Kişisel Verilerin Korunması Kanunu

POLİTİKANIN AMACI

Bu Politikanın temel amacı, Şirket tarafından kişisel verilerin korunmasına yönelik yöntem ve süreçlerin esaslarını belirlemektir. Bu kapsamda, kişisel verilerin işlenmesi, saklanması, paylaşılması ve imha edilmesi gibi tüm aşamalarda izlenecek adımlar ve uyulması gereken kurallar Politikada detaylı bir şekilde ele alınmıştır. Şirket, kişisel verilerin güvenliği ve gizliliğini sağlamak amacıyla gerekli teknik ve idari tedbirleri alarak, ilgili mevzuat ve düzenlemelere tam uyum göstermeyi taahhüt eder.

POLİTİKANIN KAPSAMI

● Politika, Şirketin işlemekte olduğu kişisel verilere yönelik tüm faaliyetleri kapsar ve söz konusu faaliyetlere uygulanır.

● Politika, kişisel veri niteliği taşımayan verilere uygulanmaz.

● Politika, KVK düzenlemelerinin gerektirmesi halinde yahut Şirketin Veri Sorumlusu, Temsilcisi yahut Komite’nin gerekli gördüğü hallerde zaman zaman yönetim kurulu onayı ile değiştirilebilir.

TANIMLAR

İşbu Politikada geçen tanımlar aşağıdaki anlamları ihtiva eder;

● “Açık Rıza” ilgili kişinin kişisel verilerinin işlenmesine dair bilgilendirilmeye dayalı olarak ve özgür iradeyle açıkladığı rızayı ifade eder.

● “Anonim Hale Getirme” kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder.

● “Anonim Hale Getirilmiş Veri” Gerçek kişi ile hiçbir şekilde ilişkisinin kurulması mümkün olmayan veriyi ifade eder.

● “Kişisel Veri” Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi ifade eder (işbu Politika kapsamında “kişisel veri” ifadesi uygun olduğu ölçüde aşağıda tanımlanan “Özel Nitelikli kişisel veriler”i de kapsayacaktır).

● “Kişisel Veri İşleme” kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veri üzerinde yapılan her türlü işlemi ifade eder.

● “Komite” İşbu Politikanın ve Politikaya bağlı olarak uygulanacak prosedürlerin yerine

getirilmesinden sorumlu komiteyi ifade eder.

● “Kurul” kişisel verileri Koruma Kurulunu ifade eder.

● “Kurum” kişisel verileri Koruma Kurumunu ifade eder. “KVKK” 6698 sayılı kişiselverilerin Korunması Kanununu ifade eder.

● “KVKK” 6698 sayılı Kişisel Verilerin Korunması Kanunu ifade eder.

● “KVK Düzenlemeleri” 6698 sayılı kişisel verilerin Korunması Kanunu ile kişisel verilerin korunmasına yönelik ilgili diğer mevzuatı, düzenleyici ve denetleyici otoriteler, mahkemeler ve diğer resmi makamlar tarafından verilen, bağlayıcı kararları, ilke kararlarını, hükümleri, talimatları ile verilerin korunmasına yönelik uygulanabilir uluslararası anlaşmaları ve diğer her türlü mevzuatı ifade eder.

● “KVK Prosedürleri” Yönetim Kurulu tarafından onaylanarak yürürlüğe giren ve Şirketin, çalışanların, Komitenin işbu Politika kapsamında uyması gereken yükümlülükleri belirleyen prosedürleri ifade eder.

● “Özel Nitelikli kişisel veri” Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile

biyometrik ve genetik verileri ifade eder.

● “Silme veya Silinme” kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

● “Veri Envanteri” Şirketin kişisel veri İşleme faaliyetlerine yönelik olarak kişisel veri İşleme süreç ve yöntemleri, kişisel veri İşleme amaçları, veri kategorisi, kişisel verilerin aktarıldığı üçüncü kişiler vb. bilgileri ihtiva eden envanteri ifade eder.

● “Veri İşleyen” Veri Sorumlusu tarafından yetki alarak, Veri Sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişiyi ifade eder.

● “İlgili Kişi” kişisel verileri Şirket tarafından veya Şirket adına işleme sokulan tüm gerçek kişileri ifade eder.

● “Veri Sorumlusu” kişisel verileri İşleme amaçları ve işleme yollarını belirterek işleyen, veri kayıt sisteminin kurulması ve yönetilmesi sorumluluğu bulunan gerçek veya tüzel kişiyi ifade eder.

● “Yok Etme” kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve kullanılamaz hale getirilmesi işlemidir.

