Epos Gayrimenkul Danışmanlık ve Değerleme A.Ş. (“Epos Gayrimenkul veya Şirket” olarak anılacaktır) olarak iş ortaklarımızın, çözüm ortaklarımızın, müşterilerimizin, tedarikçilerimizin, kiraya verenlerimizin başta temel hak ve özgürlüklerini korumak olmak üzere özel hayatlarına ilişkin gizliliğin korunması, bilgi güvenliğinin sağlanması ve korunması öncelikli prensiplerimiz arasında yer almakta olup; “Kişisel Verilerin Korunması” hakkında sizleri bilgilendirmek istedik. Epos Gayrimenkul İş bu Kişisel Verilerin Korunması Hakkında Aydınlatma metnini yürürlükteki mevzuatta yapılabilecek değişiklikler çerçevesinde her zaman güncelleme hakkını saklı tutar.
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 10’uncu maddesi uyarınca kişisel verileriniz toplanabileceğinden, kişisel verilerin toplama yöntemi ve hukuki sebebi, kişisel verilerinizin Şirketimiz tarafından hangi amaçlarla işlendiği, kişisel verilerinizin hangi üçüncü kişilere açıklandığı/aktarıldığı ve hangi amaçlarla açıklandığına ve veri sahibi olarak kullanabileceğiniz haklarınıza ilişkin aydınlatma yükümlülüğümüz bulunmaktadır.
Bu metnin hedef kitlesi, Şirketimiz çalışanları veya Şirketimize iş başvurusu yapmış olan çalışan adayları dışındaki, Şirketimiz tarafından kişisel verileri işlenen tüm gerçek kişilerdir.
İşlenen Kişisel Veriler:
Kimlik Bilgisi: Kimlik (ad soyad, T.C. kimlik no, imza)
İletişim Bilgisi: İletişim (adres no, e-posta adresi, iletişim adresi, kayıtlı elektronik posta adresi (KEP), telefon no gibi)
Hukuki İşlem: (Adli makamlarla yazışmalardaki bilgiler, dava dosyasındaki bilgiler gibi)
Müşteri İşlem: (Fatura, senet, çek bilgileri, gişe dekontlarındaki bilgiler, talep bilgisi gibi)
İşlem Güvenliği (IP adresi bilgileri, internet sitesi giriş çıkış bilgileri gibi)
Risk Yönetimi (Ticari, teknik, idari risklerin yönetilmesi için işlenen bilgiler gibi)
Finansal Bilgi (Fatura bilgileri, Banka Bilgileri, Iban No, Gayrimenkul ve menkul mallar)
Veri Konusu Kişi Konusu:
- Potansiyel Ürün veya Hizmet Alıcısı
- Tedarikçi Çalışanı
- Tedarikçi Yetkilisi
- Ürün veya Hizmet Alan Kişi
- Ziyaretçi
- Diğer (İş Ortağı Yetkili / Çalışanı – Çözüm Ortağı Yetkili / Çalışanı)
Kişisel Verilerinizin İşlenmesi:
07.04.2016 tarihli 29677 sayılı Resmi Gazete ’de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun” olarak anılacaktır) kapsamında; kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem “kişisel verilerin işlenmesi” olarak kabul dilmektedir. Şirketimiz ile gerek Tedarikçi İlişkisi, çözüm ortağı, iş ortağı gerek Müşteri İletişimi ve Epos Gayrimenkul ürün finansmanı vb. hizmetler kiraya veren olarak imzalanan Sözleşmeler kapsamında paylaşmış olduğunuz kişisel verileriniz, Şirketimiz tarafından Kanun’a uygun şekilde saklanacak, kaydedilecek, güncellenecek, mevzuatın izin verdiği şekle uygun olarak sözleşme ilişkisi içerisinde olduğumuz iş ortaklarımız ile kanunen yetkili kamu kurum ve kuruluşları gibi üçüncü kişilere aktarılabilecek ve Kanun’da sayılan şekillerde işlenebilecektir.
Kişisel Verilerinizin Toplanma Yöntemi:
Şirketimiz faaliyet alanı gereği müşterilerinden gelen talep üzerine menkul ve Gayrimenkul malların değerlemesi yapmakta ve raporlar hazırlamaktadır. Kişisel verileriniz; doğrudan sizler tarafından, talep formlarının doldurulması kurumsal internet sitelerimiz kanalıyla veya e-posta veya diğer yollarla ya da iş ilişkilerimiz sırasında, ticari sözleşmelerin imzalanması aşamasında ve/veya ticari ilişki süreci süresi içerisinde tarafımıza ilettiğiniz bilgiler, internet sitemizi ziyaret ettiğiniz sırada iletişim formunu doldurmanız, Gdtys müşteri programını kullanmanız, fiziksel formlar gibi çeşitli kanallar veya e-posta yazışmalarındaki paylaşımlarınız, sizlere ait menkul veya gayrimenkulün değerleme raporunun hazırlanması için aracılığıyla sözlü, yazılı veya elektronik ortamda olmak kaydıyla çeşitli yöntemlerle doğrudan sizlerden veya aracı kıldığınız gerçek veya tüzel kişilerden temin edilmekte ve muhafaza edilmektedir.
Kişisel verileriniz, sözleşme ifası ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. Maddesinde belirtilen hukuki sebeplere dayanılarak işlenmektedir.
Kişisel Verilerinizin İşlenmesinin Hukuki Sebebi:
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, Kanuni yükümlülüklerimizin yerine getirilmesi,
Kişisel verileriniz, İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması, sözleşme ifası ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun Kanunun 5. ve 6. maddelerinde belirtilenler ile aşağıda yer verilen hukuka uygunluk sebeplerine dayanılarak işlenebilir.
Aşağıda belirtilen amaçlara yönelik olarak verilerinizi işlememizin ve sizinle iletişime geçmemizin hukuki sebebi sözleşme ifası ve diğer ilgili kanunlarda öngörülmüş olmasıdır. (Kanun’un 5’inci maddesi)
- Kanunlarda öngörülmesi
- 6102 Sayılı Türk Ticaret Kanunu,
- 213 Sayılı Vergi Usul Kanunu,
- 6698 Sayılı Kişisel Verileri Koruma Kanunu,
- 4721 Sayılı Türk Medeni Kanunu,
- 6098 Sayılı Borçlar Kanunu,
- 6362 Sermaye Piyasası Kanunu,
- Sermaye Piyasasında Faaliyette Bulunanlar İçin Lisanslama ve Sicil Tutmaya İlişkin Esaslar Hakkında Tebliğ (VII-128.7)
- Sermaye Piyasasında Faaliyette Bulunacak Gayrimenkul Değerleme Kuruluşları Hakkında Tebliğ (III-62.3)
- Sermaye Piyasasında Uluslararası Değerleme Standartları Hakkında Tebliğ (III-62.1)
- 5411 sayılı Bankacılık Kanunu (m. 34)
- Bankaların Değerleme Hizmeti Almaları ve Bankalara Değerleme Hizmeti Verecek Kuruluşların Yetkilendirilmesi ve Faaliyetleri Hakkında Yönetmelik
- 16.12.2010 Tarih ve 3980 Sayılı BDDK Kurul Kararı
- 31.12.2010 Tarih ve 2010/45 Sayılı BDDK Basın Açıklaması (16.12.2010 Tarih ve 3980 Sayılı BDDK Kurul Kararı’na İlişkin 30.12.2010 Tarih ve 4005 Sayılı BDDK Kurul Kararı Hakkında)
- 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla (gayrimenkul değerleme hizmeti verdiğimiz müşterilerimizin sağladığı kişisel veriler bu kapsamdadır), sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Talep edilen ürün ve hizmetleri sunabilmek ve akdettiğiniz sözleşmelerinin gereğinin yerine getirilmesi,
- Hukuki yükümlülüğün yerine getirebilmesi için zorunlu olması,
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
Kişisel Verilerinizin İşlenme Amacı:
Toplanan kişisel verileriniz, Kanun tarafından öngörülen temel ilkelere uygun olarak ve Kanun’un 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları ve amaçları dâhilinde, şirket tarafından aşağıda yer alan amaçlar doğrultusunda işlenebilecektir:
- Acil Durum Yönetimi Süreçlerinin Yürütülmesi
- Bilgi Güvenliği Süreçlerinin Yürütülmesi
- Eğitim Faaliyetlerinin Yürütülmesi
- Erişim Yetkilerinin Yürütülmesi
- Faaliyetlerin Mevzuata Uygun Yürütülmesi
- Finans ve Muhasebe İşlerinin Yürütülmesi
- Fiziksel Mekân Güvenliğinin Temini
- Hukuk İşlerinin Takibi ve Yürütülmesi
- İletişim Faaliyetlerinin Yürütülmesi
- İş Faaliyetlerinin Yürütülmesi / Denetimi
- İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
- Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
- Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
- Mal / Hizmet Satış Süreçlerinin Yürütülmesi
- Mal / Hizmet Üretim ve Operasyon Süreçlerinin Yürütülmesi
- Risk Yönetimi Süreçlerinin Yürütülmesi
- Saklama ve Arşiv Faaliyetlerinin Yürütülmesi
- Sözleşme Süreçlerinin Yürütülmesi
- Talep ve Şikâyet Yönetim Süreçlerinin Yönetilmesi
- Veri Sorumlusu Operasyonlarının Güvenliğinin Temini
- Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi
- Yönetim Faaliyetlerinin Yürütülmesi
Kişisel Verilerinizin Aktarımı:
Kişisel veriler, Kanun’un 5. maddesinin 2. fıkrasında yer alan şartlardan birinin bulunması halinde işbu metnin dördüncü maddesinde belirtilen amaçlarla sınırlı olarak, şirket tarafından yukarıda yer alan amaçlar doğrultusunda, doğrudan veya dolaylı olarak yurtiçindeki hissedarlarımıza, iş ortaklarımıza, tedarikçilerimize, iş süreçlerinin yürütülmesi amacıyla, şirket çalışanlarına, kanunen yetkili kamu kurum ve kuruluşları ve kanunen yetkili özel hukuk kişilerine Kanun’un 8. ve 9. maddelerinde belirtilen şartlar çerçevesinde gerekli güvenlik önlemleri alınmak kaydıyla aktarılabilmektedir.
