve sorumlulukların detaylandırılması, ayrıştırılması ve hayata geçirilmesi yetki matrisi ile sağlanmıştır.
Şirket mevcut çalışanlarının ve bünyesine yeni dâhil olan çalışanların kişisel verilerin korunması konusunda farkındalığının oluşması için gerekli sistemler kurmakta, eğitimler vermekte konuya ilişkin ihtiyaç duyulması halinde danışmanlar ile çalışmaktadır.
BÖLÜM 10–İŞLENEN KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ
Kanunun 3.ncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4.ncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6.ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.
Buna göre, Şirket faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.
Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde yer alır.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi hakkındaki 28 Ekim 2017 tarihli Yönetmelik‘te ‘’Kişisel Veri Saklama ve İmha Politikasına İlişkin Esaslar’’ bölümünde; ‘’Kanunun 16. maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan Veri Sorumluları, kişisel veri işleme envanterine uygun olarak ‘Kişisel Veri Saklama ve İmha Politikası’ hazırlamakla yükümlüdür’’ hükmü yer almaktadır.
28 Ekim 2017 tarihinde yürürlüğe giren Yönetmelik de işleme nedenleri ortadan kalkan kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektedir.
Şirket, ilgili kanunlarda ve mevzuatta öngörülmesi durumunda kişisel verileri ilgili kanun ve mevzuatta belirtilen süre boyunca saklamaktadır. Kişisel verilerin ne kadar süre boyunca saklanması gerektiğine ilişkin mevzuatta bir süre düzenlenmemişse, kişisel veriler şirketin o veriyi işlerken sunduğu hizmetlerle bağlı olarak şirket uygulamaları kapsamında işlenmesini gerektiren süre kadar işlenmekte, daha sonra silinmekte, yok edilmekte veya anonim hale getirilmektedir.
Bu kapsamda, Şirket öncelikle kanunlar da ve ilgili mevzuat ta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Kişisel verilerin işlenme amacı sona ermiş; ilgili mevzuat ve Kurumun belirlediği saklama sürelerinin de sonuna gelinmişse, kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi veya savunmanın tesis edilmesi amacıyla kanuni süreler göz önüne alınarak saklanabilmektedir.
Kanun'un 4. maddesi uyarınca kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir ve Kanunun 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde resen veya veri sahibi talebi üzerine silinir, yok edilir veya anonim hale getirilir. Gelecekte kullanma ihtimali ile Kurum tarafından kişisel veriler saklanmamaktadır.
BÖLÜM 11- VERİLERİ SİLME YOKETME VE ANONİMLEŞTİRME YÜKÜMLÜLÜĞÜ
Kanunun 7. maddesinde, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi düzenlenmiştir. Buna göre, kişisel verilerin hukuka uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde bu veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir
Özellikle aşağıda sayılan hallerde kişisel verilerin işlenme şartlarının ortadan kalktığı kabul edilmektedir.
Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya kaldırılması,
Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,
Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
İlgili kişinin, Kanunun 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,
Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
Kanunun 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması;
Belirtilen hallerde kişisel veriler, veri sorumlusu tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.
Kişisel verilerin silinmesi işlemi, “söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi” olarak tanımlanmıştır. Bu kapsamda, bir verinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, söz konusu verinin yedeklemeler dahil tüm ortamlardan geri dönülmez şekilde silinmesi sağlanmaktadır
Kişisel verilerin silinmesi ve yok edilmesi teknikleri ve kişisel verilerin anonim hale getirilmesi tekniklerinden hangisinin uygulanacağına dair karar, teknik detaylarda Veri Koruma Görevlisi tarafından verilir.
Silme işlemine konu teşkil edecek kişisel veriler belirlenir. Silme işlemleri önceden belirlenmiş personel vasıtasıyla yerine getirilir. Bu personelin yetkileri özel olarak düzenlenir. Silme işlemi yapan personelin silinen datayı geri getirme, tekrar kullanma erişim yetkileri kaldırılır.
Silinmesi gereken verilerin silme, yok etme veya anonimleştirilmesinin, kanun, yönetmelik ve Kurum politika ve prosedürlerine uygun olarak yapıldığının ve işlemlere ilişkin oluşturulan bilgi kaydı doğruluğunun kontrolü Bilgi Güvenlik Komitesi (KVKK Uyum Ekibi) tarafından yapılır.
