Kişisel Verileri Saklama ve İmha Politikası

KİŞİSEL VERİLERİN SAKLAMA VE İMHA POLİTİKASI

1.  Amaç

Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “Kanun”) ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca veri sorumlusu sıfatıyla Holimer İlaç ve Sağlık Hizm. San ve Tic. A.Ş. (“Şirket”) tarafından yükümlülüklerimizi yerine getirmek ve veri sahiplerini kişisel verilerinin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi esasları ile silme, yok etme ve anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla hazırlanmıştır.

1.  Kapsam

Bu Politika; Şirketimiz çalışanları da dahil kişilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir. Şirketimiz tarafından kişisel verisi işlenecek ilgili kişilere yönelik gerçekleştirilen kişisel veri işleme faaliyetlerine ve politikaya ayrıca; https://www.holimer.com.tr/ veya https://www.holistikmarket.com/ web adresimiz üzerinden ulaşabilirsiniz.

1. Tanımlar

Kanun/KVKK: 6698 Sayılı Kişisel Verilerin Korunması Kanunu

Yönetmelik: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

Kurul: Kişisel Verileri Koruma Kurulu

Politika: Kişisel Verilerin Saklama ve İmha Politikası

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Veri Sahibi/İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.

Şirket: Holimer İlaç ve Sağlık Hizm. San ve Tic. A.Ş.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

İrtibat Kişisi: Türkiye’de yerleşik olan tüzel kişilerin ve tüzel kişi veri sorumlusu temsilcisinin sicil kapsamındaki yükümlülükleriyle ilgili olarak, Kurul ve Kurum tarafından yapılacak iletişimlerde irtibata geçilmek üzere atanan gerçek kişi.

Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Aydınlatma Yükümlülüğü: Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi tarafından, ilgili kişilere; veri sorumlusunun ve varsa temsilcisinin kimliğinin, kişisel verilerin hangi amaçla işleneceğinin, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceğinin, kişisel veri toplamanın yöntemi ve hukuki sebebinin, Kanun’un 11 inci maddesinde sayılan diğer hakları konusunda bilgi vermesi.

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlemesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Verilerin Silinmesi: Kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemi.

Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.

Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir suretle kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.

Kişisel Verilerin Saklanması: Kişisel verilerin fiziki ortamda veya dijital ortamda muhafaza edilmesi.

Kişisel Verilerin Paylaşılması: Kişisel verilerin hukuka uygun şekilde paylaşılması.

Kişisel Verilerin 3.Kişiye Aktarılması: Kişisel verilerin yurt içinde veya yurt dışında tüzel veya gerçek kişiye aktarılması.

Çalışan / Personel: Şirket personeli

Veri Güvenliği: Verinin izinsiz kullanımından, izinsiz ifşa edilmesinden, izinsiz yok edilmesinden, izinsiz değiştirilmesinden, bilgilere hasar verilmesinden koruma veya bilgilere yapılacak olan izinsiz erişimleri engelleme işlemi.

VERBİS: Veri Sorumluları Sicil Bilgi Sistemi.

Soft Ortam: Dijital ortam.

Başvuru Formu: Kişisel veri sahibinin şirkete başvuru durumunda dolduracağı matbu form.

Özel Vekaletname: Bir kimsenin başka bir kimseyi belirli işlerde kendi adına hareket edebilmesi için yazılı olarak yetkilendirdiğine ait yazılı bir belgedir.

Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.

Elektronik Olmayan Ortam: Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen gerçek kişilerdir.

Periyodik İmha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini.

Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.

1. Politikanın Uygulanmasına İlişkin İlkeler

Şirketimiz tarafından kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler çerçevesinde hareket edilmektedir:

1. Kişisel verilerin işlenmesinde Kanun’un 4. Maddesinde sayılan; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel tutma, belirli, açık ve meşru amaçlar için gözetilerek, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme kurallarına uyulur.
2. Kanun’un 12. Maddesi uyarınca öngörülen Veri Güvenliğine ilişkin yükümlülükler doğrultusunda hareket ederek ve kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde politikanın teknik ve idari tedbirler başlıklı maddesi kapsamında, ilgili mevzuat hükümleri ve Kurul kararları dikkate alınarak gerekli tedbirler sağlanır.
3. Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler şirketimiz tarafından kayıt altına alınmakta ve söz konusu kayıtlar en az 5 yıl süreyle saklanmaktadır.
4. Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler şirketimiz tarafından re’sen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta İlgili Kişi tarafından şirketimize başvurulması halinde;

1. İletilen talepler en geç̧ 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir,
2. Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir.

2. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

Bu kapsamda Şirketimiz, Kurul tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri almakta ve denetimleri yapmaktadır.

2.1. Veri Güvenliğine İlişkin Yükümlülükler

Şirketimiz; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır.

 

3. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI

Kişisel veri sahipleri Kanun’un 11. Maddesi ile belirlenen aşağıda yer alan haklara sahiptirler:

1. Kişisel veri işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

 

4.1. Kişisel Veri Sahiplerinin Haklarını Kullanması

Kişisel Veri Sahipleri bu bölümün 3. Başlığı altında sıralanan haklarına ilişkin taleplerini kimliklerini tespit edecek bilgi ve belgelerle ve aşağıda belirtilen yöntemlerle veya Kişisel Verileri Koruma Kurulu’nun belirlediği diğer yöntemlerle Veri Sahibi Başvuru Formu’nu doldurup imzalayarak Holimer İlaç ve Sağlık Hizm. San ve Tic. A.Ş.’ne ücretsiz olarak iletebileceklerdir:

 

1. https://www.holimer.com.tr/ veya https://www.holistikmarket.com/ adresinde bulunan Veri Sahibi Başvuru Formu doldurulduktan sonra ıslak imzalı bir nüshasının bizzat elden veya noter aracılığı ile “Holimer İlaç ve Sağlık Hizm. San ve Tic. A.Ş. Muhasebe Birimi Nisbetiye Mah. Nisbetiye Cad. Özden İş Merkezi No:22 Kat:3 Beşiktaş / İSTANBUL” adresine iletilmesi,

 

2. Şirketimizde e-posta adresi kayıtlı bulunan kişi tarafından https://www.holimer.com.tr/ veya https://www.holistikmarket.com/ adresinde bulunan Veri Sahibi Başvuru Formu doldurulup imzalandıktan sonra soft ortamda fatura@holimer.com.tr adresine elektronik posta ile gönderilmesi,

 

3. KVK Kanunu’nda belirtilen diğer yöntemlerle başvurarak iletebilirsiniz.

 

Kişisel veri sahipleri adına üçüncü kişilerin başvuru talebinde bulunabilmesi için veri sahibi tarafından başvuruda bulunacak kişi adına noter kanalıyla düzenlenmiş özel vekâletname bulunmalıdır.

 

4.2. İlgililerin Başvurularına Cevap Verilmesi

 

Şirketimiz, kişisel veri sahibi tarafından yapılacak başvuruları Kanun ve Yönetmelik’e uygun olarak sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almaktadır. Kişisel veri sahibinin, bu bölümün 4.1. başlıklı kısmında yer alan usule uygun olarak talebini iletmesi durumunda şirketimiz talebin niteliğine göre en geç otuz gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, KVK Kurulunca bir ücret öngörülmesi hâlinde, şirketimiz tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınacaktır.

 

4. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI  

 

5.1. Verilerin Saklanmasını Gerektiren Hukuki Sebepler

 

Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. Aşağıdaki şartlardan birinin veya birkaçının varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

a) Kanunlarda açıkça öngörülmesi.

