AR-DE MAKİNE SANAYİ ve TİCARET LİMİTED ŞİRKETİ KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI POLİTİKASI

1. GİRİŞ

Kişisel Verilerin önemi özellikle son 30 yılda ortaya çıkan teknolojik gelişmeler ve dijital çağın getirileri doğrultusunda büyük bir önem arz etmeye başlamış olup, özellikle Anayasa ve Türk Ceza Kanunu’nda yapılan düzenlemelerin ardından, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “KVK Kanunu”) Türkiye Cumhuriyeti Büyük Millet Meclisi tarafından kabul edilmiş ve 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.

AR-DE MAKİNE SANAYİ ve TİCARET LİMİTED ŞİRKETİ (bundan sonra “AR-DE” olarak anılacaktır) KVK Kanunu’nun öngördüğü ilkeler kapsamında, kişisel verilerin işlenmesi, silinmesi, yok edilmesi, anonim hale getirilmesi, aktarılması, ilgili kişinin aydınlatılması ve veri güvenliğinin sağlanmasıyla ilgili Kanun’dan kaynaklı yükümlülüklerini yerine getirmektedir.

KVK Kanunu’na uygun bir şekilde düzenlenmiş olan işbu Kişisel Verilerin İşlenmesi ve Korunması Politikası (“İşleme Politikası”) kişisel verisi işlenen gerçek kişilerin (“İlgili Kişi”) erişimine sunulmaktadır.

2. AMAÇ VE KAPSAM

İşbu Kişisel Verilerin İşlenmesi ve Korunması Politikası (“Politika”), kişisel verilerin işlenmesi ve KVK Kanunu, ikincil düzenlemeler, Kişisel Verilerin Korunması Kurulu’nun (“KVK Kurulu”) kararları ve düzenlemeleri ve sair ilgili mevzuat uyarınca usulüne uygun bir şekilde korunması konusunda belirlemiş olduğu temel kuralları ve uygulamasını ortaya koymak amacıyla Veri Sorumlusu sıfatıyla AR-DE tarafından hazırlanmıştır.

İşbu İşleme Politikası, AR-DE, tarafından tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen Kişisel Veriler ile ilgili aşağıdaki hususları belirtmektedir;

• Kişisel Verilerin işlenmesinde dikkat edilen genel ilkeleri,
• Kişisel Verilerin işlenme şartları,
• Kişisel Verilerin toplandığı yöntemler vebek hukuki sebepleri,
• Hangi kişi gruplarının Kişisel Verilerinin işlendiğini (İlgili Kişi Kategorizasyonu),
• İlgili Kişilerin hangi kategoride Kişisel Verilerinin işlendiği (Veri Kategorileri) ve örnek veri türleri,
• Kişisel Verilerin hangi amaçlarla kullanıldığı,
• Kişisel Verilerin güvenliğini sağlamak amacıyla alınan teknik ve idari tedbirleri,
• Kişisel Verilerin kimlere hangi amaçlarla aktarılabileceği,
• Kamu kurum ve kuruluşları ile resmi makamlar ile gerçekleştirilen Kişisel Veri paylaşımı,
• Kişisel Verilerin saklanma süreleri,
• İlgili Kişilerin, kendi Kişisel Verileri üzerindeki haklarının neler olduğunu ve bu hakları nasıl kullanabileceklerini.

3. TANIMLAR

4. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN İLKELER

AR-DE, Şirket faaliyetleri doğrultusunda işbu Politika kapsamında tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlemekte olduğu kişisel verileri, KVK Kanunu md.4’te yer alan aşağıdaki genel ilkeler çerçevesinde işlemektedir;

4.1. Kişisel Verilerin Hukuka ve Dürüstlük Kurallarına Uygun Olarak İşlenmesini Sağlama

AR-DE, Veri Sorumlusu sıfatı ile işlemekte olduğu Kişisel Verileri, Anayasa ve KVK Kanunu uyarınca hukuka ve dürüstlük kurallarına uygun olarak işlemek ve korunmasını sağlamakla yükümlü olduğunun bilincinde olup, Kişisel Verilerin korunmasına ilişkin yürürlükte bulunan mevzuata ve söz konusu mevzuatta yapılacak değişikliklere uyum sağlayarak Kişisel Verilerin hukuka ve dürüstlük kurallarına aykırı olarak işlenmesine engel olmak için azami güvenlik önlemlerini almaktadır.

4.2. Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

AR-DE, işlediği Kişisel Verilerin doğru ve güncel olmasını sağlamak için gerekli tüm teknik ve idari tedbirleri almaktadır. Veri Sorumlusu sıfatıyla Şirket tarafından işlenen Kişisel Veriler, İlgili Kişi’nin talebi üzerine değiştirilip güncellenerek saklanmakta, Kişisel Verilerin Saklanması ve Korunması Politikası uyarınca ilgili mevzuatta yer alan saklama süreleri ve ilgili mevzuatta saklama sürelerine ilişkin hüküm bulunmaması halinde sektörel teamüle göre Şirket tarafından belirlenen saklama süresinin sonlanmasının ardından silinmektedir.

4.3. Kişisel Verilerin Belirli, Açık ve Meşru Amaçlarla İşlenmesini Sağlamak

AR-DE, Kişisel Verileri ilgili mevzuat hükümleri uyarınca, yürütmekte olduğu faaliyetlerle bağlantılı olarak gerekli olduğu ölçüde ve yasal yükümlülükleri ile sınırlı olarak hukuka uygun bir şekilde işlemektedir. Bununla birlikte, işleme faaliyetlerine başlamadan önce Şirket, işleme amaçlarını açık ve kesin olarak belirlemekte olup, İlgili Kişilere gerekli bildirimleri yapmakta ve Aydınlatma Yükümlülüklerini yerine getirmektedir.

4.4. Kişisel Verilerin işlendikleri amaç ile bağlantılı, sınırlı ve ölçülü olarak işlenmesi

AR-DEtarafından işlenen veriler önceden belirlenen amaçlar ile bağlantılı ve sınırlı olarak ve işbu amacın gerçekleşmesinin gerektiği (gerektirdiği) ölçüde işlenmektedir. İşleme amacı ile ilgili olmayan ve söz konusu amacın gerçekleşmesi için gerek ve ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılmaktadır. Bu doğrultuda verilerin işlenmesi Şirket faaliyetleri ve ilgili mevzuatlar uyarınca Şirketnin sahip olduğu yasal yükümlülükler ile sınırlıdır.

