SAVER İÇ VE DIŞ TİC. LTD. ŞTİ.

KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ

BİLGİ FORMU

 

 

Yürürlük Tarihi:

10.02.2020

Sürüm:

1.0

HAZIRLAYAN

HUKUK MÜŞAVİRLİĞİ

ONAYLAYAN

SAVER İÇ VE DIŞ TİC. LTD. ŞTİ.

KVK KURULU

 

 

BÖLÜM 1

 

1.1. POLİTİKA’NIN HAZIRLANMA AMACI

 

İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “Kanun”) ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca yükümlülüklerimizi yerine getirmek ve veri sahiplerinin kişisel verilerinin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi esasları ile silme, yok etme ve anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla veri sorumlusu sıfatıyla Saver İç ve Dış Tic. Ltd. Şti. (“Saver ” ya da “Şirket”) tarafından hazırlanmıştır.

 

1.2. TANIMLAR

 

 

Kısaltma Tanım
Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini,
Açık Rıza Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
 

İlgili Kullanıcı

Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.
İmha Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
Kanun/KVKK 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
 

Kayıt Ortamı

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
Kişisel Veri Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
 

 

Kişisel Verilerin

İşlenmesi

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Kişisel Verilerin Anonim Hale

Getirilmesi

 

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi

 

Kişisel Verilerin Silinmesi Kişisel verilerin silinmesi; kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
Kişisel Verilerin Yok Edilmesi Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
Kurul Kişisel Verileri Koruma Kurulu.
 

Özel Nitelikli Kişisel Veri

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
 

Periyodik İmha

Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,

 

Veri Sahibi/İlgili Kişi Kişisel verisi işlenen gerçek kişi.
Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
Kişisel veri saklama ve imha politikası: Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politikayı,
Sicil: Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan veri sorumluları sicilini,
 

Veri Sorumlusu

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
 

Yönetmelik

28 Ekim 2017 tarihinde Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

 

 

1.3. İLKELERİMİZ

 

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde Kanun’un 4. maddesinde sayılan ilkeler ile 12. maddesi kapsamında alınması gereken ve bu Politikanın 6.2. maddesinde belirtilen teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına ve bu Politikaya tamamen uygun hareket edilmektedir.

 

Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler SAVER tarafından kayıt altına alınmakta olup diğer hukuki yükümlülükler hariç olmak üzere; söz konusu kayıtlar, en az 3 yıl süreyle saklanmaktadır.

 

Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler şirketimiz tarafından re’sen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta İlgili Kişi tarafından şirketimize başvurulması halinde;

 

  • İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir,

 

  • Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin

 

1.4. POLİTİKANIN YÜRÜRLÜĞE SOKULMASI, İHLAL DURUMLARI VE YAPTIRIMLAR:

 

İşbu Politika tüm çalışanlara duyurularak yürürlüğe girecek ve yürürlüğü itibariyle tüm iş birimleri, danışmanlar, dış hizmet sağlayıcıları ve kişisel veri işleyen herkes için bağlayıcı olacaktır.

 

Çalışanların politikanın gereklerini yerine getirip getirmediğinin takibi ilgili çalışanların amirlerinin sorumluluğunda olacaktır. Politikaya aykırı davranış tespit edildiğinde konu derhal ilgili çalışanın amiri tarafından bağlı bulunan bir üst amire bildirilecektir.

 

Aykırılığın önemli boyutta olması halinde ise üst amir tarafından vakit kaybetmeksizin Kişisel Verileri Koruma Komitesi’ne bilgi verilecektir.

 

Politikaya aykırı davranan çalışan hakkında, İnsan Kaynakları tarafından yapılacak değerlendirme sonrasında gerekli idari işlem yapılacaktır.

 

Politikaya aykırı davranan çalışan hakkında, İnsan Kaynakları tarafından yapılacak değerlendirme sonrasında gerekli idari işlem yapılacaktır.

