Kişisel Verileri Saklama ve İmha Politikası

 

MARS SİNEMA TURİZM VE SPORTİF TESİSLER İŞLETMECİLİĞİ A.Ş.

KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI

1. GİRİŞ
 
Kişisel verilerin korunması, Mars Sinema Turizm ve Sportif Tesisler İşletmeciliği A.Ş. (“Şirket”) için büyük önem arz etmekte olup, bu konuda azami hassasiyet gösterilmektedir. Bu doğrultuda, kişisel verilerin kişilerin beklentileri ile tutarlı bir şekilde ve yasalara uygun olarak işlenmesi, Şirketimizin temel yapı taşlarından biridir.

 

Bu bakımdan Şirketimiz, faaliyetleri sırasında elde etmiş olduğu kişisel verileri başta Anayasa olmak üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ve diğer ilgili mevzuata uygun şekilde hazırlanan işbu Kişisel Veri Saklama ve İmha Politikası’nda (“Politika”) belirtilen genel prensipler ve düzenlemelere uygun şekilde saklamakta ve imha etmektedir.

 
2. POLİTİKA’NIN AMACI VE KAPSAMI
 
İşbu Politika ile Şirketimiz, Kanun kapsamındaki kişisel veri işleme faaliyetlerine konu gerçek kişi verilerinin saklanması ve imha edilmesine ilişkin Şirket’in genel ilke ve prensiplerinin ortaya konulması ve bu hususlarla ilgili mevzuatla belirlenen yükümlülüklerin yerine getirilmesi hedeflemiştir.

 

İşbu Politika, Şirketimizin Kanun kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri kapsamaktadır. Ayrıca, işbu Politika’da aksi belirtilmedikçe, Politika ile atıf yapılan dokümanlar hem basılı hem de elektronik kopyaları kapsamaktadır.

 3. TANIMLAR

İşbu Politika’da içerik aksini gerektirmedikçe:

“Açık Rıza”	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,
“Alıcı Grubu”	Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi,
“Anayasa”	Türkiye Cumhuriyeti Anayasası,
“İlgili Kullanıcı”	Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler,
“İmha”	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
“Kayıt Ortamı”	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,
“Kişisel Veri”	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyad, TCKN, e-posta, adresi, doğum tarihi, kredi kartı numarası, banka hesap numarası - Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir),
“Kişisel Veri Sahibi”	Kişisel verisi işlenen gerçek kişi,
“Kişisel Verilerin İşlenmesi”	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem,
“Kurul”	Kişisel Verileri Koruma Kurulu,
“Özel Nitelikli Kişisel Veri”	Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,
“Periyodik İmha”	Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda işbu Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,
“Veri Sorumlusu”	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi

anlamına gelmektedir.
 

4. POLİTİKA İLE DÜZENLENEN KAYIT ORTAMLARI

Şirketimiz, Kanun kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu ve aşağıda belirtilen ortamlarda saklamaktadır:

 

• Şirket veri tabanları
• Ortak erişim klasörleri
• E-posta hesapları (CJ World)
• Kağıt dosyalar (özlük dosyaları, aday dosyaları ve işyeri hekimi sağlık dosyaları)

 5. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

Şirketimiz, kişisel veri işleme faaliyetlerinde aşağıdaki ilkeleri esas almaktadır:

• hukuka ve dürüstlük kuralına uygun olunması,
• kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama,
• belirli, açık ve meşru amaçlarla işleme,
• işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ve
• ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme. 

Şirketimiz, kişisel verileri, yukarıda bahsi geçen ilkelerle uyumlu şekilde, Mars Sinema Turizm ve Sportif Tesisler İşletmeciliği A.Ş. Kişisel Verilerin İşlenmesi ve Korunması Politikası ile Mars Sinema Turizm ve Sportif Tesisler İşletmeciliği A.Ş. Çalışan Kişisel Verilerinin İşlenmesi ve Korunması Politikasının ilgili maddelerinde yer alan kişisel veri işleme amaçlarıyla ve aşağıda belirtilen Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarına istinaden kişisel verileri saklamakta ve kullanmakta olup, söz konusu şartların tamamının ortadan kalkması halinde, kişisel verileri re’sen veya kişisel veri sahibinin talebi üzerine imha etmektedir.

