PAPİRUS GROUP TURİZM SANAYİ VE TİCARET LİMİTED ŞİRKETİ KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI
1.BÖLÜM
1.1 GİRİŞ
Kişisel verilerin korunması, PAPİRUS GROUP TURİZM SANAYİ VE TİCARET LİMİTED ŞİRKETİ ( “Kurum”) en önemli öncelikleri arasında olup, bu hususta yürürlükte bulunan tüm mevzuata uygun davranmak için azami gayret gösterilmektedir. İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”) ile Kurumumuzca işlenen kişisel verilerin teknik ve idari açıdan korunması, kişisel verilerin işlenme şartlarının ortadan kalkması halinde Kişisel Verilerin Korunması Kanunu (“Kanun”) ile ilgili diğer yasal düzenlemelerde yer alan hükümlere uygun olarak imhası sağlanmaktadır.
1.2.AMAÇ
İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “Kanun”) ve Kanun’un ikincil düzenlemesini teşkil eden
28 Ekim 2017 tarihli Resmi Gazete ’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca yükümlülüklerimizi yerine getirmek ve veri sahiplerini silme, yok etme ve anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla veri sorumlusu sıfatıyla PAPİRUS GROUP TURİZM SANAYİ VE TİCARET LİMİTED ŞİRKETİ tarafından hazırlanmıştır.
1.3. KAPSAM
Vatandaşlar, kurum çalışanları, stajyer ve sözleşmeli personeller, çalışan adayları, hizmet sağlayıcılar, ziyaretçiler ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup kurumun sahip olduğu ya da kurumca yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde uygulanır.
2. BÖLÜM
2.1. TANIMLAR VE KISALTMALAR
KURUM: …………………………………
AÇIK RIZA: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
ANONİM HALE GETİRME: Kişisel verinin, kişisel veri niteliği kaybedecek ve bu durumun geri alınamayacağı şekilde değiştirilmesidir. Ör: Maskeleme, toplulaştırma, veri bozma vb. tekniklerle kişisel verinin bir gerçek kişi ile ilişkilendirilemeyecek hale getirilmesi.
KİŞİSEL VERİ: Kimliği belirli ve belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir. Örn: ad-soyad, TCKN, e-posta, adres, doğum tarihi, kredi kartı numarası, banka hesap numarası vb.
ELEKTRONİK ORTAM: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
ELEKTRONİK
OLMAYAN ORTAM: Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar
ÖZEL NİTELİKLİ KİŞİSEL VERİ: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli verilerdir.
KİŞİSEL VERİLERİN İŞLENMESİ: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
VERİ SORUMLUSU: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten gerçek veya tüzel kişiyi ifade eder
VERİ SAHİBİ
BAŞVURU FORMU: İlgili Kişinin, KVK Kanunu’nun 11. maddesinde yer alan haklarına ilişkin başvurularını kullanırken yararlanacakları başvuru formu.
ANAYASA: 9 Kasım 1982 tarihli ve 17863 sayılı Resmi Gazete ‘de yayımlanan;7 Kasım 1982 tarihli 2709 sayılı Türkiye Cumhuriyeti Anayasası
KVK KANUNU: 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete ‘de yayımlanan, 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu.
POLİTİKA: PAPİRUS GROUP TURİZM SANAYİ VE TİCARET LİMİTED ŞİRKETİ Kişisel Veri Saklama ve İmha Politikası
AYDINLATMA
YÜKÜMLÜLÜĞÜNÜN
YERİNE
GETİRİLMESİNDE UYULACAK USUL VE ESASLAR
HAKKINDA TEBLİĞ: 10 Mart 2018 tarihli ve 30356 sayılı Resmi Gazete ‘de yayımlanarak yürürlüğe giren Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ.
KİŞİSEL VERİ
SAKLAMA VE İMHA POLİTİKASI: Kişisel Verilerin Silinmesi, Yok Edilmesi, Anonim Hale Getirilmesi Hakkında Yönetmelik gereğince, Kurum tarafından kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yapılmış olan politika
İMHA: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
İLGİLİ KULLANICI: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.
İLGİLİ KİŞİ: Kişisel verisi işlenen gerçek kişi.
KAYIT ORTAMI: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
PERİYODİK İMHA: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda tekrar eden aralıklarla gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
KAYITLI ELEKTRONİK
POSTA (KEP): Her türlü ticari, hukuki yazışma ve belge paylaşımlarınızı gönderdiğiniz biçimde koruyan, alıcının kim olduğunu kesin olarak tespit eden, içeriğin kesinlikle değişmemesini ve içeriği yasal geçerli ve güvenli, kesin delil haline getiren sistemdir.