 

1.5. KİŞİSEL VERİYİ SAKLAMAYI GEREKTİREN DÜZENLEMELER:

6698 sayılı Kişisel Verilerin Korunması Kanunu, 6098 sayılı Türk Borçlar Kanunu, 6502 Sayılı Türk Ticaret Kanunu,  4857 Sayılı İş Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,  5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,  6331 sayılı İş Sağlığı ve Güvenliği Kanunu, 4982 Sayılı Bilgi Edinme Kanunu,  3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun, İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik, Arşiv Hizmetleri Hakkında Yönetmelik, Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemelerde öngörülen saklama süreleri kadar saklanmaktadır.

 

 

 

 

 

 

 

BÖLÜM 2

 

2.1. SAKLAMA VE İMHAYI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR

 

Veri sahiplerine ait kişisel veriler, SAVER tarafından özellikle ticari faaliyetlerin sürdürülebilmesi, hukuki yükümlülüklerin yerine getirilebilmesi, çalışan haklarının ve yan haklarının planlanması ve ifası ile müşteri ilişkilerinin yönetilebilmesi amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

 

a-) Saklamayı gerektiren sebepler aşağıdaki gibidir;

 

  • Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,

 

  • Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,

 

  • Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatleri için saklanmasının zorunlu olması,

 

  • Kişisel verilerin herhangi bir hukuki yükümlülüğün yerine getirilmesi amacıyla saklanması,

 

  • Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,

 

  • Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.

 

b-) Saklamayı Gerektiren İşleme Amaçları;

 

  • Sözleşmelerin kurulması ve ifası,
  • Bir hakkın tesisi, kullanılması veya korunması,
  • Temel hak ve özgürlüklerine zarar vermemek kaydıyla ŞİRKET’in meşru menfaatleri,
  • Yasal düzenlemeler kapsamında ŞİRKET’in hukuki yükümlülüğünü yerine getirmesi,
  • Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
  • Veri sahiplerinin açık rızası,
  • İnsan kaynakları süreçlerini yürütülmesi,
  • ŞİRKET güvenliğini sağlanması,
  • VERBİS kapsamında, çalışanlar, veri sorumluları, irtibat kişileri, veri sorumlusu temsilcileri ve veri işleyenlerin tercih ve ihtiyaçlarının tespit edilmesi, verilen hizmetlerin buna göre düzenlenmesi ve gerekmesi halinde güncellenmesi,
  • ŞİRKET ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlanması,
  • İleride doğabilecek hukuki uyuşmazlıklar,

 

 

c-) Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, şirketimiz tarafından re ’sen veya talep üzerine silinir, yok edilir veya anonim hale getirilir;

 

  • Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

 

  • Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

 

  • Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması.

 

  • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,

 

  • İlgili kişinin, Kanun’un 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,

 

  • Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,

 

  • Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

 

2.2. SAKLAMA VE İMHA SÜRELERİ

 

KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha sürelerinin tespitinde şirketimiz aşağıda belirtilen ölçütlerden yararlanmaktadır:

 

a-) Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi akabinde veri hakkında (b) bent kapsamında işlem yapılır.

 

b-) Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda sırasıyla;

 

  • Kişisel veriler, KVKK’nın 6. maddesinde yer alan tanımlama baz alınarak, kişisel veriler ve özel nitelikli kişisel veriler olarak sınıflandırmaya tabi tutulur. Özel nitelikte olduğu tespit edilen tüm kişisel veriler imha edilir.

 

  • Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu, KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale

 

  • Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale

 

Bu Politika’nın ekinde (Ek-1) yer alan ‘‘Kişisel Veri İşleme Envanteri’’nden, şirketimiz tarafından tespit edilen saklama, imha ve periyodik imha sürelerine ulaşabilirsiniz. Saklama süresi dolan kişisel veriler, (Ek-1) yer alan imha süreleri doğrultusunda,  6 aylık periyodlarla her yıl Haziran ve Aralık aylarında bu Politika’da yer alan usullere göre imha işlemi gerçekleştirilir.