4.5. Kişisel Verilerin ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süre ile sınırlı olarak işlenmesi

AR-DE  tarafından işlenen veriler ilgili mevzuat hükümlerinde öngörülen sürelere uygun bir şekilde ve ilgili mevzuatta hüküm bulunmaması halinde Şirket tarafından işleme amacının gereklilikleri doğrultusunda sektörel teamüle göre belirlenen süreler boyunca muhafaza edilmekte olup işbu sürelerin sonunda Kişisel Veriler Şirketimiz tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu kapsamda gerekli idari ve teknik tedbirler alınmış olup Kişisel Verilerin saklanmasına ve imhasına yönelik prosedürler Kişisel Verilerin Saklanması ve İmhası Politikası’nda detaylı bir şekilde açıklanmıştır.

5. KİŞİSEL VERİLERİ TOPLAMA YÖNTEMLERİ VE HUKUKİ SEBEPLERİ

Şirket, yürütmekte olduğu faaliyetler uyarınca işlemekte olduğu kişisel verileri; tıbbi teşhis, tedavi ve bakım hizmetinin yürütülmesi kapsamındaki  faaliyetleri ile, e-posta, posta, Web sitesi, sosyal medya hesapları, fax, telefon, idari ve adli makamlardan gelen tebligatlar ve sair iletişim kanalları aracılığıyla işitsel, elektronik veya yazılı olarak, ilgili kişinin kendisinden ya da 3.kişilerden dijital veya fiziki ortamlarda KVK Kanunu’nda belirtilen kişisel veri işleme şartlarına uygun olarak ve işbu İşleme Politikası’nda belirtilen hukuki sebepler doğrultusunda toplamaktadır.

6. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel Veriler, Şirketimiz tarafından, KVK Kanunu md.5’te sayılan Kişisel Veri işleme şartlarına ve Anayasa’nın 20. Maddesine riayet edilmek suretiyle ilgili şart belirlenerek işlenmektedir. Şirketimiz tarafından Kişisel Verilerin İşlenmesinin şartları;

6.1. İlgili Kişinin Açık Rızasının Bulunması

Kişisel Veriler kural olarak, KVK Kanunu’nda yer alan düzenleme uyarınca İlgili Kişinin açık rızası bulunmadan işlenememektedir. Bu doğrultuda Şirket, ilgili faaliyet uyarınca işlenecek Kişisel Verinin açık rıza şartına bağlı olması halinde, İlgili Kişiyi kişisel verilerin elde edilmesi esnasında aydınlatmak suretiyle, İlgili Kişinin özgür iradesiyle, aydınlatma ile uyumlu ve belirli bir konuya ilişkin olarak vereceği açık rıza beyanı uyarınca kişisel veri işlemektedir.

KVK Kanunu uyarınca, açık rıza beyanının alınmasına ilişkin herhangi bir şekil şartı bulunmamakla birlikte, Şirketimiz, mümkün olduğu müddetçe, fiziki yollardan elde etmiş olduğu kişisel veriler için açık rıza beyanını yazılı olarak veya elektronik ortamda almaktadır.

KVK Kanunu madde 5 uyarınca İlgili Kişi’nin açık rızasının aranmaksınız Kişisel Verilerin işleneceği haller aşağıda belirtilmektedir;

6.2. Kanunlarda Açıkça Öngörülmesi

Şirket tarafından yürütülen faaliyetler uyarınca uymakla yükümlü olduğumuz kanun ve ilgili mevzuatlarda yer alan düzenlemeler gereği işlenmesi gereken kişisel veriler İlgili Kişinin açık rızası olmaksızın işlenebilecektir.

6.3. Fiili İmkânsızlık Nedeniyle Hayat ve Beden Bütünlüğünün Korunması

Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde Kişisel Veriler açık rıza bulunmaksızın işlenebilecektir.

Örneğin; Şirketimize gelen ağır yaralı bilinci kapalı hastaların tıbbi müdahale öncesinde kan grubu gibi bilgiler bu amaçla işlenebilecektir.

6.4. Sözleşmenin Kurulması veya ifasıyla doğrudan ilgili olması

Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde Kişisel Veriler açık rıza bulunmaksızın işlenebilecektir.

Örneğin; Çalışanlarımızın iş akdi kapsamında hak etmiş olduğu ücretlerinin ödenmesi amacıyla Banka Hesap Bilgileri açık rıza aranmaksızın işlenebilecektir.

6.5. Hukuki Yükümlülüklerimizin Yerine Getirilmesi

Veri sorumlusu olarak sahip olduğumuz hukuki yükümlülüklerin yerine getirebilmesi için zorunlu olması halinde Kişisel Veriler açık rıza aranmaksızın işlenebilecektir.

Örneğin; Vergi, Rekabet, İş Sağlığı ve Güvenliği gibi alanlarda denetim yapılması halinde Kişisel Verilere ilişkin paylaşım yapılması.

6.6. Kişisel Verinin İlgili Kişinin Kendisi Tarafından Alenileştirilmesi

Kişisel Verilerin İlgili Kişinin kendisi tarafından alenileştirilmiş olması halinde açık rıza aranmaksızın işleme faaliyeti gerçekleştirilebilecektir.

Örneğin; Çalışanın, acil durumlarda ulaşılması için iletişim bilgisini ilan etmesi, İş Ortağı/Çözüm Ortağının kartvizit vermek suretiyle aleni hale getirmesi.

Şirketimiz, İlgili Kişinin kendisi tarafından aleni hale getirilen verinin işlenmesinde, alenileştirme amacına riayet edilmesine ve alenileştirme amacı dışında kalan amaçlarla kişisel verilerin işlenmemesine dikkat etmektedir.

6.7. Bir Hakkın Tesisi veya Korunması İçin İşlemenin Zorunlu Olması

Şirketimiz, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde açık rıza aramaksızın Kişisel Verileri işleyebilecektir.

Örneğin; İşten ayrılan Çalışanımıza ait gerekli özlük bilgilerinin dava zaman aşımı boyunca saklanması.

6.8. Veri Sorumlusu sıfatıyla Şirketimizin  Meşru Menfaatleri İçin Veri İşlemenin Zorunlu Olması

Şirketimiz, İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda İlgili Kişinin açık rızasını aramaksızın Kişisel Veri işleyebilecektir.