VERİ
SORUMLULARI
SİCİL BİLGİ SİSTEMİ: Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemi.
YÖNETMELİK: 28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
2.2.YETKİ VE SORUMLULUKLAR
Kurum içerisinde Kanun, Yönetmelik ve Politika ile belirtilen verinin imhasına dair gereklerin yerine getirilmesinde tüm çalışanlar, danışmanlar, dış hizmet sağlayıcıları ve diğer surette kurum nezdinde kişisel veri saklayan ve işleyen herkes bu gerekleri yerine getirmekten sorumludur.
Her iş birimi kendi iş süreçlerinde ürettiği veriyi saklamak ve korumakla yükümlüdür.
Kişisel Verileri Koruma Kurulu ile yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme ve sicile kayıt gibi işlemlerin sorumluluğu “Veri Sorumlusu İrtibat Kişi ”sindedir.
2.3.KİŞİSEL VERİLERİN BULUNDUĞU ORTAMALAR
Kişisel veriler, Kurum tarafından aşağıda belirtilen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.
Elektronik Ortamlar Elektronik Olmayan Ortamlar
• Sunucular (Etki alanı, yedekleme, e-posta, veri tabanı, web, dosya paylaşım, vb.) Yazılımlar (ofis yazılımları.)
• Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, anti virüs vb.)
• Kişisel bilgisayarlar (Masaüstü, dizüstü)
• Mobil cihazlar (telefon, tablet vb.) • Optik diskler (CD, DVD vb.)
• Çıkartılabilir bellekler (USB, Hafıza Kart vb.)
• Yazıcı, tarayıcı, fotokopi makinesi
• Kâğıt
• Manuel veri kayıt sistemleri
(anket formları, ziyaretçi giriş
defteri)
• Yazılı, basılı, görsel ortamlar
• Birim dolapları
3. BÖLÜM
SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR
Kurum tarafından; vatandaşlar, çalışanlar, çalışan adayları, ziyaretçiler ve hizmet sağlayıcı olarak ilişkide bulunulan üçüncü kişilerin, kurumların veya kuruluşların çalışanlarına ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.
3.1. SAKLAMAYA İLİŞKİN AÇIKLAMALAR
Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6 ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır. Buna göre, Kurumumuz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.
3.1.1. Saklamayı Gerektiren Hukuki Sebepler
Kurum faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;
• 5490 Sayılı Nüfus Hizmetleri Kanunu,
• 3194 Sayılı İmar Kanunu,
• 2886 Sayılı Devlet İhale Kanunu,
• 4734 Sayılı Kamu İhale Kanunu,
• 6183 Sayılı Amme Alacaklarının Tahsil Usulü,
• 7201 Sayılı Tebligat Kanunu,
• 1319 Sayılı Emlak Vergisi Kanunu,
• 657 Sayılı Devlet Memurları Kanunu,
• 4904 Sayılı Türkiye İş Kurumu Kanunu,
• 2981 Sayılı İmar Affı Yasası Kapsamındaki İmar Uygulamaları,
• 2863 Sayılı Kültür Ve Tabiat Varlıkların Koruma Kanunu, • 213 Sayılı Vergi Usul Kanunu,
• 3071 Sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun,
• 3195/3196/3197/3198/3199/3200/3201 Sayılı İmar Kanunu,
• 9464 Sayılı Engelliler Hakkında Kanun,
• 3308 Sayılı Mesleki Eğitim Kanunu,
• 4483 Sayılı Memurlar Ve Diğer Kamu Görevlilerin Yargılanması Hakkında Kanun,
4708 Sayılı Yapı Denetim Hakkında Kanun,
• 4857 Sayılı İş Kanunu,
• 4982 Sayılı Bilgi Edinme Kanunu,
• 5393 Sayılı Belediye Kanunu,
• 5580 Sayılı Özel Öğretim Kurumlar Kanunu,
• 9207 Sayılı İşyeri Açma Ve Çalışma Ruhsatlarına İlişkin Yönetmelik
• 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Ve Bu Yayınlar
Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• 6306 Sayılı Afet Riski Altındaki Alanların Dönüştürülmesi Hakkında Kanun,
• 6321 Sayılı Resmi Yazışmalarda Uygulanacak Usul Ve Esaslar Hakkında Yönetmelik,
• 6331 Sayılı İş Sağlığı Ve Güvenliği Kanunu,
• 3359 Sayılı Sağlık Hizmetleri Temel Kanunu,
• 5442 Sayılı İl İdaresi Kanunu,
• 4735 Sayılı Kamu İhale Sözleşmeleri Kanunu,
• 5199 Sayılı Hayvanları Koruma Kanunu,
• 7189 Sayılı Bilgi Edinme Hakkı Kanunun Uygulamasına İlişkin Esas Ve Usuller Hakkında Yönetmelik,
• 1593 Sayılı Umumi Hıfzıssıhha Kanunu,
• 5326 Sayılı Kabahatler Kanunu,
• 1219 Sayılı Tababet Ve Şuabatı San’atlarının Tarzı İcrasına Dair Kanun, çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.
