Kullanım Koşulları

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. GİRİŞ

            1.1. Amaç

Ums Gıda İnş. Tur. Oto. San. Tica. Ltd. Şti. (“Sütlüce Kadayıf” veya “Şirket”) olarak; çalışanlar, çalışan adayları, ziyaretçiler, çevrimiçi ziyaretçiler, tedarikçi yetkilileri, tedarikçi çalışanları, taşeron çalışanları, hissedar/ortaklar, yönetim kurulu üyeleri, ürün veya hizmet alan kişiler, potansiyel ürün veya hizmet alan kişiler ve sair üçüncü kişiler dâhil gerçek kişilerin kişisel verilerinin Türkiye Cumhuriyeti Anayasası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve 28.10.2017 tarih ve 30224 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) başta olmak üzere ilgili mevzuata uygun olarak saklanmasına ve gerektiği şekilde ve sürede imha edilmesine dikkat etmekteyiz.

Bu sebeple, veri sorumlusu sıfatıyla yürütmekte olduğumuz iş süreçleri esnasında elde ettiğimiz tüm kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi ve imhalarına ilişkin süre ve işlemleri işbu Kişisel Veri Saklama ve İmha Politikamıza (“Politika”) göre belirlemekte ve gerçekleştirmekteyiz.

Ayrıca, kişisel verilerin saklanması ve imhası sürecinde, bu verilerin hukuka aykırı olarak saklanmasını ve imhasını önlemek amacıyla her türlü teknik ve idari tedbiri almaktayız. Sütlüce kadayıf olarak, kişisel verilerin saklanması ve imhası süreçlerinde özel hayatın gizliliğinin korunmasına önem vermekte ve veri güvenliğini en üst seviyede gözetmekteyiz.

İşbu Politika, faaliyetlerimiz sırasında elde edilen kişisel verilerin saklanması ve imhasına dair izlediğimiz yöntemler hakkında açıklamalar içermektedir.

            1.2. Kapsam

İşbu Politika çalışanlar, çalışan adayları, müşteriler, çevrimiçi ziyaretçiler, tedarikçi yetkilileri, tedarikçi çalışanları, taşeron çalışanları, hissedar/ortaklar, yönetim kurulu üyeleri, mağaza ziyaretçileri ve sair üçüncü kişiler dâhil gerçek kişilerin Sütlüce kadayıf tarafından işlenmekte olan bütün kişisel verilerini kapsamaktadır.

Politika, Şirket tarafından işlenen bu kişisel verilerin elektronik ve basılı her türlü ortamda saklanmasına ve imhasına ilişkin olup KVKK ve kişisel verilere ilişkin diğer mevzuat ve bu alandaki uluslararası düzenleme ve yol gösterici belgeler gözetilerek ele alınmış ve hazırlanmıştır.

            1.3. Kısaltmalar ve Tanımlar

• Elektronik ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemi.
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
• İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel veriyi işleyen kişi.
• KVKK: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
• Karartma: Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemler.
• Kişisel Veri: Kimliği belli veya belirlenebilir gerçek kişiye ait her türlü bilgi.
• Kurul: Kişisel Verileri Koruma Kurulu.
• Politika: Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politika.
• Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişi ile ilişkilendirilemeyecek hale getirilmesi.
• Kişisel Verilerin Silinmesi: Tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
• Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi.
• Periyodik İmha: KVKK’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
• Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
• Yönetmelik: 28.10.2017 tarih ve 30224 sayılı Resmî Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

2. SORUMLULUK VE GÖREV DAĞILIMLARI

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım aşağıda verilmiştir.

Genel Müdür : Genel Müdür, işbu Politika’yı, kabul etmek ve uygulamaya almak; politikanın gerektiği durumlarda güncellenmesi için yönetsel kararı almak; kural ve düzenlemelere uyulmaması durumunda bildirim, inceleme ve yaptırım mekanizmalarının belirlenmesi ve işletilmesinin üst gözetiminden sorumludur.