 

BÖLÜM 3

 

3.1.KİŞİSEL VERİLERİN SAVER TARAFINDAN SAKLANMASI VE İMHASI USULLERİ

 

3.1.1. KAYIT ORTAMLARI

 

Veri sahiplerine ait kişisel veriler, aşağıdaki tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde şirketimiz tarafından güvenli bir şekilde saklanmaktadır;

 

a-) Elektronik ortamlar:

 

  • Sunucular
  • Yazılımlar
  • Bilgi güvenliği cihazları
  • Kişisel bilgisayarlar
  • Mobil Cihazlar
  • Optik diskler
  • Çıkartılabilir bellekler
  • Yazıcı, tarayıcı, fotokopi makinesi

 

 

b-) Fiziksel ortamlar:

 

  • Birim Dolapları
  • ARŞİV
  • Yazılı ve basılı evrak
  • Manuel veri kayıt sistemi

 

3.1.2. TEKNİK VE İDARİ TEDBİRLER

 

Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla KVKK’nın 12. maddesindeki ilkeler çerçevesinde, şirketimiz tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır:

 

a-) İdari Tedbirler:

 

  • Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması, iletişim teknikleri, teknik bilgi beceri, 657 sayılı Kanun ve ilgili diğer mevzuat hakkında eğitimler verilmesini sağlar.
  • ŞİRKET tarafından yürütülen faaliyetlere ilişkin çalışanlara gizlilik sözleşmeleri imzalatılır.
  • Çalışanlara yönelik bilgi güvenliği eğitimleri verilerek güvenlik politika ve prosedürlerine uyması sağlanır.
  • Kişisel veri işlemeye başlamadan önce ŞİRKET tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilir.
  • Kişisel veri işleme envanteri hazırlanmıştır.
  • Saklanan kişisel verilere ŞİRKET içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır.
  • Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar.
  • Kendi tüzel kişiliği nezdinde Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapar ve yaptırır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik zafiyetlerini giderir.
  • Kişisel verilerin bulunduğu ortama göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınmasını sağlar ve bu ortamlara yetkisiz giriş çıkışları engeller.

 

b-) Teknik Tedbirler:

 

  • Kurulan sistemler kapsamında gerekli iç kontrolleri

 

  • Verilerin kurum dışına sızmasını engelleyecek veya gözlemleyecek teknik altyapının temin edilmesini ve ilgili matrislerin oluşturulmasını sağlar.

 

  • Düzenli olarak ve ihtiyaç oluştuğunda sızma testi hizmeti alarak sistem zafiyetlerinin kontrolünü sağlar.

 

  • Bilgi teknolojileri birimlerinde çalışanların kişisel verilere erişim yetkilerinin kontrol altında tutulmasını sağlar.

 

  • Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim izi bırakmayacak şekilde sağlanır.

 

  • Kanun’un 12. maddesi uyarınca, kişisel verilerin saklandığı her türlü dijital ortam, bilgi güvenliği gereksinimlerini sağlayacak şekilde şifreli yöntemler ile korunur.

 

  • Verilerin bulunduğu ortamlara ait güvenlik güncellemelerini sürekli takip ederek gerekli güvenlik testlerinin düzenli olarak yaptırılmasını sağlar.

 

  • Özel nitelikli kişisel verilere bir yazılım aracılığı ile erişilen durumlarda bu yazılıma ait kullanıcı yetkilendirmelerini yaparak bu yazılımların güvenlik testlerinin düzenli olarak yaptırılmasını sağlar.

 

  • Özel nitelikli kişisel verilere uzaktan erişim gereken hallerde en az iki kademeli kimlik doğrulama sistemi sağlar.

 

  • Özel nitelikli kişisel verilerin aktarıldığı durumlarda;

 

  • Verilerin e-posta ile aktarılması gerekiyor ise bunların şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmasını,

 

  • Verilerin taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemler ile şifrelenmesini,

 

  • Farklı fiziksel ortamdaki sunucular arasında aktarma gerçekleşiyor ise sunucular arasında VPN kurularak veya sFTP yöntemiyle aktarmanın sağlanmasını,

 

  • Verilerin kağıt ortamında aktarımı gerekiyorsa evrakın “gizlilik dereceli belgeler” formatında gönderilmesini sağlar

 

