Kişisel Verileri Koruma Kanunu
ROTA KİMYA SANAYİ VE TİCARET ANONİM ŞİRKETİ KİŞİSEL VERİLERİN İŞLENMESİ, KORUNMASI VE İMHASI POLİTİKASI
VERİ GİZLİLİĞİ TAAHHÜDÜİş bu Veri Gizliliği ve Güvenliği Politikası (Politika), ROTA KİMYA Sanayi ve Ticaret Anonim Şirketi (Veri Sorumlusu) tarafından, 6698 Sayılı Kişisel Verilerin Korunması Kanunu (K.V.K.K.) ve ilgili diğer mevzuat uyarınca, veri koruma yükümlülükleri yerine getirilirken ve kişisel veriler işlenirken veri sorumlusu Veri Sorumlusu tarafından uyulması gereken esasları belirlemektedir. Veri Sorumlusu kendi bünyesinde bulunan kişisel veriler için yeterli ve makul güvenlik düzeyini uygulamayı, kişisel verilerin gizliliğine saygı duymayı ve iş bu Politika’ ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını taahhüt eder.
POLİTİKANIN AMACI
İş bu Politika’ nın temel amacı, Veri Sorumlusu tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik esasları ortaya koymak, bu kapsamda kişisel verileri şirketimiz tarafından işlenen kişileri aydınlatarak ve bilgilendirilerek şeffaflığı sağlamaktır.
POLİTİKANIN KAPSAMI
İş bu Politika, Veri Sorumlusu’ ın tüm departmanlarını ve çalışanlarını kapsamaktadır. İş bu Politika, Veri Sorumlusu’ ın kişisel verileri işlemekte olduğu tüm faaliyetleri kapsayacak olup, her türlü olay ve eylemde uygulanacaktır. İş bu Politika, anonim hale getirilmiş ya da kişisel veri olmayan veriler hakkında uygulanmayacaktır. Yeni mevzuatlar ile belirlenmesi durumunda, Veri Sorumlusu kişisel veriler üzerinde yeni mevzuatlara uyumlu olacak şekilde daha yüksek bir güvenlik seviyesi sağlayacak ve mevzuat gerekliliklerine uyacaktır. İş bu Politika’ nın Veri Sorumlusu tarafından uygulanmasında hukuki bir engel olduğuna kanaat getirildiği durumlarda, Veri Sorumlusu uygulayacağı adımları, gerek görülmesi durumunda Kurul’a da danışarak, yeniden belirleyecektir.
TANIMLAR
İş bu Politika’ da kullanılan tanımlar aşağıda yer almaktadır:
| Açık rıza | Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza |
| Anonim hale getirme | Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi |
| Kişisel veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi |
| Kişisel verilerin işlenmesi | Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem |
| K.V.K.K. | 6698 Sayılı Kişisel Verilerin Korunması Kanunu |
| K.V.K. Kurulu | Kişisel Verileri Koruma Kurulu |
| K.V.K. Kurumu | Kişisel Verileri Koruma Kurumu |
| Özel nitelikli kişisel veri | Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri |
| Veri işleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi |
| Kişisel veri sahibi | K.V.K.K.’ da ilgili kişi olarak addedilen, kişisel verisi işlenen gerçek kişi |
| Veri sorumlusu | Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi |
| Alıcı Grubu | Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisidir. |
| İmha | Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemidir. |
| Kişisel veri işleme envanteri | Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanterdir. |
KİŞİSEL VERİ ENVANTERİ VE KİŞİSEL VERİLERİN SINIFLANDIRILMASI
Veri Sorumlusu nezdinde, Veri Sorumlusu’ ın meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, K.V.K.K.’ nın 5. Maddesi’ nde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve bunlarla sınırlı olarak, başta kişisel verilerin işlenmesine ilişkin 4. Madde’ de belirtilen ilkeler olmak üzere, K.V.K.K.’ da belirtilen genel ilkelere ve düzenlenen tüm yükümlülüklere uyularak ve iş bu Politika kapsamındaki kişisel veri sahipleri (müşteriler, potansiyel müşteriler, çalışanlar, çalışan adayları, ziyaretçiler, işbirliği içinde olduğumuz tedarikçi çalışanları ve yetkilileri, hizmet aldığımız gerçek kişiler ve tüzel kişi yetkilileri ve çalışanları) ile sınırlı olarak:
