HASAN FAYDASIÇOK EĞİTİM VAKFI
ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI HAKKINDA POLİTİKA
İÇİNDEKİLER
I.POLİTİKA’NIN AMAÇ VE KAPSAMI
II.TANIMLAR
III.KİŞİSEL VERİLERİN İŞLENMESİ İLKELERİ
IV.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ
V.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN YURT İÇİNDE VE YURT DIŞINA AKTARILMASI
VI.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİ SAKLAMA SÜRESİ VE İMHA
VII.PERİYODİK İMHA SÜRESİ
VIII.VERİ ÖZNESİNİN (İLGİLİ KİŞİNİN) ÖZEL NİTELİKLİ KİŞİSEL VERİLERİNİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ TALEBİ ÜZERİNE UYGULANACAK SÜRELER
IX.VAKIF TARAFINDAN ALINAN GÜVENLİK ÖNLEMLERİ
X.KİŞİSEL VERİLERİN MUHAFAZASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİNİ SAĞLAMAK İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER
XI.KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER
XII.ÖZEL NİTELİKLİ KİŞİSEL VERİ ÖZNESİNİN HAKLARI
XIII.EĞİTİM
XIV.DENETİM
XV.POLİTİKA’DA YAPILACAK DEĞİŞİKLİKLER
XVI.POLİTİKA’NIN YÜRÜRLÜĞÜ
İşbu Politika, HASAN FAYDASIÇOK EĞİTİM VAKFI (“HAFEV/Vakıf”) 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) başta olmak üzere ilgili mevzuat hükümleri uyarınca özel nitelikli kişisel verileri korumaya yönelik yükümlülüklerini yerine getirirken ve özel nitelikli kişisel verileri işlerken Vakıf içerisinde ve/veya Vakıf tarafından uyulması gereken usul ve esasları belirlemektedir.
I.POLİTİKA’NIN AMAÇ VE KAPSAMI
Özel Nitelikli Kişisel Verilerin İşlenmesi Politikası’nın amacı, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili Kişisel Verileri Koruma Kurulu’nun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı’na uyum amacıyla, özel nitelikli kişisel verilerin nasıl işleneceğini ve korunacağını belirtmektir.
Bu Politika, Vakfın bünyesinde işlenen, aktarılan ve saklanan tüm özel nitelikli kişisel verileri kapsamaktadır.
Bu Politika’da yer alan hükümler ve ilkeler, kimliği belirli veya belirlenebilir gerçek kişilerle ilgili, fiziksel veya dijital olarak erişilebilen her türlü hassas bilgi ve belge için geçerlidir.
İlgili mevzuat düzenlemeleri ve işbu Politika arasında bir uyumsuzluk olması halinde ilgili mevzuat düzenlemeleri esas alınır.
II.TANIMLAR
Politika içerisinde yer verilen teknik terimlerin karşılıkları aşağıda gösterilmektedir.
Açık Rıza: |
Belirli bir konuya ilişkin bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder.
|
|
Alıcı Grubu: |
Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisidir.
|
|
İlgili Kullanıcı: |
Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.
|
|
İlgili Kişi: |
Vakıf tarafından veya Vakfın adına yetkilendirilmiş kişiler/kurumlar tarafından Kişisel Veri’leri işlenen gerçek kişileri ifade eder.
|
|
Kanun: |
24/3/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu’dur.
|
|
Yönetmelik: |
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Haline Getirilmesi Hakkında Yönetmelik’i ifade eder.
|
|
Kayıt Ortamı: |
Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamdır.
|
|
Kişisel Veri: |
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder (işbu Politika kapsamında “Kişisel Veri” ifadesi uygun olduğu ölçüde aşağıda tanımlanan Özel Nitelikli Kişisel Veri’leri de kapsayacaktır).
|
|
Özel Nitelikli Kişisel Veriler: |
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri ifade eder.
|
|
Kişisel Veri İşleme: |
Kişisel Veri’lerin tamamen veya kısmen otomatik olan ya da herhangi bir Veri Kayıt Sistemi’nin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veri üzerinde yapılan her türlü işlemi ifade eder.