3.1.3. KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASINA İLİŞKİN  SORUMLULUK VE GÖREV DAĞILIMLARI:

 

ŞİRKET’in tüm birimleri ve çalışanları, iş bu Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, çalışanlarının eğitimi ve bilgilendirilmesi, kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

 

Kişisel Verileri Koruma Komitesi kişisel verilerin korunmasına ilişkin mevzuat değişiklikleri, ŞİRKET’in düzenleyici işlemleri ile kararları, mahkeme kararları veya süreç, uygulama ve sistemlerdeki değişiklikler gibi durumları ilgili iş birimlerinin takip etmesi ve gerekiyorsa iş süreçlerini güncellemeleri için gerekli duyuruları ve bildirimleri yapar ve Kanun ve ikincil düzenlemeleri ile Kurulun kararları ve düzenlemeleri, mahkeme kararları ve sair yetkili makamların kararlarının ve/veya taleplerinin incelenmesi, değerlendirilmesi, takibi ve sonuçlandırılmasına yönelik süreçleri belirler ve ilgili birimlere duyurur. Kişisel veri saklama ve imha sürecinde yer alan personelin unvanlarına, birimlerine ve görev tanımlarına bu Politika’nın EK-2’de yer alan listeden ulaşabilirsiniz.

 

BÖLÜM 4

 

  1. KİŞİSEL VERİLERİN İMHA USULLERİ

 

KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler; Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde, şirketimiz tarafından re’sen yahut İlgili Kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir.

 

4.1. Kişisel Verilerin Silinmesi ve Yok Edilmesi Teknikleri:

 

4.1.1. Kişisel Verilerin Silinmesi:

 

a-) Yazılımdan Güvenli Olarak Silme:

 

  • Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken; İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır.

 

  • Bulut sisteminde ilgili verilerin silme komutu verilerek silinmesi; merkezi sunucuda bulunan dosya veya dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması; veri tabanlarında ilgili satırların veri tabanı komutları ile silinmesi veya taşınabilir medyada yani flash ortamında bulunan verilerin uygun yazılımlar kullanılarak silinmesi bu kapsamda sayılabilecektir.

 

  • Ancak, kişisel verilerin silinmesi işlemi, diğer verilere de sistem içerisinde erişilememe ve bu verileri kullanamama sonucunu doğuracak ise, aşağıdaki koşulların sağlanması kaydıyla, kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek duruma getirilerek arşivlenmesi halinde de kişisel veriler silinmiş sayılacaktır.

 

  • Başka herhangi bir kurum, kuruluş veyahut kişinin erişimine kapalı olması,
  • Kişisel verilere yalnızca yetkili kişiler tarafından erişilmesini sağlayacak şekilde gerekli her türlü teknik ve idari tedbirlerin alınması.

 

b-) Uzman Tarafından Güvenli Olarak Silme:

 

Bazı durumlarda kendisi adına kişisel verileri silmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde güvenli olarak silinir.

 

 

c-) Kağıt Ortamında Bulunan Kişisel Verilerin Karartılması:

 

Kişisel verilerin amaca yönelik olmayan kullanımını önlemek veya silinmesi talep edilen verileri silmek için ilgili kişisel verilerin fiziksel olarak kesilerek belgeden çıkartılması veya geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemeyecek hale getirilmesi ve kapatılması yöntemidir.

 

d-) Taşınabilir Medyada Bulunan Kişisel Veriler;

 

Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

 

4.1.2. Kişisel Verilerin Yok Edilmesi:

 

a-) Fiziksel Yok Etme:

 

Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır. Kağıt ve mikrofiş ortamındaki verilerin yok edilmesi de, başka bir şekilde yok edilmeleri mümkün olmadığından bu şekilde gerçekleştirilmelidir.

 

b-) Üzerine Yazma:

 

Üzerine yazma yöntemi, özel yazılımlar aracılığı ile manyetik medya ve yeniden yazılabilir optik medya üzerinden en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazılarak eski verinin okunabilmesi ve kurtarılabilmesini imkânsızlaştıran veri yok etme yöntemidir.

