KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

3.1.Veri Sorumluları Siciline Kaydolma Yükümlülüğü

Veri işlemeye başlamadan önce KVK Kurulu tarafından belirlenerek ilan edilecek süre içinde Veri Sorumluları Siciline kayıt olacaktır.

Veri Sorumluları Siciline kayıt başvurusunda aşağıdaki bilgiler sunulacaktır:

(1)               Veri sorumlusu olarak Şirketin ve varsa temsilcisinin kimlik ve adres bilgileri

(2)               Kişisel verilerin hangi amaçla işleneceği

(3)               Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar

(4)               Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları

(5)               Yabancı ülkelere aktarımı öngörülen kişisel veriler

(6)               Kişisel veri güvenliğine ilişkin alınan tedbirler

(7)               Kişisel verilerin işlendikleri amaç için gerekli olan azami süre

3.2.1. Kişisel Veri Sahibini Aydınlatma Yükümlülüğü

Kişisel verilerin elde edilmesi sırasında, kişisel veri sahibini, aşağıda yer alan konularda aydınlatılacaktır:

(1)    Veri sorumlusu olarak Şirketin ve varsa temsilcisinin kimliği,

(2)    Kişisel verilerin hangi amaçla işleneceği,

(3)    Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

(4)    Kişisel veri toplamanın yöntemi ve hukuki sebepleri,

(5)    Kişisel veri sahibinin sahip olduğu haklar;

•        Kişisel verilerin işlenip işlenmediğini öğrenmek,

•        İşleme amacını ve amaca uygun kullanıp kullanılmadığını öğrenmek,

•        Kişisel verilerin aktarıldığı kişileri bilmek,

•        Eksik veya yanlış işleme halinde düzeltme istemek ve şartları gerçekleşmişse kişisel verilerin silinmesini istemek ve bu taleplerinin üçüncü kişilere iletilmesi,

•      İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etmek,

•        Kanuna aykırı işleme sebebiyle zarara uğraması halinde zararını talep etmek.

Bu kapsamda, aydınlatma yükümlülüğünün yerine getirilmesine yönelik olarak kişisel veri toplama kanalları tespit edilecek; bu toplama faaliyetleri özelinde KVK Kanunu’nda aranan kapsam ve şartlara haiz aydınlatma noktaları ve metinleri ile veri sahibi aydınlatılacak; buna uygun süreçler tasarlanacaktır.

3.2.2. Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü

Şirket bünyesinde, her açıdan güvenliğin sağlanmasının teşkil ettiği önemin bilinciyle, KVK Kanunu’nun 12’inci maddesine uygun olarak, işlemekte oldukları kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirler alınacak, bu kapsamda gerekli denetimler yapılacaktır.

Bu kapsamda, aşağıda sıralanan tedbirlerin alınmasına yönelik gerekli sistemler kurgulanacak, bu sistemlerin denetimi yapılacak ve güvenliğin risk teşkil ettiği durumlarda vakit kaybetmeksizin söz konusu riski ortadan kaldıracak önlemler alınacaktır.

3.3.1. Hukuka Uygun Veri İşlenmesini Temin İçin Teknik ve İdari Tedbirlerin Alınması

Kişisel verilerin hukuka uygun işlenmesini sağlamak için, teknolojik imkanlar dâhilinde, gerekli teknik ve idari tedbirler alınacaktır.

1.       Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınması Gereken Teknik Tedbirler

·         Şirket bünyesindeki iş birimleri tarafından gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin tüm süreçler analiz edilecek, bu kapsamda bir “kişisel veri işleme haritası’’ çıkartılacaktır.

·      Şirketin iş birimleri tarafından, verilerin toplanmasından silinmesine kadar gerçekleştirilen faaliyetlerin tümünün hukuka uygunluk denetimi yapılacaktır.

·         Şirket bünyesinde gerçekleştirilen kişisel veri işleme faaliyetleri kurulan teknik sistemlerle denetlenecektir.

·         Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği ilgilisine raporlanacaktır.

2.       Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınması Gereken İdari Tedbirler

·      Şirket, çalışanlarını, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilecek ve eğitilecektir.

·         Şirket ile çalışanları arasındaki hukuki ilişkiyi yöneten sözleşme, belge ve politikalara, KVK Kanunu’ndaki düzenlemelere aykırı biçimde kişisel verilerin işlenmemesi, ifşa edilmemesi ve kullanılmaması yükümlülüğü getiren kayıtlar konulacaktır.

·         Kişisel verilere erişim, işleme amacı doğrultusunda ilgili şirket çalışanı ile sınırlandırılacak, ayrıca, şirket bünyesinde tutulan her kişisel veriye, her çalışanın erişim imkânı bulunmayacaktır.

·      Şirketin yürütmekte olduğu tüm faaliyetler detaylı olarak tüm iş birimleri özelinde analiz edilecek, bu analiz neticesinde ilgili iş birimlerinin gerçekleştirmiş olduğu ticari faaliyetler özelinde kişisel veri işleme faaliyetleri belirlenecektir.

·         Her bir iş biriminin faaliyetlerinin KVK Kanununda belirtilen kişisel veri işleme şartlarına uygunluğunun sağlanmasına yönelik isterler, her bir iş birimi ve yürütmekte olduğu detay faaliyet özelinde tespit edilecektir.

·         İş birimleri bazında belirlenen hukuksal normlara uyum sağlanması için Şirket tarafından, ilgili iş birimleri özelinde farkındalık yaratılacak ve uygulama kuralları belirlenecektir. Bu hususların denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tedbirler alınarak, politika, prosedür ve eğitimler hayata geçirilecektir.

3.3.2. Kişisel Verilere Hukuka Aykırı Erişimi Engellemek için Teknik ve İdari Tedbirlerin Alınması

Şirket, kişisel verilerin tedbirsizlikle veya yetkisiz olarak üçüncü kişilere açıklanmasını, görüntülenmesini, aktarılmasını veya başka şekillerde hukuka aykırı şekilde elde edilmesini önlemek için, korunacak verinin niteliğine ve teknolojik imkânlara göre gerekli teknik ve idari tedbirleri alacaktır.

(1)   Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Alınması Gereken Teknik Tedbirler

•        Teknolojideki gelişmelere uygun teknik önlemler alınacak, alınan önlemler periyodik olarak güncellenecek ve yenilenecektir.

•        Şirket tarafından, iş birimi bazında hukuksal uyum isterlerine uygun olarak erişim ve yetkilendirme teknik çözümleri devreye alınacaktır.

•    Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği ilgilisine raporlanacak, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilecektir.

•        Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar da dâhil ilgili yazılım ve sistemler kurulacaktır.

•        Teknik konularda bilgili personel istihdam edilecektir.

(2)   Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Alınması Gereken İdari Tedbirler

·         Şirketin çalışanları, kişisel verilere hukuka aykırı erişimi engellemek için alınacak teknik tedbirler konusunda eğitilecektir.

·     İş birimi bazında hukuksal uyum isterlerine uygun olarak kuruluş bünyesinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanacak ve uygulanacaktır.

·         Çalışanlardan, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceğine ilişkin gerekli taahhütler alınacaktır.

·        Kişisel verilerin aktarıldığı kişiler ile akdedilen sözleşmelere, kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlanacağına ilişkin hükümler eklenecektir.

3.3.3. Kişisel Verilerin Korunması Konusunda Alınan Tedbirlerin Denetimi

Şirket, alacağı teknik ve idari tedbirler bakımından tedbirlerin işleyişi ile ilgili olarak gerekli denetimleri yapmaya ve yaptırmaya yönelik sistemleri kurgulayacaktır. Bu denetim sonuçları, iç işleyiş kapsamında konu ile ilgili bölüme raporlanacak ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülecektir.

İş birimlerinin kişisel verilerin korunması ve işlenmesi konusunda farkındalıklarının artırılması ve denetimi konusunda gerekli süreçler tasarlanacaktır.

3.3.4. Kişisel Verilerin Yetkisiz Bir Şekilde İfşası Durumunda Alınacak Tedbirler

Şirket, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede ilgili kişisel veri sahibine ve KVK Kurulu’na bildirmekle yükümlüdür. Bu kapsamda, gerekli iç yapı oluşturulacaktır.

3.4. Kişisel Veri Sahibini Bilgilendirme Yükümlülüğü

Bu kapsamda, kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine gereken bilgilendirmenin yapılması için KVK Kanunu’nun 13’üncü maddesine uygun olarak gerekli başvuru kanalları, başvuruların değerlendirilmesi, iç işleyiş, Kanunda öngörülen sürelerde başvuruların cevaplandırılması ve sair idari ve teknik düzenlemelere ilişkin prosedür ve süreçleri oluşturulacak ve uygulanacaktır.

Kişisel veri sahipleri bu kapsamda;

•        Kişisel veri işlenip işlenmediğini öğrenme,

•        Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

•        Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

•        Yurt içinde kişisel verilerin aktarıldığı üçüncü kişileri bilme,

•      Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

•        KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

•       İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

•        Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir.

Kişisel veri sahiplerinin yukarıda sıralanan haklarına ilişkin taleplerini yazılı olarak Şirkete iletmesi durumunda, Şirket talebin niteliğine göre ilgili talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandıracaktır.

İlgili başvuru sonuçlandırılırken, kişinin anlayabileceği bir dil ve formatta bilgi verilecektir.

Şirket, başvuruyu kabul edebileceği gibi, gerekçesini açıklayarak reddedebilir.

Kişisel veri sahibinin, başvurusunun reddedilmesi, verilen cevabı yetersiz bulması veya süresinde başvuruya cevap verilmemesi hallerinde 30 gün içerisinde KVK Kurulu’na şikayet hakkı bulunduğu konusunda Şirket içinde gerekli uyarılar yapılacak ve farkındalık sağlanacaktır.

4. KİŞİSEL VERİLERİN KORUNMASI VE İŞLEMESİ POLİTİKASINA UYUM

4.1. KVK Kanunu ve İlgili Mevzuata Uyum İçin Yapılması Gereken Hususlar

Şirket tarafından KVK Kanunu ve ilgili mevzuata uyum için KVK Kanunu’nda öngörülen yürürlük sürelerine uygun hareket etmek üzere gerekli sistem ve hazırlıklar yürütülecek, Politikada yer verilen düzenlemelere uyumun sağlanması için gerekli mekanizmaları oluşturulacaktır.

 Bu kapsamda, Şirket;

• KVK Kanunu’nun 16’ncı maddesine uygun olarak veri sorumluları siciline kayıt olunmasına yönelik gerekli süreçleri oluşturacak ve uygulanacaktır.

• KVK Kanunu’nun 10’uncu maddesine uygun olarak, verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatılacak ve kişisel veri sahiplerinin bilgi talep etmeleri durumunda gerekli bilgilendirme yapılacaktır.

• KVK Kanunu’nun 5’inci maddesi gereğince, kişisel veriler, mutlaka kanundaki işleme şartlarından bir veya bir kaçına dayalı olarak ve KVK Kanunu’nun 4’üncü maddesinde belirtilen kişisel veri işleme ilkelerine uygun bir şekilde işleyecektir.

• Özel nitelikli kişisel verilerin işlenmesinde KVK Kanunu’nun 6’ıncı maddesindeki düzenlemelere titizlikle uyulacak, faaliyetlerin yürütülmesi için zorunlu değilse özel nitelikli veriler veri sahibinden talep edilmeyecektir.

• KVK Kanunu’nun 8’inci ve 9’uncu maddelerine uygun olarak, kişisel verilerin aktarılması konusunda Kanunda öngörülen ve KVK Kurulu tarafından ortaya konulan düzenlemelere uygun davranılacaktır.

• KVK Kanunu’nun 12’nci maddesine uygun olarak, kişisel verilerin korunmasına ilişkin gerekli güvenlik sistemleri oluşturulacaktır.

• KVK Kanunu’nun 7’nci maddesine uygun olarak kişisel verilerin silinmesi, yok edilmesi ve anonimleştirilmesine ilişkin gerekli sistemler oluşturulacaktır.

4.2. Şirketin Kişisel Verilerin Korunması ve İşlenmesi Politikalarını Tasarlarken Uyması Gereken Hususlar

Şirket, kişisel verilerin korunması ve işlenmesi politikalarını oluştururken;

·         KVK Kanunu’nda ve ilgili mevzuatta öngörülen düzenlemelere uygun hareket edilecek,

·         Kamuoyuna açık politikaların kişisel veri sahipleri tarafından anlaşılabilir olmasına önem

verilecek,

·         Kamuoyuna açık politikalar ve bu politikalarda yapılacak değişiklikler kişisel veri sahiplerinin erişimine sunulacak,

·         Temel Politikalar oluşturulacak,

·         Kişisel veri sahiplerine sunulacak başvuru mekanizmaları karışıklığa yer bırakmayacak şekilde, açık ve net bir biçimde politikalarda belirtilecektir.

İşbu Politika ile ortaya konulmuş olan esaslara uygun olarak kişisel verilerin korunması ve işlenmesi konusunda şirket içi kullanım için ve kişisel veri sahiplerinin ve ilgililerin erişebileceği kamuoyuna açık temel politikalar oluşturulacaktır. Hazırlanacak temel politikaların şirketin kişisel verilerin korunması ve işlenmesiyle bağlantılı diğer politikalarıyla uyumlu ve ilişkili olmasına dikkat edilecektir.

Şirketleri tarafından, iç sistemlerine yönelik olarak hazırlanacak politika esasları, ilgili olduğu ölçüde kamuoyuna açık politikalara yansıtılması, ilgililerinin bu çerçevede bilgilenmesi ve yürütülen kişisel veri işleme faaliyetleri hakkında şeffaflık ve hesap verilebilirliğin sağlanması hedeflenmektedir.

4.3. Çalışanların Kişisel Verilerinin Korunması ve İşlenmesi Konusundaki Temel Esaslar

Şirket, kişisel veri sahibi çalışanlarına yönelik olarak da KVK Kanunu ve ilgili mevzuata uygun olarak hareket edecektir.

Bu kapsamda, DEKORSENDE tarafından;

•        Şirket çalışanlarına yönelik aydınlatma yükümlülüğü yerine getirilecek,

•        Şirket  çalışanlarının   kişisel  verileri toplanırken, üzerinde işlem yapılırken (erişim, görüntülenme, şirket içi paylaşım dahil), saklanırken KVK Kanunu’nun 4’üncü maddesinde düzenlenen ilkelerin tümüne uygunluğu sağlanacak; çalışanların kişisel verilerinin KVK Kanunu’nun 5’inci maddesinde düzenlenen ve Politikanın 2.6 bölümünde belirtilen şartlardan bir veya bir kaçına dayalı olarak işlendiği kontrol edilecek ve uygunluğu sağlanacak,

•        Şirket çalışanlarının kişisel verilerine ilişkin bilgi talebi başvurularının KVK Kanunu’nda öngörülen süre içinde değerlendirilmesi ve cevaplandırılmasına yönelik süreçler uygulanacak,

•        Şirket çalışanlarının kişisel verilerinin güvenliği sağlanacak,

•        Şirket çalışanlarının kişisel verilerinin aktarımına ilişkin olarak KVK Kanunu’nun 8’inci ve 9’uncu maddelerine uygun davranılacak,

•        Şirket çalışanlarının kişisel verilerinin KVK Kanunu’nun 7’nci maddesine uygun olarak silinecek, yok edilmesi veya anonimleştirilmesi için gerekli süreçler hayata geçirilecektir.

4.      KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI YÖNETİM YAPISI

Şirket, KVK Kanunundaki yükümlülükleri yerine getirmek ve işbu Politikanın uygulanmasına yönelik olarak ve aşağıdaki fonksiyonları yerine getirmek üzere gerekli yönetişim yapısını kuracaktır.

•        Kişisel Verilerin Korunması ve İşlenmesi ile ilgili temel politikaları ve değişiklikleri hazırlamak ve yürürlüğe koymak üzere üst yönetimin onayına sunacak,

•        Kişisel Verilerin Korunması ve İşlenmesine ilişkin politikaların uygulanması ve denetiminin ne şekilde yerine getirileceğine karar vermek ve bu çerçevede şirket içi görevlendirmede bulunmak ve koordinasyonu sağlamak hususlarını üst yönetimin onayına sunacak,

•        Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uyumun sağlanması için yapılması gereken hususları tespit etmek ve yapılması gerekenleri üst yönetimin onayına sunacak, uygulanmasını gözetecek ve koordinasyonunu sağlayacak,

•        Şirketin kişisel veri işleme faaliyetlerinde oluşabilecek riskleri tespit ederek gerekli önlemlerin alınmasını temin ederek; iyileştirme önerilerini üst yönetimin onayını sunacak,

•        Kişisel verilerin korunması ve politikaların uygulanması konusunda eğitimler tasarlamak ve uygulanmasını sağlayacak,

•        Kişisel veri sahiplerinin başvurularını en üst düzeyde karara bağlanacak,

•        Kişisel Verilerin Korunması Kurulu ve Kurumu ile olan ilişkileri yönetecektir.

Komite veya bu konuda atanacak sorumlu kişi/kişilere yukarıda belirtilen görevlerine ek olarak, Şirketin ihtiyaçları ve yürütmekte oldukları faaliyetlerin özelliğine göre başkaca görev ve sorumluluklar verilebilir.

Şirket içerisinde işbu Politika, KVK Politikasında yer alan düzenlemeler çerçevesinde Kişisel Verilerin Korunması Üst Kurulu (“Üst Kurul”) ve Kişisel Verilerin Korunması Komitesi (“Komite”) tarafından yönetilecektir.