|
|
Veri Envanteri: |
Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanterdir.
|
|
Kurul: |
Kişisel Verileri Koruma Kurulu’nu ifade eder. |
|
Kurum: |
Kişisel Verileri Koruma Kurumu’nu ifade eder. |
|
KVKK:
|
6698 sayılı Kişisel Verilerin Korunması Kanunu’nu ifade eder.
|
|
Periyodik İmha: |
Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemidir.
|
|
Sicil: |
Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan veri sorumluları sicilidir.
|
|
Veri Kayıt Sistemi: |
Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemidir.
|
|
Veri Sorumlusu: |
(HASAN FAYDASIÇOK EĞİTİM VAKFI) Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
|
|
Anonim Hâle Getirme: |
Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.
|
|
Anonim Hâle Getirilmiş Veri: |
Başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmiş veriyi ifade eder.
|
|
Silme:
|
Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
|
|
Yok Etme: |
Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
|
|
Doğrudan Tanımlayıcılar:
|
Tek başlarına, ilişki içinde oldukları kişiyi doğrudan açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcılardır.
|
|
Dolaylı Tanımlayıcılar: |
Diğer tanımlayıcılar ile bir araya gelerek ilişki içinde oldukları kişiyi açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcılardır.
|
|
İmha: |
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesidir.
|
|
Karartma: |
Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemlerdir.
|
|
Maskeleme: |
Kişisel verilerin belli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemlerdir.
|
|
III.KİŞİSEL VERİLERİN İŞLENMESİ İLKELERİ
Vakfımız, kişisel verilerin işlenmesine ilişkin usul ve esasları düzenleyen, KVKK’nın 4. maddesi uyarınca aşağıda sayılan ilke ve esaslar çerçevesinde kişisel veri işleme faaliyetlerini gerçekleştirmektedir.
a)Hukuka ve Dürüstlük Kuralına Uygunluk
Vakfımız, kişisel verileri, KVKK ve yapılan iş gereği uyulması zorunlu olan diğer kanun ve düzenlemelere uygun olarak işlemektedir.
b)Doğru ve Güncel Olma
Vakfımız, veri öznesi (ilgili kişi) tarafından sağlanan kişisel veriler izinsiz ve gerçeğe aykırı olarak değiştirilmemekte ve işlenen veriler ile ilgili bir değişiklik olduğunda veri öznesi (ilgili kişi) tarafından talep edilmesi halinde, kişisel verinin güncellenmesi için gerekli işlemleri yerine getirmekte, gerekli teknik ve idari tedbirleri almaktadır.
c)Belirli, Açık ve Meşru Amaçlar İçin İşlenme
Vakfımız tarafından işlenen kişisel veriler, bildirilen işleme amacına uygun olarak ve bildirilen çerçevede işlenmektedir.
d)İşleme Amacıyla Bağlantılı, Sınırlı ve Ölçülü Olma
Vakfımız faaliyetleriyle örtüşmeyen, Vakıf faaliyetleri çerçevesinde gerek duyulmayan ve işleme amacını aşacak nitelikteki kişisel verileri işlememektedir.
e)İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Edilme
KVKK, ilgili diğer kanunlar ve düzenlemeler çerçevesinde işlenen veriler, ilgili mevzuatta öngörülen veya işlenen kişisel verinin niteliği gereği saklanması gereken süreler kadar muhafaza edilmektedir.
Kişisel veri işleme amacının gerektirdiği süre sona erdikten sonra kişisel veriler silinir veya anonim hale getirilir. İşbu halde, Vakfın kişisel verileri aktardığı üçüncü kişilerin de kişisel verileri silmesi, yok etmesi yahut anonim hale getirmesi sağlanır.
IV.ÖZEL NİTELİKLİ KİŞİSEL VERİNİN İŞLENMESİ
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.
Sağlık ve cinsel hayata ilişkin kişisel veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza almaksızın işlenebilir.