BÖLÜM 12 - VERİ SAHİBİNİN HAKLARI VE BU HAKLARINI KULLANMASI
Şirket KVK Kanunu’nun 10. maddesine uygun olarak kişisel veri sahibinin haklarını kendisine bildirmekte, bu hakların nasıl kullanılacağı konusunda kişisel veri sahibine yol göstermektedir. Şirket, kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine gereken bilgilendirmenin yapılması için iç işleyişe ait idari ve teknik düzenlemeleri uygulamaya koymuştur.
Kişisel veri sahipleri KVKK 11. Madde gereğince aşağıdaki haklara sahiptir;
a) Kişisel veri işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.
Kişisel Veri Sahibinin Haklarını Kullanması;
Veri sahibi KVKK 13. maddesinin 1. fıkrası gereğince yukarıda 11. madde açıklamasında belirtilen hakları kullanabilir
Kanun 11.madde kapsamındaki başvurularınızı, ıslak imzalı yazılı başvurunuzu bizzat adresimize getirerek veya www.platinturkiye.com.tr web adresindeki “Kişisel Verilerin Korunması Kanunu Uyarınca Başvuru Formu” nu doldurarak Osmanağa Mah. Kuşdili Cad.No:44 Kadıköy İstanbul Türkiye adresine bizzat teslim edebilir, noter kanalıyla gönderebilir, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından Şirketimiz e daha önce bildirilen ve Şirketimiz sisteminde kayıtlı bulunan elektronik postanız kanalı ile iletebilirsiniz.
Kişisel veri sahipleri adına üçüncü kişiler tarafından talepte bulunulması mümkün değildir.
Kişisel veri sahibinin kendisi dışında bir kişinin talepte bulunması için konuya ilişkin olarak kişisel veri sahibi tarafından başvuruda bulunacak kişi adına düzenlenmiş özel vekâletname bulunmalıdır.
Kişisel veri sahibi, KVKK 14. Maddesi gereğince başvurusunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde, Şirketin cevabını öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden atmış gün içinde KVK Kuruluna şikayette bulunabilir.
Şirketin Kişisel Veri Sahibinin Başvurusunu Reddetme Hakkı;
Şirket aşağıda yer alan hallerde başvuruda bulunan kişinin başvurusunu, gerekçesini açıklayarak reddedebilir:
Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
Kişisel veri sahibinin talebinin diğer kişilerin hak ve özgürlüklerini engelleme ihtimali olması,
Talep edilen bilginin kamuya açık bir bilgi olması.
Kişisel verilerin anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi resmi amaçlarla işlenmesi.
Kişisel verilerin millî savunma, millî güvenlik ve kamu güvenliği, ekonomik güvenlik alanlarında kamu düzeni sağlamaya yönelik kanunla yetki verilen kamu kuruluşları ve kurumları tarafından yürütülen güvenlik ve istihbari faaliyet kapsamında işlenmesi.
Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı tarafından işlenmesi.
Kişisel veri işlemenin görevli ve yetkili kamu kurum ve kuruluşları tarafından yürütülen soruşturma veya inceleme için gerekli olması.
Şirket başvuruda bulunan kişinin kişisel veri sahibi olup olmadığını tespit etmek adına ilgili kişiden ek bilgi ve belge talep edebilir ve kişisel veri sahibine başvurusunda yer alan hususlarla ilgili soru yöneltebilir.
BÖLÜM 13- POLİTİKA’NIN VE İLGİLİ MEVZUATIN UYGULANMASI
Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Şirketimizin yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir.
BÖLÜM 14- POLİTİKA’NIN YÜRÜRLÜĞÜ
PLATİN MERKEZ SAÇ TASARIM DANIŞMANLIK TİC. LTD.ŞTİ. tarafından düzenlenen bu Politika 24/06/2020 tarihlidir. Politikanın tamamının veya belirli maddelerinin yenilenmesi durumunda Politikanın yürürlük tarihi güncellenecektir. Politika Yönetim Kurulu onayıyla yürürlüğe girer. Şirketin internet sitesinde yayınlanır, bu Politikanın gözden geçirme ve güncellenmesi Yönetim Kurulu tarafından yetkilendirilen Veri Koruma Görevlisi tarafından yerine getirilir.
VERİ SORUMLUSU BİLGİLERİ
|
Veri Sorumlusu Şirket Ünvanı
|
: PLATİN MERKEZ SAÇ TASARIM DANIŞMANLIK TİC.LTD. ŞTİ.
|
|
Adres
|
: Osmanağa Mah. Kuşdili Cad. No.44 Kadıköy İstanbul
|