- Veri Sorumlusu tarafından yürütülen ticari faaliyet gereklerinin yerine getirilmesi ve hizmetin ifası ile Veri Sorumlusu tarafından taahhüt edilen hizmetlerden ilgili kişilerin faydalanmasını sağlamak,
- Veri Sorumlusu’ nun ilgili iş birimleri tarafından gerekli çalışmaların yapılması ve buna bağlı iş süreçlerinin yürütülmesi ve raporların yapılması,
- Veri Sorumlusu’ nun ticari, operasyonel ve iş stratejilerinin belirlenmesi ve uygulanması,
- Veri Sorumlusu tedarikçileri veya hizmet verenleri tarafından sunulan ürün ve hizmetlerle, Veri Sorumlusu ile iş ilişkisi içerisinde olan üçüncü kişilerin hukuki ve ticari güvenliğinin temini, hukuksal süreçlerin takibi ve mevzuattan doğan hakların tesisi, kullanılması ve korunması,
- Veri Sorumlusu’ nun faaliyetlerinin, şirket prosedürleri veya ilgili mevzuatlara uygun olarak yürütülmesinin temini,
- Kurumsal sürdürülebilirlik, kurumsal yönetim, stratejik planlama ve bilgi güvenliği süreçlerinin planlanması, denetimi ve icrası ile iş sürekliliğin sağlanması,
- İhtiyaca göre farklılıklar arz eden sektörlerdeki iş ortaklarımız ile yürütülen işlerin icrası ve ilişkilerin yönetimi,
- Kamu Kurum ve bütün otoritelerce öngörülen bilgi paylaşımı, raporlama, bilgilendirme yükümlülüklerinin yerine getirilmesi,
- Yasal mevzuattan kaynaklanan bilgi ve belge saklama yükümlülüklerinin yerine getirilmesi,
- Veri Sorumlusu tarafından ihtiyaç duyulan planlama ve istatistik faaliyetlerinin yürütülmesi,
- Finans, iletişim, iş geliştirme ve satın alma operasyonlarımızın yürütülmesi,
- Şirket içi sistem ve uygulama yönetimi operasyonlarının sürdürülmesi,
- Hukuki süreçlerimizin yönetilmesi, tarafınıza kesintisiz olarak daha iyi ve güvenilir hizmet verilebilmesi amaçlarıyla K.V.K.K.’ nın 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları ve amaçları dahilinde işlenecektir.
KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN GENEL İLKELER
- Hukuka Uygunluk
- Verilerin Doğru ve Gerektiğinde Güncel Olması
- Belirli, Meşru ve Açık Amaç
- Verilerin İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması
- Kişisel Verilerin Gerektiği Kadar Muhafaza Edilmesi ve Sonrasında Silinmesi
KİŞİSEL VERİLERİN İŞLENME ŞARTLARI
Kişisel veriler yalnızca aşağıda belirtilen yasal dayanaklar kapsamında toplanabilir, işlenebilir veya kullanılabilir.
- Açık Rıza
Kişisel verilerin korunması Anayasal bir hak olup, temel hak ve hürriyetler, özlerine dokunulmaksızın yalnızca Anayasa’nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Anayasa’nın 20. Maddesi’ nin 3. Fıkrası gereğince, kişisel veriler ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilecektir. Veri Sorumlusu tarafından, kişisel verilerin işlenmesinde ancak aşağıdaki şartlar varsa ilgili kişinin açık rızası aranmaksızın kişisel verileri işlenmektedir:
- Açık rıza özgür irade ile verilmelidir, aksi durumda hükümsüzdür.
- İlgili kişiden yazılı olarak veya elektronik ortamda açık rıza alınacaktır. Bu durumlara ek olarak kayıt alınması durumlarda sözlü rıza da kabul edilebilir. Bu şekilde açık rızalar ispatlanabilir şekilde kaydedilecektir. Açık rıza alınmadan önce kişilere ilgili hakları bildirilecektir.