KİŞİSEL VERİ İŞLEMENİN İLKELERİ

● Kişisel Verilerin Hukuka ve Dürüstlük Kurallarına Uygunluk Olarak İşlenmesi

Şirket, kişisel verileri hukuka ve dürüstlük kurallarına uygun olarak ölçülülük esasına dayalı bir şekilde işler.

● Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olması için Gerekli Önlemlerin Alınması

Şirket, kişisel verilerin eksiksiz, doğru ve güncel olmasını sağlamak için gereken tüm önlemleri alır. İlgili Kişinin kişisel verilerinde değişiklik talep etmesi durumunda, ilgili kişinin kişisel verileri ivedilikle güncellenir. Bu süreçte, veri doğruluğunun ve güncelliğinin korunması amacıyla düzenli kontroller yapılır ve gerekli görülen düzeltmeler gerçekleştirilir.

● Kişisel Verilerin Belirli, Meşru ve Açık Amaçlar Doğrultusunda İşlenmesi

Şirket tarafından kişisel veriler işlenmeden önce verilerin hangi amaçla işleneceği belirlenir. Bu kapsamda, İlgili Kişi KVK Düzenlemeleri kapsamında aydınlatılır ve gereken hallerde Açık Rızaları alınır.

● Kişisel Verilerin İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması Şirket, kişisel verileri yalnızca KVK Düzenlemeleri kapsamındaki hukuki sebeplere dayanarak ve işlendiği amaçla sınırlı olarak işlemektedir.

Kişisel Verilerin Gerektiği Kadar Muhafaza Edilmesi ve Sonrasında Silinmesi, Anonimleştirilmesi ve Yok Edilmesi

Şirket, kişisel verileri işleme amacına uygun olarak gerektiği kadar muhafaza eder.

Şirket, kişisel verileri kişisel veri İşleme amacının gerektirdiği süre ve Şirketin tabi olduğu sair mevzuatlar uyarınca muhafaza eder.

Kişisel veri İşleme amacının gerektirdiği süre sona erdikten sonra kişisel veriler Silinir, Yok Edilir veya Anonim Hale Getirilir. Bu kapsamda, Şirketin kişisel verileri aktardığı üçüncü kişilerin de kişisel verileri Silmesi, Yok Etmesi yahut Anonim Hale Getirmesi sağlanır.

KİŞİSEL VERİLERİN İŞLENMESİ

kişisel veriler Şirket tarafından ancak aşağıda belirtilen usul ve esaslar kapsamında işlenebilir.

● Açık Rıza

kişisel veriler, İlgili Kişilerine Aydınlatma Yükümlülüğünün yerine getirilmesi çerçevesinde yapılacak bilgilendirme sonrası ve İlgili Kişilerinin Açık Rıza vermesi gereken hallerde açık rıza vermeleri halinde işlenir.

Aydınlatma Yükümlülüğü çerçevesinde Açık Rıza alınmadan önce İlgili Kişilerine hakları bildirilir.

İlgili Kişinin Açık Rızası, KVK Düzenlemelerine uygun yöntemlerle alınır. Açık Rızalar ispatlanabilir şekilde Şirket tarafından KVK Düzenlemeleri ve Şirketin tabi olduğu sair mevzuat kapsamında gereken süre ile muhafaza edilir.

Kişisel veri İşleyen tüm departman çalışanları işbu Politika’ya ve bu Politika’nın eki olan KVK Prosedürlerine uymakla yükümlüdür.

● Kişisel Verilerin Açık Rıza Alınmaksızın İşlenmesi

KVK Düzenlemeleri kapsamında Açık Rıza alınmaksızın kişisel verilerin Korunması kapsamında öngörülen hukuki sebeplere dayanılarak işlendiği durumlarda (KVKK Madde 5.2 ve Madde 6.3), Şirket İlgili Kişinin Açık Rızasını almaksızın kişisel verileri işleyebilir. kişisel verilerin bu şekilde işlenmesi durumunda Şirket KVK Düzenlemelerinin çizdiği sınırlar çerçevesinde kişisel verileri İşler. KVKK m.5/2 kapsamında kişisel verilerin işlenmesinde hukuki sebepler şu şekildedir. :

● Kanunlarda açıkça öngörülmesi.

● Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

● Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

● Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

● İlgili kişinin kendisi tarafından alenileştirilmiş olması.

● Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

● İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Özel nitelikli kişisel verilerin KVKK m.6 kapsamında açık rıza alınmaksızın işlenmesi yasaktır.

Özel nitelikli kişisel veriler KVKK m.6/3’te yer alan hukuki sebeplerden birinin varlığı halinde açık rıza alınmaksızın ,işlenebilir. Bu hukuki sebepler;

● Kanunlarda açıkça öngörülmesi,

● Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması (örneğin bilinç kaybından ötürü rızasını açıklayamayan kişinin hayatının korunması amacıyla kan grubu verisinin işlenmesi),

● İlgili kişinin alenileştirdiği verilere ilişkin ve alenileştirme iradesine uygun olması (örneğin herkesçe erişilebilir bir alanda paylaşılmış kan grubu ve alerji bilgilerinin acil durumlarda kullanılma amacına uygun olarak işlenmesi),

● Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (örneğin iş ilişkisinin sona ermesinden sonra açılması muhtemel davalarda savunma hakkının kullanılması bakımından eski işçiye ait sağlık verilerinin saklanması),

● Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması (örneğin Sağlık Bakanlığı ile her türlü sağlık kuruluşu ve SGK’nın bu amaçlarla işledikleri veriler),

● İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alan hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması (örneğin 4857 sayılı İş Kanunu uyarınca işverenlerin engelli çalıştırma yükümlülüğünün yerine getirilmesi için sağlık verilerinin işlenmesi),

● Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumlar tarafından, kuruluş amaçlarına ve tabi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyeleri ile düzenli olarak temasta oldukları kişilere ait özel nitelikli kişisel verilerin işlenmesi (örneğin bu kuruluşlara bağış yapan kişilerin kişisel verilerinin bu kuruluşların faaliyet alanlarıyla sınırlı ve bağlantılı olarak işlenmesi).

Özel nitelikli kişisel veriler işlenirken, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.

KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİM HALE GETİRİLMESİ

Kişisel verinin işlenmesine yönelik meşru amaç ortadan kalktığında, ilgili kişisel veriler silinir, yok Edilir yahut anonim hale getirilir. Kişisel verilerin silinmesi, yok Edilmesi yahut anonim hale Getirilmesi gereken durumlar Kişisel Veri Saklama ve İmha Politikasında ayrıntılı olarak düzenlenmiştir.

Şirket, kişisel verileri gelecekte kullanma ihtimalini göz önünde bulundurarak saklamaz.

KİŞİSEL VERİLERİN AKTARILMASI VE KİŞİSEL VERİLERİN ÜÇÜNCÜ KİŞİLER TARAFINDAN İŞLENMESİ

Şirket, gerçek ve özel hukuk tüzel kişilerine, hissedarlara, iş ortaklarına, iştirak ve bağlı ortaklıklarına, tedarikçilerine, topluluk şirketine, yetkili kamu kurum ve kuruluşlarına KVK Düzenlemelerine uygun şekilde kişisel veri aktarabilir. Şirket, kişisel veri aktardığı üçüncü kişilerin de işbu Politika’ya uyumunu sağlar. Bu kapsamda üçüncü kişi ile akdedilen sözleşmelere gerekli koruyucu düzenlemeler eklenir. Her bir çalışan, kişisel veri aktarımı yapılacak durumda işbu Politika’da yer alan süreci kat etmekle yükümlüdür.

Türkiye’de Bulunan Üçüncü Kişilere Kişisel veri Aktarımı

Kişisel veriler, KVKK Madde 5.2’de ve Madde 6.3’de belirlenen istisnai hallerde açık rıza olmaksızın yahut diğer hallerde meşru ve ölçülü bir amaç olması durumunda ilgili kişinin açık rızası alınmak şartı ile (KVKK Madde 5.1 ve Madde 6.2) Türkiye’de bulunan üçüncü kişilere Şirket tarafından aktarılabilir.

● Yurt Dışında Bulunan Üçüncü Kişilere Aktarım

Kişisel veriler KVKK m.9 kapsamında;

● KVKK 5.ve 6. maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

● Kişisel veriler, yeterlilik kararının bulunmaması durumunda, KVKK’nın 5. ve 6. maddelerinde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

○ Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

○ Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

○ Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

● Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

● Kişisel veriler yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla KVKK m.9/6’da sayılan hukuki sebeplere dayanılarak aktarılabilecektir.

ŞİRKETİN AYDINLATMA YÜKÜMLÜLÜĞÜ

Şirket, KVKK’nın 10. Maddesine uygun olarak, kişisel verilerin işlenmesinden önce ilgili kişileri aydınlatır. Bu kapsamda Şirket, kişisel verilerin elde edilmesi sırasında Aydınlatma Yükümlülüğünü yerine getirir. Aydınlatma Yükümlülüğü kapsamında ilgili kişilere yapılacak olan bildirim sırasıyla şu unsurları içerir:

● Veri Sorumlusunun ve varsa temsilcisinin kimliği,

● Kişisel verilerin hangi amaçla işleneceği,

● İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

● Kişisel veri toplamanın yöntemi ve hukuki sebebi,

● İlgili Kişilerinin hakları. 10.2. Şirket, Türkiye Cumhuriyeti Anayasası’nın 20. ve KVKK’nın 11. Maddesine uygun olarak İlgili Kişisinin bilgi talep etmesi halinde gerekli bilgilendirmeyi yapar.

Veri İşleyenin Şirket haricinde üçüncü bir kişi olması halinde, üçüncü kişinin yukarıda belirtilen yükümlülüklere uygun davranacağı yazılı bir sözleşme ile kişisel veri işlemeye başlanmadan önce üçüncü kişi tarafından taahhüt edilmelidir. Her bir çalışan Şirkete üçüncü bir kişi tarafından kişisel veri aktarımı yapılan durumda işbu Politika’da yer alan süreci kat etmekle yükümlüdür.

İLGİLİ KİŞİLERİN HAKLARI

Şirket kişisel verisini elinde bulundurduğu İlgili Kişilerinin aşağıda belirtilen kendileriyle ilgili taleplerine KVK Düzenlemelerine uygun şekilde cevap verir:

● Şirket tarafından kişisel veri işlenip işlenmediği öğrenme,

● kişisel verilerinin işlenmesi halinde buna ilişkin bilgi talep etme,

● kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

● Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

● kişisel verilerin Şirket tarafından eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

● Amaç, süre ve meşruiyet prensipleri dâhilinde değerlendirilmek üzere kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde Şirket tarafından kişisel verilerin Silmesini, Yok Edilmesini veya Anonim Hale Getirilmesini isteme,

● İşlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi durumunda İlgili Kişisinin aleyhine bir sonucun ortaya çıkması halinde bu sonuca itiraz etme,

● kişisel verilerin kanuna aykırı olarak işlenmesi ve bu sebeple İlgili Kişisinin zarara uğraması hâlinde zararın giderilmesini talep etme.

İlgili Kişileri haklarını kullanmak istediği ve/veya kişisel verileri işlerken Şirketin işbu Politika kapsamında hareket etmediğini düşündüğü durumlarda taleplerini Çifte Havuzlar, Mahallesi, YTÜ-Davutpaşa Kampüsü No:151 A1 Blok Esenler/İstanbul adresine şahsen yazılı başvurarak veya [email protected] adresine e-posta yolu ile ya da noter aracılığıyla

iletebilirsiniz.

VERİ YÖNETİMİ VE GÜVENLİĞİ

Şirket, KVK Düzenlemeleri kapsamındaki yükümlülüklerini yerine getirmek, işbu Politikanın uygulanması için gerekli KVK Prosedürlerinin uygulanmasını sağlamak ve denetlemek, bunların işleyişine yönelik önerilerde bulunmak üzere Komite oluşturur.

Kişisel verilerin işbu Politika ve KVK Prosedürlerine uygun şekilde korunmasından ilgili sürece müdahil olan tüm çalışanlar müteselsilen sorumludur.

Şirket tarafından kişisel veri işleme faaliyetleri teknolojik imkanlar ve uygulama maliyetine göre teknik sistemlerle denetlenmektedir.

Kişisel veri işleme faaliyetlerine yönelik teknik konularda bilgili personel istihdam edilmektedir.

Şirket çalışanları, kişisel verilerin korunmasına ve hukuka uygun olarak işlenmesine yönelik olarak bilgilendirilmekte ve eğitilmektedir.

Şirket çalışanları, kişisel verilere üzerinde yalnızca kendilerine tanımlanan yetki dâhilinde ve ilgili KVK Prosedürüne uygun olarak erişebilir. Çalışanın yetkisini aşar şekilde yapmış olduğu her türlü erişim ve işleme hukuka aykırı olup iş akdinin haklı nedenle feshi sebebidir.

Şirket çalışanın kişisel verilerin güvenliğinin yeterince sağlanmadığı şüphesinde olması yahut böyle bir güvenlik açığını tespitte bulunması halinde derhal durumu Şirket’e bildirir.

Kendisine Şirket cihazı tahsis edilen her kişi, kendi kullanımına tahsis edilen cihazlarının güvenliğinden sorumludur.

Her Şirket çalışanı veya Şirket bünyesinde çalışan kişi kendi sorumluluk alanında yer alan fiziki dosyaların güvenliğinden sorumludur.