 

a) Kişisel Veri Sahibinin Açık Rızasının Bulunması 

Kişisel verilerin işlenme şartlarından biri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

 b) Kanunlarda Açıkça Öngörülmesi

 Veri sahibinin kişisel verileri, kanunlarda açıkça öngörülmesi halinde açık rızası alınmadan hukuka uygun olarak işlenebilecektir.

 c) Fiili İmkansızlık Sebebiyle Kişisel Veri Sahibinin Açık Rızasının Alınamaması

 Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

 d) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması

 Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi mümkündür.

 e) Hukuki Yükümlülük

 Şirketimizin hukuki yükümlülüklerini yerine getirmesi için veri işlemenin zorunlu olması halinde kişisel veri sahibinin verileri işlenebilecektir.

 f) Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi

 Veri sahibinin, kişisel verisini kendisi tarafından alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.

g) Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir

h) Şirketimizin Meşru Menfaati İçin Veri İşlemenin Zorunlu Olması

Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

 

Bu doğrultuda, kişisel veri işleme faaliyetinin dayanağı yukarıda belirtilen şartlardan yalnızca biri olabildiği gibi bu şartlardan birden fazlası da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir.

 

6. KİŞİSEL VERİLERİN İMHA EDİLMESİ İŞLEMİ İLE İLGİLİ UYGULANAN YÖNTEMLER VE KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER

 

Şirketimiz, Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel verileri aşağıdaki yöntemlerle silmekte, yok etmekte veya anonim hale getirilmesi getirmektedir. Şirketimiz, kişisel verilerin imhasında azami dikkat ve özeni göstermektedir. Bu kapsamda Şirketimiz, Kanun’un 12’nci maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kurul kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır. İmha kapsamında gerçekleştirilen tüm işlemler Şirketimiz tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanmaktadır. Şirketimiz, Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını teknolojik imkanlar ve uygulama maliyetine göre seçmekte olup, kişisel veri sahibinin talebi halinde uygun yöntemin gerekçesini açıklamaktadır.

 

(a) Kişisel Verilerin Silinme Yöntemleri

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirketimiz, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri silme işlemi için aşağıdaki yöntemleri uygulamaktadır:

 

a) Hizmet Olarak Uygulama Türü Bulut Çözümleri (Ofice 365, Salesforce, Dropbox gibi)

Bulut sisteminde bulunan verilerin, silme komutu verilerek silinmesi sağlanır.

 

ii) Kağıt Ortamında Bulunan Kişisel Veriler

Kağıt ortamında bulunan kişisel verilerin karartma yöntemi kullanılarak silinmesi sağlanır. Bu işlem sayesinde ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak ilgili kullanıcılara görünemez hale getirilmesi sağlanır.

iii) Merkezi Sunucuda Yer Alan Ofis Dosyaları

Dosyanın işletim sistemindeki silme komutu ile silinmesi veya dosya ya da dosyanın bulunduğu

dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması sağlanır.

iv) Taşınabilir Medyada Bulunan Kişisel Veriler

Flash tabanlı saklama ortamlarındaki kişisel veriler, şifreli olarak saklanmakta ve bu ortamlara uygun yazılımlar kullanılarak silinmesi sağlanır.

v) Veri Tabanları

Kişisel verilerin bulunduğu ilgili satırların veri tabanı komutları ile (DELETE vb.) silinmesi sağlanır.

