ÖZEL NİTELİKLİ Kİ??İSEL VERİ GÜVENLİK SAKLAMA VE İMHA POLİTİKASI

ÖZEL NİTELİKLİ Kİ??İSEL VERİ GÜVENLİK SAKLAMA VE İMHA POLİTİKASI

YENİ GÜNE?? HA??IL TEKSTİL SANAYİ VE TİCARET LİMİTED ??İRKETİ

ADRES  : Bozburun Mah. 7000 Sok. Salihağa Yolu No:8/1 Merkezefendi/DENİZLİ

TELEFON : 0258 371 17 54

e-posta  : rpayat1965@hotmail.com

 

1. GİRİ??:

 

1. 1. . Amaç:

 

Özel Nitelikli Kişisel Veri Güvenlik Saklama ve İmha Politikası (“Politika”), Kişisel Verileri Koruma Kurulu’nun özel nitelikli kişisel verilerin işlenmesinde veri sorumlularınca alınması gereken yeterli önlemler hakkındaki  31.01.2018 tarih ve 2018/10 sayılı Kararı doğrultusunda, Yeni Güneş Haşıl Tekstil Sanayi ve Ticaret Limited ??irketince (“??irket”) gerçekleştirilmekte olan özel nitelikli kişisel veri saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır.

 

Veri Sorumlusu olan ??irketimizce işlenmekte olan kişisel verilerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) (“KVKK”) ve diğer ilgili mevzuata uygun olarak işlenmesi ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanması amacıyla gerekli politika ve prosedürler belirlenmiş ve uygulamaya geçilmiştir. Özel nitelikli kişisel verilerin işlenmesinde ise ayrıca alınması gereken yeterli önlemlere ilişkin Kurul kararına istinaden iş bu politika ile  ilave idari ve teknik tedbirlerin uygulanmasına yönelik usul ve esaslar belirlemiştir.

 

Özel Nitelikli Kişisel verilerin güvenliği, saklanması ve imhasına ilişkin iş ve işlemler, ??irketimiz tarafından bu Politikaya uygun olarak gerçekleştirilir.

 

1. 2. . Kapsam:

 

??irketimiz nezdinde, şirket çalışanları ve çalışan adayları dışındaki kişilere ait  özel nitelikli kişisel veri işlenmemektedir.

 

??irketimiz çalışanlarına ve çalışan adaylarına ait olup da ??irketimiz nezdinde tutulmakta olan özel nitelikli kişisel veriler bu Politika kapsamında olup, özel nitelikli kişisel verilerin işlendiği tüm kayıt ortamlarında ve özel nitelikli kişisel veri işlenmesine yönelik tüm faaliyetlerde ??irketimizin daha önce belirlenen “Kişisel Veri Saklama ve İmha Politikası”yla birlikte bu Politika da uygulanır.

 

1.3. Kısaltmalar ve Tanımlar:

Alıcı Grubu : Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya  tüzel kişi kategorisi.

Açık Rıza  : Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme  : Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette  kimliği belirli veya belirlenebilir bir gerçek kişiyle  ilişkilendirilemeyecek hale getirilmesi.

Çalışan  : Yeni Güneş Haşıl Tekstil Sanayi ve Ticaret Limited ??irketi personeli.

Elektronik Ortam  : Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.

 

Elektronik Olmayan

Ortam   : Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.

Hizmet Sağlayıcı   : Yeni Güneş Haşıl Tekstil Sanayi ve Ticaret Limited ??irketi ile belirli bir Sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi.

İlgili Kişi   : Kişisel verisi işlenen gerçek kişi.

İlgili Kullanıcı   : Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.

İmha   : Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Kanun   : 6698 Sayılı Kişisel Verilerin Korunması Kanunu

Kayıt Ortamı   : Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri   : Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

 

Kişisel Veri İşleme

Envanteri   : Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.

 

Kişisel Verilerin

İşlenmesi   : Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kurul   : Kişisel Verileri Koruma Kurulu

 

Özel Nitelikli

Kişisel Veri   : Kişilerin ırkı ve etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

b Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Politika   : Kişisel Verileri Saklama ve İmha Politikası, Özel Nitelikli Kişisel Veri  Güvenlik Saklama ve İmha Politikası.

Veri İşleyen   : Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.

Veri Kayıt Sistemi  : Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

Veri Sorumlusu  : Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.

 

Veri Sorumluları Sicil

Bilgi Sistemi  : Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemi.

