Madde 2: Tanımlar ve Prensipler
2.1. Tanımlar
Aşağıda, Politika kapsamında kullanılan temel kavramlara ilişkin tanımlar yer almaktadır:
| Kavram | Tanım |
|---|---|
| Açık Rıza | Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. |
| İlgili Kullanıcı | Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler. |
| İmha | Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi. |
| Kayıt Ortamı | Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam. |
| Kişisel Veri | Kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilgi. |
| Kişisel Verilerin İşlenmesi | Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem. |
| Kişisel Verilerin Anonim Hale Getirilmesi | Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi. |
| Kişisel Verilerin Silinmesi | Kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi. |
| Kişisel Verilerin Yok Edilmesi | Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi. |
| Kurul | Kişisel Verileri Koruma Kurulu. |
| Periyodik İmha | Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda, işbu Politika’da belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi. |
| Veri Sahibi / İlgili Kişi | Kişisel verisi işlenen gerçek kişi. |
2.2. Prensipler
Şirket tarafından kişisel verilerin saklanması ve imhasında aşağıdaki prensiplere uyulmaktadır:
- Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde Kanun’a, ilgili mevzuat hükümlerine, Kurul kararlarına ve işbu Politika’ya uygun hareket edilir.
- Bu kapsamdaki tüm işlemler Şirket tarafından kayıt altına alınır ve Yönetmelik uyarınca, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklanır.
- Kurul tarafından aksi kararlaştırılmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı Şirket tarafından seçilir; ilgili kişinin talebi halinde seçilen yöntem gerekçesi açıklanır.
- Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler Şirket tarafından resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.
-
İlgili kişi tarafından Şirket’e başvurulması halinde:
- İletilen talepler en geç 30 (otuz) gün içerisinde cevaplandırılır.
- Talebe konu verilerin üçüncü kişilere aktarılmış olması halinde, bu durum ilgili üçüncü kişilere bildirilir ve gerekli işlemlerin yapılması temin edilir.
2.3. Kayıt Ortamları
Kişisel veriler, Şirket tarafından aşağıda listelenen elektronik ve elektronik olmayan ortamlarda hukuka uygun ve güvenli bir şekilde saklanmaktadır.
| Kayıt Ortamı Türü | Örnek Ortamlar |
|---|---|
| Elektronik Ortam |
Sunucular (yedekleme, e-posta, veritabanı, web, dosya paylaşım vb.), yazılımlar (muhasebe programları vb.), kişisel bilgisayarlar (masaüstü, dizüstü), mobil cihazlar (telefon vb.), çıkarılabilir bellekler, yazıcı, tarayıcı, fotokopi makinesi. |
| Elektronik Olmayan Ortam |
Kâğıt ortamı, manuel veri kayıt sistemleri (formlar), yazılı, basılı, görsel ortamlar. |
Madde 3: Sorumluluk
Bu dokümanın yayımlanması, güncel tutulması ve uygulanmasının izlenmesi, kurumsal uyum fonksiyonunu üstlenen danışmanlık departmanının sorumluluğundadır. Doküman asgari olarak yıllık bazda gözden geçirilir.
İlgili departman aşağıdaki hususlarda yetkili ve sorumludur:
- Politika ve prosedürlerin uygulanması için gerekli görev dağılımının yapılması ve yönetimin onayına sunulması,
- Kanun’un 12. maddesi uyarınca alınan teknik ve idari tedbirlerin uygulanmasının takip edilmesi ve denetiminin planlanması,
- Kişisel veri sahipleri tarafından yapılan başvuru ve taleplerle ilgili süreçlerin takibinin yapılması ve ortaya çıkabilecek sorunların çözümü için gerekli koordinasyonun sağlanması,
- KVK Kanunu ve ilgili mevzuata uyumun sağlanması için yapılması gereken hususların tespit edilmesi ve uygulanmasının gözetilmesi,
- Kişisel Verileri Koruma Kurulu ile olan ilişkilerin yürütülmesi.
Madde 4: Kişisel Verilerin Saklanması ve İmhasına İlişkin Usuller, Teknik ve İdari Tedbirler
Şirket’in istihdam kapsamında yerine getirmesi gereken yükümlülüklerini yerine getirebilmesi, bir hakkın tesisi için veri işlemenin zorunlu olması, müşteri hizmetleri, tüketici hakları ve diğer imkânlardan istifade edilebilmesi ve bunlarla ilgili ticari, mali, hukuki sorumluluk ve yükümlülüklerin yerine getirilebilmesi, Şirket’in güvenliğinin sağlanması veya Şirket’in meşru amaçları için kişisel verilerin işlenmesinin gerekli olduğu hallerde, kişisel veriler hukuka uygun olarak işlenmektedir.
Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesinin ve erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla Kanun’un 12. maddesindeki ilkeler çerçevesinde Şirket tarafından alınan başlıca idari ve teknik tedbirler aşağıda yer almaktadır.
4.1. İdari Tedbirler
- Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
- Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
- Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
- Gizlilik taahhütnameleri imzalatılmaktadır.
- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
- İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
- Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
- Kişisel veri güvenliğinin takibi yapılmaktadır.
- Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
- Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
- Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
4.2. Teknik Tedbirler
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
- Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
- Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Şifreleme yapılmaktadır.
- Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda farkındalığı sağlanmaktadır.