- Özel nitelikli kişisel verilerin işlenmesi gerekli durumlarda açık rızalar yazılı olarak alınacaktır.
- Kişisel veri işleyen departmanlar, işledikleri kişisel veriler toplanırken ilgili veri sahibinin açık rızasının varlığının ve geçerliliğinin kontrolünü sağlamakla yükümlüdür. Açık rıza olmadığının tespit edilmesi durumunda veri işleme faaliyeti durdurulacaktır.
Kişisel Verilerin Açık Rıza Alınmaksızın İşlenmesi
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
- Veri sahibinin kendisi tarafından alenileştirilmiş olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
- Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel Nitelikli Kişisel Verilerin İşlenmesi
- Özel nitelikli kişisel veriler yalnızca veri sahibinin açık rızasının bulunması ya da kanunlarda açıkça öngörüldüğü hallerde işlenebilir.
- Sağlık ve cinsel hayata ilişkin kişisel veriler ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla açık rıza almaksızın işlenebilir. Bu tarz bir işleme durumunda, veri işleyen sır saklama yükümlülüğü altındadır.
- Özel nitelikli kişisel veriler işlenirken, Kurul tarafından belirlenen yeterli önlemler alınacaktır.
- Özel nitelikli kişisel verilerin işlenmesi gereken her durumda K.V.K. Komisyonu bilgilendirilecektir.
Çalışanların Verilerinin İşlenmesi
- Yukarıda belirlenen tüm kişisel veri işleme ilkeleri, çalışanların kişisel verileri üzerinde de uygulanacaktır.
- CV toplama kanallarını kullanmadan iş başvurusunda bulunan kişilerin kişisel verileri iş ilişkisini başlatmak amacı ile açık rızaları bulunmaksızın işlenebilir. Bu şekilde gelen bir başvurunun uygun görülen bir pozisyon için değerlendirilmesinin ardından olumsuz sonuçlanması halinde ilgili kişinin kişisel verileri silinecektir. Ancak çalışan adayının açık rızası halinde saklanacaktır.
- İş ilişkisi ile bağlantılı ve sözleşmenin ifası ile ilgili olan çalışan kişisel verileri çalışanların açık rızası olmadan işlenebilir. Aksi durumlarda, çalışanın onayı, hukuki hükümlülük, meşru menfaat ve benzeri bir gerekçe olmalıdır.
SORUMLULUK
Veri Sorumlusu’ nun tüm birimleri ve çalışanları, iş bu Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.
KAYIT ORTAMLARI
Kişisel veriler, Veri Sorumlusu tarafından aşağıdaki tabloda listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.
| Elektronik Ortamlar | Elektronik Olmayan Ortamlar |
| – Sunucular (Dahili bellek, yedek bellek, e-posta, veritabanı, web, dosya paylaşım, vb.) – Yazılımlar (ofis yazılımları, portal, Elektronik Belge Yönetim Sistemleri.) – Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, anti virüs vb.) – Kişisel bilgisayarlar (Masaüstü, dizüstü) – Mobil cihazlar (telefon, tablet vb.) – Optik diskler (CD, DVD vb.) – Çıkartılabilir bellekler (USB, Hafıza Kart vb.) | – Kâğıt – Manuel veri kayıt sistemleri (anket formları, ziyaretçi giriş defteri) – Yazılı, basılı, görsel ortamlar |
KİŞİSEL VERİLERİN AKTARILMASI
Türkiye’de Bulunan Üçüncü Kişilere Aktarım
- Kişisel veriler yalnızca ilgili kişinin açık rızası bulunduğu durumlarda Türkiye’de bulunan üçüncü kişilere aktarılabilir.
- V.K.K.’ nın 5. Maddesi’ nin 2. Fıkrası’ nda belirtilen koşullardan en az birinin geçerli olması halinde, kişinin açık rızası olmadan Türkiye’de bulunan üçüncü kişilere aktarılabilir.