Kanun’un 5. maddesinin 2. fıkrasında yer alan şartlardan birinin bulunmaması halinde Kişisel Verilerin aktarımı ilgili kişinin açık rızasına tabidir.
Veri Sahibi Olarak Haklarınız:
Kişisel Verilerinizin işlenmesi ile ilgili olarak veri sorumlusu sıfatıyla Epos Gayrimenkul Danışmanlık ve Değerleme A.Ş.’ye başvurarak 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 11. Maddesi uyarınca:
- Kişisel verinizin işlenip işlenmediğini öğrenme,
- Kişisel veriniz işlenmişse buna ilişkin bilgi talep etme,
- Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
- Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- Kanun’un 7. Maddesinde öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,
- Yukarıda yer alan (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle tarafınız aleyhine bir sonucun ortaya çıkmasına itiraz etme, ve
- Kişisel verilerinizin Kanun’a aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme,
Yukarıda sıralanan haklarınıza yönelik Başvuru Formu’nu yazan talimatlara uygun olarak doldurarak, formun imzalı bir nüshasını Epos Gayrimenkul Danışmanlık ve Değerleme A.Ş. Kore Şehitleri, Yüzbaşı Kaya Aldoğan Sokak Engin İş Merkezi No: 20 K: 2 34394 Zincirlikuyu – Şişli / İstanbul adresine kimliğinizi tespit edici belgeler ile bizzat elden iletebilir, noter kanalıyla veya Kanun’da belirtilen diğer yöntemler ile gönderebilirsiniz. Talebinizin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak başvurularınız sonuçlandırılacaktır; ancak ayrıca bir maliyet doğması halinde Şirket’in Kişisel Verileri Koruma Kurulunca belirlenecek tarifeye göre tarafınızdan ücret talep edebilme hakkı saklıdır.
VERİ SORUMLUSU İLETİŞİM BİLGİLERİ
EPOS GAYRİMENKUL DANIŞMANLIK VE DEĞERLEME A.Ş.
Mersis No: 0336 0504 3000 0015
WEB Sayfası: https://www.epos.com.tr
E-Mail: info@epos.com.tr
Kep Adresi: epos@epos.hs03.kep.tr
Adres: Kore Şehitleri, Yüzbaşı Kaya Aldoğan Sokak Engin İş Merkezi
No: 20 K: 2 34394 Zincirlikuyu – Şişli / İstanbul
KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
BÖLÜM 1 – POLİTİKANIN AMACI
Kişisel Verilerin Korunması hakkı, Türkiye Cumhuriyeti Anayasası MADDE 20’de aşağıdaki şekilde yer almaktadır.
“Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz. (Ek fıkra: 12/9/2010-5982/2 md.) Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”
Bireyin temel hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı amaçlayan, 6698 sayılı Kişisel Verilerin Korunması Kanunu, önceki metinler üzerinde yapılan çeşitli değişikliklerle 18 Ocak 2016 tarihinde TBMM Başkanlığı’na sevk edilmiş ve 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış, 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12.nci maddesinin (1) numaralı fıkrasında Veri Sorumlusunun;
Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
Kişisel verilerin muhafazasını sağlamak; amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğu,
(5) numaralı fıkrasında ise, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna (Kurul) bildireceği, Kurulun, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceği hükme bağlanmıştır.
Şirket, bu Politika ile bir Anayasal hak olan Kişisel Verilerinin Korunmasını, Şirket Politikası haline getirmekte ve hukuki ve sosyal sorumluluğu kapsamında Kişisel Veri Koruma Kanunu ve mevzuat ve düzenlemelerine uymayı taahhüt etmektedir.
Kişisel Verilerinin Korunmasını Politikası ile, şirket bünyesinde kişisel verilerin hukuka uygun olarak işlenmesi ve korunması konusunda farkındalığın oluşması ve tüm süreçlerde mevzuata uyumu temin etmek için sürdürülebilir ve denetlenebilir sistemin kurulması amaçlanmaktadır.
Şirket tarafından gerçekleştirilen kişisel veri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeler ve veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) yer alan düzenlemelere uyumu bakımından temel prensipler açıklanmakta ve böylelikle Şirketimiz, kişisel veri sahiplerini bilgilendirerek gerekli şeffaflığı sağlamaktadır.
BÖLÜM 2 – TANIMLAR
Kişisel Verileri Koruma Kanunu ve Şirketin Kişisel Verilerin Korunması ve İşlenmesi Politikasında yer alan bazı tanımların açıklamalarına aşağıda yer verilmiştir.
