Politikalar

İŞİNOLACAK BİLGİ TEKNOLOJİLERİ YAPAY ZEKA İNSAN KAYNAKLARI TİCARET VE SANAYİ ANONİM ŞİRKETİ

GİZLİLİK POLİTİKASI

1. GİRİŞ

İşinolacak Bilgi Teknolojileri Yapay Zeka İnsan Kaynakları Tic. San. A.Ş. (bundan sonra “ŞİRKET” veya “İŞİNOLACAK” olarak anılacaktır) 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve bu kanunun uygulanmasına yönelik diğer düzenlemelere tam uyumun sağlanması için gerekli olan hassasiyeti en üst düzeyde göstermekte olup, bu kapsamda uygun güvenlik tedbirlerinin alınması ve uygulanmasından tüm çalışanlarımızın sorumluluğu bulunmaktadır.

ŞİRKET iç işleyişinin, Kanun, ikincil düzenlemeler, Kişisel Verileri Koruma Kurumu rehberleri, kararları ve düzenlemeleri ile tebliğler kapsamında düzenlenmesi ŞİRKET’in öncelikli konularındandır.

2. TANIMLAR

Açık Rıza : Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

Anonim hâle getirme : Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

Doğrudan tanımlayıcılar : Tek başlarına, ilişki içinde oldukları kişiyi doğrudan açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcıları,

Dolaylı tanımlayıcılar : Diğer tanımlayıcılar ile bir araya gelerek ilişki içinde oldukları kişiyi açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcıları,

İlgili kişi : Kişisel verisi işlenen gerçek kişiyi,

İmha : Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

Özel Nitelikli Kişisel Veri : Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,

Kişisel Verilerin İşlenmesi : Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

Kanun : 07.04.2016 tarih ve 29677 sayılı Resmi Gazetede yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanununu,

Yönetmelik : 28.10.2017 tarihli ve 30224 sayılı Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğini

Kurul : Kişisel Verileri Koruma Kurulunu

Kayıt ortamı : Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,

Veri kayıt sistemi : Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini

ifade eder.

3. AMAÇ

6698 Sayılı Kişisel Verilerin Korunması Kanunu ve bu kanunun uygulanmasına yönelik ikincil düzenlemelere ŞİRKET’in uyumunu sağlamak üzere oluşturulan işbu İŞİNOLACAK Bilgi Teknolojileri Yapay Zeka İnsan Kaynakları Tic. San. A.Ş. Kişisel Verilerin Korunması ve İşlenmesi Politikası’nın (“Politika”) amacı, kişisel verilerin korunması hakkındaki düzenlemelere ilişkin yükümlülüklere uyumun sağlanması, ŞİRKET içi işleyiş kurallarının ve sorumlulukların belirlenmesi, ŞİRKET’in gerçekleştirdiği faaliyetler kapsamında temin edilen bilgilerin işlenmesi ve gizliliğinin korunması ile ilgili hususların değerlendirilerek, stratejilerin, ŞİRKET içi kontrol ve önlemlerin, işleyiş kurallarının ve sorumlulukların belirlenmesi ile kişisel veri sahiplerinin ve ŞİRKET çalışanlarının bilgilendirilmesidir.

ŞİRKET’imizce kanunda öngörülen temel düzenlemeler doğrultusunda, ŞİRKET işleyişi içerisinde kişisel verilerin işlenmesi ve korunması bakımından gerekli idari ve teknik tedbirler alınmakta, gerekli iç prosedürler oluşturulmakta, farkındalığı yükseltilmesi amacıyla gerekli eğitimler düzenlenmekte, çalışanların KVKK süreçlerine uyumları için gerekli tedbirler alınmakta, uygun ve etkin denetim mekanizmaları ile teknolojik altyapı, idari ve hukuki sistem kurulmaktadır.

4. KAPSAM

İşbu Politika, ŞİRKET, ŞİRKET iştiraklerinde ve faaliyet gösterdikleri ülkelerdeki mevzuatın uygun olması koşulu ile yurt dışı şubelerinde ve iştiraklerinde, ŞİRKET’in müşterileri, potansiyel müşterileri, çalışanları, çalışan adayları, hissedarları, ziyaretçileri, kendisi ile imzalanan bir sözleşme çerçevesinde (destek hizmeti, değerleme, bağımsız denetim, derecelendirme, danışmanlık, hizmet, satın alma, iş birliği vb.) iş ilişkisi içerisinde bulunduğu kurum ve kuruluşlar ve bunların çalışanları, hissedarları ve yetkilileri ile üçüncü kişilerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm Kişisel Verilerine uygulanmaktadır.

İşbu Politika çerçevesinde ŞİRKET bünyesinde gerçekleştirilecek tüm faaliyetler ve alınacak önlemler ilgili prosedürlerle belirlenir.

