Egemen Yazılım ve Otomasyon Sanayi ve Tic. Ltd. Şti.


KİŞİSEL VERİLERİN İŞLENMESİ

VE KORUNMASI POLİTİKASI

 



İçindekiler

1.     GİRİŞ. 3

1.1.      Giriş. 3

1.2.      Kapsam.. 3

1.3.      Politikanın ve İlgili Mevzuatın Uygulanması 3

2.     KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR. 3

2.1. Kişisel Verilerin Güvenliğinin Sağlanması 3

2.2. Özel Nitelikli Kişisel Verilerin Korunması 3

2.3. Kişisel Verilerin Korunması ve İşlenmesi Konusunda Farkındalıklarının Arttırılması ve Denetimi 4

3.     KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR. 4

3.1. Kişisel Verilerin Mevzuatta Öngörülen İlkelere Uygun Olarak İşlenmesi 4

3.1.1.       Hukuka ve Dürüstlük Kuralına Uygun İşleme. 4

3.1.2.       Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama. 4

3.1.3. Belirli, Açık ve Meşru Amaçlarla İşleme. 4

3.1.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma. 4

3.1.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme  4

3.2. Kişisel Verilerin İşlenme Şartları 5

3.3. Kişisel Veri Sahibinin Aydınlatılması 6

3.4. Kişisel Verilerin Aktarılması 6

4.     ŞİRKET TARAFINDAN İŞLENEN KİŞİSEL VERİLERİN KATEGORİZASYONU VE İŞLENME AMAÇLARI 7

5.     KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI 7

6.     KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI 7

6.1.      Kişisel Veri Sahibinin Hakları ve Hakların Kullanılması 7

6.2.      Şirketin Başvurulara Cevap Vermesi 8

7.     KİŞİSEL VERİLERİN İŞLENDİĞİ ÖZEL DURUMLAR. 8

7.1.      Şirket İçinde ve Çevresinde Yürütülen Kamera ile İzleme ve Kayıt Altına Alma Faaliyetleri 8

7.2.      Çalışan ve Çalışan Adaylarıyla İlgili Toplanan ve İşlenen Kişisel Verilere İlişkin Kurallar 9

7.2.1.       Sağlık Bilgilerinin Özel Nitelikli Kişisel Veri Olarak Muamele Görmesi 9

7.2.2.       Çalışana İlişkin Kişisel Verilerin Ayrıca Saklanması ve Bu Verileri İşlemeye Yetkili Çalışanlar 9

7.2.3.       Çalışana Ait Kişisel Verilere Erişim.. 9

8.     KİŞİSEL VERİLERİN VERİ İHLALİNE KARŞI KORUNMASI 9

9.     YAYINLANMA VE YÜRÜRLÜK. 10

9.1.      Politikanın Yayınlanması ve Saklanması 10

9.2.      Politikanın Güncellenme Periyodu. 10

9.3.      Politikanın Onaylanması ve Yürürlüğe Girmesi 10

EK 1 – Kişisel Veri Sahipleri 11

EK 2 – Şirket Tarafından Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarılma Amaçları 11

EK 3 – Kişisel Veri Kategorileri 12

EK 4 – Kişisel Veri İşleme Amaçları 13

EK 5 - Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler 14

 


 

1.  GİRİŞ

1.1.    Giriş

Kişisel verilerin korunması, Egemen Yazılım ve Otomasyon Sanayi ve Tic. Ltd. Şti.’nin (“Şirket”) en önemli öncelikleri arasında olup, bu hususta yürürlükte bulunan başta 6698 sayılı Kişisel Verilerin Korunması Kanununu (“Kanun”) olmak üzere tüm mevzuata uygun davranmak için azami gayret gösterilmektedir. İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) çerçevesinde Şirket, kişisel veri işleme faaliyetleri bakımından benimsediği temel prensipleri açıklanmakta ve böylelikle kişisel veri sahiplerini bilgilendirerek gerekli şeffaflığı sağlamaktadır. Bu kapsamdaki sorumluluğumuzun tam bilinci ile kişisel verileriniz işbu Politika kapsamında işlenmekte ve korunmaktadır.

