Özel Nitelikli Kişisel Verilerin Korunması Politikası - Procat

I.  GİRİŞ

A. Amaç ve Kapsam

İşbu Politika’nın amacı, özel nitelikli kişisel verilerin aktarılması, depolanması, imha edilmesi ve saklanması gibi her türlü veri işleme faaliyetlerindeki prensiplerin, KVKK ve “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili Kişisel Verileri Koruma Kurulu’nun 31.01.2018 tarihli ve 2018/10 sayılı kararının belirttiği usul ve esaslara göre belirlenmesidir.

Politika hükümleri, PROCAT’in faaliyet konuları ve çalışma alanlarında Özel Nitelikli Kişisel Verilerin işlenmesi süreçlerine dahil olabilecek tüm bilgi sistemlerini ve alt bilgileri, sözleşmeleri, çevre ve fiziksel alanları ve tüm bunlar için üretilen sistem ve düzenlemeleri ve kişisel verileri işlediği herhangi bir sürece dâhil olan Hissedar / Ortak, Çalışan, Çalışan Adayı, Stajyer, Veli / Vasi / Temsilci, Tedarikçi Çalışanı, Tedarikçi Yetkilisi, Çalışan Yakını Ürün veya Hizmet Alan Kişi, Potansiyel Ürün veya Hizmet Alıcısı, Yetkili Kamu Kurum ve Kuruluşları,  Ticaret ve İş İlişkisi İçinde Bulunduğu Kurum ve Kuruluşların Çalışanları ile Yetkilileri, kişisel verilerini işlediği herhangi bir sürece dâhil olan diğer 3. Kişilere ait Özel Nitelikli Kişisel Verileri kapsamaktadır.

B.     Tanımlar

    II.             GÖREV ve SORUMLULUKLAR

A.    Çalışanın Görev ve Sorumlulukları

Özel Nitelikli Kişisel Veri işleyen, Politika’da belirtilen sorumluluklarına ek olarak aşağıdaki konulardan da sorumludurlar:

• İlgili diğer PROCAT düzenlemelerine uyumlu davranılması,
• Görev ve sorumlulukların Politika’da yer alan kurallara uygun olarak yerine getirilmesi.

Çalışan, PROCAT tarafından işlenen ve kendi sorumluluklarında olan verilerin güvenli olarak tutulmasını ve KVKK kapsamında Gizlilik Taahhütnamesi’ne ve ilgili PROCAT düzenlemelerine uyulmadığı sürece üçüncü tarafa herhangi bir özel nitelikli kişisel verinin açıklanmamasını sağlamakla yükümlüdür.

B.     Komitenin Görev ve Sorumlulukları

Komite’nin sorumlulukları, Talimat’ın 2. maddesinin A ve C fıkralarında belirtilmiştir:

• Bu Politika’ya yönelik ihlallerin Yönetim Kurulu’na raporlanması,
• Çalışan’a Politika kapsamında oluşturulan süreçlerin uygulanması için destek olunması,
• Komite bir veri ihlali tespit ederse KVK Kuruluna bildirimin yapılması için İrtibat Kişisine talimat verir,
• Özel Nitelikli Kişisel Veri işleme konularının ve gelişmelerin, diğer PROCAT düzenlemelerinin Çalışan’a uygun bir şekilde iletilmesi,
• Özel Nitelikli Kişisel Veri işleme süreçlerinin Politika’ya göre düzenlemesi ve ilgili iş birimlerince uygulanmasının koordine edilmesi,
• Özel Nitelikli Kişisel Veri koruma sisteminin yönetilmesi, KVKK ve sair ilgili mevzuata uyumun sağlanması ve belgelenmesi konularında görevli birimlerin denetlenmesi ve bu konularda 6 aylık periyodik sürelerle Yönetim Kurulu’na karşı raporlanması,
• Özel Nitelikli Kişisel Verilerin bulunduğu sistemlerin idari, teknik ve fiziksel güvenlik kontrollerinin geliştirilmesi ve kapsamda oluşturulan diğer PROCAT düzenlemelerine uyumun sağlanması,
• Özel Nitelikli Kişisel Verilerin işleme prensiplerinin geliştirilmesi, uygulanması ve güncellenmesine yönelik bir çerçeve oluşturulması ve sürdürülmesinde ilgili birimler ile birlikte çalışarak gerekli tedbirlerin ve eğitimlerin alınmasının sağlanması,
• Özel Nitelikli Kişisel Verilerin işlenmesi söz konusu olan; yeni ürün ve hizmetlerin geliştirilmesi sürecinde yer alınması, işleme gereksinimlerinin belirlenmesine, yeni ürün veya hizmet üretim ortamına uygulanmadan önce konu hakkında görüş ve önerilerde bulunulması,
• Özel Nitelikli Kişisel Verilerin işlenmesine yönelik ihlaller ile ilgili şikâyetlerin raporlanması, cevaplanması ve çözümlerin koordine edilebilmesinde temel rol üstlenilmesi,
• Politika’nın uygulanması, oluşturulması ve güncellenmesinin sağlanması,
• Sistemlerde bulunan ya da işlenilen özel nitelikli kişisel verilerin korunması, güncel durumlarının değerlendirilmesi için teknolojik gelişmelerin takip edilmesi ve yapılacak değişikliklerin uygulanması,
• Yetkili iş birimleriyle birlikte çalışarak, özel nitelikli kişisel verilerin bulunduğu sistemlerde iyileştirmelerin ve güvenlik değerlendirmelerinin yapılmasının sağlanması.