5. KİŞİSEL VERİLERİN İŞLENMESİNDE GENEL İLKELER

ŞİRKET, kişisel verilerin işlenmesinde her zaman Kanunda ortaya konulan genel ilkelere uygun davranmaktadır. Kişisel verilerin işlenmesinde genel ilkeler ise şunlardır: Hukuka ve dürüstlük kurallarına uygun olma, Doğru ve gerektiğinde güncel olma, Belirli, açık ve meşru amaçlar için işlenme, İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

1. Hukuka ve Dürüstlük Kurallarına Uygun Olma

ŞİRKET tarafından kişisel veri işleme faaliyetleri, başta Özel İstihdam Büroları Yönetmeliği ve Kişisel Verilerin Korunmasına dair yasal mevzuat olmak üzere ŞİRKET’in tabi olduğu tüm mevzuat hükümleri doğrultusunda ve Medeni Kanun’un 2. Maddesi ile öngörülen dürüstlük kuralına uygun olarak yürütülür.

2. Doğru ve Gerektiğinde Güncel Olma

ŞİRKET, Kişisel Veri Sahiplerinin temel haklarını ve meşru menfaatlerini dikkate alarak işlediği Kişisel Verilerin doğru ve güncel olmasını sağlar. Bu kapsamda ilgili kişi bilgilerinin doğru ve güncel olmasını temin edecek kanalları açık tutar. Ayrıca verilerin elde edildiği kaynakların belirli olması, doğruluğunun teyit edilmesi, güncellenmesi gerekip gerekmediğinin değerlendirilmesi gibi hususları özenle dikkate alır.

3. Belirli, Açık ve Meşru Amaçlar İçin İşlenme

ŞİRKET, veri işleme amacını açık ve kesin olarak belirler ve bu amacın meşru olmasını sağlar. Bu kapsamda kişisel veriler ŞİRKET tarafından sunulmakta ya da sunulacak ürün/hizmetler ve yasal yükümlülükleri ile sınırlı olarak işlenmektedir. Kişisel verilerin hangi amaçlarla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır.

4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

ŞİRKET tarafından kişisel veriler, işlenme amaçları ile bağlantılı ve sınırlı olmak üzere bu amacın gerçekleşmesi için gerektiği ölçüde işlenir amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan Kişisel Verilerin işlenmesinden kaçınılır. Kişisel verilerin işlenmesi faaliyetler ve yasal yükümlülükler ile sınırlıdır.

5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan

Süre Kadar Muhafaza Edilme

ŞİRKET, tabii olduğu tüm mevzuatlar gereği, verilerin saklanması için öngörülen bir süre bulunması halinde bu sürelere uyum gösterir; aksi durumda kişisel verileri, ancak işlendikleri amaç için gerekli olan süre kadar muhafaza eder. Bir kişisel verinin daha fazla saklanması için geçerli bir sebep olmaması durumunda, söz konusu veri imha edilir.

6. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

1. Kanunlarda Açıkça Öngörülmesi: Yasal mevzuat hükümlerinde açıkça öngörülen hallerde, veri işleme faaliyetleri yasal mevzuat sınırlarını aşmamak kaydıyla ilgili kişinin rızası alınmadan gerçekleştirilebilmektedir.

2. Fiili İmkansızlık: Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde kişisel veriler işlenebilmektedir. Bu düzenleme doğrultusunda öngörülen hallerde ŞİRKET kişisel verileri işleyebilecektir.

3. Sözleşmenin Kurulması ve İfası İçin Gerekli Olması: Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde ve bu amaçla sınırlı olmak üzere kişisel veriler işlenmektedir.

4. Hukuki Yükümlülük: ŞİRKET mevzuat hükümlerinden doğan yükümlülüklerinin yerine getirebilmesi için, söz konusu yükümlülüğün sınırları ile bağlı olacak şekilde kişisel verileri işlemektedir.

5. Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi: İlgili kişinin kişisel verilerini alenileştirmesi halinde, ŞİRKET tarafından söz konusu kişisel veriler, alenileştirme amaçları ile orantılı olarak işlenebilmektedir.

6. Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması: Kişisel veriler, bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde ŞİRKET tarafından işlenebilmektedir.

7. ŞİRKET’in Meşru Menfaati İçin Veri İşlemenin Zorunlu Olması: Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla ŞİRKET’in meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

8. Kişisel Veri Sahibinin Açık Rızasının Bulunması: Kişisel verilerin işlenmesinde yukarıda yer verilen kişisel veri işleme şartlarının herhangi birisinin mevcut olmaması halinde, ŞİRKET ilgili kişinin açık rızasına başvurabilmektedir. Kişisel veri sahibinin açık rızası; belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle alınmaktadır.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kanun’un 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veriler “özel nitelikli” olarak belirlenmiştir. Özel nitelikli kişisel veriler kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi ve diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir.