Özel nitelikli kişisel veriler işlenirken, Kurul tarafından belirlenen önlemler ve gerekli idari ve teknik tedbirler alınır.
Bu Politikada yer almayan hususlarda Kişisel Verilerin İşlenmesi ve Korunması Hakkında Politika hükümleri uygulanır.
V.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN YURT İÇİNDE VE YURT DIŞINA AKTARILMASI
Vakıf, hukuka uygun olarak elde etmiş olduğu özel nitelikli kişisel verileri, veri işleme amaçları doğrultusunda, gerekli güvenlik önlemlerini alarak, veri öznesinin (ilgili kişinin) özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir.
Bu doğrultuda, Vakıf, özel nitelikli kişisel verileri, yukarıdaki bölümde belirtilen işleme şartlarından ve aşağıda belirtilen şartlardan birinin varlığı halinde üçüncü kişilere aktarabilecektir:
– Veri öznesinin açık rızası var ise,
– Kanunlarda özel nitelikli kişisel verinin aktarılacağına ilişkin açık bir düzenleme var ise,
– Veri öznesinin veya başkasının hayatı veya beden bütünlüğünün korunması için zorunlu ise ve veri öznesi fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda ise veya rızasına hukuki geçerlilik tanınmıyorsa;
– Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait kişisel verinin aktarılması gerekli ise,
– Vakfın hukuki yükümlülüğünü yerine getirmesi için kişisel veri aktarımı zorunlu ise,
– Özel nitelikli kişisel veriler, veri öznesinin kendisi tarafından alenileştirilmiş ise,
– Özel nitelikli kişisel veri aktarımı bir hakkın tesisi, kullanılması veya korunması için zorunlu ise,
– Veri öznesinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Vakfın meşru menfaatleri için kişisel veri aktarımı zorunlu ise.
Vakıf, gerekli özeni göstererek, gerekli güvenlik tedbirlerini ve Kurul tarafından öngörülen yeterli önlemleri alarak, meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, veri öznesinin özel nitelikli kişisel verilerini aşağıdaki durumlarda yeterli korumaya sahip veya yeterli korumayı taahhüt eden veri sorumlusunun bulunduğu yabancı ülkelere aktarabilmektedir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülkelere aktarılabilir.
– Veri öznesinin açık rızası var ise veya
– Veri öznesinin açık rızası yok ise;
- Veri öznesinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel verileri (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir), kanunlarda öngörülen hallerde,
- Veri öznesinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi kapsamında.
- Özel nitelikli kişisel verileriniz; Vakfımızın verimliliği ile politikalarının geliştirilebilmesi, sürdürülebilirliğin sağlanabilmesi ve vakfın faaliyetleri kapsamında koordinasyonunun sağlanabilmesi amacıyla, bu amaçla sınırlı ve bağlantılı olmak üzere, Grup Şirketlerimize aktarılabilmektedir.
VI.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİ SAKLAMA SÜRESİ VE İMHA
İşbu Politikada belirtilen amaçlarla işlenmiş olan kişisel verileriniz; KVKK madde 7/1’e göre işlenmesi gerektiren amaç ortadan kalktığında ve kanunların belirlediği süreler geçince tarafımızca silinecek, yok edilecek ve anonimleştirilecektir.
Vakfımız, kişisel verileri hiçbir şekilde gelecekte kullanma ihtimalini göz önünde bulundurarak saklamaz.
Vakfımızın kişisel veriler üzerinde uygulayacağı tüm silme, yok etme ve anonim hale getirme faaliyetleri Kişisel Veri Saklama, İmha ve Anonimleştirme Politikası’nda belirtilen esaslara uygun olarak gerçekleştirilecektir.
Kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileriniz silinecek, yok edilecek veya anonim hale getirilecektir. Bu süre herhalde altı (6) ayı aşamayacaktır.
Telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde, Kurul bu maddede belirlenen süreyi kısaltabilecektir.
6.1.Özel Nitelikli Kişisel Verilerin Silinmesi
Tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin silinmesi; söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Veri sorumlusu, ilgili politika ve prosedürlerinde kişisel verilerin silinmiş sayılması için üçüncü fıkrada belirtilen koşulların nasıl sağlandığını açıklar.
Tarama yoluyla veya sayısallaştırılmadan elektronik ortama aktarılan kâğıt halindeki gerekli olmayan kişisel verilerin anonimleştirilmesi yoluyla yapılacaktır. Vakfımız, kişisel verileri sildiği durumlarda, verileri hiçbir şekilde erişilemez veya tekrar kullanılamaz hale getirecektir. Vakfımız bu işlemi yaparken verilerin hiçbir kullanıcı tarafından erişilemez veya tekrar kullanılamaz olduğunu garanti etmektedir. Bu garanti, veri sorumlusunun sorumluluğu altındadır.
6.2.Özel Nitelikli Kişisel Verilerin Yok Edilmesi
Yok etme işlemi, Vakfımızın verileri fiziksel kayıt ortamlarında işlediği durumlarda yapılacaktır ve Vakfın bu verileri tekrar geri getirilmesi mümkün olmayacak hale getirmekle yükümlüdür.
Bu işlemler sırasında Vakıf çalışanları ve ilgili departmanlar sorumluya yok edilecek ilgili verileri bildirmekle yükümlüdür, sonrasında ise Vakıf gerekli her türlü teknik ve idari tedbiri alacaktır.
6.3.Özel Nitelikli Kişisel Verilerin Anonimleştirilmesi
Anonim hale getirme işlemi, Vakfımızın kişisel verileri fiziksel veya otomatik yollarla işlediği durumlarda, bu verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
VII.PERİYODİK İMHA SÜRESİ
Vakfımızın uhdesinde bulunan özel nitelikli kişisel veriler belirli periyodik aralıklarla kontrol edilecek ve bu verilerden işleme şartları tamamen ortadan kalkmış olanlar silinecek, yok edilecek ya da anonim hale getirilecektir.
Periyodik imha, tüm kişisel veriler için 6 (altı) aylık zaman aralıklarında gerçekleştirilir. Anılan süre, her hal ve koşulda Yönetmelik’in 11. maddesinde belirtilen azami periyodik imha süresini aşmamaktadır. Vakfımız, KVKK ve ilgili mevzuat kapsamında Kurul’un süreleri kısaltması durumunda, yeni sürelere uyum sağlayacağını taahhüt eder.
Özel nitelikli kişisel verilere uygulanacak bu periyodik inceleme ve imha işlemleri Vakfımız tarafından oluşturulan ve uygulamada olan Kişisel Veri İşleme Envanteri’nde yer almaktadır.
İmha kapsamında gerçekleştirilen tüm işlemler Vakfımız tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklanmaktadır. Vakfımızın diğer hukuki yükümlülüklerden kaynaklanan kişisel verileri muhafaza etme yükümlülüğü saklıdır.
VIII.VERİ ÖZNESİNİN (İLGİLİ KİŞİNİN) ÖZEL NİTELİKLİ KİŞİSEL VERİLERİNİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ TALEBİ ÜZERİNE UYGULANACAK SÜRELER
Veri öznesi, Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle Vakfa iletir. Vakıf, talebi kabul eder veya gerekçesini açıklayarak reddeder ve cevabını ilgili kişiye yazılı olarak veya elektronik ortamda en geç otuz (30) gün içinde bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde gereği yerine getirilecektir.
Talebe konu özel nitelikli kişisel verilerin işleme şartlarının tamamı ortadan kalkmışsa, talebe konu özel nitelikli kişisel veriler silinir, yok edilir ya da anonim hale getirilir. Başvuruda yer alan talepler, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret esas alınabilir. Vakfın hatasından kaynaklanması hâlinde alınan ücret veri öznesine iade edilir.
Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri resen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı Vakıf tarafından seçilecektir. İlgili kişinin talebi halindeVakıf, uygun yöntemi gerekçesini açıklayarak seçer.
