DYT. KÜBRA IRMAK ÖZEL NİTELİKLİ KİŞİSEL VERİLERE İLİŞKİN POLİTİKA İÇİNDEKİLER 1. GİRİŞ 1.1. Amaç 1.2. Kapsam 1.3. Tanımlar 1.4. Özel Nitelikli Verilerin İşlenmesine İlişkin Temel Prensipler 2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ 3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR 3.1. Veri Güvenliğine İlişkin Yükümlülükler 4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI VE AKTARIM YÖNTEMLERİ 5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI 6. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI 6.1. Kişisel Veri Sahiplerinin Haklarını Kullanması 6.2. Şirketimizin İlgililerin Başvurularına Cevap Vermesi 7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ, SAKLANMASI VE İMHASI 7.1. Özel Nitelikli Kişisel Verilerin İşlenmesinin Hukuki Gerekçeleri 7.2. Özel Nitelikli Kişisel Verilerin Saklanmasını Gerektiren İşleme Amaçları 7.3. Özel Nitelikli Kişisel Verilerin İmhasını Gerektiren Sebepler 7.4. Özel Nitelikli Kişisel Verilerin Saklanması ve İmha Usulleri 7.4.1. Kayıt Ortamları 7.4.2. Teknik ve İdari Tedbirler 8. KİŞİSEL VERİLERİN KORUNMASI KOMİTESİ VE GÖREVLERİ 9. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İMHA USULLERİ 9.1. Özel Nitelikli Kişisel Verilerin Silinmesi 9.2. Özel Nitelikli Kişisel Verilerin Yok Edilmesi 9.3. Özel Nitelikli Kişisel Verilerin Anonim Hale Getirilmesi 10. SAKLAMA VE İMHA SÜRELERİ 11. PERİYODİK İMHA SÜRESİ 12. POLİTİKANIN YAYINLANMASI VE SAKLANMASI 13. POLİTİKANIN GÜNCELLENME PERİYODU 14. POLİTİKANIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI 1. GİRİŞ 1.1. Amaç Özel Nitelikli Kişisel Verilere İlişkin Politika (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “Kanun”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ile 31/01/2018 tarihli ve 2018/10 sayılı “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” adlı kararından doğan hukuki yükümlülüklerimizin yerine getirilmesi uyarınca veri sorumlusu sıfatıyla Dyt. Kübra IRMAK (“Şirket”) tarafından veri sahiplerinin özel nitelikli kişisel verilerinin toplanma şartları, işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi esasları ile silme, yok etme veya anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla hazırlanmıştır. 1.2. Kapsam Bu Politika; Şirketimiz çalışanları da dahil kişilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm özel nitelikli kişisel verilerine ilişkindir. Şirketimiz tarafından kişisel verisi işlenecek ilgili kişilere yönelik gerçekleştirilen kişisel veri işleme faaliyetlerine ve politikaya ayrıca; https://www.kubrairmak.com.tr/ web adresimiz üzerinden ulaşabilirsiniz. İşbu politika Kişisel Verileri Saklama ve İmha Politikasının eki niteliğindedir. 1.3. Tanımlar TANIM KISALTMA Kanun/KVKK 6698 Sayılı Kişisel Verilerin Korunması Kanunu Yönetmelik Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik Kurul Kişisel Verileri Koruma Kurulu Politika Özel Nitelikli Kişisel Verileri Saklama ve İmha Politikası Veri Sorumlusu Özel nitelikli ve/veya kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi Veri Sahibi/İlgili Kişi Özel nitelikli ve/veya kişisel verisi işlenen gerçek kişi Veri İşleyen Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi. Kişisel Veri Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Özel Nitelikli Kişisel Veri Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri. Çalışan / Personel Şirket personeli Şirket Dyt. Kübra IRMAK Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin İşlenmesi Kişisel verilerin ve/veya özel nitelikli kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlemesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem. Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin Silinmesi Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemi. Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin Yok Edilmesi Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi. Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin Anonim Hale Getirilmesi Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin, başka verilerle eşleştirilerek dahi hiçbir suretle kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi. Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin Saklanması Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin fiziki ortamda veya dijital ortamda muhafaza edilmesi. Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin Paylaşılması Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin hukuka uygun şekilde paylaşılması. Kişisel Verilerin ve/veya Özel Nitelikli Kişisel Verilerin 3.Kişiye Aktarılması Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin yurt içinde veya yurt dışında tüzel veya gerçek kişiye aktarılması. Veri Kayıt Sistemi Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi. Veri Güvenliği Verinin izinsiz kullanımından, izinsiz ifşa edilmesinden, izinsiz yok edilmesinden, izinsiz değiştirilmesinden, bilgilere hasar verilmesinden koruma veya bilgilere yapılacak olan izinsiz erişimleri engelleme işlemi. VERBİS Veri Sorumluları Sicil Bilgi Sistemi. İrtibat Kişisi Türkiye’de yerleşik olan tüzel kişilerin ve tüzel kişi veri sorumlusu temsilcisinin sicil kapsamındaki yükümlülükleriyle ilgili olarak, Kurul ve Kurum tarafından yapılacak iletişimlerde irtibata geçilmek üzere atanan gerçek kişi. Kayıt Ortamı Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam. Soft Ortam Dijital ortam. Başvuru Formu Kişisel veri sahibinin şirkete başvuru durumunda dolduracağı matbu form. Özel Vekaletname Bir kimsenin başka bir kimseyi belirli işlerde kendi adına hareket edebilmesi için yazılı olarak yetkilendirdiğine ait yazılı bir belgedir. Elektronik Ortam Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar. Elektronik Olmayan Ortam Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar. Açık Rıza Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. İmha Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi. İlgili Kullanıcı Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen gerçek kişilerdir. Periyodik İmha Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini. Alıcı Grubu Veri sorumlusu tarafından kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin aktarıldığı gerçek veya tüzel kişi kategorisi. Kişisel Veri ve/veya Özel Nitelikli Kişisel Verilerin İşleme Envanteri Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri ve/veya Özel Nitelikli Kişisel Verilerin işleme faaliyetlerini; kişisel veri ve/veya Özel Nitelikli Kişisel Verilerin işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter. Aydınlatma Yükümlülüğü Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; 1. Veri sorumlusunun ve varsa temsilcisinin kimliği, 2. Kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin hangi amaçla işleneceği, 3. İşlenen kişisel verilerin ve/veya Özel Nitelikli Kişisel Verilerin kimlere ve hangi amaçla aktarılabileceği, 4. Kişisel veri ve/veya Özel Nitelikli Kişisel Verileri toplamanın yöntemi ve hukuki sebebi, 5. Kanun’un 11 inci maddesinde sayılan diğer hakları, konusunda bilgi vermek. Güncellenme Periyodu İşbu politikada yapılan güncellemelere ilişkin tablo. 1.4. Özel Nitelikli Verilerin İşlenmesine İlişkin Temel Prensipler Şirketimizde, özel nitelikli kişisel verilerin işlenmesi, saklanması ve imhasında aşağıdaki ilkeler çerçevesinde hareket edilmektedir: 1. Şirketimiz, gerçek ve tüzel kişilerden kendisine gelen ve muhtelif yollardan topladığı kişisel verilerin ve/veya özel nitelikli kişisel verilerin dürüstlük kuralları çerçevesinde elde edilmesine özen göstermektedir. 2. Şirketimiz, elde edilen kişisel verileri ve/veya özel nitelikli kişisel verileri işlendikleri amaca uygun ve bu amaçla sınırlı, ölçülü hizmetin ifasının gerektirdiği ölçüde kullanmaktadır. Ticari faaliyetinin ve işin ifasının sağlanması amacı dışında kişisel verileri işlemez ve kullanmaz. Üçüncü kişilerin kullanmasına ve işlemesine izin vermez. 3. Şirketimiz, Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyet göstermektedir. Bu kapsamda, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve Şirketimiz bünyesinde gerekli denetimler sağlanmaktadır. 4. Özel nitelikli kişisel veriler; Kanun’un 4. Maddesinde sayılan hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkeleri gözetilerek işlenir. 5. Şirketimiz Kanun’un 12. Maddesi uyarınca öngörülen Veri Güvenliğine ilişkin yükümlülükler doğrultusunda hareket etmekte ve özel nitelikli kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde politikanın 6.4.2. maddesinde belirtilen teknik ve idari tedbirler, ilgili mevzuat hükümleri ve Kurul kararları dikkate alınmaktadır. 6. Özel nitelikli kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler şirketimiz tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 5 (beş) yıl süreyle saklanmaktadır. 7. Özel nitelikli veriler 2 hal de işlenmektedir. Kişisel verileri korunma kanununda yer alan 6 ncı maddesinin 2 inci fıkrasına göre, ‘’Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.’’ ve 6 maddesinin 3 üncü fıkrasına göre, ‘’Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.’’ hukuki dayanaklarına göre işlenmekte ve aktarılmaktadır. Şirketimiz kapsamında yurtiçi kurum ve kuruluşlar için kişisel veri ve özel nitelikli kişisel verilerin aktarımı halinde ilgili kişilerden, kişisel verileri koruma kanunun 8. Maddesinin 1 inci fıkrasına göre ‘’Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz’’ ve 2 nci fıkrasına göre hükümlerine ve yurtdışı kurum ve kuruluşlar için 9 uncu maddesinin 1 nci fıkrasına göre, “Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.’’ Hukuki dayanakları göre, açık rızanıza talep olunarak paylaşım ve aktarım gerçekleştirilecektir. 8. Kanun’un 6. maddesinde yer alan özel nitelikli kişisel verilerin işlenme şartlarının tamamının ortadan kalkması veya işleme ve saklama ihtiyacının ortadan kalkması halinde, kişisel veriler şirketimiz tarafından re’sen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta İlgili Kişi tarafından şirketimize başvurulması halinde; a. İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir, b. Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir. 2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ Özel nitelikli kişisel verileriniz (sağlığa ilişkin veriler) , Şirketimize başvurunuz aşamasında Kanun’un Madde 6/2 bendi hükümlerinde düzenlenen “açık rıza” hukuki sebebine dayalı olarak açık rıza beyanı kapsamında açık rızanız ile yazılı veya sözlü olarak alınmakta ve işlenmektedir. Kanun’un Madde 6/3 bendi gereği sağlık ve cinsel hayat verileri kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir. 3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR Şirketimiz, Kurul tarafından yayımlanmış olan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile diğer rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri almakta ve uygulamaya ilişkin denetimleri yapmaktadır. 3.1. Veri Güvenliğine İlişkin Yükümlülükler Şirketimiz; özel nitelikli kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, özel nitelikli kişisel verilere hukuka aykırı olarak erişilmesini önlemek, özel nitelikli kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır. 4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI VE AKTARIM YÖNTEMLERİ Şirketimiz gerekli özeni göstererek, gerekli güvenlik tedbirlerini alarak ve KVK Kurulu tarafından öngörülen yeterli önlemleri alarak; meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda kişisel veri sahibinin özel nitelikli kişisel verilerini üçüncü kişilere aktarmamaktadır. 5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI Şirketimiz bünyesinde toplanan kişisel verilerin yurt dışına aktarımı yapılmayacaktır. 6. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI Kişisel veri sahipleri aşağıda yer alan haklara sahiptirler: 1. Kişisel veri işlenip işlenmediğini öğrenme, 2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, 3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, 4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, 5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, 6. Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, 7. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, 8. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme. 6.1 Kişisel Veri Sahiplerinin Haklarını Kullanması Kişisel Veri Sahipleri haklarını kullanmak istemesi halinde, başvurularını 10.03.2018 tarih ve 30356 sayılı Veri Sorumlusuna Başvuru Usul Ve Esasları Hakkında Tebliğ’de yer alan usul ve esaslarına uygun olarak kimliğini gösteren belgeler ile birlikte; https://www.kubrairmak.com.tr/ adresinde bulunan Başvuru Formu doldurulduktan sonra ıslak imzalı bir nüshasının; a. Bizzat elden veya noter aracılığı ile “Dyt. Kübra IRMAK Barış Mah. Mehmetçik Cad. No:2/1 A1 Blok D:4 Kat:G Westside 2 Beylikdüzü / İSTANBUL” adresine iletilmesi, b. Kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da Şirketimize daha önce bildirdiğiniz ve sistemlerimizde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle soft ortamda dytkubrairmak@gmail.com e-posta adresine elektronik posta ile gönderilmesi, c. KVK Kanunu’nda belirtilen diğer yöntemlerle başvurarak iletebilirsiniz. Kişisel veri sahipleri adına üçüncü kişilerin başvuru talebinde bulunabilmesi için veri sahibi tarafından başvuruda bulunacak kişi adına noter kanalıyla düzenlenmiş özel vekâletname bulunmalıdır. 6.2 Şirketimizin İlgililerin Başvurularına Cevap Vermesi Şirketimiz, kişisel veri sahibi tarafından yapılacak başvuruları Kanun ve Yönetmelik’e uygun olarak sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almaktadır. Kişisel veri sahibinin, bu bölümün 6.1. başlıklı kısmında yer alan usule uygun olarak talebini iletmesi durumunda şirketimiz talebin niteliğine göre en geç otuz gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, KVK Kurulunca bir ücret öngörülmesi hâlinde, şirketimiz tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınacaktır. 7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ, SAKLANMASI VE İMHASI 7.1 Özel Nitelikli Kişisel Verilerin İşlenmesinin Hukuki Gerekçeleri ve İşlenme Şartları Şirketimiz bünyesinde özel nitelikli kişisel veriler, Kanunun 6. Maddesinin 2. fıkrasına göre, ‘’özel nitelikli kişisel veriler ilgili kişinin açık rızası olmaksızın işlenmesi yasaktır’’ hükümleri gereği ilgili kişinin açık rızası talep olunarak işlenmekte ya da, Kanunun 6. Maddesinin 3.fıkrasına göre, ‘’Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir ‘’ hükmüne göre işlenmektedir. Şirketimizce özel nitelikli kişisel veri olarak sağlık verisi dışında veri işlenmemektedir. 7.2. Özel Nitelikli Kişisel Verilerin Saklanmasını Gerektiren İşleme Amaçları Şirketimiz, faaliyetleri çerçevesinde işlemekte olduğu özel nitelikli kişisel verileri aşağıdaki amaçlar doğrultusunda saklar: • İş faaliyetlerini yürütmek, • Müşterilerimizin taleplerini karşılayabilmek. Saklamayı gerektiren sebepler: a. Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması. b. Sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması, c. Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması, d. İş sürekliliğinin sağlanması, e. Mevzuatta özel nitelikli kişisel verilerin saklanmasının açıkça öngörülmesi, 7.3. Özel Nitelikli Kişisel Verilerin İmhasını Gerektiren Sebepler Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, şirketimiz tarafından re ’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir: a. Özel nitelikli kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası, b. Özel Nitelikli kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, c. Kanun’un 6. maddesindeki özel nitelikli kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması, d. Özel nitelikli kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması, e. Özel nitelikli kişisel verilerin saklanma amacının gerçekleşmiş, imkansızlaşmış ya da diğer herhangi bir yolla ortadan kalkmış olması, f. İlgili kişinin, Kanun’un 11. Maddesinin 2 (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi, g. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması, h. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması. 7.4. Özel Nitelikli Kişisel Verilerin Saklanması ve İmha Usulleri 7.4.1 Kayıt Ortamları Veri sahiplerine ait kişisel veriler, şirketimiz tarafından aşağıdaki tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır: Elektronik Olmayan Ortamlar Elektronik Ortamlar Kağıt (klasör, dosya v.b.) Manuel veri kayıt sistemleri (anket formları) Yazılı, basılı, görsel ortamlar, arşiv Sunucular (e-posta, veritabanı, web vb.) Yazılımlar (ofis yazılımları, Microsoft Office Programları, …….) Kişisel bilgisayarlar (Masaüstü, dizüstü), INBODY 270 cihazı. Mobil cihazlar (telefon, tablet vb.) Çıkartılabilir bellekler (USB, Hafıza Kartı, vb.). 7.4.2 TEKNİK VE İDARİ TEDBİRLER Özel Nitelikli kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla KVKK’nın 12. Maddesindeki ilkeler çerçevesinde ve 31/01/2018 tarihli ve 2018/10 sayılı “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” kararına uygun olarak şirketimiz tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır: a. İdari Tedbirler: Şirketimiz idari tedbirler kapsamında; 1. Zorunluluk arz etmeyen özel nitelikli kişisel veri işlenmemektedir. 2. Saklanan özel nitelikli kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır. 3. Şirket, özel nitelikli kişisel verilerin işlenme süreçlerinde yer alan çalışanlara yönelik özel nitelikli gizlilik konusunda düzenli bilgilendirmeler yapmaktadır. 4. Verilere erişim yetkisine sahip kullanıcılar, yetki kapsamları ve süreleri net olarak tanımlanmakta ve periyodik yetki kontrolleri gerçekleştirilmektedir. 5. Görev değişikliği olan ya da işten ayrılan çalışanların kişisel verilere erişim yetkileri derhal kaldırılmaktadır. Şirket, bu kapsamda çalışanlara tahsis etmiş olduğu envanterleri derhal iade almaktadır. 6. Kişisel ve/veya özel nitelikli kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır. Fiziki ortamda yer alan kişisel ve/veya özel nitelikli kişisel veriler departman birimlerinde bulunan dolapta muhafaza edilmektedir. Departman birimi dışında kişilerin erişimine izin verilmemektedir. Departman biriminde bulunan sorumlu kişiler erişim ve gizlilik konusunda Şirket tarafından düzenli eğitimlerle bilgilendirilmekte ve şirketimiz bu konuda gerekli denetimleri yapmaktadır. 7. Kişisel ve/veya özel nitelikli kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır. 8. İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir. 9. Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin ve/veya özel nitelikli kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar. 10. Kendi tüzel kişiliği nezdinde kanun hükümlerinin uygulanmasını ve kontrolünü sağlamak amacıyla gerekli denetimleri periyodik olarak yapar ve yaptırır. Denetimler sonucunda ortaya çıkan/çıkma ihtimali bulunan gizlilik ve güvenlik zaafiyetlerini giderir. 11. Kişisel verilerin ve/veya özel nitelikli kişisel verilerin korunması ve veri güvenliğinin sağlanması amacıyla, şirket tarafından yürütülen faaliyetlere ilişkin olarak çalışanlarla gizlilik sözleşmeleri imzalar veya var ise mevcut sözleşmelere eklenen hükümler ile veri güvenliğini sağlar. 12. Özel nitelikli kişisel veri işlemeye başlamadan önce kişisel verileri işlenen ilgili kişilere bu verilerin kim tarafından, hangi amaçlarla ve hukuki sebeplerle işlenebileceği, kimlere hangi amaçlarla aktarılabileceği hususunda bilgi vererek aydınlatma yükümlülüğünü yerine getirir. 13. Mevzuat tarafından ön görülen istisnai haller dışında; kişisel verileri ilgilinin açık rızası olmadan işlemeyeceğini ilgili kişilere taahhüt etmektedir. Açık rıza alınması gerekli hallerde ise; ilgili kişinin belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızası alınarak söz konusu yükümlülük yerine getirilir. 14. Kanunda ön görülen veya politikada belirtilen veri saklama süresinin dolması halinde; şirket tarafından yapılacak ilk periyodik imha işleminde işbu özel nitelikli kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi süreci işletilir. 15. Bilginin çalınmasını, kaybolmasını veya bozulmasını engellemek amacıyla tüm makul önlemlerin alınması sağlanır. b. Teknik Tedbirler: Şirketimiz teknik tedbirler kapsamında; 1. Kurulan sistemler kapsamında gerekli iç kontrolleri yapar. 2. Bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınır. 3. Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemleri alınmaktadır. 4. Bu ortamların fiziksel güvenliği sağlanmakta ve yetkisiz giriş çıkışlar engellenmektedir. 5. Hukuka aykırı veri işlemeye yönelik riskler belirlenir ve işbu risklere uygun teknik tedbirler alınır. Hukuka aykırı veri işlendiğinin tespiti halinde ise, ilgili kişiye ve kurula bildirmek için bir sistem ve altyapı oluşturulmuştur. 6. Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim izi bırakmayacak şekilde sağlanır. c. Özel Nitelikli Kişisel Veri İşlenmesinde Yer Alan Çalışanlara Yönelik Tedbirler Şirketimiz bu alanda görevli çalışanlara yönelik; 1. Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konusunda düzenli olarak eğitimler verilir. 2. Çalışanlarla gizlilik sözleşmeleri yapılır. 3. Periyodik olarak yetki kontrolleri gerçekleştirilir. 8. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İMHA USULLERİ Şirketimiz tarafından KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde şirketimiz tarafından re’sen yahut İlgili Kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir. 8.1 Özel Nitelikli Kişisel Verilerin Silinmesi Kişisel veriler aşağıda belirtilen yöntemlerle silinir. Veri Kayıt Ortamı Açıklama Sunucularda Yer Alan Özel Nitelikli Kişisel Veriler Sunucularda yer alan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından silme işlemi yapılır. Elektronik Ortamda Yer Alan Özel Nitelikli Kişisel Veriler Elektronik ortamda yer alan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenlere hiçbir şekilde erişilemez ve kullanılamaz hale getirilir. Fiziksel Ortamda Yer Alan Özel Nitelikli Kişisel Veriler Fiziksel ortamda tutulan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden tekrar kullanılamaz hale getirilir. 8.2 Özel Nitelikli Kişisel Verilerin Yok Edilmesi Şirketimizde, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine özel nitelikli kişisel verileri silebilir veya yok edebilir. Özel nitelikli Kişisel verilerin silinmesi akabinde ilgili kişiler hiçbir şekilde silinen verilere tekrardan erişilemeyecek ve kullanılmayacaktır. Şirket tarafından kişisel verilerin imha süreçlerinin tanımlanması ve takip edilmesine ilişkin etkin bir veri takip süreci yönetilecektir. Yürütülen süreç sırası ile silinecek verilerin tespit edilmesi, ilgili kişilerin tespiti, kişilerin erişim yöntemlerinin tespiti ve hemen akabinde verilerin silinmesi olacaktır. Özel nitelikli kişisel verileriniz, şirketimiz tarafından aşağıdaki yöntemlerle silinir. Veri Kayıt Ortamı Açıklama Fiziksel Ortamda Yer Alan Özel Nitelikli Kişisel Veriler Kâğıt ortamında yer alan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenler, yakılarak geri döndürülemeyecek şekilde yok edilir. Optik / Manyetik Medyada Yer Alan Özel Nitelikli Kişisel Veriler Optik medya ve manyetik medyada yer alan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenler silinerek yok edilir. 8.3 Özel Nitelikli Kişisel Verilerin Anonim Hale Getirilmesi Özel nitelikli kişisel verilerin anonim hale getirilmesi, özel nitelikli kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Özel nitelikli kişisel verilerin anonim hale getirilmiş olması için; özel nitelikli kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir. 9. SAKLAMA VE İMHA SÜRELERİ Şirketimiz tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen özel nitelikli kişisel verilerinizin saklama ve imha sürelerinin tespitinde aşağıda sırasıyla belirtilen işlemlere tabi tutulmaktadır: 1. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi akabinde veri hakkında 2. bent kapsamında işlem yapılır. 2. Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda sırasıyla; 1. Fiziki veya dijital ortamlarda mevcut bulunan ve özel nitelikte olduğu tespit edilen tüm kişisel veriler veri sahibinin açık rızasının bulunmadığı durumlarda imha edilir. Söz konusu verilerin imhasında uygulanacak yöntem verinin niteliği ve saklanmasının şirketimiz nezdindeki önem derecesine göre belirlenir. 2. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu olup olmadığı sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir. 3. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir. Şirket tarafından tespit edilen saklama, imha ve periyodik imha sürelerine, Kişisel Verileri Saklama ve İmha Politikası’nın ekinde (Ek-2) yer alan ‘‘Saklama, İmha ve Periyodik İmha Sürelerine ilişkin Tablo”’dan ulaşabilirsiniz. Saklama süresi dolan kişisel veriler, Kişisel Verileri Saklama ve İmha Politikası’nın ekinde (Ek-2) yer alan imha süreleri çerçevesinde, 6 aylık periyodlarla Kişisel Verileri Saklama ve İmha Politikası’da yer verilen usullere uygun olarak imha edilir. İmha edilen verilere ilişkin “Veri İmha Tutanağı’na” Ek-4’den ulaşabilirsiniz. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 5 (beş) yıl mn süreyle saklanır. 11. PERİYODİK İMHA SÜRESİ Şirketimiz tarafından, periyodik imha süresi 6 ay olarak belirlenmiştir. Buna göre her yıl Şubat ve Ağustos aylarında imha gerçekleştirilir. 12. POLİTİKAMIZIN YAYINLANMASI VE SAKLANMASI Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır. Basılı kâğıt nüshası şirketimizin genel merkezinde saklanır. 13. POLİTİKAMIZIN GÜNCELLENME PERİYODU Politika, ihtiyaç duyuldukça ve ilgililerden talep olması durumunda gözden geçirilir ve gerekli olan bölümler güncellenir. Yapılan güncellemeler 7 iş günü içerisinde şirketimizin Barış Mah. Mehmetçik Cad. No:2/1 A1 Blok D:4 Kat:G Westside 2 Beylikdüzü / İSTANBUL adresinde ilan edilir. 14. POLİTİKAMIZIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI Politika şirketimiz tarafından düzenlenerek …… tarihinde yürürlüğe girmiştir. Politika’da değişiklik olması durumunda, Politika’nın yürürlük tarihi ve ilgili maddeler bu doğrultuda güncellenecektir. Gerekliliğinde yapılabilecek güncellemelere ilişkin Güncelleme Tablosu aşağıda yer almaktadır. KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat hükümleri uygulanacaktır. Güncelleme Tablosu Politika Güncelleme Tarihi Değişiklikler