ŞİRKET, Kanun ile “özel nitelikli” olarak belirlenen kişisel verileri Kanun’a uygun bir biçimde ve Kurul tarafından belirlenmiş ve belirlenecek olan yeterli önlemler de alınarak aşağıdaki durumlarda işlemektedir.

1. Kanunlarda Açıkça Öngörülmesi: Yasal mevzuat hükümlerinde açıkça öngörülen hallerde, özel nitelikli kişisel veri işleme faaliyetleri yasal mevzuat sınırlarını aşmamak kaydıyla ilgili kişinin rızası alınmadan gerçekleştirilebilmektedir.

2. Fiili İmkansızlık: Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde özel nitelikli kişisel veriler işlenebilmektedir. Bu düzenleme doğrultusunda öngörülen hallerde ŞİRKET özel nitelikli kişisel verileri işleyebilecektir.

3. Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi: İlgili kişinin özel nitelikli kişisel verilerini alenileştirmesi halinde, ŞİRKET tarafından söz konusu özel nitelikli kişisel veriler, alenileştirme amaçlarıyla orantılı ve alenileştirme iradesine uygun olarak işlenebilmektedir.

4. Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması: Özel nitelikli kişisel veriler, bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde ŞİRKET tarafından işlenebilmektedir.

5. Sağlık Hizmetlerinin Planlanması, Yönetimi ve Finansmanı: Özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması halinde sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca işlenebilmektedir.

6. Hukuki Yükümlülük: Özel nitelikli kişisel veriler, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olduğu ölçüde ŞİRKET tarafından işlenebilmektedir.

7. Kişisel Veri Sahibinin Açık Rızasının Bulunması: Özel nitelikli kişisel verilerin işlenmesinde yukarıda yer verilen kişisel veri işleme şartlarının herhangi birisinin mevcut olmaması halinde, ŞİRKET ilgili kişinin açık rızasına başvurabilmektedir. Kişisel veri sahibinin açık rızası; belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle alınmaktadır.

8. ORTAMLAR VE GÜVENLİK TEDBİRLERİ

1.  KİŞİSEL VERİLERİN SAKLANDIĞI ORTAMLAR

ŞİRKET nezdinde saklanan kişisel veriler, ilgili verinin niteliğine ve hukuki yükümlülüklerimize uygun bir kayıt ortamında tutulur.

Kişisel verilerin saklanması için kullanılan kayıt ortamları genel itibariyle aşağıda sayılanlardır. Ancak, bir kısım veriler sahip oldukları özel nitelikler ya da hukuki yükümlülüklerimiz ve meşru menfaatimiz nedeniyle burada gösterilen ortamlardan farklı bir ortamda tutulabilir. ŞİRKET her halde veri sorumlusu sıfatıyla hareket etmekte ve kişisel verileri Kanun’a ve işbu Kişisel Veri Saklama ve İmha Politikası’na uygun olarak işlemek ve korumaktadır.

1. Matbu ortamlar :Verilerin kağıt ya da mikrofilmler üzerine basılarak tutulduğu

ortamlardır.

2. Yerel dijital ortamlar :ŞİRKET bünyesinde yer alan sunucular, sabit ya da taşınabilir

diskler, optik diskler gibi sair dijital ortamlardır.

3. Bulut ortamlar :ŞİRKET bünyesinde yer almamakla birlikte, ŞİRKET’ın

kullanımında olan, kriptografik yöntemlerle şifrelenmiş internet

tabanlı sistemlerin kullanıldığı ortamlardır.

1. ORTAMLARIN GÜVENLİĞİNİN SAĞLANMASI

ŞİRKET, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için ilgili kişisel veri ile tutulduğu ortamın niteliklerine uygun olarak gerekli tüm teknik ve idari tedbirleri almaktadır.

İşbu tedbirler, bunlarla kısıtlı olmamak üzere, ilgili kişisel verinin ve tutulduğu ortamın niteliğine uygun düştüğü ölçüde aşağıdaki idari ve teknik tedbirleri kapsar.

1. Teknik Tedbirler

ŞİRKET, kişisel verilerin saklandığı tüm ortamların ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki teknik tedbirleri almaktadır:

• Kişisel verilerin tutulduğu ortamlarda yalnızca teknolojik gelişmelere uygun güncel ve güvenli sistemler kullanılmaktadır.

• Kişisel verilerin tutulduğu ortamlara yönelik güvenlik sistemleri kullanılmaktadır.