VERBİS   : Veri Sorumluları Sicil Bilgi Sistemi

Yönetmelik  : 28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

 

2. ÖZEL NİTELİKLİ Kİ??İSEL VERİLER:

Özel nitelikli kişisel veri kategorileri 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.19’ da sayılmıştır. Buna göre özel nitelikli kişisel veri kategorileri;

 

Tablo 1: Özel Nitelikli Kişisel Veri Kategorileri

Irk ve Etnik Köken	Irk ve etnik kökeni bilgileri
Siyasi Düşünce Bilgileri	Siyasi düşüncesini belirten bilgiler, siyasi parti üyeliği bilgisi gibi
Felsefi İnanç, Din, Mezhep ve Diğer İnançlar	Dini aidiyetine ilişkin bilgiler, felsefi inancına ilişkin bilgiler, mezhep aidiyetine ilişkin bilgiler, diğer inançlarına ilişkin bilgiler gibi
Kılık Kıyafet	Kılık ve kıyafete ilişkin bilgiler
Dernek Üyeliği	Dernek üyeliği bilgileri
Vakıf Üyeliği	Vakıf üyeliği bilgileri
Sendika Üyeliği	Sendika üyeliği bilgileri
Sağlık Bilgileri	Sağlık raporları, kişisel sağlık bilgileri, tıbbi görüntüleme ve testler, kan grubu, iş kazası ve meslek hastalığı bilgileri ve engellilik durumuna ait bilgiler
Cinsel Hayat	Cinsel hayata ilişkin bilgiler gibi
Ceza Mahkumiyeti ve Güvenlik Tedbirleri	Adli sicil kaydı
Biyometrik Veri	Avuç içi bilgileri, parmak izi bilgileri, retina taraması bilgileri, yüz tanıma bilgileri gibi
Genetik Veri	Genetik Veri bilgileri

 

??irketimiz nezdince yukarıda sayılan özel nitelikli kişisel veri kategorilerinden sadece sağlık bilgileri ve ceza mahkumiyeti ve güvenlik tedbirleri kategorilerine ait özel nitelikli kişisel veriler tutulmaktadır.

 

3. KURUL KARARINA GÖRE ÖZEL NİTELİKLİ Kİ??İSEL VERİLERİN İ??LENMESİNDE ALINMASI GEREKEN YETERLİ ÖNLEMLER:

??irketimiz nezdince tutulmakta olan özel nitelikli kişisel verilerin güvenliğine ilişkin olarak, daha önce belirlenen kişisel veri güvenliğine ilişkin idari ve teknik tedbirlere ilaveten aşağıda yer verilen ilgili Kurul kararında belirtilen yeterli önlemlere de ayrıca riayet edilmektedir.

"Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler" ile ilgili Kişisel Verileri Koruma Kurulunun 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı

Karar Tarihi	: 31/01/2018
Karar No	: 2018/10
Konu Özeti	: “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”in görüşülmesi.

 Kanunun 6 ncı maddesinin (4) numaralı fıkrası ile 22 nci maddesinin (1) numaralı fıkrasının (ç) bendi kapsamında hazırlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” in ekte yer verilen şekilde kabulüne ve Resmi Gazetede yayımlanmasına oy birliği ile karar verilmiştir. 

Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler

6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 6 ncı maddesinin (4) numaralı fıkrasında, “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmü yer almaktadır.

Bu çerçevede, Kanunun 22 nci maddesinin (1) numaralı fıkrasının (ç) ve (e) bentleri uyarınca özel nitelikli kişisel veri işleyen veri sorumluları tarafından alınması gereken yeterli önlemler Kişisel Verileri Koruma Kurulu tarafından aşağıdaki şekilde belirlenmiştir:

1- Özel nitelikli kişisel verilerin güvenliğine yönelik sistemli, kuralları net bir şekilde belli, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedürün belirlenmesi,

2- Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik,

a) Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi,

b) Gizlilik sözleşmelerinin yapılması,

c) Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması,

ç) Periyodik olarak yetki kontrollerinin gerçekleştirilmesi,

d) Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması,

3- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise;

a) Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi,

b) Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması,

c) Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması,

ç) Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

d) Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

e) Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması,

4- Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise;

a) Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması,

b) Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi,

5- Özel nitelikli kişisel veriler aktarılacaksa

a) Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması,

b) Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması,

c) Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımının gerçekleştirilmesi,

ç) Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın “gizlilik dereceli belgeler” formatında gönderilmesi gerekir.

6- Yukarıda belirtilen önlemlerin yanı sıra Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberinde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de dikkate alınmalıdır.