Örneğin; (i) Çalışan bağlılığını artıran ödül ve primler uygulanması, performans değerlendirmesi gibi amaçlara, açık rıza aranmaksızın veri işlenebilecektir. (ii) Ziyaretçilerimizin, ziyaret tarihi, ziyaret edilen kişi bilgisi gibi verilerinin işlenmesi bu kapsamda değerlendirilecektir.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

KVK Kanunu madde 6’da yapılan tanım uyarınca Özel Nitelikli Kişisel Veriler, Kişisel Verilerin aksine sınırlı olarak sayılmış olup; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri ifade etmektedir.

Kişisel Verileri Koruma Kurumu tarafından yayımlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili 31/01/2018 Tarihli ve 2018/10 Sayılı Karar uyarınca Şirketimiz tarafından işlenen Özel Nitelikli Kişisel Veriler işbu Kişisel Veri İşleme Politikasında yer alan kurallar uyarınca aşağıdaki şekilde işlenmektedir.

KVK Kanunu uyarınca kural olarak, Kişisel Veriler’de olduğu gibi, Özel nitelikli kişisel verilerin, İlgili Kişinin açık rızası olmaksızın işlenmesi yasaktır. Açık rıza aranmaksızın Özel Nitelikli Kişisel Verilerin işlenmesi noktasında ise Şirketimiz tarafından, Sağlık ve Cinsel Hayata İlişkin veriler ile Sağlık ve Cinsel Hayat Dışında Kalan Özel Nitelikli Kişisel Veriler olarak ayrım yapılmaktadır.

Şirketimiz tarafından işlenen kişisel sağlık verileri 21.06.2019 tarihinde yürürlüğe giren Kişisel Sağlık Verileri Hakkında Yönetmelik’e uygun olarak işlenmektedir.

7.1. Sağlık ve Cinsel Hayata İlişkin Verilerin İşlenmesi

Sağlık ve Cinsel Hayata İlişkin Kişisel Veriler kural olarak açık rıza bulunması halinde işlenebilecektir. Sağlık ve Cinsel Hayata İlişkin Kişisel Verilerin açık rıza olmaksızın işlenebilmesi ise ancak aşağıdaki durumlarda söz konusu olacaktır;

• Kamu sağlığının korunması,
• Koruyucu hekimlik,
• Tıbbî teşhis,
• Tedavi ve bakım hizmetlerinin yürütülmesi,
• Sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla,

sadece sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilecektir.

7.2. Sağlık ve Cinsel Hayat Dışındaki Özel Nitelikli Kişisel Verilerin İşlenmesi

Sağlık ve cinsel hayat dışındaki kişisel veriler kural olarak sadece açık rıza bulunması şartıyla işlenebilecektir.

Mevzuat hükümleri ile özel nitelikli kişisel verilerin işlenebileceğinin öngörüldüğü durumlarda ise; İlgili Kişinin sağlık ve cinsel hayatı dışındaki özel nitelikli kişisel verileri açık rıza şartı aranmaksızın Şirket tarafından işlenebilecektir.

Bu durumda Şirket tarafından gerçekleştirilecek veri işleme faaliyetleri, ilgili kanun hükmünün gereklilikleri ile sınırlı olacaktır.

7.3. Özel Nitelikli Kişisel Verilerin İşlenmesinde Alınacak Önlemler

Şirketimiz, Özel Nitelikli Kişisel Verilerin işlenmesinde, yukarıda belirtilen hususların yanında, Kurul tarafından belirlenen yeterli önlemleri almakla yükümlüdür. Bu kapsamda;

• Şirketimizde muhafaza edilen tüm Özel Nitelikli Kişisel Verileri ayrı bir şekilde muhafaza edilerek yetkisiz kişiler tarafından erişimi sınırlandırılmaktadır.
• Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamlarda (Arşiv odası, Ofis dolapları, çekmece vb.);
• Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemleri (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınmaktadır.
• Bu ortamlara yetkisiz giriş çıkışların engellenmesi için gerekli tedbirler alınmaktadır.
• Şirketimiz tarafından işlenen Özel Nitelikli Kişisel Verilerin elektronik/dijital ortamlarda muhafaza edildiği/erişildiği durumlarda;
• Verilerin kriptografik şifreleme yöntemleri kullanılarak muhafaza edilmesi hususunda gerekli adımlar atılmaktadır.
• Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması sağlanmaktadır.
• Verilere uzaktan erişim gerektiği durumlarda (VPN kullanılması) en az iki kademeli kimlik doğrulama sisteminin kullanılması sağlanmaktadır.
• Özel nitelikli kişisel veri işlendiği hallerde aşağıdaki tedbirlerden tümü alınmaktadır;
• Çalışanlar İçin Yetki Matrisleri
• Erişim Loglarının Düzenli Olarak Tutulması
• Kilitlenmiş/kodlanmış/şifrelenmiş sistem girişleri
• Log Kayıtlarının Kullanıcı Müdahalesinden Korunması Sağlanmaktadır
• Özel Nitelikli Kişisel Veriler İçin güvenli şifreleme / kriptografik anahtarlar kullanılmaktadır
• Uzaktan erişimin gerektiği verilere, iki kademeli kimlik doğrulama sistemiyle erişim sağlanmaktadır
• Verilerin bulunduğu ortamlara ait yazılımlarda güvenlik güncellemeleri takip edilmektedir
• Özel Nitelikli Kişisel Verilerin korunmasına ilişkin güvenlik tedbirlerinin alınması noktasında KVK Kurulu tarafından belirlenen esaslara riayet edilmektedir.

8. VERİ KATEGORİLERİ ve ÖRNEK VERİ TÜRLERİ

Şirketimiz tarafından işlenen kişisel veriler Üst Kategori ve Alt Kategori şeklinde ayrılmış olup aşağıdaki şekilde İlgili Kişilerin bilgisine sunulmaktadır. Aşağıdaki tabloda yer alan kategoriler örnek olarak belirtilmiş olup, Şirket tarafından işlenen veriler ile ilgili olarak İlgili Kişilere gerekli aydınlatma, aydınlatma metinlerimiz vasıtasıyla yapılmaktadır.

