“SİNTER METAL İMALAT
SANAYİ ANONİM ŞİRKETİ”
KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI
İçindekiler
1. GİRİŞ 3
2. POLİTİKA’NIN AMACI
3. POLİTİKA’NIN KAPSAMI
4. TANIMLAR
5. KAYIT ORTAMLARI
6. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER
7. KİŞİSEL VERİLERİN GÜVENLİÐİ
8. KİŞİSEL VERİLERİN İMHASI
8.1. Kişisel Verilerin İmhasını Gerektiren Sebepler
8.2 Kişisel Verilerin Silinmesi
8.3 Kişisel Verilerin Yok Edilmesi
8.4 Kişisel Verilerin Anonim Hale Getirilmesi
8.5 Kişisel Veri Saklama ve İmha Süreçlerinde Yer Alan Sorumlu
Personel
8.6. Kişisel Veri Kategorileri
8.7. Kişisel Veri Konusu Kişi Grubu
8.8. Kişisel Veri Kategorisi ve Kişi Grubu Eşleştirmesi
8.9. Saklama Ve İmha Süreleri
8.10 Periyodik İmha Süreleri
1. GİRİŞ
“SİNTER METAL İMALAT SANAYİ ANONİM ŞİRKETİ” (Bundan sonra “Şirket”
olarak anılacaktır.) için kişisel verilerin korunması büyük bir öneme
haizdir. Ortaklarımızın, müşterilerimizin, çalışanlarımızın, çalışan
adaylarımızın, şirket yetkililerinin, iştirak şirketleri çalışanlarının,
birlikte çalıştığımız şirket çalışanlarının, hissedarlarının,
yetkililerinin, ziyaretçilerimizin ve üçüncü kişilerin kişisel
verilerini korunmasında büyük hassasiyet gösterilmektedir. Kişisel
verilerin işlenmesi ve korunması konusunda Şirket tarafından benimsenen
ilkeler ortaya koyan “Kişisel Verilerin Korunması Politikası”, Şirket
internet sitesinde ilgili kişilerin bilgisine sunulmuştur.
2. POLİTİKA’NIN AMACI
Kişisel Veri Saklama Ve İmha Politikası (bundan sonra kısaca “İmha
Politikası” olarak anılacaktır.), Şirketimiz nezdinde gerçekleştirilen
çeşitli süreçler kapsamında işlen kişisel verilere ilişkin olarak,
kişisel verilerin güvenliğine ve silinmesi, yok edilmesi ve anonim hale
getirilmesine ilişkin usul ve esasları belirlemektir.
3. POLİTİKA’NIN KAPSAMI
İşbu İmha Politikası, ortaklarımızın, müşterilerimizin,
çalışanlarımızın, çalışan adaylarımızın, Şirket yetkililerinin, iştirak
şirketleri çalışanlarının, birlikte çalıştığımız şirket çalışanlarının,
hissedarlarının, yetkililerinin, ziyaretçilerimizin ve üçüncü kişilere
ait tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt
sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen her
türlü kişisel veriyi kapsamaktadır.
4. TANIMLAR
Bu politikada geçen,
a. Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve
özgür iradeyle açıklanan rızayı,
b. Anonim hâle getirme: Kişisel verilerin, başka verilerle
eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir
bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,
c. İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
d. İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve
yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri
sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki
ve talimat doğrultusunda kişisel verileri işleyen kişileri,
e. İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale
getirilmesini,
f. Kanun: 24/3/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması
Kanununu,
g. Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir
veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla
işlenen kişisel verilerin bulunduğu her türlü ortamı,
h. Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye
ilişkin her türlü bilgiyi,
i. Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen
otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak
kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi,
depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi,
açıklanması, aktarılması, devralınması, elde edilebilir hâle
getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi
veriler üzerinde gerçekleştirilen her türlü işlemi,
j. Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine
bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme
faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan
alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları
ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami
süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri
güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları
envanteri,
k. Kişisel veri saklama ve imha politikası: Veri sorumlularının, kişisel
verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme
işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak
yaptıkları politikayı,
l. Kurul: Kişisel Verileri Koruma Kurulunu
m. Kurum: Kişisel Verileri Koruma Kurumunu,
n. Periyodik imha: Kanunda yer alan kişisel verilerin işlenme
şartlarının tamamının ortadan kalkması durumunda kişisel verileri
saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla
resen gerçekleştirilecek silme, yok etme veya anonim hale getirme
işlemini,
o. Sicil: Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan
veri sorumluları sicilini,
p. Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına
kişisel verileri işleyen gerçek veya tüzel kişiyi
q. Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre
yapılandırılarak işlendiği kayıt sistemini,
r. Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını
belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden
sorumlu olan gerçek veya tüzel kişiyi,
ifade eder. Bu Politika’da yer almayan tanımlar için Kanun ve
Yönetmeliklerde yer alan tanımlar geçerlidir.