1.2.     Kapsam

Bu Politika; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçek kişilerin Şirket tarafından işlenen tüm kişisel verilerine ilişkindir. Söz konusu kişisel veri sahiplerine ilişkin detaylı bilgilere işbu Politikanın EK 1 (“EK 1 - Kişisel Veri Sahipleri”) dokümanından ulaşılması mümkündür.

1.3.     Politikanın ve İlgili Mevzuatın Uygulanması

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, yürürlükteki mevzuatın uygulama alanı bulacağı kabul edilir. İşbu Politika, ilgili mevzuat tarafından ortaya konulan kuralları Şirket uygulamaları kapsamında somutlaştırılarak düzenlemektedir.

2.  KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

2.1. Kişisel Verilerin Güvenliğinin Sağlanması

Şirket, Kanun’un 12. maddesine uygun olarak, kişisel verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek için, korunacak verinin niteliğine göre gerekli tedbirleri almaktadır. Bu kapsamda, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri alınmakta, denetimler yapılmakta veya yaptırılmaktadır.

2.2. Özel Nitelikli Kişisel Verilerin Korunması

Kanun ile birtakım kişisel verilere hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem atfedilmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Şirket tarafından, Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, kişisel verilerin korunması için Şirket tarafından alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve Şirket bünyesinde gerekli denetimler sağlanmaktadır.

2.3. Kişisel Verilerin Korunması ve İşlenmesi Konusunda Farkındalıklarının Arttırılması ve Denetimi

Kişisel verilerin hukuka aykırı olarak işlenmesini, kişisel verilere hukuka aykırı olarak erişilmesini önlemeye ve kişisel verilerin muhafazasını sağlamaya yönelik farkındalığın artırılması için Şirket bünyesinde gerekli eğitimlerin düzenlenmesi sağlanmaktadır.

Kişisel verilerin korunması konusunda Şirket çalışanlarında farkındalık oluşması için gerekli aksiyonlar alınmakta, ihtiyaç duyulması halinde danışmanlar ile çalışmaktadır. Bu doğrultuda Şirket, ilgili eğitimlere, seminerlere ve bilgilendirme oturumlarına yapılan katılımları değerlendirmekte olup ilgili mevzuatın güncellenmesine paralel olarak eğitimlerini güncellemekte ve yenilemektedir.

3.    KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

3.1. Kişisel Verilerin Mevzuatta Öngörülen İlkelere Uygun Olarak İşlenmesi

3.1.1.   Hukuka ve Dürüstlük Kuralına Uygun İşleme

Şirket, kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile dürüstlük kuralına uygun hareket etmektedir. Bu çerçevede, kişisel veriler Şirket iş faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir.

3.1.2.   Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

Şirket, kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemleri almakta ve belirli sürelerle kişisel verilerin doğruluğunun ve güncelliğinin sağlanmasına ilişkin gerekli mekanizmaları kurmaktadır.

3.1.3. Belirli, Açık ve Meşru Amaçlarla İşleme

Şirket, kişisel verilerin işlenme amaçlarını açıkça ortaya koymakta ve yine iş faaliyetleri doğrultusunda bu faaliyetlerle bağlantılı amaçlar kapsamında işlemektedir.

3.1.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirket, kişisel verileri yalnızca iş faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta olup yalnızca belirlenen amaçlarla sınırlı olarak işlemektedir.