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.

e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

 

5.2. Verilerin Saklanmasını Gerektiren İşleme Amaçları

Şirketimiz, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar:

• Acil Durum Yönetimi Süreçlerinin Planlanması ve İcrası (Terör, Yangın)
• Acil Durum Yönetimi Süreçlerinin Yürütülmesi
• Aday Bilgilerinin Arşivlenmesi
• Aday Bilgilerinin Yöneticiyle Paylaşılması
• Adayları İnceleme ve İstihdam Edilecek Adayın Tespit Edilmesi
• Bilgi Güvenliği Süreçlerinin Yürütülmesi
• Binaya Gelen Kişi/Ürünlerin Güvenlik Taramalarının Gerçekleştirmek
• Çalışan Adayı / Stajyer / Öğrenci Seçme ve Yerleştirme Süreçlerinin Yürütülmesi
• Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
• Çalışan Memnuniyeti ve Bağlılığı Süreçlerinin Yürütülmesi
• Çalışanlar İçin İş Akdi ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
• Çalışanlar İçin Yan Haklar ve Menfaatleri Süreçlerinin Yürütülmesi
• Çalışanların Aldıkları Eğitimler Sonucu Gelişim Süreçlerinin Takip Edilebilmesi
• Çalışanların Yıllık ve Sair İzin Onayları
• Çalışanların Yıllık ve Sair İzin Onayları ile İzin Düzenlemesinin Yapılması
• Denetim / Etik Faaliyetlerinin Yürütülmesi
• Düzenleyici Süreç ve Şirket Yönetimi Sorumluluklarının Belirlenmesi
• Eğitim Faaliyetlerinin Yürütülmesi
• Eğitim Planlamasının Yapılması
• Eğitim Sertifikalarının Hazırlanması
• Eğitim ve Kalite Kontrolü Gibi Operasyonel Gereksinimler
• Eğitimlerin Raporlaması
• Erişim Yetkilerinin Yürütülmesi
• Faaliyetlerin Mevzuata Uygun Yürütülmesi
• Faaliyetlerinin İlgili Mevzuata veya Şirket Prosedürlerine Uyumlulaştırma Planlama ve Yönetimi
• Finans ve Muhasebe İşlerinin Yürütülmesi
• Firma / Ürün / Hizmetlere Bağlılık Süreçlerinin Yürütülmesi
• Fiziksel Mekân Güvenliğinin Temini
• Gerçekleşen Eğitimlere Katılan Çalışanların Takip Edilebilmesi
• Giriş Çıkış Kayıtlarının Alınması
• Görevlendirme Süreçlerinin Yürütülmesi
• GSM Hatları ve Elektronik Cihazların Tahsis Amacına Uygun Kullanımın Denetimi Kapsamında Takibinin Yapılması
• Hukuk İşlerinin Takibi ve Yürütülmesi
• İcra Dosyalarına Çalışanların Maaş Haciz Kesintilerine İlişkin Ödeme Yapılması
• İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi
• İletişim Faaliyetlerinin Yürütülmesi
• İnsan Kaynakları Süreçlerinin Planlanması
• İş E-postasının Oluşturulması
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İş Ortağı/Tedarikçi Çalışanlarının Giriş Çıkış Kayıtlarının Toplanması
• İş Ortakları ile Aday Değerlendirme Amacıyla Paylaşım
• İş Ortakları ile Paylaşım
• İş Ortakları, Tedarikçilerin Bilgiye ve Tesislere Erişim Yetkilerinin Planlanması, Yönetimi
• İş Ortakları, Tedarikçilerle Olan İlişkilerin Yönetimi
• İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
• İş Süreçlerinin İyileştirilmesine Yönelik Önerilerin Alınması ve Değerlendirilmesi
• İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
• İşe Giriş- Çıkış Kayıtlarının Kontrolü ve Yönetimi
• İşten Ayrılma Süreçlerinin Yerine Getirilmesi
• İşyeri Yemek Hizmetlerinden Yararlandırılması
• Kalan İzinlerin Görüntülenmesi ve İzin Düzenlemelerinin Yapılması
• Kalite Kontrolünün Sağlanması
• Kargo ve Kurye Aracılığıyla Gelen Paketlerin İlgili Çalışana İletilmesinin Sağlanması
• Kartvizit Basımının Sağlanması
• Kurumsal Politikalara Uygunluk Sağlanması ve Denetimi
• Kutlama Amaçlı İletişimin Sağlanması
• Lojistik Faaliyetlerinin Yürütülmesi
• Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
• Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
• Mal / Hizmet Satış Süreçlerinin Yürütülmesi
• Mal / Hizmet Üretim ve Operasyon Süreçlerinin Yürütülmesi
• Masraf ve İzin Formlarının Takibi
• Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
• Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
• Özgeçmişinizde Yer Verdiğiniz Referans Kişileriyle Verilerin Teyit Edilmesi
• Pazarlama Analiz Çalışmalarının Yürütülmesi
• Performans Değerlendirme Süreçlerinin Yürütülmesi
• Pozisyona Uygunluğun Kontrol Edilmesi
• Referans Kontrolünün Yapılması
• Risk Yönetimi Süreçlerinin Yürütülmesi
• Saklama ve Arşiv Faaliyetlerinin Yürütülmesi
• Servis ve Seyahat Organizasyonunun Sağlanması
• Silahla Gelen Ziyaretçiler İçin Silah Teslim Tutanağı Oluşturmak
• Sözleşme Süreçlerinin Yürütülmesi
• Stratejik Planlama Faaliyetlerinin Yürütülmesi
• Suç ya da Hukuka Aykırılık Durumunda Kolluk Kuvvetine Haber Vermek
• Talep / Şikayetlerin Takibi
• Taşınır Mal ve Kaynakların Güvenliğinin Temini
• Tedarikçilerle Olan İlişkilerin Yönetimi
• Ücret Politikasının Yürütülmesi
• Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
• Yeni Eleman İstihdam Edilmesi
• Yetenek / Kariyer Gelişimi Faaliyetlerinin Yürütülmesi
• Yetenek / Kariyer Gelişimi Faaliyetlerinin Yürütülmesi
• Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi
• Yöneticiyle Paylaşılması
• Yönetim Faaliyetlerinin Yürütülmesi
• Ziyaret Giriş Çıkış Saatlerinin Kaydını Tutmak
• Ziyaretçi Giriş Kartı Vermek ve Ziyaretçi Numarası Oluşturmak

