KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI
1. AMAÇ
İşbu Kişisel Verileri Saklama ve İmha Politikası (“Politika”), HASAN FAYDASIÇOK EĞİTİM VAKFI (“HASAN FAYDASIÇOK EĞİTİM VAKFI ” veya “Şirket”) tarafından işlenen ve saklanan kişisel verilerin saklanma ve sonrasında silinmesi, yok edilmesi veya anonim hale getirilmesi şeklindeki imha işlemlerine ilişkin usul ve esasların belirlenmesi amacıyla hazırlanmıştır.
İşbu Politika ile Şirket, kişisel verilerin işlenmesi faaliyetlerine konu veri öznelerinin (ilgili kişilerin) kişisel verilerinin saklanması ve imha edilmesine ilişkin Şirket’in genel ilke ve prensiplerinin ortaya konulması ve bu hususlarla yasal düzenlemelerle belirlenen yükümlülüklerin Şirket ve Şirket’in Veri İşleyenleri tarafından yerine getirilmesini hedeflemektedir.
İşbu Politika’da aksi belirtilmedikçe, Politika ile atıf yapılan dokümanlar hem basılı hem de elektronik kopyaları kapsamaktadır.
İşbu Politika, kişisel veri niteliği taşımayan verilere uygulanmaz.
Kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler geçerli olacaktır:
-6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK/KVK Kanunu”) 4. maddesindeki genel ilkeler ve Yönetmelik’in 7. maddesindeki ilkelere uyulacaktır.
-Şirket, işbu Politika’yı hazırlamış olmanın tek başına kişisel verilerin mevzuata uygun olarak imha edildiği anlamına gelmeyeceğini kabul etmektedir.
-Şirket, kişisel verilerin saklanması yahut imhasında, işbu Politika’ya ve mevzuata uygun hareket edeceğini kabul, beyan ve taahhüt etmektedir.
İlgili mevzuat düzenlemeleri ve işbu Politika arasında bir uyumsuzluk olması halinde ilgili mevzuat düzenlemeleri esas alınacaktır.
2. KAPSAM
İşbu Politika, aşağıdaki kişilere ait, edinilen kişisel verilerin saklanması ve imhası faaliyetlerini kapsamaktadır:
- Şirketimizin çalışanları, çalışan adayları, stajyerleri, eski çalışanları ve bu kişilerin aile yakınları,
- Topluluk şirketimizin çalışanları, çalışan adayları, eski çalışanları, stajyerleri ve bu kişilerin aile yakınları,
- Şirketimizin ve topluluk şirketlerimizin temsilcileri, vekilleri ve hissedarları,
- İş ortaklarımızın çalışanı, temsilcisi ve vekili,
- Müşterilerimiz ve potansiyel müşterilerimiz,
- Kamu/özel kurum ve kuruluş çalışanları,
- Hukuken yetkili kişiler,
- Ziyaretçilerimiz,
- Diğer üçüncü kişiler.
Bu kişi grubu tanımlarına ilişkin açıklamalara, EK-1’de yer verilmektedir.
İşbu Politika elektronik, fiziki ve diğer ortamlar üzerinden edindiğimiz ve elektronik, fiziki veya benzeri ortamda sakladığımız tüm kişisel verileri kapsayacaktır.
3. YETKİ VE SORUMLULUKLAR
Bilgi Teknolojileri Müdürü: Politika Uygulama Yöneticisi olarak kişisel verilerin saklanma süresine uygunluğunu ve periyodik imha işleminin koordinasyonunu sağlama ve yönetme
Bilgi Teknolojileri Uzmanları: Politika Uygulama Sorumlusu olarak elektronik ortamdaki kişisel verilerin imhasını yürütme
Genel Müdür: Politika Uygulama Sorumlusu olarak fiziki ortamdaki kişisel verilerin imhasını yürütme ve görevlerine uygun olarak işbu Politikanın yürütülmesinden sorumludur.
4. TANIMLAR VE KISALTMALAR
Kişisel Veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. |
Özel Nitelikli Kişisel Veri | Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. |
İlgili Kişi | Kişisel verisi işlenen gerçek kişi. |
Kişisel Verilerin İşlenmesi | Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem. |
Açık Rıza | Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. |
Anonim Hale Getirme | Kişisel verinin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. |
Silme | Kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilememesi tekrar kullanılamaz hale getirilmesi işlemidir. |
Yok Etme | Bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesidir. |
İmha | Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemidir. |
Periyodik İmha | Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemidir. |
Kayıt Ortamı | Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam. |
Veri Kayıt Sistemi | Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi. |
KVK Kanunu | 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanan, 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu. |
Yönetmelik | 28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik. |
Kurul | Kişisel Verileri Koruma Kurulu. |
Kurum | Kişisel Verileri Koruma Kurumu. |
Politika | Kişisel Verileri Saklama ve İmha Politikası. |
Genel Politika | Kişisel Verilerinin Korunması ve İşlenmesi Politikası. |
Veri Sorumlusu | Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri yöneten kişidir. |
Veri İşleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir. |
Kişisel Veri İşleme Envanteri | Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçlarını, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve detaylandırdıkları envanteridir. |
Veri Sorumluları Sicili | Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca Kişisel Verileri Koruma Kurumu Başkanlığı tarafından kurulacak olan veri sorumluları sicilidir. |
Elektronik Ortam | Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlardır. |
Elektronik Olmayan Ortam | Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlardır. |
6. KİŞİSEL VERİLERİ SAKLAMAYI VE İMHAYI GEREKTİREN SEBEPLER VE SÜRELERİ
HASAN FAYDASIÇOK EĞİTİM VAKFI olarak hizmetlerimizi sunarken işlediğimiz kişisel verileri KVK Kanunu, Yönetmelik ve ilgili mevzuata uygun olarak yasal ve makul süreler boyunca saklamakta ve bu sürelerin geçmesiyle beraber imha etmekteyiz.
- Kişisel Verileri Saklamayı Gerektiren Sebepler
- Saklamayı Gerektiren Hukuki Sebepler
HASAN FAYDASIÇOK EĞİTİM VAKFI’in faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler aşağıda belirtilenlerle sınırlı olmamak üzere;
- 6698 sayılı Kişisel Verilerin Korunması Kanunu,
- 6098 sayılı Türk Borçlar Kanunu,
- 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
- 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
- 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
- 4857 sayılı İş Kanunu,
- 6102 sayılı Türk Ticaret Kanunu,
- 213 sayılı Vergi Usul Kanunu,
- İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik,
- İş Sağlığı ve Güvenliği Eğitimlerinin Usul ve Esasları Hakkındaki Yönetmelik,
- İnternet Toplu Kullanım Sağlayıcıları Hakkındaki Yönetmelik,
- Ticari Elektronik İletiler ve Ticari İletişim Hakkında Yönetmelik,
- Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.
HASAN FAYDASIÇOK EĞİTİM VAKFI, KVK Kanunu’nun 5.ve 6. maddelerinde yer alan işleme şartları doğrultusunda, kişisel verilerin işlenmesini ve saklanmasını gerektiren sebeplerin bulunması halinde kişisel verileri saklamaktadır. HASAN FAYDASIÇOK EĞİTİM VAKFI’in işleme şartları doğrultusunda yürüttüğü saklama faaliyetleri aşağıda örneklerle açıklanmaktadır.
İŞLEME ŞARTLARI | AÇIKLAMALAR
|
İlgili kişilerden açık rıza alınması | İlgili kişinin, açık rıza gerektiren saklama faaliyeti için açık rızasını vermesi halinde kişisel veriler saklanır. |
Kanunlarda açıkça öngörülmesi | Saklamanın ve/veya saklama süresinin kanunlarda açıkça öngörüldüğü kişisel veriler saklanır. Örneğin, HASAN FAYDASIÇOK EĞİTİM VAKFI, İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği madde 7 uyarınca, çalışanların işten ayrılma tarihinden itibaren en az 15 yıl süreyle kişisel sağlık dosyalarını saklamakla yükümlüdür. |
Sözleşmenin kurulması veya ifası | HASAN FAYDASIÇOK EĞİTİM VAKFI, sözleşmedeki yükümlülüklerini ifa edebilmesi için gerekli olan kişisel verileri sözleşme ilişkisi boyunca saklar. Örneğin, iş sözleşmesi kapsamında çalışanların kişisel verileri saklanır. |
HASAN FAYDASIÇOK EĞİTİM VAKFI’in hukuki yükümlülüğünü yerine getirmesi | HASAN FAYDASIÇOK EĞİTİM VAKFI, yasal mevzuat uyarınca hukuki yükümlülüğünü yerine getirmek amacıyla kişisel verileri saklar. Örneğin, resmi ve idari mercilerin taleplerini karşılamak ve bu mercilerin denetimlerini gerçekleştirmesi sağlamak amacıyla kişisel veriler saklanır. |
Bir hakkın tesisi, kullanılması veya korunması | HASAN FAYDASIÇOK EĞİTİM VAKFI, ileride çıkabilecek uyuşmazlık veya ihtilaflarda hakkını tesis edebilmesi ve koruyabilmesi amacıyla ilgili kişisel verileri saklar. |
Kişinin kendisi tarafından alenileştirme | HASAN FAYDASIÇOK EĞİTİM VAKFI, meşru menfaati bulunması halinde, kişi tarafından alenileştirilen kişisel verileri alenileştirmenin devam ettiği süre boyunca saklar. |
Şirketin meşru menfaatinin bulunması | HASAN FAYDASIÇOK EĞİTİM VAKFI, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, ticari faaliyetlerini ve ilişkilerini yürütebilmesi amacıyla kişisel verileri saklar. |
HASAN FAYDASIÇOK EĞİTİM VAKFI, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar.
- İnsan kaynakları süreçlerini yürütmek.
- Ticari faaliyetleri yürütmek.
- Pazarlama faaliyetlerini yürütmek.
- Kurumsal iletişimi sağlamak.
- Kurum güvenliğini sağlamak.
- Finans ve muhasebe işlerini yürütmek.
- İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek.
- VERBİS kapsamında, çalışanlar, veri sorumluları, irtibat kişileri, veri sorumlusu temsilcileri ve veri işleyenlerin tercih ve ihtiyaçlarını tespit etmek, verilen hizmetleri buna göre düzenlemek ve gerektiği halde güncellemek.
- Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde hukuki yükümlülüklerin yerine getirilmesini sağlamak.
- HASAN FAYDASIÇOK EĞİTİM VAKFI ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlamak.
- İleride doğabilecek hukuki uyuşmazlıklarda delil bulundurmak.
- Veri güvenliğinin sağlanması faaliyetlerini yürütmek
Kişisel Verileri İmha Etmeyi Gerektiren Sebepler
HASAN FAYDASIÇOK EĞİTİM VAKFI, aşağıdaki hallerde, kişisel verileri silmek, yok etmek veya anonim hale getirmekle yükümlü olacaktır. HASAN FAYDASIÇOK EĞİTİM VAKFI bu imha faaliyetini bu sürelerin bitmesini takip eden ilk periyodik imha işleminde gerçekleştirecektir.
Aşağıdaki durumlarda, HASAN FAYDASIÇOK EĞİTİM VAKFI tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.
- HASAN FAYDASIÇOK EĞİTİM VAKFI’in kişisel verileri işlemek için meşru bir amacının bulunmaması,
- İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
- İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
- Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
- Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
- HASAN FAYDASIÇOK EĞİTİM VAKFI’in, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVK Kanunu’nda öngörülen süre içinde cevap vermemesi hallerinde; ilgili kişinin Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
- Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.
Saklama ve İmha Süreleri
İşbu Bölümde belirlenen şartlar kapsamında, kişisel verileri saklama ve imha sürelerini içeren Saklama ve İmha Süreleri Tablosu (Ek-2) oluşturulmuştur. HASAN FAYDASIÇOK EĞİTİM VAKFI, bu saklama ve imha sürelerine uygun olarak kişisel verileri saklayacak ve imha edecektir.
HASAN FAYDASIÇOK EĞİTİM VAKFI, periyodik imha süresini mevzuata uygun bir şekilde 6 (altı) ay olarak belirlemiştir. Bu kapsamda HASAN FAYDASIÇOK EĞİTİM VAKFI 6 (altı) ayda bir saklanan kişisel verileri değerlendirmekte ve belirtilen saklama süresi sona eren kişisel verileri imha etmektedir. Bu sürenin sona ermesinden sonra saklama süresi dolan veriler bir sonraki ilk periyodik imha döneminde imha edilecektir.
Örnek olarak; HASAN FAYDASIÇOK EĞİTİM VAKFI, 12 Kasım 2019 tarihinde iş başvurusu yapan çalışan adayının kayıtlarını makul süre olarak belirlediği 1 yıl boyunca tutabilecektir. 12 Kasım 2020 tarihinde bu sürenin sona ermesiyle beraber, HASAN FAYDASIÇOK EĞİTİM VAKFI gerçekleştireceği ilk periyodik imha işleminde bu bilgileri imha etmekle yükümlüdür. Bu kapsamda, son periyodik imha işlemi, 10 Ekim 2020’de gerçekleştirilmişse, bu bilgiler en geç altı ay sonra, 10 Nisan 2021’de imha edilecektir.
6. KİŞİSEL VERİLERİ SAKLAMA ORTAMI
Elektronik Olmayan Ortam
Kişisel veriler kağıt, form, belge, sözleşme veya herhangi bir basılı varlık olarak elektronik olmayan ortamda saklanabilecektir. Aşağıda, basılı varlıkların saklandığı ortamlar belirtilmiştir.
- HASAN FAYDASIÇOK EĞİTİM VAKFI ofislerinde bulunan kilitli dolaplar,
- HASAN FAYDASIÇOK EĞİTİM VAKFI ofislerinde ve depolarında bulunan panolar,
- HASAN FAYDASIÇOK EĞİTİM VAKFI ofislerinde bulunan arşiv odası,
- HASAN FAYDASIÇOK EĞİTİM VAKFI ofislerinde bulunan çekmeceler ve klasörler.
Bu kapsamda elektronik ortamdan elde ettiğimiz ancak sonrasında çıktısını alarak veya kağıt, form veya belgede yazarak sakladığımız tüm kişisel verilerin de fiziki ortamda saklandığı kabul edilmiştir.
Elektronik Ortam
Kişisel veriler aşağıdaki elektronik ortamda saklanabilecektir.
- Masaüstü ve dizüstü bilgisayarlar,
- Mobil cihazlar,
- E-posta sunucuları,
- Sosyal medya hesaplarının mesaj kutuları,
- Yazılımlar ve bağlı olduğu Veritabanları (Yedekleme Yazılımı, Active Directory, SAP, Hybris, Jira, Eba, QDMS, Netsis, MII, ERP, SQL DB),
- Sistem odaları,
- Taşınabilir medya (USB Bellek, CD ve DVD vb.),
- Ağ üzerinde veri saklanması için kullanılan disk sürücüleri.
Bu kapsamda fiziki ortamda, sözlü veya basılı kağıt, form veya belge olarak elde ettiğimiz ancak tamamen veya kısmen otomatik bir sisteme kaydettiğimiz tüm kişisel verilerin de elektronik ortamda saklandığı kabul edilmiştir.
7. KİŞİSEL VERİLERİN SAKLANMASINA İLİŞKİN GÜVENLİK TEDBİRLERİ
HASAN FAYDASIÇOK EĞİTİM VAKFI, kişisel verilerin güvenli bir şekilde saklanmasını sağlamak, hukuka aykırı olarak işlenmesini önlemek ve kişisel verilere hukuka aykırı olarak erişilmesini önlemekle yükümlüdür. Bu yükümlülük çerçevesinde HASAN FAYDASIÇOK EĞİTİM VAKFI tarafından alınan idari ve teknik tedbirler aşağıda sayılmıştır:
İdari Tedbirler
- İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
- Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
- Çalışanlara, kişisel verilerin güvenliğinin sağlanması, hukuka aykırı olarak açıklanmaması ve paylaşılmamasına ilişkin gerekli eğitim ve farkındalık çalışmaları yapılmaktadır.
- HASAN FAYDASIÇOK EĞİTİM VAKFI tarafından yürütülen faaliyetlere ilişkin çalışanlardan gizlilik taahhüdü alınmakta ve spesifik faaliyetlere ilişkin gizlilik sözleşmeleri imzalatılmaktadır.
- Kişisel veri güvenliğine ilişkin şirket içi prosedürlere/ politikalara/ talimatlara uymayan çalışanlara karşı disiplin prosedürü uygulanmaktadır.
- Kişisel veri işlemeye başlamadan önce, HASAN FAYDASIÇOK EĞİTİM VAKFI tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
- Kişisel veri işleme envanteri hazırlanmış olup gerekli güncellemeleri yapılmaktadır.
- Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış olup uygulanmakta ve gerekli güncellemeler yapılmaktadır.
- Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir. Kişisel veri güvenliği politika ve prosedürlerine uyumun takibi yapılmaktadır.
- Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
- Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği raporlanmaktadır.
- Kişisel verilerin kullanımı iş amaçları doğrultusunda mümkün olduğunca, veri minimizasyonuna uygun olarak azaltılmaktadır.
- Kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin işlenmesi, korunması ve güvenliğine ilişkin sözleşmeler imzalanmakta veya mevcut sözleşmeye buna ilişkin hükümler eklenmektedir.
- HASAN FAYDASIÇOK EĞİTİM VAKFI bünyesinde gerçekleştirilen kişisel veri işleme faaliyetleri iş birimleri özelinde analiz edilerek, iş birimlerinin yalnızca faaliyetlerini gerçekleştirme amacıyla kişisel veri işlemesi sağlanmaktadır.
- Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı politika belirlenmiştir.
- Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
Teknik Tedbirler
- Periyodik olarak sızma testleri ile bilgi sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
- Bilgi teknolojilerine dair riskler, etkin risk değerlendirme ve cevap verme süreçleri ile yönetilmektedir.
- Tüm teknik konular, HASAN FAYDASIÇOK EĞİTİM VAKFI tarafından görevlendirilen/istihdam edilen yetkin personel ve/veya üçüncü kişiler tarafından incelenmektedir.
- Görev değişikliği olan ya da işten ayrılan çalışanların erişim yetkileri ivediklikle kaldırılmaktadır.
- Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
- Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
- Bilgi sistemleri üzerinde güvenli olduğu kabul edilen protokoller kullanılmaktadır.
- Çalışanların fiziki ve elektronik sistemlere erişmelerine yönelik yetki matrisleri oluşturulmakta ve güncellenmektedir.
- Kişisel veri içeren ortamların güvenliği sağlanmaktadır. Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır. Bu fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
- Kişisel verilerin işlendiği sistemlerin bulunduğu alanların fiziki güvenliği sağlanmış ve yetkisiz erişim, yangın, sel, deprem, nem, vb. risklere karşı korunmaktadır.
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır. Ağlar kullanım amaçlarına göre sanl ağlara ayrılmaktadır.
- Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
- Kablosuz ağlar şifrelenmekte ve yetkisiz erişimlere izin verilmemektedir.
- Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır. Sistem geliştirme süreçlerinde güvenlik bakış açısı ile sistem edinimleri sağlanmaktadır.
- Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
- Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
- HASAN FAYDASIÇOK EĞİTİM VAKFI internet sayfasına erişimde güvenli protokol (HTTPS) kullanılmaktadır.
- Sistemlere uygun güvenlik yamaları zamanında yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
- HASAN FAYDASIÇOK EĞİTİM VAKFI sistemlerinde güçlü parolalar kullanılmaktadır.
- Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
- Tüm sunucu ve istemcilerde güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmakta ve yönetilmektedir.
- Verilere erişim yetkisine sahip kullanıcıların yetki kapsamları ve süreleri belirlenmektedir.
- Sistemlere erişim yetkileri periyodik sürelerde gözden geçirilmektedir.
- Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
- Üçüncü tarafların Şirket ağına erişimi ve kişisel verilerin üçüncü kişiler ile paylaşılması sürecinde VPN ve loglama önlemleri uygulanmaktadır.
- Özel nitelikli kişisel veriler dahil kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar sıkı erişim yönetimleri kullanılarak muhafaza edilmekte, tüm işlem kayıtları mevzuata uygun şekilde loglanmaktadır.
- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
- Özel nitelikli kişisel veriler e-posta yoluyla aktarılması gerekiyorsa ancak ve ancak şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN – MPLS vb. kurularak veri aktarımı gerçekleştirilmektedir. Kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.
- Teknik güvenlikle ilgili olarak uzman dış kaynaklardan danışmanlıklar alınmaktadır.
8. KİŞİSEL VERİLERİN İMHA EDİLMESİNE İLİŞKİN TEDBİRLER
İmha İşlemleri
- Kişisel Verilerin Silinmesi
Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir. HASAN FAYDASIÇOK EĞİTİM VAKFI, bunun için kullanıcı seviyesinde erişim yetki ve kontrol matrisi oluşturur ve bunu bir politika çerçevesinde uygulamaya alır. Veri tabanında silme işleminin gerçekleştirilmesi için gerekli tedbirleri alır.
- Kişisel Verilerin Yok Edilmesi
Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir.
- Kişisel Verilerin Anonim Hale Getirilmesi
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir.
Kullanılacak İmha Teknikleri
HASAN FAYDASIÇOK EĞİTİM VAKFI, kişisel verileri Kurumun yayınladığı Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Rehberi’ne uygun olarak imha edecektir. Aşağıda HASAN FAYDASIÇOK EĞİTİM VAKFI’in uygulayacağı imha tekniklerinden birkaçı örnek olarak verilmiştir.
- Silme Teknikleri
Silme Komutu ile Silme: Elektronik veri ortamında bulunan silme komutuyla kişisel verilerin silinmesidir. Silinen veriler hiçbir şekilde erişilemez ve tekrar kullanamaz hale gelecektir.
Yazılım Aracılığıyla Silme: Güvenli bir silme işlemenin sağlanması için kişisel verilerin uygun bir yazılım ile silinmesidir.
- Yok Etme Teknikleri
De-manyetize Etme: Manyetik medyanın özel bir cihazdan geçirilerek gayet yüksek değerde bir manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemidir.
Fiziksel Yok Etme: Optik medya ve manyetik medyanın fiziksel olarak yok edilmesi işlemidir.
Üzerine Yazma: Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının önüne geçilmesi işlemidir. Bu işlem, özel yazılımlar kullanılarak yapılmaktadır.
- Anonim Hale Getirme Teknikleri
Maskeleme: Kişisel verilerin kapatılması, üzerinin çizilmesi, yıldızlanması, elektronik olarak çıkartılması ve buna benzer yöntemlerdir. Örneğin Ahmet Yıldırım yerine A***** **Y*** veya ismin üzerini yıldızlanabilecektir.
Genelleştirme: İlgili kişisel veriyi, özel bir değerden daha genel bir değere çevirme işlemidir.
9. KİŞİSEL VERİLERİN PERİYODİK İMHA SÜRESİ
Şirket’in uhdesinde bulunan kişisel veriler belirli periyodik aralıklarla kontrol edilecek ve bu verilerden işleme şartları tamamen ortadan kalkmış olanlar silinecek, yok edilecek ya da anonim hale getirilecektir.
Periyodik İmha, tüm kişisel veriler için 6 (altı) aylık zaman aralıklarında gerçekleştirilir. Anılan süre, her hal ve koşulda Yönetmelik’in 11. maddesinde belirtilen azami periyodik imha süresini aşmamaktadır. Şirket, ilgili mevzuat kapsamında Kurul’un süreleri kısaltması durumunda, yeni sürelere uyum sağlayacağını taahhüt eder.
Kişisel verilere uygulanacak bu periyodik inceleme ve imha işlemleri Şirket tarafından oluşturulan Kişisel Veri İşleme Envanteri’nde yer almaktadır.
İmha kapsamında gerçekleştirilen tüm işlemler Şirket tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklanmaktadır. Şirket’in diğer hukuki yükümlülüklerden kaynaklanan Kişisel Veri saklama hakları saklıdır.
10. KİŞİSEL VERİLERİ RESEN SİLME, YOK ETME VEYA ANONİM HALE GETİRME SÜRELERİ
Kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileriniz silinecek, yok edilecek veya anonim hale getirilecektir. Bu süre herhalde 6 (altı) ayı aşamayacaktır.
Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde, Kurul bu maddede belirlenen süreyi kısaltabilecektir.
11. REFERANSLAR VE DAYANAK
Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Hakkında Yönetmelik
12. POLİTİKANIN YÜRÜRLÜLÜK TARİHİ
İşbu Politika’nın birinci versiyonu Şirket’in tüm kişisel veri işleme faaliyetlerine uygulanmak üzere Şirket Yönetim Kurulu tarafından onaylanarak yürürlüğe girmiştir.
İşbu Politika’nın hazırlanmış olduğu Türkçe dilindeki metni ile Şirket tarafından yayınlanan herhangi bir dildeki çeviri metni arasında bir uyuşmazlık çıktığı hallerde, Türkçe metin esas alınacaktır.
EK-1 KİŞİ GRUPLARI
KİŞİ GRUPLARI | AÇIKLAMALAR |
Müşteri | HASAN FAYDASIÇOK EĞİTİM VAKFI’ten halihazırda ürün/hizmet alan veya alma taahhüdünde bulunan kişiler. |
Potansiyel Müşteri | HASAN FAYDASIÇOK EĞİTİM VAKFI’ten halihazırda ilgili ürünü/hizmeti almayan ancak alması muhtemel kişiler. |
Şirket Temsilcisi veya Vekili | HASAN FAYDASIÇOK EĞİTİM VAKFI’i temsil veya vekil eden kişiler (HASAN FAYDASIÇOK EĞİTİM VAKFI ‘in danışmanlık aldığı avukatlar, HASAN FAYDASIÇOK EĞİTİM VAKFI ‘in temsil ve ilzama yetkili yönetim kurulu üyesi). |
Hissedar | HASAN FAYDASIÇOK EĞİTİM VAKFI’te pay sahibi olan gerçek kişiler. |
Tedarikçi | HASAN FAYDASIÇOK EĞİTİM VAKFI’in hizmet aldığı firmaların çalışanı, çalışan adayı, temsilcisi veya vekili. |
İş Ortağı | HASAN FAYDASIÇOK EĞİTİM VAKFI ‘in faaliyetlerinde beraber çalıştığı firmaların çalışanı, çalışan adayı, temsilcisi veya vekili. |
Çalışan | HASAN FAYDASIÇOK EĞİTİM VAKFI’in işveren olarak çalıştırdığı ve aralarında iş sözleşmesi bulunan kişiler. |
Çalışan Adayı | HASAN FAYDASIÇOK EĞİTİM VAKFI ‘in herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini HASAN FAYDASIÇOK EĞİTİM VAKFI’in incelemesine açmış olan gerçek kişiler. |
Stajyer | HASAN FAYDASIÇOK EĞİTİM VAKFI’te stajyerliğini yapan gerçek kişiler. |
Ziyaretçi | HASAN FAYDASIÇOK EĞİTİM VAKFI şirket yerleşkelerini ve internet sitelerini ziyaret eden kişiler. |
Hukuken Yetkili Kişi | Hukuken yetkili kamu kurum ve kuruluşları veya özel kişi ve kuruluşlarında çalışan kişiler. |
