Datenschutzhinweis

03Amaç ve kapsam

Bu politika, kurumumuzun KVK Kanunu ve ilgili mevzuat tarafından ortaya konulan kuralları uygulamasına ilişkin yol gösterici bir nitelik taşımaktadır. Politikanın temel amacı, Kanuna uygun olarak kişisel verilerin işlenmesi ve korunmasına yönelik açıklamalarda bulunmak ve kurumumuz tarafından işlenen kişisel verileri, kişileri bilgilendirerek şeffaflığı sağlamaktır. Bu şekilde kurumumuz tarafından gerçekleştirilen kişisel verilerin işlenmesi ve korunması faaliyetlerinde mevzuata tam uyumun sağlanması ve kişisel veri sahiplerinin kişisel verilere dair mevzuattan kaynaklanan tüm haklarının korunması amaçlanmaktadır. Bu politika, vatandaşlarımızın, çalışanlarımızın ve iş birliği içinde olduğumuz kurumun otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir.

04İlkeler

Kurumumuz tarafından KVK Kanunu uyarınca veri güvenliğini sağlamaya yönelik alınan aksiyonlar ve tedbirler aşağıda belirtilmektedir.

1. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde Kanun kapsamında alınması gereken teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına uygun hareket edilmektedir.

2. Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler kurumumuz tarafından kayıt altına alınmaktadır.

3. Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri resmen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tabi olduğumuz mevzuata istinaden belirlenmektedir.

4. Çalışanlar, KVK Kanunu ve tabi oldukları diğer kanunlara istinaden, öğrendikleri kişisel verileri kanunlara aykırı olarak başkasına açıklayamama, işleme amacı dışında kullanamama ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği hususunda kanuni olarak yükümlüdürler.

5. Yüklenicilere, kurumumuzun veri sorumlusu olarak kişisel verileri işlerken uymak zorunda olduğu hukuki, idari ve teknik yükümlülükler, gizlilik sözleşmesi ile yükletilmektedir.

6. Kurumumuz, KVK Kanununa uygun olarak, kendi bünyesinde gerekli denetimleri yapmakta veya yaptırmaktadır. Bu denetim sonuçları konu ile ilgili birim ve yöneticilere raporlanmakta ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir.

05Kişisel verilerin işlenmesi

Kurumumuz, yükümlülük ve sorumluluklarını yerine getirirken tabi olduğu kanunlar kapsamında kişisel verileri işlemektedir. Kişisel veriler, tabi olunan kanunlarda açıkça belirtilmeksizin veya veri sahibinin açık rızası olmaksızın işlenemez. Kişisel veri sahibinin açık rıza vermesi, kişisel verilerin hukuka uygun olarak işlenmesini mümkün kılan hukuki dayanaklardan yalnızca bir tanesidir. Açık rıza dışında, aşağıda yazan diğer şartlardan birinin varlığı durumunda da kişisel veriler işlenebilir.

a. Kurumumuz, kişisel veri sahiplerinin kişisel verilerini açık rıza olmasa dahi kanunlarda açıkça öngörülen hallerde işleyebilir. Örneğin; Kamu İhale Kanunu uyarınca istekli firma yetkilisinin kimlik bilgilerinin işlenmesi.

b. Fiili imkânsızlık nedeni ile rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişilerin kendisinin ya da başka bir kişinin hayat veya beden bütünlüğünün korunması için kişisel veriler açık rıza olmadan işlenebilir. Örneğin; baygınlık geçiren ziyaretçinin nüfus cüzdanı bilgilerinin kurum yetkilisi tarafından doktorlara iletilmesi.

c. Kurum tarafından bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel veriler işlenebilecektir. Örneğin; yapılan bir sözleşme gereği paranın ödenmesi için alacaklı tarafın hesap numarası bilgisinin alınması.

d. Kurum tarafından kişisel veri sahiplerinin kendisi tarafından alenileştirilen kişisel verileri işlenebilir. Örneğin; çalışan adayının iletişim bilgilerini, iş başvurusu yapılmasına imkân veren internet sitelerinde yayımlaması.

e. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olduğu halde veri sahibinin kişisel verileri işlenebilecektir. Örneğin; ispat niteliği olan verilerin (örneğin bir faturanın) saklanması ve gerekli olduğu anda kullanılması.

f. Kurum, hukuken meşru bir hakkın kullanılması veya korunması için veri işlemenin zorunlu olduğu hallerde kişisel veri sahiplerinin kişisel verilerini açık rıza aramaksızın işleyebilir. Örneğin; kuruma ait bina ve tesislerde güvenlik amaçlı olarak kamera kaydı yapılması.

g. Kurumumuz özel nitelikli kişisel verileri, kanunlarda açıkça öngörülen haller dışında, ilgili kişinin açık rızası olmaksızın işlemez.

h. Kurumumuz kişisel verileri işlerken, kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu kapsamda kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, kişisel verileri amacının dışında kullanmamaktadır. Kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır.

06Kişisel verilerin işlenme amaçları

Kurumumuz kişisel verileri aşağıdaki amaçlarla işlemektedir:

a. Kurumumuzun bağlı bulunduğu kanun ve ilgili mevzuatlar kapsamında sunacağı hizmetlerde kullanmak.

b. Kâğıt üzerinde ya da elektronik ortamda gerçekleştirilecek iş ve işlemlere dayanak olacak bilgi ve belgeleri düzenlemek.

c. İlgili mevzuat uyarınca adli ve idari yetkili makamlarca öngörülen bilgi saklama, raporlama ve bilgilendirme yükümlülüklerine uymak.

d. Kurumsal sürdürülebilirlik faaliyetlerinin planlanması ve icrası.

e. Kurum şirketleri ve yüklenicilerle olan ilişkilerin yönetimi.

f. Personel temin süreçlerinin yürütülmesi.

g. Finansal raporlama ve risk yönetimi işlemlerinin icrası ve takibi.

h. Web sitelerden ve uygulamalardan sunulan hizmetlerin geliştirilmesi.

Bahsi geçen amaçların dışında gerçekleştirilen işleme faaliyetinin KVK Kanunu kapsamında öngörülen şartlardan herhangi birini karşılamıyor olması halinde, ilgili işleme sürecine ilişkin olarak kurum tarafından kişisel veri sahibinin açık rızası temin edilmektedir.

07Kişisel verilerin sınıflandırılması

Kurumumuzun meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, Kanunda düzenlenen bütün yükümlülüklere uyularak aşağıda belirtilen kategorilerdeki kişisel veriler, Kanun uyarınca ilgili kişiler bilgilendirilmek suretiyle işlenmektedir.

Kimlik bilgisi: Ad-soyad, T.C. kimlik numarası, uyruk bilgisi, anne adı-baba adı, doğum yeri, doğum tarihi, cinsiyet gibi bilgileri içeren ehliyet, nüfus cüzdanı, pasaport gibi belgeler ile vergi numarası, SGK numarası, imza bilgisi, taşıt plakası vb.

İletişim bilgisi: Telefon numarası, adres, e-posta adresi, faks numarası vb. Aile bireyleri ve akraba/yakın bilgisi, kurumumuzun verdiği hizmetlerle ilgili veya kişisel veri sahibinin hukuki ve diğer menfaatlerini korumak amacıyla kişisel veri sahibinin aile bireyleri (örneğin eş, anne, baba, çocuk) ve yakınları hakkında acil durumlarda ulaşılacak iletişim bilgileridir.

Fiziksel mekân güvenlik bilgisi: Fiziksel mekâna girişte ve mekânın içerisinde kalış süresinde alınan kayıtlar ve belgelere ilişkin kişisel veriler, kamera kayıtları ve güvenlik noktasında alınan kayıtlar vb.

Finansal bilgi: Kurumun kişisel veri sahibi ile kurmuş olduğu hukuki ilişkinin tipine göre yaratılan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler ile banka hesap numarası, IBAN numarası, kredi kartı bilgisi, gelir bilgisi vb.

08Bina, tesis girişleri ve içerisinde veri işleme faaliyetleri

Kurumumuz tarafından güvenliğin sağlanması amacıyla, kurumumuz binasında ve tesisinde güvenlik kamerasıyla izleme faaliyeti ile misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Bu faaliyetler güvenlik kameraları ile misafir giriş çıkışlarının kayıt altına alınması yoluyla yapılmaktadır. Kurumumuz tarafından yürütülen kamera ile izleme ve kayıt tutulması, Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun olarak sürdürülmektedir. Kurumumuz tarafından KVK Kanunu’nun 12. maddesine uygun olarak, kamera ile izleme faaliyeti sonucunda elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır.