VERİSİ İŞLENEN ÖRNEK İLGİLİ KİŞİ KATEGORİLERİ

9. KİŞİSEL VERİ İŞLEME AMAÇLARI

AR-DE tarafından işlenen kişisel veriler verilen sağlık hizmetlerine bağlı olarak değişebilmekle birlikte otomatik ya da otomatik olmayan yöntemlerle toplanmaktadır. Hasta temsilcilerimiz, hekimlerimiz, sağlık profesyonellerimiz, vd. çalışanlarımız, taşeron firmalar ve çalışanları ve her türlü ticari faaliyetler içine giren firmalar; çağrı merkezimiz, internet sitesi, online hizmetler ve benzeri yollarla sözlü, yazılı ya da elektronik olarak toplanan sağlık verileri başta olmak üzere özel nitelikli kişisel veriler ve genel nitelikli kişisel veriler, aşağıda yer alan amaçlarla işlenebilmektedir;

*Acil Durum Yönetimi Süreçlerinin Yürütülmesi

*Bilgi Güvenliği Süreçlerinin Yürütülmesi

*Çalışan Adayı / Stajyer / Öğrenci Seçme Ve Yerleştirme Süreçlerinin Yürütülmesi

*Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi

*Çalışan Memnuniyeti Ve Bağlılığı Süreçlerinin Yürütülmesi

*Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi

*Çalışanlar İçin Yan Haklar Ve Menfaatleri Süreçlerinin Yürütülmesi

*Denetim / Etik Faaliyetlerinin Yürütülmesi

*Eğitim Faaliyetlerinin Yürütülmesi

*Erişim Yetkilerinin Yürütülmesi

*Faaliyetlerin Mevzuata Uygun Yürütülmesi

*Finans Ve Muhasebe İşlerinin Yürütülmesi

*Firma / Ürün / Hizmetlere Bağlılık Süreçlerinin Yürütülmesi

*Fiziksel Mekan Güvenliğinin Temini

*Görevlendirme Süreçlerinin Yürütülmesi

*Hukuk İşlerinin Takibi Ve Yürütülmesi

*İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi

*İletişim Faaliyetlerinin Yürütülmesi

*İnsan Kaynakları Süreçlerinin Planlanması

*İş Faaliyetlerinin Yürütülmesi / Denetimi

*İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi

*İş Süreçlerinin İyileştirilmesine Yönelik Önerilerin Alınması Ve Değerlendirilmesi

*İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi

*Lojistik Faaliyetlerinin Yürütülmesi

*Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi

*Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi

*Mal / Hizmet Satış Süreçlerinin Yürütülmesi

*Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi

*Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi

*Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi

*Organizasyon Ve Etkinlik Yönetimi

*Pazarlama Analiz Çalışmalarının Yürütülmesi

*Performans Değerlendirme Süreçlerinin Yürütülmesi

*Reklam / Kampanya / Promosyon Süreçlerinin Yürütülmesi

*Risk Yönetimi Süreçlerinin Yürütülmesi

*Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi

*Sosyal Sorumluluk Ve Sivil Toplum Aktivitelerinin Yürütülmesi

*Sözleşme Süreçlerinin Yürütülmesi

*Sponsorluk Faaliyetlerinin Yürütülmesi

*Stratejik Planlama Faaliyetlerinin Yürütülmesi

*Talep / Şikayetlerin Takibi

*Taşınır Mal Ve Kaynakların Güvenliğinin Temini

*Tedarik Zinciri Yönetimi Süreçlerinin Yürütülmesi

*Ücret Politikasının Yürütülmesi

*Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi

*Veri Sorumlusu Operasyonlarının Güvenliğinin Temini

*Yabancı Personel Çalışma Ve Oturma İzni İşlemleri

*Yatırım Süreçlerinin Yürütülmesi

*Yetenek / Kariyer Gelişimi Faaliyetlerinin Yürütülmesi

*Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi

*Yönetim Faaliyetlerinin Yürütülmesi

*Ziyaretçi Kayıtlarının Oluşturulması Ve Takibi

Yukarıda yer verilen amaçlar kapsamında gerçekleştirilecek kişisel veri işleme faaliyetleri somut olayın özelliklerine göre açık rıza şartı gerektirebilmektedir. Bu durumda İlgili Kişilerden, Kanun’a uygun açık rızaların alınması süreçleri uygulanmaktadır. İlgili Kişilerin açık rıza vermemesi durumunda, söz konusu veriler ancak KVK Kanunu’nda sayılan açık rıza alınmadan kişisel verilerin işlenebileceği Kişisel Veri İşleme Şartları başlıklı bölümde yer alan diğer işleme şartları doğrultusunda (“istisna halleri”) ve bu şartlara uygun amaçlarla işlenebilmektedir. Bu durumda İlgili Kişinin açık rızası aranmaksızın sadece aydınlatma yükümlülüğü yerine getirilecektir.

10. KİŞİSEL VERİLERİN AKTARILMASI 

Şirket, kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak İlgili Kişilerin, Kişisel Verilerini ve Özel Nitelikli Kişisel Verilerini üçüncü gerçek ve/veya tüzel kişilere aktarabilmektedir. Şirket, bu doğrultuda KVK Kanunu’nun 8. ve 9. Maddesinde öngörülen düzenlemelere uygun hareket etmektedir. Kişisel verilerin aktarılmasına ilişkin olarak ilgili mevzuat hükümlerine uygun hareket edilmesi ve aktarım faaliyetlerinin yürürlükte olan mevzuat hükümlerine uygun hale getirilmesi Şirketimizin sorumluluğundadır.

Kişisel Verilerin hukuka uygun şekilde işlenmesi bunların doğrudan aktarılabileceği anlamına gelmemekte olup, Kişisel Verilerin aktarılması için KVK Kanunu 5. ve 6. Maddesinde yer alan şartların sağlanıp sağlanmadığı irdelenmektedir.

10.1. Kişisel Verilerin ve Özel Nitelikli Kişisel Verilerin Yurt İçinde Aktarılması

10.1.1. Kişisel Verilerin Yurtiçinde Aktarılması

Şirketimiz tarafından işlenen Kişisel Verilerin, yurt içinde aktarılabilmesi için aşağıdaki şartlardan birinin bulunması gerekecektir.