- Kişisel verilerin Türkiye içerisindeki aktarımı sırasında uyulacak yükümlülüklere uygunluğun sağlanmasından aktarımı yapan ilgili departman sorumludur.
Yurt Dışında Bulunan Üçüncü Kişilere Aktarım
- Kişisel verilerin yurtdışına aktarılmasına ilişkin olarak, K.V.K.K.’ nın 9. Maddesi doğrultusunda veri sahibinin açık rızası aranmaktadır.
- Ancak, özel nitelikli kişisel veriler dahil, kişisel verilerin veri sahibin açık rızası olmaksızın işlenmesine izin verilen şartların varlığı halinde, kişisel verinin aktarılacağı yabancı ülkede, yeterli korumanın bulunması kaydıyla veri sahibinin açık rızası aranmaksızın da Veri Sorumlusu tarafından kişisel veriler yurtdışına aktarılabilecektir.
- Eğer aktarım yapılacak ülke Kurul tarafından yeterli korumanın bulunduğu ülkeler arasında belirlenmemiş ise, Veri Sorumlusu ve ilgili ülkedeki veri sorumlusu/veri işleyen yeterli korumayı yazılı olarak taahhüt edecek ve Kurul’dan izin alınacaktır.
Kişisel Sağlık Verilerinin Aktarımı
- Kişisel sağlık verileri anonim hale getirilmeden, mevzuata uygun olmadan, gerekli izin ve onaylar alınmadan üçüncü kişilere aktarılamaz.
- Kişisel sağlık verileri kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amaçları çerçevesinde ve kanunlarda açıkça öngörülmüş olması durumunda kamu kurum ve kuruluşlarına aktarılabilir.
- Sağlık verilerinin aktarımı sırasında uyulacak yükümlülüklere uygunluğun sağlanmasından aktarımı yapan ilgili departman sorumludur.
İLGİLİ KİŞİLERİN HAKLARI
- Veri Sorumlusu kişisel verisini elinde bulundurduğu ilgili kişilerin aşağı belirtilen taleplerine kanunda belirtilen sürelerde karşılık verecektir:
- Kişisel verilerini işleyip işlemediğinin bilgisi,
- Hangi kişisel verilerini işlediğinin bilgisi,
- Kişisel verilerini aktarıp aktarmadığının bilgisi,
- Kişisel verilerini aktardığı üçüncü kişileri ve üçüncü kişilerin irtibat kişilerinin bilgisi,
- Kişisel verilerini işleme amacı,
- Kişi ilgili kişisel verilerinin güncellenmesini istediğinde cevap verilmesi,
- Kişisel verilerinin anonimleştirilmesi, silinmesi veya yok edilmesi isteği,
- Veri Sorumlusu’ ta bulunan kişisel verilerinin bir kopyasını alma
- Veri sahipleri haklarını kullanmak ve/veya Veri Sorumlusu’ ın verilerini işlerken iş bu Politika kapsamında hareket etmediğini düşündüğü durumlarda aşağıdaki Veri Sorumlusu K.V.K.K. Sorumlusu ile iletişim bilgilerini kullanarak irtibat kurabilirler. (Aynı zamanda internet sitesinde yer alan K.V.K.K. Başvuru Formu ile yukarda belirtilen haklar kapsamında başvuruda bulunabilirler.)
GİZLİLİK
Veri Sorumlusu içerisinde, kanun kapsamında işlenen kişisel verilerin tamamı gizlidir. Çalışanlar, kişisel veriler üzerinde yalnızca kendilerine tanımlanan yetki dahilinde toplama, işleme, aktarım, kullanım, silme, yok etme, anonimleştirme faaliyetlerini yürütebilir. Aksi durumda çalışanların bu faaliyetleri yürütmesi yasaktır. Ek olarak çalışanlar kişisel verileri bireysel veya ticari amaçlarla kullanamaz.
GÜVENLİK
Kişisel verilerin güvenliği sırasıyla çalışan, departman ve Veri Sorumlusu sorumluluğundadır. Kişisel verilerin kaybolmasına, hukuka aykırı olarak işlenmesine, kötüye kullanılmasına, yetkisiz kişilerce her türlü işleme alınmasına karşı korunması gerekmektedir. Bu güvenlik önlemleri elektronik ve fiziki olarak saklanan kişisel verilerin tamamını kapsamaktadır. Veri Sorumlusu, kişisel verilerin hukuka uygun işlenmesini sağlamak için, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır.
- Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişimi Engellemek İçin Alınan Teknik Tedbirler
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
- Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
- Çalışanlar için yetki matrisi oluşturulmuştur.
- Erişim logları düzenli olarak tutulmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmaktadır.
- Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
- Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
- Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
- Saldırı tespit ve önleme sistemleri kullanılmaktadır.
- Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
- Şifreleme yapılmaktadır.
Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişimi Engellemek İçin Alınan İdari Tedbirler
- Veri Sorumlusu içerisinde bilgi güvenliği operasyonu ve uygulamasının başlatılması ve kontrol edilmesi amacıyla bir yönetim çerçevesi kurulmuştur.
- K.V.K. Komisyonu ve İrtibat Kişisi atanmış ve görev tanımları belirlenmiştir.
- K.V.K.K. başvuru kanalları belirlenmiştir.
- İhlal, talep/şikâyet yönetim iş akışları belirlenmiştir.
- Kişisel verilerin işlenmesi, korunması ve imhasına ilişkin ana esaslar, politika ve prosedürler belirlenmiştir.
- İşlenen kişisel veriler kapsamında mevcut risk ve tehditler belirlenmiştir.
- Çalışanlar için kişisel veri güvenliği konusunda eğitim ve farkındalık çalışmaları yapılmaktadır.
- Çalışanların ve yüklenicilerin bilgi güvenliği sorumluluklarının farkında olmaları ve yerine getirmelerini temin etmek üzere veri güvenliğine ilişkin rol ve sorumluluklar ile görev tanımları belirlenmiştir.
- Çalışanlar için, güvenlik, Politika, ana esaslar ve prosedürlerine uyulmaması durumunda devreye girecek bir disiplin süreci mevcuttur.
- Gizlilik taahhütnameleri yapılmaktadır.
- Çalışan, çalışan adayları, müşteri, alt yüklenici, hizmet sağlayan ve tedarikçi, ziyaretçi vs. için aydınlatma metni yayımlanmıştır.
- Açık rıza alınması gereken süreçler belirlenmiş ve uygulanmaktadır.
- Veri Sorumlusu içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik zafiyetlerini gidermektedir.
- İşleme amacı bakımından anılan kişisel verilere ihtiyaç olup olmadığı değerlendirilmekte, kişisel veriler mümkün olduğunca azaltılmaktadır.
- Verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi halinde, durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmek üzere çalışanlar tarafında gerekli önlemler alınmaktadır.
Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, Veri Sorumlusu bu durumu en kısa sürede (Maksimum 72 saatte) ilgili veri sahibine ve Kurul’a bildirecektir.
VERİ SORUMLUSU İŞYERİ GİRİŞLERİ İLE İÇERİSİNDE YAPILAN KİŞİSEL VERİ İŞLEME FAALİYETLERİ
- Veri Sorumlusu tarafından güvenliğin sağlanması amacıyla, Veri Sorumlusu işyeri binalarında güvenlik kamerasıyla izleme faaliyeti ile misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır.
- Güvenlik kameraları kullanılması ve misafir giriş çıkışlarının kayıt altına alınması suretiyle Veri Sorumlusu tarafından kişisel veri işleme faaliyeti yapılmaktadır.
- Veri Sorumlusu, güvenlik kamerası ile izleme faaliyeti kapsamında; Veri Sorumlusu ve diğer kişilerin güvenliğini sağlamaya ilişkin menfaatlerini korumak gibi amaçlar taşımaktadır.
- Bu izleme faaliyeti, K.V.K.K. ve Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun olarak sürdürülmektedir.
- Bu kapsamda kamera ile izleme yapıldığı bilgisi, tüm çalışan ve ziyaretçilere duyurulmakta ve kişiler aydınlatılmaktadır. Bildirim yazıları izleme yapılan alanların girişlerine asılmaktadır.
