KÝÞÝSEL VERÝ
SAKLAMA ve ÝMHA POLÝTÝKASI

AMACI

Ý.D.A ÝÞLETME DANIÞMANLIK ARACILIK HÝZMETLERÝ TURÝZM BÝLGÝSAYAR YAZILIM FUAR TASARIM ORGANÝZASYON TÝCARET LÝMÝTED ÞÝRKETÝ  (“Þirketimiz”) bu Kiþisel Veri Saklama ve Ýmha Politikasý  (“Saklama ve Ýmha Politikasý”) ile kiþisel verilerin 6698 sayýlý Kiþisel Verilerin Korunmasý Kanununa (“Kanun”) uygun olarak teknik ve idari korunmasý, kiþisel verilerin iþlenme þartlarýnýn ortadan kalkmasý halinde, 28/10/2017 tarihli Resmi Gazete’de yayýmlanan Kiþisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkýnda Yönetmelik (“Yönetmelik”) hükümlerinin uygulamasýný düzenlemek amacýyla çýkarýlmaktadýr.

KÝÞÝSEL VERÝLERÝN SAKLANDIÐI KAYIT ORTAMLARI

Veri sahiplerine ait kiþisel veriler, Þirketimiz tarafýndan aþaðýdaki listelenen ortamlarda baþta Kanun hükümleri olmak üzere ilgili mevzuata uygun olarak güvenli bir þekilde saklanmaktadýr:

Elektronik ortamlar:

• CRM
• MS SQL Server
• E-Posta Kutusu
• Microsoft Office Programlarý
• Görüntü Kayýt Cihazlarý

Fiziksel ortamlar:

• Birim Dolaplarý
• Klasörler
• Arþiv

SAKLAMAYI GEREKTÝREN SEBEPLERE ÝLÝÞKÝN AÇIKLAMALAR

Veri sahiplerine ait kiþisel veriler, Þirketimiz tarafýndan özellikle:

• Faaliyetlerin sürdürülebilmesi,
• Hukuki yükümlülüklerin yerine getirilebilmesi,
• Çalýþan haklarýnýn ve yan haklarýnýn planlanmasý ve ifasý,
• Ýþ iliþkilerinin yönetilebilmesi,

Amacýyla yukarýda sayýlan fiziki veyahut elektronik ortamlarda güvenli bir biçimde Kanun ve diðer ilgili mevzuatta belirtilen sýnýrlar çerçevesinde saklanmaktadýr.

Saklamayý gerektiren sebepler:

• Kiþisel verilerin sözleþmelerin kurulmasý ve ifasý ile doðrudan doðruya ilgili olmasý,
• Kiþisel verilerin bir hakkýn tesisi, kullanýlmasý veya korunmasý,
• Kiþisel verilerin kiþilerin temel hak ve özgürlüklerine zarar vermemek kaydýyla, Þirketimiz’in meþru menfaatinin olmasý,
• Kiþisel verilerin Þirketimiz’in herhangi bir hukuki yükümlülüðünü yerine getirmesi,
• Mevzuatta kiþisel verilerin saklanmasýnýn açýkça öngörülmesi,
• Veri sahiplerinin açýk rýzasýnýn alýnmasýný gerektiren saklama faaliyetleri açýsýndan veri sahiplerinin açýk rýzasýnýn bulunmasý.

Yönetmelik uyarýnca, aþaðýda sayýlan hallerde veri sahiplerine ait kiþisel veriler, Þirketimiz tarafýndan re’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:

• Kiþisel verilerin iþlenmesine veya saklanmasýna esas teþkil eden ilgili mevzuat hükümlerinin deðiþtirilmesi veya ilgasý,
• Kiþisel verilerin iþlenmesini veya saklanmasýný gerektiren amacýn ortadan kalkmasý,
• Kanun’un 5. ve 6. maddelerindeki kiþisel verilerin iþlenmesini gerektiren þartlarýn ortadan kalkmasý.
• Kiþisel verileri iþlemenin sadece açýk rýza þartýna istinaden gerçekleþtiði hallerde, ilgili kiþinin rýzasýný geri almasý,
• Ýlgili kiþinin, Kanun’un 11. Maddesinin 2 (e) ve (f) bentlerindeki haklarý çerçevesinde kiþisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine iliþkin yaptýðý baþvurunun veri sorumlusu tarafýndan kabul edilmesi,
• Veri sorumlusunun, ilgili kiþi tarafýndan kiþisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapýlan baþvuruyu reddetmesi, verdiði cevabýn yetersiz bulunmasý veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a þikâyette bulunulmasý ve bu talebin Kurul tarafýndan uygun bulunmasý,
• Kiþisel verilerin saklanmasýný gerektiren azami sürenin geçmiþ olmasýna raðmen, kiþisel verileri daha uzun süre saklamayý haklý kýlacak herhangi bir þartýn mevcut olmamasý.

KÝÞÝSEL VERÝLERÝN KORUNMASINA ÝLÝÞKÝN ALINAN TEDBÝRLER

Þirketimiz, Kanun’un 12. maddesine uygun olarak, iþlemekte olduðu kiþisel verilerin hukuka aykýrý olarak iþlenmesini önlemek, verilere hukuka aykýrý olarak eriþilmesini önlemek ve verilerin muhafazasýný saðlamak için uygun güvenlik düzeyini saðlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya yaptýrmaktadýr. Ýþlenen kiþisel verilerin teknik ve idari tüm tedbirler alýnmýþ olmasýna raðmen, kanuni olmayan yollarla üçüncü kiþiler tarafýndan ele geçirilmesi durumunda, Þirketimiz bu durumu mümkün olan en kýsa süre içerisinde ilgili birimlere haber verir.

4.1 Teknik Tedbirler

• Að güvenliði ve uygulama güvenliði saðlanmaktadýr.
• Að yoluyla kiþisel veri aktarýmlarýnda kapalý sistem að kullanýlmaktadýr.
• Anahtar yönetimi uygulanmaktadýr.
• Bilgi teknolojileri sistemleri tedarik, geliþtirme ve bakýmý kapsamýndaki güvenlik önlemleri alýnmaktadýr.
• Bulutta depolanan kiþisel verilerin güvenliði saðlanmaktadýr.
• Çalýþanlar için veri güvenliði hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalýþanlar için veri güvenliði konusunda belli aralýklarla eðitim ve farkýndalýk çalýþmalarý yapýlmaktadýr.
• Çalýþanlar için yetki matrisi oluþturulmuþtur.
• Eriþim loglarý düzenli olarak tutulmaktadýr.
• Gerektiðinde veri maskeleme önlemi uygulanmaktadýr.
• Eriþim, bilgi güvenliði, kullaným, saklama ve imha konularýnda kurumsal politikalar hazýrlanmýþ ve uygulamaya baþlanmýþtýr.
• Gizlilik taahhütnameleri yapýlmaktadýr.
• Görev deðiþikliði olan ya da iþten ayrýlan çalýþanlarýn bu alandaki yetkileri kaldýrýlmaktadýr.
• Güncel anti-virüs sistemleri kullanýlmaktadýr.
• Güvenlik duvarlarý kullanýlmaktadýr.
• Ýmzalanan sözleþmeler veri güvenliði hükümleri içermektedir.
• Kiþisel veri güvenliði politika ve prosedürleri belirlenmiþtir.
• Kiþisel veri güvenliði sorunlarý hýzlý bir þekilde raporlanmaktadýr.
• Kiþisel veri güvenliðinin takibi yapýlmaktadýr.
• Kiþisel veri içeren fiziksel ortamlara giriþ çýkýþlarla ilgili gerekli güvenlik önlemleri alýnmaktadýr.
• Kiþisel veri içeren fiziksel ortamlarýn dýþ risklere (yangýn, sel vb.) karþý güvenliði saðlanmaktadýr.
• Kiþisel veri içeren ortamlarýn güvenliði saðlanmaktadýr.
• Kiþisel veriler mümkün olduðunca azaltýlmaktadýr.
• Kiþisel veriler yedeklenmekte ve yedeklenen kiþisel verilerin güvenliði de saðlanmaktadýr.
• Kullanýcý hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunlarýn takibi de yapýlmaktadýr.
• Kurum içi periyodik ve/veya rastgele denetimler yapýlmakta ve yaptýrýlmaktadýr.
• Log kayýtlarý kullanýcý müdahalesi olmayacak þekilde tutulmaktadýr.
• Mevcut risk ve tehditler belirlenmiþtir.
• Özel nitelikli kiþisel veri güvenliðine yönelik protokol ve prosedürler belirlenmiþ ve uygulanmaktadýr.
• Özel nitelikli kiþisel veriler elektronik posta yoluyla gönderilecekse mutlaka þifreli olarak ve KEP veya kurumsal posta hesabý kullanýlarak gönderilmektedir.
• Saldýrý tespit ve önleme sistemleri kullanýlmaktadýr.
• Siber güvenlik önlemleri alýnmýþ olup uygulanmasý sürekli takip edilmektedir.
• Þifreleme yapýlmaktadýr.
• Taþýnabilir bellek, CD, DVD ortamýnda aktarýlan özel nitelikli kiþiler veriler þifrelenerek aktarýlmaktadýr.
• Veri iþleyen hizmet saðlayýcýlarýnýn veri güvenliði konusunda belli aralýklarla denetimi saðlanmaktadýr.
• Veri iþleyen hizmet saðlayýcýlarýnýn, veri güvenliði konusunda farkýndalýðý saðlanmaktadýr.
• Veri kaybý önleme yazýlýmlarý kullanýlmaktadýr.

4.2 Ýdari Tedbirler

• Çalýþanlar, kiþisel verilere hukuka aykýrý eriþimi engellemek için alýnacak teknik tedbirler konusunda eðitilmektedir.
• Ýþ birimi bazýnda kiþisel veri iþlenmesi hukuksal uyum gerekliliklerine uygun olarak Þirketimiz içinde kiþisel verilere eriþim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadýr. Eriþimin sýnýrlandýrýlmasýnda verinin özel nitelikli olup olmadýðý ve önem derecesi de dikkate alýnýr.
• Þirketimiz personeli ile arasýndaki iliþkiyi düzenleyen ve kiþisel veri içeren her türlü belgeye kiþisel verilerin hukuka uygun olarak iþlenmesi için Kanun ile öngörülen yükümlülüklere uygun hareket edilmesi gerektiði, kiþisel verilerin ifþa edilmemesi gerektiði, kiþisel verilerin hukuka aykýrý olarak kullanýlmamasý gerektiði ve kiþisel verilere iliþkin gizlilik yükümlülüðünün  Þirketimiz  ile olan iþ akdinin sona ermesinden sonra dahi devam ettiði yönünde kayýtlar eklemiþtir.
• Çalýþanlar, öðrendikleri kiþisel verileri Kanun hükümlerine aykýrý olarak baþkasýna açýklayamayacaðý ve iþleme amacý dýþýnda kullanamayacaðý ve bu yükümlülüðün görevden ayrýlmalarýndan sonrada devam edeceði konusunda bilgilendirilmekte ve bu doðrultuda kendilerinden gerekli taahhütler alýnmaktadýr.
• Þirketimiz tarafýndan kiþisel verilerin hukuka uygun olarak aktarýldýðý kiþiler ile akdedilen sözleþmelere; kiþisel verilerin aktarýldýðý kiþilerin, kiþisel verilerin korunmasý amacýyla gerekli güvenlik tedbirlerini alacaðýna ve kendi kuruluþlarýnda bu tedbirlere uyulmasýný saðlayacaðýna iliþkin hükümler eklenmektedir.
• Ýþlenen kiþisel verilerin hukuka aykýrý yollarla baþkalarý tarafýndan elde edilmesi hâlinde, bu durumu en kýsa sürede ilgilisine ve Kurul’a bildirir.
• Gerekli hallerde kiþisel verilerin iþlenmesi hakkýnda bilgili ve deneyimli personel istihdam eder ve personeline kiþisel verilerin korunmasý mevzuatý ve veri güvenliði kapsamýnda eðitimleri verir.
• Þirketimiz, Kanun hükümlerinin uygulanmasýný saðlamak amacýyla gerekli denetimleri yapar ve yaptýrýr. Denetimler sonucunda ortaya çýkan gizlilik ve güvenlik zafiyetlerini giderir.

KÝÞÝSEL VERÝLERÝN ÝMHA EDÝLMESÝNE ÝLÝÞKÝN ALINAN TEDBÝRLER

Þirketimiz ilgili kanun hükümlerine uygun olarak iþlenmiþ olmasýna raðmen, iþlenmesini gerektiren sebeplerin ortadan kalkmasý hâlinde kendi kararýna istinaden veya kiþisel veri sahibinin talebi üzerine kiþisel verileri silebilir veya yok edebilir. Kiþisel verilerin silinmesi akabinde ilgili kiþiler hiçbir þekilde silinen verilere tekrardan eriþilemeyecek ve kullanýlmayacaktýr. Þirketimiz tarafýndan kiþisel verilerin imha süreçlerinin tanýmlanmasý ve takip edilmesine iliþkin etkin bir veri takip süreci yönetilecektir. Yürütülen süreç sýrasý ile silinecek verilerin tespit edilmesi, ilgili kiþilerin tespiti, kiþilerin eriþim yöntemlerinin tespiti ve hemen akabinde verilerin silinmesi olacaktýr.

Þirketimiz kiþisel verileri yok etmek, silmek veya anonim hale getirmek için verilerin kaydedildiði ortama baðlý olarak aþaðýda belirtilen yöntemlerin bir veya birkaçýný kullanabilir:

Kiþisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesine Ýliþkin Yöntemler

• Kiþisel Verilerin Silinmesi

Kiþisel verilerin silinmesi, kiþisel verilerin ilgili kullanýcýlar için hiçbir þekilde eriþilemez ve tekrar kullanýlamaz hale getirilmesi iþlemidir. Kiþisel verilerin silinmesi yöntemi olarak Þirketimiz aþaðýdaki yöntemlerden bir veya birkaçýný kullanabilir:

• Kaðýt ortamýnda bulunan kiþisel veriler karartma yöntemi ile çizilerek, boyanarak, kesilerek veya silinerek iþlem uygulanacaktýr.
• Merkezi dosyada yer alan ofis dosyalarý için kullanýcý(lar)nýn eriþim hakký(larý) ortadan kaldýrýlacaktýr.
• Veri tabanlarýnda bulunan kiþisel bilgilerin bulunduðu satýrlar yahut sütunlar ‘Delete’ komutu ile silinecektir.

Gerekli olduðu zaman bir uzman tarafýndan yardým alýnarak güvenli olarak silinecektir.

Kiþisel Verilerin Yok Edilmesi

Kiþisel verilerin yok edilmesi, kiþisel verilerin aþaðýdaki yöntemlerle hiç kimse tarafýndan hiçbir þekilde eriþilemez, geri getirilemez ve tekrar kullanýlamaz hale getirilmesi iþlemidir.

Fiziksel Yok Etme
Kaðýt Ýmha Makinesi ile Yok Etme
De-manyetize Etme: Manyetik medyanýn yüksek manyetik alanlara maruz kalacaðý özel cihazlardan geçirilerek üzerindeki verilerin okunamaz bir biçimde bozulmasý yöntemidir.

Kiþisel Verileri Anonim Hale Getirilmesi

Kiþisel verilerin anonim hale getirilmesi, kiþisel verilerin baþka verilerle eþleþtirilerek dahi hiçbir surette kimliði belirli veya belirlenebilir bir gerçek kiþiyle iliþkilendirilemeyecek hâle getirilmesini ifade eder. Þirketimiz kiþisel verileri anonim hale getirmek için aþaðýda belirtilen yöntemlerin bir veya birkaçýný kullanabilir:
Maskeleme (Masking): Veri maskeleme ile kiþisel verinin temel belirleyici bilgisini veri seti içerisinden çýkartýlarak kiþisel verinin anonim hale getirilmesi yöntemidir.

Kayýtlarý Çýkartma: Kayýttan çýkarma yönteminde veriler arasýnda tekillik ihtiva eden veri satýrý kayýtlar arasýndan çýkarýlarak saklanan veriler anonim hale getirilmektedir.

Bölgesel Gizleme: Bölgesel gizleme yönteminde ise tek bir verinin çok az görülebilir bir kombinasyon yaratmasý sebebi ile belirleyici niteliði mevcut ise ilgili verinin gizlenmesi anonimleþtirmeyi saðlamaktadýr.

Global Kodlama: Veri türetme yöntemi ile kiþisel verinin içeriðinden daha genel bir içerik oluþturulmakta ve kiþisel verinin herhangi bir kiþiyle iliþkilendirilemeyecek hale getirilmesi saðlanmaktadýr. Örneðin; doðum tarihleri yerine yaþlarýn belirtilmesi; açýk adres yerine ikamet edilen bölgenin belirtilmesi.

Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayýsal verilerin aðýrlýklý olduðu bir veri setinde mevcut verilere belirlenen oranda artý veya eksi yönde birtakým sapmalar eklenerek veriler anonim hale getirilmektedir. Örneðin, kilo deðerlerinin olduðu bir veri grubunda (+/-) 3 kg sapmasý kullanýlarak gerçek deðerlerin görüntülenmesi engellenmiþ ve veriler anonimleþtirilmiþ olur. Sapma her deðere eþit ölçüde uygulanýr.

Kanun’un 28. maddesine uygun olarak; anonim hale getirilmiþ olan kiþisel veriler araþtýrma, planlama ve istatistik gibi amaçlarla iþlenebilir. Bu tür iþlemeler Kanun kapsamý dýþýnda olup, kiþisel veri sahibinin açýk rýzasý aranmayacaktýr.

Þirketimiz kiþisel verinin silinmesi, yok edilmesi veya anonim hale getirilmesine iliþkin re’sen karar alabilecek ve seçmiþ olduðu kategoriye göre kullanacaðý yöntemi de serbestçe belirleyebilecektir. Ayrýca Yönetmelik’in 13. maddesi kapsamýnda ilgili kiþinin baþvuru esnasýnda kendisine ait kiþisel verinin silinmesi, yok edilmesi yahut anonim hale getirilmesi kategorilerinden birini seçmesi halinde de ilgili kategoride kullanýlacak yöntemler konusunda Þirketimiz serbesti içinde olacaktýr.

KÝÞÝSEL VERÝLERÝ SAKLAMA VE ÝMHA SÜRELERÝ

Þirketimiz, kiþisel verileri iþlendikleri amaç için Ek-1’de belirtilen süreler boyunca saklar. Mevzuatta söz konusu kiþisel verinin saklanmasýna iliþkin olarak bir süre öngörülmüþ ise bu süreye riayet edilir. Mevzuatta öngörülmüþ bir süre olmamasý halinde kiþisel veriler Ek-1’deki tabloda yer alan kiþisel verilerin tutulmasý için azami süre boyunca saklanacaktýr. Bu süreler; Þirketimiz’in veri kategorileri ve veri sahibi kiþi gruplarý deðerlendirilerek; bu deðerlendirme sonucu elde edilen verilerin kanunlarda yer alan yükümlülüklerin yerine getirilmesini saðlayacak ve azami Türk Borçlar Kanunu’nda yer alan zamanaþýmý süresi (10 yýl) gözetilerek belirlenmiþtir.

Bu sürelerin sona ermesi dolayýsýyla silme, yok etme veya anonim hale getirme yükümlülüðünün ortaya çýktýðý durumda Þirketimiz bu tarihi takip eden ilk periyodik imha iþleminde kiþisel verileri siler, yok eder veya anonim hale getirir.
Kiþisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapýlan bütün iþlemler kayýt altýna alýnýr ve söz konusu kayýtlar, diðer hukuki yükümlülükler hariç olmak üzere en az üç yýl süreyle saklanýr.

PERÝYODÝK ÝMHA SÜRELERÝ

Yönetmeliðin 11 inci maddesi gereðince, periyodik imha süresini 6 ay olarak belirlenmiþtir. Buna göre, her yýl Haziran ve Aralýk aylarýnda periyodik imha iþlemi gerçekleþtirilir. Söz konusu sistemlerde bilgilerin tekrar geri getirilmeyecek þekilde, verilerin kaydedildiði varsa evrak, dosya, CD, disket, hard disk gibi araçlardan geri dönüþtürülmeyecek þekilde silinecektir.

PERSONEL

Kanun kapsamýnda Þirketimiz veri sorumlusu sýfatýyla, Yönetmelik’in 11. maddesinin 1. fýkrasýna dayanarak, Kanunun veri saklama ve imha süreci uygulanmasý bakýmýndan yükümlülükleri yerine getirilecek personelin unvanlarý, birimleri ve görev tanýmlarý Saklama ve Ýmha Politikasý Ek-2’de yer alan tablo ile belirlenmiþtir.
Sýnýrlarý belirlenmiþ bu kiþiler Türk Ticaret Kanunu, Borçlar Kanunu ve Türk Ceza Kanunu kapsamýnda kendi yetki sýnýrlarý içinde gerçekleþen iþlem ve eylemlerden sorumludur. Özellikle Kollukta, Savcýlýklarda, kamu kurumlarýnda ve mahkemelerde Þirketimiz’i temsil etme ile ifade vermeye yetkili olarak Þirketimiz Kiþisel Verileri Koruma Komitesi Baþkaný seçilmiþtir. Her bir departman sorumlusu, departmanlardaki ilgili kullanýcýlarýn Kanun ve Yönetmelik çerçevesinde hazýrlanan Saklama ve Ýmha Politikasý ve Kiþisel Veri Politikasý’na uygun davranýp davranmadýðýný denetlemekle yükümlü olacaktýr. Tüm departman sorumlularý belirtilen periyodik imha sürelerinde iþbu Saklama ve Ýmha Politikasý doðrultusunda gerçekleþtirdiði iþlemleri Þirketimiz Kiþisel Verileri Koruma Komitesi Baþkaný’na raporlayacaktýr. Bu raporlar için yapýlan çalýþma sonuçlarýnda çýkan karar uygulamaya konulacaktýr.

REVÝZYON VE YÜRÜRLÜKTEN KALDIRMA

Saklama ve Ýmha Politikasý’nýn deðiþtirilmesi, yürürlükten kaldýrýlmasý halinde yeni düzenleme Þirketimiz internet sitesinden ilan edilecektir.

YÜRÜRLÜK

Bu Saklama ve Ýmha Politikasý yayýnlandýðý tarihinde yürürlüðe girer.

EKLER
EK 1-Veri Saklama ve Ýmha Süreleri
EK 2- Kiþisel Veri Saklama, Ýmha ile Görevli Personel Tablosu
EK 3- Kiþisel Verileri Koruma Komitesi Ýç Yönergesi

EK 1- Veri Saklama ve Ýmha Süreleri

EK 2-Kiþisel Veri Saklama, Ýmha ile Görevli Personel Tablosu