3.1.2. Saklamayı Gerektiren İşleme Amaçları
Kurum, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklamaktadır:
• Kurum tarafından sunulan hizmetlerden sizleri faydalandırmak için gerekli çalışmaların iş birimlerimiz tarafından yapabilmek,
• Kurumsal web sitemiz ve mobil uygulamalar üzerindeki e-belediye faaliyetlerinin yürütülmesi,
• Elektronik ortam ve platformlarda (internet/e-belediye vs.) veya kâğıt ortamında işleme dayanak olacak tüm kayıt ve belgeleri düzenlemek,
• Kamu güvenliğine ilişkin hususlarda talep halinde ve mevzuat gereği kamu görevlilerine bilgi verebilmek,
• Vatandaşlarımızın memnuniyetini artırmak, çeşitli kamusal faaliyetlerde kullanabilmek ve bu kapsamda anlaşmalı kuruluşlar aracılığıyla elektronik ortamda ve/veya fiziki ortamda anketler düzenlemek,
• Vatandaşlarımıza öneri sunabilmek, hizmetlerimizle ilgili vatandaşlarımızı bilgilendirebilmek,
• Hizmetlerimiz ile ilgili şikâyet, istek ve önerilerini değerlendirebilmek,
• Yasal yükümlülüklerimizi yerine getirebilmek ve yürürlükteki mevzuattan doğan hakları kullanabilmek,
• İnternet ortamında vatandaşlarımıza daha iyi bir etkileşim sağlamak,
• Web sitesi/mobil uygulamalar üzerinden sitemizi kullananlar “çerez politikası” gereği IP adresi ve benzeri bilgileri toplayabilmek,
• İş başvurularınızı, staj başvurularınızı değerlendirebilmek,
• Kurumumuzla iş amaçlı bağı bulunanların kişilerin iletişim amacıyla adres ve iletişimi gerçekleştirebilmek,
• İş akitlerimizin, sözleşmelerin koşulları, güncel durumu ve güncellemeler ile ilgili müşterilerimiz ile iletişime geçmek, gerekli bilgilendirmeleri yapabilmek,
• Çalışanlarımızın iş sağlığı ve güvenliği kapsamında elde edilen sağlık bilgisi sonuçları sadece iş sağlığı ve güvenliği kapsamında yasalara uygun olarak veri toplamak,
• Sendikal haklarla ilgili olarak çalışanların lehine olacak şekilde sendikal haklardan çalışanlarımızın faydalanmasını sağlamak,
• İş birliği, ortak iş yapma, tedarik ve taşeronluk iş ve işlemleri sırasında kullanmak,
• Sözleşmelerle ilgili yükümlülükleri yerine getirebilmek,
• Yasal yükümlülüklerimizi yerine getirebilmek ve yürürlükteki mevzuattan doğan haklarımızı kullanabilmek,
• Dolandırıcılık ve diğer yasa dışı faaliyetlerin önüne geçebilmek,
• Hizmet binalarımız, parklarımız içinde güvenlik kameraları marifetiyle bina, tesis, park gibi yerlerde kamera görüntüleri kamu güvenliği ve iş güvenliğini sağlayabilmek için saklanmaktadır.
3.2. İMHAYI GEREKTİREN SEBEPLER
Kişisel veriler;
• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
• Kurumun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması
Durumlarında, Kurumumuz tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re ’sen silinir, yok edilir veya anonim hale getirilir.
4.BÖLÜM
KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ALINAN TİRLER
Kurum, Kanun’un 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tirleri almakta, bu kapsamda gerekli denetimleri yapmakta veya yaptırmaktadır. İşlenen kişisel verilerin teknik ve idari tüm tirler alınmış olmasına rağmen, kanuni olmayan yollarla üçüncü kişiler tarafından ele geçirilmesi durumunda, Kurum bu durumu mümkün olan en kısa süre içerisinde ilgili kişi ve birimlere haber vermektedir.
