1.     AMAÇ

1.1.  Genel Olarak

Kişisel verilerin gizliliğinin, güvenliğinin sağlanması ve ilgili hukuki düzenlemelere uyum, RenovaBT’nin en önemli öncelikleri arasında yer almakta olup, bu konuda azami özen gösterilmektedir. Bu kapsamda kişisel verilerin işlenmesine ve korunmasına dair Kişisel Verilerin Korunması ve İşlenmesi Politikası (Politika) ve Şirket bünyesindeki diğer yazılı politikalar ile yönetilen süreç ve hedeflenen amaç; vatandaşların, çalışanların, çalışan adaylarının, ziyaretçilerin ve diğer üçüncü kişilerin (ilgili kişiler) kişisel verilerinin hukuka uygun biçimde işlenmesi, saklanması, korunması konusunda bilgilendirilmesi ve kurumsal kültürümüzün yansıtılmasıdır.

Politikanın hazırlanmasında; Türkiye Cumhuriyeti Anayasası ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda (KVKK) yer alan düzenlemeler başta olmak üzere kişisel verilerin korunmasına ilişkin ilgili hukuki normlarda ve Kişisel Verileri Koruma Kurulu kararlarında yer alan hükümleri Şirket işlemlerinde rehber olarak görülmektedir.

Bu Politikada kişisel verilerin işlenmesi süreçleri için Şirketin benimsediği ve aşağıda yer alan temel prensiplere ilişkin açıklamalarda bulunulacaktır:

• Kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesi,
• Kişisel verilerin doğru ve gerektiğinde güncel tutulması,
• Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi,
• Kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması,
• Kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi,
• İlgili kişilerin aydınlatılması,
• İlgili kişilerin haklarını kullanması için gerekli süreçlerin oluşturulması,
• Kişisel verilerin işlenmesinde ve muhafazasında gerekli tedbirlerin alınması,
• Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılması,
• Özel nitelikli kişisel verilerin işlenmesinde ve korunmasında gerekli hassasiyetin gösterilmesi,
• İşleme amacı ortadan kalkan kişisel verilerin silinmesi, yok edilmesi veya anonim hale

1.2.  Politikanın Amacı

Bu Politikanın temel amacı, Şirket tarafından hukuka uygun bir şekilde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen prosedürler konusunda açıklamalarda bulunmak ve bu kapsamda İlgili Kişileri bilgilendirerek şeffaflığı sağlamaktır. Buna ilaveten, hazırlanan Politika ve diğer yazılı politikalar, KVKK ve kişisel veri güvenliğine ilişkin diğer ilgili yasal düzenlemelere uyum ilkelerini sürdürülebilir kılmayı amaç edinmektedir.

2.  KAPSAM

2.1. Politikanın Kapsamı

Bu politikanın kapsamı, Şirket tarafından otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçekleştirilen, kişisel verileri işlenen gerçek kişilere yönelik olarak hazırlanmıştır.

2.2. Politikanın ve İlgili Mevzuatın Uygulanması

Politika, ilgili mevzuat tarafından ortaya konulan esaslar dâhilinde somutlaştırılarak düzenlenmiştir. Şirket, yürürlükte bulunan mevzuat ile Politika arasında uyumsuzluk bulunması durumunda, yürürlükteki mevzuatın uygulama alanı bulacağını taahhüt ve kabul etmektedir.

2.3. Politikanın Yürürlüğü

Politika, Şirket yönetim kurulu tarafından onaylanarak yürürlüğe girer, internet sitesinde (https://www.renovabt.com/kvkk ) yayımlanır ve bu yolla ilgili kişilerin erişimine sunulur.

3. SORUMLULUKLAR

• KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN ESASLAR

3.1.1.  Kişisel Verilerin Mevzuatta Öngörülen İlkelere Uygun Olarak İşlenmesi

1. Hukuka ve Dürüstlük Kurallarına Uygun İşleme

Şirket, kişisel veriler üzerinde gerçekleştirilecek her türlü işlemde hukuka ve dürüstlük kurallarına uygun olmayı temel ilke edinmiştir. Bu kapsamda şeffaflık ilkesini benimseyerek toplanan kişisel verilerin kullanım amacı hakkında kişisel ilgili kişilere Politika ve diğer metinler aracılığıyla bilgilendirmede bulunmaktadır.