• Bilişim sistemleri üzerindeki güvenlik zafiyetlerinin tespitine yönelik güvenlik testleri ve araştırmaları yapılmakta, yapılan test ve araştırmaların sonucunda tespit edilen mevcut ya da muhtemel risk teşkil eden hususlar giderilmektedir.

• Kişisel verilerin tutulduğu ortamlara veriye erişim kısıtlanarak yalnızca yetkili kişilerin, kişisel verinin saklanma amacı ile sınırlı olarak bu verilere erişmesine izin verilmekte ve tüm erişimler kayıt altına alınmaktadır.

• ŞİRKET bünyesinde kişisel verilerin tutulduğu ortamların güvenliğini sağlamak üzere yeterli teknik personel bulundurmaktadır.

  1. İdari Tedbirler

ŞİRKET, kişisel verilerin saklandığı tüm ortamların ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki idari tedbirleri almaktadır:

• Kişisel verilere erişimi olan tüm ŞİRKET çalışanlarının bilgi güvenliği, kişisel veriler ve özel hayatın gizliliği konularında farkındalıklarının artırılması ve bilinçlendirilmesi için çalışmalar yapılmaktadır.

• Bilgi güvenliği, özel hayatın gizliliği ve kişisel verilerin korunması alanındaki gelişmeleri takip etmek ve gerekli aksiyonları almak üzere hukuki ve teknik danışmanlık hizmeti alınmaktadır.

• Kişisel verilerin teknik ya da hukuki gereklilikler nedeniyle üçüncü kişilere aktarılması halinde ilgili üçüncü kişilerle kişisel verilerin korunması amacıyla protokoller imzalanmakta, ilgili üçüncü kişilerin bu protokollerdeki yükümlülüklerine uyması için gerekli tüm özen gösterilmektedir.

  1. Şirket İçi Denetim

ŞİRKET, Kanun’un 12’nci maddesi uyarınca Kanun hükümlerinin, işbu Kişisel Veri Saklama ve İmha Politikası ile Kişisel Verilerin İşlenmesi ve Korunması Politikası hükümlerinin uygulanmasına ilişkin şirket içi denetimler yapmaktadır.

Şirket içi denetimler sonucunda bu hükümlerin uygulanmasına ilişkin eksiklik ya da kusurların tespit edilmesi halinde bu eksiklik ya da kusurlar derhal giderilir.

Denetim sırasında ya da sair bir şekilde ŞİRKET sorumluluğunda bulunan kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin anlaşılması hâlinde, ŞİRKET bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

9. KİŞİSEL VERİLERİN İMHASI

1. SAKLAMA VE İMHA NEDENLERİ

1. Saklama Nedenleri

ŞİRKET bünyesinde tutulan kişisel veriler, burada belirtilen amaç ve nedenlerle saklanmaktadır.

2. İmha Nedenleri

ŞİRKET bünyesinde bulunan kişisel veriler ilgili kişinin talebi halinde ya da Kanun’un 5’nci ve 6’ncı maddelerinde sayılan nedenlerden ilgili verinin işlenmesine uygun olanının ortadan kalkması halinde resen işbu imha politikası uyarınca silinir, yok edilir veya anonim hale getirilir.

Kanun’un 5’nci ve 6’ncı maddelerinde sayılan nedenler aşağıdakilerden ibarettir:

• Kanunlarda açıkça öngörülmesi.

• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

• İlgili kişinin kendisi tarafından alenileştirilmiş olması.

• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

1. İMHA YÖNTEMLERİ

ŞİRKET, Kanuna ve sair mevzuata uygun olarak sakladığı kişisel verileri, verilerin işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde ilgili kişinin talebi doğrultusunda ya da işbu Kişisel Veri Saklama ve İmha Politikasında belirtilen süreler içinde re’sen siler, yok eder veya anonim hale getirir.

ŞİRKET tarafından en çok kullanılan silme, yok etme ve anonim hale getirme teknikleri aşağıda sıralanmaktadır:

1. Silme Yöntemleri

• Matbu Ortamda Tutulan Kişisel Veriler İçin Silme Yöntemleri

  • Karartma : Matbu ortamda bulunan kişisel veriler karartma yöntemi kullanılarak silinir. Karartma işlemi, ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemez hale getirilmesi şeklinde yapılır.

• Bulut ve Yerel Dijital Ortamda Tutulan Kişisel Veriler İçin Silme Yöntemleri

  • Yazılımdan güvenli olarak silme : Bulut ortamda ya da yerel dijital ortamlarda tutulan kişisel veriler bir daha kurtarılamayacak şekilde dijital komutla silinir. Bu şekilde silinen verilere tekrar ulaşılamaz.