3.1.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme

Şirket, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili faaliyetin tabi olduğu yasal mevzuatta öngörülen minimum süre kadar muhafaza etmektedir. Bu kapsamda, Şirket öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise, kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

3.2. Kişisel Verilerin İşlenme Şartları

Kişisel veri sahibinin açık rıza vermesi haricinde kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabileceği gibi birden fazla şart da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir. İşlenen verilerin özel nitelikli kişisel veri olması halinde, işbu Politikada yer alan düzenlemelere ilave olarak Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı içerisinde yer alan şartlar uygulanacaktır.

a)        Kişisel Veri Sahibinin Açık Rızasının Bulunması

Kişisel verilerin işlenme şartlarından biri veri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

Aşağıda yer alan kişisel veri işleme şartlarının varlığı durumunda veri sahibinin açık rızasına gerek kalmaksızın kişisel veriler işlenebilecektir.

b)        Kanunlarda Açıkça Öngörülmesi

Veri sahibinin kişisel verileri, kanunda açıkça öngörülmekte ise diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde işbu veri işleme şartının varlığından söz edilebilecektir.

c)         Fiili İmkânsızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması

Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

d)        Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgili Olması

Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde işbu şart yerine getirilmiş sayılabilecektir.

e)        Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi

Şirketin hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

f)          Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi

Veri sahibinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.

g)        Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

h)        Şirket Meşru Menfaati için Veri İşlemenin Zorunlu Olması

Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

3.3. Kişisel Veri Sahibinin Aydınlatılması

Şirket, Kanun’un 10. maddesine ve ikincil mevzuata uygun olarak, kişisel veri sahiplerini aydınlatmaktadır. Bu kapsamda Şirket, kişisel verilerin veri sorumlusu olarak kim tarafından, hangi amaçlarla işlendiği, hangi amaçlarla kimlerle paylaşıldığı, hangi yöntemlerle toplandığı ve hukuki sebebi ve veri sahiplerinin kişisel verilerinin işlenmesi kapsamında sahip olduğu hakları konusunda ilgili kişileri bilgilendirmektedir.

3.4. Kişisel Verilerin Aktarılması

Şirket hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere (üçüncü kişi şirketlere, resmi ve özel mercilere, üçüncü gerçek kişilere) aktarabilmektedir. Şirket bu doğrultuda Kanun’un 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir. Bu konu ile ilgili ayrıntılı bilgiye işbu Politikanın EK 2 (“EK 2 - Şirket Tarafından Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarılma Amaçları”) dokümanından ulaşılması mümkündür.

Kişisel veri sahibinin açık rızası olmasa dahi aşağıda belirtilen şartlardan bir ya da birkaçının mevcut olması halinde Şirket tarafından gerekli özen gösterilerek ve Kurul tarafından öngörülen yöntemler de dahil gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir.

·         Kişisel verilerin aktarılmasına ilişkin ilgili faaliyetlerin kanunlarda açıkça öngörülmesi,

·         Kişisel verilerin Şirket tarafından aktarılmasının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,

·         Kişisel verilerin aktarılmasının Şirketin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

·         Kişisel verilerin veri sahibi tarafından alenileştirilmiş olması şartıyla, alenileştirme amacıyla sınırlı bir şekilde Şirket tarafından aktarılması,

·         Kişisel verilerin Şirket tarafından aktarılmasının Şirket, veri sahibi veya üçüncü kişilere ait haklarının tesisi, kullanılması veya korunması için zorunlu olması,

·         Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için kişisel veri aktarımı faaliyetinde bulunulmasının zorunlu olması,

·         Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü koruması için zorunlu olması.

Yukarıdakilere ek olarak kişisel veriler, Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilecektir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelere (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”) aktarılabilecektir.