 

Şirketimiz, yukarıda sayılan durumlar gerçekleşmesi sırasında; KVKK, Yönetmelik ve ilgili diğer mevzuat hükümlerine veri güvenliğinin sağlanması amacıyla tam uyum sağlamakta ve gerekli tüm idari ve teknik tedbirleri almaktadır.

 

  • Kişisel Verilerin Anonim Hale Getirilmesi

 

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

 

BÖLÜM 5

 

UYUŞMAZLIK

 

  • KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat hükümleri uygulanacaktır.

 

EK-1

 

SAKLAMA VE İMHA SÜRELERİ TABLOSU

 

 

SÜREÇ SAKLAMA

SÜRESİ

İMHA SÜRESİ
Kurumsal İletişim

Faaliyetlerinin Planlanması ve İcrası

İş ilişkisinin sona

ermesine müteakip 10 yıl

Veri sahibinin imha başvurusunu takiben 30 gün içerisinde
İnsan kaynakları süreçlerinin yürütülmesi İş ilişkisinin sona ermesine müteakip 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Genel Kurul İşlemleri 10 yıl Saklama süresinin bitimini takiben 180 gün içerisinde
Personel ile ilgili mahkeme/icra bilgi taleplerinin cevaplanması İş ilişkisinin sona ermesine müteakip 10

yıl

Saklama süresinin bitimini takiben 180 gün içerisinde
Sözleşmelerin hazırlanması 10 yıl Saklama süresinin bitimini takiben 180 gün içerisinde
İşe alım İş ilişkisinin sona ermesine müteakip 10

yıl

Saklama süresinin bitimini takiben 180 gün içerisinde
Bordrolama İş ilişkisinin sona ermesine müteakip 10

yıl

Saklama süresinin bitimini takiben 180 gün içerisinde
Personel özel sağlık ve ferdi kaza sigorta poliçelerinin hazırlanması organizasyonu 1 yıl Saklama süresinin bitimini takiben 180 gün içerisinde
Çalışanlara araç tahsis edilmesi 1 yıl Saklama süresinin bitimini takiben 180 gün içerisinde
İş sağlığı ve güvenliği uygulamaları İş ilişkisinin sona ermesine müteakip 10

yıl

Saklama süresinin bitimini takiben 180 gün içerisinde
Müşteri/Tedarikçi/ Sözleşme İmzalanan Üçüncü kişiler Veriler Hukuki ilişkinin sona ermesine müteakip 5 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde

 

Log/Kayıt/Takip Sistemleri 1 yıl Saklama süresinin bitimini takiben 180 gün içerisinde
Kamera kayıtları Kayıt Tarihinden itibaren 2 yıl

 

 
Şirket ortakları ve yönetim kurulu

üyelerine ait bilgiler

10 yıl Saklama süresinin bitimini takiben 180 gün içerisinde
Ödeme işlemleri İş ilişkisinin sona Saklama süresinin bitimini takiben 180 gün içerisinde

 

 

 

 

 

 

EK-2

 

PERSONEL UNVAN, BİRİM VE GÖREV LİSTESİ

 

 

 

PERSONEL GÖREV SORUMLULUK
Kurumsal İletişim Departmanı- Kişisel veri saklama ve imha politikası uygulama sorumlusu Görevi dahilinde olan süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
Avukat Hukuk Departmanı- Kişisel veri saklama ve imha politikası uygulama sorumlusu Görevi dahilinde olan süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
İnsan Kaynakları Müdürü İnsan Kaynakları Departmanı- Kişisel veri saklama ve imha politikası uygulama sorumlusu Görevi dahilinde olan süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
Bilgi İşlem Müdürü Bilgi Teknolojileri Departmanı- Kişisel veri saklama ve imha politikası uygulama sorumlusu Görevi dahilinde olan süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
Muhasebe Müdürü Mali İşler Departmanı- Kişisel veri saklama ve imha politikası uygulama sorumlusu Görevi dahilinde olan süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi
İdari İşler Müdürü Veri Sorumlusu Görevi dahilinde olan süreçlerin saklama süresine uygunluğunun sağlanması ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi