1.GİRİŞ
1.1.Amaç
Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirmek için belirlenen usul ve esasları açıklamak.
1.2.Dayanak
Bu Politika, 6698 sayılı Kanuna göre hazırlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkındaki Yönetmeliğin 5 inci maddesinin 1 inci fıkrasına dayanılarak hazırlanmıştır.
1.3.Kapsam
Şirket personeli, çalışan adayları, ziyaretçiler, hizmet sağlayıcıları ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup şirketin sahip olduğu kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.
1.4.Tanımlar
- Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.
- Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
- Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
- Çalışan: Şirket personeli.
- Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
- Elektronik Olmayan Ortam: Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.
- Hizmet Sağlayıcı: Şirket ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi.
- İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
- İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.
- İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
- Kanun: 24/3/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
- Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
- Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
- Kişisel verilerin anonim hale getirilmesi: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
- Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
- Kişisel verilerin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
- Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
- Kurul: Kişisel Verileri Koruma Kurulu.
- Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
- Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
- Politika: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Politikası.
- Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
- Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
- Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
- Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) : Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemi.
- Yönetmelik: 28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
2.KAYIT ORTAMI
Kişisel veriler aşağıdaki belirtildiği şekilde hukuka uygun olarak güvenli bir şekilde saklanır.
2.1.Elektronik Ortam
- Kişisel Bilgisayarlar
- Mobil Cihazlar
- Diğer Cihazlar (Parmak izi cihazı vb.)
- Web Sitesi
- Yazılımlar (Muhasebe Programları vb.)
- Bilgi güvenliği cihazları (Firewall vb. )
- Elektronik Olmayan Ortam
-
- Kağıt
- Manuel kayıt tutulan ortamlar (İş Başvuru Formları, vb.)
- Yazılı, basılı görsel ortamlar
- SORUMLULUK VE GÖREV DAĞILIMLARI
Şirketin tüm birimleri ve çalışanları; Politika kapsamında veri güvenliğini sağlamak için alınacak olan idari ve teknik tedbirlerin uygulanması için sorumlu birimlere destek verecektir. Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım aşağıdaki tabloda verilmiştir.
| Ünvan | Birim | Görev |
| Şirket Ortakları/Veri Sorumluları | Yönetim Kurulu/İdari Organlar | Çalışanların politikaya uygun hareket etmesini sağlamak |
| Muhasebe, Satın Alma, Satış, Finans, İnsan Kaynakları | Diğer Birimler | Politikanın hazırlanması, geliştirilmesi, güncellenmesi ve görevlerine uygun olarak yürütülmesini sağlamak. |
4.SAKLAMA VE İMHA
Şirket faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen şekilde veya işleme amaçlarına uygun süre kadar saklanır.
4.1 Saklamayı Gerektiren Mevzuat
-
- 6698 sayılı Kişisel Verilerin Korunması Kanunu,
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
- 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
- 4857 sayılı İş Kanunu,
- Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler,
- Diğer mevzuat hükümleri
4.1.1 Saklamayı Gerektiren İşleme Amaçları
- Acil Durum Yönetimi Süreçlerinin Yürütülmesi
- Bilgi Güvenliği Süreçlerinin Yürütülmesi
- Çalışan Adayı / Stajyer / Öğrenci Seçme Ve Yerleştirme Süreçlerinin Yürütülmesi
- Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
- Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
- Çalışanlar İçin Yan Haklar Ve Menfaatleri Süreçlerinin Yürütülmesi
- Eğitim Faaliyetlerinin Yürütülmesi
- Erişim Yetkilerinin Yürütülmesi
- Faaliyetlerin Mevzuata Uygun Yürütülmesi
- Finans Ve Muhasebe İşlerinin Yürütülmesi
- Fiziksel Mekan Güvenliğinin Temini
- Görevlendirme Süreçlerinin Yürütülmesi
- Hukuk İşlerinin Takibi Ve Yürütülmesi
- İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi
- İletişim Faaliyetlerinin Yürütülmesi
- İnsan Kaynakları Süreçlerinin Planlanması
- İş Faaliyetlerinin Yürütülmesi / Denetimi
- İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
- İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
- Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
- Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
- Mal / Hizmet Satış Süreçlerinin Yürütülmesi
- Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
- Performans Değerlendirme Süreçlerinin Yürütülmesi
- Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi
- Sözleşme Süreçlerinin Yürütülmesi
- Talep / Şikayetlerin Takibi
- Taşınır Mal Ve Kaynakların Güvenliğinin Temini
- Ücret Politikasının Yürütülmesi
- Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi
- Yönetim Faaliyetlerinin Yürütülmesi
- İleride Doğabilecek Uyuşmazlıklarda Delil Olarak Kullanılması
4.2.İmhayı Gerektiren Sebepler
Kişisel veriler;
- İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması,
- İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
- Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
- Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun şirket tarafından kabul edilmesi,
- Şirketin, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
- Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması durumlarında şirket tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.
- HUKUKİ, İDARİ VE TEKNİK TEDBİRLER
5.1. Hukuki ve İdari Tedbirler
Şirketin işlediği kişisel verilerle ilgili olarak aldığı idari tedbirler aşağıda sayılmıştır:
- Kişisel verilerin korunmasına yönelik mevzuata uyum sağlanmasını teminen gerekli hallerde danışmanlar ile çalışılmaktadır.
- Kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanmasına yönelik olarak şirket personeline eğitimler verilmektedir.
- Şirketin yürüttüğü faaliyetlere ilişkin ticari iş ilişkisi kurulan taraflarla kişisel verilerin korunmasına yönelik gizlilik sözleşmesi yapılmakta yada bu konuyu içeren ek protokol düzenlenmektedir.
- Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlarla kişisel verilerin korunmasına ilişkin Gizlilik Sözleşmesi yapılmaktadır.
- Kişisel verilerin işlenmesine yönelik Şirket tarafından ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
- Kişisel verilerin korunması ve işlenmesi politikası belirlenmiştir.
- Özel Nitelikli Kişisel Verilerin İşlenmesi ve Korunması Politikası hazırlanmıştır.
- Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
- Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
- Gerekli hallerde kişisel verilerin işlenmesi ve kullanılması için ilgili kişilerin açık rızaları alınmaktadır.
- Kişisel veri işleme envanteri hazırlanmıştır.
- Şirketin çalışanlarına yada iş ilişkisi kurduğu diğer taraflara ilişkin kişisel veriler içeren tüm matbu belgelerine kişisel verilerin işlenmesine yönelik aydınlatma hükümleri ve/veya açık rıza beyanları eklenmiştir.
- Veri irtibat sorumlusunun görevlendirilmesi yapılmış ve sorumlulukları belirlenmiştir.
- Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi politikası belirlenmiştir.
- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
- Kişisel veri güvenliğinin takibi yapılmaktadır.
- Kişisel veriler mümkün olduğunca azaltılmaktadır.
- Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
- Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.
- Diğer-Yurtdışı veri aktarımlarının tamamı; personele ilişkin bazı verilerin 3. taraflarla e-posta yoluyla paylaşımında yurt dışı hizmet sağlayıcıların kullanılabilmesinden kaynaklanmaktadır. E-posta ile paylaşımlarda her ne kadar şirketimizin kurumsal posta hesapları kullanılsa da karşı tarafların gmail yada hotmail benzeri hesaplarına aktarım yapılabilmektedir. Söz konusu durum mümkün olduğunca azaltılmakta olup, bu konuda ilgili kişilere aydınlatmada bulunulmakta ve açık rızaları alınmaktadır.
5.2. Teknik Tedbirler
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
- Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
- Anahtar yönetimi uygulanmaktadır.
- Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmaktadır.
- Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
- Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
- Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
- Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
- Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
- Mevcut risk ve tehditler belirlenmiştir.
- Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
- Saldırı tespit ve önleme sistemleri kullanılmaktadır.
- Şifreleme yapılmaktadır.
6.KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
6.1 Kişisel Verilerin Silinmesi
Kişisel veriler aşağıdaki tabloda belirtilen yöntemlerle silinir.
| Veri Kayıt Ortamı | Açıklama |
| Elektronik Ortamda Yer
Alan Kişisel Veriler |
Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süresi sona erenler, veritabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. |
| Fiziksel Ortamda Yer Alan Kişisel Veriler | Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süresi sona erenler için, evrak arşivinden sorumlu birim yöneticisi de dahil olmak üzere kimse tarafından erişilemez ve/veya tekrar kullanılamaz hale getirilir. |
6.2. Kişisel Verilerin Yok Edilmesi
Kişisel veriler aşağıdaki tabloda belirtilen yöntemlerle yok edilir.
| Veri Kayıt Ortamı | Açıklama |
| Fiziksel Ortamda Yer Alan Kişisel Veriler | Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süresi sona erenler, geri döndürülemeyecek şekilde yok edilir. |
| Elektronik Ortamda Yer Alan Kişisel Veriler | Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süresi sona erenler, hiç kimse tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. |
6.3 Kişisel verilerin Anonim Hale Getirilmesi
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.
- SAKLAMA VE İMHA SÜRELERİ
Şirketin faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;
- Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde;
- Veri kategorileri bazında saklama süreleri VERBİS’e kayıtta;
- Süreç bazında saklama süreleri ise Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Politikasında yer alır.
Söz konusu saklama süreleri üzerinde, gerekmesi halinde şirket tarafından güncellemeler yapılır. Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi şirket tarafından yerine getirilir.
Süreçlere Göre Saklama ve İmha Süreleri
| Süreç | Saklama Süresi | İmha Süresi |
| İnsan Kaynakları Süreçlerinin Yürütülmesi | Faaliyetin sona ermesinden itibaren 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Finans ve Operasyon, Muhasebe Süreçlerinin Yürütülmesi | Faaliyetin sona ermesinden itibaren 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| İş Sağlığı ve Güvenliği süreçlerinin Yürütülmesi | Faaliyetin sona ermesinden itibaren 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Fiziksel Mekan Güvenliğinin Sağlanması Süreci | Kamera kaydından itibaren 1 ay | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| Hukuki Süreçler | Hukuki Süreç + 10 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
| İşlem Güvenliğinin Sağlanması Süreci | Log kayıtlarının tutulmasının ardından 2 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
- PERİYODİK İMHA SÜRESİ
Yönetmeliğin 11 inci maddesi gereğince Kurum, periyodik imha süresini 6 ay olarak belirlemiş olduğundan şirkette her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.
- POLİTİKANIN SAKLANMASI
Politika, ıslak imzalı olarak basılı kâğıt nüshası şeklinde Kişisel Verilerin Korunması Kanunu dosyasında şirket tarafından saklanır.
10.POLİTİKA’NIN GÜNCELLENME PERİYODU
Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir.
- POLİTİKANIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI
Politika şirketin yönetim organı veya yönetim organını temsile yetkili kişi tarafından ıslak imzası atıldıktan sonra yürürlüğe girmiş kabul edilir. Yürürlükten kaldırılmasına karar verilmesi halinde, Politikanın ıslak imzalı eski nüshaları veri sorumlusu kararı ile iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile şirket tarafından saklanır.