 

4. SORUMLULUK VE GÖREV DA??ILIMLARI

??irketimizin tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, çalışanların eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile özel nitelikli kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, özel nitelikli kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve özel nitelikli kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla, özel nitelikli kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

Özel nitelikli kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım Tablo 1’de verilmiştir.

 

Tablo 2: Özel Nitelikli Kişisel Veri Saklama ve imha süreçleri görev dağılımı

UNVAN	BİRİM	GÖREV
??irket Müdürü	Yeni Güneş Haşıl Tekstil Sanayi ve Ticaret Limited ??irketi	Çalışanların politikaya uygun hareket etmesinden sorumludur.
??irketin Sözleşmeli Danışman Avukatı	Hukuk Bürosu	Politikanın hazırlanması ve güncellenmesi ile birlikte yürütülmesi, ilgili ortamlarda yayınlanması ve politikaya uyulmasının takip ve denetlenmesinden sorumludur.
Bilişim Teknolojileri Hizmet Sağlayıcısı ??irket	Bilişim Teknolojileri ??irketi	Politikanın uygulanmasında ihtiyaç duyulan teknik çözümlerin sunulmasından sorumludur.
İnsan Kaynakları Müdürü, Muhasebe Müdürü, Bölüm ??efleri	Diğer Birimler	Görevlerine uygun olarak Politikanın yürütülmesinden sorumludur.

 

5. ÖZEL NİTELİKLİ Kİ??İSEL VERİLERİN AİT OLDU??U Kİ??İ GRUBU:

??irketimiz nezdinde, sadece şirket çalışanlarına ve çalışan adaylarına ait ve  özlük/kişisel sağlık dosyasının oluşturulması ile işe alım süreçlerinin yürütülmesi amaçlarıyla sınırlı olarak, çalışanlar için; kamu sağlığının korunması, işyerinde iş sağlığı ve güvenliğinin sağlanması, mevcut sağlık ve güvenlik şartlarının iyileştirilmesi ve açık rıza hukuki sebepleriyle, çalışan adayları için ise; sadece açık rıza hukuki sebebine dayalı olarak özel nitelikli kişisel veriler tutulmaktadır.

 

6. ÖZEL NİTELİKLİ Kİ??İSEL VERİLERİN KAYIT ORTAMLARI:

??irketimiz nezdinde elektronik ortamda özel nitelikli kişisel veri tutulmamakta olup, sadece kağıt ortamında ve özlük/kişisel sağlık dosyaları içerisinde hukuka uygun olarak güvenli bir şekilde saklanmaktadır. Çalışan adaylarına ait özel nitelikli kişisel veriler işe alım sürecinin tamamlanmasının ardından kısa bir süre içerisinde imha edilmektedir.

 

7. SAKLAMA VE İMHAYA İLİ??KİN AÇIKLAMALAR:

??irketimiz tarafından; çalışanlara ve çalışan adaylarına ait özel nitelikli kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.

Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

 

7.1. Saklamaya İlişkin Açıklamalar

Kanunun 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4. maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 6. maddede ise özel nitelikli kişisel verilerin işleme şartları sayılmıştır.

Buna göre, ??irketimiz faaliyetleri çerçevesinde tutulmakta olan özel nitelikli kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanmakta olup, her bir kişisel veri için saklama süreleri ??irketimizin Kişisel Veri Envanteri ile tespit edilmiştir.

 

7.1.1. Saklamayı Gerektiren Hukuki Sebepler

??irketimiz nezdinde, faaliyetleri çerçevesinde işlenen özel nitelikli kişisel veriler,

kamu sağlığının korunması, işyerinde iş sağlığı ve güvenliğinin sağlanması ve mevcut sağlık ve güvenlik şartlarının iyileştirilmesi ve açık rıza hukuki sebeplerine dayanılarak tutulmakta ve  ilgili mevzuatta öngörülen süre kadar muhafaza edilmektedir. Bu kapsamda kişisel veriler;

 

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 4857 sayılı İş Kanunu,
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
• Yukarıda sayılan kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler

çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

 

7.1.2. Saklamayı Gerektiren İşleme Amaçları

??irketimiz, faaliyetleri çerçevesinde işlemekte olduğu özel nitelikli kişisel verileri aşağıdaki amaçlar doğrultusunda saklar.

• İnsan kaynakları süreçlerinin yürütülmesi,
• Çalışan adaylarının başvuru süreçlerinin yürütülmesi,
• Çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi,
• Çalışanlar için yan haklar ve menfaatleri süreçlerinin yürütülmesi,
• Faaliyetlerin mevzuata uygun yürütülmesi,
• İş sağlığı ve güvenliği faaliyetlerinin yürütülmesi,
• Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesi,
• Yetkili Kurum ve kuruluşlara bilgi verilmesi,
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğünün yerine getirilmesi.

 

7.2. İmhayı Gerektiren Sebepler

 

Özel nitelikli kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun ??irket tarafından kabul edilmesi,
• ??irketin, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

 

durumlarında, ??irketimiz tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

 

8. TEKNİK VE İDARİ TEDBİRLER

Özel nitelikli kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile özel nitelikli kişisel verilerin hukuka uygun olarak imha edilmesi için, ??irketimizin “Kişisel Veri Saklanma ve İmha Politikası” nda belirlenen teknik ve idari tedbirlere ilave olarak, Kanunun 12. maddesi ile 6/4. maddesi gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde ??irketimiz tarafından aşağıda belirtilen ilave teknik ve idari tedbirler alınmaktadır.

 

 8.1. Özel Nitelikli Kişisel Verilere İlişkin İlave Teknik Tedbirler

 

??irketimiz tarafından, özel nitelikli kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:

 

• ??irketimizin bilişim sistemleri teçhizatı, yazılım ve verilerinin fiziksel güvenliği için gerekli  önlemler alınmaktadır.
• Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal ve fiziksel güvenliğin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb. ile yazılımsal (güvenlik duvarları, zararlı yazılımları engelleyen antivirüs vb.) önlemler alınmaktadır.
• Özel nitelikli kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmaktadır.
• Elektronik ortamda, ağ üzerinde, sunucularda ve ortak dosyalarda  özel nitelikli kişisel veri tutulmamaktadır. İleride elektronik ortamda özel nitelikli kişisel veri tutulacak olursa; veriler kriptografik yöntemler kullanılarak muhafaza edilecek, kriptografik anahtarlar güvenli ve farklı ortamlarda tutulacak, veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları güvenli olarak loglanacatır.
• Özel nitelikli kişisel verilerin muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
• Görev değişikliği olan ya da  işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• Özel nitelikli kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için ??irketimiz tarafından buna uygun bir sistem ve altyapı oluşturulmuştur.
• İşletim sistemi güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
• Kişisel verilerin güvenliği için veri yedekleme yapılmaktadır.
• Elektronik olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• Özel nitelikli kişisel veriler e-posta yoluyla aktarılması gerekirse şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılacaktır. Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekirse, kriptografik yöntemlerle şifrelenecek ve kriptografik anahtar farklı ortamda tutulacaktır. Kağıt ortamı yoluyla aktarımı gerektiğinde evrak “gizli” formatta gönderilecektedir.

 

 

8.2. Özel Nitelikli Kişisel Verilere İlişkin İlave İdari Tedbirler

??irketimiz tarafından, özel nitelikli kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:

 

• Çalışanlara yönelik olarak, bilgi güvenliği,  özel nitelikli kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması ile 6698 sayılı Kanun ve ilgili diğer mevzuat hakkında periyodik eğitimler verilmektedir.
• Özel nitelikli kişisel verilere erişim yetkisine sahip çalışanlarımız sınırlandırılmış ve yetki kapsamları tanımlanmıştır.
• ??irketimiz tarafından yürütülen faaliyetlere ilişkin çalışanlardan gizlilik taahhütnameleri alınmaktadır.
• Özel nitelikli kişisel veri işlemeye başlamadan önce ??irketimiz tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
• Özel nitelikli kişisel veri  güvenlik saklama ve imha politikası hazırlanmıştır.
• Kişisel veri işleme envanteri hazırlanmıştır.
• Veri İhlali müdahale planı hazırlanmıştır.
• Kişisel Verileri Koruma Kurulu kararları, mevzuattaki değişiklikler, politika ve prosedürlerde yapılması gereken güncellemeler, sözleşmeli danışman Avukatımız aracılığıyla takip edilmekte ve ??irketimiz uygulamalarının güncelliği ve mevzuata uygunluğu sağlanmaktadır.
• ??irket içi periyodik ve rastgele kişisel veri güvenliği denetimleri yapılmaktadır.

 

 

9. ÖZEL NİTELİKLİ Kİ??İSEL VERİLERİ İMHA TEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda özel nitelikli kişisel veriler, ??irketimiz tarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

 

9.1. Özel Nitelikli Kişisel Verilerin Silinmesi

Özel nitelikli kişisel veriler Tablo-3’te verilen yöntemlerle silinir.

 

Tablo 3: Özel Nitelikli Kişisel Verilerin Silinmesi

Veri Kayıt Ortamı	Açıklama
Sunucularda Özel Nitelikli Kişisel Veri Tutulması Halinde	Sunucularda özel nitelikli kişisel veri tutulması halinde; saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
Elektronik Ortamda Özel Nitelikli Kişisel Veri Tutulması Halinde	Elektronik ortamda özel nitelikli kişisel veri tutulması halinde; saklanmasını gerektiren süre sona erenler, veritabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
Fiziksel Ortamda Yer Alan Özel Nitelikli Kişisel Veriler	Fiziksel ortamda tutulan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.
Taşınabilir Medyada Özel Nitelikli Kişisel Veri Tutulması Halinde	Flash tabanlı saklama ortamlarında özel nitelikli kişisel veri tutulması halinde; saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

 

9.2. Özel Nitelikli Kişisel Verilerin Yok Edilmesi

Özel nitelikli kişisel veriler, ??irketimiz tarafından Tablo-4’te verilen yöntemlerle yok edilir.

 

Tablo 4: Özel Nitelikli Kişisel Verilerin Yok Edilmesi

Veri Kayıt Ortamı	Açıklama
Fiziksel Ortamda Yer Alan Özel Nitelikli Kişisel Veriler	Kağıt ortamında yer alan özel nitelikli kişisel verilerden saklanmasını gerektiren süre sona erenler, yakılarak veya kağıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
Optik / Manyetik Medyada Özel Nitelikli Kişisel Veri Tutulması Halinde	Optik medya ve manyetik medyada özel nitelikli kişisel veri tutulması halinde; saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

 

 

9.3. Özel Nitelikli Kişisel Verilerin Anonim Hale Getirilmesi

Özel nitelikli kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Özel nitelikli kişisel veriler; kişisel verinin yer aldığı ortama göre uygun teknikler kullanılmak suretiyle, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmek suretiyle anonim hale getirilmektedir.

 

10. SAKLAMA VE İMHA SÜRELERİ

 

??irketimiz tarafından, faaliyetlerimiz kapsamında işlenmekte olan özel nitelikli kişisel verilerle ilgili olarak;

• Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm özel nitelikli kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde;
• Veri kategorileri bazında saklama süreleri VERBİS’e kayıtta;
• Süreç bazında saklama süreleri ise Özel Nitelikli Kişisel Veri Güvenlik  Saklama ve İmha Politikasında

yer alır. Söz konusu saklama süreleri üzerinde, gerekmesi halinde ??irketimiz tarafından güncellemeler yapılır.

Saklama süreleri sona eren özel nitelikli kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi ??irketimiz tarafından yerine getirilir.

 

Tablo 5: Süreç bazında saklama ve imha süreleri tablosu

SÜREÇ	SAKLAMA SÜRESİ	İMHA SÜRESİ
Çalışan adaylarının işe alım süreçlerinin yürütülmesi	İşe alım sürecinin tamamlanmasından itibaren 3 Ay	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Çalışanların özlük/kişisel sağlık dosyalarının oluşturulması	İşten ayrılmalarından itibaren 15 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde

 

11. PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11 inci maddesi gereğince ??irketimiz, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, ??irketimizde her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

 

12. POLİTİKA’NIN YAYINLANMASI VE SAKLANMASI

Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, internet sayfasında kamuya açıklanır. Basılı kâğıt nüshası da ??irket Merkezinde dosyasında saklanır.

 

13. POLİTİKA’NIN GÜNCELLENME PERİYODU

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir.

 

14. POLİTİKANIN YÜRÜRLÜ??Ü VE YÜRÜRLÜKTEN KALDIRILMASI

Politika, hazırlandığı anda yürürlüğe girmiş kabul edilir. Yürürlükten kaldırılmasına karar verilmesi halinde, Politika’nın ıslak imzalı eski nüshaları ??irket tarafından iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 10 yıl süre ile ??irket Merkezinde saklanır.

 

 

YENİ GÜNE?? HA??IL TEKSTİL SANAYİ VE TİCARET LİMİTED ??İRKETİ Bozburun Mah. 7000 Sok. Salihağa Yolu No:8/1 Merkezefendi/DENİZLİ TİCARET SİCİL NO:15462 MERSİS NO: 0948 0074 6010 0010