ÖZEL STORE ÅžAHIS ŞİRKETÄ°
KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI
1.GÄ°RÄ°Åž
1.1 Amaç
Ä°ÅŸbu KiÅŸisel Veri Saklama ve Ä°mha Politikası (“Politika”) yürürlükteki mevzuat çerçevesinde Özel Store Åžahıs Åžirketi’nin (Bundan sonra “Åžirket” olarak anılacaktır.) tamamına uygulanmakta ve kiÅŸisel veri imha ile ilgili ulusal olarak kabul görmüÅŸ temel ilkelere dayanmaktadır. Ä°lgili mevzuat kapsamında gerekli imha çalışmalarının yapılmasına iliÅŸkin çerçeve ve esasları içermektedir.
KiÅŸiler Verilerin Korunması Kanunu’nun (“Kanun”) 7nci maddesinin üçüncü fıkrasında “KiÅŸisel verilerin silinmesine, yok edilmesine veya anonim hale getirilmesine iliÅŸkin usul ve esaslar yönetmelikle düzenlenir” hükmü yer almaktadır. Bu hüküm ve Kanun’un 22 nci maddesinin birinci fıkrasının (e) bendine istinaden KiÅŸisel Verileri Koruma Kurulu (“Kurul”) tarafından KiÅŸisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hazırlanmış olup 28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanmıştır.
Yukarıdaki düzenlemeye dayanarak, bu Politikanın amacı, Åžirketin faaliyetlerinin yürütülmesinde iÅŸlediÄŸi kiÅŸisel verilerin, YönetmeliÄŸe uygun ÅŸekilde silinmesi, yok edilmesi veya anonim hale getirilmesine iliÅŸkin usul ve esasları belirlemektir.
1.2.Kapsam
Åžirkette görev yapmakta olan çalışanların, çalışan adaylarının, ziyaretçilerin, iÅŸbirliÄŸi içerisinde olduÄŸumuz üçüncü kiÅŸilerin ve üçüncü kiÅŸilerin çalışanlarına ait kiÅŸisel veriler bu Politika kapsamında olup Åžirketin sahip olduÄŸu ya da Åžirket tarafından yönetilen kiÅŸisel verilerin iÅŸlendiÄŸi tüm kayıt ortamları ve kiÅŸisel veri iÅŸlenmesine yönelik faaliyetlerde bu Politika uygulanır.
1.3. Kısaltmalar ve Tanımlar
2. SORUMLULUK ve GÖREV DAÄžILIMLARI
Åžirketin tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereÄŸi gibi uygulanması, birim çalışanlarının eÄŸitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kiÅŸisel verilerin hukuka aykırı olarak iÅŸlenmesinin önlenmesi, kiÅŸisel verilere hukuka aykırı olarak eriÅŸilmesinin önlenmesi ve kiÅŸisel verilerin hukuka uygun saklanmasının saÄŸlanması amacıyla kiÅŸisel veri iÅŸlenen tüm ortamlarda veri güvenliÄŸini saÄŸlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.
KiÅŸisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım aÅŸağıda verilmiÅŸtir.
Tablo 1: Saklama ve imha süreçleri görev dağılımları
3.KAYIT ORTAMLARI
KiÅŸisel veriler, Kurum tarafından Tablo 2’de listelenen ortamlarda hukuka uygun olarak güvenli bir ÅŸekilde saklanır.
Tablo 2: Kişisel veri saklama ortamları:
4. SAKLAMA VE Ä°MHAYA Ä°LÄ°ÅžKÄ°N AÇIKLAMALAR
Åžirket tarafından; çalışan, çalışan adayı, tedarikçi, tedarikçi yetkilisi, tedarikçi çalışanı, ürün veya hizmet alan kiÅŸi, ürün veya hizmet alan kiÅŸi yakını, potansiyel ürün veya hizmet alıcısı, hissedar/ortak, ziyaretçi ve sair üçüncü kiÅŸiler dahil gerçek kiÅŸilerin kiÅŸisel verileri KVKK’ya uygun olarak saklanır ve imha edilir.
Bu kapsamda saklama ve imhaya iliÅŸkin detaylı açıklamalara aÅŸağıda sırasıyla yer verilmiÅŸtir.
4.1 Saklamaya Ä°liÅŸkin Açıklamalar
Kanunun 3 üncü maddesinde kiÅŸisel verilerin iÅŸlenmesi kavramı tanımlanmış, 4 üncü maddesinde iÅŸlenen kiÅŸisel verinin iÅŸlendikleri amaçla baÄŸlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya iÅŸlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiÄŸi belirtilmiÅŸ, 5 ve 6 ncı maddelerde ise kiÅŸisel verilerin iÅŸleme ÅŸartları sayılmıştır.
Buna göre, Åžirket faaliyetleri çerçevesinde kiÅŸisel veriler, ilgili mevzuatta öngörülen veya iÅŸleme amaçlarımıza uygun süre kadar saklanır.
4.1.1 Saklamayı Gerektiren Hukuki Sebepler
Åžirket, faaliyetleri çerçevesinde iÅŸlenen kiÅŸisel verileri, ilgili mevzuatta öngörülen süre kadar muhafaza eder. Bu kapsamda kiÅŸisel veriler;
-
213 sayılı Vergi Usul Kanunu
-
4857 sayılı İş Kanunu
-
5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
-
5651 sayılı Ä°nternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla Ä°ÅŸlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
-
6098 sayılı Türk Borçlar Kanunu
-
6102 sayılı Türk Ticaret Kanunu
-
6361 sayılı Ä°ÅŸ SaÄŸlığı ve GüvenliÄŸi Kanunu
-
6698 sayılı Kişisel Verilerin Korunması Kanunu
baÅŸta olmak üzere yürürlükte olan diÄŸer ikincil mevzuatta yer alan saklama süreleri kadar saklanmaktadır.
4.1.2. Saklamayı Gerektiren Ä°ÅŸleme Amaçları
Åžirket, faaliyetleri çerçevesinde iÅŸlemekte olduÄŸu kiÅŸisel verileri aÅŸağıdaki amaçlar doÄŸrultusunda saklar:
-
Çalışan adayı / stajyer / öÄŸrenci seçme ve yerleÅŸtirme süreçlerinin yürütülmesi,
-
Çalışan adayların baÅŸvuru süreçlerinin yürütülmesi
-
Çalışanlar için iÅŸ akdi ve mevzuatlardan kaynaklı yükümlülüklerin yerine getirilmesi
-
Çalışanlar için yan haklar ve menfaatleri süreçlerinin yürütülmesi
-
Denetim / Etik faaliyetlerin yürütülmesi
-
Faaliyetlerin mevzuata uygun yürütülmesi
-
Finans ve muhasebe iÅŸlerinin yürütülmesi
-
Fiziksel mekan güvenliÄŸi temini
-
Hukuk iÅŸlerinin takibi ve yürütülmesi
-
Ä°ç Denetim/ SoruÅŸturma /Ä°stihbarat Faaliyetlerinin Yürütülmesi
-
Ä°letiÅŸim faaliyetlerinin yürütülmesi
-
Ä°nsan kaynakları süreçlerini yürütmek
-
Ä°ÅŸ saÄŸlığı/güvenliÄŸi faaliyetlerinin yürütülmesi
-
Ä°ÅŸ sürekliliÄŸinin saÄŸlanması faaliyetlerinin yürütülmesi
-
Lojistik Faaliyetlerinin Yürütülmesi
-
Mal/hizmet satın alım süreçlerinin yürütülmesi
-
Mal/hizmet satış süreçlerinin yürütülmesi
-
SözleÅŸme süreçlerinin yürütülmesi
-
Tedarik zinciri yönetimi süreçlerinin yürütülmesi
-
Ücret politikasının yürütülmesi
-
Veri sorumlusu operasyonlarının güvenliÄŸinin temini
-
Yetkili kiÅŸi, kurum ve kuruluÅŸlara bilgi verilmesi
-
Yönetim faaliyetlerinin yürütülmesi
4.2. İmhayı Gerektiren Sebepler
KiÅŸisel veriler;
-
Ä°ÅŸlenmesine esas teÅŸkil eden ilgili mevzuat hükümlerinin deÄŸiÅŸtirilmesi veya ilgası,
-
İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
-
KiÅŸisel verileri iÅŸlemenin sadece açık rıza ÅŸartına istinaden gerçekleÅŸtiÄŸi hallerde, ilgili kiÅŸini açık rızasını geri alması,
-
KVKK’nın 11. maddesi gereÄŸi ilgili kiÅŸinin hakları çerçevesinde kiÅŸisel verilerin silinmesi ve yok edilmesine iliÅŸkin yaptığı baÅŸvurunun kabul edilmesi,
-
Åžirketin, ilgili kiÅŸi tarafından kiÅŸisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan baÅŸvuruyu reddetmesi, verdiÄŸi cevabı yetersiz bulması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a ÅŸikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması ve
-
KiÅŸisel verilerin saklanmasını gerektiren azami sürenin geçmiÅŸ olması ve kiÅŸisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir ÅŸartın mevcut olmaması
durumlarında, Åžirket tarafından ilgili kiÅŸinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.
5. TEKNÄ°K VE Ä°DARÄ° TEDBÄ°RLER
KiÅŸisel verilerin güvenli bir ÅŸekilde saklanması, hukuka aykırı olarak iÅŸlenmesi ve eriÅŸilmesinin önlenmesi ile kiÅŸisel verilerin hukuka uygun olarak imha edilmesi için KVKK’nın 12. maddesi ile 6. maddesinin 4. fıkrası gereÄŸi özel nitelikli kiÅŸisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Åžirket tarafından teknik ve idari tedbirler alınır.
5.1. Teknik Tedbirler
Şirket tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır;
-
Anahtar yönetimi uygulanmaktadır.
-
KiÅŸisel veriler yedeklenmekte ve yedeklenen kiÅŸisel verilerin güvenliÄŸi de saÄŸlanmaktadır.
-
Güncel anti-virüs sistemleri kullanılmaktadır.
-
Güvenlik duvarları kullanılmaktadır.
-
Şifreleme yapılmaktadır.
5.2. Ä°dari Tedbirler
Şirket tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır;
-
Görev deÄŸiÅŸikliÄŸi olan ya da iÅŸten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
-
Gizlilik taahhütnameleri yapılmaktadır.
-
KiÅŸisel veri içeren fiziksel ortamlara giriÅŸ çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
-
KiÅŸisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliÄŸi saÄŸlanmaktadır.
-
KiÅŸisel veri içeren ortamların güvenliÄŸi saÄŸlanmaktadır.
-
KiÅŸisel veriler mümkün olduÄŸunca azaltılmaktadır.
6. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
Ä°lgili mevzuatta öngörülen süre ya da iÅŸlendikleri amaç için gerekli olan saklama süresinin sonunda kiÅŸisel veriler, Åžirket tarafından re’sen veya ilgili kiÅŸinin baÅŸvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aÅŸağıda belirtilen tekniklerle imha edilir.
6.1. KiÅŸisel Verilerin Silinmesi
KiÅŸisel veriler Tablo-3’te verilen yöntemlerle silinir.
​
Tablo 3: KiÅŸisel verilerin silinmesi
6.2. KiÅŸisel Verilerin Yok Edilmesi
Åžirket olarak, kiÅŸisel verilerin hukuka uygun olarak yok edilmesi iÅŸlemini gerçekleÅŸtirebilmek amacıyla tarafımızca kullanılan yöntemler ÅŸu ÅŸekildedir:
​
Tablo 4: KiÅŸisel Verilerin Yok Edilmesi
6.3. KiÅŸisel Verilerin Anonim Hale Getirilmesi
KiÅŸisel verilerin anonim hale getirilmesi, kiÅŸisel verilerin baÅŸka verilerle eÅŸleÅŸtirilse dahi hiçbir surette kimliÄŸi belirli veya belirlenebilir bir gerçek kiÅŸiyle iliÅŸkilendirilmeyecek hale getirilmesidir.
KiÅŸisel verilerin anonim hale getirilmiÅŸ olması için; kiÅŸisel verilerin, veri sorumlusu veya üçüncü kiÅŸiler tarafından geri döndürülmesi ve/veya verilerin baÅŸka verilerle eÅŸleÅŸtirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliÄŸi belirli veya belirlenebilir bir gerçek kiÅŸiyle iliÅŸkilendirilemez hale getirilmesi gerekir.
7. SAKLAMA VE Ä°MHA SÜRELERÄ°
Şirket tarafından, faaliyetler kapsamında işlenmekte olan kişisel verilerle ilgili olarak;
-
Süreçlere baÄŸlı olarak gerçekleÅŸtirilen faaliyetler kapsamındaki tüm kiÅŸisel verilerle ilgili kiÅŸisel veri bazında saklama süreleri KiÅŸisel Veri Ä°ÅŸleme Envanterinde;
-
Veri kategorileri bazında saklama süreleri VERBÄ°S’e kayıtta;
-
Süreç bazında saklama süreleri ise iÅŸ bu KiÅŸisel Veri Saklama ve Ä°mha Politikasında yer alır.
KiÅŸisel verilerin imha süreci, Åžirket tarafından her bir iliÅŸkiye uygun olarak ilgili mevzuat gözetilerek belirlenmiÅŸ olan saklama süreleri doÄŸrultusunda yürütülmektedir. Saklama süreleri sona eren kiÅŸisel veriler, Åžirket tarafından belirlenmiÅŸ olan periyodik imha sürelerinde silinir, yok edilir veya anonim hale getirilir.
Tablo 5: Süreç Bazında Saklama ve Ä°mha Süreleri Tablosu
​Saklama süreleri sona eren kiÅŸisel veriler için re’sen silme, yok etme veya anonim hale getirme iÅŸlemi “2.SORUMLULUK VE GÖREV DAÄžILIMLARI” baÅŸlığı altında yer verilen departmanlar tarafından yerine getirilir.
8. PERÄ°YODÄ°K Ä°MHA SÜRESÄ°
Yönetmelik’in 11. maddesi gereÄŸince periyodik imha süresi, Åžirket tarafından, [6] ay olarak belirlenmiÅŸtir. Buna göre, Åžirket her yıl Haziran ve Aralık aylarında periyodik imha iÅŸlemi gerçekleÅŸtirilir.
9. POLÄ°TÄ°KA’NIN YAYIMLANMASI VE SAKLANMASI
10. POLÄ°TÄ°KA’NIN GÜNCELLEME PERÄ°YODU
Politika, ihtiyaç duyulduÄŸunda ve deÄŸiÅŸen süreçler bulunduÄŸunda güncellenir.
11. POLÄ°TÄ°KA’NIN YÜRÜRLÜÄžÜ VE YÜRÜRLÜKTEN KALDIRILMASI
Ä°ÅŸbu Politika, Åžirkete ait internet sitesinde yayınlanmasının ardından yürürlüÄŸe girmiÅŸ kabul edilir.
Yürürlükten kaldırılmasına karar verilmesi halinde, Politika’nın ıslak imzalı eski nüshaları ÅŸirket kaÅŸesi ve ÅŸirket yetkilisi imzası ile iptal edilerek (iptal kaÅŸesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile Ä°nsan Kaynakları Departmanı tarafından saklanır.