    1. Yok Etme Yöntemleri

• Matbu Ortamda Tutulan Kişisel Veriler İçin Yok Etme Yöntemleri

  • Fiziksel yok etme : Matbu ortamda tutulan belgeler evrak imha makineleri ile tekrar bir araya getirilemeyecek şekilde yok edilir.

• Yerel Dijital Ortamda Tutulan Kişisel Veriler İçin Yok Etme Yöntemleri

  • Fiziksel yok etme : Kişisel veri barındıran optik ve manyetik medyanın eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemidir. Optik veya manyetik medyayı eritmek, yakmak, toz haline getirmek ya da bir metal öğütücüden geçirmek gibi işlemlerle verilerin erişilmez kılınması sağlanır.

  • Üzerine yazma : Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazılarak eski verinin okunmasının ve kurtarılmasının önüne geçilir.

• Bulut Ortamda Tutulan Kişisel Veriler İçin Yok Etme Yöntemleri

  • Yazılımdan güvenli olarak silme : Bulut ortamda tutulan kişisel veriler bir daha kurtarılamayacak şekilde dijital komutla silinir ve bulut bilişim hizmet ilişkisi sona erdiğinde kişisel verileri kullanılır hale getirmek için gerekli şifreleme anahtarlarının tüm kopyaları yok edilir. Bu şekilde silinen verilere tekrar ulaşılamaz.

    1. Anonimleştirme Yöntemleri

Anonimleştirme, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

• Değişkenleri çıkarma : İlgili kişiye ait kişisel verilerin içerisinde yer alan ve ilgili kişiyi herhangi bir şekilde tespit etmeye yarayacak doğrudan tanımlayıcıların bir ya da birkaçının çıkarılmasıdır.

Bu yöntem kişisel verinin anonim hale getirilmesi için kullanılabileceği gibi, kişisel veri içerisinde veri işleme amacına uygun düşmeyen bilgilerin bulunması halinde bu bilgilerin silinmesi amacıyla da kullanılabilir.

• Bölgesel gizleme : Kişisel verilerin toplu olarak anonim şekilde bulunduğu veri tablosu içinde istisna durumda olan veriye ilişkin ayırt edici nitelikte olabilecek bilgilerin silinmesi işlemidir.

• Genelleştirme : Birçok kişiye ait kişisel verinin bir araya getirilip, ayırt edici bilgileri kaldırılarak istatistiki veri haline getirilmesi işlemidir.

• Alt ve üst sınır kodlama / Global kodlama : Belli bir değişken için o değişkene ait aralıklar tanımlanarak kategorilendirilir. Değişken sayısal bir değer içermiyorsa bu halde değişken içindeki birbirine yakın veriler kategorilendirilir. Aynı kategori içinde kalan değerler birleştirilir.

• Mikro birleştirme : Bu yöntem ile veri kümesindeki bütün kayıtlar öncelikle anlamlı bir sıraya göre dizilip sonrasında bütün küme belirli bir sayıda alt kümelere ayrılır. Daha sonra her alt kümenin belirlenen değişkene ait değerinin ortalaması alınarak alt kümenin o değişkenine ait değeri ortalama değer ile değiştirilir. Bu sayede veri içerisinde bulunan dolaylı tanımlayıcılar bozulmuş olacağından, verinin ilgili kişiyle ilişkilendirilmesi zorlaştırılır.

• Veri karma ve bozma : Kişisel veri içerisindeki doğrudan ya da dolaylı tanımlayıcılar başka değerlerle karıştırılarak ya da bozularak ilgili kişi ile ilişkisi koparılır ve tanımlayıcı niteliklerini kaybetmeleri sağlanır.

ŞİRKET, kişisel verilerin anonim hale getirilmesi için ilgili verinin niteliğine göre bu sayılan anonimleştirme yöntemlerinden bir ya da birkaçını kullanır. ŞİRKET, bu anonimleştirme yöntemlerini kullanırken K-Anonimlik (K-Anonymity), L-Çeşitlilik (L-Diversity) ve T-Yakınlık (T-Closeness) istatistik yöntemlerini kullanabilir.

10. KİŞİSEL VERİLERİN AKTARILMASI

1.  KİŞİSEL VERİLERİN YURTİÇİNDE AKTARILMASI

    1.  Kişisel Verilerin İşlenmesine İlişkin Şartları Sağlanması

Kişisel verilerin işlenmesine ilişkin işbu Politikanın Veri İşleme Şartları başlığında belirtilen, 9.1, 9.2, 9.3, 9.4, 9.5, 9.6, 9.7 maddeleri ile açıklanan ve Kanun’un 5/2 maddesinde düzenlenen koşullarda, ŞİRKET’imiz kişisel veri işleme envanterinde belirtilen alıcı gruplarına kişisel verilerin aktarılması mümkündür.