b.  Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

Şirket, kişisel verileri işleme faaliyetini yürütürken, işlediği kişisel verilerin doğruluğunu ve güncelliğini sağlamaya yönelik sistem ve sürece sahiptir. Bu kapsamda İlgili Kişiler, Şirket başvuruda bulunarak kişisel verilerinin doğru ve güncel olarak tutulmasını mümkün kılabilir.

c.  Belirli, Açık ve Meşru Amaçlarla İşleme

Şirket, kişisel veri işleme amacını meşru ve hukuka uygun sınırlar içerisinde açık bir şekilde belirlemekte ve Politika ve diğer metinler aracılığıyla kişisel veri işleme faaliyeti henüz başlamadan İlgili Kişilerin bilgisine sunmaktadır.

d.    İşlendikleri Amaçlarla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirket kişisel verileri, faaliyet konusu ile bağlantılı ve orantılı bir biçimde faaliyetin yürütülmesi için gerekli amaçlar dâhilinde işlemektedir. Bu kapsamda veri işleme faaliyetini yürütürken amacın gerçekleştirilmesiyle ilgili olmayan ve şu an/ileride ihtiyaç duyulmayan kişisel verileri işlemekten özenle kaçınmaktadır.

e.  İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Etme

Şirket, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre ile sınırlı olarak muhafaza etmektedir. Bu kapsamda öncelikle kişisel verinin saklanması için ilgili mevzuatta bir sürenin belirlenip belirlenmediği tespit edilmekte, bir süre belirlendiyse bu süreye uygun işlem yapılmakta, özel olarak bir süre belirlenmemiş ise her kişisel verinin işlendiği amaç için gerekli olan süre belirlenerek bu süre kadar muhafaza edilmektedir.

Bu kapsamda Şirket, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine yönelik politikası ve yönergesi hazırlamakta ve uygulamaktadır.

f.  Kişisel Verilerin KVKK’nın 5’inci Maddesinde Belirtilen Kişisel Veri İşleme Şartlarına Uygun ve Bu Şartlarla Sınırlı Olarak İşlenmesi

Şirket, kişisel verileri ancak İlgili Kişinin açık rızasına dayanarak veya kanunda açık rızanın aranmayacağı belirtilen hallerde açık rıza olmadan bu hal ve şartlarla sınırlı olacak bir şekilde işlemektedir.

g.  Açık Rıza

Açık rıza, İlgili Kişinin belirli bir konuya ilişkin ve bilgilendirmeye dayalı olarak özgür irade ile yaptığı açıklamadır. KVKK’nın 5’inci maddesinin birinci fıkrası uyarınca Şirket, kişisel veri işleme faaliyetinde gerekli olması halinde İlgili Kişinin açık rızasına saygı göstermekte ve riayet etmektedir.

h.  Açık Rızanın Aranmadığı Haller

KVKK’nın 5’inci maddesinin ikinci fıkrası uyarınca kişisel verilerin bazı durumlarda İlgili Kişinin açık rızasına tabi olmadan işlenmesini kabul etmiştir. Belirtilen şartların birinin varlığı halinde ilgili kişiden açık rıza alınması, ilgili kişiyi yanıltmak olarak nitelendirileceğinden, aşağıda bulunan bu şartlarda Şirket açık rızaya başvurmamaktadır:

1. Kanun hükmünün varlığı,
2. Fiili imkânsızlık halleri,
3. Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
5. İlgili kişinin kişisel verisinin kendisi tarafından alenileştirilmiş olması,
6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek koşuluyla veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması.

i.  Özel Nitelikli Kişisel Verilerin İşlenmesi

Şirket işlendiğinde kişilerin daha büyük mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle KVKK tarafından ‘‘özel nitelikli’’ olarak belirlenen kişisel verilerin işlenme süreçleri ve korunması süreçlerinde azami hassasiyet göstermekte olup, özel nitelikli kişisel verilere ilişkin kabul edilen ilkeler, Politikada ayrıca ele alınmıştır.

Şirket tarafından; özel nitelikli kişisel veriler ilgili kişinin açık rızası yok ise ancak Kurul tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenebilmektedir.