Talebe konu kişisel veriler üçüncü kişilere aktarılmışsa bu durum üçüncü kişiye bildirilecek; üçüncü kişi nezdinde Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında gerekli işlemlerin yapılması temin edilecektir.
Kişisel verilerinizin işlenmesi ile ilgili hususlarda Vakfın internet adresinde bulunan formu doldurarak ya da aşağıda belirtilen adrese yazılı olarak* başvuruda bulunabilirsiniz.
HASAN FAYDASIÇOK EĞTİM VAKFI İletişim Bilgileri
İrtibat Mail Adresi: kvkk@faydasicok.com
Merkez Ofis Adresi: İstanbul Anadolu Yakası Organize Sanayi Bölgesi 2. Sanayi No:10, Tuzla/İstanbul
Merkez Ofis Telefon Numarası: +90 444 41 40
İletişim için internet sitesi adresi: https://faydasicokvakfi.org
*Lütfen yazılı başvuru halinde konuyu zarfın üzerinde “Kişisel Verilerin Korunması Kanunu Kapsamında Bilgi Talebi” şeklinde belirtiniz.
IX.VAKIF TARAFINDAN ALINAN GÜVENLİK ÖNLEMLERİ
10.1 Vakıf tarafından Özel Nitelikli Kişisel Verilerin İşlenmesi bakımından alınan güvenlik önlemleri aşağıdaki gibidir:
10.1.1 Vakıf tarafından Özel Nitelikli Kişisel Verilerin güvenliğine yönelik sistemli, kuralları net bir şekilde belli, yönetilebilir ve sürdürülebilir işbu Politika ve buna bağlı KVK Prosedürleri oluşturulmuştur.
10.1.2 Vakıf tarafından veya Vakfın konu hakkında hizmet desteği aldığı uzman eğitmenler tarafından Özel Nitelikli Kişisel Verilerin İşlenmesi süreçlerinde yer alan çalışanlara yönelik:
a)KVKK Düzenlemeleri ile Özel Nitelikli Kişisel Veri güvenliği konularında düzenli olarak eğitimler verilir,
b)Gizlilik sözleşmeleri yapılır,
c)Özel Nitelikli Kişisel Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamları ve süreleri net olarak tanımlanır,
d)Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri derhal kaldırılır. Bu kapsamda, Vakıf tarafından kendisine tahsis edilen envanter iade alınır.
10.1.3 Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise:
a)Veriler kriptografik yöntemler kullanılarak muhafaza edilir,
b)Kriptografik anahtarlar güvenli ve farklı ortamlarda tutulur,
c)Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları güvenli olarak loglanır,
d)Verilerin bulunduğu ortamlara ait güvenlik güncellemeleri sürekli olarak takip edilir, gerekli güvenlik testleri düzenli olarak Vakıf tarafından yapılır veya yaptırılır, test sonuçları kayıt altına alınır,
e)Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirilmeleri yapılır, bu yazılımların güvenlik testleri düzenli olarak Vakıf tarafından yapılır veya yaptırılır, test sonuçları kayıt altına alınır,
f)Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sistemi sağlanır.
10.1.4 Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise:
a)Özel Nitelikli Kişisel Verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemleri (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınır,
b)Bu ortamların fiziksel güvenliği sağlanarak yetkisiz giriş çıkışların engellenir.
10.1.5 Özel Nitelikli Kişisel Veriler üçüncü kişilere aktarılacaksa:
a)Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılır,
b)Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenir ve kriptografik anahtar farklı ortamda tutulur,
c)Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya SFTP yöntemiyle veri aktarımı gerçekleştirilir,
d)Verilerin kâğıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması, ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınır ve evrakın “gizlilik dereceli belgeler” formatında gönderimi sağlanır.
10.2 Vakıf işbu Politika ile yukarıda belirtilen önlemlerin yanı sıra, Kişisel Verilerin Korunması ve İşlenmesi Politikası’nda belirtilen uygun güvenlik düzeyini temin etmeye yönelik her türlü teknik ve idari tedbirleri almayı kabul eder.
