Saklama ve İmha Politikası
NORA ELEKTRONİK SANAYİ VE DIŞ TİCARET LİMİTED ŞİRKETİ KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI
1. AMAÇ VE KAPSAM
Kişisel Verileri Saklama ve İmha Politikası (“Politika”) Nora Elektronik Sanayi ve Dış Ticaret Limited Şirketi (“Şirket”) gerçekleştirilmekte olan saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır.
Şirket; çalışanlar, mal/hizmet sağlayıcıları, müşteri temsilcileri ve diğer üçüncü kişilere ait kişisel verilerin T.C. Anayasası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.
Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Şirket tarafından bu doğrultuda hazırlanmış olan Politika’ya uygun olarak gerçekleştirilir.
Veri Sorumlusu çalışanları, çalışan adayları, mal/hizmet sağlayıcıları, müşteriler ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup veri sorumlusunun işlediği kişisel verilerin tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.
2. TANIMLAR
- 2.1. Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.
- 2.2. Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
- 2.3. Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
- 2.4. Çalışan: Şirkette iş görme faaliyetini gerçekleştiren gerçek kişileri ifade eder.
- 2.5. Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
- 2.6. Elektronik Olmayan Ortam: Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel ve benzeri ortamlar.
- 2.7. Hizmet Sağlayıcı: Kişisel Verileri Koruma Kurumu ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi.
- 2.8. İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
- 2.9. İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.
- 2.10. İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
- 2.11. Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
- 2.12. Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
- 2.13. Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
- 2.14. Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
- 2.15. Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
- 2.16. Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
- 2.17. Periyodik İmha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
- 2.18. Politika: Kişisel Verileri Saklama ve İmha Politikası.
- 2.19. Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
- 2.20. Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
- 2.21. Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
- 2.22. VERBİS: Veri Sorumluları Sicil Bilgi Sistemi
- 2.23. Yönetmelik: 28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
3. KİŞİSEL VERİLERİN SAKLANDIĞI KAYIT ORTAMLARI
Kişisel veriler, Şirket tarafından aşağıda belirtilen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.
- 3.1. Elektronik Ortamlar: Bulut sistemleri, merkezi sunucu, hard-disk, optik diskler, mobil cihazlar, taşınabilir medya, veri tabanları, bilgi güvenliği cihazları, ofis portal ve yazılımları, yazıcı, tarayıcı, fotokopi makinesi vb.
- 3.2. Elektronik Olmayan Ortamlar: Kağıt, özlük dosyası, fatura, fiş, irsaliye, formlar, manuel evrak kayıt sistemleri vb.
4. KİŞİSEL VERİLERİN SAKLANMA VE İMHA SÜREÇLERİNDE ROL ALANLAR
Tüm Şirket çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.
| UNVAN | BİRİM | GÖREV |
|---|---|---|
| İnsan Kaynakları Müdürü | İnsan Kaynakları | Çalışanların politikaya uygun hareket etmesinden sorumludur. Politika’nın hazırlanması, geliştirilmesi, yürütülmesi, ilgili ortamlarda yayınlanması ve güncellenmesinden sorumludur. |
| Muhasebe Müdürü | Muhasebe | Görevlerine uygun olarak Politikanın yürütülmesinden sorumludur. |
| Bilişim Uzmanı | Bilişim | Politika’nın uygulanmasında ihtiyaç duyulan teknik çözümlerin sunulmasından sorumludur. |
5. KİŞİSEL VERİ SAKLAMA VE İMHA SÜREÇLERİNE İLİŞKİN AÇIKLAMALAR
Şirket tarafından; çalışanlar, çalışan adayları, mal ve hizmet sağlayıcı olarak ilişkide bulunulan üçüncü kişilerin, kurumların veya kuruluşların çalışanlarına ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.
5.1. KİŞİSEL VERİ SAKLAMAYA İLİŞKİN AÇIKLAMALAR
Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6. maddelerde ise kişisel verilerin işleme şartları sayılmıştır.
5.1.1 Saklamayı Gerektiren Hukuki Sebepler
Şirket faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen ve işleme amaçlarımıza uygun süre kadar saklanır. Bu kapsamda kişisel veriler; Kanun, Türk Borçlar Kanunu, Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun, İş Sağlığı ve Güvenliği Kanunu, İş Kanunu, Türk Ticaret Kanunu, Vergi Usul Kanunu, İcra İflas Kanunu ve sair mevzuat uyarınca yürürlükte olan düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.
