Kişisel Verilerin Korunması Politikası

KİŞİSEL VERİLERİN KORUNMASI

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) uyarınca, kişisel verilerinizi KVKK’da belirlenen çerçeveye uygun olarak kaydedebilmekte, saklayabilmekte, üçüncü kişilerle paylaşabilmekte ve Kanun’un izin verdiği diğer şekillerde işleyebilmekteyiz. Bu metnin amacı, Kanun ve ilgili mevzuat kapsamındaki haklarınıza ilişkin olarak sizi bilgilendirmektir.

Mevzuat Hakkında Genel Bilgilendirme

6698 Sayılı KVKK Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla 7 Nisan 2016 tarihli Resmi Gazete’de ve Kanun’un ikincil düzenlemesini teşkil eden Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) 28 Ekim 2017 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.

Veri Sorumlusu Bilgilendirmesi

Veri Sorumlusu sıfatıyla kişisel verilerinizi ilgili mevzuata uygun olarak kullanacağız.

Kişisel Verileriniz ne şekilde işlenebilecektir?

Veri Sorumlusu sıfatıyla, şirketimizle paylaştığınız kişisel verilerinizin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem tarafımızdan yapılabilecektir.

Kişisel verilerinizin işlenme amaçları ve hukuki sebepleri nelerdir?

Verdiğimiz hizmetleri sözleşmenin ve teknolojinin gereklerine uygun şekilde yapabilmek, sizlere sunduğumuz ürün ve hizmetlerimizi geliştirebilmek için bizimle paylaştığınız kişisel verileri KVKK ve ilgili mevzuata uygun olarak işleyeceğiz.

Kişisel verilerinizi aktarabileceğimiz kişi veya kuruluşlar hakkında bilgilendirme

Yukarıda belirtilen amaçlarla, bizimle paylaştığınız kişisel verilerinizin aktarılabileceği kişi / kuruluşlar ve iştirakleri olmak üzere ana hissedarımız, doğrudan / dolaylı yurt içi / yurt dışı iştiraklerimiz; faaliyetlerimizi yürütmek üzere hizmet aldığımız, iş birliği yaptığımız, program ortağı kuruluşları, yurtiçi / yurtdışı kuruluşlar ve diğer 3. kişilerdir.

Kişisel verileriniz nasıl toplanmaktadır?

Şirket ziyaretleri, Şirket ile yapılan görüşmeler ve toplantılar, internet sitesi, satış ve pazarlama departmanı ve satın alma departmanı çalışanlarımız, müşteri ziyaretlerinde toplanan formlar, e-posta yazışmaları, özlük dosyası verileri, dijital kanallar aracılığıyla kişisel verileriniz sözlü, yazılı veya elektronik ortamda toplanabilmektedir.

KVKK uyarınca haklarınız nelerdir?

Kanunun haklarınızı düzenleyen 11.maddesi uyarınca haklarınız aşağıdaki gibidir:

(1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili;

a) Kişisel veri işlenip işlenmediğini öğrenme,

b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

haklarına sahiptir.

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

Giriş ve Politika’nın Hazırlanma Amacı

İşbu Kişisel Veri Saklama ve İmha Politikası, KVKK ve Yönetmelik uyarınca yükümlülüklerimizi yerine getirmek ve veri sahiplerini kişisel verilerinizin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi esasları ile silme, yok etme ve anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla veri sorumlusu sıfatıyla Özlem Karadağ Köse tarafından hazırlanmıştır.

Tanımlar

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Başvuru Formu: Veri Sahibi’nin Kişisel Verilerin Korunması Hakkında Kanun’un 11. Maddesi uyarınca sahip olduğu hakları kullanması ve bu amaçla Şirket’e başvurabilmesi için hazırlanmış Ekte sunulan başvuru formunu ifade eder.

Denetim Firması: Şirket’in finansal tablo ve diğer finansal bilgilerinin, finansal raporlama standartlarına uygunluğu ve doğruluğu hususunda, makul güvence sağlayacak yeterli ve uygun bağımsız denetim kanıtlarının elde edilmesi amacıyla, denetim standartlarında öngörülen gerekli bağımsız denetim tekniklerini uygulayarak defter, kayıt ve belgeler üzerinden denetleyerek ve değerlendirilerek rapora bağlayan; bağımsız denetim yapmak üzere, yeminli mali müşavirlik ya da serbest muhasebeci mali müşavirlik ruhsatına sahip meslek mensupları arasından Kamu Gözetimi, Muhasebe ve Denetim Standartları Kurumu tarafından yetkilendirilen kişileri ifade eder.

İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

İlişkili Şirket: Şirket hissedarlarının, şirketi kontrol etmeye yetecek oranda doğrudan veya dolaylı hissedarı bulunduğu veya yönetiminde yer aldığı diğer şirketler.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Kişisel Verilerin Silinmesi: Kişisel verilerin silinmesi; kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.

Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.

Kurul: Kişisel Verileri Koruma Kurulu.

Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Periyodik İmha: Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Veri Sahibi/İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtaların belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.

Politikanın Kapsamı ve Değiştirilmesi

Bu politika Kanun ve kişisel verilere ilişkin sair mevzuat uyarınca bilgileri içermekte olup yayınlandığı tarihte yürürlüğe girecektir. Politika, yasal değişiklikler ve Şirket’in Kişisel Verileri işleme süreçlerinde meydana gelecek değişiklikler veya sair sebeplerle zaman zaman güncellenebilir. Güncellemeler yayın tarihi itibari ile geçerli olur ve güncel politikayı her zaman Şirket’in başvuru formunda bildirilen adreslerinden fiziken ya da e-posta ile ulaşarak sanal ortamda temin edebilirsiniz.

Kişisel Verileri İşleme Faaliyetinin Şartları

Kişisel Veriler, Kanun’un 5. maddesi uyarınca Veri Sahibinin açık rızası olmaksızın işlenemez; fakat bu durumun istisnası aynı maddede düzenlenmiştir. Buna göre aşağıdaki hallerde Veri Sahibinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• Veri Sahibinin kendisi tarafından alenileştirilmiş olması.
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• Veri Sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Özel Nitelikli Kişisel Verilerin İşlenmesi

Kanun’un 6. maddesi uyarınca Özel Nitelikli Kişisel Verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır. Ancak sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde Veri Sahibinin açık rızası aranmaksızın işlenebilir.

Sağlık ve cinsel hayata ilişkin Kişisel Veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbı teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

Özel nitelikli Kişisel Verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

Kişisel Verilerin İşlenme Amaçları

• Sözleşmelerin müzakeresi, akdedilmesi ve ifası,
• Ürün ve hizmetlerin sunulabilmesi,
• Sunulan ürün ve hizmetlerin taleplere uygun olarak özelleştirilmesi; müşteri ihtiyaçları, yasal ve teknik gelişmeler sebebiyle güncellenmesi, geliştirilmesi,
• Sunulan ürün ve hizmetler özelinde, sistemlere kullanıcı tanımlamalarının yapılması,
• Yeni veya mevcut ürün, hizmet ve kampanyaların duyurulması, satış ve pazarlama faaliyetlerinin yürütülmesi,
• Pazar araştırması yapılması,
• İstatistik oluşturulması ve kullanımların analiz edilmesi,
• Ürün, hizmet ve servis bedellerinin ödenmesi, tahsil edilmesi, tahsilat yönteminin seçilmesi,
• İrtibat/iletişim sağlanması,
• İşbirliği yapılan firmalar, tedarikçiler, yeniden satıcılar ve hizmet alınan firmalarla olan ticari ilişkilerin yürütülmesi,
• İşbirliği çerçevesinde raporlama yapılması,
• Şirket’in ve Grup’un ticari stratejilerinin geliştirilmesi ve planlarının yapılması,
• Şirket’in ve Grup’un memnuniyet ölçümü anketleri için iletişim kurulması,
• Adli/idari süreçlerin yönetimi, kamu kurum kuruşlarından gelen taleplere cevap verilmesi, yasal düzenlemelere bağlı olarak hukuki yükümlülüklerin yerine getirilmesi, hukuki uyuşmazlıkların çözümlenmesi,
• Yatırımcı ilişkilerinin yürütülmesi,
• İş görüşmelerinin yürütülmesi, iş başvurularının değerlendirilmesi,
• İş ilişkisinin/sözleşmesinin kurulması, yürütülmesi ve sonlandırılması,
• Çalışanların iş sözleşmelerinden doğan asıl ve yan haklardan yararlandırılması, performansının ve çalışmalarının değerlendirilmesi,
• Çalışanlara kullanıcı hesabı açılması, şirket içi kimlik, parmak izi okuyucu, biyometrik veri oluşturulması yöntemi ile fabrika giriş-çıkışı ve yemek hizmeti temin edilmesi ve yemek kartı verilmesi,
• Şirket havuz araçlarının takibi,
• Şirket adına bir organizasyona katılım olması durumunda, katılımcı kaydının oluşturulması,
• Çalışanların eğitimlere katılım ve sertifika kayıtlarının oluşturulması,
• Ziyaretçi kayıtlarının oluşturulması ve takibi,
• Şirketin içi ve çevre güvenliği ile iş güvenliği uygulamalarının güvenliğinin sağlanması,
• Kişisel veri envanterinin oluşturulması,
• Kişisel verilere ilişkin olanlar dahil, yazılı, sözlü veya elektronik olarak iletilen tüm soru, talep, öneri, şikayet ve başvuruların değerlendirilmesi, bunlara cevap verilmesi.