X.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN MUHAFAZASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİNİ SAĞLAMAK İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER
Özel Nitelikli Kişisel Verilerinizin Hukuka Uygun Saklanması ile Hukuka Aykırı Olarak İşlenmesi ve Erişilmesinin Önlenmesini Sağlamak için Alınan Teknik Tedbirler
- Kişisel veri saklama, işleme ve erişilme faaliyetleri kurulan teknik sistemlerle denetlenmektedir.
- Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kullanılmaktadır.
- Alınan teknik önlemler ilgilisine raporlanmaktadır.
- Teknik konularda bilgili personel istihdam edilmektedir.
- Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmektedir.
- Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için hukuka uygun bir biçimde yedekleme programları kullanılmaktadır.
- Kişisel verilerin bulunduğu veri depolama alanlarına erişimler loglanarak uygunsuz erişimler veya erişim denemeleri ilgililere anlık olarak iletilmektedir.
Kişisel Verilerin Hukuka Uygun Saklanması ile Hukuka Aykırı Olarak İşlenmesi ve Erişilmesinin Önlenmesini Sağlamak için Alınan İdari Tedbirler
- Çalışanlar, montörler, gönüllüler ve iş ortakları kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak saklanması, işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir.
- Kişisel Veri İşleme envanterinde kişisel verileri işleyecek, saklayacak, erişebilecek personel belirlenmiştir.
- Yürütülen tüm faaliyetler detaylı olarak tüm bölümler özelinde analiz edilmekte, bu analiz neticesinde ilgili iş birimlerinin gerçekleştirmiş olduğu ticari ve idari faaliyetler özelinde kişisel veri işleme faaliyetleri ortaya konulmaktadır.
- Bölümler bazında belirlenen hukuksal uyum gerekliliklerinin sağlanması için ilgili bölümler özelinde farkındalık yaratılmakta ve uygulama kuralları belirlenmekte; bu hususların denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tedbirler Vakıf içi politikalar ve eğitimler yoluyla hayata geçirilmektedir.
- Çalışanlar, öğrendikleri kişisel verileri 6698 sayılı Kişisel Verilerin Koruması Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.
- Çalışanlar arasındaki hukuki ilişkiyi yöneten sözleşme ve belgelere HASAN FAYDASIÇOK EĞİTİM VAKFI talimatları ve kanunla getirilen istisnalar dışında, kişisel verileri işlememe, ifşa etmeme ve kullanmama yükümlülüğü getiren kayıtlar konulmakta ve bu konuda çalışanların farkındalığı yaratılmaktadır.
XII.KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER
- Yazılımdan Güvenli Olarak Silme: Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken; ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır.
- Bulut Sisteminde İlgili Verilerin Silme Komutu Verilerek Silinmesi: Merkezi sunucuda bulunan dosya veya dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması; veri tabanlarında ilgili satırların veri tabanı komutları ile silinmesi veya taşınabilir medyada yani flash ortamında bulunan verilerin uygun yazılımlar kullanılarak silinmesi bu kapsamda sayılabilecektir.
Ancak, kişisel verilerin silinmesi işlemi, diğer verilere de sistem içerisinde erişilememe ve bu verileri kullanamama sonucunu doğuracak ise, aşağıdaki koşulların sağlanması kaydıyla, kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek duruma getirilerek arşivlenmesi halinde de kişisel veriler silinmiş sayılacaktır.
- Başka herhangi bir kurum, kuruluş veyahut kişinin erişimine kapalı olması,
- Kişisel verilere yalnızca yetkili kişiler tarafından erişilmesini sağlayacak şekilde gerekli her türlü teknik ve idari tedbirlerin alınması.
- Uzman Tarafından Güvenli Olarak Silme: Bazı durumlarda kendisi adına kişisel verileri silmesi için Vakıf bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek biçimde güvenli olarak silinecektir.
- Kâğıt Ortamında Bulunan Kişisel Verilerin Karartılması: Kişisel verilerin amaca yönelik olmayan kullanımını önlemek veya silinmesi talep edilen verileri silmek için ilgili kişisel verilerin fiziksel olarak kesilerek belgeden çıkartılması veya geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemeyecek hale getirilmesi, kapatılması yöntemidir.
- De-manyetize Etme: Manyetik medyanın yüksek manyetik alanlara maruz kalacağı özel cihazlardan geçirilerek üzerindeki verilerin okunamaz bir biçimde bozulması yöntemidir.
- Fiziksel Yok Etme: Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır. Kâğıt ve mikrofiş ortamındaki verilerin yok edilmesi de başka bir şekilde yok edilmeleri mümkün olmadığından bu şekilde gerçekleştirilmektedir.
- Üzerine Yazma: Üzerine yazma yöntemi, özel yazılımlar aracılığı ile manyetik medya ve yeniden yazılabilir optik medya üzerinden en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazılmasıdır.
- Değer Düzensizliği Sağlamayan Anonim Hale Getirme Yöntemleri: Değer düzensizliği sağlamayan anonim hale getirme yöntemleri ile saklanmakta olan kişisel verilerde bir değişiklik veya ekleme/çıkarma yapılmaksızın; herhangi bir kişisel veri grubunun genelleme, birbiri ile yer değiştirme veya gruptan belirli bir veri veya alt veri grubunun çıkarılmasıdır.
- Değişken Çıkartma: Betimleyici nitelikteki verilerin çıkartılması yöntemi ile toplanılan verilerin bir araya getirilmesinden sonra oluşturulan veri setindeki değişkenlerden “yüksek dereceli betimleyici” olanların çıkartılması ile mevcut veri setinin anonim hale getirilmesidir.
- Kayıtları Çıkartma: Veriler arasında tekillik ihtiva eden veri satırı kayıtlar arasından çıkartılarak saklanan veriler anonim hale getirilmektedir.
- Bölgesel Gizleme: Tek bir verinin çok az görülebilir bir kombinasyon yaratması sebebi ile belirleyici niteliği mevcut ise ilgili verinin gizlenmesi ile anonimleştirme sağlanmaktadır.
- Alt ve Üst Sınır Kodlama: Alt ve üst sınır kodlaması yöntemi ile önceden tanımlanmış kategorilerin yer aldığı bir veri grubundaki değerlerin belirli bir ölçüt belirlenerek birleştirilmesiyle anonim hale getirilmesidir.
- Genelleştirme: Veri toplulaştırma yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmektedir.
- Global Kodlama: Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır.
- Değer Düzensizliği Sağlayan Anonim Hale Getirme Yöntemleri: Değer düzensizliği sağlayan anonim hale getirme yöntemlerinde değer düzensizliği sağlamayanların aksine kişisel veri gruplarında bazı verilerin değiştirilmesi ile bozulma yaratılmaktadır.
- Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde mevcut verilere belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek veriler anonim hale getirilmektedir.
- Mikro Birleştirme: Mikro birleştirme yönteminde tüm veriler ilk olarak anlamlı bir sıraya dizilerek gruplara ayrılıp, grupların ortalaması alınarak elde edilen değer mevcut gruptaki ilgili verilerin yerine yazılarak anonimleştirme sağlanmaktadır.
- Veri Değiş Tokuşu: Veri değiş tokuşu yönteminde saklanan veriler içerisinden seçilen çiftler arasında bir değişkenin değerleri birbiri ile değiştirilmektedir.
Yukarıda sayılan durumların gerçekleşmesi sırasında KVKK, Yönetmelik ve ilgili diğer mevzuat hükümlerine veri güvenliğinin sağlanması amacıyla tam uyum sağlanmakta ve gerekli tüm idari ve teknik tedbirler alınmaktadır.
XII.ÖZEL NİTELİKLİ KİŞİSEL VERİ ÖZNESİNİN (İLGİLİ KİŞİNİN) HAKLARI
Vakfımızın faaliyetleri kapsamında işlenen kişisel veriler ile ilgili olarak veri öznesi, KVVK’nin 11. maddesinde sayılı haklarınız çerçevesinde, Vakfımıza başvurarak;
a) Kişisel verilerinin işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
d) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
e) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
f) KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
g) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
h) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
i) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.