 

Hukuki dayanaklar içinde yer alan ‘’İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması’’

Veri sahiplerine ait kişisel veriler, Şirketimiz tarafından özellikle:

1. Faaliyetlerin sürdürülebilmesi ve yürütülebilmesi,
2. Çalışan ve müşteri haklarının planlanması ve ifası,
3. Kurum içi güvenliğin sağlanması,
4. İş ilişkilerinin yönetilebilmesi,
5. Şirket politika ve prensiplerinin uygulanabilmesi.

 

5.3. Kişisel Verilerin İmhasını Gerektiren Sebepler

Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, şirketimiz tarafından re ’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:

a. Kişisel verilerin işlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

b. Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,

c. Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması.

d. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,

e. İlgili kişinin, Kanun’un 11. maddesinin2 (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,

f. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,

a. İdari Tedbirler:

Şirketimiz idari tedbirler kapsamında;

1. Fiziki arşivler yetkililerin erişimi dışında kullanıma kapalıdır.
2. İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.
3. Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar. Kişisel veri aktarımı yapılmadan önce Sözleşmeler (Veri Sorumlusu – Veri Sorumlusu, Veri Sorumlusu – Veri İşleyen Arasında) düzenlenmektedir.
4. Kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel istihdam eder ve personeline kişisel verilerin korunması mevzuatı ve veri güvenliği kapsamında gerekli eğitimleri verir. İşbu eğitimlerle şirket bünyesindeki personellerin teknik bilgi/becerisi geliştirilmekte ve kişisel verilerin işlenmesi/saklanması ve imhası prosedürlerinin, ilgili personeller tarafından hukuka ve mevzuata uygun şekilde yürütülmesi sağlanmaktadır.
5. Kişisel verilerin korunması ve veri güvenliğinin sağlanması amacıyla, şirket tarafından yürütülen faaliyetlere ilişkin olarak çalışanlarla gizlilik sözleşmeleri imzalar veya var ise mevcut sözleşmelere eklenen hükümler ile veri güvenliğini sağlar.
6. Kişisel veri işlemeye başlamadan önce kişisel verileri işlenen ilgili kişilere bu verilerin kim tarafından, hangi amaçlarla ve hukuki sebeplerle işlenebileceği, kimlere hangi amaçlarla aktarılabileceği hususunda bilgi vererek aydınlatma yükümlülüğünü yerine getirir.
7. Kişisel verilerin işlendiği ve saklandığı ortamların güvenlik önlemleri alınmaktadır.
8. Saklama ve imha politikasına uygun imha süreçleri tanımlanmakta ve uygulanmaktadır.
9. Kişisel verilerin işlenmesine yönelik kurumsal politikalar yer almakta ve güncel takibi yapılmaktadır.
10. Kişisel verilerin işlenmesine yönelik süreçlerle ilgili Disiplin Yönetmeliği ve İşyeri Çalışma Yönetmeliği'nde Kanuna uygun hükümler yer almaktadır.
11. Kurumsal İletişim (Kriz Yönetimi, Kurul ve İlgili Kişiyi Bilgilendirme Süreçleri, İtibar Yönetimi vb.) oluşturulmuştur.
12. Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) Bildirim yapılmış ve düzenlemeler takip edilmektedir.