4.  ŞİRKET TARAFINDAN İŞLENEN KİŞİSEL VERİLERİN KATEGORİZASYONU VE İŞLENME AMAÇLARI

Kanun’un 10. maddesi ve ikincil mevzuat uyarınca ilgili kişiler bilgilendirilerek, Şirketin kişisel veri işleme amaçları doğrultusunda, Kanun’un 5. ve 6. maddesinde belirtilen kişisel veri işleme şartlarından en az birine dayalı ve sınırlı olarak, kişisel verilerin işlenmesine ilişkin Kanun’un 4. maddesinde belirtilen ilkeler başta olmak üzere Kanun’da belirtilen genel ilkelere uygun bir şekilde kişisel veriler işlenmektedir. İşbu Politikada belirtilen amaçlar ve şartlar çerçevesinde, işlenen kişisel veri kategorilerine ve kategoriler hakkında detaylı bilgilere Politikanın EK 3 (“EK 3 - Kişisel Veri Kategorileri”) dokümanından ulaşılabilecektir.

Söz konusu kişisel verilerin işleme amaçlarına ilişkin detaylı bilgiler Politikanın EK 4’ünde (“EK 4 - Kişisel Veri İşleme Amaçları”) yer almaktadır.

5.  KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Şirket, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili faaliyetin tabi olduğu yasal mevzuatta öngörülen minimum sürelere uygun olarak muhafaza etmektedir. Bu kapsamda, Şirket öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir. Kişisel verilerin saklanması ve imhasına yönelik olarak Şirket Kişisel Verileri Saklama ve İmha Politikası uygulanır.

6.  KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI

6.1.     Kişisel Veri Sahibinin Hakları ve Hakların Kullanılması

Kişisel veri sahipleri, aşağıda sayılan haklarına ilişkin taleplerini Kurul’un belirlemiş olduğu yöntemlerle egemenyazilim.com adresinde bulunan Başvuru Formu vasıtasıyla Şirketimize iletebileceklerdir.

Kişisel veri sahipleri aşağıda yer alan haklara sahiptirler:

1)     Kişisel verisinin işlenip işlenmediğini öğrenme,

2)     Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

3)     Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

4)     Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

5)     Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

6)     Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

7)     İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

8)     Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

6.2.     Şirketin Başvurulara Cevap Vermesi

Şirket, kişisel veri sahibi tarafından yapılacak başvuruları Kanun ve ikincil mevzuata uygun olarak sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almaktadır.

Kişisel veri sahibinin, bölüm 6.1.’de yer alan haklara ilişkin talebini usulüne uygun olarak Şirketimize iletmesi durumunda, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ilgili talep ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyet gerektirmesi halinde, Kurul tarafından belirlenen tarife uyarınca ücret alınabilecektir. Bu konuda Kanun hükümleri ile birlikte İlgili Kişinin Veri Sorumlusuna Başvurusuna ve Başvurunun Yanıtlanmasına İlişkin Prosedür uygulanır.

7.  KİŞİSEL VERİLERİN İŞLENDİĞİ ÖZEL DURUMLAR

7.1.     Şirket İçinde ve Çevresinde Yürütülen Kamera ile İzleme ve Kayıt Altına Alma Faaliyetleri

Şirket tarafından firma içinde ve çevresinde güvenliğin sağlanması amacıyla ve yürürlükte bulunan ilgili mevzuatta öngörülen amaçlarla ve Kanun’da sayılan kişisel veri işleme şartlarına uygun olarak güvenlik kamerası izleme ve kayıt altına alma faaliyetinde bulunulmaktadır. Benzer şekilde forklift ve Şirket araçlarında operasyonların güvenliğinin temini amacıyla dışardan erişimi bulunmayan, dahili hafızasına kayıt yapan kamera ile görüntü kaydı yapılmaktadır.

Kanun’un 10. maddesine uyarınca, kamera ile izleme ve kayıt altına alma faaliyeti hususunda kişisel veri sahipleri aydınlatılmaktadır. Şirket tarafından video kamera ile izleme ve kayıt altına alma faaliyetinin sürdürülmesindeki amaç, işbu Politikada sayılan amaçlarla sınırlıdır. Bu doğrultuda, güvenlik kameralarının izleme ve kayıt altına alma alanları, sayısı ve ne zaman izleme yapılacağı, güvenlik amacına ulaşmak için yeterli ve bu amaçla sınırlı olarak uygulamaya alınmaktadır. Kişinin mahremiyetine güvenlik amaçlarını aşan şekilde müdahale sonucu doğurabilecek alanlarda (örneğin, tuvaletler) izlemeye tabi tutulmamaktadır.