Veri özneleri haklarını kullanmak istediği ve/veya kişisel verileri işlerken Vakfın işbu Politika kapsamında hareket etmediğini düşündüğü durumlarda taleplerini, Vakıf internet sitesinde yer alan formu doldurarak veya kendi taleplerini Kurum tarafından belirlenen şartları taşıyacak şekilde oluşturarak yukarıda verilen ve zaman zaman değişebilecek olan e-posta adresine, Vakıfa daha önce bildirilmiş ve Vakıf sistemine kayıtlı olan e-posta adresinden gönderebilecekleri e-posta ile (sisteme kayıtlı e-posta adresi kontrol edilmelidir) veya güvenli elektronik imzalı veya mobil imzalı olarak Vakıf kep adresine yahut yine yukarıda yer alan ve zaman zaman değişebilecek olan posta adresine kimliklerini tevsik edici belgeler ile birlikte ıslak imzalı bir dilekçe ile elden ya da noter aracılığıyla teslim edebilirler ve ileride bunlara eklenebilecek Kurum tarafından belirlenen diğer yöntemlerle gönderebilirler. Güncel başvuru yöntemleri ve başvuru içeriği başvuru öncesinde mevzuattan teyit edilmelidir.
Veri öznelerinin yukarıda sıralanan haklarına ilişkin taleplerini yazılı olarak Vakıf’a iletmeleri durumunda Vakıf talebin niteliğine göre talebi en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırır. Taleplerin Veri Sorumlusu tarafından sonuçlandırılmasına ilişkin ayrıca bir maliyet doğması hâlinde Kişisel Verileri Koruma Kurulunca belirlenen tarifedeki ücretler Veri Sorumlusu tarafından talep edilebilir.
XIII.EĞİTİM
Vakıf, özel nitelikli kişisel verilerin korunması konusunda çalışanlarına Vakıf Politika ve Prosedürleri ile KVKK Düzenlemeleri kapsamında gerekli eğitimleri verir.
Eğitimlerde özel nitelikli kişisel verilerin tanımlarına ve korunmasına yönelik uygulamalara özellikle değinilir.
Vakıf çalışanı kişisel verilere fiziksel olarak veya bilgisayar ortamında erişiyorsa, Vakıf ilgili çalışanına bu erişimler özelinde (örneğin erişilen bilgisayar programı) eğitim verir.
XIV.DENETİM
Vakıf, Vakıf’ın tüm çalışanları, departmanları ve mentörleri/gönüllüleri işbu Politika ve KVKK düzenlemelerine uygun hareket ettiğini düzenli olarak hiçbir ön bildirimde bulunmaksızın her zaman ve re’sen denetleme hakkını haizdir ve bu kapsamda gerekli rutin denetimleri yapar.
XV.POLİTİKA’DA YAPILACAK DEĞİŞİKLİKLER
Vakıf tarafından işbu Politika zaman zaman Yönetim Kurulu onayı ile değiştirilebilir.
Vakıf, Politika üzerinde yaptığı değişiklikler incelenebilecek şekilde güncellenen Politika metnini e-posta yolu ile çalışanlarıyla paylaşır veya aşağıdaki web adresi üzerinden çalışanların ve diğer ilgili kişilerin erişimine sunar.
İşbu Politikanın hazırlanmış olduğu Türkçe dilindeki metni ile Vakıf tarafından yayınlanan herhangi bir dildeki çeviri metni arasında bir uyuşmazlık çıktığı hallerde, Türkçe metin esas alınacaktır.
XVI.POLİTİKA’NIN YÜRÜRLÜĞÜ
İşbu Politika’nın birinci versiyonu Vakfın tüm kişisel veri işleme faaliyetlerine uygulanmak üzere Vakıf Yönetim Kurulu tarafından onaylanarak yürürlüğe girmiştir.