b. Teknik Tedbirler:

Şirketimiz teknik tedbirler kapsamında;

1. Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
2. Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
3. Anahtar yönetimi uygulanmaktadır.
4. Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
5. Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
6. Erişim logları düzenli olarak tutulmaktadır.
7. Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
8. Gizlilik taahhütnameleri yapılmaktadır.
9. Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
10. Güncel anti-virüs sistemleri kullanılmaktadır.
11. Güvenlik duvarları kullanılmaktadır.
12. İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
13. Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
14. Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
15. Kişisel veri güvenliğinin takibi yapılmaktadır.
16. Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
17. Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
18. Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
19. Kişisel veriler mümkün olduğunca azaltılmaktadır.
20. Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
21. Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
22. Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
23. Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
24. Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
25. Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
26. Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
27. Şifreleme yapılmaktadır.
28. Kurumun bilişim sistemleri teçhizatı yeterlidir.
29. Yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
30. Hukuka aykırı işlemeyi önlemeye yönelik riskler belirlenmektedir.
31. Bu risklere uygun teknik tedbirler alınmaktadır.
32. Erişim yetki ve rol dağılımları için prosedürler oluşturulmakta ve uygulanmaktadır.
33. Erişimler kayıt altına alınarak uygunsuz erişimler kontrol altında tutulmaktadır.
34. Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmektedir.
35. Bilgi sistemleri güncel halde tutulmaktadır.
36. Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
37. Kişisel verilerin güvenli olarak saklanmasını sağlayan yedekleme programları kullanılmaktadır.
38. Kişisel veriler için alınan teknik tedbirlerin yanı sıra özel nitelikli kişisel verilerin güvenliğine yönelik politika ve prosedürler belirlenmektedir.
39. Kişisel verilerin güvenli olarak saklanmasını sağlayan yedekleme programları kullanılır.
40. Belirlenen kurallara göre güvenli işlem kayıtları (Log kaydı) tutulur.
41. Belirlenen kurallara göre işlem kayıtları (log kaydı) tutulur.
42. Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılır.
43. Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır. 
44. Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (Güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınır.

5.4.3. Görevli Personel

Kişisel veri saklama ve imha sürecinde yer alan personelin unvanlarına, birimlerine ve görev tanımlarına işbu Politika’nın EK-1’nde yer alan listeden ulaşabilirsiniz.

5.4.4. Kı̇şı̇sel Verı̇lerı̇n İmha Usulleri̇

Şirketimiz tarafından KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde şirketimiz tarafından re’sen yahut İlgili Kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir.

6.4.4.1. Kişisel Verilerin Silinmesi 

Kişisel veriler aşağıda belirtilen yöntemlerle silinir.

Sunucularda Yer Alan Kişisel Veriler: Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

 

Elektronik Ortamda Yer Alan Kişisel Veriler: Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veritabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

 

Fiziksel Ortamda Yer Alan Kişisel Veriler: Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

 

Taşınabilir Medya ve Bulutta Bulunan Kişisel Veriler: Taşınabilir medya ve bulutta veriler silme yöntemi ile erişilemez hale getirilir.