- Veri Sorumlusu tarafından K.V.K.K.’ nın 12. Maddesi’ ne uygun olarak, kamera ile izleme faaliyeti sonucunda elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır.
VERİ SORUMLUSU YÖNETİM BİNASINDA, ŞANTİYE VE TESİS GİRİŞLERİNDE VE İÇERİSİNDE YÜRÜTÜLEN GİRİŞ ÇIKIŞLARININ TAKİBİ
- Veri Sorumlusu tarafından, güvenliğin sağlanması amacı ve iş bu Politika’ da belirtilen diğer amaçlarla, Veri Sorumlusu yönetim binalarında, şantiye ve tesis girişlerinde ve içerisinde giriş çıkışların takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır.
- Veri Sorumlusu’ ın yönetim binalarına, şantiyelerine ve tesislerine gelen kişilerin kimlik verileri elde edilirken ya da Veri Sorumlusu nezdinde asılan ya da diğer şekillerde gelenlerin erişimine sunulan metinler aracılığıyla söz konusu kişisel veri sahipleri bu kapsamda aydınlatılmaktadırlar.
- Veri Sorumlusu’ ın yönetim binaları, şantiyeleri ve tesislerinde giriş-çıkış takibi yapılması amacıyla elde edilen veriler, yalnızca bu amaçla işlenmekte ve ilgili kişisel veriler fiziki ve dijital ortamda veri kayıt sistemine kaydedilmektedir.
- Mahremiyetin yüksek olduğu yerlerde ise görüntüleme yapılmamaktadır.
VERİ SORUMLUSU TESİSLERİNDE ZİYARETÇİLERİMİZE SAĞLANAN İNTERNET ERİŞİMLERİNE İLİŞKİN KAYITLARIN SAKLANMASI
Veri Sorumlusu tarafından güvenliğin sağlanması amacı ve iş bu Politika’ da belirtilen diğer amaçlarla, Veri Sorumlusu tarafından bina ve tesislerimiz içerisinde kaldığınız süre boyunca talep eden ziyaretçilerimize internet erişimi sağlanabilmektedir. Bu durumda internet erişimlerinize ilişkin log kayıtları 5651 Sayılı Kanun ve bu Kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre tutulmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi halinde veya Veri Sorumlusu içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir.
KİŞİSEL VERİLERİN İMHASI (SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ) ŞARTLARI
Türk Ceza Kanunu’nun 138. Maddesi’ nde, K.V.K.K.’ nın 7. Maddesi’ nde ve Kurum tarafından çıkarılan “Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Hakkında Yönetmelik” uyarınca, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Veri Sorumlusu’ ın kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Veri Sorumlusu bu konuda yönetmelik hükümlerine göre bir Politika oluşturmuş ve bu Politika uyarınca verinin niteliğine göre imha yapılmaktadır. Bu Yönetmelik uyarınca Veri Sorumlusu tarafından periyodik imha tarihleri belirlenmiş olup, yükümlülüğün başlaması ile beraber çeşitli aralıklarla periyodik imhanın yapılacağına göre takvim oluşturulmuştur.
KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Veri Sorumlusu tarafından veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.
Kişisel Verilerin Silinmesi veya yok edilmesi
Kişisel veriler, Veri Sorumlusu tarafından aşağıdaki tabloda gösterilen yöntemlerle silinir veya yok edilir.
| VERİNİN KAYITLI OLDUĞU ORTAM | VERİNİN SİLİNME VEYA YOK EDİLME YÖNTEMİ |
| Sunucularda Yer Alan Kişisel Veriler | Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır. |
| Elektronik Ortamda Yer Alan Kişisel Veriler | Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. |
| Fiziksel Ortamda Yer Alan Kişisel Veriler | Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır. |
| Taşınabilir Medyada Bulunan Kişisel Veriler | Taşınabilir medya saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır. |
| Fiziksel Ortamda Yer Alan Kişisel Veriler | Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir. |
| Optik / Manyetik Medyada Yer Alan Kişisel Veriler | Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir. |
Kişisel Verilerin Anonim Hale Getirilmesi
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için, kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilerek gerçekleştirilir.