5.1.2 Saklamayı Gerektiren İşleme Amaçları
Şirket, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri; Hukuk İşlerinin Takibi ve Yürütülmesi, Çalışanlar İçin Sözleşmesel/Mevzuatsal Yükümlülüklerin Yerine Getirilmesi, Finans ve Muhasebe İşlerinin Yürütülmesi, İnsan Kaynakları Süreçleri, Bilgi Güvenliği, Fiziksel Mekan Güvenliği, Yetkili Kurumlara Bilgi Verilmesi gibi amaçlarla saklar.
5.2. KİŞİSEL VERİLERİN İMHASINA İLİŞKİN AÇIKLAMALAR
Kişisel verilerin imhasını gerektiren başlıca sebepler şunlardır:
- İşlenmesine esas teşkil eden mevzuat hükümlerinin değiştirilmesi veya ilgası,
- İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
- Açık rızanın geri alınması,
- İlgili kişinin silme talebinin kabul edilmesi,
- Maksimum saklama süresinin dolması ve başka bir haklı gerekçe bulunmaması.
5.2.1. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
| Veri Kayıt Ortamı | Açıklama |
|---|---|
| Sunucularda Yer Alan Kişisel Veriler | Sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır. |
| Elektronik Ortamda Yer Alan Kişisel Veriler | Çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. |
| Fiziksel Ortamda Yer Alan Kişisel Veriler | Birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez hale getirilir. Ayrıca karartma işlemi uygulanır. |
| Taşınabilir Medyadaki Kişisel Veriler | Şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek güvenli ortamlarda saklanır. |
| Veri Kayıt Ortamı | Açıklama |
|---|---|
| Fiziksel Ortamda Yer Alan Kişisel Veriler | Kağıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir. |
| Optik / Manyetik Medyadaki Kişisel Veriler | Eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel imha yöntemleri uygulanır. |
6. KİŞİSEL VERİLERİN SAKLANMA VE İMHA SÜRELERİ
Süreçlere bağlı olarak belirlenen saklama ve imha süreleri envantere ve politikalara uygun olarak yürütülür.
| SÜREÇ | SAKLAMA SÜRESİ | İMHA SÜRESİ |
|---|---|---|
| Özlük | Sözleşmenin sona ermesinden itibaren 120 ay | İlk periyodik imha döneminde |
| Özlük Dosyası ve Gelen Evrak | Sözleşmenin sona ermesinden itibaren 120 ay | İlk periyodik imha döneminde |
| Finansal Faaliyetler | İfadan veya sözleşmenin sona ermesinden itibaren 10 yıl | İlk periyodik imha döneminde |
| Tüzel Kişiliğin Temsili | Temsil ilişkisinin sona ermesinden itibaren 120 ay | İlk periyodik imha döneminde |
| Yönetim / Genel Kurul / İlan | Karar tarihinden itibaren 120 ay | İlk periyodik imha döneminde |
| Sözleşmesel Yükümlülüğün Yerine Getirilmesi | Fesih tarihinden itibaren 10 yıl | İlk periyodik imha döneminde |
| Hukuk İşlerinin Takibi | İlgili sözleşmenin sona ermesinden itibaren 10 yıl | İlk periyodik imha döneminde |
| Operasyonel Süreçler | Teslimden itibaren 10 yıl | İlk periyodik imha döneminde |
| Veri Güvenliği Süreci | İmhadan itibaren 10 yıl | İlk periyodik imha döneminde |
7. KİŞİSEL VERİLERİN SAKLANMA VE İMHASI İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER
Şirket tarafından kişisel verilerin güvenliği için her türlü teknik ve idari tedbirler alınmaktadır.
7.1 Teknik Tedbirler
Sızma testleri, erişim ve yetki matrisleri, fiziksel güvenlik önlemleri, şifrelenmiş e-posta aktarımları, yedekleme programları ve güçlü parolalar gibi teknik koruma önlemleri uygulanmaktadır.
7.2 İdari Tedbirler
Çalışanlara yönelik veri güvenliği ve KVKK eğitimleri verilmekte, gizlilik sözleşmeleri imzalatılmakta ve periyodik iç denetimler gerçekleştirilmektedir.
8. PERİYODİK SÜRELER
Yönetmeliğin 11 inci maddesi gereğince Şirket, periyodik imha süresini bir yıl olarak belirlemiştir. Buna göre, Şirket’te her yıl Temmuz ayında periyodik imha işlemi gerçekleştirilir.
9. POLİTİKA’NIN YAYIMLANMASI VE GÜNCELLENMESİ
Politika, basılı kağıt ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, internet sayfasında kamuya açıklanır. İhtiyaç duyuldukça gözden geçirilir ve güncellenir.