4.1 Teknik Tirler
Kurumumuzca teknik tirler kapsamında:
• Veri güvenliğini sağlamak amacıyla bilgili ve deneyimli kişiler istihdam etmekte ve personeline gerekli kişisel verilerin korunmasına ilişkin eğitimleri vermektedir.
• Kurulan sistemler kapsamında gerekli iç kontrolleri yapılmaktadır.
• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmektedir. • Erişim logları düzenli olarak tutulmaktadır.
• Kişisel Verilerin tutulduğu ortamlara veriye erişim kısıtlanarak yalnızca yetkili kişilerin, kişisel verinin saklanma amacı ile sınırlı olarak bu verilere erişmesine izin verilmekte, Kişisel Verilerin bulunduğu veri depolama alanlarına erişimlerin iz kayıtları tutularak uygunsuz erişimler veya erişim denemeleri ilgililere iletilmektedir.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.
4.2 İdari Tirler
Kurumumuz tarafından, işlenen kişisel verilerle ilgili olarak alınan idari tirler aşağıda belirtildiği gibidir:
• Aydınlatma Metinleri (Çalışan, Çalışan Adayı, Müşteri, Kamera Sistemleri, Covid-19 Salgın Süreci) ve Açık Rıza Metinleri Hazırlanmıştır.
• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Erişim yetkileri düzenlenmiştir.
• Birim bazında kişisel verileri korumaya yönelik eğitim verilmiştir.
• Birim bazında belirlenen hukuksal uyum gerekliliklerinin sağlanması için ilgili birimin özelinde farkındalık yaratılmakta ve uygulama kuralları belirlenmekte; bu hususların denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tirler hayata geçirilmektedir.
• Gizlilik taahhütnameleri yapılmaktadır.
• Güvenlik politika ve prosedürlerine uymayan çalışanlara yönelik uygulanacak disiplin yönetmeliği hazırlanmıştır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Katmanlı kamera aydınlatma metinleri kameraların bulunduğu bölgelere asılmıştır.
• Kişisel verilerin saklanması ile ilgili teknik ve idari riskler hakkında çalışanlar bilgilendirilerek farkındalık yaratılmıştır.
• Kurumun yürütmekte olduğu tüm faaliyetler detaylı olarak tüm birimlerin özelinde analiz edilerek, bu analiz neticesinde ilgili birimlerin gerçekleştirmiş olduğu faaliyetler özelinde kişisel veri işleme envanteri hazırlanmıştır.
• Kişisel Verileri Koruma Komitesi kurulmuştur.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Sözleşmeler KVKK İle uyumlu hale getirilmiştir.
• İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durum en kısa sürede ilgilisine ve Kurul’a bildirilmektedir.
5.BÖLÜM
KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Kurum tarafından re ‘sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilmektedir.
5.1. Kişisel Verilerin Silinmesi
Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Kurum kişisel verilerin silinmesi yöntemi olarak aşağıdaki yöntemlerden bir veya birkaçını kullanabilir:
Veri Kayıt Ortamı Açıklama
Sunucularda Yer Alan Kişisel Veriler Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
Elektronik Ortamda Yer Alan Kişisel Veriler Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
Fiziksel Ortamda Yer Alan Kişisel Veriler Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.
Taşınabilir Medyada Bulunan Kişisel Flash tabanlı saklama ortamlarında tutulan
Veriler kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.
5.2. Kişisel Verilerin Yok Edilmesi
Kişisel verilerin yok edilmesi, kişisel verilerin aşağıdaki yöntemlerle hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Kurum kişisel verilerin yok edilmesi yöntemi olarak aşağıdaki yöntemlerden bir veya birkaçını kullanabilir:
Veri Kayıt Ortamı Açıklama
Fiziksel Ortamda Yer Alan Kişisel Veriler Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
Optik / Manyetik Medyada Yer Alan
Kişisel Veriler Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.
5.3. Kişisel Verilerin Anonim Hale Getirilmesi
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder.
Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.
Kurum, kişisel verileri anonim hale getirmek için aşağıda belirtilen yöntemlerin bir veya birkaçını kullanabilir:
Yöntem Açıklama
Maskeleme (Masking) Veri maskeleme ile kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir
Bölgesel Gizleme Bölgesel gizleme yönteminde ise tek bir
Verinin çok az görülebilir bir kombinasyon yaratması sebebi ile belirleyici niteliği mevcut ise ilgili verinin gizlenmesi anonimleştirmeyi sağlamaktadır.
Kayıtları Çıkartma
Kayıttan çıkarma yönteminde veriler arasında tekillik ihtiva eden veri satırı kayıtlar arasından çıkarılarak saklanan veriler anonim hale getirilmektedir.