İlkeler

Hukuka ve dürüstlük kurallarına uygun olma: Kişisel Veriler, Veri Sahibi’nin haberi olmaksızın toplamaz veya işlemez; Kişisel Veriler hukuka, Kanun’a ve ilgili mevzuata uygun olarak işlenir.

Doğru ve gerektiğinde güncel olma: Şirket, Kişisel Verilerin doğru ve güncel olmasını temin etmek için gereken çabayı göstermektedir. Bu kapsamda verilerin doğruluğunun ve güncelliğinin sağlanması amacıyla bu durumu temin edecek kanalları açık tutar, Veri Sahibi’nin başvurusu üzerine veya tespit halinde resen verilerin düzeltilmesini temin eder.

Belirli, açık ve meşru amaçlar için işlenme: Kişisel Verileri işleme amaçlarımız aydınlatma yükümlülüğünün bir gereği olarak açıkça belirlenmiştir. Şirket Kişisel Verileri, Kanun’a uygun olarak, yaptığı işler ve/veya sunduğu hizmetlerle bunlarla bağlantılı olarak, meşru amaçlar için işlemektedir.

İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Şirket, Kişisel Verileri belirli, açık ve meşru amaçlar ile işler ve bu kapsamda verilerin bu Politika’da veya Veri Sahibi’nden alınacak izinde (Açık Rıza) belirtilen amaçlar için toplanmasını, amaç için gerekli olan süre boyunca tutulmasını temin eder ve amacın gerçekleştirilmesiyle ilgili olmayan ve/veya ihtiyaç duyulmayan Kişisel Verilerin işlenmesinden kaçınır.

İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Kişisel Verilerin saklanması için mevzuatta öngörülen belirli bir süre var ise bu süreye uyulur. Böyle bir süre belirlenmemiş ise, Kişisel Veriler, ancak işlendikleri amaç için gerekli olan süre boyunca muhafaza edilir.

Saklama Ve İmhayı Gerektiren Sebeplere İlişkin Açıklamalar

Veri sahiplerine ait kişisel veriler, Şirket tarafından özellikle (i) ticari faaliyetlerin sürdürülebilmesi, (ii) hukuki yükümlülüklerin yerine getirilebilmesi, (iii) çalışan haklarının ve yan haklarının planlanması ve ifası ile (iv) müşteri ilişkilerinin yönetilebilmesi amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

Saklamayı gerektiren sebepler aşağıdaki gibidir:

a. Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,

b. Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,

c. Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatlerimiz için saklanmasının zorunlu olması,

d. Kişisel verilerin herhangi bir hukuki yükümlülüğü yerine getirmesi amacıyla saklanması,

e. Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,

f. Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.

Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, Şirket tarafından re’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:

a. Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

b. Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

c. Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması.

d. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,

e. İlgili kişinin, Kanun’un 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,

f. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,

g. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

Saklama Ve İmha Süreleri

KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha sürelerinin tespitinde aşağıda sırasıyla belirtilen ölçütlerden yararlanılmaktadır:

1. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi akabinde veri hakkında 2. bent kapsamında işlem yapılır.

2. Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda sırasıyla;

a. Kişisel veriler, KVKK’nın 6. maddesinde yer alan tanımlama baz alınarak, kişisel veriler ve özel nitelikli kişisel veriler olarak sınıflandırmaya tabi tutulur. Özel nitelikte olduğu tespit edilen tüm kişisel veriler imha edilir.

b. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu örneğin; verinin saklanmasında davada delil olması gibi meşru bir amacın olup olmadığı sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir.

c. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir.

Saklama süresi dolan kişisel veriler, 6 aylık periyodlarla işbu Politika’da yer verilen usullere uygun olarak imha edilir.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

Kişisel Verilerin Saklanması Ve İmhası Usulleri

I. Kayıt Ortamları

Veri sahiplerine ait kişisel veriler, Şirket tarafından aşağıdaki tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır:

Elektronik ortamlar:	Fiziksel ortamlar:
EXCHANGE SERVER (cloud), FILE SERVER, CRM SERVER Sunucular Yazılımlar Yazıcı, tarayıcı, fotokopi makinesi Kişisel bilgisayarlar Mobil cihazlar Çıkartılabilir bellekler	Birim Dolapları ARŞİV

II. Teknik ve İdari Tedbirler

Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla KVKK’nın 12. Maddesindeki ilkeler çerçevesinde, Şirket tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır:

a. İdari Tedbirler:

İdari tedbirler kapsamında;

a. Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır. Erişimin sınırlandırılmasında verinin özel nitelikli olup olmadığı ve önem derecesi de dikkate alınır.

b. İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.

c. Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar veya mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar.

d. Kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel istihdam eder ve personeline kişisel verilerin korunması mevzuatı ve veri güvenliği kapsamında gerekli eğitimleri verir.

e. Kendi içinde Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapar ve yaptırır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik açıklarını giderir.

f. Kendi tüzel kişiliği dışında saklama hizmeti alınması durumunda, saklama ve imha hizmeti sunanların da gerek işbu Politikada belirtilen düzenlemelere gerekse genel olarak tüm mevzuat hükümlerine tabi olarak hizmet sunacağını sözleşmesel hükümler koymak yoluyla sağlar.

b. Teknik Tedbirler:

Teknik tedbirler kapsamında;

a. Kurulan sistemler kapsamında gerekli iç kontrolleri yapar.

b. Kurulan sistemler kapsamında bilgi teknolojileri risk değerlendirmesi ve iş etki analizinin gerçekleştirilmesi süreçlerini yürütür.

c. Verilerin kurum dışına sızmasını engelleyecek veya gözlemleyecek teknik altyapının temin edilmesini ve ilgili matrislerin oluşturulmasını sağlar.

d. Düzenli olarak ve ihtiyaç oluştuğunda sızma testi hizmeti alarak sistem zafiyetlerinin kontrolünü sağlar.

e. Bilgi teknolojileri birimlerinde çalışanların kişisel verilere erişim yetkilerinin kontrol altında tutulmasını sağlar.

f. Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim izi bırakmayacak şekilde sağlanır.

g. Kanun’un 12. maddesi uyarınca, kişisel verilerin saklandığı her türlü dijital ortam, bilgi güvenliği gereksinimlerini sağlayacak şekilde şifreli veyahut kriptografik yöntemler ile korunur.

III. Personel

Kişisel veri saklama ve imha sürecinde yer alan personelin unvanlarına, birimlerine ve görev tanımlarına Başvuru Formu aracılığı ile talep ederek ulaşabilirsiniz.

IV. Kişisel Verilerin İmha Usulleri

KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde re’sen veya İlgili Kişinin başvurusu üzerine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir.

Yazılımdan Güvenli Olarak Silme: Sistem yöneticisi ya da kişisel verilerin silinmesi için bir uzman ile anlaşılması durumunda söz konusu uzman tarafından tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken İlgili Kullanıcılar için tanımlanan erişim hakkı da ortadan kaldırılır.

