Kişisel Verilerin İşlenmesi ve Korunması Politikası

GROOXE VERİ POLİTİKASI

1. AMAÇ

GROOXE olarak; müşterilerimiz, ziyaretçilerimiz, tedarikçilerimiz ve çalışanlarımız dahil olmak üzere gerçek kişilerin kişisel verilerinin Türkiye Cumhuriyeti Anayasası, insan haklarına ilişkin ülkemizin tarafı olduğu Uluslararası Sözleşmeler ve 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) başta olmak üzere ilgili mevzuata uygun olarak işlenmesi ile verisi işlenen ilgili kişilerin haklarını etkin şekilde kullanılmasının sağlanması önceliğimizdir.

Bu nedenle, sayılanlarla sınırlı olmamak üzere; çalışanlarımızın, tedarikçilerimizin, müşterilerimizin, ziyaretçilerimizin, işyerlerimizi, internet sitemizi ziyaret eden kullanıcılarımızın, kısacası faaliyetlerimiz sırasında edindiğimiz bütün kişisel verilere ilişkin verinin işlenmesi, saklanması, aktarılmasına ilişkin işlemleri GROOXE ALAŞIMLI ÇELİK SANAYİ VE TİCARET LİMİTED ŞİRKETİ (‘’GROOXE”,“Şirket”) Kişisel Verilerin İşlenmesi ve Korunması Politikasına (“Politika”) göre gerçekleştirmekteyiz.

Kişisel verilerin korunması ve kişisel verileri toplanan gerçek kişilerin temel hak ve hürriyetlerinin gözetilmesi kişisel verilerin işlenmesine ilişkin politikamızın temel prensibidir. Bu nedenle kişisel verilerin işlendiği tüm faaliyetlerimizi, özel hayatın gizliliğinin korunması, şahsi bilgilerin gizliliği, haberleşmenin gizliliği, düşünce ve inanç özgürlüğü, etkili kanun yollarını kullanma haklarını gözeterek sürdürmekteyiz.

Kişisel verilerin korunması maksadı ile ilgili verinin niteliğinin gerektirdiği tüm idari ve teknik koruma tedbirlerini, mevzuat ve güncel teknolojiye uygun şekilde almaktayız.

İşbu Politika, ticari, tanıtım-pazarlama veya sosyal sorumluluk ve benzeri faaliyetlerimiz sırasında paylaşılan kişisel verilerin KVKK’da anılan ilkeler çerçevesinde işlenmesi, saklanması, aktarılması ve silinmesi ya da anonim hale getirilmesine dair izlediğimiz yöntemleri açıklamaktadır.

2. KAPSAM

Ziyaretçilerimiz, iş bağlantılarımız, iş ortaklarımız, çalışanlarımız, tedarikçilerimiz, üçüncü kişiler de dahil olmak üzere Şirket tarafından işlenen tüm kişisel veriler bu Politika’nın kapsamındadır.

Politikamız, Şirket’in sahibi olduğu ya da Şirket tarafından yönetilen, tüm kişisel verilerin işlenmesine yönelik faaliyetlerde uygulanmakta olup KVKK ve kişisel verilere ilişkin ilgili diğer mevzuat ve bu alandaki uluslararası standartlar gözetilerek ele alınmış ve hazırlanmıştır.

3. TANIM ve KISALTMALAR

Bu bölümde Politika’da geçen özel terim ve deyimler, kavramlar, kısaltmalar vb. kısaca açıklanır.

GROOXE : GROOXE ALAŞIMLI ÇELİK SANAYİ VE TİCARET LİMİTED ŞİRKETİ.
Açık Rıza :Belirli bir konuya ilişkin, bilgilendirilmeye ve özgür iradeye dayanan, tereddüte yer bırakmayacak açıklıkta, sadece o işlemle sınırlı olarak verilen onay.
Anonim Hale Getirme :Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkilendirilemeyecek hale getirilmesidir.
Çalışan :Şirket Personeli.
Kişisel Veri Sahibi (İlgili Kişi): Kişisel verisi işlenen gerçek kişi.
Kişisel Veri :Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Özel Nitelikli Kişisel Veri :Kişilerin, ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi, veya diğer inançları, sağlık bilgileri, parmak izi, kılık ve kıyafeti, dernek, vakıf yada sendika üyeliği, cinsel hayatı, ceza mahkumiyeti, ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
Kişisel Verilerin İşlenmesi :Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Veri İşleyen :Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
Veri Sorumlusu :Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
KVK Kurulu :Kişisel Verileri Koruma Kurulu.
KVK Kurumu :Kişisel Verileri Koruma Kurumu.
KVKK :7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazetede yayımlanan Kişisel Verilerin Korunması Kanunu.
Politika :GROOXE Kişisel Verilerin İşlenmesi ve Korunması Politikası.
4. ROL VE SORUMLULUKLAR

4.1. Şirket müdürü

Şirket Müdürü, Politika’ya, kural ve düzenlemelere uyulmaması durumunda bildirim, inceleme ve yaptırım mekanizmalarının belirlenmesi ve işletilmesinin üst gözetiminden sorumludur.

Kişisel Verilerin İşlenmesi ve Korunması Politikası Hukuk Birimimiz tarafından hazırlanmış ve Şirket müdürü tarafından onaylanmıştır.

Politikanın oluşturulmasının, uygulanmasının ve gerektiğinde güncellenmesinin sağlanması konusunda yetkili şirket müdürü onay mekanizmasıdır.

4.2 KVK Birimi

İşbu Politikanın hazırlanması, geliştirilmesi, yürütülmesi ve güncellenmesinden, KVK Birimi sorumludur. Bu Politika’yı gerektiğinde güncelliği ve geliştirme ihtiyaçları açısından değerlendirir. Hazırlanan dokümanın internet portalında yayınlanması KVK Birimi sorumluluğundadır.