Madde 5: Saklama ve İmhayı Gerektiren Sebeplere İlişkin Açıklamalar
Veri sahiplerine ait kişisel veriler, Şirket tarafından özellikle; (i) ticari faaliyetlerin sürdürülebilmesi, (ii) hukuki yükümlülüklerin yerine getirilebilmesi, (iii) çalışan haklarının ve yan haklarının planlanması ve ifası için Kanun ve ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.
5.1. Saklamayı Gerektiren Sebepler
- Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
- Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
- Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket’in meşru menfaatleri için saklanmasının zorunlu olması,
- Kişisel verilerin Şirket’in herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,
- Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
- Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından ilgili kişilerin açık rızasının bulunması.
5.2. İmhayı Gerektiren Sebepler
Yönetmelik uyarınca aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, Şirket tarafından resen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:
- Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
- Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
- Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması,
- Kişisel verilerin sadece açık rıza şartına istinaden işlendiği hallerde ilgili kişinin rızasını geri alması,
- İlgili kişinin, Kanun’un 11. maddesi kapsamındaki hakları çerçevesinde yaptığı silme, yok etme veya anonimleştirme talebinin veri sorumlusu tarafından kabul edilmesi,
- Veri sorumlusunun ilgili kişi talebini reddetmesi veya süresinde yanıt vermemesi üzerine Kurul’a yapılan şikâyetin Kurul tarafından uygun bulunması,
- Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, verilerin daha uzun süre saklanmasını haklı kılacak herhangi bir şartın bulunmaması.
Madde 6: Saklama ve İmha Süreleri
6.1. Genel Olarak
Şirket tarafından Kanun ve ilgili mevzuata uygun olarak elde edilen kişisel verilerin saklama ve imha sürelerinin tespitinde aşağıdaki ölçütler dikkate alınır:
- Mevzuatta, ilgili kişisel verinin saklanmasına ilişkin bir süre öngörülmüşse bu süreye riayet edilir ve sürenin sona ermesi akabinde veri hakkında imha kararı alınır.
-
Mevzuatta süre öngörülmemişse;
- Kişisel veriler, Kanun’un 6. maddesindeki tanımlamalar esas alınarak kişisel veri ve özel nitelikli kişisel veri olarak sınıflandırılır; özel nitelikli kişisel veriler için ayrıca imha değerlendirmesi yapılır.
- Verinin saklanmasının Kanun’un 4. maddesindeki ilkelere uygunluğu (örneğin, meşru amaç olup olmadığı) değerlendirilir; aykırılık teşkil eden veriler silinir, yok edilir veya anonim hale getirilir.
- Verinin saklanmasının Kanun’un 5. ve 6. maddelerindeki istisnalar kapsamında olup olmadığı incelenir ve buna göre makul saklama süreleri tespit edilir.
6.2. İmha Süreleri
Şirket tarafından tespit edilen saklama, imha ve periyodik imha sürelerine ilişkin özet tablo aşağıdadır:
| Veri Kategorisi | Saklama Süresi | İmha Süresi |
|---|---|---|
| İş Kanunu kapsamında saklanılan veriler (kimlik, iletişim, özlük vb.) | İş ilişkisinin sona ermesine müteakip 10 yıl, aday işe başlatılmamışsa 2 ay | Saklama süresinin bitimini takiben 180 gün içerisinde |
| İş sağlığı ve güvenliği mevzuatı kapsamında toplanan veriler (sağlık raporları vb.) | İş ilişkisinin sona ermesine müteakip 10 yıl | Saklama süresinin bitimini takiben 180 gün içerisinde |
| SGK mevzuatı kapsamında tutulan veriler | İş ilişkisinin sona ermesine müteakip 10 yıl | Saklama süresinin bitimini takiben 180 gün içerisinde |
| Hukuki işlem verileri | İş ilişkisinin sona ermesine müteakip 10 yıl | Saklama süresinin bitimini takiben 180 gün içerisinde |
| Sair ilgili mevzuat gereği toplanan veriler | İlgili mevzuatta öngörülen süre kadar | Saklama süresinin bitimini takiben 180 gün içerisinde |
| Finans verileri | Kayıt altına alınmasına müteakip 10 yıl | Saklama süresinin bitimini takiben 180 gün içerisinde |
| Kamera kayıtları – Fiziksel mekan güvenliği | 15 gün | Saklama süresinin bitiminde derhal |
Saklama süresi dolan kişisel veriler, işbu Politika’da belirtilen usullere uygun olarak 6 (altı) aylık periyotlarla silinir, yok edilir veya anonim hale getirilir. Bu işlemlere ilişkin kayıtlar en az 3 (üç) yıl süreyle saklanır. Şirket’in ilgili kişisel veriyi kullanma amacının sona ermediği, özel mevzuatta daha uzun saklama sürelerinin öngörüldüğü veya ilgili konuya ilişkin dava zamanaşımı sürelerinin daha uzun olduğu hallerde, bu süreler esas alınır.
Madde 7: Politikanın Yürürlüğe Sokulması, İhlal Durumları ve Yaptırımlar
İşbu Politika, tüm çalışanlara duyurularak yürürlüğe girer ve yürürlüğe girdiği tarihten itibaren tüm iş birimleri, danışmanlar, dış hizmet sağlayıcıları ve kişisel veri işleyen herkes için bağlayıcıdır.
Çalışanların Politika gereklerini yerine getirip getirmediğinin takibi, ilgili çalışanların amirlerinin sorumluluğundadır. Politikaya aykırı davranış tespit edildiğinde konu derhal ilgili çalışanın amiri tarafından bağlı bulunan bir üst amire bildirilir.