• İlgili Kişinin Kişisel Verilerin aktarılmasına ilişkin Açık Rızasının bulunması,
• Kanunlarda kişisel verinin aktarımına ilişkin açık bir düzenleme bulunması,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için veri aktarımının zorunlu olması,
• Veri aktarımının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması,
• Veri aktarımının sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri aktarımının zorunlu olması.
• Kişisel verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri aktarımının zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri aktarımının zorunlu olması,

10.1.2. Özel Nitelikli Kişisel Verilerin Yurt içinde Aktarılması

Şirket, meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda özel nitelikli kişisel verilere ilişkin olarak aşağıdaki hukuki sebeplerle yurt içinde aktarım yapabilmektedir;

• İlgili kişinin açık rızasının bulunması veya,
• İlgili kişinin açık rızası yok ise yeterli önlemleri alarak;
• İlgili Kişinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel verileri (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkumiyeti ve diğer güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir) kanunlarda öngörülen hallerde,
• İlgili Kişinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise, ancak; (i) kamu sağlığının korunması, (ii) koruyucu hekimlik, (iii) tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, (iv) sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından yurt içinde aktarılabilir.

10.2. Kişisel Verilerin Yurt Dışına Aktarılması

Şirket, veri işlemeye ilişkin temel ilkelere uygun olarak işlemiş olduğu Kişisel Verileri, Kişisel Veri işleme amaçları doğrultusunda gerekli önlemleri alarak ve aşağıda belirtilen şartlara uygun olarak, yurt dışına aktarım yapabilecektir;

10.2.1. İlgili Kişinin Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Açık Rızasının Bulunması

KVK Kanunu’nun 9. Maddesi gereğince kişisel verilerin yurt dışına aktarımı yalnızca ilgili kişinin söz konusu aktarıma ilişkin açık rızasının bulunması şartı ile mümkündür.

Bu nedenle Şirket tarafından gerçekleştirilecek herhangi bir yurt dışı aktarımına ilişkin olarak, açık rıza şartının kontrolü öncelikli ve zaruri şart olarak değerlendirilmektedir.

KVK Kanunu madde 9’da Kişisel Verilerin açık rıza aranmaksızın hangi hallerde yurt dışına aktarılabileceği düzenlenmiştir. Buna göre;

10.2.2. İlgili Kişinin Açık Rızası Bulunmasa Dahi Diğer Şartların Sağlanması Koşulu ile Kişisel Verilerin Yurt dışına Aktarılması

Kişisel Veriler,

• Kanunlarda aktarımın açıkça öngörülmesi, (ii) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için veri aktarımının zorunlu olması, (iii) Veri aktarımının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, (iv) Veri aktarımının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, (v) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için veri aktarımının zorunlu olması, (vi) Kişisel verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması, (vii) Bir hakkın tesisi, kullanılması veya korunması için veri aktarımının zorunlu olması, (viii) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri aktarımının zorunlu olması, şartlarından birinin varlığı ve
• aktarım yapılacak ülkede yeterli koruma bulunması durumunda (“Yeterli Korumaya Bulunan Ülkeler” KVK Kurulu tarafından ilan edilecektir),
• aktarım yapılacak ülkede yeterli koruma bulunmaması durumunda ise Türkiye’deki ve aktarım yapılacak ülkedeki Veri Sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmesi ve bunun yanında KVK Kurulu’nun izin vermesi durumunda;

İlgili Kişinin açık rızası aranmaksızın kişisel veriler yurt dışına aktarılabilecektir.

10.3. Özel Nitelikli Kişisel Verilerin Yurt Dışına Aktarılması

Şirket, yürütmekte olduğu faaliyetler uyarınca işbu Politika ‘da belirtilen esaslar doğrultusunda işlemekte olduğu Kişisel Verileri yurt dışında herhangi bir üçüncü kişiye aktarmamaktadır.

Ancak, işlenmekte olan kişisel verilerin yurt dışına aktarılmasının gündeme gelmesi halinde Şirket, veri işlemeye ilişkin temel ilkelere uygun olarak işlemiş olduğu Kişisel Verileri, Kişisel Veri işleme amaçları doğrultusunda gerekli önlemleri alarak ve aşağıda belirtilen şartlara uygun olarak, yurt dışına aktarım yapabilecektir;

10.3.1. İlgili Kişinin Özel Nitelikli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Açık Rızasının Bulunması

KVK Kanunu’nun 9. Maddesi gereğince Özel Nitelikli Kişisel Verilerin yurt dışına aktarımı yalnızca ilgili kişinin söz konusu aktarıma ilişkin açık rızasının bulunması şartı ile mümkündür.

Bu nedenle Şirket tarafından gerçekleştirilecek herhangi bir yurt dışı aktarımına ilişkin olarak açık rıza şartının kontrolü öncelikli ve zaruri şart olarak değerlendirilmektedir.

KVK Kanunu madde 9’da Özel Nitelikli Kişisel Verilerin açık rıza aranmaksızın hangi hallerde yurt dışına aktarılabileceği düzenlenmiştir. Buna göre;

10.3.2. İlgili Kişinin Açık Rızası Bulunmasa Dahi Diğer Şartların Sağlanması Koşulu İle Özel Nitelikli Kişisel Verilerin Yurt dışına Aktarılması

• Sağlık ve Cinsel Hayata İlişkin Özel Nitelikli Kişisel Veriler; (i) kamu sağlığının korunması, (ii) koruyucu hekimlik, (iii) tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, (iv) sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından aktarım yapılacak ülkede yeterli korumanın bulunması (“Yeterli Korumaya Bulunan Ülkeler” KVK Kurulu tarafından ilan edilecektir), yeterli koruma yok ise Türkiye’deki ve aktarım yapılacak ülkedeki Veri Sorumlularının yeterli korumayı yazılı olarak taahhüt etmeleri ve KVK Kurulu’nun izninin bulunması halinde açık rıza şartı aranmaksızın aktarılabilecektir,
• Sağlık ve Cinsel Hayat Dışındaki Özel Nitelikli Kişisel Veriler; kanunlarda öngörülen hallerde ve aktarım yapılacak ülkede yeterli korumanın bulunması (“Yeterli Korumaya Bulunan Ülkeler” KVK Kurulu tarafından ilan edilecektir), yeterli koruma yok ise Türkiye’deki ve aktarım yapılacak ülkedeki Veri Sorumlularının yeterli korumayı yazılı olarak taahhüt etmeleri ve KVK Kurulu’nun izninin bulunması halinde açık rıza şartı aranmaksızın aktarılabilecektir.