SAKLAMA VE İMHA SÜRELERİ
Veri Sorumlusu tarafından, faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;
- Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanteri’ nde,
- Süreç bazında saklama süreleri ise iş bu Kişisel Verilerin İşlenmesi, Korunması ve İmhası Politikası’ nda yer almaktadır.
Süreç bazında saklama ve imha süreleri tablosu
| SÜREÇ | SAKLAMA SÜRESİ | İMHA SÜRESİ |
| Faaliyetten kaynaklanan işlemler | İlgili faaliyetin sona ermesinden itibaren 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Sözleşmelerin hazırlanması | Sözleşmenin sona ermesini takiben 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| İletişim Faaliyetlerinin İcrası | Faaliyetin sona ermesini takiben 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| İnsan Kaynakları Süreçlerinin Yürütülmesi | Faaliyetin sona ermesini takiben 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Log Kayıt Takip Sistemleri | 2 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Donanım ve Yazılıma Erişim Süreçlerinin Yürütülmesi | 2 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Kamera Kayıtları | 3 ay | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
PERİYODİK İMHA SÜRESİ
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğin 11. Maddesi gereğince Veri Sorumlusu, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Veri Sorumlusu’ ta her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.
İHLAL OLAYLARI
Veri Sorumlusu’ ta çalışan her bir çalışan, K.V.K.K. ve iş bu Politika kapsamında belirtilen kısıtlamalara aykırı olduğunu düşündüğü bir eylem veya olayı departman yöneticilerine aktarmak ile yükümlüdür. Yapılan bilgilendirmeler sonucunda Veri Sorumlusu’ ın, K.V.K. Komisyonu mevzuatı dikkate alarak ihlal eylem veya olaylarına ilişkin olarak ilgili kişi veya yetkili Kurum’ a bildirim yapmakla yükümlü tutulmuştur.
SORUMLULUKLAR
Veri Sorumlusu içerisinde sorumluluklar sırasıyla çalışan, departman şeklindedir. Bu kapsamda:
- Çalışanlar kendi çalışma alanları içerisinde bulunan basılı veya bilgisayar ortamındaki tüm kişisel verilerden sorumludur ve bu veriler üzerindeki her türlü işlemede Kanun’ da ve iş bu Politika’ da belirtilen şartlara uyacaktır.
- Departman yöneticileri, departmanları içerisindeki çalışanların işlediği basılı veya bilgisayar ortamındaki tüm kişisel verilerden sorumludur ve bu veriler üzerindeki her türlü işleme için Kanun’ da ve iş bu Politika’ da belirtilen şartlara departmanının uygun çalıştığını garanti etmektedir.
- Departmanın yöneticileri, kontroller ve denetimler yaparak kendi departmanlarında iş bu Politika’ nın uygulanmasına katkı verecektir.
- Yönetici konumundaki çalışanlar kendi alanlarına giren kişisel veri işleme faaliyetlerinden sorumludur ve kişisel verilerin Kanun’ a ve iş bu Politika’ ya uygun işlenmesini sağlayacaktır.
- Departmanlar kişisel veriler ile ilgili yeni veri işleme, veri silme, belirsizlik ve benzeri her türlü durumda Veri Sorumlusu’ ın K.V.K. Komisyonu’ nu bilgilendirmek ile yükümlüdür.
YÜRÜTME
İş bu Politika’ nın yürütülmesinden Veri Sorumlusu tarafından K.V.K.K. düzenlemelerine uygun hareket edilmesini ve kişisel verilerin korunması ve işlenmesi standardının yürürlüğünü sağlamak için yönetim yapısı kurulmuştur. Veri Sorumlusu bünyesinde iş bu Politika ve bu Politika’ ya bağlı ve ilişkili diğer Politikaları yönetmek üzere Veri Sorumlusu üst yönetiminin kararı gereğince Kişisel Verilerin Korunması Komisyonu kurulmuştur.
POLİTİKA’NIN YÜRÜRLÜK TARİHİ
İş bu Politika …/…/2022 tarihinde yürürlüğe girmiştir.