5. KAYIT ORTAMLARI
Şirket tarafından kişisel verilerin bulundurulduğu kayıt ortamları;
Şirket adına kullanılan bilgisayarlar, AS400(Porbis), SAP gibi
programlar, Bulut Sistemleri, ağ üzerinde veri saklaması için kullanılan
paylaşımlı/paylaşımsız disk sürücüleri, kağıt, birim dolapları,
arşivdir. Şirket, sayılan kayıt ortamlarına ek olarak kullanabileceği
diğer kayıt ortamlarını da İmha Politikası’na dahil edecektir.
6. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER
Şirket,
- Kişisel Veri Sahibinin Açık Rızasının Bulunması,
- Kanunlarda Açıkça Öngörülmesi, Fiili İmkânsızlık Nedeniyle Açık
Rızanın Alınamaması, Sözleşmenin Kurulması Veya İfası ile Doğrudan
İlgili Olması,
- Şirketin Hukuki Sorumluluğunun Yerine Getirilmesi İçin Zorunlu Olması,
- İlgili Kişinin Kendisi Tarafından Alenileştirilmiş Olması,
- Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Zorunlu Olması
- Şirketin Meşru Menfaatleri İçin Zorunlu Olması
hallerinden biri veya bir kaçının bulunması halinde kişisel verilerinizi
işleyebilecektir. Kişisel verilerin işlenmesine ilişkin detaylı bilgiye
ulaşmak için “www.sinter-metal.com” adresinde yer alan Kişisel Verilerin
Korunması Politikası’nı inceleyebilirsiniz.
İlgili kişilerin kişisel verileri, yukarıda sayılmış olan kişisel veri
işleme nedenlerinin ortadan kalkması ile birlikte gerçekleştirilecek ilk
periyodik imha sırasında imha edilmektedir. Kişisel verilerin silinmesi,
yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler
kayıt altına alınır ve söz konusu kayıtlar en az üç yıl süreyle
saklanır.
7. KİŞİSEL VERİLERİN GÜVENLİÐİ
Şirket, kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel
verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin
muhafazasını sağlamak amacıyla uygun güvenlik düzeyini sağlamaya yönelik
gerekli her türlü teknik ve idari tedbirleri almaktadır.
Bu kapsamda öncelikle Şirketimiz tarafından işlenen kişisel verilerin
neler olduğunun tespitine dair bir çalışma gerçekleştirilmiş, işlenen
kişisel verilerin özel nitelikli kişisel veri olup olmadığı da
gözetilerek, bu verilerin korunmasına ilişkin ortaya çıkabilecek riskler
belirlenerek, risklerin azaltılması veya ortadan kaldırılmasına yönelik
gerekli teknik ve idari tedbirler uygulamaya konmuştur.
Kişisel veri güvenliğinin sağlanması için, kişisel verilerin hukuka
aykırı şekilde açıklanması ve paylaşılmasının önüne geçebilmek ve
KVKK’ya yönelik farkındalık yaratabilmek amacıyla, personele ve
yöneticilere düzenli olarak eğitimler verilmektedir.
Ayrıca kişisel veri işleme süreçlerine dahil olan çalışanlardan, iş
süreçlerinin bir parçası olarak gizlilik anlaşmalarını imzalamaları
istenmekte, çalışanların güvenlik politika ve prosedürlerine aykırı
hareket ettiklerinin tespiti halinde gerekli disiplin süreci
yürütülmektedir.
Şirket tarafından veri işleme süreçlerine dahil olan kişisel verilere
personel bazında erişim sınırlandırması yapılmış, sınırlı sayıda
personele yürüttükleri iş süreçleri ile ilgili olan kişisel verilere
erişim yetkisi tanınmıştır. Personel tarafından gerçekleştirilen veri
işleme faaliyetleri kayıt altına alınmaktadır. Şirket genelinde kişisel
verilerin erişim hususunda “İzin Verilmedikçe Her Şey Yasaktır” ilkesine
riayet edilmesine özen gösterilmektedir.
Kişisel verilerin hukuka aykırı şekilde işlenmesinin ve kişisel verilere
hukuka aykırı şekilde erişilmesinin önüne geçmek için, kişisel verilerin
işlenmesine ilişkin süreçlerin takibi ve denetimi için teknik sistemler
kurulmuştur. Kişisel verilerin hukuka aykırı şekilde işlenmesini ve
kişisel verilere hukuka aykırı olarak erişilmesini önlemek için düzenli
iç denetimler gerçekleştirilmektedir.
Kişisel verilere hukuka aykırı şekilde erişilmesini engellemek ve
güvenli ortamlarda saklanmasını sağlamak için uygun güvenlik düzeyine
sahip teknik yöntemler kullanılmakta ve söz konusu yöntemler gelişen
teknolojiye uygun şekilde güncellenmektedir.
Şirket veri kayıt sistemine içeriden ya da dışarıdan bir saldırı olması
halinde, bu durumun erken fark edilmesi ve erken müdahale edilebilmesi
için, bilişim ağlarında hangi yazılım ve servislerin çalıştığı ve
bilişim ağlarında sızma veya olmaması gereken bir hareket olup olmadığı
düzenli şekilde kontrol edilmekte, tüm kullanıcıların işlem hareketleri
düzenli olarak tutulmaktadır.