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Kişisel Veri Sahibi: Kişisel verisi işlenen gerçek kişi müşteriler, çalışanlar, çalışan adayları, tedarikçiler ve çalışanları, ortaklar, Şirketle yapılmış sözleşme kapsamındaki diğer üçüncü şahıs gerçek kişiler.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Örneğin; adı-soyadı, T.C. Kimlik No, e-posta, adres, iş adresi, doğum tarihi, doğum yeri, kredi kartı numarası, ehliyet numarası, banka hesap numarası, pasaport numarası, ruhsat numarası, diploma vb.
Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli verilerdir.
Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde işlendiği ve saklandığı veri kayıt sistemini kuran ve yöneten kişi veri sorumlusudur.
Veri İşleyen: Veri sorumlusunun verdiği yetki kapsamında onun adına veri işleyen gerçek veya tüzel kişi.
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
Kişisel Verilerin Silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilmez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Kişisel Verilerin Yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir
Anonim Hale Getirme: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesidir.
KVKK: 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete de yayımlanan Kişisel Verilerin Korunması Kanunu
KVK Kurulu: Kişisel Verileri Koruma Kurulu
Kişisel Veri Saklama ve İmha Politikası: Kişisel Verilerin Silinmesi, Yok Edilmesi, Anonim Hale Getirilmesi Hakkında Yönetmelik gereğince, Şirket tarafından kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yapılmış olan Şirket “Kişisel Veri Saklama ve İmha Politikası”.
Veri Sorumluları Sicili: KVK Kurulu gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı gözetiminde tutulan ve kamuya açık olan Veri Sorumluları Sicili.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ: 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ.
BÖLÜM 3 – KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN GENEL İLKELER
Kişisel Verilerin Korunması Kanunu ‘Genel İlkelerde’;
KANUN MADDE 4.
(1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebilir.
(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
- a) Hukuka ve dürüstlük kurallarına uygun olma.
- b) Doğru ve gerektiğinde güncel olma.
- c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
- d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” hükümleri yer almaktadır.
Şirketimiz uygulamalarında; Kişisel verilerin işlenme amaçları açıkça ortaya konulmakta, amaçlara veri envanterinde ve aydınlatma metinlerin de yer verilmektedir. Veriler iş faaliyetleriyle bağlantılı amaçlar kapsamında sınırlı olarak işlenmektedir. Kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemler alınmaktadır.
Şirketimiz kişisel verileri işlendikleri amaç için gerekli olan süre ve faaliyetle ilgili yasal mevzuatta öngörülen süre kadar muhafaza etmektedir. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır.
BÖLÜM 4 – İŞLENEN KİŞİSEL VERİLER VE İŞLENME AMAÇLARI
Aydınlatma Metinlerinde, işlenen kişisel verilerinize, işleme amacı ve hukuki sebepleriyle eşleştirilerek her veri kategorisi bazında ayrı ayrı yer verilmektedir.
İlgili tüm kişilere bilgi verilmesi amacıyla şirket müşterilerine, çalışan ve çalışan adaylarına, danışman, hizmet sağlayıcı ve tedarikçilere, çözüm ortaklarına, ziyaretçilere yönelik ayrı aydınlatma metinleri hazırlanmış ve uygulamaya alınmıştır.
Aydınlatma metinlerinde yer alan Veri Kategori başlıklarına aşağıda yer verilmiştir. Kategorilerde işlenen bilgiler iş süreçlerine, sektörlere göre değişiklik göstermekte ve elde edilen değişik bilgiler kategori alanlarına işlenmektedir.
İşlenen Veri kategorileri:
Kimlik Bilgisi; Kişinin kimliğine dair bilgiler; Ad – Soyad, T.C. kimlik numarası, uyruk bilgisi, anne adı, baba adı, doğum yeri, doğum tarihi, cinsiyet bilgileri, vergi numarası, SGK numarası, imza bilgisi, taşıt plakası, ehliyet, nüfus cüzdanı ve pasaport gibi belgelerin bilgileri.
İletişim bilgileri; Telefon numarası, açık adres bilgisi, e-posta adresi, şirket içi iletişim bilgileri (dâhili telefon numarası, kurumsal e-posta adresi) faks bilgileri, kayıtlı elektronik posta adresi (KEP),
Şirket araçlarını ve cihazlarını kullanırken bulunduğu yerin konumunu tespit eden kişisel veriler; GPS verileri, seyahat verileri.
Aile Bireyleri ve Yakını Bilgisi; Şirket iş birimleri tarafından yürütülen operasyonlar çerçevesinde, Birliğin ve veri sahibinin hukuki menfaatlerini korumak amacıyla kişisel veri sahibinin aile bireyleri (eş, anne, baba, çocuk) ve yakınları hakkındaki kişisel veriler.
Hukuki İşlem Bilgisi; Birliğin hukuki alacak ve haklarının tespiti, takibi ve borçlarının ifası ile kanuni yükümlülükler Birlik politikalarına uyum kapsamında işlenen kişisel veriler.
Özel Nitelikli Kişisel Veri; KVK Kanunu’nun 6. maddesinde belirtilen veriler (kan grubu da dahil çalışanlara ait sağlık verileri, biyometrik veriler, engellilik durumu, kullanılan cihaz ve protez bilgileri).