Şirketimizin kişisel verilerin silinmesi işleminde izlediği süreç aşağıdaki gibidir:

● Silme işlemine konu teşkil edecek kişisel verilerin belirlenmesi,

● Erişim yetki ve kontrol matrisi ya da benzer bir sistem kullanarak her bir kişisel veri için ilgili kullanıcıların tespit edilmesi,

● İlgili kullanıcıların erişim, geri getirme, tekrar kullanma gibi yetkilerinin ve yöntemlerinin tespit edilmesi,

● İlgili kullanıcıların kişisel veriler kapsamındaki erişim, geri getirme, tekrar kullanma yetki ve yöntemlerinin kapatılması ve ortadan kaldırılması

(b) Kişisel Verilerin Yok Edilme Yöntemleri

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirketimiz, kişisel verilerin yok edilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri yok etme işlemi için aşağıdaki yöntemleri uygulamaktadır:

i) Yerel Sistemler

1- De-manyetize Etme: Manyetik medyanın özel bir cihazdan geçirilerek yüksek değerde bir manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması sağlanır.

 

2- Fiziksel Yok Etme: Optik veya manyetik medyayı eritmek, yakmak, toz haline getirmek ya da bir metal öğütücüden geçirmek gibi işlemlerle verilerin erişilmez kılınması sağlanır. Katı hal diskler bakımından üzerine yazma veya de-manyetize etme işlemi başarılı olmazsa, bu medyanın da fiziksel olarak yok edilmesi sağlanır. (Aday verilerinin muhafaza süresinin dolmasıyla birlikte imha edilmesi yoluyla fiziksel yok etme işlemi gibi)

 

3- Üzerine Yazma: Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının önüne geçilmesi sağlanır. Bu işlemin özel yazılımlar kullanılarak yapılması sağlanır.

 

ii) Çevresel Sistemler

1- Ağ cihazları (switch, router vb.): Söz konusu cihazların içindeki saklama ortamları sabittir. Ürünler, çoğu zaman silme komutuna sahiptir ama yok etme özelliği bulunmamaktadır.

 

2- Flash tabanlı ortamlar: Flash tabanlı sabit disklerin ATA (SATA, PATA vb.), SCSI (SCSI Express vb.) arayüzüne sahip olanları, destekleniyorsa komutunu kullanmak, desteklenmiyorsa üreticinin önerdiği yok etme yöntemini kullanmak ya da belirtilen uygun yöntemlerin bir ya da birkaçı kullanılmak suretiyle yok edilmesi sağlanır.

3- Manyetik bant: Esnek bant üzerinde mikro mıknatıs parçaları yardımı ile saklandığı ortamlarda veriler, çok güçlü manyetik ortamlara maruz bırakılıp de-manyetize edilerek ya da yakma, eritme gibi fiziksel yok etme yöntemleriyle verilerin yok edilmesi sağlanır.

 

4- Manyetik disk gibi üniteler: Esnek (plaka) ya da sabit ortamlar üzerindeki mikro mıknatıs parçaları yardımı ile saklandığı ortamlarda veriler, çok güçlü manyetik ortamlara maruz bırakıp de-manyetize ederek ya da yakma, eritme gibi fiziksel yok etme yöntemleriyle verilerin yok edilmesi sağlanır.

 

5- Mobil telefonlar (Sim kart ve sabit hafıza alanları): Taşınabilir akıllı telefonlardaki sabit hafıza alanlarında silme komutu bulunmakta, ancak çoğunda yok etme komutu bulunmamaktadır.

 

6- Optik diskler: CD, DVD gibi veri saklama ortamlarında yakma, küçük parçalara ayırma, eritme gibi fiziksel yok etme yöntemleriyle verilerin yok edilmesi sağlanır.

 

7- Veri kayıt ortamı çıkartılabilir olan yazıcı, parmak izli kapı geçiş sistemi gibi çevre birimleri: Tüm veri kayıt ortamlarının söküldüğü doğrulanarak özelliğine göre belirtilen uygun yöntemlerin bir ya da birkaçı kullanılmak suretiyle verilerin yok edilmesi sağlanır.