KVK Düzenlemeleri kapsamında kişisel verilerin güvenliği için talep edilen veya ek olarak talep edilecek olan güvenlik önlemleri olması durumunda tüm çalışanlar ek güvenlik önlemlerine uymak ve bu güvenlik önlemlerinin sürekliliğini sağlamak ile yükümlüdür.

Şirkette kişisel verilerin güvenli ortamlarda saklanması için teknolojik gelişmelere uygun olarak virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kurulmaktadır.

Şirkette kişisel verilerin kaybolmasını yahut zarar görmesini engellemek üzere yedekleme programları kullanılmakta ve yeterli düzeyde güvenlik önlemleri alınmaktadır.

Şirkette kişisel verilerin yer aldığı belgeler kriptolu (şifreli) sistemlerle korunmaktadır. Bu kapsamda, kişisel veriler ortak alanlarda ve masaüstünde saklanmaz. kişisel verilerin yer aldığı dosya ve klasörler vb. belgeler masaüstüne veya ortak klasöre taşınmaz, önceden yazılı onayı alınmadan Şirket bilgisayarlarındaki bilgiler USB vb. başka bir aygıta aktarılamaz, Şirket dışına çıkartılamaz.

Komite, Yönetim Kurulu ile birlikte Şirket içerisinde bulunan tüm kişisel verilerin korunmasına yönelik teknik ve idari önlemleri almak, gelişmeleri ve idari faaliyetleri sürekli takip etmekle ve gerekli KVK Prosedürlerini hazırlayarak Yönetim Kurulu onayına sunmak, onay akabinde Şirket içerisinde duyurmak ve bunlara uyulmasını sağlamak ve denetlemekle yükümlüdür.

Şirket içerisindeki bir departman Özel Nitelikli kişisel veri İşliyorsa, bu departman, Komite tarafından işledikleri kişisel verilerin önemi, güvenliği ve gizliliği hakkında bilgilendirilir ve ilgili departman Komite talimatlarına uygun hareket ederler. Özel Nitelikli kişisel verilere erişim yetkisi yalnızca sınırlı çalışanlara verilir ve bunların listesi ve takibi Komite tarafından yapılır.

Şirket içerisinde işlenen kişisel verilerin tamamı Şirket tarafından “Gizli Bilgi” olarak kabul edilir.

Şirket çalışanları, kişisel verilerin güvenliğine ve gizliliğine ilişkin yükümlülüklerinin, iş ilişkisinin sona ermesinden sonra da devam edeceği konusunda bilgilendirilmiş ve Şirket çalışanlarından bu kurallara uymaları yönünde taahhüt alınmıştır.

EĞİTİM

Şirket, kişisel verilerin korunması konusunda çalışanlarına Politika ve ekinde yer alan KVK Prosedürleri ile KVKK Düzenlemeleri kapsamında gerekli eğitimleri verir. Eğitimlerde Özel Nitelikli kişisel verilerin tanımlarına ve korunmasına yönelik uygulamalara özellikle değinilir. Şirket çalışanı kişisel verilere fiziksel olarak veya bilgisayar ortamında erişiyorsa, Şirket ilgili çalışanına bu erişimler özelinde (örneğin erişilen bilgisayar programı) eğitim verir.

DENETİM

Şirket, işbu Politika ve KVK Düzenlemelerine Şirketin tüm çalışanları, departmanları ve yüklenicilerinin uygun hareket ettiğini düzenli olarak hiçbir ön bildirimde bulunmaksızın her zaman ve re’sen denetleme hakkını haizdir ve bu kapsamda gerekli rutin denetimleri yapar.

İHLALLER

Şirketin her bir çalışanı, KVK Düzenlemelerinde ve işbu Politika kapsamında belirtilen usul ve esaslara aykırı olduğunu düşündüğü iş, işlem yahut eylemi Komiteye raporlar. Bu kapsamda ilgili ihlale yönelik Komite, işbu Politika ve KVK Prosedürlerine uygun şekilde eylem planı

oluşturur.

Yapılan bilgilendirmeler sonucunda Komite KVK Düzenlemeleri başta olmak üzere konuya ilişkin yürürlükteki mevzuat hükümlerini dikkate alarak ihlale ilişkin ilgili kişi ve Kuruma yapılacak bildirimi hazırlar. Bu bildirimi ihlal gerçekleştikten ve öğrenildikten sonra 72 saat içerisinde Kuruma bildirir.

Bilginize sunarız.

Saygılarımızla.