Canlı kamera görüntüleri ile dijital ortamda kaydedilen ve muhafaza edilen kayıtlara yalnızca sınırlı sayıda Şirket çalışanının erişimi bulunmaktadır. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

7.2.     Çalışan ve Çalışan Adaylarıyla İlgili Toplanan ve İşlenen Kişisel Verilere İlişkin Kurallar

7.2.1.    Sağlık Bilgilerinin Özel Nitelikli Kişisel Veri Olarak Muamele Görmesi

Çalışanların adli sicil kaydı ve sağlık bilgileri, özel nitelikli kişisel veri olarak kabul edilmektedir. Özel nitelikli kişisel veriler hakkında işbu Politikada yer alan düzenlemelere ilave olarak Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı (Ek 5 - Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler) hükümleri uygulanır.

7.2.2.    Çalışana İlişkin Kişisel Verilerin Ayrıca Saklanması ve Bu Verileri İşlemeye Yetkili Çalışanlar

Çalışan ile ilgili özel nitelikli kişisel veriler, Şirket olanakları elverdiği oranda, yetkisiz erişimlerden korumak ve daha yüksek güvenlik sağlamak adına, diğer kişisel verilerden ayrı olarak saklanmaktadır. Şirket, bu verileri mümkün olan en dar kapsamda işlemeye özen göstermektedir. Bu verilerin işlenmesi gereken durumlarda, bu işlemeyi gerçekleştirmek amacıyla yetkilendirilen kişilerin, bu verilerin hassasiyetini anlamasına ve gerekli önemleri alabilmesine yönelik bilgilendirmeler yapılır.

7.2.3.    Çalışana Ait Kişisel Verilere Erişim

Çalışan ile ilgili kişisel verilere erişim sadece gerekli olması durumunda bu konuda yetkilendirilmiş Şirket çalışan(lar)ı tarafından gerçekleştirilebilecektir. Ayrıca yöneticilere, onların yönetsel rollerini yerine getirebilmeleri için gereken seviyede sağlık verileri açıklanabilir.

8.  KİŞİSEL VERİLERİN VERİ İHLALİNE KARŞI KORUNMASI

Kanun’un 12. maddesinin 5. fıkrasına göre işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi, diğer bir deyişle kişisel veri ihlali halinde Şirket, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirmekle yükümlüdür.

Veri ihlali yaşanmaması için Şirket, Kanun, KVKK alt düzenlemeleri ve işbu politikada belirtilen tüm idari ve teknik tedbirleri dikkate alarak kişisel veri ihlali öncesi risk değerlendirmesi yaparak gerekli tüm tedbirleri alır. Kişisel veri ihlalinin gerçekleşmesi durumunda Şirket, ihlale ilişkin ön değerlendirme yaparak, risk değerlendirmesi neticesinde ihlalin etkilerinin azaltılabilmesi için engelleme ve kurtarma çalışmaları yürütür. Yürütülen çalışmalar çerçevesinde gecikmeksizin ve en geç 72 saat içerisinde Kurul’a bildirimde bulunur.

Kişisel veri ihlali öncesi ve sonrasında Veri İhlali Bildirim Prosedürü uygulama alanı bulur.

9.  YAYINLANMA VE YÜRÜRLÜK

9.1.     Politikanın Yayınlanması ve Saklanması

İşbu Politika, internet sayfasında kamuya açıklanır. Basılı kâğıt nüshası da Şirket nezdinde saklanır.

