İş bu Veri Gizliliği ve Güvenliği Politikası (Politika), Dr. ÖZLEM SÜRÜCÜ (Veri Sorumlusu) tarafından, 6698 Sayılı Kişisel Verilerin Korunması Kanunu (K.V.K.K.) ve ilgili diğer mevzuat uyarınca, veri koruma yükümlülükleri yerine getirilirken ve kişisel veriler işlenirken veri sorumlusu Veri Sorumlusu tarafından uyulması gereken esasları belirlemektedir.
Veri Sorumlusu, kendi bünyesinde bulunan kişisel veriler için yeterli ve makul güvenlik düzeyini uygulamayı, kişisel verilerin gizliliğine saygı duymayı ve iş bu Politika’ ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını taahhüt eder.
İş bu Politika’ nın temel amacı, Veri Sorumlusu tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik esasları ortaya koymak, bu kapsamda kişisel verileri Veri Sorumlusu tarafından işlenen kişileri aydınlatarak ve bilgilendirilerek şeffaflığı sağlamaktır.
İş bu Politika, Veri Sorumlusu’ nun tüm departmanlarını ve çalışanlarını kapsamaktadır.
İş bu Politika, Veri Sorumlusu’ nun kişisel verileri işlemekte olduğu tüm faaliyetleri kapsayacak olup, her türlü olay ve eylemde uygulanacaktır.
İş bu Politika, anonim hale getirilmiş ya da kişisel veri olmayan veriler hakkında uygulanmayacaktır.
Yeni mevzuatlar ile belirlenmesi durumunda, Veri Sorumlusu kişisel veriler üzerinde yeni mevzuatlara uyumlu olacak şekilde daha yüksek bir güvenlik seviyesi sağlayacak ve mevzuat gerekliliklerine uyacaktır.
İş bu Politika’ nın Veri Sorumlusu tarafından uygulanmasında hukuki bir engel olduğuna kanaat getirildiği durumlarda, Veri Sorumlusu uygulayacağı adımları, gerek görülmesi durumunda Kişisel Verileri Koruma Kurumu’na da danışarak, yeniden belirleyecektir.
İş bu Politika’ da kullanılan tanımlar aşağıda yer almaktadır:
Açık rıza |
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza |
Anonim hale getirme |
Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi |
Kişisel veri |
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi |
Kişisel verilerin işlenmesi |
Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem |
K.V.K.K. |
6698 Sayılı Kişisel Verilerin Korunması Kanunu |
K.V.K. Kurumu |
Kişisel Verileri Koruma Kurumu |
Özel nitelikli kişisel veri |
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri |
Veri işleyen |
Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi |
Kişisel veri sahibi |
K.V.K.K.’ da ilgili kişi olarak addedilen, kişisel verisi işlenen gerçek kişi |
Veri sorumlusu |
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. İş bu Politika Belgesi’nde belirtilen Veri Sorumlusu Dr. ÖZLEM SÜRÜCÜ’ dür. |
Veri Sorumluları Sicili |
Kişisel Verileri Koruma Kurulu gözetiminde Başkanlık tarafından tutulan veri sorumluları sicili (VERBİS) |
Veri Envanteri |
Veri Sorumlusu’ ın iş süreçlerine bağlı olarak gerçekleştirmekte olduğu kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, kişisel verilerin aktarıldığı alıcı grubu ve ilgili kişisel veri sahibi grubuyla ilişkilendirerek oluşturduğu ve detaylandırdığı envanter |
Alıcı Grubu |
Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisidir. |
İmha |
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemidir. |
Kişisel veri işleme envanteri |
Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanterdir. |
Veri Sorumlusu nezdinde, Veri Sorumlusu’ nun meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, K.V.K.K.’ nın 5. Maddesi’ nde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve bunlarla sınırlı olarak, başta kişisel verilerin işlenmesine ilişkin 4. Madde’ de belirtilen ilkeler olmak üzere, K.V.K.K.’ da belirtilen genel ilkelere ve düzenlenen tüm yükümlülüklere uyularak ve iş bu Politika kapsamındaki kişisel veri sahipleri (danışanlar (Ürün veya hizmet alan kişiler), onların veli/vasi/temsilcileri, çalışanlar, çalışan adayları, ziyaretçiler) ile sınırlı olarak:
Veri Sorumlusu, Kişisel Verileri Koruma Kurumu tarafından çıkarılan Veri Sorumluları Sicili Yönetmeliği uyarınca kişisel veri envanteri oluşturmuştur. Bu veri envanterinde veri kategorileri, verinin kaynağı, veri işleme amaçları, veri işleme süreci, verilerin aktarıldığı alıcı grupları ve saklama süreleri yer almaktadır.