 

8- Veri kayıt ortamı sabit olan yazıcı, parmak izli kapı geçiş sistemi gibi çevre birimleri: Söz konusu sistemlerin çoğunda silme komutu bulunmakta, ancak yok etme komutu bulunmamaktadır. Belirtilen uygun yöntemlerin bir ya da birkaçı kullanılmak suretiyle verilerin yok edilmesi sağlanır.

iii) Kağıt ve Mikrofiş Ortamları: Söz konusu ortamlardaki kişisel veriler, kalıcı ve fiziksel olarak ortam üzerine yazılı olduğundan ana ortamın yok edilmesi sağlanır. Bu işlem gerçekleştirilirken ortamı kağıt imha veya kırpma makinaları ile anlaşılmaz boyutta, mümkünse yatay ve dikey olarak, geri birleştirilemeyecek şekilde küçük parçalara bölmektedir. Orijinal kağıt formattan, tarama yoluyla elektronik ortama aktarılan kişisel verilerin ise bulundukları elektronik ortama göre (a)’da belirtilen uygun yöntemlerin bir ya da birkaçını kullanmak suretiyle yok edilmesi sağlanır.

 

iv) Bulut Ortamı: Söz konusu sistemlerde yer alan kişisel verilerin depolanması ve kullanımı sırasında, kriptografik yöntemlerle şifrelenmesi ve kişisel veriler için mümkün olan yerlerde, özellikle hizmet alınan her bir bulut çözümü için ayrı ayrı şifreleme anahtarları kullanılabilir. Bulut bilişim hizmet ilişkisi sona erdiğinde; kişisel verileri kullanılır hale getirmek için gerekli şifreleme anahtarlarının tüm kopyalarının yok edilmesi sağlanır.

 

Yukarıdaki ortamlara ek olarak arızalanan ya da bakıma gönderilen cihazlarda yer alan kişisel verilerin yok edilmesi işlemleri ise aşağıdaki şekilde gerçekleştirilir: i) İlgili cihazların bakım, onarım işlemi için üretici, satıcı, servis gibi üçüncü kurumlara aktarılmadan önce içinde yer alan kişisel verilerin (a)’da belirtilen uygun yöntemlerin bir ya da birkaçı kullanılmak suretiyle yok edilmesi, ii) Yok etmenin mümkün ya da uygun olmadığı durumlarda, veri saklama ortamının sökülerek saklanması, arızalı diğer parçaların üretici, satıcı, servis gibi üçüncü kurumlara gönderilmesi, iii) Dışarıdan bakım, onarım gibi amaçlarla gelen personelin, kişisel verileri kopyalayarak kurum dışına çıkartmasının engellenmesi için gerekli önlemler alınmaktadır.

 

(c) Kişisel Verilerin Anonim Hale Getirilme Yöntemleri

 

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, Şirketimiz, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekmektedir. Şirketimiz, kişisel verilerin anonim hale getirilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri anonim hale getirme işlemi için aşağıdaki yöntemleri uygulamaktadır:

 

i)  Değer Düzensizliği Sağlamayan Anonim Hale Getirme Yöntemleri

1- Değişkenleri Çıkartma

2- Kayıtları Çıkartma

3- Alt ve Üst Sınır Kodlama

4- Bölgesel Gizleme

5- Genelleştirme

6-  Global kodlama

7-  Örnekleme

 

ii) Değer Düzensizliği Sağlayan Anonim Hale Getirme Yöntemler

1-  Mikro-Birleştirme

2- Veri Değiş-Tokuşu

3- Gürültü Ekleme

4- Tekrar Örnekleme

 

iii) Anonim Hale Getirmeyi Kuvvetlendirici İstatistik Yöntemler

1-  K-Anonimlik

2- L-Çeşitlilik

3-  T-Yakınlık

Şirketimiz yukarıdaki yöntemlerden bir veya bir kaçını uygun bulduğu ölçüde uygun bulduğu şekilde kullanabilecektir.