Ancak, kişisel verilerin silinmesi işlemi, diğer verilere de sistem içerisinde erişilememe ve bu verileri kullanamama sonucunu doğuracak ise, aşağıdaki koşulların sağlanması kaydıyla, kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek duruma getirilerek arşivlenmesi halinde de kişisel veriler silinmiş sayılacaktır.

• Başka herhangi bir kurum, kuruluş ya da gerçek kişinin erişimine kapalı olması,

• Kişisel verilere yalnızca yetkili kişiler tarafından erişilmesini sağlayacak şekilde gerekli her türlü teknik ve idari tedbirlerin alınması.

Kağıt Ortamında Bulunan Kişisel Verilerin Karartılması: Kişisel verileri amaca yönelik olmayan kullanımını önlemek veya silinmesi talep edilen verileri silmek için ilgili kişisel verilerin fiziksel olarak kesilerek belgeden çıkartılması veya geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemeyecek hale getirilmesi ya da üzeri çizilerek, boyanarak, silinerek karartma yöntemidir.

Kişisel Verilerin Yok Edilmesi:

De-manyetize Etme: Manyetik medyanın yüksek manyetik alanlara maruz kalacağı özel cihazlardan geçirilerek üzerindeki verilerin okunamaz bir biçimde bozulması yöntemidir. Dikkat edilmelidir ki bu yöntemle yok etme başarılı olmaz ise ancak medyanın fiziksel olarak yok edilmesi ile yok etme işlemi tamamlanmış olabilecektir.

Fiziksel Yok Etme: Veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmiş kişisel veriler yok edilirken verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır.

Üzerine Yazma: Üzerine yazma yöntemi, özel yazılımlar aracılığı ile manyetik medya ve yeniden yazılabilir optik medya üzerinden rastgele veriler yazılarak eski verinin okunabilmesi ve kurtarılabilmesini imkânsızlaştıran veri yok etme yöntemidir.

b. Kişisel Verilerin Anonim Hale Getirilmesi Teknikleri:

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

Değer Düzensizliği Sağlamayan Anonim Hale Getirme Yöntemleri: Saklanmakta olan kişisel verilerde bir değişiklik veya ekleme/çıkarma yapılmaksızın; herhangi bir kişisel veri grubunun genelleme, birbiri ile yer değiştirme veya gruptan belirli bir veri veya alt veri grubunun çıkarılması ile uygulanan anonimleştirme yöntemleridir.

Değer Düzensizliği Sağlayan Anonim Hale Getirme Yöntemleri

Değer düzensizliği sağlayan anonim hale getirme yöntemlerinde değer düzensizliği sağlamayanların aksine kişisel veri gruplarında bazı verilerin değiştirilmesi ile bozulma yaratmaktadır. Bu yöntemler kullanılırken elde edilmesi beklenen/istenen fayda doğrultusunda sapmaların dikkatli uygulanması gerekecektir. Toplam istatistikler bozulmadan veriden beklenen fayda sağlanmaya devam edilebilir.

Değişken Çıkartma: Betimleyici nitelikteki verilerin çıkartılması yöntemi ile toplanılan verilerin bir araya getirilmesinden sonra oluşturulan veri setindeki değişkenlerden “yüksek dereceli betimleyici” olanlar çıkarılarak mevcut veri seti anonim hale getirilmektedir.

Kayıtları Çıkartma: Veriler arasında tekillik ihtiva eden veri satırı kayıtlar arasından çıkarılarak saklanan veriler anonim hale getirilmektedir. Örneğin, bir şirkette tek kıdemli müdür var ise bu kişiye ait verilerin birbirleri ile aynı kademede bulunan çalışanların kıdem, maaş ve cinsiyet verilerinin tutulduğu kayıtlardan çıkarılması ile kalan veriler anonim hale getirilebilecektir.

Bölgesel Gizleme: Tek bir verinin çok az görülebilir bir kombinasyon yaratması sebebi ile belirleyici niteliği mevcut ise ilgili verinin gizlenmesi (örneğin “bilinmiyor” yazılması) anonimleştirmeyi sağlamaktadır.

Alt ve Üst Sınır Kodlama: Önceden tanımlanmış kategorilerin yer aldığı bir veri grubundaki değerlerin belirli bir ölçüt belirlenerek birleştirilmesiyle anonim hale getirilmektedir.

