KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

Hasan Çakar (“Veri Sorumlusu”) olarak; işlediğimiz kişisel verilerin Türkiye Cumhuriyeti Anayasası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve 28.10.2017 tarih ve 30224 sayılı ResmiGazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) başta olmak üzere ilgili mevzuata uygun olarak saklanmasına ve gerektiği şekilde ve sürede imha edilmesine dikkat etmekteyiz. 

Bu sebeple, veri sorumlusu sıfatıyla yürütmekte olduğumuz iş süreçleri esnasında elde ettiğimiz tüm kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi ve imhalarına ilişkin süre ve işlemleri işbu Kişisel Veri Saklama ve İmha Politikamıza (“Politika”) göre belirlemekte ve gerçekleştirmekteyiz. 

Ayrıca, kişisel verilerin saklanması ve imhası sürecinde, bu verilerin hukuka aykırı olarak saklanmasını ve imhasını önlemek amacıyla her türlü teknik ve idari tedbiri almaktayız. Veri Sorumlusu olarak, kişisel verilerin saklanması ve imhası süreçlerinde özel hayatın gizliliğinin korunmasına önem vermekte ve veri güvenliğini en üst seviyede gözetmekteyiz. 

İşbu Politika, faaliyetlerimiz sırasında elde edilen kişisel verilerin saklanması ve imhasına dair izlediğimiz yöntemler hakkında açıklamalar içermektedir. 

Kapsam 

İşbu Politika; gerçek kişilerin Veri Sorumlusu tarafından işlenmekte olan bütün kişisel verilerini kapsamaktadır. Politika, Veri Sorumlusutarafından işlenen bu kişisel verilerin elektronik ve basılı her türlü ortamda saklanmasına ve imhasına ilişkin olup KVKK ve kişisel verilere ilişkin diğer mevzuat ve bu alandaki uluslararası düzenleme ve yol gösterici belgeler gözetilerek ele alınmış ve hazırlanmıştır. 

Kısaltmalar ve Tanımlar 

SORUMLULUK VE GÖREV DAĞILIMLARI 

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım aşağıda verilmiştir. 

KAYIT ORTAMLARI 

Veri Sorumlusu olarak, faaliyetlerimizi yerine getirirken elde ettiğimiz kişisel verileri kanuni sürelere uygun olarak saklamak amacıyla aşağıda yer alan kayıt ortamlarını kullanmaktayız. 

SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR 

Veri Sorumlusu tarafından; gerçek kişilerin kişisel verileri KVKK’ya uygun olarak saklanır ve imha edilir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırayla yer verilmiştir. 

Saklamaya İlişkin Açıklamalar 

Mevzuattaki birçok düzenleme kişisel verilerin belirli bir süre saklanmasını zorunlu kılmaktadır. Bu nedenle, işlediğimiz kişisel verileri ilgili mevzuatta öngörülen süre boyunca veya böyle bir süre öngörülmemişse, kişisel verilerin işlenme amaçları için gerekli olan süre kadar saklamaktayız. 

Kişisel verileri birden fazla amaç için işlediğimiz hallerde, verinin işlenme amaçlarının hepsinin ortadan kalkması durumunda re’sen veya verilerin silinmesine mevzuatta bir engel olmaması ve ilgili kişinin talep etmesi durumunda veriler silinir, yok edilir veya anonim hale getirilir.  

Saklamayı Gerektiren Hukuki Sebepler 

Veri Sorumlusubünyesinde yürütülen faaliyetler çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler; 

• 6698 sayılı Kişisel Verilerin Korunması Kanunu 

• 6098 sayılı Türk Borçlar Kanunu 

• 6102 sayılı Türk Ticaret Kanunu 

• 5237 sayılı Türk Ceza Kanunu 

• 4857 sayılı İş Kanunu 

• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 6361 sayılı İş Sağlığı ve Güvenliği Kanunu 

• 213 sayılı Vergi Usul Kanunu 

• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun 

• 5681 sayılı Matbaalar Kanunu 

• 5846 sayılı Fikir ve Sanat Eserleri Kanunu 

• 6279 sayılı Çoğaltılmış Fikir ve Sanat Eserlerini Derleme Kanunu 
• 1219 sayılı Tababet ve Şuabatı Sanatlarının İcrasına Dair Kanun
• Sağlık Hizmetlerinde Tanıtım ve Bilgilendirme Faaliyetleri Hakkında Yönetmelik

Yukarıda sayılanlar başta olmak üzere yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır. 

Saklamayı Gerektiren İşleme Amaçları 

Veri Sorumlusu faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar: 

• Bilgi Güvenliği Süreçlerinin Yürütülmesi 
• Denetim / Etik Faaliyetlerinin Yürütülmesi 

• Erişim Yetkilerinin Yürütülmesi 

• Faaliyetlerin Mevzuata Uygun Yürütülmesi 

• Finans Ve Muhasebe İşlerinin Yürütülmesi 

• Fiziksel Mekan Güvenliğinin Temini 

• Hukuk İşlerinin Takibi Ve Yürütülmesi 

• İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi 

• İletişim Faaliyetlerinin Yürütülmesi 

• İş Faaliyetlerinin Yürütülmesi / Denetimi 

• İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi 

• İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi 

• Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi 

• Mal / Hizmet Satış Süreçlerinin Yürütülmesi 

• Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi 

• Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi 

• Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi 

• Organizasyon Ve Etkinlik Yönetimi 

• Pazarlama Analiz Çalışmalarının Yürütülmesi 

• Reklam / Kampanya / Promosyon Süreçlerinin Yürütülmesi 

• Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi 

• Sözleşme Süreçlerinin Yürütülmesi 

• Talep / Şikayetlerin Takibi 

• Taşınır Mal Ve Kaynakların Güvenliğinin Temini 

• Tedarik Zinciri Yönetimi Süreçlerinin Yürütülmesi 

• Ücret Politikasının Yürütülmesi 

• Veri Sorumlusu Operasyonlarının Güvenliğinin Temini 
• Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi 
• Sağlık hizmetine aracılık süreçlerinin yürütülmesi
•  Danışan başvuru ve ön değerlendirme süreçlerinin yürütülmesi
• Danışan memnuniyeti ve geri bildirim süreçlerinin yürütülmesi
• Tedavi planlaması için gerekli danışan bilgilerinin değerlendirilmesi
• Sosyal medya ve tanıtım faaliyetlerinin yönetilmesi
• Saklama ve arşiv faaliyetlerinin yürütülmesi
• Kişisel veri işleme faaliyetlerinin denetimi ve mevzuata uygunluk takibi

İmhayı Gerektiren Sebepler 

Kişisel veriler; 

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası, 

• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, 

• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişini açık rızasını geri alması, 

• KVKK’nın 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Veri Sorumlusu tarafından kabul edilmesi, 

• Veri Sorumlusu’nun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması ve  

• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması 

durumlarında, Veri Sorumlusu tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir. 

TEKNİK VE İDARİ TEDBİRLER 

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için KVKK’nın 12. maddesi ile 6. maddesinin 4. fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Veri Sorumlusu tarafından teknik ve idari tedbirler alınır. 

Veri Sorumlusu  tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır; 

• Bilgi Teknolojileri Sistemleri Tedarik, Geliştirme ve Bakımı kapsamında güvenlik önlemleri alınmaktadır. 

• Bulutta Depolanan kişisel verilerin güvenliği sağlanmaktadır.  

• Erişim Logları düzenli olarak tutulmaktadır.  

• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.  

• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır. 

• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.  

• Şifreleme yapılmaktadır. 

• Gizlilik taahhütnameleri yapılmaktadır. 

• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir. 

• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır. 

• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır. 

• Kişisel veri içeren fiziksel ortamların dış risklere(yangın,selvb) karşı güvenliği sağlanmaktadır. 

• Kişisel veri içeren ortamların güvenliği sağlanmaktadır. 

KİŞİSEL VERİLERİ İMHA TEKNİKLERİ 

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Veri Sorumlusutarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir. 

Kişisel Verilerin Silinmesi 

Veri Sorumlusuolarak, kişisel verilerin hukuka uygun olarak silinmesi işlemini gerçekleştirebilmek amacıyla tarafımızca teknikler şu şekildedir: 

Kişisel Verilerin Yok Edilmesi 

Veri Sorumlusuolarak, kişisel verilerin hukuka uygun olarak yok edilmesi işlemini gerçekleştirebilmek amacıyla tarafımızca teknikler şu şekildedir: 

Kişisel Verilerin Anonim Hale Getirilmesi 

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek hale getirilmesidir. 

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir. 

SAKLAMA VE İMHA SÜRELERİ 

Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi Bilgi Teknolojileri Birimi tarafından yerine getirilir. Kişisel verilerin saklama süreleri ilgili mevzuatta öngörülen süreler çerçevesinde belirlenmiştir.  

Bu çerçevede, ilgili verinin Veri Sorumlusunezdinde saklanmasının, KVKK’nın 5. ve 6. maddesinde kişisel verilere ve özel nitelikli kişisel verilere ilişkin olarak öngörülen hukuka uygunluk sebepleri kapsamında değerlendirilmesi halinde, bu hukuka uygunluk sebeplerine istinaden ilgili kişisel verilere ilişkin saklama süreleri tespit edilir. Kişisel verilerin imha süreci, Veri Sorumlusutarafından her bir ilişkiye uygun olarak ilgili mevzuat gözetilerek belirlenmiş olan saklama süreleri doğrultusunda yürütülmektedir. Saklama süreleri sona eren kişisel veriler, Veri Sorumlusutarafından belirlenmiş olan periyodik imha sürelerinde silinir, yok edilir veya anonim hale getirilir. 

PERİYODİK İMHA SÜRESİ 

Yönetmelik’in 11. maddesi gereğince periyodik imha süresi, 6 ay olarak belirlenmiştir. 

POLİTİKA’NIN YAYIMLANMASI VE SAKLANMASI 

İşbu Politika, Veri Sorumlusu tarafından hazırlanan nihai versiyonun onayı sonrasında, şirket içi duyuru panosunda yayımlanır ve ilgili personele e-posta yoluyla bildirilir. Ayrıca internet sitesinde kamuya açık şekilde yayımlanarak şeffaflık ilkesi gereği tüm ilgililerin erişimine sunulur

POLİTİKA’NIN GÜNCELLEME PERİYODU 

Politika, yılda bir kez gözden geçirilerek ihtiyaç duyulduğunda ve değişen süreçler bulunduğunda güncellenmektedir. 

POLİTİKA’NIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI 

İşbu Politika, [...] [VB1] tarihinde yürürlüğe girecektir. Politikanın yürürlükten kaldırılması veya değiştirilmesi durumunda bu durum Veri Sorumlusu Temsilcisi  Birimi tarafından e-posta ile  ilgili personele duyurulur.Yürürlükten kaldırılan politika, 5 yıl süre ile şirket arşivinde fiziksel/dijital olaraksaklanır.