Görev alan çalışanlarla beraber dış hizmet alınan firmaların Politika’ya uyumu için gerekli tedbirlerin alınması ile Politikaya aykırı hususların incelenmesi amacıyla konuların incelenmesinden KVK BİRİMİ oluşturulmuş ve sorumlu kılınmıştır.Politikanın oluşturulmasının, uygulanmasının ve gerektiğinde güncellenmesinin sağlanması konusunda yetkili çalışma ve denetim mekanizmasıdır.

5. HUKUKİ YÜKÜMLÜLÜKLER

KVKK uyarınca veri sorumlusu olarak kişisel verilerin korunması ve işlenmesi kapsamında hukuki yükümlülükler aşağıda sıralanmıştır:

5.1. Aydınlatma yükümlülüğümüz

Veri sorumlusu olarak kişisel verileri toplarken;

Hukuka ve Dürüstlük kurallarına uygun olma,
Doğru ve gerektiğinde güncel olma,
Belirli, açık ve meşru amaçlar için işlenmesi,
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi,
Öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi,
İşlenen kişisel verilerinizin kimlere ve hangi amaçla aktarılabileceği
Verileri toplama yöntemimiz ve hukuki sebebi
Kanundan doğan haklar, hususlarında İlgili Kişi’yi aydınlatma yükümlülüğümüz bulunmaktadır.

Şirket olarak kamuoyuna açık olan işbu Politika’mızın açık, anlaşılır, kolay erişebilir olmasına özen göstermekteyiz.

5.2. Veri güvenliğini sağlama yükümlülüğümüz

Veri sorumlusu olarak uhdemizde bulunan kişisel verilerin güvenliğini sağlamak için mevzuatta öngörülen idari ve teknik tedbirleri almaktayız. Veri güvenliğine ilişkin yükümlülükler ve alınan tedbirler işbu Politika’nın 9. ve 10. bölümlerinde detaylandırılmakta ve aynı zamanda KVK Kişisel Veri Saklama ve İmha Politikamızda açıklanmaktadır.

6. KİŞİSEL VERİLERİN SINIFLANDIRILMASI

6.1. Kişisel veriler

Kişisel veriler; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgilerdir.

Kişisel verilerin koruması sadece gerçek kişiler ile ilgili olup tüzel kişilere ait, içerisinde gerçek kişiye ilişkin bilgi içermeyen bilgiler kişisel veri koruması dışında bırakılmıştır. Bu nedenle işbu Politika tüzel kişilere ait verilere uygulanmaz.

6.2. Özel nitelikli kişisel veriler

Kişilerin, ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları ile kılık ve kıyafeti, dernek, vakıf yada sendika üyelikleri, sağlığı, cinsel hayatı, ceza mahkumiyeti, ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel verilerdir.

7. KİŞİSEL VERİLERİN İŞLENMESİ

7.1. Kişisel verileri işleme ilkelerimiz

Kişisel verileri aşağıda yer alan ilkeler uyarınca işlemekteyiz.

7.1.1. Hukuka ve dürüstlük kurallarına uygun işleme

Kişisel verileri dürüstlük kurallarına uygun, şeffaf ve aydınlatma yükümlülüğümüz çerçevesinde işlemekteyiz.

7.1.2. Kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama

İşlenen verilerin doğru ve güncel olmasını sağlamak için veri işleme prosedürlerimizde gerekli tedbirleri alırız. Kişisel Veri Sahibi’ne de mevcut verilerini güncellemesi ve var ise işlenen verilerindeki hataları düzeltmesi için bize başvurulmasına olanak sunarız.

7.1.3. Belirli, açık ve meşru amaçlarla işleme

Şirket olarak kişisel verileri; kapsamı ve içeriği açıkça belirlenmiş, mevzuat ve ticari hayatın olağan akışı çerçevesinde faaliyetlerimizi sürdürmek için belirlenen meşru amaçlarımız dahilinde işlemekteyiz.

7.1.4. Kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması

Kişisel verileri açık ve kesin olarak belirlediğimiz amaçla bağlantılı, sınırlı ve ölçülü olarak işlemekteyiz.

İlgili olmayan veya işlenmesine ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktayız. Bu nedenle, yasal gereklilik olmadığı sürece özel nitelikte kişisel verileri işlememekte veya işlememiz gerektiğinde konuya ilişkin açık rıza almaktayız.

7.1.5. Kanuni düzenlemeler tarafından öngörülen ve ticari meşru menfaatlerimiz süresince kişisel verilerin saklanması

Mevzuattaki bir çok düzenleme kişisel verilerin belirli bir süre saklanmasını zorunlu kılmaktadır. Bu nedenle, işlediğimiz kişisel verileri ilgili mevzuatta öngörülen veya kişisel verilerin işlenme amaçları için gerekli olan süre kadar saklamaktayız. Veri Envanterimizde bu süreler açıkça anlaşılır şekilde belirlenmiştir.

Mevzuatta öngörülen saklama süresinin sona ermesi veya işleme amacının ortadan kalması durumunda kişisel verileri silmekte, yok etmekte veya anonim hale getirmekteyiz. Saklama sürelerine ilişkin ilke ve prosedürlerimiz işbu Politikada ilgili maddede detaylandırılmaktadır.

7.2. Kişisel verileri işleme amaçlarımız

Kişisel verileri aşağıda sayılan amaçlar kapsamında işlemekteyiz:

Ticari Faaliyetlerimizi yürütmek
Sözleşme kapsamında ve hizmet standartları çerçevesinde destek hizmeti sağlamak
Çalışanlarımızın/ziyaretçilerimizin tercih ve ihtiyaçlarını tespit etmek ve verdiğimiz hizmetleri bu kapsamda şekillendirmek ve güncellemek
Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerimizi yerine getirilmesini sağlamak
İş başvurularını değerlendirmek
Şirket ile iş ilişkisinde bulanan kişiler ile irtibat sağlamak
Pazarlama
Uyumluluk yönetimi
Satıcı/tedarikçi yönetimi
Yasal raporlama yapmak
Faturalandırma
Şirket çalışan adayları ve işverenler arasındaki iletişimi sağlamak
Kurumsal iletişimi sağlamaktır.

7.3. Özel nitelikli kişisel verilerin işlenmesi

Özel nitelikli kişisel veriler kanunlarda öngörülen ve KVK Kurulu’nun öngördüğü idari ve teknik tedbirler alınarak ve açık rıza var ise veya mevzuatın zorunlu kıldığı hallerde, tarafımızca işlenir.

Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilmekte olduğundan, tarafımızdan çalışanlarımızın verisi dışında işlenmez. Çalışanlarımıza ait bu tür veriler ise kanunlarda öngörülen kişilerce ve şartlarda işlenebilir.

7.4. Çerezler üzerinden toplanan kişisel verilerin işlenmesi

Çerezleri, internet sayfamızın kullanımını geliştirmeye yönelik olarak kullanmakta ve dijital platformlarımızda geçirdiğiniz vakti daha verimli ve keyifli hale getirmeye çalışmaktayız. Bunlara ek olarak, internet sitemiz yaptığınız tercihleri hatırlamaya yönelik bazı çerezlerden yararlanmakta ve bu sayede size geliştirilmiş ve kişiselleştirilmiş bir deneyim sağlamaktayız.

Dijital platformlarımızda yer alan çerezler üzerinden kişisel verilerinizi toplayabilir, topladığımız verileri işleyebilir, aktarabilir ve saklayabiliriz.

Kullandığımız çerezlere ilişkin detaylı bilgiye “Çerez Politikası”ndan ulaşabilirsiniz.

7.5. İnsan kaynakları ve istihdam amaçlarıyla kişisel verilerin işlenmesi

Çalışan adayı olarak yapacağınız başvurular sürecinde bizlerle paylaştığınız özgeçmiş, diploma, fotoğraf, referans bilgileri v.b. sair evrakta yer alan kişisel verilerinizi iş başvurusu değerlendirilmesi amacıyla işlemekte, saklamakta ve aktarmaktayız. Çalışan adayı olarak paylaştığınız kişisel verilerin işlenmesi, aktarılması ve saklanması işbu Politika kapsamındadır.

Çalışan’a ait kişisel veriler; işbu Politika dışında Şirket İnsan Kaynakları çerçevesinde toplanmakta, işlenmekte ve saklanmaktadır. Tarafımıza aktarılan 3.kişi verileri ise şirketimize aktaran kişinin sorumluluğunda olup, ilgili kişinin verileri ile aynı usulde saklanmakta ve kaydedilmektedir.

7.6. İş Başvurusu kapsamında toplanan kişisel verilerin işlenmesi

Başvuru formları ve aracı kurumlara yapılan başvurularla elde edilen kişisel veriler, iş başvurusunun değerlendirilmesi için kullanılmak üzere kayıt altına alınacaktır.

Kişisel verileri işleme ve gizlilik politikalarını incelemeleri tavsiye edilir.

Başvuru Formu ile başvuru yapanlar;

Kimlik bilgileri (isim, soy isim, doğum tarihi, TC. kimlik no )
İletişim bilgileri (adres, elektronik posta adresi, telefon numarası vb.)
Eğitim bilgileri (mezun olunan okullar vb.)
İş deneyimleri
Sağlık bilgileri,
Yabancı dil bilgisi
Sertifika
Referans bilgileri(3.kişinin izni alınmış ya da ilgili kişi tarafından alenileştirilmiş olması yoluyla)
Fotoğraf

bilgilerini paylaşarak özgeçmiş oluştururlar. Yapılan başvurunun niteliğine göre özgeçmiş oluşturan üyeden söz konusu işe ehil olup olmadığını değerlendirmek amacıyla ek olarak fotoğraf-sağlık verisi işveren tarafından talep edilebilir. Talep edilen sağlık bilgileri ilgili mevzuat kapsamında sadece istihdam amacıyla işlenmektedir.

Kimlik ve iletişim bilgileri; iş ve işçi bulma amacıyla başvuru havuzu oluşturmak, özgeçmiş oluşturma, iletişim, iş geliştirme, pazarlama ve bilgilendirme için işlenir. Başvuru yapan kişilerin Sosyal ağ bilgileri, mevcut sosyal ağ bilgileri ile sosyal ağ hesapları üzerinden toplanan kişisel verilerin iş geliştirme, pazarlama gibi operasyonel faaliyetlerin yürütülmesi ve geliştirilmesi için işlenir.

Özgeçmiş kapsamında başvuru sahiplerinin paylaşmış oldukları bilgiler, işveren firmalar tarafından görüntülenebilmektedir. Mevzuat kapsamında BAŞVURU YAPAN KİŞİNİN, kimlik, eğitim ve meslek bilgilerini saklar ve talep halinde çözüm ortaklarına, kamu kurum ve kuruluşlarına bu verileri aktarabilir.

Bu platform kapsamında kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işbu Politika’nın ilgili maddesi kapsamındadır. İş başvuru sürecinin olumsuz sonuçlanması halinde işveren ile paylaşılan kişisel verilerin işlenmesi ve veri güvenliği işverenin sorumluluğunda olup, iş başvuru evrakında belirtilen sürede ve izin kapsamında havuza alınmakta ve sonrasında imha edilmektedir.

7.7. Satın Alma İşlemleri kapsamında toplanan kişisel verilerin işlenmesi

Bir satın alma yapıldığında MÜŞTERİYE ait mali bilgiler, işlemin gerçekleştirilmesi için banka veya kredi kartı şirketleri gibi kişilere ve kurumlara aktarılır. Aktarılan veriler;

Kredi kartı numarası
Son kullanma tarihi
CVV2

veya banka hesap bilgisi gibi ödeme amaçlarına ilişkin verilerdir.

Satın alma sırasında, müşteriye ait fatura ve ödeme bilgileri (isim, soy isim, TC kimlik no, tel nosu, fatura adresi, irtibat için ilgili kişi tarafından verilen kişinin tel numarası, satış/imalat sonrası destek hizmetleri için ya da ürün teslimi-ödeme için paylaşılan veriler…vb), gönderilen faturalar ve müşterilerden alınan ödemelere ait dekont örnekleri, ödeme numarası, fatura tutarı, fatura numarası, fatura kesim tarihi gibi veriler alınır. Bu veriler; faturalandırma sürecini yönetmek, muhasebe, satış/imalat sonrası hizmetler, iletişim, pazarlama, denetim, kontrol, ödeme hizmet sağlayıcıları ile yürütülen süreçler kapsamında işlenir. Satın alma yapıldığında müşteriye ait mali bilgilerin işlemin gerçekleştirilmesi için banka veya kredi kartı şirketleri gibi kişilere aktarılabilir. Kredi kartı bilgileri, şirket veri tabanlarında tutulmaz. Diğer veriler ise, ilgili hizmet kapsamında müşterinin sözleşme kapsamında edimlerimizi yerine getirmek için kullanılır ya da 3.kişiye sözleşme kapsamındaki işin ifasıyla sınırlı olarak aktarılır.

İşyerlerinde video kaydı güvenlik amacıyla ve hukuki sorumlulukların yerine getirilmesi amacıyla yapılmaktadır.

Yukarıda anılan veriler işbu Politika’nın ilgili maddesine göre aktarılır ve ilgili olanlarla paylaşılır.

Bu platform kapsamında kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işbu Politika’nın ilgili maddesi kapsamındadır.

7.8. Kişisel verilerin işlenmesinde açık rızanın aranmadığı istisnai haller

Aşağıda sayılan ve kanundan doğan istisnai hallerde açık rıza alınmadan kişisel verileri işleyebiliriz:

Kanunlarda açıkça öngörülmesi
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
Temel hak ve özgürlüklere zarar vermemek kaydıyla, veri sorumlusu olarak meşru menfaatlerimiz için verilerinizi işlememizin zorunlu olması.

Özel nitelikli kişisel verilerin İlgili Kişi’nin açık rızası olmadan işlenebileceği istisnai durumlar işbu Politika’nın ilgili maddesinde belirtilmiştir.

8. KİŞİSEL VERİLERİN AKTARILMASI
8.1. Kişisel verilerin yurt içine aktarımı

Şirket olarak, kişisel verilerin aktarılması konusunda KVKK’da öngörülen ve KVK Kurulu tarafından alınan karar ve düzenlemeler doğrultusunda hareket etmekteyiz.

Mevzuatta yer alan istisnai haller saklı kalmak kaydıyla, kişisel veriler ve özel nitelikli veriler İlgili Kişi’nin açık rızası olmadan başka gerçek kişilere veya tüzel kişilere tarafımızdan aktarılmaz.

KVKK ve sair mevzuatın öngördüğü istisnai hallerde İlgili Kişi’nin açık rızası olmadan da veriler mevzuatta öngörülen şekilde ve sınırlarla bağlı olarak yetkili kılınan idari veya adli kurum veya kuruluşa aktarılabilir.

Ayrıca, mevzuatın öngördüğü istisnai haller ile;

Politika’da açıklanan hallerde
Özel nitelikli kişisel veriler hususunda Politika’nın sayılan hallerde
KVK Kurul’unun ve ilgili mevzuatın öngördüğü tedbirlerin alınması ile birlikte İlgili Kişi’nin sağlığına ve özel nitelikli kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması, tahsilatların yapılması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlara, açık rıza aranmadan aktarılabilir.
8.2. Kişisel verilerin yurt dışına aktarımı

Kişisel verileri kural olarak İlgili Kişi’nin açık rızası olmadan yurt dışına aktarılmaz. Ancak işbu Politika’nın istisnai hallerinin birinin var olduğu durumlarda yurt dışında bulunan üçüncü kişilerin ancak:

KVK Kurulu’nun ilan ettiği yeterli korumanın olduğu ülkelerde bulunması
Yeterli korumanın olmadığı ülkelerde yer alması halinde Türkiye’de ve söz konusu yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve KVK Kurulu’nun izninin bulunması

hallerinde açık rıza olmadan kişisel veriler yurt dışında aktarılabilir.

8.3. Kişisel verilerin aktarıldığı kurum ve kuruluşlar

Kişisel veriler;

Tedarikçilerimize
İş ortaklarımız ve iş bağlantılarımıza
Nakliye firmalarına
Kargo firmalarına
Hukuken yetkili kamu kurum ve kuruluşlarına
Hukuken yetkili özel hukuk kişilerine
Ortaklarımıza, yukarıda açıklanan ilke ve kurallara göre aktarılabilir.
Bağımsız denetim firmaları ve bunun gibi dışarıdan sözleşme kapsamında şirketimiz adına işlem yapan şirketlere, hukuk bürosuna ve danışmanlık firmalarına aktarılabilinir.