Bu kapsamda, Veri Sorumlusu içerisinde aşağıdaki türlerde veri kategorileri bu türlerle sınırlı olmamakla beraber bulunmaktadır:
Kimlik Bilgisi, İletişim Bilgisi, Müşteri İşlem, Özlük, Hukuki İşlem, Fiziksel Mekân Güvenliği, İşlem Güvenliği, Risk Yönetimi, Mesleki Deneyim, Irk ve Etnik Köken, Felsefi İnanç, Din, Mezhep ve Diğer İnançlar, Kılık ve Kıyafet, Sağlık Bilgileri, Cinsel Hayat, Genetik Veri, Ceza Mahkûmiyeti ve Güvenlik Tedbirleri.
Veri Sorumlusu, Anayasa başta olmak üzere, K.V.K.K. ve ilgili mevzuata uygun olarak, kişisel verileri işleme faaliyetlerini hukuka ve dürüstlük kurallarına uygun olarak yürütür.
Veri Sorumlusu, kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamakta, bu doğrultuda gerekli tedbirleri almaktadır. Bu kapsamda tüm kişi kategorilerine ilişkin veriler güncel tutulmaya çalışılmakta, doğruluğu ve güncelliğini sağlamaya yönelik her türlü idari ve teknik tedbirler alınmaktadır.
Veri Sorumlusu, yalnızca açık ve kesin olarak belirlenen meşru amaçlarla kişisel veri işlemekte olup, bu amaçlar dışında veri işleme faaliyetinde bulunmamaktadır. Veri Sorumlusu tarafından kişisel verilerin işleneceği amaç işleme faaliyeti öncesi belirlenmekte ve “Kişisel Veri Envanteri” ne de işlenmektedir.
Veri Sorumlusu tarafından kişisel veriler, belirlenen amaçların gerçekleştirilebilmesi için gerektiği ölçüde işlenmektedir. Sonradan kullanılabileceği varsayımı ile veri işleme faaliyeti yürütülmemektedir. Bu kapsamda süreçler sürekli gözden geçirilmekte, kişisel verilerin azaltılması ilkesi hayata geçirilmeye çalışılmaktadır.
Veri Sorumlusu, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda Veri Sorumlusu öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bu kapsamda hukuk ve ceza zamanaşımı sürelerini dikkate almakta ve kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Veri Sorumlusu tarafından “Veri İmha Politikası” na göre silinmekte, yok edilmekte veya anonim hale getirilmektedir.
Kişisel veriler yalnızca aşağıda belirtilen yasal dayanaklar kapsamında toplanabilir, işlenebilir veya kullanılabilir.
Kişisel verilerin korunması Anayasal bir hak olup, temel hak ve hürriyetler, özlerine dokunulmaksızın yalnızca Anayasa’nın ilgili maddelerinde belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Anayasa’nın 20. Maddesi’ nin 3. Fıkrası gereğince, kişisel veriler ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilecektir. Veri Sorumlusu tarafından, kişisel verilerin işlenmesinde ancak aşağıdaki şartlar varsa ilgili kişinin açık rızası aranmaksızın kişisel verileri işlenmektedir:
ï Açık rıza özgür irade ile verilmelidir, aksi durumda hükümsüzdür.
ï İlgili kişiden yazılı olarak veya elektronik ortamda açık rıza alınacaktır. Bu durumlara ek olarak kayıt alınması durumlarda sözlü rıza da kabul edilebilir. Bu şekilde açık rızalar ispatlanabilir şekilde kaydedilecektir. Açık rıza alınmadan önce kişilere ilgili hakları bildirilecektir.
ï Özel nitelikli kişisel verilerin işlenmesi gerekli durumlarda açık rızalar yazılı olarak alınacaktır.
ï Kişisel veri işleyen çalışanlar, işledikleri kişisel veriler toplanırken ilgili veri sahibinin açık rızasının varlığının ve geçerliliğinin kontrolünü sağlamakla yükümlüdür. Açık rıza olmadığının tespit edilmesi durumunda veri işleme faaliyeti durdurulacaktır.
Veri Sorumlusu, iş bu Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, eğitim ve farkındalığın arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumludur.
Kişisel veriler, Veri Sorumlusu tarafından aşağıdaki tabloda listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.
Elektronik Ortamlar |
Elektronik Olmayan Ortamlar |
|
|
Veri Sorumlusu tarafından, kanun kapsamında işlenen kişisel verilerin tamamı gizlidir. Çalışanlar, kişisel veriler üzerinde yalnızca kendilerine tanımlanan yetki dahilinde toplama, işleme, aktarım, kullanım, silme, yok etme, anonimleştirme faaliyetlerini yürütebilir. Aksi durumda çalışanların bu faaliyetleri yürütmesi yasaktır. Ek olarak çalışanlar kişisel verileri bireysel veya ticari amaçlarla kullanamaz.