11.  İLGİLİ KİŞİLERİN SAHİP OLDUĞU HAKLAR

KVK Kanunu’nun 10. Maddesinde İlgili Kişilerin, veri sorumlularına başvurarak kendisi ile ilgili aşağıda belirtilen konularda talepte bulunabileceği düzenlenmiştir. Bu doğrultuda İlgili Kişiler, Şirket tarafından hazırlanan “Verisi İşlenen İlgili Kişiler İçin Başvuru Formu” ’nu doldurup yazılı olarak tarafımıza ileterek kendileri ile ilgili aşağıdaki konularda talepte bulunabileceklerdir;

1. Kişisel veri işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

1. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
2. KVK Kanunu 7. maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
3. (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
4. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

İlgili Kişilerin, belirtilen yöntemlerle taleplerini Şirketimize iletmesi durumunda Şirket, talebin niteliğine göre, talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Şirket tarafından KVK Kurulu’nca belirlenen tarifedeki ücret alınacaktır. Şirket, İlgili Kişilerin başvurularının değerlendirilmesi ve başvuruların süresi içerisinde cevaplanması konusunda Şirket bünyesinde gerekli farkındalığı sağlamaktadır.

İlgili Kişinin başvurusunun reddedilmesi, verilen cevabın İlgili Kişi tarafından yetersiz bulunması veya süresinde başvuruya cevap verilmemesi halinde, İlgili Kişiler cevabın öğrenildiği tarihten itibaren 30 gün ve her halde başvuru tarihinden itibaren 60 gün içerisinde KVK Kurulu’na şikayette bulunabilecektir.

Şirket İlgili Kişilerin talebini, gerekçesini açıklayacağı diğer durumlar saklı kalmak kaydıyla aşağıdaki hallerde reddedebilecektir;

• Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,
• Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarata ilişkin faaliyetler kapsamında işlenmesi,
• Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi,
• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi,
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

12.  VERİ SORUMLUSU OLARAK YÜKÜMLÜLÜKLERİMİZ

KVK Kanunu’nun 3. Bölümü 10.maddede ve 12.maddede Veri Sorumlusunun yükümlülükleri düzenlenmiştir. Bu kapsamda;

12.1. Aydınlatma Yükümlülüğünün Yerine Getirilmesi

KVK Kanunu’nun 10.maddesi uyarınca veri sorumlusu sıfatıyla Şirket, yürütmekte olduğu faaliyetler uyarınca işlemekte olduğu Kişisel Verilerin elde edilmesi sırasında İlgili Kişilere;

1. Veri Sorumlusunun ve varsa temsilcisinin kimliğini,
2. Kişisel Verilerin hangi amaçla işleneceğini,
3. İşlenen Kişisel Verilerin kimlere ve hangi amaçla aktarılabileceğini,

• Kişisel Veri toplamanın yöntemi ve hukuki sebebini,

11. KVK Kanunu’nun 11.maddesinde sayılan İlgili Kişinin haklarının neler olduğunu

İlgili Kişilere bildirmekle yükümlüdür. Şirket bu maddede yer alan yükümlülükler uyarınca ve işbu Politika‘da yer alan esaslar uyarınca işlemekte olduğu Kişisel Verilerin elde edilmesi esnasında, İlgili Kişilere, Kişisel Verilerin elde edileceği ortama uygun olacak şekilde elektronik ve/veya fiziki ortamlarda aydınlatma metinlerini ilgili kişi kategorisine uygun olarak tebliğ etmektedir.

12.2. Kişisel Verilerin Güvenliğinin Sağlanması

KVK Kanunu’nun 12.maddesi uyarınca veri sorumlusu sıfatıyla Şirket, (i) Kişisel Verilerin hukuka aykırı olarak işlenmesini önlemek, (ii) Kişisel Verilere hukuka aykırı olarak erişilmesini engellemek, (iii) Kişisel Verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Kişisel verilerin KVK Kanunu ve ilgili mevzuat hükümleri ile işbu Politika‘da yer alan esaslarla işlenmesinin yanında Şirket, Kişisel Verilerin söz konusu yükümlülüklere aykırı biçimde işlenmesini engellemek üzere her türlü teknik ve idari tedbiri almaktadır.

12.2.1. Kişisel Verilerin hukuka aykırı olarak işlenmesini önleme

Şirket, kişisel verilerin hukuka aykırı olarak işlenmesini engellemek üzere gerekli sistemleri kurmuş olup, bu sistemlerin işleyişini sağlamak üzere ilgili personeli görevlendirmiştir. Şirket gerek teknik sebeplerle gerekse hukuki sebeplerle meydana gelebilecek güncellemelerin takibini yaparak sistemin güncellemelerini de sağlamaktadır.

Bu kapsamda Şirket;

• Şirket faaliyetlerinin yürütülmesini sağlayan departmanlarca işlenen kişisel verileri tespit edebilmek amacıyla iş akış süreçlerini gözden geçirmiş olup söz konusu süreçler doğrultusunda işlenen kişisel verileri tespit ederek “Kişisel Veri Envanteri” hazırlamıştır. Söz konusu envanter ilgili departman sorumluları tarafından takip edilmekte ve güncellenmesi sağlanmaktadır. Kişisel Veri Envanteri’nin denetlenmesi ve KVK Kanunu’na uygunluğunun sağlanması ise Kişisel Verilerin Korunmasına ilişkin olarak görevlendirilmiş yetkililer tarafından sağlanmaktadır.
• Şirket, departman yöneticileri/sorumlularının desteği ve takibi ile birlikte profesyonel destek almak suretiyle, KVK Kanunu ve ilgili mevzuatta yer alan düzenlemeler ışığında çalışanlarının bilgilendirilmesi ve farkındalığının arttırılması amacıyla dokümanlar düzenlemekte ve eğitimler vermektedir.
• Şirket, çalışanlarının iş sözleşmelerini, çalışanlarına imzalatılan/sunulan politika ve prosedürleri, KVK Kanunu’nda yer alan düzenlemeleri yansıtacak ve çalışanların kişisel verileri hukuka uygun olarak işlenmesini sağlamasının zorunluluğunu ve ihlal halinde uygulanacak yaptırımları yansıtacak şekilde revize etmektedir.
• Şirket, Kişisel Verilere erişimi, işlenme amacı doğrultusunda ve ilgili personeller ile sınırlandırmaktadır.
• Şirket’in bünyesinde yer alan departmanlar tarafından gerçekleştirilen, verilerin işlenmesinden silinmesine kadarki süreç rutin denetimler ile kontrol altında tutulmaktadır.
• Şirket departmanları tarafından işlenen kişisel verilere ilişkin olarak erişim (log) kayıtları tutulmaktadır.