8.4. Kişisel verilerin hukuka uygun olarak aktarılmasına ilişkin aldığımız tedbirler

İdari ve Teknik tedbirler detaylı şekilde açıklanmıştır.

8.4.1. Teknik tedbirler;

Kişisel verileri korumak için sayılanlarla sınırlı olmamak üzere;

Güncel anti-virüs sistemleri kullanılmaktadır.
Güvenlik duvarları kullanılmaktadır.
Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
Şifreleme yapılmaktadır.
Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
Veri kaybı önleme yazılımları kullanılmaktadır.

8.4.2. İdari tedbirler;

Kişisel verilerinizi korumak için sayılanlarla sınırlı olmamak üzere;

Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
Çalışanlar için yetki matrisi oluşturulmuştur.
Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
Gizlilik taahhütnameleri yapılmaktadır.
Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
Kişisel veri güvenliğinin takibi yapılmaktadır.
Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
Kişisel veriler mümkün olduğunca azaltılmaktadır.
Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
Mevcut risk ve tehditler belirlenmiştir.
Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

9. KİŞİSEL VERİLERİN SAKLANMASI
9.1. Kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar saklanması

Kişisel verileri mevzuatta öngörülen saklama süreleri saklı kalmak kaydıyla, kişisel verilerin işleme amacının gerektirdiği süre boyunca saklamaktayız.

Kişisel verileri birden fazla amaç ile işlediğimiz hallerde, verinin işleme amaçlarının ortadan kalkması veya İlgili Kişi’nin talebi üzerine verilerin silinmesine mevzuatta bir engel olmaması durumunda veriler silinir, yok edilir veya anonimleştirilerek saklanır. Yok etme, silme veya anonimleştirme hususlarında mevzuat hükümleri ve KVK Kurul kararlarına uyulur.

9.2. Kişisel verilerin saklanmasına ilişkin aldığımız tedbirler

İdari ve Teknik tedbirler detaylı şekilde açıklanmıştır. Ancak aşağıdaki tedbirlerle sınırlı olmamak üzere özetle;

9.2.1. Teknik tedbirler
Kişisel verilerin silinmesi, yok edilmesi ve anonimleştirilmesi için teknik alt yapılar ve bunlara ilişkin denetim mekanizmaları oluşturmakta
Kişisel verilerin güvenli şekilde saklanması için gerekli tedbirleri almakta
Oluşabilecek risklere karşı iş sürekliliği ve acil durum planları oluşturup bunların uygulanmasına ilişkin sistemler geliştirmekte
Kişisel verilerin saklama alanlarına ilişkin teknolojik gelişmeler uyarınca güvenlik sistemleri kurmaktayız.
9.2.2. İdari tedbirler
Kişisel verilerin saklanması ile ilgili teknik ve idari riskler hakkında çalışanlarımızı bilgilendirerek farkındalık yaratmakta
Kişisel verilerin saklanması için üçüncü kişilerle işbirliği yapılması durumunda kişisel verilerin aktarıldığı şirketler ile yapılan sözleşmelere; kişisel verilerin aktarıldığı kişilerin, aktarılan kişisel verilerin korunması ve güvenli saklanması amacıyla gerekli güvenlik tedbirlerinin alınmasına ilişkin hükümlere yer vermekteyiz.

10. KİŞİSEL VERİLERİN GÜVENLİĞİ
10.1. Kişisel verilerin güvenliğine ilişkin yükümlülüklerimiz

Kişisel verilerin;

Hukuka aykırı işlenmesini önlemek,
Hukuka aykırı erişimini önlemek,
Hukuka uygun olarak saklanmasını sağlamak,

için teknolojik olanaklar ve uygulama maliyetlerine göre idari ve teknik tedbirler almaktayız.

10.2. Kişisel verilerin hukuka aykırı işlenmesini önlemek için aldığımız tedbirler
Şirketimiz içerisinde gerekli denetimleri yapmakta ve yaptırmakta,
Çalışanlarımızı kişisel verilerin hukuka uygun olarak işlenmesi hakkında eğitmekte ve bilgilendirmekte,
Şirketimizin yürüttüğü faaliyetler detaylı olarak tüm iş birimleri özelinde değerlendirilmekte, söz konusu değerlendirme sonucunda ilgili birimlerin gerçekleştirdiği ticari faaliyetler özelinde kişisel verileri işlemekte,
Kişisel verilerin işlenmesi amacıyla üçüncü kişilerle işbirliği yapıldığı hallerde kişisel verileri işleyen şirketler ile yapılan sözleşmelerde; kişisel verileri işleyen kişilerin gerekli güvenlik tedbirlerinin almasına ilişkin hükümlere yer vermekte,
Kişisel verilerin hukuka aykırı olarak ifşa edilmesi veya veri sızıntısı olması halinde KVK Kurul’una durumu bildirerek bu hususta mevzuat tarafından öngörülen incelemeleri yapmakta ve tedbirleri almaktayız.
İlgili birimlere eğitim ve çalışmalar yapmaktayız.
10.2.1. Kişisel verilere hukuka aykırı erişimi engellemek için alınan teknik ve idari tedbirler

Kişisel verilerin hukuka aykırı erişimini engellemek için;

Teknik uzmanlığı olan kişilerden hizmet alınmakta,
Teknik tedbirleri periyodik olarak güncellemekte ve yenilemekte,
Şirketimiz içerisinde erişim yetkilendirme prosedürleri oluşturmakta,
Aldığımız teknik tedbirlerin ve denetim süreçlerinin raporlanmasına ilişkin prosedürleri belirlemekte,
Şirketimiz içerisinde kullanılmakta olan veri kayıt sistemlerini mevzuata uygun şekilde oluşturmakta ve periyodik olarak denetimlerini yapmakta,
Oluşabilecek risklere karşı acil yardım planları oluşturup bunların uygulanmasına ilişkin sistemler geliştirmekte,
Çalışanlarımızı kişisel verilere erişim, yetkilendirme hususlarında eğitmekte ve bilgilendirmekte,
Kişisel verilerin işlenmesi, saklanması gibi faaliyetler amacıyla üçüncü kişilerle işbirliği yapıldığı hallerde kişisel verilere erişim sağlayan şirketler ile yapılan sözleşmelerde; kişisel verilere erişim sağlayan kişilerin gerekli güvenlik tedbirlerinin alınmasına ilişkin hükümlere yer vermekte,
Kişisel verilere hukuka aykırı erişimi engellemeyi sağlamak üzere teknolojik gelişmeler dahilinde güvenlik sistemleri kurmaktayız.
10.2.2. Kişisel verilerin hukuka aykırı ifşası durumunda aldığımız tedbirler

Kişisel verilerin hukuka aykırı ifşasının engellenmesine yönelik idari ve teknik tedbirler almakta ve ilgili prosedürlerimize uygun şekilde bunları güncellemekteyiz. Kişisel verilerin yetkisiz olarak ifşa edildiğini tespit etmemiz halinde bu durumu İlgili Kişi’ye ve KVK Kurul’una bildirmek için sistem ve alt yapılar oluşturmaktayız.

Alınan tüm idari ve teknik tedbirlere rağmen hukuka aykırı bir ifşa gerçekleşmesi durumunda KVK Kurulu tarafından gerek görülmesi halinde, bu durum, KVK Kurulu’nun internet sitesinde veya başka bir yöntemle ilan edilebilecektir.

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASINA KONU İDARİ VE TEKNİK TEDBİRLER İLE VERİ SAKLAMA VE İMHA POLİTİKASI

11.1. AMACI

Bu politikanın amacı; 6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun’a (Kanun) dayalı olarak çıkarılmış olan ve 30224 sayılı Resmî Gazete’de 28.10.2017 tarihinde yayınlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (Yönetmelik) gereği kişisel verilerin saklanması ve imhasına ilişkin yükümlülüklerin yerine getirilmesi için Şirket’imiz tarafından uygulanacak kurallar ile rol ve sorumlulukları belirlemektir.

2. KAPSAM

Bu Kişisel Veri Saklama Politikası ve İmha Politikası (Politika) Kanun ile tanımlanan Kişisel Verileri ve Özel Nitelikli Kişisel Verileri, tüm Şirket çalışanlarını, temsilcilerini, danışmanlarını, tüm iştiraklerini, dış hizmet sağlayıcılarını, Şirketin hukuki ilişkiye girdiği tüm gerçek ve tüzel kişileri kapsamaktadır.

Politikada aksi belirtilmedikçe Kişisel Veriler ve Özel Nitelikli Kişisel Veriler “Kişisel Veriler” olarak anılacaktır.

Politika Şirket’in Kişisel Veriler üzerinde uygulayacağı saklama faaliyetleri hakkında bilgi verecek olup, imha faaliyetlerini de kapsayacak ve her türlü imha eylemi sürecinde uygulanacaktır.

Politika kapsamında saklama ve imha sorumluları ve saklama ve imha ile ilgili süreler Politika’nın içindeki tablolarda gösterilmiştir.

Bu Politika Şirket’in uyguladığı diğer Kişisel Verileri Koruma ve Gizlilik politikalarıyla birlikte uygulanır ve Şirket politikaları birbirlerinin tamamlayıcılarıdır. Söz konusu politikaları aşağıdaki adreslerde bulabilirsiniz:

KVKK Veri İşleme Politikası : https://www.grooxe.com.tr/kvkk

3. TANIMLAR VE KISALTMALAR

Alenileştirme

İlgili kişinin kendisi tarafından herhangi bir şekilde kamuya açıklanmış olan veri.

Bulut Ortamı

Şirket bünyesinde yer almamakla birlikte, Şirket’in kullanımında olan, kriptografik

yöntemlerle şifrelenmiş internet tabanlı sistemlerin kullanıldığı ortamlar.

Güvenlik Duvarı

Birçok farklı filtreleme özelliği ile ağın gelen ve giden paketler bazında trafiğini

kontrol altında tutar ve güvenliğini sağlar.

İlgili Kişi

Kişisel Verisi işlenen gerçek kişi.

İlgili Kullanıcı

Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan

kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri

sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişi.

Karartma

Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle

ilişkilendirilemeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemler.

Kanun

6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun.

Kayıt Ortamı

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak

kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu

her türlü ortam.

Kişisel Veriler

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Verilerin İşlenmesi

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin

parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması,

muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması,

devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının

engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Maskeleme

Kişisel Verinin temel belirleyici bilgisinin veri içerisinden çıkartılarak Kişisel Verinin anonim

hale getirilmesi yöntemi.

Matbu Ortamlar

Verilerin kâğıt ya da mikrofilmler üzerine basılarak tutulduğu ortamlardır.

Özel Nitelikli Kişisel Veriler

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları,

kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti

ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Politika

Bu Kişisel Veri Saklama ve İmha Politikası

Toplulaştırma

Birçok verinin toplulaştırılması ve kişisel verilerin bir kişiye ilişkilendirilemeyecek hale

getirilmesi yöntemi.

Veri Karma

Kişisel Veri seti içindeki değerlerin karıştırılarak değerler ve kişiler arasındaki bağın

kopartılması yöntemi.

Veri Sorumlusu

Kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin

kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Veri Türetme

Kişisel Verilerin içeriğinden daha genel bir içerik oluşturulması ve kişisel verilerin

herhangi bir kişiyle ilişkilendirilemeyecek hala getirilmesi yöntemi.

Yerel Optik, Dijitalya da Manyetik Ortam

Şirket bünyesinde yer alan sabit ya da taşınabilir diskler, optik diskler, SSDler, manyetik

teypler gibi sair ortamlardır

Yönetmelik

30224 sayılı Resmi Gazete’de 28.10.2017 tarihinde yayınlanan Kişisel Verilerin Silinmesi,

Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

4. KAYIT ORTAMLARI

Şirket, kişisel veri barındıran aşağıda sayılmış olan kayıt ortamlarını ve bunlara ek olarak kullanılabilecek her türlü kayıt ortamını bu Politika’nın kapsamına alacağını beyan ve taahhüt eder. Sayılanlarla sınırlı olmamak üzere, mevcut temel kayıt ortamları şunlardır:

Şirket bilgisayarları ve sunucular
Microsoft Office 2021
Doruknet Pop3 Mail Server
Harici Veritabanı Yedekleme Ünitesi
İdeal Bilişim Parmak İzi Personel Devam Kontrol Sistemi
MS SQL Veritabanı
Kamera kayıt cihazı

5. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN DURUMLAR
5.1. Kişisel Verilerin Saklanmasını Gerektiren Durumlar

Kişisel Veriler, mevzuat uyarınca ve ilgili Şirket Kişisel Veri politikalarında belirtilen amaç ve nedenlerle saklanacaktır.

5.2. Kişisel Verilerin İmhasını Gerektiren Durumlar

Mevzuat genelindeki özel durumlar, yetkili kurumların talimatları ve istisnalar hariç olmak üzere, Kişisel Veriler ilgili kişinin talebi üzerine ve/veya Kanun’un 5. ve 6. maddelerinde sayılan veri işleme nedenlerin ortadan kalkması nedeniyle re’sen işbu Politika uyarınca silinir. Bu sayılan nedenler şunlardır:

Kanunlarda açıkça öngörülmesi.
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
İlgili kişinin kendisi tarafından alenileştirilmiş olması.
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
6.KİŞİSEL VERİLERİN GÜVENLİ SAKLANMASI VE MEVZUATA UYGUNLUK İÇİN ALINMIŞ TEDBİRLER

Şirket, Kanun’un 12. maddesine uygun olarak, işlemekte olduğu Kişisel Verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişimi önlemek ve verilerin saklanması için uygun güvenlik önlemlerini almak için gerekli teknik ve idari tedbirleri almakta ve gerekli denetimleri yapmaktadır.

Kişisel Veriler sadece Kanun’da ve diğer mevzuatta belirlenmiş usul ve esasların kapsamında işlenmektedir. Şirket, Kişisel Veriler işlerken aşağıda belirtilen ilkelere uymaktadır:

Kişisel Verileri ilgili Kişisel Veri politikaları, Kanun ve ilgili mevzuat ile belirlenen sınırlar çerçevesinde kendisinden beklenen işin gerçekleştirilmesinden öte hiçbir amaçla kullanmama.
Kişisel Verileri hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel olarak, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı, ölçülü ve işlendikleri amaç için gerekli olan süre kadar muhafaza edilmek suretiyle işleme.
Kanun uyarınca İlgili Kişi tarafından iletilen talepleri derhal yerine getirme.

Kişisel Verilerin hukuka aykırı olarak işlenmesini önlemek için Şirket,

Teknik ve hukuki alanlarda uzman personellerden yararlanmakta,
Alınan teknik tedbirler periyodik olarak denetlenmekte ve ilgilisine raporlanmakta,
Kişisel Verilerin hukuka uygun işlenmesi için çalışanlar nezdinde farkındalık yaratılmakta ve gerekli idari ve teknik tedbirler Şirket içi politikalar ve eğitimlerle hayata geçirilmektedir.

Kişisel Verilere hukuka aykırı olarak erişimi engellemek için Şirket,

Teknolojideki gelişmelere uygun önlemler almakta ve alınan önlemleri teknik ve hukuki açılardan güncel tutmakta,
Erişim yetkileri sınırlandırmakta ve yetkiler düzenli olarak gözden geçirmekte,
Alınan tüm önlemler periyodik olarak denetlenmekte, yetkili kişilere raporlanmakta ve risk teşkil eden hususlar açısından teknolojinin sunduğu en ileri tekniklerle çözümler üretmekte,
Virüs koruma sistemleri ve yazılımlar kullanmakta,
Teknik konularda uzman personelden yararlanılmakta,
Çalışanları, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacakları ve işleme amacı dışında kullanamayacakları ve bu yükümlülüklerin görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda çalışanlardan gerekli taahhütler alınmaktadır.

Kişisel Verilerin saklanması için uygun önlemleri almak amacıyla Şirket,

En üst düzeyde güvenliği sağlayan, teknolojik gelişmelere uygun sistemleri kullanmakta,

Teknik konularda uzman personelden yararlanılmakta,
Saklama alanlarına yönelik teknik güvenlik önlemleri almakta ve alınan tüm önlemler periyodik olarak denetlenmekte, yetkili kişilere raporlanmakta ve risk teşkil eden hususlar açısından teknolojinin sunduğu en ileri tekniklerle çözümler üretmekte,
Kişisel Verilerin hukuka uygun bir biçimde saklanması için arızalara karşı emniyetli ve çok katmanlı yedekleme sistemleri kullanmakta,
Çalışanları saklanan Kişisel Verilerin güvenliğinin nasıl sağlanabileceği hakkında eğitmektedir.

Ayrıca, Şirket tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmektedir.

7.KİŞİSEL VERİLERİN İMHA USUL VE İLKELERİ

Kişisel verilerin imhası üç farklı şekilde gerçekleştirebilir. Bunlar, Kişisel Verilerin silinmeleri, yok edilmeleri ya da anonim hale getirilmeleridir.

11.7.1. Kişisel Verilerin Silinmeleri

Kişisel Verilerin silinmeleri, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmeleridir. Mevzuat hükümlerine uygun bir şekilde işlenmiş olan Kişisel Verilerin, işlenme nedenleri ortadan kalktıktan sonra, Şirket re’sen ya da ilgili kişinin talebi üzerine Kişisel Verileri siler.

Bulut ortamında ya da yerel optik, manyetik ya da dijital ortamlarda tutulan Kişisel Veriler bir daha kurtarılamayacak şekilde dijital komutlarla silinirler. Bu şekilde silinen verilere ilgili kullanıcılar bir daha ulaşamazlar.

Matbu ortamlarda bulunan Kişisel Veriler ise karartma yöntemi ile silinirler. Karatma işlemi, evrak üzerindeki kişisel verilerin karartılmaları ile yapılır.

7.2. Kişisel Verilerin Yok Edilmeleri

Kişisel Verilerin yok edilmeleri, kişisel verilerin hiçbir kişi tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hala getirilmesidir. Şirket, mevzuat hükümlerine uygun şekilde işlenmiş olan Kişisel Verilerin işlenme nedenleri ortadan kalktıktan sonra re’sen ya da ilgili kişinin talebi üzerine Kişisel Verilerin bulunduğu kayıt ortamlarını sonradan kullanılamayacak bir şekilde fiziksel olarak yok eder.

Matbu ortamda bulunan belgeler evrak imha makineleriyle tekrar bir araya getirilemeyecek şekilde yok edilir.

Yerel optik, manyetik ya da dijital ortamlarda saklanan Kişisel Veriler açısından, optik, manyetik ya da dijital medyanın eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemidir. Medyayı eritmek, yakmak, toz haline getirmek ya da bir metal öğütücüden geçirmek gibi işlemlerle verilerin erişilmez kılınması sağlanır.

7.3. Kişisel Verilen Anonim Hale Getirilmeleri

Kişisel Verilerin anonim hale getirilmeleri, Kişisel Verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel Verilerin anonim hale getirilmeleri için Şirket maskeleme, toplulaştırma, veri türetme ve veri karma yöntemlerini kullanır.

8. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜRELERİ

Kanunlara Göre Kişisel Verilerin Saklanma Süreleri

Veri Sorumluları tarafından işlenen kişisel veriler, sonsuz sürede veya süresiz saklanması mümkün ve gerekli değildir. İşlenme amacına uygun bir süre tutulmalı ve daha sonra imha edilmelidir. Ancak bu süreler, işletmelerin faaliyet gösterdiği sektörler ve bağlı bulundukları kanunlara göre değişiklik göstermektedir. Kanunlara göre kişisel verilerin işlenme süreleri aşağıdaki tabloda çıkarılmıştır. Bu süreler bittikten sonra, ilk periyodik imha döneminde imha edilmelidir. Yılda iki (2) defa periyodik imha dönemi planlanmalı ve bu bilginin kurumların Kişisel Veri Saklama ve İmha Politikası belgesinde yer verilmelidir. Diğer taraftan, ilgili kişinin kişisel verilerinin işlenmesini istememesi veya daha önce verdiği Açık Rıza Beyanını çekmesi durumunda periyodik imha dönemi beklenmeksizin imha edilmelidir.

İmhayı Gerektiren Haller

KVKK tarafından 10.03.2019 tarihinde yayımlanan Kişisel Veri Saklama ve İmha Politikası’na göre imhayı gerektiren 6 sebep belirtilmiştir.

Bu sebepler;

İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
Kurumun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, durumlarında, Kurum tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir veya anonim hale getirilir.

Kanunda yer alan kişisel verilerin işlenmesine ilişkin şartların tamamının ortadan kalkması durumunda kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.

Kişisel Verilerin yasal saklanma süreleri aşağıdaki tabloda olduğu gibidir:

Kişisel Verilerin Saklama Sürelerinin Yer Aldığı Kanunlar

Kişisel Veri Kaynağı

Süre

Yasal Dayanak

Çağrı Merkezi Ses Kayıtları

3 Yıl

6563 Sayılı Kanun ve İlgili Mevzuat

Üyelik ve Rezervasyona İlişkin Kayıtlar

10 Yıl

6098 Sayılı Kanun

Muhasebe ve Finansal İşlemlere İlişkin tüm Kayıtlar

10 Yıl

6102 Sayılı Kanun, 213 Sayılı Kanun

Çerezler ve Log Kayıtları

6 Ay – En Fazla 2 Yıl

5651 Sayılı İnternet Kanunu

Ticari Elektronik Mail Onay Kayıtları

Onayın geri alındığı tarihten itibaren 1 Yıl

6563 Sayılı Kanun ve İlgili Mevzuat

Çevrim içi Ziyaretçilere İlişkin Trafik Bilgileri

2 Yıl

5651 Sayılı Kanun

Müşterilere İlişkin Kişisel Veriler

6563 Sayılı Kanun ve ilgili mevzuat çerçevesinde ise 3 yıl , Hukuki ilişki son erdikten sonra 10 Yıl.

6563 Sayılı Kanun, 6102 Sayılı Kanun, 6098 Sayılı Kanun, 213 Sayılı Kanun, 6502 Sayılı Kanun

Tedarikçilere İlişkin Kişisel Veriler

Hukuki ilişki sona erdikten sonra 10 Yıl

6102 Sayılı Kanun, 6098 Sayılı Kanun ve 213 Sayılı Kanun

Kişisel Verileri Koruma Kurulu İşlemleri

10 Yıl