KVKK Ekibi : İşbu Politika taslağının hazırlanması, geliştirilmesi ve güncellenmesi, Politika’nın takibinden KVK Komitesi sorumludur.

3. KAYIT ORTAMLARI

Sütlüce kadayıf olarak, faaliyetlerimizi yerine getirirken elde ettiğimiz kişisel verileri kanuni sürelere uygun olarak saklamak amacıyla aşağıda yer alan kayıt ortamlarını kullanmaktayız.

4. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

Sütlüce kadayıf tarafından; çalışanlar, çalışan adayları, müşteriler, çevrimiçi ziyaretçiler, tedarikçi yetkilileri, tedarikçi çalışanları, taşeron çalışanları, hissedar/ortaklar, yönetim kurulu üyeleri, mağaza ziyaretçileri ve sair üçüncü kişiler dâhil gerçek kişilerin kişisel verileri KVKK’ya uygun olarak saklanır ve imha edilir.

Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırayla yer verilmiştir.

            4.1. Saklamaya İlişkin Açıklamalar

Mevzuattaki birçok düzenleme kişisel verilerin belirli bir süre saklanmasını zorunlu kılmaktadır. Bu nedenle, işlediğimiz kişisel verileri ilgili mevzuatta öngörülen süre boyunca veya böyle bir süre öngörülmemişse, kişisel verilerin işlenme amaçları için gerekli olan süre kadar saklamaktayız.

Kişisel verileri birden fazla amaç için işlediğimiz hallerde, verinin işlenme amaçlarının hepsinin ortadan kalkması durumunda re’sen veya verilerin silinmesine mevzuatta bir engel olmaması ve ilgili kişinin talep etmesi durumunda veriler silinir, yok edilir veya anonim hale getirilir.

            4.1.1. Saklamayı Gerektiren Hukuki Sebepler

Sütlüce kadayıf’da, faaliyetler çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6098 sayılı Türk Borçlar Kanunu
• 6102 sayılı Türk Ticaret Kanunu
• 4857 sayılı İş Kanunu
• 6361 sayılı İş Sağlığı ve Güvenliği Kanunu
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 213 sayılı Vergi Usul Kanunu
• Yukarıda sayılanlar başta olmak üzere yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

            4.1.2. Saklamayı Gerektiren İşleme Amaçları

Şirket, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar:

• İnsan kaynakları süreçlerini yürütebilmek
• Denetim ve etik faaliyetlerini yürütebilmek
• Bilgi güvenliği süreçlerini yürütmek
• Çalışan memnuniyeti ve bağlılığı süreçlerini yürütmek
• Çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülükleri yerine getirmek
• Çalışanlar için yan haklar ve menfaatleri süreçlerini yürütmek
• Çalışan adaylarının başvuru süreçlerinin yürütülmesi
• Çalışan adayı seçme ve yerleştirme süreçlerinin yürütülmesi
• Eğitim faaliyetlerini yürütmek
• Erişim yetkilerini belirlemek
• Finans ve muhasebe işlerini yürütmek
• Fiziksel mekân güvenliğini sağlamak
• Görevlendirme süreçlerini yürütmek
• Hukuk işlerini yürütmek
• İç denetim, disiplin faaliyetlerinin yürütülmesi
• İletişim faaliyetlerini yürütmek
• İş faaliyetlerinin yürütülmesi ve denetimi
• İş sağlığı ve güvenliği faaliyetlerini yürütmek
• Mal / hizmet satın alım süreçlerini yürütmek
• Mal / hizmet satış süreçlerini yürütmek
• Mal / hizmet satış sonrası destek hizmetlerini yürütmek
• Mal / hizmet üretim ve operasyon süreçlerini yürütmek
• Saklama ve arşiv faaliyetlerini yürütmek
• Sözleşme süreçlerini yürütmek
• Yetkili kişi, kurum ve kuruluşlara bilgi vermek
• Yönetim faaliyetlerinin yürütülmesi

            4.2. İmhayı Gerektiren Sebepler

Kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişini açık rızasını geri alması
• KVKK’nın 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Şirket tarafından kabul edilmesi
• Şirket’in, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması

durumlarında, Şirket tarafından silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

5. TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için KVKK’nın 12. maddesi ile 6. maddesinin 4. fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Şirket tarafından teknik ve idari tedbirler alınır.