12.2.2. Kişisel verilere hukuka aykırı olarak erişilmesini önleme

Şirket, Kişisel Verilere hukuka aykırı olarak erişilmesini önlemek amacıyla gerek teknik gerekse hukuki açıdan uygun önlemler alarak, kilitli arşiv odaları, anti virüs yazılımları, güvenlik duvarı, sızma testleri gibi yollarla kişisel verilerin yer aldığı sistemlerin güvenliğini sağlamaktadır.

Bu kapsamda Şirket;

• Şirket, çalışanlarının iş sözleşmelerini, çalışanlarına imzalatılan/sunulan politika ve prosedürleri, KVK Kanunu’nda yer alan düzenlemeleri yansıtacak ve çalışanların kişisel verileri hukuka uygun olarak işlenmesini sağlamasının zorunluluğunu ve ihlal halinde uygulanacak yaptırımları yansıtacak şekilde revize etmektedir.
• Şirket, Kişisel Verilere erişimi işlenme amacı doğrultusunda ve ilgili personeller ile sınırlandırmaktadır.
• Şirket, kişisel verilerin hukuka aykırı olarak erişilmesini önlemek ve Şirket güvenliğini sağlamak amacıyla kurmuş olduğu sistemlerin bakımını, güncellemesini periyodik olarak gerçekleştirmektedir.
• Şirket, Kişisel verilere hukuka aykırı olarak erişimi önlemek için departman bazında erişim yetkileri tanımlamak suretiyle, kişisel verilere erişilecek sistemlere ilişkin departman çalışanlarının kullanıcı hesaplarının erişim ve yetkilerini kısıtlamakta ve sistemlere erişim sağlayan cihazlar sınırlandırılmaktadır.
• Teknolojik gelişmelere uygun olarak teknik önlemler alınmalı, alınan önlemler yeterli ve gerekli aralıklarla güncellenmekte ve yenilenmektedir.
• Şirket tarafından departman bazında belirlenmiş olan tedbirlere riayet edilerek erişim ve yetkilendirme süreçleri uygulanmakta olup, bu konuda KVK Kanunu ve/veya KVK Kurulu tarafından teknik standartlar getirilmesi ve/veya mevcut yazılım ve donanımların beklentileri karşılayamaması halinde, ortaya çıkacak teknik standartları sağlayacak yazılım ve donanım çözümleri Şirket tarafından uygulanacaktır.
• Şirket, faaliyetlerin gerçekleştirilmesi sırasında kullanılan ve kişisel verilere erişim imkanı bulunan tüm sistemlere, başta virüs koruma programları olmak üzere, çeşitli yazılımlar/donanımlar yüklenmesi ve şifreleme prosedürlerinin uygulanması yoluyla gerekli korumayı sağlamaktadır.
• Şirket, işlenen kişisel verilere Şirket dışından erişim sağlanması halinde (bakım, destek hizmeti alınması vs.), erişilen verilerin sızmasını önlemek ve olası risklerin önüne geçebilmek adına gerekli çalışmaları yapmaktadır.
• İleride ortaya çıkması muhtemel gelişmelerle birlikte, Kişisel verilerin güvenliğine ilişkin teknik hususlarda personel istihdam edilmesi için gerekli bütçe çalışmalarını imkanları dahilinde yapacaktır.

12.2.3. Kişisel Verilerin Muhafazasını Sağlamak

Şirket, Kişisel Verilerin muhafazasını sağlamak amacıyla, gerek teknik gerekse hukuki açıdan uygun önlemler alarak, kişisel verilerin saklandığı fiziki ve dijital ortamlarda yangın, sel gibi tehlikelere karşı önlemlerin alınması, kağıt ortamında tutulan verilerin kilit altına alınması, kademeli şifreleme yöntemlerinin kullanılması, şifre ve parolaların periyodik olarak değiştirilmesi gibi yöntemlerle kişisel verilerin yer aldığı sistemlerin güvenliğini sağlamaktadır.

• Şirket, kişisel verilerin muhafaza edildiği sistemlere dışarıdan sızılmasının engellenmesi için gerekli önlemleri almakta, veri kaybının önlenmesi adına dosyaları yedeklemekte ve verilerin KVK Kanunu’na uyumlu bir şekilde muhafazası için gerekli 3.kişilerle gerekli sözleşmeleri düzenlemektedir.
• Şirket, iş ilişkisi içerisinde bulunduğu gerçek ve/veya tüzel kişiler ile aralarındaki ilişki gereği kişisel veri paylaşımında ve/veya kişisel veri aktarımında bulunması halinde, akdedilen sözleşmeye hüküm eklenmesi ya da sözleşmeden ayrı bir protokol düzenlenmesi suretiyle KVK Kanunu’nda düzenlenen yükümlülüklere uygun hareket edileceği, kişisel verilerin ifşa edilemeyeceği, kişisel verilerin Şirket’nin onayı olmaksızın paylaşılmayacağı ve aktarılmayacağı, kişisel verilerin hukuka aykırı olarak kullanılmayacağı ve kişisel verilere ilişkin gizlilik yükümlülüğünün aradaki sözleşmenin sonlanmasının ardından da devam edeceğine ve ayrıca kişisel verilerin korunması amacıyla gerekli ve yeterli güvenlik tedbirlerinin alınarak kişisel verilerin muhafazasının sağlanacağına ilişkin taahhütler almaktadır.

Şirket, (i) Kişisel Verilerin hukuka aykırı olarak işlenmesini önlemek, (ii) Kişisel Verilere hukuka aykırı olarak erişilmesini engellemek, (iii) Kişisel Verilerin muhafazasını sağlamak amacıyla yukarıda yer alan tedbirlerin yanında “Kişisel Verilerin Saklanması ve İmhası Politikası” ’nda belirtilen teknik ve idari tedbirleri almaktadır.