9.2.     Politikanın Güncellenme Periyodu

Şirket, Kanun’da yapılan değişiklikler, Kurul kararları, sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda işbu Kişisel Verilerin İşlenmesi ve Korunması Politikasında değişiklik yapma hakkını saklı tutar. İşbu Politikada yapılan değişiklikler derhal metne işlenir ve değişikliklere ilişkin açıklamalar politikanın sonunda açıklanır.

9.3.     Politikanın Onaylanması ve Yürürlüğe Girmesi

İşbu Politika, Şirket kanuni temsilcisi tarafından onaylanır. Tüm çalışanlara duyurularak yürürlüğe girer ve yürürlüğü itibarıyla tüm iş birimleri, danışmanlar, dış hizmet sağlayıcıları ve kişisel veri işleyen herkes için bağlayıcı olacaktır.

Çalışanların politikanın gereklerini yerine getirip getirmediğinin takibi, işverenin sorumluluğunda olacaktır. Politikaya aykırı davranış tespit edildiğinde, aykırılığın önemli boyutta olması halinde vakit kaybetmeksizin irtibat kişisine bilgi verilecektir. Politikaya aykırı davranan çalışan hakkında, işveren tarafından yapılacak değerlendirme sonrasında gerekli idari işlem yapılacaktır.


 

EK 1 – Kişisel Veri Sahipleri

Kişisel Veri Sahibi Kategorisi

Açıklama

Çalışan

Şirkette sözleşme ile çalışan gerçek kişi

Çalışan Adayı

Şirkette sözleşme ile çalışacak aday gerçek kişi

Hissedar/Ortak

Şirket hisselerine sahip gerçek kişi

Tedarikçi Yetkilisi veya Çalışanı

Şirket ile yürüttüğü faaliyetler çerçevesinde her türlü mal ve hizmet tedariki sunan kurum ve kuruluşların hissedarı, yetkilisi ve çalışanı olan gerçek kişiler

Ürün veya Hizmet Alan Kişi

Şirket ile herhangi bir sözleşme ilişkisi olup olmadığına bakılmaksızın Şirketin sunduğu mal ve hizmetler kapsamında kişisel verileri elde edilen gerçek kişiler ile tüzel kişi müşterilerin çalışanları veya yetkilileri

Ziyaretçi

Şirketin sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan gerçek kişiler

Diğer

Çalışan Yakını, Doktor, Kamu Görevlisi, Kredi Kartı Sahibi, Referans vb. 3. kişiler

 

 

 

EK 2 – Şirket Tarafından Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarılma Amaçları

Şirket, Kanun’un 8. ve 9. maddelerine uygun olarak işbu Politika ile yönetilen veri sahiplerinin kişisel verilerini, gerçek kişiler veya özel hukuk tüzel kişilerine ve yetkili kamu kurum ve kuruluşlarına aşağıda belirtilen kapsam ve amaçlarla aktarabilir.

Veri Aktarımı Yapılabilecek Kişiler

Tanımı

Veri Aktarım Amacı

Gerçek kişiler veya özel hukuk tüzel kişileri

Ticari faaliyetlerini yürütürken sözleşme temelli olarak Şirkete mal ve hizmet sunan taraflardır.

Dış kaynaklı olarak ve ticari faaliyetlerini yürütmek üzere mal ve hizmet sağlamak amacıyla sınırlı olarak

Yetkili Kamu Kurum ve Kuruluşları

İlgili mevzuat hükümlerine göre Şirketten bilgi ve belge almaya yetkili kamu kurum ve kuruluşlarıdır.

İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak


 

EK 3 – Kişisel Veri Kategorileri

Kişisel Veri Sahibi Kategorisi

Açıklama

Kimlik

Ad-soyad, T.C./vergi kimlik numarası, uyruk bilgisi, doğum yeri, doğum tarihi, cinsiyet, medeni durum, ehliyet, nüfus cüzdanı vb. belgeler üzerindeki bilgiler ile imza.

İletişim

Telefon numarası, adres, e-posta adresi, faks numarası vb. bilgiler.