 

Şirketimiz yukarıdaki yöntemlerden hangilerinin uygulanacağına bünyesinde barındırdığı verileri ve veri durumlarını göz önünde bulundurarak bu yöntemlerin bir veya bir kaçını uygun bulduğu ölçüde uygulayabilecektir.

 

Bu yöntemler uygulanırken sahip olunan veri kümesine dair aşağıdaki özellikleri dikkate almaktadır.

● Verinin niteliği,

● Verinin büyüklüğü,

● Verinin fiziki ortamlarda bulunma yapısı,

● Verinin çeşitliliği,

● Veriden sağlanmak istenen fayda / işleme amacı,

● Verinin işleme sıklığı,

● Verinin aktarılacağı tarafın güvenilirliği,

● Verinin anonim hale getirilmesi için harcanacak çabanın anlamlı olması,

● Verinin anonimliğinin bozulması halinde ortaya çıkabilecek zararın büyüklüğü, etki alanı,

● Verinin dağıtıklık/merkezilik oranı,

● Kullanıcıların ilgili veriye erişim yetki kontrolü ve

● Anonimliği bozacak bir saldırı kurgulanması ve hayata geçirilmesi için harcayacağı çabanın anlamlı olması ihtimali.

Bir veriyi anonim hale getirdiğini düşünen Şirketimiz, kişisel veriyi aktardığı diğer kurum ve kuruluşların bünyesinde olduğu bilinen ya da kamuya açık bilgilerin kullanılması ile söz konusu verinin yeniden bir kişiyi tanımlar nitelikte olup olmadığını, yapacağı sözleşmelerle ve risk analizleriyle kontrol etmek sorumluluğundadır.

7. KİŞİSEL VERİLERİN GÜVENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER

Şirketimiz, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi konusunda azami dikkat ve özeni göstermekte olup, Kanun’un 12’nci maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kurul kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır:

 

Veri Güvenliği Tedbirlerimiz:

 

Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

Anahtar yönetimi uygulanmaktadır.

Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.

Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

Çalışanlar için yetki matrisi oluşturulmuştur.

Erişim logları düzenli olarak tutulmaktadır.

Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.

Gizlilik taahhütnameleri yapılmaktadır.

Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

Güncel anti-virüs sistemleri kullanılmaktadır.

Güvenlik duvarları kullanılmaktadır.

İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.

Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.

Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

Kişisel veri güvenliğinin takibi yapılmaktadır.

Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

Kişisel veriler mümkün olduğunca azaltılmaktadır.

Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.

Mevcut risk ve tehditler belirlenmiştir.

Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.

Sızma testi uygulanmaktadır.

Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.

Şifreleme yapılmaktadır.

Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.

Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

Veri kaybı önleme yazılımları kullanılmaktadır.

 8. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜREÇLERİNDE YER ALANLARIN UNVANLARI, BİRİMLERİ VE GÖREV TANIMLARI

Şirketimiz, kişisel verilerin saklanması ve imha edilmesi süreçlerinde yer alan kişileri, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir. Bu kapsamda, Şirketimiz çalışanları ve görevleri dolayısıyla kişisel verileri öğrenen kişiler, bahse konu bilgileri Kanun ve diğer ilgili mevzuat hükümlerine uyun olarak saklamakta ve imha etmektedir. Bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam etmektedir.