2. Özel Nitelikli Kişisel Verilerin Aktarılması Yönünden İlgili Şartların Sağlanması

ŞİRKET’imiz, özel nitelikli kişisel verileri, işbu Politikanın 10. maddesi ile açıklanan ve Kanun’un 6/3 maddesinde düzenlenen koşulların gerçekleştiğini tespit etmek suretiyle Kurul tarafından belirlenen yeterli önlemlerin alınmış olması şartıyla üçüncü şahıslara aktarabilmektedir.

3. İlgili Kişinin Açık Rızasının Bulunması

Kişisel verilerin ve/veya özel nitelikli kişisel verilerin aktarılmasına dair yukarıda yer verilen şartların mevcut olmaması halinde, ŞİRKET’imizce ilgili kişinin açık rızasına başvurulmaktadır. İlgili kişiye açık rızasına ihtiyaç duyulan hususa dair bilgilendirme yapılmak ve bu husus ile sınırlı olarak kendisinden açık rızası alınmak suretiyle veri aktarımı gerçekleştirilmektedir.

2. KİŞİSEL VERİLERİN YURTDIŞINA AKTARILMASI

ŞİRKET, Kişisel verilerin yurtdışına aktarılmasında, kişisel verilerin ve özel nitelikli kişisel verilerin işlenmesine ilişkin işbu Politikanın Veri İşleme Şartları başlığında belirtilen, 9 ve 10. maddeleri ile açıklanan ve Kanun’un 5/2 ve 6/3 maddelerinde düzenlenen koşulların sağlandığına emin olduktan sonra ayrıca aşağıda belirtilen hususlara da riayet edilerek yurtdışına veri aktarımı yapılabilmektedir.

1. Kişisel Verinin Aktarılacağı Ülke, Sektörler veya Uluslararası Kuruluşlar Hakkında Yeterlilik Kararı Bulunması

Kişisel veriler ve özel nitelikli kişisel veriler Kanun’un 5 inci ve 6 ncı maddelerinde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından verilmiş bir yeterlilik kararı bulunması halinde yurt dışına aktarılabilir.

2. Yeterlilik Kararının Bulunmaması

Kurul tarafından verilmiş bir yeterlilik kararı bulunmaması durumunda kişisel veriler ve özel nitelikli kişisel veriler, Kanun’un 5 inci ve 6 ncı maddelerinde belirtilen şartlardan birinin varlığı ve ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunduğunun tespit edilmesi suretiyle, aşağıda belirtilen uygun güvencelerden biri sağlanarak yurt dışına aktarılabilir.

1. Veri Koruma Önlemlerinin Bulunduğu Standart Sözleşmenin Varlığı

Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden ve Türkiye’deki veri sorumlusu (ŞİRKET) ve ilgili yabancı ülkedeki veri sorumlusu arasında düzenlenmiş olan standart sözleşmenin varlığı halinde yurt dışına kişisel veri aktarımı yapılabilir.

2. Yazılı Taahhütnamenin Varlığı ve Kurulun İzni

Türkiye’deki veri sorumlusu (ŞİRKET) ve ilgili yabancı ülkedeki veri sorumlusu arasında düzenlenmiş yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi durumunda yurt dışına kişisel veri aktarımı yapılabilir.

3. Bağlayıcı Şirket Kuralları

Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı halinde yurt dışına kişisel veri aktarımı yapılabilir.

3. Arızi Durumlar

Kurul tarafından verilmiş bir yeterlilik kararı bulunmaması ve bu politikanın 8.2.2 maddesinde belirtilen uygun güvencelerden herhangi birinin sağlanamadığı durumlarda kişisel veriler ve özel nitelikli kişisel veriler, arızi olmak kaydıyla aşağıdaki hallerden birinin varlığı halinde yurt dışına aktarılabilir.

1. İlgili Kişinin Açık Rızasının Bulunması

ŞİRKET ilgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi halinde kişisel verileri ve/veya özel nitelikli kişisel verileri yurt dışına aktarabilir.

2. İlgili Kişi ile ŞİRKET Arasındaki Sözleşmenin İfası

ŞİRKET ile ilgili kişi arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için veri aktarımının zorunlu olması durumunda, kişisel verileri ve/veya özel nitelikli kişisel verileri yurt dışına aktarılabilir.

3. ŞİRKET ile Diğer Gerçek veya Tüzel Kişi Arasında Sözleşmenin Kurulması ve İfası

İlgili kişi yararına, ŞİRKET ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için veri aktarımının zorunlu olması durumunda, kişisel verileri ve/veya özel nitelikli kişisel verileri yurt dışına aktarılabilir.