Finansal Bilgiler; IBAN, kart bilgisi, banka adı, finansal profil, mail order formu, kredi notu, sözleşme bilgileri, vergi dairesi no.
Çalışan Özlük Bilgileri; Özgeçmişi (cv), sosyal güvenlik no, savunma ve ihtar belgeleri/tutanaklar, aile yakını verileri; evlilik cüzdanı; eş ve çocuklarının adı, soyadı, AGİ belgesi, T.C. kimlik numarası, performans değerlendirme formu, aktivite bilgileri, geri bildirim formları, e-mailleri, acil durumda aranacak yakınlarının adı, soyadı ve telefon numarası, sicil no, pozisyon adı, departmanı ve birimi, unvanı, son işe giriş tarihi, işe giriş çıkış tarihleri, sigorta giriş/emeklilik tahsis no., Ceza Mahkumiyetine İlişkin Bilgiler; Güvenlik tedbirlerine ilişkin bilgiler: Sabıka kaydı, Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi, Hukuki belgeler Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler.
Mesleki deneyim bilgisi; Diploma bilgileri, kurs bilgileri, meslek içi eğitim bilgileri, sertifikalar, tecrübe belgesi, lisans belgesi.
Görsel Veriler; Kamera kayıtlarından elde edilen görüntüler.
Kişisel Verilerin Korunması mevzuatına uyumlu olarak elde edilen ve işlenen kişisel verileriniz Şirketimize ait fiziki arşivler ve/veya bilişim sistemlerine nakledilerek, hem dijital ortamda hem de fiziki ortamda muhafaza edilecek, güvenlik tedbirleri alınarak kontrolü şirketimizde olmak üzere şirket dışındaki teknolojik ortamlarda yedeklenebilecektir.
BÖLÜM 5 – KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ
Kanunun veri sorumlularına ilişkin getirdiği en önemli yükümlülüklerden biri de aydınlatma yükümlülüğüdür. Bu yükümlülük, ilgili kişilerin kişisel verileri üzerinde kontrol ve denetim yetkisinin sahip olduğunun en önemli göstergesidir. Kanunun 10. maddesi ile getirilen aydınlatma yükümlülüğü, veri sorumluları için bir yükümlülük olmakla birlikte aynı zamanda kişisel verisi işlenen gerçek kişiler için de bir haktır.
Şirketimiz, Kişisel Verilerin Korunması Kanunu 10. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatmaktadır. Bu kapsamda, veri sorumlusunun kimliği, varsa temsilcisinin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile kişisel veri sahibinin sahip olduğu haklar konusunda ilgili kişilere bilgilendirme yapmaktadır. Bilgilendirmede; genel nitelikte, muğlak ve gündeme gelmesi muhtemel başka amaçlar için işlenebileceği kanaatini uyandıran ifadelerden kaçınılmaktadır. Şirket, kişisel verileri amacın gerektirdiği faaliyetler dışında kullanmamaktadır. Amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmaktadır.
Kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır. Tebliğin 5. maddesi birinci fıkrasına göre; aydınlatma yükümlülüğü yerine getirilirken işleme amacının belirli, açık ve meşru olması gerekir.
Veri kategorisi bazında amaçlar belirlenmekte ve her kategori için Kanunun 5. ve 6. maddelerinde yer alan hukuki şartlardan hangisine dayalı olarak veri işlendiğine ve verilerin kimlere aktarılabileceğine ve aktarma amaçlarına, aydınlatma metninde yer verilmektedir.
Şirket, Kişisel Verilerin Korunması Kanunu 11. maddesine uygun olarak Kişisel Veri Sahibinin bilgi talep etmesi durumunda, ilgili kişiye gerekli bilgilendirmeleri süresi içinde yapmaktadır. Başvuru cevaplanmasının zamanında ve hukuka uygun yapılması için ‘Başvuru Cevaplama Prosedürü’ düzenlenerek şirket içinde sorumlu kişiler belirlenmiş ve görevlendirilmiştir.
BÖLÜM 6 – KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ VE HUKUKİ SEBEBİ
Kişisel veriler, Faaliyet konularımıza uygun düşecek şekilde; sözlü, yazılı, kağıt ya da elektronik ortamda işlenen bilgiler, çağrı merkezi ve kamera kayıtlarıyla elde edilen görsel ve işitsel veriler, web sitesi başvuruları, e-posta ve KEP yoluyla iletilen bilgiler, paylaşılan finansal veriler, sözleşme bilgileri, dilekçeler, hukuki tebligatlar, yapılan yazışmalar yoluyla ve tarafınızdan alenileştirilen bilgiler vasıtasıyla fiziksel ve elektronik ortamlardan toplanmaktadır.