5.4.4.2 Kişisel Verilerin Yok Edilmesi

Şirket, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir. Kişisel verilerin silinmesi akabinde ilgili kişiler hiçbir şekilde silinen verilere tekrardan erişilemeyecek ve kullanılmayacaktır. Şirket tarafından kişisel verilerin imha süreçlerinin tanımlanması ve takip edilmesine ilişkin etkin bir veri takip süreci yönetilecektir. Yürütülen süreç sırası ile silinecek verilerin tespit edilmesi, ilgili kişilerin tespiti, kişilerin erişim yöntemlerinin tespiti ve hemen akabinde verilerin silinmesi olacaktır.

5.4.4.3. Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

 

5. SAKLAMA VE İMHA SÜRELERİ

Şirketimiz tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha sürelerinin tespitinde aşağıda sırasıyla belirtilen ölçütlerden yararlanılmaktadır:

1. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi akabinde veri hakkında 2. bent kapsamında işlem yapılır.

2. Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda sırasıyla;

1. Kişisel veriler, KVKK’nın 6. maddesinde yer alan tanımlama baz alınarak, kişisel veriler ve özel nitelikli kişisel veriler olarak sınıflandırmaya tabi tutulur. Fiziki veya dijital ortamlarda mevcut bulunan ve özel nitelikte olduğu tespit edilen tüm kişisel veriler veri sahibinin açık rızasının bulunmadığı durumlarda imha edilir. Söz konusu verilerin imhasında uygulanacak yöntem verinin niteliği ve saklanmasının şirketimiz nezdindeki önem derecesine göre belirlenir.
2. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu örneğin; verinin saklanmasında Şirketin meşru bir amacının olup olmadığı sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir.
3. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir.

Şirket tarafından tespit edilen saklama, imha ve periyodik imha sürelerine, işbu Politika’nın ekinde (Ek-2) yer alan ‘‘Saklama, İmha ve Periyodik İmha Sürelerine ilişkin Tablo”’dan ulaşabilirsiniz.

Saklama süresi dolan kişisel veriler, işbu Politika’nın ekinde (Ek-2) yer alan imha süreleri çerçevesinde, 6 aylık periyodlarla işbu Politika’da yer verilen usullere uygun olarak imha edilir. İmha edilen verilere ilişkin “Veri İmha Tutanağı’na” Ek-4’den ulaşabilirsiniz.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 5 (beş) yıl süreyle saklanır.

6. PERİYODİK İMHA SÜRESİ

Şirketimiz tarafından, periyodik imha süresi 6 ay olarak belirlenmiştir. Buna göre her yıl aralık ve haziran aylarında imha gerçekleştirilir.

 

7. POLİTİKAMIZIN YAYINLANMASI VE SAKLANMASI

 

Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, şirketimizin internet sayfasında açıklanır. Basılı kâğıt nüshası da şirketimizin genel merkezinin Hukuk Birimi departmanında saklanır.

 

8. POLİTİKAMIZIN GÜNCELLENME PERİYODU

 

Politika, ihtiyaç duyuldukça ve ilgililerden talep olması durumunda gözden geçirilir ve gerekli olan bölümler güncellenir. Yapılan güncellemeler 7 iş günü içerisinde şirketimizin İstanbul Anadolu Yakası OSB 1.Sanayi Cad. No:6 Tuzla/İSTANBUL adresinde, basılı nüshası ise şirketimizin genel merkezinin Hukuk Birimi departmanında ilan edilir.

 

9. POLİTİKAMIZIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI

Politika şirketimiz tarafından düzenlenerek 11/07/2022 tarihinde yürürlüğe girmiştir. Politika’da değişiklik olması durumunda, Politika’nın yürürlük tarihi ve ilgili maddeler bu doğrultuda güncellenecektir. Gerekliliğinde yapılabilecek güncellemelere ilişkin Güncelleme Tablosu Ek-3’te yer almaktadır. KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat hükümleri uygulanacaktır.