Fiziksel Mekân Güvenliği

Kamera kaydı.

Müşteri İşlem

Fatura, senet, çek, dekont bilgileri.

Finans

Banka hesap bilgileri, IBAN numarası, gelir bilgisi, banka hesap hareketleri, kredi kartı bilgileri vb.

Görsel ve İşitsel Kayıtlar

Fotoğraf

Özlük

İşe başlama tarihi, izin başlangıç-bitiş tarihi, ücret hesap pusulası, özlük dosyasına ilişkin tutanaklar vb.

Hukuki İşlem

İmza, imza sirküleri, vekaletname bilgileri, mahkeme ve idari merci kararları vb.

İşlem Güvenliği

IP adresi, bilgi işlem giriş-çıkış bilgileri

Mesleki Deneyim

Öğrenim ve meslek bilgileri.

Özel Nitelikli Kişisel Veriler

Din bilgisi, sağlık bilgisi, ceza mahkumiyeti ve güvenlik tedbirleri bilgisi.

 


 

EK 4 – Kişisel Veri İşleme Amaçları

 

Kişisel Veri İşleme Amaçları

Çalışan adaylarının başvuru süreçlerinin yürütülmesi

Çalışanlar İçin İş Akdi ve Mevzuat Kaynaklı Yükümlülüklerin Yerine Getirilmesi

Çalışanlar İçin Yan Haklar ve Menfaatleri Süreçlerinin Yürütülmesi

Eğitim faaliyetlerinin yürütülmesi

Faaliyetlerin Mevzuata Uygun Yürütülmesi

Finans ve Muhasebe İşlerinin Yürütülmesi

Fiziksel Mekân Güvenliğinin Temini

Hukuk İşlerinin Takibi ve Yürütülmesi

İş Faaliyetlerinin Yürütülmesi/Denetimi

Mal/Hizmet Satış Süreçlerinin Yürütülmesi

Saklama ve Arşiv Faaliyetlerinin Yürütülmesi

Sözleşme Süreçlerinin Yürütülmesi

Yetkili Kişi/kurum ve Kuruluşlara Bilgi Verilmesi

 


 

EK 5 - Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler

Karar Tarihi   : 31/01/2018

Karar No       : 2018/10

Konu Özeti   : “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”in görüşülmesi.

 

Kanunun 6 ncı maddesinin (4) numaralı fıkrası ile 22 nci maddesinin (1) numaralı fıkrasının (ç) bendi kapsamında hazırlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” in ekte yer verilen şekilde kabulüne ve Resmi Gazetede yayımlanmasına oy birliği ile karar verilmiştir.

 

Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler

6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 6 ncı maddesinin (4) numaralı fıkrasında, “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmü yer almaktadır.

Bu çerçevede, Kanunun 22 nci maddesinin (1) numaralı fıkrasının (ç) ve (e) bentleri uyarınca özel nitelikli kişisel veri işleyen veri sorumluları tarafından alınması gereken yeterli önlemler Kişisel Verileri Koruma Kurulu tarafından aşağıdaki şekilde belirlenmiştir:

1- Özel nitelikli kişisel verilerin güvenliğine yönelik sistemli, kuralları net bir şekilde belli, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedürün belirlenmesi,

2- Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik,

a) Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi,

b) Gizlilik sözleşmelerinin yapılması,

c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması,

ç) Periyodik olarak yetki kontrollerinin gerçekleştirilmesi,

d) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması,

3- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise

a) Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi,

b) Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması,

c) Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması,

ç) Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

d) Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

e) Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması,

4- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise

a) Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması,

b) Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi,

5- Özel nitelikli kişisel veriler aktarılacaksa

a) Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması,

b) Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması,

c) Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımının gerçekleştirilmesi,

ç) Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın “gizlilik dereceli belgeler” formatında gönderilmesi gerekir.

6- Yukarıda belirtilen önlemlerin yanı sıra Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberinde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de dikkate alınmalıdır.