4. Üstün Bir Kamu Yararının Bulunması

Yurt dışına yapılacak veri aktarımının üstün bir kamu yararı için zorunlu olması durumunda kişisel veriler ve/veya özel nitelikli kişisel veriler yurt dışına aktarılabilir.

5. Bir Hakkın Tesisi

Kişisel veriler ve/veya özel nitelikli kişisel veriler, bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde ŞİRKET tarafından yurt dışına aktarılabilir.

6. Fiili İmkansızlık

Kişisel veriler ve/veya özel nitelikli kişisel veriler, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması amacıyla ŞİRKET tarafından yurt dışına aktarılabilir.

7. Meşru Menfaati Bulunan Kişinin Talebi ile Kamuya veya Menfaati Bulunanlara Açık Bir Sicilden Aktarım Yapılması

Kişisel veriler ve/veya özel nitelikli kişisel veriler, kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla ŞİRKET tarafından yurt dışına aktarılabilir.

11. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ, ANONİMLEŞTİRİLMESİ

ŞİRKET, kişisel verileri kanunlarda ve sair mevzuatta öngörülen süreler uyarınca saklamaktadır. ŞİRKET kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması ve bunu takiben ilgili kanun düzenlemelerinde yer alan sürenin sona ermesi ile resen 1 yıl süre ile periyodik olarak veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

12. YÜKÜMLÜLÜKLERİMİZ

1.  Aydınlatma

ŞİRKET tarafından kişisel verilerin elde edilmesi sırasında; Veri sorumlusunun kimliği, Kişisel verilerin hangi amaçla işleneceği, Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, Kişisel veri toplamanın yöntemi ve hukuki sebepleri, İlgili kişinin sahip olduğu hakları konularında ilgili kişi aydınlatılmaktadır.

Ayrıca, ŞİRKET kişisel veri sahipleri ile ilgililere işbu Politika başta olmak üzere çeşitli kamuoyuna açık dokümanlarla veri işleme faaliyetlerini ilgili mevzuata uygun şekilde gerçekleştirdiğini duyurarak, kişisel veri işleme faaliyetlerinde ilgilileri bilgilendirmeyi ve şeffaflığı sağlamaktadır.

2. Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü

ŞİRKET kişisel veri güvenliğinin sağlanması konusuna azami dikkat ve özeni göstermekte olup, işbu kapsamda Kanun’un 12’nci maddesi uyarınca “veri güvenliğini” sağlamaya yönelik aşağıda belirtilen hususlar ile ilgili gerekli tedbirler alınmaktadır.

a) ŞİRKET; Kişisel verilerin hukuka aykırı olarak işlenmesini önlemeye, Kişisel verilere hukuka aykırı olarak erişilmesini önlemeye, Kişisel verilerin muhafazasının sağlanması amacıyla uygun güvenlik düzeyini temin etmeye yönelik başta Kurulun yayınladığı Kişisel Veri Güvenliği Rehberi olmak üzere gerekli her türlü teknik ve idari tedbirlerin alınmasını temin eder.

b) ŞİRKET, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, yukarıda birinci maddede belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

c)ŞİRKET, İç Denetim/İç Kontrol birimleri tarafından, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimlerin yapılmasını sağlar.

d) ŞİRKET bünyesinde çalışanlar, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir.

e) ŞİRKET, çalışanlarının tümünün ŞİRKET’in veri sorumlusu sıfatıyla işlemekte olduğu kişisel verilerin tümüne erişmesi engellenmekte ve veri işleme amacı göz önüne alınarak erişim yetkileri düzenlenmektedir.

f) ŞİRKET, çalışanları ile arasındaki ilişkiyi düzenleyen her türlü belgeye, kişisel verilerin hukuka uygun olarak işlenmesi için Kanun ile öngörülen yükümlülüklere uygun hareket edilmesi, kişisel verilerin ifşa edilmemesi ve kişisel verilerin hukuka aykırı olarak kullanılmaması gerektiğini düzenleyen gizlilik hükümleri eklenmektedir.

g) ŞİRKET bünyesinde çalışanları ve/veya görevleri dolayısıyla kişisel bilgileri öğrenen kişiler, bahse konu bilgileri Kanun ve diğer ilgili mevzuat hükümlerine aykırı olarak başkasına açıklamamakta ve işleme amacı dışında kullanmamaktadırlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

h) ŞİRKET, kişisel verileri aktardığı üçüncü şahısların da, işbu Politika ve Kanun hükümleri doğrultusunda verileri hukuka uygun olarak işleme, koruma ve verilere hukuka uygun olarak erişme yükümlülüklerini yerine getirmesinden Kanun’un 12. Maddesi gereği sorumludur. Bu nedenle kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere, kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına, kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ve ŞİRKET’e kendi nezdinde denetim yapma yetkisi verileceğine ilişkin hükümler eklenmektedir.