Bu kapsamda, Şirketimizin saklama ve imha süreçlerinde yer alan kişilere ilişkin detaylar aşağıda açıklanmaktadır:

 

 

Unvan	Birim	Görev
Yetenek Kazanımı Kıdemli Uzmanı	İnsan Kaynakları	İşe alım, aday bulma, başvuruları değerlendirme, adaylar ile iletişim, seçme, yerleştirme, işe giriş evrak takibi ve saklanması, işe alıştırma ve iç iletişim süreçleri
Kıdemli Sistem&Network Uzmanı	IT	Sistem ve Network altyapısının sağlıklı ve güvenlik prensibleri içerisinde çalışması. Kullanıcıların yetkilendirilmesi. Dış ve iç IP erişiminin denetlenmesi. Sunucu kurulum ve bakımlarının yapılması.

 

 9.SAKLAMA VE İMHA SÜRELERİ

Şirketimiz, kişisel verileri ancak ilgili uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri aşağıdaki EK-1 Saklama ve İmha Süreleri Tablosu’nda belirtilen azami süreler boyunca saklamakta ve imha etmektedir:

 

Kişisel veri sahibinin, Şirketimize başvurarak kendisine ait kişisel verilerin imha edilmesini talep etmesi halinde Şirketimiz:

 

(a) kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa:

 

(i) kişisel veri sahibinin talebini en geç otuz gün içinde sonuçlandırır ve kişisel veri sahibine bilgi verir, ve

(ii) talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa, bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.

 

(b) kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, kişisel veri sahibinin talebini Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesini açıklayarak reddedilebilir ve ret cevabını kişisel veri sahibine en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

10. PERİYODİK İMHA SÜRELERİ

Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıkması halinde kişisel verileri 6 aylık periyotlar halinde imha işlemine tabi tutmaktadır. Anılan süre, her hal ve koşulda Yönetmelik’in 11’inci maddesinde belirtilen azami periyodik imha süresini aşmamaktadır.

11. YÜRÜRLÜK

İşbu Politika 01.01.2021 tarihinde yürürlüğe girmiştir. Politika değişen şartlara ve mevzuata uyum sağlamak amacıyla zaman zaman güncellenebilecektir. Güncel Politika [işbu platformda ] yayımlandığı tarihte yürürlüğe girecektir.

 

İşbu Politika ile Kanun, Yönetmelik ile Kişisel Veri Saklama Ve İmha Politikası hükümleri arasında herhangi bir çelişki olması halinde, Kanun, Yönetmelik ile Kişisel Verilerin Saklama Ve İmha Politikasında yer alan hükümler geçerli olacaktır.

 EK – 1 Saklama ve İmha Süreleri Tablosu 

 

Veri Kategorisi	Veri Saklama Süresi
1-Kimlik Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
2-İletişim Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
4-Özlük Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
5-Hukuki İşlem Kişisel Veri	Hukuki İlişki Süresince + 30 Yıl
6-Müşteri İşlem Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
7-Fiziksel Mekan Güvenliği Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
8-İşlem Güvenliği Kişisel Veri	3 Yıl
9-Risk Yönetimi Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
10-Finans Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
11-Mesleki Deneyim Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
12-Pazarlama Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
13-Görsel Ve İşitsel Kayıtlar Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
16-Felsefi İnanç, Din, Mezhep Ve Diğer İnançlar Özel Nitelikli Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
21-Sağlık Bilgileri Özel Nitelikli Kişisel Veri	Hukuki İlişki Süresince + 15 Yıl
23-Ceza Mahkûmiyeti Ve Güvenlik Tedbirleri Özel Nitelikli Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
24-Biyometrik Veri Özel Nitelikli Kişisel Veri	Kişi İşten Ayrılıncaya Dek
26-Diğer Bilgiler-Çalışan Adayı Bilgisi Kişisel Veri	1 Yıl
26-Diğer Bilgiler-İmza Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
26-Diğer Bilgiler-Meslek/Görev/Unvan Bilgisi Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
26-Diğer Bilgiler-Çalışan Bilgisi Kişisel Veri	Hukuki İlişki Süresince + 10 Yıl
26-Diğer Bilgiler-Çalışan İşlem Güvenliği Bilgisi Kişisel Veri	Kullanıcı Aktif Olduğu Sürece