Genelleştirme: Veri toplulaştırma yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmektedir.

Global Kodlama: Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulur ve kişisel veri herhangi bir kişiyle ilişkilendirilemeyecek hale getirilir.

Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde mevcut verilere belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek veriler anonim hale getirilmektedir. Örneğin, kilo değerlerinin olduğu bir veri grubunda (+/−) 3 kg sapması kullanılarak gerçek değerlerin görüntülenmesi engellenmiş ve veriler anonimleştirilmiş olur. Sapma her değere eşit ölçüde uygulanır.

Mikro Birleştirme: Mikro birleştirme yönteminde tüm veriler ilk olarak anlamlı bir sıraya dizilerek (büyükten küçüğe gibi) gruplara ayrılıp, grupların ortalaması alınarak elde edilen değer mevcut gruptaki ilgili verilerin yerine yazılarak anonimleştirme sağlanmış olacaktır. Örneğin, maaş bilgisi için; 10.000 TL altı ve üstü iki grup yapılır ise, 10.000 ve daha az maaş alan kişilerin maaşlarının toplamı kişi sayısına bölünür ve 10.000TL altında maaş alan herkesin maaş kümesine elde edilen bu değer yazılır.

Veri Değiş Tokuşu: Veri değiş tokuşu yönteminde saklanan veriler içerisinden seçilen çiftler arasında bir değişkenin değerleri birbiri ile değiştirilir. Genel olarak kategorize edilebilen veriler için kullanılan bu yöntemde amaç veri sahiplerine ait verilerin birbirleri ile değiştirilerek veri tabanının dönüştürülmesidir.

KVKK’nın 28. maddesi uyarınca, kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi durumunda bu durum Kanun kapsamı dışında kalacak ve açık rıza temini gerekmeyecektir.

Kişisel Verilerin Aktarılması

Kişisel Verilerin Yurt İçinde Aktarılması

Kanun’un 8. maddesi uyarınca Kişisel Veriler kural olarak, Veri Sahibinin açık rızası olmaksızın üçüncü kişilere aktarılamaz. Ancak Kanun’un aynı maddesinde yukarıda sayılan Veri Sahibinin açık rızası aranmayacak hallerden birinin mevcut olması halinde Kişisel Verilerin, Veri Sahibinin açık rızası olmaksızın yurt içinde üçüncü kişilere aktarımı mümkündür.

Kişisel Verilerin Yurt Dışına Aktarılması

Kanun’un 9. maddesi uyarınca Kişisel Veriler kural olarak, Veri Sahibinin açık rızası olmaksızın yurt dışına aktarılamaz. Ancak aşağıda belirtilen hallerden birinin mevcut olması halinde Kişisel Verilerin, Veri Sahibinin açık rızası aranmaksızın yurt dışında üçüncü kişilere aktarımı mümkündür:

• Bu Politika’da Veri Sahibinin rızasının aranmayacağının belirtildiği hallerde

• Kişisel Verilerin aktarılacağı yabancı ülkede yeterli korumanın bulunması,

• Yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması.

Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir. Kişisel Veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya Veri Sahibinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Kişisel Verilerin Aktarılabileceği Üçüncü Kişiler

Kişisel Veriler, bu Politika’da yer alan amaçları gerçekleştirmek için, Kanun’un 8. ve 9. maddelerine uygun olarak, yurt içinde veya yurtdışındaki, gerçek veya tüzel kişi olabilecek, aşağıda belirtilen üçüncü kişilere aktarabilmektedir:

• Danışmanlar
• Denetim Firmaları
• Hizmet Alınan Firmalar
• İşbirliği Yapılan Firmalar
• Müşteriler
• Pay Sahipleri ve iştirakler ve bağlı ortaklıklar
• Tedarikçiler
• Bankalar ve Finans Kuruluşları
• Yargısal Merciler ve Kamu Otoriterleri

Diğer Hususlar

KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat hükümleri uygulanacaktır.

Yukarıdaki konulara ilişkin Şirket’e Başvuru Formu ile gönderilen talepler, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak cevaplandırılacaktır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurul tarafından belirlenen tarifedeki ücret alınabilir. Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir.