Kişisel Verileri Saklama ve İmha Politikası - Procat

I.  GİRİŞ

A.  Amaç ve Kapsam

İşbu Politika, Veri Sorumlusu  PROCAT tarafından, KVKK’nın 7. maddesi uyarınca uyulması gereken usul ve esasları belirlemek amacıyla hazırlanmıştır.

PROCAT, bünyesinde bulundurduğu, tamamen veya kısmen otomatik olan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi sırasında işbu Politika’ya ve Politika’ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını taahhüt eder.

İşbu Politika; PROCAT’in kişisel verileri işlediği herhangi bir sürece dahil olan Çalışan, Çalışan Adayı, Çalışan Yakını, Tedarikçi Yetkilisi, Tedarikçi Çalışanı, Ürün veya Hizmet Alan Kişi, Potansiyel Ürün veya Hizmet Alan Kişi, Stajyer, Ziyaretçi, Çalışan Yakını, Çalışanın Eski İşyerindeki Yetkili, İşveren, İşyeri Hekimi, Kamu Görevlisi, Kurum Yetkilisi, Referans Olan Kişi, Teslim Alan ve Teslim Eden Kişi ve Kişisel Verilerini İşlediği Herhangi Bir Sürece Dâhil Olan Diğer 3. Kişilere ait kişisel verileri kapsamaktadır.

İşbu Politika; PROCAT’in kişisel veri üzerinde uygulayacağı tüm imha faaliyetlerini kapsamakta olup, her türlü imha gereksinimi sonucunda uygulanacaktır.

İşbu Politika kişisel veri olmayan veriler hakkında uygulanmayacaktır.

Konuyla alakalı yeni mevzuatlar yayımlanması veya ilgili mevzuatın güncellenmesi durumunda, işbu Politika ilgili mevzuatlara uyumlu olacak şekilde güncellenerek mevzuat gerekliliklerine uyulacaktır.

PROCAT, işbu Politika ile aşağıda belirtilen ortamlardaki ve belirtilen ortamlara ek ortaya çıkabilecek tüm ortamlardaki kişisel verileri kapsadığını kabul eder.

• Ağ cihazları,
• Ağ üzerinde veri saklanması için kullanılan paylaşımlı/paylaşımsız disk sürücüleri,
• PROCAT adına kullanılan bilgisayarlar/sunucular,
• Flash hafızalar,
• Kâğıt,
• Manyetik bantlar,
• Mikrofiş,
• Mobil telefonlar ve içerisindeki tüm saklama alanları,
• Optik diskler,
• Yazıcı, Parmak izi okuyucu ve yüz tarama gibi çevre birimler.

B.     Tanımlar

    II.            KAYIT ORTAMLARI

A.    Elektronik Ortamlar

• Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb.)
• Çıkartılabilir bellekler (USB, hafıza kartı vb.)
• Kişisel bilgisayarlar (Masaüstü, dizüstü)
• Mobil cihazlar (telefon, tablet vb.)
• Optik diskler (CD, DVD, vb.)
• Sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım vb.)
• Video kaydı ve ses kaydı
• Yazıcı, tarayıcı, fotokopi makinesi
• Yazılımlar (Ofis yazılımları,….)

B.     Elektronik Olmayan Ortamlar

• Kâğıt
• Manuel veri kayıt sistemleri (anket formları, ziyaretçi girişi defteri)
• Yazılı, basılı, görsel ortamlar

 III.            SAKLAMA ve İMHAYA İLİŞKİN AÇIKLAMALAR

PROCAT tarafından; işbu Politika kişisel verilerinin işlediği herhangi bir sürece dâhil olan Çalışan, Çalışan Adayı, Çalışan Yakını, Tedarikçi Yetkilisi, Tedarikçi Çalışanı, Ürün veya Hizmet Alan Kişi, Potansiyel Ürün veya Hizmet Alan Kişi, Stajyer, Ziyaretçi, Çalışan Yakını, Çalışanın Eski İşyerindeki Yetkili, İşveren, İşyeri Hekimi, Kamu Görevlisi, Kurum Yetkilisi, Referans Olan Kişi, Teslim Alan ve Teslim Eden Kişi, Habere Konu Kişi ve Kişisel Verilerini İşlediği Herhangi Bir Sürece Dâhil Olan Diğer 3. Kişilere ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.

Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

A.    Saklamaya İlişkin Açıklamalar

KVKK’nın 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, KVKK’nın 4. maddesinde işlenen kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, KVKK’nın 5 ve 6. maddelerinde ise kişisel verilerin işleme şartları sayılmıştır. Buna göre, PROCAT faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

1.      Saklamayı Gerektiren Hukuki Sebepler

• 213 sayılı Vergi Usul Kanunu
• 2004 sayılı İcra İflas Kanunu
• 4458 sayılı Gümrük Kanunu
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 6098 sayılı Türk Borçlar Kanunu
• 6102 sayılı Türk Ticaret Kanunu
• 6362 sayılı Sermaye Piyasası Kanunu
• 6502 sayılı Tüketicinin Korunması Hakkında Kanun
• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6769 sayılı Sınai Mülkiyet Kanunu
• İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik
• İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği
• Kişisel Koruyucu Donanımların İşyerlerinde Kullanılması Hakkında Yönetmelik
• Ticaret Sicil Yönetmeliği
• Ücret, Prim, İkramiye ve Bu Nitelikteki Her Türlü İstihkakın Bankalar Aracılığıyla Ödenmesine Dair Yönetmelik

Kişisel veriler, bu kanunlar ile yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

2.      Saklamayı Gerektiren İşleme Amaçları

PROCAT, faaliyetleri çerçevesinde işlemekte olduğu kişisel veriyi aşağıdaki amaçlar doğrultusunda saklar:

• Acil Durum Yönetimi Süreçlerinin Yürütülmesi
• Bilgi Güvenliği Süreçlerinin Yürütülmesi
• Çalışan Adayı / Stajyer / Öğrenci Seçme ve Yerleştirme Süreçlerinin Yürütülmesi
• Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
• Çalışanlar İçin İş Akdi ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
• Çalışanlar İçin Yan Haklar Ve Menfaatleri Süreçlerinin Yürütülmesi
• Diğer(Zimmet Faaliyetlerinin Yürütülmesi)
• Eğitim Faaliyetlerinin Yürütülmesi
• Erişim Yetkilerinin Yürütülmesi
• Faaliyetlerin Mevzuata Uygun Yürütülmesi
• Finans ve Muhasebe İşlerinin Yürütülmesi
• Fiziksel Mekan Güvenliğinin Temini
• Görevlendirme Süreçlerinin Yürütülmesi
• Hukuk İşlerinin Takibi ve Yürütülmesi
• İç Denetim / Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi
• İletişim Faaliyetlerinin Yürütülmesi
• İnsan Kaynakları Süreçlerinin Planlanması
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
• Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
• Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
• Organizasyon ve Etkinlik Yönetimi
• Pazarlama Analiz Çalışmalarının Yürütülmesi
• Performans Değerlendirme Süreçlerinin Yürütülmesi
• Saklama ve Arşiv Faaliyetlerinin Yürütülmesi
• Sözleşme Süreçlerinin Yürütülmesi
• Tedarik Zinciri Yönetimi Süreçlerinin Yönetilmesi
• Yabancı Personel çalıştırma ve Oturma İzni İşlemleri
• Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi
• Ziyaretçi Kayıtlarının Oluşturulması ve Takibi

B.     İmhayı Gerektiren Sebepler

PROCAT’in, İlgili Kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, İlgili Kişi’nin açık rızasını geri alması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
• KVK Kurulu’na şikâyette bulunması ve bu talebin KVK Kurulu tarafından uygun bulunması,
• KVKK’nın 11. maddesi gereği İlgili Kişi’nin hakları çerçevesinde kişisel verilerin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun PROCAT tarafından kabul edilmesi,

durumlarında, PROCAT tarafından İlgili Kişi’nin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

 IV.            TEKNİK ve İDARİ TEDBİRLER

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için KVKK’nın 12. maddesiyle KVKK’nın 6. maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için KVK Kurulu tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde PROCAT tarafından teknik ve idari tedbirler alınır.