            5.1. Teknik Tedbirler

Sütlüce kadayıf tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır;

• Ağ ve uygulama güvenliği sağlanmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamında güvenlik önlemleri alınmaktadır.
• Erişim logları düzenli olarak ve kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

            5.2. İdari Tedbirler

Sütlüce kadayıf tarafından, işlediği kişisel verilerle ilgili olarak alınan tedbirler aşağıda sayılmıştır;

• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.
• Kişisel veri güvenliği politika ve prosedürleri hazırlanmıştır.
• Kişisel veri işleme envanteri hazırlanmıştır.
• Şirket içi periyodik ve rastgele denetimler yapılmaktadır.
• Sütlüce kadayıf tarafından, kişisel veri işlemeye başlamadan önce, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
• Ortaya çıkabilecek riskler ile risk kontrol ve önlem adımları belirlenmektedir.
• Kişisel verilerin Sütlüce kadayıf çalışanları tarafından hukuka aykırı olarak işlenmesi halinde alınacak tedbirler çeşitli politika ve prosedürlerde düzenlenmektedir.
• Üçüncü kişilerle veri paylaşımının kapsamını belirleyen gizlilik sözleşmelerinin ve diğer sözleşmelerdeki gizlilik hükümlerinin yürürlüğe konulması sağlanmıştır.

6. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Şirket tarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

            6.1. Kişisel Verilerin Silinmesi

Sütlüce kadayıf olarak, kişisel verilerin hukuka uygun olarak silinmesi işlemini gerçekleştirebilmek amacıyla tarafımızca teknikler şu şekildedir:

            6.2. Kişisel Verilerin Yok Edilmesi

Sütlüce kadayıf olarak, kişisel verilerin hukuka uygun olarak yok edilmesi işlemini gerçekleştirebilmek amacıyla tarafımızca teknikler şu şekildedir:

            6.3. Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek hale getirilmesidir.

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

7. SAKLAMA VE İMHA SÜRELERİ

Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi Bilgi Teknolojileri Müdürlüğü tarafından yerine getirilir. Kişisel verilerin saklama süreleri ilgili mevzuatta öngörülen süreler çerçevesinde belirlenmiştir.

Bu çerçevede, ilgili verinin Sütlüce kadayıf nezdinde saklanmasının, KVKK’nın 5. ve 6. maddesinde kişisel verilere ve özel nitelikli kişisel verilere ilişkin olarak öngörülen hukuka uygunluk sebepleri kapsamında değerlendirilmesi halinde, bu hukuka uygunluk sebeplerine istinaden ilgili kişisel verilere ilişkin saklama süreleri tespit edilir. Kişisel verilerin imha süreci, Sütlüce kadayıf tarafından her bir ilişkiye uygun olarak ilgili mevzuat gözetilerek belirlenmiş olan saklama süreleri doğrultusunda yürütülmektedir. Saklama süreleri sona eren kişisel veriler, Sütlüce kadayıf tarafından belirlenmiş olan periyodik imha sürelerinde silinir, yok edilir veya anonim hale getirilir.

8. PERİYODİK İMHA SÜRESİ

Yönetmelik’in 11. maddesi gereğince periyodik imha süresi, Şirket tarafından, 6 ay olarak belirlenmiştir.

9. POLİTİKA’NIN YAYIMLANMASI

Bu politika yayınlandığı tarihte yürürlüğe girer.

10. POLİTİKA’NIN GÜNCELLENME PERİYODU

Bu politika, mevzuatın değişiklik gösterdiği durumlarda ve değişiklik gösteren durumlarda  güncellenir.