 III.            ÖZEL NİTELİKLİ KİŞİSEL VERİ GÜVENLİĞİ

Özel Nitelikli Kişisel Verilere, yalnızca ilgili verilere erişimi yetkisi olanlar erişebilmelidir. Erişimler, ilgili PROCAT düzenlemeleri uyarınca sağlanır.

Özel Nitelikli Kişisel Verilere ilişkin bilgi güvenliği durumları Komite tarafından en kısa süre içerisinde değerlendirilir ve Yönetim Kurulu’na raporlanır. Komite bir veri ihlali tespit ederse KVK Kuruluna bildirimin yapılması için İrtibat Kişisine talimat verir,

 IV.            ÇALIŞANA YÖNELİK GÜVENLİK ÖNLEMLERİNİN ALINMASI

İnsan Kaynakları ve İdari İşler Birimi, İş Sağlığı ve Güvenliği Birimi, İş Yeri Hekimi ve Muhasebe Biriminde Özel Nitelikli Kişisel Veri işlemek suretiyle iş süreçlerini yürüten iş birimlerinde bulunan Çalışan hakkında;

• Yukarıda sayılan ilgili birimlere yılda bir kişisel verilerin güvenliği konusunda eğitimlerin verilmesi,
• Gizlilik sözleşmeleri yapılması,
• Özel Nitelikli Kişisel Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması ve periyodik olarak yetki kontrollerinin gerçekleştirilmesi, gerekir.

Görev değişikliği olan ya da işten ayrılan Çalışan’ın bu alandaki yetkilerinin derhal kaldırılması, mevcut hesaplarının derhal kapatılması gerekmektedir. Bu kapsamda, Veri Sorumlusu tarafından Çalışan’a tahsis edilen kişisel veri barındıran envanterlerin (bilgisayar, harddisk, dosya, klasör vb.) iade alınması sağlanmalıdır.

    V.            ELEKTRONİK ORTAMLARDA GÜVENLİK ÖNLEMLERİNİN ALINMASI

Söz konusu verilerin işlendiği, muhafaza edildiği ve / veya erişildiği ortamlar, elektronik ortam ise;

• Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi,
• Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması,
• Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması,
• Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
• Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
• Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması, gerekmektedir.

 VI.            FİZİKİ ORTAMLARDA GÜVENLİK ÖNLEMLERİNİN ALINMASI

Verilerin işlendiği, muhafaza edildiği ve / veya erişildiği ortamlar, fiziki ortam ise;

• Özel Nitelikli Kişisel Verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması,
• Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi, gerekmektedir.

VII.            ÖZEL NİTELİKLİ KİŞİSEL VERİ PAYLAŞIMI

Özel Nitelikli Kişisel Veriler ancak İlgili Kişi’nin Açık Rızası veya KVKK’nın 6. maddesinin 3. fıkrasında bulunan istisnalar kapsamında hukuka ve hakkaniyete uygun olarak üçüncü kişilerle paylaşılabilir.

Buna göre kişisel verilerin paylaşılabilmesi için aşağıdaki koşullardan birinin bulunması aranır:

• Veri sahibin açık rızasının alınmış olması,
• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler için kişisel verilerin işlenmesi durumlarının kanunlarda açıkça öngörülmesi,
• Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler ise kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilir.

Özel Nitelikli Kişisel Verilerin paylaşılması durumunda aşağıda belirtilen önlemler alınacak ve bu kapsamda aktarım faaliyetleri yerine getirilecektir:

• Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması,
• Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması,
• Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı gerçekleştirilmesi.

Kişisel Verilerin kâğıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınması; evrak “Gizli” ibaresi taşıyacak şekilde ve gizlilik dereceli belgeler için kullanılan formatta gönderilmesi gerekmektedir.

Yukarıda belirtilen önlemlerin yanı sıra KVK Kurulu’nun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberi’nde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de takip edilerek dikkate alınacak ve ilgili bölüm ve Çalışan konu hakkında bilgilendirilecektir.

VIII.            POLİTİKANIN YÜRÜRLÜĞÜ

Komite tarafından düzenlenen İşbu Politika, 26.06.2020 tarihinde yürürlüğe girmiş olup, Politika’nın tamamının veya belirli maddelerinin yenilenmesi durumunda gerekli güncellemeler yapılacaktır.

İşbu Politika’nın uygulanmasını, güncellenmesini, duyurulmasını Komite yürütür.