KİŞİSEL VERİLERİ SAKLAMA VE İMHA PROSEDÜRÜ

Kişisel Verileri Saklama ve İmha Prosedürü

1. AMAÇ

Bu imha politikası (POLİTİKA) veri sorumlusu 4K Evergreen Ekolojik ve Biyolojik Çevre Danışmanlığı. (“ŞİRKET”) olarak elde edilen kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat gereğince silinmesi, yok edilmesi ve/veya anonim hale getirilmesine ilişkin uygulanacak usul ve esasların belirlenmesi amacıyla hazırlanmıştır.

2. KAPSAM

İşbu Politika, ŞİRKET tarafından işletilmekte olunan Kişisel Verilere yönelik tüm faaliyetleri kapsar ve söz konusu faaliyetlere uygulanır. Bu Kişisel Verilerin saklanmasıyla ilgili olarak bu politika tarafından düzenlenen kurallar danışan, çalışan veya diğer gerçek şahıslarla ilgili basılı, elektronik veya diğer ortamlardaki tüm kişisel verileri kapsar.

3. TANIMLAR

4. SORUMLULUKLAR

4.1. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi ŞİRKET tarafından bu prosedürde belirtilen teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kişisel Verileri Koruma Kurulu (‘Kurul’) kararlarına uygun olarak gerçekleştirilir.

4.2. Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tarafımızca seçilmektedir. Ancak, İlgili Kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilecektir.

4.3. Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler ŞİRKET tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere madde 6’da açıklanan sürelerle saklanmaktadır.

4.4. Şirketin faaliyetleri için Kişisel Verileri elinde tutmamasını ve Kişisel Verilerin silinmesi ve/veya arşivlenmesini sağlamak tüm çalışanların ve Veri İrtibat kişisinin sorumluluğudur.

4.5. Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler ŞİRKET tarafından periyodik imha zamanlarında re’sen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir.

Bu hususta İlgili Kişi tarafından Şirkete başvurulması halinde; İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir, Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir.

5. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMLERİ

Kişisel veriler, VERİ SORUMLUSU tarafından yetkilendirilmiş veri işleyen gerçek veya tüzel kişiler tarafından, 6698 sayılı Kişisel Verilerin Korunması Kanununda ve bu kanuna bağlı olarak çıkarılan ikincil düzenlemelerde belirtilen şartlar ve amaçlar dahilinde; Veri sahiplerinin şirkete başvurması ve ilk bilgilendirmenin yapılması, kaydın açılarak hasta dosyası oluşturulması, kâğıt ve elektronik ortamda tutulan formlar ve tutanaklar gibi vasıtalarla, cv ibrazıyla veya iş başvurularıyla, tedarikçi/hizmet alınan olarak herhangi bir amaçla ŞİRKET ile iletişime geçildiğinde ve hizmet alındığında otomatik ve otomatik olmayan yöntemlerle sözlü, yazılı veya elektronik ortamda temin edilmektedir.

6. KİŞİSEL VERİLERİN SAKLANMASI

5.1. Veri Sahiplerine ait kişisel veriler, ŞİRKET tarafından özellikle (i) OSGB hizmetlerinin sürdürülebilmesi, (ii) hukuki yükümlülüklerin yerine getirilebilmesi, (iii) çalışan haklarının ve yan haklarının planlanması ve ifası ile (iv) müşteri  ilişkilerinin yönetilebilmesi amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

5.2. Saklamayı gerektiren sebepler aşağıdaki gibidir:

• Kişisel verilerin sağlık hizmetlerinin verilmesi / sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
• Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
• Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla ŞİRKETin meşru menfaatleri için saklanmasının zorunlu olması,
• Kişisel verilerin ŞİRKETin herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması, · Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
• Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü nedeniyle saklanması.

5.3. Kişisel Veriler, ŞİRKET bünyesinde ilgili yasal saklama/zamanaşımı süreleri müddetince bulundurulmakta olup, bu verilerle ilişkili faaliyetlerin ve işbu POLİTİKA’da de belirtilen amaçların gerçekleştirilmesi için gerekli süre boyunca saklanmaktadır. Kullanım amacı sonlanan ve yasal saklama süresi/zamanaşımı sona eren Kişisel Veriler ise, KVKK’nın 7’nci maddesi uyarınca ŞİRKET tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

7. SAKLAMA VE İMHA SÜRELERİ

6.1. Söz konusu verilerin imhasında uygulanacak yöntem, verinin niteliği ŞİRKETimiz nezdindeki önem derecesine göre belirlenir.

6.2. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir.

6.3. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir.

6.4. ŞİRKET’imiz tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha işlemlerinde Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir.

6.5. Saklama süresi dolan kişisel veriler, ŞİRKET tarafından belirlenen imha süreleri çerçevesinde, 6 aylık periyodlarla her yılın Ocak ve Temmuz ayı’nda işbu Prosedür’de yer verilen usullere uygun olarak imha edilir.

6.6. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

6.7. Kişisel Veri saklama ve imha süreleri aşağıdaki gibidir.

8. SAKLAMA VE İMHA USULLERİ

1. KAYIT ORTAMLARI VERİ TÜRÜ MUHAFAZA SÜRESİ İMHA SÜRESİ

E-postalar ve ŞİRKET içi yazışmalar; 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Sözleşmeler; Sözleşmenin sona ermesini takip eden 10 yıl boyunca Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Çalışan Kayıtları; Çalıştıkları süre boyunca Saklama süresinin bitimini takip eden ilk periyodik imha süresinde, Eski Çalışan Kayıtları İşten ayrılmalarını takip eden 10 yıl boyunca Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Muhasebe ve Finans Kayıtları; 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Hukuk Kayıtları; 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Resmi Yazışmalar; Süresiz Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Vergi Kayıtları; 10 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

İş Sağlığı ve Güvenliği Mevzuatı Kapsamında Toplanan Veriler; İş İlişkisinin sona ermesinden itibaren 15 Yıl

Şirket Ortakları ve Yönetim Kurulu Üyelerine ait Bilgiler; Pay defterinin saklanma zorunluluğu sebebiyle Süresiz Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

CV Kayıtları; tarafımıza ulaşmasından itibaren 1 yıl Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Fiziksel Mekan Güvenlik Bilgileri 20 gün Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Ses Bilgileri 20 gün Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Lokasyon Bilgileri 4 ay Saklama süresinin bitimini takip eden ilk periyodik imha süresinde,

Açık rıza ile toplanan veriler, açık rızanın geri alınmasından itibaren 30 gün içerisinde,

Veri sahiplerine ait kişisel veriler, ŞİRKET tarafından aşağıdaki tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır:

• Web Browser Destekli Antivirus Programı
• Bilgisayar Şifreleme
• Kilitli Dolaplar
• Kısıtlı Erişim

1. TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla ŞİRKET tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır.

İdari Tedbirler:

• Kişisel Veri Envanteri hazırlamak ve gerektiğinde güncellemek,
• Aydınlatma Yükümlülüğü hazırlamak ve bu metni kişisel veri sahiplerinin ulaşabileceği mecrada tutmak,
• VERBİS kaydını gerçekleştirmek ve herhangi bir değişiklik halinde bu kayıtları güncellemek
• Mevcut risk ve tehditleri belirlemek,
• ŞİRKET ve personel arasındaki ilişkiyi düzenleyecek şekilde, kişisel veri içeren her türlü belgeye kişisel verilerin hukuka uygun olarak işlenmesi için KVK Kanunu ile öngörülen yükümlülüklere uygun hareket edilmesi gerektiği, kişisel verilerin ifşa edilmemesi gerektiği, kişisel verilerin hukuka aykırı olarak kullanılmaması gerektiği ve kişisel verilere ilişkin gizlilik yükümlülüğünün ŞİRKET ile olan iş akdinin sona ermesinden sonra dahi devam ettiği yönünde Gizlilik ve Sadakat Sözleşmeleri imzalatmak, bu Sözleşmelere söz konusu yükümlülüklere uymaması iş akdinin feshine varabilecek yaptırımların uygulanacağına ilişkin hükümler eklemek,
• Veri aktarılan kişilere Gizlilik ve Sadakat Taahhütnameleri imzalatmak, ŞİRKET tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklemek,
• Saklama ve imha politikası hazırlamak ve imha süreçlerini uygun şekilde yürütmek,
• Kişisel verileri mümkün olduğunca azaltmak,
• Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırmak, Arşiv Görevlisi yetkilendirerek fiziki ortamda personelin sadece yetkilendirildiği belgelere erişimine izin vermek, dijital ortamda ise her personelin sadece yetkili ve görevli olduğu bilgilere kendilerine özel şifreleri ile ulaşmalarını sağlamak,
• ŞİRKET içinde kişisel verilere erişim ve yetkilendirme süreçlerini tasarlama ve uygulamak,
• Kişisel verilere hukuka aykırı erişilmesini önlenmek, kişisel verilerin muhafazasını sağlamak,
• Çalışanları, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirmek ve bu doğrultuda kendilerinden gerekli taahhütler almak,
• Çalışanların niteliği ve teknik bilgi/becerisinin geliştirmek, kişisel verilerin hukuka aykırı işlenmesi önlemek,
• ŞİRKET Personeline kişisel verilerin korunması mevzuatı ve veri güvenliği kapsamında gerekli eğitimler vermek,
• Yetki Matrisi ve Yetki Kontrol Listesi Oluşturmak,
• İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirmek.

Teknik Tedbirler:

• Teknolojideki gelişmelere uygun teknik önlemler almak, alınan önlemleri periyodik olarak güncellemek ve yenilemek,
• Kişisel veri içeren fiziksel ortamlara (kilitli dolaplar vb gibi) erişim ile ilgili gerekli güvenlik önlemleri almak ve fiziksel ortamların dış risklere karşı güvenliğini sağlamak,
• Hukuka aykırı işlemeyi önlenmeye yönelik riskleri belirlemek,
• Kişisel veri içeren fiziksel ortamlara giriş-çıkışlarla ilgili gerekli güvenlik önlemleri almak,
• Kişisel veri içeren fiziksel ortamların güvenliğini sağlamak,
• Kişisel verileri içeren fiziksel ortamların dış risklere (yangın vs.) karşı güvenliğini sağlamak,
• Güncel anti-virüs sistemleri kullanmak,
• Çalışan Özlük Dosyaları, Hasta Dosyaları gibi gizli belgeleri kilitlenebilir bir dolapta saklamak,
• İş birimi bazında belirlenen hukuksal uyum gerekliliklerine uygun olarak erişim ve yetkilendirme teknik çözümlerini devreye almak,
• Erişim yetkilerini sınırlandırmak, yetkileri düzenli olarak gözden geçirmek,
• Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırmak, Arşiv Görevlisi yetkilendirerek fiziki ortamda personelin sadece yetkilendirildiği belgelere erişimine izin vermek, dijital ortamda ise her personelin sadece yetkili ve görevli olduğu bilgilere kendilerine özel şifreleri ile ulaşmalarını sağlamak,
• Teknik konularda uzman kişilerden hizmet almak,
• Hukuka aykırı işleme tespiti halinde ilgili kişiye ve kurula hızlıca bildirmek,
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanmak,
• Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanmak,
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemlerini almak, fiili olarak açık port kullanmamak,
• Kişisel verileri yedeklemek, yedeklenen kişisel verilerin güvenliğini sağlamak,
• Özel nitelikli kişisel verilerin işlendiği ve saklandığı ortamlar için güvenlik önlemleri almak, yetkisiz giriş çıkışları engellemek,
• Özel nitelikli kişisel verileri kağıt ortamında aktarımı gerekiyorsa evrak “gizlilik dereceli belgeler” formatında göndermek,
• Özel nitelikli kişisel verilerin güvenliğine yönelik politika ve prosedürler belirlemek.

9. KİŞİSEL VERİLERİ SİLME, İMHA ETME VE ANONİMLEŞTİRME USULLERİ

ŞİRKET tarafından KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde ŞİRKET tarafından re’sen yahut İlgili Kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir.

9.1. KİŞİSEL VERİLERİN SİLİNMESİ

Kişisel veriler aşağıda belirtilen yöntemlerle silinir:

Sunucularda yer alan kişisel veriler                 : Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için VERİ SORUMLUSU tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik ortamda yer alan kişisel veriler     : Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, VERİ SORUMLUSU hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Fiziksel ortamda yer alan kişisel veriler         : Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için VERİ SORUMLUSU dışındaki kişiler için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

Taşınabilir medyada bulunan kişisel veriler   : Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, VERİ SORUMLUSU tarafından şifrelenerek ve erişim yetkisi sadece VERİ SORUMLUSUNA verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

9.2. KİŞİSEL VERİLERİN İMHA EDİLMESİ

Kişisel veriler aşağıda belirtilen yöntemlerle yok edilir:

Fiziksel ortamda yer alan kişisel veriler                                         : Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

Optik/Manyetik medyada yer alan kişisel veriler                          : Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

9.3. KİŞİSEL VERİLERİN ANONİM HALE GETİRİLMESİ

ŞİRKET kayıtları çıkartma, değişken değiştirme, genelleştirme gibi yöntemlerle kişisel verilerin anonim hale getirilmesini sağlar.

9.4. PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11.maddesi gereğince Veri Sorumlusu, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, ŞİRKET’te her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

9.5. POLİTİKANIN YAYINLANMASI VE SAKLANMASI

Politika, ıslak imzalı olarak basılı kâğıtta düzenlenir ve ŞİRKETte ilgili dosyalarda saklanır. ŞİRKETin bir internet sayfası olması halinde politika aynı zamanda internet sayfasında da kamuya açıklanır.

9.6. POLİTİKANIN GÜNCELLENME PERİYODU

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir. İşbu Politika; Veri Sorumlusu tarafından VERBİS kaydının tamamlanmasının ardından yürürlüğe girmiş kabul edilir.

Yürürlükten kaldırılmasına karar verilmesi halinde Politika’nın ıslak imzalı eski nüshaları VERİ SORUMLUSU tarafından iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile ŞİRKET’te ilgili dosyalarda saklanır.

VERİ SORUMLUSU          : 4K Evergreen Ekolojik ve Biyolojik Çevre Danışmanlığı.

İMZA                                     :