Kişisel verilerin güvenliği Veri Sorumlusu sorumluluğundadır. Kişisel verilerin kaybolmasına, hukuka aykırı olarak işlenmesine, kötüye kullanılmasına, yetkisiz kişilerce her türlü işleme alınmasına karşı korunması gerekmektedir. Bu güvenlik önlemleri elektronik ve fiziki olarak saklanan kişisel verilerin tamamını kapsamaktadır. Veri Sorumlusu, kişisel verilerin hukuka uygun işlenmesini sağlamak için, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır.
Veri Sorumlusu, kişisel verilerinizi korumak amacıyla her türlü teknik, teknolojik güvenlik önlemlerini almış ve olası risklere karşı kişisel verilerinizi korumaktadır. Örneğin:
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, Veri Sorumlusu bu durumu en kısa sürede (Maksimum 72 saatte) ilgili veri sahibine bildirecektir.
Türk Ceza Kanunu’nun 138. Maddesi’ nde, K.V.K.K.’ nın 7. Maddesi’ nde ve Kurum tarafından çıkarılan “Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Hakkında Yönetmelik” uyarınca, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Veri Sorumlusu’ nun kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Veri Sorumlusu bu konuda yönetmelik hükümlerine göre bir Politika oluşturmuş ve bu Politika uyarınca verinin niteliğine göre imha yapılmaktadır. Bu Yönetmelik uyarınca Veri Sorumlusu tarafından periyodik imha tarihleri belirlenmiş olup, yükümlülüğün başlaması ile beraber çeşitli aralıklarla periyodik imhanın yapılacağına göre takvim oluşturulmuştur.
İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Veri Sorumlusu tarafından veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.
Kişisel veriler, Veri Sorumlusu tarafından aşağıdaki tabloda gösterilen yöntemlerle silinir veya yok edilir.
VERİNİN KAYITLI OLDUĞU ORTAM |
VERİNİN SİLİNME VEYA YOK EDİLME YÖNTEMİ |
Elektronik Ortamda Yer Alan Kişisel Veriler |
Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. |
Fiziksel Ortamda Yer Alan Kişisel Veriler |
Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır. Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir. |
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
Kişisel verilerin anonim hale getirilmiş olması için, kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilerek gerçekleştirilir.
Veri Sorumlusu tarafından, faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;
Söz konusu saklama süreleri üzerinde, gerekmesi halinde Veri Sorumlusu tarafından güncellemeler yapılır.
Saklama süreleri sona eren kişisel veriler üzerinde, Veri Sorumlusu tarafından re’sen silme, yok etme veya anonim hale getirme işlemi uygulanır.
Süreç bazında saklama ve imha süreleri tablosu
VERİ KATEGORİSİ |
SAKLAMA SÜRESİ |
İMHA SÜRESİ |
Kimlik |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
İletişim |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Özlük |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Hukuki İşlem |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Müşteri İşlem |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Fiziksel Mekân Güvenliği |
3 Ay |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
İşlem Güvenliği |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Risk Yönetimi |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Mesleki Deneyim |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Irk ve Etnik Köken |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Felsefi İnanç, Din, Mezhep ve Diğer İnançlar |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Kılık ve Kıyafet |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Sağlık Bilgileri |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Cinsel Hayat |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Ceza Mahkûmiyeti ve Güvenlik Tedbirleri |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Genetik Veri |
20 yıl |
Saklama süresinin bitimini takip eden ilk periyodik imha süresinde |
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğin 11. Maddesi gereğince Veri Sorumlusu, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Veri Sorumlusu’ ta her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.
Veri Sorumlusu’ nun her bir çalışanı, K.V.K.K. ve iş bu Politika kapsamında belirtilen kısıtlamalara aykırı olduğunu düşündüğü bir eylem veya olayı Veri Sorumlusu’ na derhal aktarmak ile yükümlüdür. Yapılan bilgilendirmeler sonucunda Veri Sorumlusu mevzuatı dikkate alarak ihlal eylemi veya olayına ilişkin olarak ilgili kişi veya yetkili Kurum’ a bildirim yapmakla yükümlü tutulmuştur.
İş bu Politika’ nın yürütülmesi ve K.V.K.K. düzenlemelerine uygun hareket edilmesi Veri Sorumlusu tarafından sağlanmaktadır.
İş bu Politika 31/12/2021 tarihinde yürürlüğe girmiştir.