1. İlgili kişinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler kanunlarda öngörülen hallerde,
2. İlgili kişinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

Özel nitelikli kişisel verilerin işlenmesi, bu verilere ulaşılması ile ilgili olarak Şirket ek önlemler ve süreçler belirlemiştir. Bu çerçevede, özel nitelikli kişisel verilerin saklandıkları ortamlar ikincil kilit ve ikincil şifrelerle korunmakta, Erişim Yetki Matrisi çerçevesinde ancak yetkili kişiler tarafından işlenebilmekte ve erişilebilmektedir.

j. Kişisel Verilerin Aktarılması

Kişisel veriler, Politikada belirtilen amaçların yerine getirilmesine yönelik olarak, denetim faaliyetleri çerçevesinde denetleyici kuruluşlara, Türk Ticaret Kanunu ve diğer ilgili yasal düzenlemeler gereğince denetleme ve ortaklık haklarından kaynaklı nedenlerden dolayı hissedarlarımıza, kanunen yetkili kamu kurumları ve kuruluşlarına, yurt içi ve/veya yurt dışında bulunan tedarikçi ve iş ortaklarımıza, hizmet tedariki yapılan gerçek ve tüzel kişilere veya hizmet verilen üçüncü kişilere, iş süreçlerinde yer alan ilgili ortaklık ve/veya bağlı şirketlere KVKK’nın 8’inci ve 9’uncu maddeleri gereği belirtilen kişisel veri işleme şartları ve amaçları çerçevesinde aktarılabilmektedir.

2.     KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ESASLAR

2.1.  Kişisel Verilerin Güvenliğine İlişkin Alınan Teknik ve İdari Tedbirler

• Teknik Tedbirler

Şirket tarafından kişisel verilerin hukuka uygun olarak işlenmesinin sağlanması ve kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi için alınan başlıca teknik tedbirler şu şekildedir:

• Şirket bünyesinde gerçekleştirilen kişisel veri işleme faaliyetleri, kurulan teknik sistemlerle denetlenmektedir.
• Teknik konularda bilgili ve tecrübeli personel istihdam
• Teknik konularda ilgili birimler kurulmuştur.
• Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği yetkili birim/kişiye raporlanmaktadır.
• Kişisel verilerin güvenli bir şekilde saklanmasını sağlamak için hukuka uygun bir biçimde yedekleme programı kullanılmaktadır.
• Yeni teknolojik gelişmeler takip edilmekte ve özellikle siber güvenlik alanında sistemler üzerinde teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmekte ve yenilenmektedir.

• Şirket bünyesindeki her bir bölüm özelinde belirlenen hukuksal uyum gereksinimleri çerçevesinde erişim ve yetkilendirme teknik tedbirleri kullanılmaktadır.
• Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmekte, eski çalışanların hesapları kapatılmaktadır.
• Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kullanılmaktadır.
• Sahte yazılım ve donanım kullanımından şiddetle kaçınılmaktadır. Kullandığımız tüm ürünlerimiz orijinal ve lisanslıdır.

Bu çerçevede, Kurul tarafından belirlenen ve aşağıda yer alan teknik tedbirler konusunda Şirket sürekli çalışma yapmaktadır:

• Yetki Matrisi
• Yetki Kontrol
• Erişim Log’ları
• Kullanıcı Hesap Yönetimi
• Ağ Güvenliği
• Uygulama Güvenliği
• Şifreleme
• Sızma Testi
• Saldırı Tespit ve Önleme Sistemleri
• Log Kayıtları
• Veri Maskeleme
• Veri Kaybı Önleme Yazılımları
• Yedekleme
• Güvenlik Duvarları
• Güncel Anti-Virüs Sistemleri
• Silme, Yok Etme veya Anonim Hale Getirme
• Anahtar Yönetimi

2.1.2.      İdari Tedbirler

Şirket tarafından kişisel verilerin hukuka uygun olarak işlenmesini sağlanması ve kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi için alınan başlıca idari tedbirler şu şekildedir:

• Personel, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir.
• Şirket iş birimlerinin yürütmüş olduğu kişisel veri işleme faaliyetleri; bu faaliyetlerin KVKK’da belirtilen veri işleme şartlarına uygunluğunun sağlanması için yerine getirilecek olan gereklilikler her bir iş birimi ve yürütülen faaliyet özelinde incelenmektedir.
• Şirket ile çalışanları arasındaki hukuki ilişkiyi yöneten sözleşme ve belgelerle, Şirket talimatları ve kanunla getirilen istisnalar dışında, kişisel verileri işlememe, ifşa etmeme ve kullanmama yükümlülüğü getiren kayıtlar konulmakta ve bu konuda çalışanların farkındalığı artırılmaktadır.
• İş birimlerimiz esas alınarak belirlenen hukuksal uyum gerekliliklerinin sağlanması için ilgili iş birimleri özelinde farkındalık yaratılmakta ve uygulamaya geçilmektedir.

Bu hususların denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tedbirler

Şirket içi politikalar ve eğitimler ile hayata geçirilmektedir.

• Faaliyet temelli hukuksal uyum gerekliliklerine uygun olarak Şirket içinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır.
• Kişisel Verilerin Korunması Kanunu ve ilgili yasal düzenlemelere ilişkin iş ve işlemlerin takibinde kolaylık ve uyum için oluşturulmuş olan Kişisel Verileri Koruma Komitesi tarafından takip edilmektedir.
• Şirket tarafından kişisel verilerin hukuka uygun olarak aktarıldığı üçüncü kişiler ile kurulan sözleşmelere, aktarılan kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerin alınacağına ve kendi kuruluşlarında da bu tedbirlere uyulmasının sağlanacağına ilişkin hükümler eklenmektedir.

Bu çerçevede, Kurul tarafından belirlenen ve aşağıda yer alan idari tedbirler konusunda Şirket sürekli çalışma yapmaktadır:

• Kişisel Veri İşleme Envanteri Hazırlanması
• Kurumsal Politikalar (Erişim, Yedekleme, Saklama ve İmha )
• Sözleşmeler (Veri Sorumlusu-Veri Sorumlusu, Veri Sorumlusu-Veri İşleyen Arasında)
• Gizlilik Taahhütnameleri
• Kurum İçi Periyodik ve/veya Rastgele Denetimler
• Risk Analizleri
• İş Sözleşmesi, Disiplin Yönetmeliği (Kanuna Uygun Hükümler İlave Edilmesi)
• Kurumsal İletişim (Kriz Yönetimi, Kurul ve İlgili Kişiyi Bilgilendirme Süreçleri, İtibar Yönetimi vb.)
• Eğitim ve Farkındalık Faaliyetleri (Bilgi Güvenliği ve Kanun)
• Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) Bildirim

2.2.  Çalışanlarımızın, Kişisel Verileri Koruma Alanında Farkındalıklarının Artırılması ve Denetimi

Şirket, kişisel verilerin hukuka aykırı olarak işlenmesini, verilere hukuka aykırı erişilmesini önlemeye ve verilerin muhafazasını güvenli bir şekilde sağlamaya yönelik farkındalığın artırılması için gerekli eğitimler ve toplantılar düzenlenmesini sağlamaktadır.

Şirket bünyesinde bulunan mevcut çalışanların, kişisel verilerin korunması konusunda farkındalığın artırılmasında konuya ilişkin ihtiyaç duyulması halinde profesyonel kişiler ile çalışılmaktadır.

2.3.  Özel Nitelikli Kişisel Verilerin Korunması

Şirket tarafından, KVKK ile özel nitelikli olarak belirlenen ve hukuka uygun olarak işlenen kişisel veriler hassasiyetle korunmaktadır. Bu kapsamda Şirket tarafından kişisel verilerin korunması için alınan teknik ve idari tedbirler, ilgili yasal düzenleme ve Kişisel Verileri Koruma Kurumu tarafından yayınlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” karar baz alınarak belirlenmiş olup, özel nitelikli kişisel verilerin korunması bakımından özenle uygulanmaktadır.

2.4.  Kişisel Verilerin Yetkisiz Bir Şekilde İfşası Durumuna Karşı Alınacak Tedbirler

Şirket, işlediği kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde, bu durumu 72 saat içerisinde ilgili kişiye ve Kurula bildirecektir.

Kurul tarafından gerekli görülmesi halinde bu durum, Kurulun internet sitesinde veya başka bir yöntemle ilan edilebilecektir.

2.5.  Kişisel Veri Envanteri

Şirket her birimi, güncel bir kişisel veri işleme envanteri oluşturmaktadır. Birim yöneticisi bu envanterin doğruluğundan, güncelliğinden ve gerektiğinde irtibat kişisine bildirmekle sorumludur. İrtibat Kişisi de ilgili güncellemeleri Envanter Tablosu ve VERBİS kayıtlarında güncellemekle yükümlüdür.

Envanterlerin doğru tutulması, kişisel verilerin korunmasına ilişkin güncel Şirket politikasının uygulanması ve kişisel verilerin korunması konusundaki güncel gelişmeler daima takip edilir.

4. TANIMLAR VE KISALTMALAR

5. UYGULAMALAR

• İLGİLİ KİŞİLERİN VERİ SORUMLUSUNA BAŞVURUSU, İLETEBİLECEĞİ İLETİŞİM KANALLARIMIZ VE BAŞVURUNUN DEĞERLENDİRİLMESİ SÜREÇLERİ

5.1.1.    Başvuru Konusu

Şirket, ilgili kişilerin haklarına büyük önem ve değer vermekte ve bu haklarını kullanmalarına imkân ve olanak sağlamaktadır.

Herkes, Şirkete başvuruda bulunarak kendisiyle ilgili;

1. Kişisel veri işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

1. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
2. KVKK’nın 7’nci maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
3. (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
4. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.

5.1.2.  Başvuru Yöntemi ve Adresi

Yukarıda belirtilen hakların kullanılacağı iletişim kanallarımız ve yöntem aşağıdaki tabloda belirtildiği şekildedir:

5.1.3.    Başvuru Sonrası Süreç

Tarafımıza iletilen başvurular, talebin niteliğine göre talebin Şirkete ulaştığı tarihten itibaren en geç 30 (otuz) gün içerisinde yanıtlandırılmaktadır.

İlgili kişiler; KVKK’nın 14’üncü maddesi gereğince başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; Şirketin cevabını öğrendiği tarihten itibaren otuz gün içerisinde ve her halde başvuru tarihinden itibaren altmış gün içerisinde Kurul’a şikâyette bulunabilir.

5.1.4.    Başvuru Ücreti

Başvurular kural olarak ücretsiz yapılmaktadır. Ancak ilgili kişilerin talep ettiği işlemin ayrıca bir maliyeti gerektirmesi halinde, Şirket tarafından Kurulca belirlenen tarifedeki ücret alınacaktır.

5.2. İLGİLİ KİŞİLERİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ

Şirket, KVKK’nın 10’uncu maddesindeki düzenlemesine uygun olarak, ilgili kişileri kişisel verilerin elde edilmesi süreci ile ilgili olarak bu Politika ve internet sitesinde kolayca erişilebilir bir şekilde yer alan Aydınlatma Metni ile ve diğer metinler aracılığıyla aydınlatmaktır. Bu kapsamda Şirket, veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ve ilgili kişinin diğer hakları konusunda ilgili kişileri bilgilendirmektedir.

5.3. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI VE SAKLANMA SÜRELERİ

5.3.1.  Kişisel Verilerin İşlenme Amaçları

Şirket, kişisel verileri olarak kişisel verileri KVKK’nın 5’inci ve 6’ncı maddesinde belirtilen kişisel veri işleme şartları içerisindeki amaçlarla ve koşullarla sınırlı olarak işlemektedir. Bu amaçlar ve koşullar;

• Kişisel verilerin işlenmesinin Şirketin ilgili faaliyette bulunmasının Kanunlarda açıkça öngörülmesi,
• Kişisel verilerin Şirket tarafından işlenmesinin bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,
• Kişisel verilerin işlenmesinin Şirket hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• Kişisel verilerin ilgili kişi tarafından alenileştirilmiş olması şartıyla; sizlerin alenileştirme amacıyla sınırlı bir şekilde Şirket tarafından işlenmesi,
• Kişisel verilerin Şirket tarafından işlenmesinin bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İlgili kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için kişisel veri işleme faaliyetinde bulunulmasının zorunlu olması,
• Şirket tarafından kişisel veri işleme faaliyetinde bulunulmasının ilgili kişilerin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması ve bu durumda da ilgili kişilerin fiili imkânsızlık veya hukuki geçersizlik nedeniyle rızasını açıklayamayacak durumda bulunması,
• İlgili kişilerin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde,
• İlgili kişilerin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmektedir.

5.3.2.    Kişisel Verilerin Saklanma Süreleri

Şirket olarak, ilgili mevzuatta öngörülmesi durumunda kişisel verileri bu mevzuatta belirtilen süre kadar saklamaktayız. Buna ilaveten saklama sürelerinin belirlenmesinde, ilgili sözleşmelerden kaynaklı yükümlülüklerimiz, idari ve hukuki anlamdaki sorumluluklarımız/yükümlülüklerimiz de gözetilmektedir.

Kişisel verilerin işlenme amacı sona ermiş, ilgili mevzuat ve Şirketin belirlediği saklama süresinin de sonuna gelindiğinde, bu kişisel veriler silinmekte ve yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi amacıyla yedeklenmektedir. Bu durumda kişisel verilere herhangi bir başka amaçla erişim sağlanmamaktadır. Kişisel veriler, Şirketin Kişisel Veri Saklama ve İmha Politikasında belirlenen süreler sona erdikten sonra yok edilmekte veya anonim hale getirilmektedir.

İşlenen kişisel veriler ve kişisel veri envanterleri 6 aylık periyotlar halinde gözden geçirilmekte ve silinmesi/yok edilmesi gereken kişisel veriler 6 aylık periyodik imha süreleri içerisinde silinerek/imha edilerek işlem tutanak altına alınmaktadır.

5.4.  BİNA-TESİS GİRİŞİ İLE BİNA-TESİS İÇERİSİNDE YAPILAN KİŞİSEL İŞLEME FAALİYETLERİ

5.4.1.    Bina ve Tesis Girişlerinde ve İçerisinde Yürütülen Kamera ile İzleme Faaliyeti

Şirket tarafından; ilgili kişilerin ve Şirketin güvenliğinin sağlanması amacıyla hizmet sunulan ve bu hizmetlerin yürütüldüğü yer, bina ve tesis girişinde ve içerisinde güvenlik kamerası izleme faaliyeti ile giriş/çıkışların takibi ve mesai takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Bu kapsamda Şirket, KVKK ve ilgili diğer mevzuata uygun hareket etmektedir.

5.4.2.    Kamera ile İzleme Faaliyeti Hakkında Bilgilendirme Yapılması

Şirket tarafından KVKK’nın 10’uncu maddesine uygun olarak ilgili kişiler aydınlatılmakta; böylelikle ilgili kişilerin temel hak ve özgürlüklerine zarar verilmesinin engellenmesi ve şeffaflığın sağlanması amaçlanmaktadır. Kamera ile izleme faaliyetine yönelik olarak Şirketin internet sitesinde hem Politika ile hem de izlemenin yapıldığı alanların girişlerinde izleme yapılacağına ilişkin bildirim yazısı ile (yerinde aydınlatma/katmanlı aydınlatma gibi) aydınlatma yapmaktadır.

5.4.3.    Kamera ile İzleme Faaliyetinin Yürütülme Amacı ve Amaçla Sınırlılık

Şirket kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak KVKK’ya uygun bir şekilde işlemektedir. Şirket tarafından video kamera kaydı ile izleme faaliyetinin sürdürülmesindeki amaç bu Politikada sayılan amaçlarla sınırlıdır. Bu doğrultuda güvenlik kameralarının izleme alanları, sayısı ve ne zaman izleme yapılacağı, güvenlik amacına ulaşmak için yeterli ve bu amaçla sınırlı olarak uygulamaya alınmaktadır.

5.4.4.    Kamera ile İzleme Faaliyeti ile Elde Edilen Verilerin Güvenliğinin Sağlanması

Şirket tarafından kamera kaydı ile elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli her türlü teknik ve idari tedbirler alınmaktadır. Ayrıntılı bilgi veri korumasına ilişkin teknik tedbirlerde yer almaktadır.

5.4.5.     İzleme Sonucunda Elde Edilen Bilgilere Kimlerin Erişebildiği ve Bu Bilgilerin Kimlere Aktarıldığı

İzleme sonucunda elde edilen bilgilere ve muhafaza ortamına yalnızca bu hususta yetkili kişiler erişebilmektedir. Canlı kamera görüntülerini ise, Şirket çalışanı olan ya da dışarıdan hizmet alınan güvenlik görevlileri izleyebilmektedir. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

5.4.6.    Bina ve Tesis Girişlerinde ve İçerisinde Yürütülen Misafir Giriş/Çıkış Takibi

Şirket ve dışarıdan hizmet alınan firma tarafından; güvenliğin sağlanması ve bu Politikada belirtilen amaçlarla, Şirket bina ve tesislerinde misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır.

Misafir olarak Şirket binalarına ve tesisine gelen kişilerin isim ve soyadları elde edilirken ya da Şirket nezdinde asılan ya da diğer şekillerde misafirlerin erişimine sunulan metinler aracılığıyla söz konusu ilgili kişiler bu kapsamda aydınlatılmaktadırlar. Misafir giriş-çıkış takibi yapılması amacıyla elde edilen veriler yalnızca bu amaçla işlenmekte ve ilgili kişisel veriler fiziki ve/veya elektronik ortamda veri kayıt sistemine kaydedilmektedir.

• Bina ve Tesis Girişlerinde Elektronik Cihazlara Ait Bilgilerin Kayıt Altına Alınması Şirket bilgi güvenliği ve kişisel verilerin korunmasına gösterdiği özen ve hassasiyet ile bağlantılı olarak; misafirlerin internet bağlantısı gibi işlemler için kendi şahsi bilgisayar veya benzer elektronik cihazlarını kullanması durumunda bilgisayar veya benzer elektronik cihazların MAC adreslerini kayıt altına almaktadır. Bunun sebebi Şirketin kişisel verilerinin ve Şirket bünyesinde bulunan kişilerin güvenliğini sağlamak ve yasal zorunlulukları yerine getirmektir.

5.5.  GÖZDEN GEÇİRME

Politika, Şirket yönetim kurulu tarafından onaylanarak yürürlüğe girer. Politikada yapılacak değişikliklere ilişkin olarak, yönetim kurulu tarafından yetkilendirilecek kişi/kişilerin onayı alınır. Politikanın Şirket içinde uygulanmasına ilişkin hususlar, şirket içi politika, prosedür ve iç yönergeler ile sistematik hale getirilmiştir. Politika, 6 ayda bir gözden geçirilir ve gerekli olması halinde yetkilendirilen kişinin onayı ile ilgili revizeler yapılır.

5.6.  KİŞİSEL VERİLERİ KORUMA KOMİTESİ

Şirket, kişisel verilerin korunması hukuku çerçevesinde irtibat kişisi atamıştır. Şirket birim çalışanları arasından 10 kişilik bir EYS Komitesi oluşturmuştur. Bu komite aynı zamanda Kişisel Verileri Koruma Komitesi olarak da çalışmaktadır. Komite ’ye Şirket irtibat kişisi başkanlık etmektedir.

İrtibat kişisi, idari ve teknik tedbirler konusunda Komite görüş ve tavsiyeleriyle hareket etmektedir. İdari ve teknik tedbirler konusunda Komite tarafından belirlenen ilkeler dikkate alınmaktadır. Komite, Şirketin kişisel verilerin korunması ile ilgili mevzuata uyumluluğu için gereken çabayı sarf etmektedir. İrtibat kişisi, kişisel verilerin korunması hukuku kapsamında sorumlu olduğu Şirket birimlerini denetlemektedir. Bu denetimler sonucunda gerekli durumlarda ilgili birimleri uyarmakta ve üst yönetimi durumdan haberdar etmektedir.

İrtibat kişisi Şirket’e yapılan ilgili kişi başvurularının yasal süreler içerisinde ve usule uygun şekilde cevaplandırılması konusunda koordinasyonu sağlamaktadır. İrtibat kişisi, Şirket’in Kişisel Verileri Koruma Kurumu ile olan ilişkilerini yönetir.

5.7.  YÜRÜRLÜK

Politika, şirket yönetim kurulu/yetkili organlar tarafından kabul edilip duyurulma tarihinden itibaren yürürlüğe girer.

6.  İLGİLİ DOKÜMANLAR

Ana Doküman Listesi

7.  DAĞITIM

Bu doküman Şirket çalışanları ve ilgili taraflarla paylaşılmaktadır.

8.  YAPTIRIM

Bu dokumana aykırı davranılması durumunda Disiplin Yönetmeliği dikkate alınarak işlem yapılacaktır.