13.  Veri Sorumluları Sicili’ne (VERBİS) kayıt

Şirket, KVK Kanunu madde 16 ve 30 Aralık 2017 tarihli, 30286 sayılı resmi gazetede yayımlanarak yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca KVK Kurulu gözetiminde tutulacak olan Veri Sorumluları Sicili ’ne (VERBİS);

1. Şirketin kimlik ve adres bilgilerini,
2. Kişisel verilerin Şirket tarafından hangi amaçla işleneceğini,
3. Verisi işlenen İlgili Kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamaları,

• Kişisel verilerin Şirket tarafından aktarılabileceği alıcı veya alıcı gruplarını

1. Şirket tarafından, yabancı ülkelere aktarımı öngörülen kişisel verileri,
2. Şirket tarafından, Kişisel veri güvenliğine ilişkin alınan tedbirleri,
3. Kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi,

içerecek şekilde bildirim yapmakla yükümlü olup olmadığı noktasında, “Veri Sorumluları Siciline Kayıt Yükümlülüğünden İstisna Tutulacak Veri Sorumluları” ile ilgili Şirket’nin veri sorumlusu olarak VERBİS’e kaydını sağlamaktadır.

14.  KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ

Şirket, yürütmekte olduğu faaliyetlere temas eden ilgili kanunlarda ve mevzuatlarda kişisel verilerin saklanmasına ilişkin süreler öngörülmesi halinde, işlemiş olduğu kişisel verileri ilgili kanun hükmünde düzenlenen süreler boyunca muhafaza etmektedir.

Kişisel verilerin ne kadar süre ile saklanması gerektiğine ilişkin ilgili kanun ve mevzuatlarda hüküm bulunmaması halinde Şirket, işlemiş olduğu kişisel verileri sektörel teamüle göre ve söz konusu kişisel verinin işlenmesine sebep olan faaliyetin özellikleri göz önünde bulundurularak belirlenen gerekli süreler boyunca saklamaktadır.

Kişisel verilerin işlenme amacı sona ermiş ve ilgili mevzuat ve/veya Şirket tarafından belirlenen saklama süreleri sona ermişse, yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi, kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi ve tesis edilebilmesi amacıyla saklanabilecektir.

Şirket tarafından, gelecekte kullanılabilme ihtimali göz önünde bulundurularak herhangi bir kişisel verinin, süresinden fazla saklanması söz konusu değildir.

Şirket tarafından işlenen Kişisel Verilerin saklama sürelerine ilişkin detaylı bilgiye “Kişisel Verilerin Saklanması ve İmhası Politikası” ’nda yer verilmiştir.

15.  KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE GETİRİLMESİ 

KVK Kanunu madde 7 uyarınca gerçekleştirilecek olan Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi, Şirketimiz tarafından hazırlanan Kişisel Verilerin Saklanması ve İmhası Politikasında belirtilen esaslara uygun olarak gerçekleştirilmektedir.

Şirket tarafından hazırlanan Kişisel Verilerin Saklanması ve İmhası Politikası ’nda belirlenen saklama sürelerinin sona ermesi halinde ve verilerin işleme sebeplerinin ortadan kalkması durumunda Şirket işlediği kişisel verileri Kişisel Verilerin Saklanması ve İmhası Politikası ’nda yer alan esaslar uyarınca silmekte, yok etmekte veya anonim hale getirmektedir.

Bununla birlikte, İlgili Kişinin işbu Kişisel Veri İşleme Politikasında ve KVK Kanunu madde 11’de yer verilen haklarını kullanması doğrultusunda Şirket tarafından, ilgili hakkın kullanılmasına ilişkin talebin yerinde bulunması halinde, ilgili veriler silinmekte, yok edilmekte veya anonimleştirilmektedir. Şirket, anonimleştirilmiş kişisel verileri araştırma ve istatistik amaçlarla KVK Kanunu’nun istisnalar başlıklı 28. Maddesi’nde belirtilen hallerde veri işleme hakkını saklı tutmaktadır.

Şirket, işlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yürürlükte olan veya sonradan yürürlüğe girecek olan tüm mevzuat hükümlere ve KVK Kurulu kararlarına uyum sağlayacaktır.

Şirket, işlediği kişisel verilerin hukuka uygun olarak imha edilmesini sağlamak amacıyla KVK Komitesi oluşturmuştur.  KVK Komitesi; işlenen kişisel verinin özelliğine, kişisel verilerin saklanma amacına ve kişisel verilerin saklanmakta olduğu ortamlara uygun olacak yöntemlerden gerekli olanı uygulamaktadır.

Kişisel verilerin Şirket tarafından silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yöntemler ve kişisel verilerin saklanmasına ilişkin esaslar ile ilgili detaylı açıklamalara, işbu Politikadan ayrı olarak hazırlanmış olan Kişisel Verilerin Saklanması ve İmhası Politikası’ndan ulaşılabilmektedir.

16.  Kişisel Verilerin İşlenmesi ve korunması Politikasında yapılacak Güncellemeler

Şirket, KVK Kanunu’nda yapılan değişiklikler nedeniyle, KVK Kurumu kararları uyarınca ya da ortaya çıkacak gelişmeler doğrultusunda, Kişisel Verilerin Saklanması ve İmhası Politikasında ya da işbu Kişisel Verilerin İşlenmesi ve Korunması Politikasında değişiklik yapma hakkını saklı tutmaktadır.

İşbu Kişisel Verilerin İşlenmesi ve Korunması Politikasında yapılan değişiklikler derhal metne işlenir ve değişikliklere ilişkin açıklamalar politikanın sonunda açıklanır. İşbu politikada yapılacak güncellemeler Şirket tarafından onaylanması üzerine revizyon ve onay tarihi ile birlikte adresinde yayımlar.

İşbu Politika, olağan olarak senede bir defa olacak şekilde rutin olarak gözden geçirilir ve güncel kanuni ve içtihadi gelişmelere göre güncellenir. Ancak Şirket gerekli görmesi halinde işbu politikayı her zaman gözden geçirme, işbu politika üzerinde değişikliklerde bulunma ve gereken durumlarda işbu politikayı yürürlükten kaldırıp yeni bir politika oluşturma hakkını saklı tutar.

Politikanın yürürlükten kaldırılmasına ilişkin olarak karar verme yetkisi AR-DE Yönetim Kurulu’na aittir.

17.  YÜRÜRLÜK

İşbu Kişisel Verilerin İşlenmesi ve Korunması Politikası, 18.12.2023 tarihinde yürürlüğe girmiştir.

İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası ve ileride yapılacak güncellemeler, https://ardemakine.com/ adresinde yayımlanacaktır.