Üçüncü Kişi | Burada belirtilmeyen diğer gerçek kişiler (Örn. Kefil, eski çalışan vs.) |
EK-2 SAKLAMA VE İMHA SÜRELERİ TABLOSU
Aşağıda yer alan tablodaki süreçlere ilişkin saklama süreleri, işbu Politika’nın yürürlüğe girdiği tarihteki mevzuat esas alınarak belirlenmiştir. Söz konusu süreler, ilgili kişi tarafından dava açılması halinde kesintiye uğrayacak ve davaya konu kişisel veriler en az dava kesinleşene kadar bir hakkın korunması hukuki sebebine dayanarak saklanacaktır.
KİŞİSEL VERİ KATEGORİSİ | SAKLAMA SÜRESİ | İMHA SÜRESİ |
Sözleşme ilişkilerinde (TBK genel zamanaşımı süresi) | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Müşterilere mal/hizmet verilmesi ilişkilerinde Ödeme işlemleri | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Sözleşme sürecinin bir bölümü ve sözleşmenin muhafazası | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Çalışan adaylarının iş başvuruları | İş başvurusu tarihinden itibaren 1 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
İnsan kaynakları süreçlerinin planlanması | İş ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
İş sağlığı ve güvenliği faaliyetleri | İş ilişkisinin sona ermesinden itibaren 10 yıl, sağlık dosyaları iş ilişkisinin sona ermesinden itibaren en az 15 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Çalışanların izin ve tazminat süreçlerinin yürütülmesi | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl[1] | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Çalışanların ücrete ilişkin haklarına dair kişisel veriler | 5 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Erişim / Log Kayıtları | 2 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Genel Kurul İşlemleri | 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Şirket ortakları ve yönetim kurulu üyelerine ait bilgiler | 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Ticari defterler ve TTK m. 82/1’de sayılan diğer belgeler | Belgelerinin oluştuğu, yapıldığı veya hazırlandığı takvim yılını izleyen yıl başından başlamak üzere 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Sistem odalarına ziyaretçi kayıtları | Sözleşme süresince | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Ticari Elektronik İleti işlemleri | Ticari elektronik iletinin veya ticari elektronik iletişimin reddedildiği tarihten itibaren 3 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Kamera Kayıtları | İdari bina 3 ay, üretim sahası 6 ay, dış saha 1 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Olay Tespiti Bilgisi | İş ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Aile Üyeleri Bilgisi | İş ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
Müşteri Talep Ve Şikayet Bilgisi | Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl | Sürenin sona ermesinden itibaren 6 ayda bir gerçekleşen ilk periyodik işlemde |
[1] Söz konusu süre, 12.10.2017 tarihinden sonra sona eren iş sözleşmelerinden kaynaklanan yıllık izin ücreti ve tazminatlar hakkında uygulanır. Bu tarihten önceki istemlere ilişkin olarak 10 yıllık zamanaşımı uygulanacaktır. Ancak bu durumda, zamanaşımı süresinin henüz dolan kısmı 5 yıldan az ise; kalan süre 5 yılla tamamlanınca zamanaşımı süresi dolmuş olur. Zamanaşımı süresi dolduğunda kişisel veriler imha edilmektedir.