Kişisel verileriniz,
Kişisel Verilerin Korunması Kanunu Mad. 5/2-a: “Kanunlarda öngörülmesi”,
Kişisel Verilerin Korunması Kanunu Mad. 5/2-c: “Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması”,
Kişisel Verilerin Korunması Kanunu Mad. 5/2-ç: “Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması”,
Kişisel Verilerin Korunması Kanunu Mad. 5/2-d: “İlgili kişinin kendisi tarafından alenileştirilmiş olması”,
Kişisel Verilerin Korunması Kanunu Mad. 5/2-e: “Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması”,
Kişisel Verilerin Korunması Kanunu Madde. 5/2-f: “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için zorunlu olması”, hukuki sebeplerinden en az birine ve gerektiğinde açık rıza hükmüne dayanarak toplanmakta ve işlenmektedir. Şirketimiz geçerli bir amaç ve geçerli bir hukuki sebebe veya açık rıza uygulamasına dayanmadan veri toplamamaktadır.
BÖLÜM 7 – ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI
Kişisel Verilerin Korunması Kanunu 6.maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiş olup bu verilerin işlenmesinde özel dikkat gösterilmesi gerekmektedir. Bu veriler; ‘ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik’ verilerdir.
Özel nitelikli veri kapsamında, Şirket bünyesinde sağlık verileri ve bazı durumlarda adli sicil belgesi kayıtları açık rıza alınarak tutulmaktadır. Bu özel nitelikli kişisel verilere erişebilen personele gizlilik eğitimleri verilmekte, erişim yetkisi kapsam ve süreleri belirlenmekte ve periyodik olarak denetimler yapılmakta ve gizlilik sözleşmeleri imzalanmaktadır. İlgili personelin işten ayrılması durumunda erişim yetkisi derhal iptal edilmektedir. Çalışanların sağlık dosyalarında fiziki olarak saklanan kişisel sağlık verilerinin bulunduğu fiziki dosyalar kilitli ve sadece işyeri hekiminin erişebildiği alanlarda saklanmaktadır. Özel nitelikli veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları izlenmekte, verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmekte, gerekli güvenlik testleri düzenli olarak yapılmaktadır.
BÖLÜM 8 – KİŞİSEL VERİLERİN AKTARILMASI
Kişisel verileriniz, Kişisel Verilerin Korunması Kanunu 8.madde hükümleri ve 9. maddede yer alan açık rıza alınması hükmüne uygun olarak aydınlatma metinlerinde yer verilen sınırlı amaçlarla; her türlü yargı makamı, yetki vermiş olduğunuz temsilcileriniz ve avukatlara, vergi ve finans danışmanları da dâhil olmak üzere danışmanlık aldığımız üçüncü kişilere, düzenleyici ve denetleyici kurumlara, grup şirketlerine, iş ilişkisinde olduğumuz danışman ve müşavirlere, mal ve hizmet tedarikçilerine, faaliyetin getirdiği yasal zorunluluklar kapsamında kamu kurum ve kuruluşları, Emniyet Genel Müdürlüğü ve Sair Kolluk Kuvvetleri ve meslek kuruluşları ve mevzuatla tanımlanmış diğer kuruluşlara aktarabilmektedir. Yurtdışına veri aktarımında ilgili kişinin açık rızası alınmadan veri aktarımı yapılmamaktadır.
Kişisel verilerin aktarılmasına ilişkin Kişisel Verilerin Korunması Kanunu 8. Madde hükümlerine aşağıda yer verilmiştir.
(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.
(2) Kişisel veriler; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6’ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.
(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır. İlgili kişi açık rızası olmaksızın yurtdışına veri aktarılmamaktadır
MADDE 5 – 2) fıkrası kapsamında aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi ve aktarılması mümkün olacaktır.
- a) Kanunlarda açıkça öngörülmesi.
- b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel nitelikteki verilerin aktarılabilmesi için Kanunun 6. Maddesine istinaden aşağıda yer verilen istisnalar dışında veri sahibinin açık rızasının alınması zorunludur. ‘Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi şeklinde olup; sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza almadan’ aktarılabilmektedir.
BÖLÜM 9 – KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI
Kişisel Verilerin Hukuka Aykırı Erişiminin Engellenmesi ve Kişisel Verilerin Güvenli Ortamlarda Saklanması İçin Alınan İdari ve Teknik Tedbirler:
Şirket, bilginin bütünlüğünü koruyacak ve sürekli erişilebilirliğini garanti altına alacak güvenli alt yapıyı ve güvenlik kontrollerini hayata geçirmiştir. Kişisel verilerin tedbirsizlikle veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerdeki hukuka aykırı erişimi önlemek için ve oluşabilecek diğer risk ve tehditler karşısında aşağıda yer verilen teknik ve idari tedbirleri uygulamaya koymuştur.
Teknik Tedbirler:
Güvenlik sistemi kişisel verilerin kişilere ait bilgi sistemlerinde bulunduğu esnada tüm tehditlere karşı korunmasıdır. Bilgi güvenliği tehditleri arasında, organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz tehditler olarak tanımlayabileceğimiz iç tehditler çok önemli bir yer tutmaktadır.
Organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz tehditler dikkate alınarak bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek için ilgili tüm alanlarda gerekli güvenlik kontrollerini hayata geçirilmiştir. Çalışanların günlük faaliyetlerinin yetki profillerine uyum sağlayıp sağlamadığı şirket tarafından düzenli olarak kontrol edilmektedir. Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
Kişisel veri kaynaklarına erişim için personel veya üçüncü şahıslar tarafından kullanılan şifreler, ilgili sistemler için tanımlanmış olan şifre belirleme kurallarına uyumlu olarak düzenlenmektedir. Rakam, büyük harf, küçük harf, noktalama işareti kombinasyonların dan oluşan, akılda kalıcı, eski şifrelere benzemeyen karmaşık şifreler kullanılmaktadır. Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır. Şirkette dış ağlardan gelebilecek tehditlere karşı katmanlı ağ güvenlik tedbirleri tesis edilmiştir. Kurum Bilgisayar sistemlerinde antivirüs yazılımları, güvenlik duvarları, merkezi yönetim yazılımları kullanılmaktadır. Sunucu bilgisayarları üzerine dış ağlardan gelebilecek tehditlere karşı katmanlı ağ güvenlik tedbirleri tesis edilmiştir. Şirket bilgi sistemlerinde antivirüs yazılımları, güvenlik duvarları, merkezi yönetim ve kontrol yazılımları kullanılmaktadır.
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu engellemek ve ilgili kişiye ve Kurula bildirmek için Veri İhlali Müdahale Planı hazırlanmış, uygun bir sistem ve altyapı oluşturulmuştur. Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamlarda yeterli güvenlik önlemleri alınmakta, yetkisiz giriş çıkışlar engellenmektedir. Yedekleme için kritik sistemlerin yedekleri periyodik olarak alınmakta, yedekler belirli aralıklarla dış ortama taşınmaktadır. Şirket silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
İdari Tedbirler:
Çalışanlara Kişisel Verilerin Korunması Kanunu ve ilgili diğer mevzuat hakkında ve Veri güvenlik tedbirlerinin alınması konusunda eğitimler verilmekte ve gizlilik sözleşmeleri imzalatılmaktadır. Güvenlik politika ve prosedürlerine uymayan çalışanlara yönelik uygulanacak cezai maddeleri içeren disiplin prosedürü uygulanmaktadır.
Kişisel Verilerin Korunması Kanununa uyumun ve veri gizliliğinin sağlanması ve güvenlik tedbirlerine uyulması konusunda veri işleyenlerden, mal ve hizmet tedarikçilerinden taahhütname alınması zorunlu kılınmıştır. Kişisel veri işlemeye başlamadan önce şirket ilgili kişileri aydınlatma ve açık rıza alma yükümlülüğünü yerine getirmektedir. Organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz tehditler ve dış ağlardan gelebilecek tehlikelerin işlendiği ‘Risk ve Tehditler Tablosu’ Veri Koruma Görevlisi tarafından periyodik incelenmekte ve tedbirler güncellenmektedir.
Uygulamalar üzerinde teknik kontrol sistemleri kurulmuştur. Veri sorumlusu olarak kurum içi sistematik periyodik denetimleri Veri Koruma Görevlisi kanalıyla yapmaktadır. Denetimler gerek görüldüğünde uzman şirketlere veya bağımsız denetim şirketlerine yaptırılacaktır. Bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek, veri güvenliğini sağlamak, hukuka uygun saklama ve imha işlemleri için ‘Erişim ve Yetkilendirme Prosedürü’ ve ‘Kişisel Veri Saklama ve İmha Politikası hazırlanmış ve uygulamaya alınmıştır.
Veri ihlalinin tespiti halinde Kişisel Verilerin Korunması Kurulu ve veri sahiplerinin bilgilendirilmesi ihlalle ilgili önleyici tedbirlerin derhal alınmasının sağlanmasını teminen Veri Müdahale Planı ve Veri İhlali Bildirim Prosedürü yürürlüğe konularak görevlendirmeler yapılmıştır.
BÖLÜM 10 – İŞLENEN KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ
Kanun’un 4. maddesi uyarınca kişisel veriler ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilir ve Kanunun 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde resen veya veri sahibi talebi üzerine silinir, yok edilir veya anonim hale getirilir.
Şirket, ilgili kanunlarda ve mevzuatta öngörülmesi durumunda kişisel verileri ilgili kanun ve mevzuatta belirtilen süre boyunca saklamaktadır. Kişisel verilerin ne kadar süre boyunca saklanması gerektiğine ilişkin mevzuatta bir süre düzenlenmemişse, kişisel veriler şirketin o veriyi işlerken sunduğu hizmetlerle bağlı olarak işlenmesini gerektiren süre kadar işlenmekte, daha sonra silinmekte, yok edilmekte veya anonim hale getirilmektedir.
Kişisel verilerin işlenme amacı sona ermiş; ilgili mevzuat ve Şirketin belirlediği saklama sürelerinin de sonuna gelinmişse, kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi veya savunmanın tesis edilmesi amacıyla kanuni süreler göz önüne alınarak saklanabilmektedir. Gelecekte kullanma ihtimali ile şirket tarafından kişisel veriler saklanmamaktadır.