A.    Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi sistemleri güncel halde tutulmakta, kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır. Çalışan için yetki matrisi oluşturulmuştur.
• Erişim logları düzenli olarak tutulmaktadır.
• Erişim yetki ve rol dağılımları için düzenlemeler oluşturulmakta ve uygulanmaktadır.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Görev değişikliği olan ya da işten ayrılan Çalışan’ın bu alandaki yetkileri kaldırılmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte, güvenlik duvarları kullanılmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kişisel verilerin güvenli olarak saklanmasını sağlayan yedekleme programları kullanılmakta ve elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

B.     İdari Tedbirler

• Çalışan için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışan için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Çalışan’a gizlilik sözleşmeleri imzalatılmaktadır.
• Çalışan’ın niteliği ve teknik bilgi/becerisi geliştirilmektedir.
• Procat düzenlemelerine uymayan Çalışan’a yönelik uygulanacak disiplin süreçleri uygulanmaktadır, İlgili Kişiler’i aydınlatma yükümlülüğü yerine getirilmekte, kurum içi periyodik ve rastgele denetimler yapılmakta ve Çalışan’a yönelik bilgi güvenliği eğitimleri verilmektedir.
• Gizlilik taahhütnameleri yapılmaktadır. İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• İletişim teknikleri ve ilgili mevzuatlar hakkında eğitimler verilmektedir.
• Kişisel veri güvenliği politikaları, talimatları ve prosedürleri belirlenmiştir.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel verilere hukuka aykırı erişilmesi önlenmektedir.
• Kişisel verilerin hukuka aykırı işlenmesi önlenmektedir.
• Kişisel verilerin muhafazası sağlanmaktadır.
• Kurum içi periyodik ve rastgele denetimler yapılmakta ve Çalışan’a yönelik bilgi güvenliği eğitimleri verilmektedir.

    V.            KİŞİSEL VERİLERİN İMHA TEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, PROCAT tarafından re’sen veya İlgili Kişi’nin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir veya anonimleştirilir.

A.    Kişisel Verilerin Silinmesi

Kişisel veriler, PROCAT tarafından veya gerekli görülür ise PROCAT’in belirlediği başkaca bir 3. kişi tarafından aşağıda belirtilen yöntemlerle imha edilir.

B.     Kişisel Verilerin Yok Edilmesi

Kişisel veriler, PROCAT tarafından aşağıda belirtilen yöntemlerle yok edilir.

Yukarıda sayılan durumların gerçekleşmesi sırasında PROCAT; KVKK, Yönetmelik ve ilgili diğer mevzuat hükümlerine veri güvenliğinin sağlanması amacıyla tam uyum sağlamakta ve gerekli tüm idari ve teknik tedbirleri almaktadır.

C.    Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi Kayıt Ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

 VI.            SAKLAMA ve İMHA SÜRELERİ

A.    Saklama Süresi

PROCAT tarafından, kişisel verilerin saklanma süreleri belirlenirken yürürlükte bulunan mevzuat ve süreç konusu verilerin işlenme amaçları göz önünde tutularak bir belirleme yapılmaktadır.

Saklama süreleri, her halükârda kanuni yükümlülükler ve ilgili zamanaşımı süreleri ışığında tespit edilmektedir.

Söz konusu saklama süreleri üzerinde, gerekmesi halinde PROCAT tarafından güncellemeler yapılabilmektedir. Veri işleme amacının ortadan kalkması halinde, verilerin tutulmasına olanak sağlayan başka bir hukuki sebep veya dayanak bulunmadığı sürece veriler silinmekte, yok edilmekte veya anonim hale getirilmektedir.

B.     İmha Süresi

Yönetmeliğin 11. maddesi gereğince PROCAT, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

VII.            POLİTİKANIN YAYINLANMASI ve SAKLANMASI

Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, resmi internet sayfasında açıklanır. Basılı kâğıt nüshası da PROCAT’de saklanır.

VIII.          POLİTİKANIN İHLALİ ve YAPTIRIMLAR

Bu Politika’nın ihlali halinde, Talimat gereğince; o tarihte geçerli disiplin süreci işletilerek, uyarma, kınama, para cezasının tahsili yoluna gidilebilir ve sözleşme feshi yaptırımlarından bir ya da birkaçı birden uygulanabilir, ayrıca yasal işlem başlatılabilir.

 IX.            POLİTİKANIN YÜRÜRLÜĞÜ

Procat tarafından düzenlenen İşbu Politika, 26.06.2020 tarihinde yürürlüğe girmiş olup, Politika’nın tamamının veya belirli maddelerinin yenilenmesi durumunda gerekli güncellemeler yapılacaktır.

İşbu Politika’nın uygulanmasını, güncellenmesini, duyurulmasını Komite yürütür.