8. KİŞİSEL VERİLERİN İMHASI
8.1. Kişisel Verilerin İmhasını Gerektiren Sebepler
Şirket, KVKK’nın 7. Maddesi gereğince, yasal mevzuata uygun olarak
işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan
kalkması veya mevzuatta öngörülen sürenin sona ermesi halinde kişisel
verileri resen veya veri süjesinin talebiyle siler, yok eder veya anonim
hale getirir.
Şirket, kişisel verilerin imhasında, silme, yok etme veya anonim hale
getirme yöntemlerinden uygun olanı seçmekte ve kişisel verilerin hukuka
uygun olarak silinmesi, yok edilmesi ve anonim hale getirilmesi için
gerekli tüm teknik ve idari tedbirleri alır.
8.2 Kişisel Verilerin Silinmesi
Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için
hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi
işlemidir. Şirket, silinen kişisel verilerin ilgili kullanıcılar için
erişilemez ve tekrar kullanılamaz olması için gerekli her türlü teknik
ve idari tedbiri almaktadır.
Kişisel verilerin silinmesi sürecinde, silme işlemine konu teşkil edecek
kişisel veri belirlenmekte, söz konusu kişisel veriye erişim yetkisi
olan ilgili kullanıcılar ve kullanıcıların kişisel veri üzerindeki
yetkileri tespit edilmekte ve ilgili kullanıcıların söz konusu kişisel
veri kapsamındaki erişim, geri getirme, tekrar kullanma yetkileri
kaldırılmaktadır.
Kağıt ortamında bulunan kişisel veriler karartma yöntemi kullanılarak
silinmektedir. Karartma işlemi, ilgili evrak üzerindeki kişisel
verilerin, geri dönülemeyecek ve teknolojik çözümlemelerle okunamayacak
şekilde sabit mürekkep kullanılarak ya da kesilerek, ilgili kullanıcılar
için görünemez hale getirilmesi işlemidir.
Kişisel verilerin bulunduğu veri tabanlarında, kişisel verilerin
bulunduğu ilgili satırların veri tabanı komutları ile (Delete vb.)
silinmekte, dosya işletim sisteminde bulunan kişisel veriler için,
dosyanın işletim sistemindeki silme komutu ile kişisel verinin silinmesi
veya dosya ya da dosyanın bulunduğu dizin üzerinde ilgili kullanıcının
erişim haklarının kaldırılması ile silme işlemi yapılmaktadır.
8.3 Kişisel Verilerin Yok Edilmesi
Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından
hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale
getirilmesi işlemidir. Şirket, kişisel verilerin yok edilmesiyle ilgili
gerekli her türlü teknik ve idari tedbirleri almaktadır.
Kişisel verilerin yok edilmesi için, verilerin bulunduğu tüm kopyalar
tespit edilerek, verilerin bulunduğu sistemlerin türüne göre, manyetik
medya bulunan veriler için, de-manyetize etme, optik medya ve manyetik
medyanın eritilmesi, yakılması veya toz haline getirilmesi ya da bir
metal öğütücüden geçirilmesi, kâğıt ortamında bulunan kişisel veriler
için kâğıt ötücüden geçirilmesi yöntemlerinden uygun olanı
kullanılmaktadır.
8.4 Kişisel Verilerin Anonim Hale Getirilmesi
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka
verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya
belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale
getirilmesidir.
Anonim hale getirilmedeki amaç, veri ile bu verinin tanımlandığı kişi
arasındaki bağın kopartılmasıdır. Kişisel verilerin tutulduğu veri kayıt
sistemindeki kayıtlara uygulanan otomatik olan veya olmayan gruplama,
maskeleme, türetme, genelleşme, rastgele hale getirme gibi yöntemler
anonim hale getirme yöntemlerinden bazılarıdır.
8.5 Kişisel Veri Saklama ve
İmha Süreçlerinde Yer Alan Sorumlu Personel
8.6. Kişisel Veri Kategorileri
8.7. Kişisel Veri Konusu Kişi
Grubu
8.8. Kişisel Veri Kategorisi ve
Kişi Grubu Eşleştirmesi
8.9. Saklama Ve İmha Süreleri
8.10 Periyodik İmha Süreleri
KVKK’nın 7. Maddesi gereğince, yasal mevzuata uygun olarak işlenmiş
olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması veya
mevzuatta öngörülen sürenin sona ermesi halinde kişisel veriler
periyodik olarak imha edilir. Şirketimiz, kişisel verileri silme, yok
etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip
eden ilk periyodik imha işleminde, kişisel verileri siler, yok eder veya
anonim hale getirir. Periyodik imha, tüm kişisel veriler için yılda iki
kez olmak üzere 6 ay zaman aralıkları ile gerçekleştirilir.
Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle
ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu
kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere üç yıl süreyle
saklanır.