28 Ekim 2017 tarihinde yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkındaki Yönetmelik’te işleme nedenleri ortadan kalkan kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlenmektedir. Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında hukuki saklama süreleri şirket ’Kişisel Veri Saklama ve İmha Politikasında’ yer almaktadır.
BÖLÜM 11 – VERİLERİ SİLME YOKETME VE ANONİMLEŞTİRME YÜKÜMLÜLÜĞÜ
Kanunun 7. maddesinde, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi düzenlenmiştir. Buna göre, kişisel verilerin hukuka uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde bu veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Özellikle aşağıda sayılan hallerde kişisel verilerin işlenme şartlarının ortadan kalktığı kabul edilmektedir.
Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya kaldırılması,
Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,
Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
İlgili kişinin, Kanunun 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,
Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikayette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
Kişisel verilerin silinmesi işlemi; “söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi” olarak tanımlanmıştır. Bu kapsamda, bir verinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde, söz konusu verinin yedeklemeler dahil tüm ortamlardan geri dönülmez şekilde silinmesi sağlanmaktadır.
Kişisel verilerin silinmesi ve yok edilmesi teknikleri ve kişisel verilerin anonim hale getirilmesi tekniklerinden hangisinin uygulanacağına dair karar, Veri Sorumlusu tarafından verilir. Silme işlemine konu teşkil edecek kişisel veriler belirlenir. Silme işlemleri önceden belirlenmiş personel vasıtasıyla yerine getirilir. Bu personelin yetkileri özel olarak düzenlenir. Silme işlemi yapan personelin silinen datayı geri getirme, tekrar kullanma erişim yetkileri kaldırılır. Silinmesi gereken verilerin silme, yok etme veya anonimleştirilmesinin, kanun, yönetmelik ve şirket politika ve prosedürlerine uygun olarak yapıldığının ve işlemlere ilişkin oluşturulan bilgi kaydı doğruluğunun kontrolü Veri Koruma Görevlisi tarafından yapılır.
BÖLÜM 12 – VERİ SAHİBİNİN HAKLARI VE BU HAKLARINI KULLANMASI
Şirket, Kişisel Verilerin Korunması Kanunu’nun 10. maddesine uygun olarak, kişisel veri sahibinin haklarını kendisine bildirmekte, bu hakların nasıl kullanılacağı konusunda kişisel veri sahibine yol göstermektedir. Şirket kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine gereken bilgilendirmenin yapılması için iç işleyişe ait idari ve teknik düzenlemeleri uygulamaya koymuştur.
Kişisel veri sahipleri Kişisel Verilerin Korunması Kanunu 11. Madde gereğince aşağıdaki haklara sahiptir;
- a) Kişisel veri işlenip işlenmediğini öğrenme,
- b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
- d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- e) 7’nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
- f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Kişisel Veri Sahibinin Haklarını Kullanması;
Veri sahibi KVK Kanunu’nun 13. maddesinin 1. fıkrası gereğince yukarıda 11. madde açıklamasında belirtilen hakları kullanabilir.
Kişisel veri sahipleri adına üçüncü kişiler tarafından talepte bulunulması mümkün değildir.
Kişisel veri sahibinin kendisi dışında bir kişinin talepte bulunması için konuya ilişkin olarak kişisel veri sahibi tarafından başvuruda bulunacak kişi adına düzenlenmiş özel vekâletname bulunmalıdır.
Veri sorumlusuna başvuru Kanun 13. maddede aşağıda yer aldığı gibi düzenlenmiştir.
MADDE 13- (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.
(2) Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.
(3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan ücret ilgiliye iade edilir.
Başvurunuzda yer alan talepleriniz, talebin niteliğine göre en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırılacaktır . Başvuruda bulunma yöntemleri ilgili kişilere iletilen Aydınlatma Metinlerinde yer almaktadır.
Şirket başvuruda bulunan kişinin kişisel veri sahibi olup olmadığını tespit etmek adına ilgili kişiden ek bilgi ve belge talep edebilir ve kişisel veri sahibine başvurusunda yer alan hususlarla ilgili soru yöneltebilir.
Kişisel veri sahibi, KVK Kanunu’nun 14. Maddesi gereğince başvurusunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde, Şirketin cevabını öğrendiği tarihten itibaren otuz ve her halde başvuru tarihinden atmış gün içinde KVK Kuruluna şikayette bulunabilir.
BÖLÜM 13 – POLİTİKA’NIN VE İLGİLİ MEVZUATIN UYGULANMASI
Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Şirket Politikası arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir.
BÖLÜM 14 – POLİTİKA’NIN YÜRÜRLÜĞÜ
Veri sorumlusu tarafından düzenlenen bu Politika 26/07/2019 tarihlidir. Politika’nın tamamının veya belirli maddelerinin yenilenmesi durumunda Politika’nın yürürlük tarihi güncellenecektir. Politika Şirketin internet sitesinde yayınlanır, bu politikanın gözden geçirme ve güncellenmesi Veri Koruma Görevlisi tarafından yerine getirilir. Politika her yıl en az bir kez gözden geçirilir.