i) ŞİRKET, kişisel verilerin güvenli ortamlarda saklanması ve hukuka aykırı amaçlarla yok edilmesini, kaybolmasını veya değiştirilmesini önlemek için teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır.

j) ŞİRKET, kişisel verilerin muhafaza edildiği sistemlere dışarıdan sızılmasının engellenmesi ve olası risklerin izlenmesi için gerekli yazılım ve donanımların kurulmasını sağlamakta, sızma testlerini yaptırmakta, veri kaybının önlenmesi için yapılacak yedeklemeler yönünden de aynı güvenlik önlemlerinin alınmasını temin etmektedir.

k) İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, bahse konu durum en kısa sürede ilgilisine ve Kurula bildirir. Ayrıca Kurul tarafından gerek görülmesi halinde bu durum, Kurul’un internet sitesinde veya başka bir yöntemle ilan edilir.

13. İLGİLİ KİŞİNİN HAKLARI

Kanun’un 11. maddesi uyarınca ilgili kişi, Veri Sorumlusu olan ŞİRKET’e karşı aşağıdaki haklara sahiptir:

• Kişisel verilerinin işlenip işlenmediğini öğrenmek,

• Kişisel verileri işlenmiş ise buna ilişkin bilgi talep etmek,

• Kişisel verilerinin işleme amacını ve bunların işleme amacına uygun kullanılıp kullanılmadığını öğrenmek,

• Yurtiçinde ve yurtdışında kişisel verilerinin aktarıldığı üçüncü kişileri bilmek,

• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini istemek,

• Şartları gerçekleşmişse kişisel verilerinin silinmesini veya yok edilmesini talep etmek ve bu taleplerinin üçüncü kişilere iletilmesini istemek,

• İşlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etmek,

• Kişisel verilerinin kanuna aykırı işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etmek.

14. İLGİLİ KİŞİNİN BAŞVURU YÖNTEMLERİ

İlgili kişilerin haklarına ilişkin taleplerini bize iletmeleri durumunda, talebin niteliğine göre ne kısa sürede veya en geç otuz gün içinde ücretsiz olarak talep sonuçlandırılmaktadır. Ancak verilecek cevabın mahiyetine göre ayrıca, Kurul tarafından belirlenen tarifedeki ücret alınabilmektedir.

ŞİRKET tarafından ilgili kişiye talebine ilişkin başvuru sonucu, isteği doğrultusunda yazılı veya elektronik ortamda gönderilir. ŞİRKET, talebin niteliğine göre ilgili kişinin başvurusunu kabul edebileceği gibi, gerekçesini açıklayarak reddedebilir. Başvurunun kabul edilmesi halinde gereği tarafımızca gecikmeksizin yerine getirilir.

Kişisel veri sahibinin, başvurusunun reddedilmesi, verilen cevabı yetersiz bulması veya süresinde başvuruya cevap verilmemesi halinde Kurul’a şikayet hakkı bulunmaktadır. Kişisel veri sahibi ilgili kişi, taleplerini ŞİRKET’e yazılı olarak kimliğini tevsik edici belgeler ile (nüfus cüzdanı, kimlik kartı, ehliyet, pasaport vb.) şahsen başvuru yapmak suretiyle teslim edebilir, noter kanalıyla Kozyatağı Mah. Saniye Ermutlu Sk. By Otell No: 3c Kadıköy/İstanbul adresine gönderebilir, ya da ŞİRKET’e daha önce bildirilen ve sistemde kayıtlı bulunan elektronik posta adresini kullanarak [email protected] adresine iletebilir.

15. KURUL KARARLARINA UYUM VE ETKİ DEĞERLENDİRMESİ

ŞİRKET içerisinde Kişisel Verilerin Korunması Kanununa, ilgili yönetmeliklere, tebliğlere ve Kurul kararlarına uyum konusunda tecrübeli ve yetkin bir birim mevcut olup, bu birim yeni bir ürün / süreç oluşturulma aşamasında sürecin paydaşlarından biri olarak Kanun’a uyum konusunda gerekli etki değerlendirmelerini yapmaktadır.

16. GÜNCELLEME VE UYUM

ŞİRKET, Kanunda yapılan değişiklikler nedeniyle, Kurum kararları uyarınca ya da sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda Kişisel Verilerin İşlenmesi ve Korunması Politikasında ya da işbu Kişisel Veri Saklama ve İmha Politikasında değişiklik yapma hakkını saklı tutar.

İşbu Kişisel Veri Saklama ve İmha Politikasında yapılan değişiklikler derhal metne işlenir.