Global Kodlama Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır. Örneğin; doğum tarihleri yerine yaşların belirtilmesi; açık adres yerine ikamet edilen bölgenin belirtilmesi.
Gürültü Ekleme Verilere gürültü ekleme yöntemi özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde mevcut verilere belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek veriler anonim hale getirilmektedir.
Kanun’un 28. maddesine uygun olarak; anonim hale getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işlemeler Kanun kapsamı dışında olup, kişisel veri sahibinin açık rızası aranmayacaktır.
Kurum kişisel verinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin re ‘sen karar alabilecek ve seçmiş olduğu kategoriye göre kullanacağı yöntemi de serbestçe belirleyebilecektir. Ayrıca Yönetmelik’in 13. maddesi kapsamında ilgili kişinin başvuru esnasında kendisine ait kişisel verinin silinmesi, yok edilmesi yahut anonim hale getirilmesi kategorilerinden birini seçmesi halinde de ilgili kategoride kullanılacak yöntemler konusunda Kurumumuz serbesti içinde olacaktır.
6.BÖLÜM
SAKLAMA VE İMHA SÜRELERİ
Kurum, kişisel verileri işlendikleri amaç için 6.1’de belirtilen süreler boyunca saklar.
Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Mevzuatta öngörülmüş bir süre olmaması halinde kişisel veriler 6.1’deki tabloda yer alan kişisel verilerin tutulması için azami süre boyunca saklanacaktır.
Bu sürelerin sona ermesi dolayısıyla silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı durumda Kurumumuz, bu tarihi takip eden ilk periyodik imha işleminde kişisel verileri siler, yok eder veya anonim hale getirir.
Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.
6.1. Veri Kategorisi Bazında Saklama Ve İmha Süreleri Tablosu
VERİ KATEGORİSİ
SAKLAMA SÜRESİ
İMHA SÜRESİ
Kimlik İşlem tarihi veya hukuki ilişkinin sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde İletişim İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Lokasyon İşlem tarihi veya hukuki ilişkinin sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Özlük İstihdamın sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Hukuki İşlem, İşlem tarihi veya hukuki ilişkinin sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Vatandaş İşlem, İşlem tarihi veya hukuki ilişkinin sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İşlem Güvenliği İşlem tarihi veya hukuki ilişkinin sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Risk Yönetimi İşlem tarihi veya hukuki ilişkinin sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Fiziksel Mekân Güvenliği
3 Ay
(kurum uygulamasına göre düzenlenmelidir) Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Mesleki Deneyim İstihdamın sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Sendika Üyeliği İstihdamın sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Sağlık Bilgileri 15 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Adli-İdari Dava Dosyaları İcra Dosyaları 15 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Aile Bilgileri 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Çalışma Verisi 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Ceza Mahkûmiyeti
Güvenlik Tirleri Ve İstihdamın sonlanmasından
İtibaren 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İtibar Yönetimi Bilgisi 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İmzalar 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Araç Bilgileri 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Uyum Bilgileri 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Denetim ve Teftiş 10 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Web Sitesi Kullanım Verileri 2 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Talep/Şikâyet Yönetimi Bilgisi 2 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Olay Yönetimi Bilgisi 2 Yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
6.2. Süreç Bazında Saklama Ve İmha Süreleri Tablosu
SÜREÇ SAKLAMA SÜRESİ İMHA SÜRESİ
Sözleşmelerin hazırlanması Sözleşmenin sona ermesini takiben 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İnsan Kaynakları Süreçlerinin Faaliyetin sona ermesini takiben 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Log Kayıt Takip Sistemleri 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Ziyaretçi ve Toplantı
Katılımcılarının Kaydı Etkinliğin sona
Takiben 2 yıl ermesini Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Kamera Kayıtları 3 ay Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Donanım ve Yazılıma
Erişim Süreçlerinin
Yürütülmesi 2 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
7.BÖLÜM
7.1.PERİYODİK İMHA SÜRESİ
Yönetmeliğin 11 inci maddesi gereğince Kurumumuz, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Kurumumuzda her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.
7.2. POLİTİKA’NIN VE İLGİLİ MEVZUATIN UYGULANMASI
Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Kurumumuz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir.
7.3. POLİTİKA’NIN YAYINLANMASI VE SAKLANMASI
İşbu Politika’nın yürürlük tarihi 01.06.2021’dir. Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, Kurumumuzun internet sayfasında kamuya açıklanır.
7.4.POLİTİKA’NIN GÜNCELLENME PERİYODU
Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir. Politika ’da değişiklik olması durumunda, Politika’nın yürürlük tarihi ve ilgili maddeler bu doğrultuda güncellenecektir.
