KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

v.0

İçindekiler

1.    AMAÇ

2.    KAPSAM

3.    GÖREV ve SORUMLULUK

4.    TANIMLAMALAR VE KISALTMALAR

5.    KAYIT ORTAMLARI

6.    SAKLAMA VE İMHASINI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR

6.1. Saklamaya ilişkin Açıklamalar

6.2. İmhaya İlişkin Açıklamalar

7.    UYGULANAN TEKNİK VE İDARİ TEDBİRLER

7.1. İdari Tedbirler

7.2. Teknik Tedbirler

8.    KİŞİSEL VERİLERİ İMHA YÖNTEMLERİ

8.1. Silme

8.2. Yok Etme

8.3. Anonim Hale Getirme

9.    VERİ SAKLAMA VE İMHA SÜRELERİ

10.  PERİYODİK İMHA SÜRESİ

11.  GÜNCELLENME PERİYODU

1.     AMAÇ

Kişisel Verileri Saklama ve İmha Politikası (“Politika”), Hayri Darende Kuyumculuk (“Hayri Darende Kuyumculuk”)’nin kişisel veri saklama ve imha faaliyetlerine yönelik Hayri Darende Kuyumculuk tarafından benimsenen ve uygulanan yöntemler konusunda açıklamalarda bulunmak ve tüm ilgili tarafların bilgilendirilmesi amacı ile oluşturulmuştur.

Hayri Darende Kuyumculuk’un gerçekleştirdiği tüm kişisel veri saklama ve imha faaliyetleri, işbu Politika”ya uygun olarak gerçekleştirilir.

2.     KAPSAM

İşbu Politika, Hayri Darende Kuyumculuk’un kişisel verilerini işlemekte olduğu tüm ilgili kişilere (çalışan adayları, çalışanlar, üyeler, ziyaretçiler, gerçek kişi tedarikçi ve iş ortakları, tedarikçi, hizmet alımı yapılan firma ve iş ortaklarının çalışanları ve ilgili diğer 3.kişiler) ait kişisel verileri kapsamakta olup Hayri Darende Kuyumculuk tarafından yönetilen tüm kişisel veri kayıt ortamları ile kişisel veri işleme süreçlerinde işbu Politika uygulanır.

3.     GÖREV ve SORUMLULUK

İşbu Politika’nın hazırlanması ve güncel tutulması ile Hayri Darende Kuyumculuk’daki faaliyetlerin Politika’ya uygun gerçekleştirildiğinin denetlenmesi işlerinden Hayri Darende Kuyumculuk Bilgi Güvenliği Kurulu sorumludur. Hayri Darende Kuyumculuk Bilgi Güvenliği Kurulu ve diğer sorumluların görev ve sorumluluklarına ilişkin tablo aşağıda yer almaktadır.

4.     TANIMLAMALAR VE KISALTMALAR

Bu doküman içinde geçen kısaltmalar ve tanımlar aşağıdaki gibidir:

5.     KAYIT ORTAMLARI

6.     SAKLAMA VE İMHASINI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR

6.1. Saklamaya ilişkin Açıklamalar

Hayri Darende Kuyumculuk, benimsemiş olduğu vizyon, misyon ve temel değerleri gereğince, bağlı olduğu mevzuatlar doğrultusunda, çalışanlarına, çalışan adaylarına, müşterilerine hizmet alımı yaptığı firma çalışanlarına ve diğer ilgilerine en iyi hizmeti sağlamak için teknolojik kaynak ve altyapıları da kullanarak kişisel verileri işler.

Kişisel veriler, Kanun’un 4 maddesinde belirtilen başta “kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi” ilkesi ve diğer ilkeler göz önünde bulundurularak saklanır.

Kişisel veriler,  

• Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
• Faaliyetlerin Mevzuata Uygun Yürütülmesi
• Finans Ve Muhasebe İşlerinin Yürütülmesi
• İnsan Kaynakları Süreçlerinin Planlanması
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İletişim Faaliyetlerinin Yürütülmesi
• Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
• Mal / Hizmet Satış Süreçlerinin Yürütülmesi
• Sözleşme Süreçlerinin Yürütülmesi
• Ücret Politikasının Yürütülmesi
• Hukuka Uyum Sürecinin Yürütülmesi
• Fiziksel Mekan Güvenliğinin Temini
• Web sitesi Yönetimi ve Yürütülmesi
• Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi

Ücret Politikasının Yürütülmesi amaçlarıyla, fiziki veya elektronik ortamlarda güvenli bir biçimde Kanun ve diğer ilgili yönetmelikte belirtilen sınırlar çerçevesinde saklanır.

Hayri Darende Kuyumculuk bünyesinde Kişisel veriler, Kanun’un 5 ve 6.maddesinde sayılan aşağıdaki hukuki sebepler çerçevesinde işlenir:

• Açık rızanızın bulunması,
• Kurumumuzun tabi olduğu mevzuatta açıkça öngörülmüş olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, talep edilen ürün ve hizmetleri sunabilmek ve akdettiğiniz sözleşmelerinin gereğinin yerine getirilmesi,
• Hukuki yükümlülüğün yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması
• Sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenmesi
• Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenmesi

6.2. İmhaya İlişkin Açıklamalar

Yönetmelik uyarınca, aşağıda sayılan hallerde kişisel ya da özel nitelikli kişisel veriler, Hayri Darende Kuyumculuk tarafından re’sen yahut ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir:

• Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması,
• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Açık rıza şartına istinaden kişisel veri işlenen hallerde, ilgili kişinin rızasını geri alması,
• Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması,
• İlgili kişinin, Kanun’un 11.maddesinden doğan hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun Hayri Darende Kuyumculuk tarafından kabul edilmesi ya da Hayri Darende Kuyumculuk tarafından talebin kabul edilmemesi üzerine İlgili Kişi tarafından Kurul’a yapılan başvuru üzerine Kurul’un İlgili Kişi’nin talebini kabul etmesi ve bu durumu Hayri Darende Kuyumculuk’ya bildirmesi halinde

7.     UYGULANAN TEKNİK VE İDARİ TEDBİRLER

Hayri Darende Kuyumculuk, Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12. ve 6/4 maddesi uyarınca Kurul’un kararlarında ve rehberlerinde belirlediği teknik ve idari tedbirleri alır.

7.1. İdari Tedbirler

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
•  Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

7.2. Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
• Anahtar yönetimi uygulanmaktadır. (hash'lenerek yapılmaktadır.)
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim logları düzenli olarak tutulmaktadır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
•  Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişisel veriler şifrelenerek aktarılmaktadır.

8.     KİŞİSEL VERİLERİ İMHA YÖNTEMLERİ

Bu Politika’da yukarıda 6. maddede belirtilen şartların ortadan kalkması halinde, kişisel veriler Hayri Darende Kuyumculuk tarafından kendiliğinden veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir. Bu hususta ilgili kişi tarafından Hayri Darende Kuyumculuk’ye başvurulması halinde;

• İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlanır ve ilgili kişiye bilgi verilir,
• Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilir ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilir,
• Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep Kanunun 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri kendiliğinden silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı Hayri Darende Kuyumculuk tarafından seçilir. Ancak, ilgili kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilir.

8.1. Silme

Basılı Doküman Üzerinde: Kişisel veriler geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak İlgili Kullanıcılara görünemez hale getirilir.

Bulut Çözümlerinde: Bulut sisteminde veriler silme komutu verilerek silinir ve veriye erişme yetkisi olan kullanıcıların varsa geri getirme yetkileri kaldırılır.

Dosya Sunucusunda (File Server): Dosya sunucusunda bulunan veriler silme komutu ile silinir veya dosya ya da dosyanın bulunduğu dizin üzerinde veriye erişme yetkisi olan kullanıcıların erişim haklarının kaldırılır.

Taşınabilir Ortamlarda: Flash tabanlı saklama ortamlarındaki kişisel veriler, şifreli olarak saklanır ve veri silineceği zaman tekrar geri getirilemeyecek şekilde biçimlendirilir.

Veri Tabanında: Kişisel verilerin bulunduğu ilgili satırların veri tabanı komutları ile (DELETE vb.) silinir.

İşyeri Bilgisayarında: Kişisel verilere kimlik doğrulama ile erişim sağlanır ve işletim sistemi komutları kullanılarak silinir.

8.2. Yok Etme

Basılı Doküman Üzerinde: Kişisel verilerin bulunduğu kağıt ortamlar, kağıt kırpma makinelerinde veya Devlet Arşivleri Yönetmeliği’nde belirtilen yöntemlerle imha edilir.

Taşınabilir Ortamlarda: Flash tabanlı taşınabilir bellekler demanyetize edilerek ya da parçalanarak imha edilir.

Sabit Diskler: Kişisel verilerin bulunduğu sabit diskler demanyetize yöntemiyle ya da parçalanarak imha edilir.

8.3. Anonim Hale Getirme

Hayri Darende Kuyumculuk anonimleştirme için verinin bulunduğu ortam ve işleme türüne göre değişken çıkarma, gürültü ekleme, mikro birleştirme yöntemlerinden birini kullanır.

Değişken Çıkarma: Betimleyici nitelikteki verilerin çıkartılması yöntemi ile toplanılan verilerin bir araya getirilmesinden sonra oluşturulan veri setindeki değişkenlerden “yüksek dereceli betimleyici” olanlar çıkarılarak mevcut veri seti anonim hale getirilir.

Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde mevcut verilere belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek veriler anonim hale getirilir.

Mikro Birleştirme: Mikro birleştirme yönteminde tüm veriler ilk olarak anlamlı bir sıraya dizilerek (büyükten küçüğe gibi) gruplara ayrılıp, grupların ortalaması alınarak elde edilen değer mevcut gruptaki ilgili verilerin yerine yazılarak anonimleştirme sağlanır.

9.     VERİ SAKLAMA VE İMHA SÜRELERİ

Veri saklama ve imha süreleri kişisel veri envanterinde detaylı olarak tutulur. Verilerin saklama ve imha süreleri aşağıda belirtildiği gibidir.

10.  PERİYODİK İMHA SÜRESİ

Hayri Darende Kuyumculuk, Yönetmeliğin 11 inci maddesine de uygun olarak periyodik imha süresini yılda düzenli olarak 2 defa gerçekleştirmektedir. Buna göre, Hayri Darende Kuyumculuk’de her yıl Ocak ve Temmuz aylarında periyodik imha işlemi gerçekleştirilir.

11.  GÜNCELLENME PERİYODU

Hayri Darende Kuyumculuk, Kanunda yapılan değişiklikler nedeniyle, Kurum kararları uyarınca ya da sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda veya herhangi bir nedenle ihtiyaç duyması halinde işbu Politika’yı değiştirebilir, güncelleyebilir.

İşbu Politika’da yapılan değişiklikler derhal metne işlenir, değişikliklere ilişkin açıklamalar aşağıdaki tabloya işlenir ve Politika’nın güncel versiyonu KVKK Ekibi’nin belirlediği yetkili tarafından Hayri Darende Kuyumculuk bünyesinde kişisel verilerin tutulduğu, işlendiği veya aktarıldığı sistemleri kullanan / yöneten birimler, çalışanlar ve ilgili diğer kişilere duyurulur.