Kurumumuz tarafından gelen ziyaretçiler, bina içerisinde kaldıkları süre boyunca talep ederlerse misafir ağı üzerinden internet erişimi sağlayabilirler. İnternet erişimlerinize ilişkin log kayıtları 5651 sayılı Kanun ve bu kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kurum ve kuruluşlar tarafından talep edilmesi veya kurum içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir.

09KVKK gereğince sahip olduğunuz haklar

Kişisel Verilerin Korunması Kanunu’nun 11. maddesine göre herkes, veri sorumlusuna başvuru yaparak kendisiyle ilgili aşağıdaki haklara sahiptir:

a) Kişisel veri işlenip işlenmediğini öğrenme.

b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.

c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.

ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme.

d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme.

e) 7. maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme.

f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.

g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun çıkmasına itiraz etme.

h) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Bu çerçevede yapacağınız talepler KVKK kapsamında yazılı olmalıdır. Bunun için, kimliğinizi belirleyici belgelerle birlikte, kullanmak istediğiniz hakkınıza yönelik açıklamalarınızı içeren bir dilekçe ile kurumumuza Atatürk Cd. 49/1, Fatih Mahallesi, 32100 Merkez / Isparta adresinde bizzat başvurabilir; başvurunuzu noter kanalıyla veya kurumumuzun elektronik posta adresine ([email protected]) göndererek yapabilirsiniz. Dilediğiniz zaman, kurumumuz tarafından işlenen verilerin doğruluğu ve güncelliği sorgulanabilir.

10Kişisel verilerin saklanma süreleri

Kurumumuz ilgili kanunlarda ve mevzuatlarda öngörülmesi durumunda kişisel verileri mevzuatlarda belirtilen süre boyunca saklamaktadır. Kişisel verilerin ne kadar süre boyunca saklanması gerektiğine ilişkin mevzuatta bir süre düzenlenmemişse, kişisel veriler, kurumun o veriyi işlerken yürütülen faaliyet ile bağlı olarak işlenmesini gerektiren süre kadar işlenmektedir.

11Kişisel verilerin silinmesi, yok edilmesi ve anonimleştirilmesi

Kurumumuz, Türk Ceza Kanunu’nun 138. maddesinde ve KVK Kanunu’nun 7. maddesinde düzenlendiği üzere ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kurum kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Bu kapsamda kurumumuz ilgili yükümlülüğünü yerine getirmek üzere kurum içerisinde gerekli teknik ve idari tedbirleri alarak, bu yükümlülüklerine uygun davranmak üzere ilgili birimlerini eğitmekte, görevlendirme ve farkındalıklarını sağlamaktadır.

Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder. KVK Kanunu’nun 28. maddesine uygun olarak, anonim hâle getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilecektir.

12Kişisel verilerin korunması için alınan teknik ve idari tedbirler

Kurumumuz, kanuna uygun olarak, işletmekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almaktadır.

Teknik tedbirler: Teknolojideki gelişmelere uygun teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmekte ve yenilenmektedir. Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmektedir. Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği ilgilisine raporlanmakta, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilmektedir. Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kurulmaktadır. Teknik konularda bilgili personel istihdam edilmektedir. Kullanılan uygulamalardaki güvenlik açıklarını saptamak için düzenli olarak güvenlik taramalarından geçirilmekte, bulunan açıkların kapatılması sağlanmaktadır. Kişisel verilerin güvenli ortamlarda saklanması için teknolojik gelişmelere uygun sistemler kullanılmaktadır. Kişisel verilerin tutulduğu ortamlara erişim kısıtlanarak yalnızca yetkili kişilerin, kişisel verinin saklanma amacı ile sınırlı olarak bu verilere erişmesine izin verilmektedir.

İdari tedbirler: Çalışanlar, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir. Kurumun yürütmekte olduğu tüm faaliyetler detaylı olarak birimler özelinde analiz edilerek kişisel veri işleme faaliyetleri ortaya konulmaktadır. Çalışanlar, kişisel verilere hukuka aykırı erişimi engellemek için alınacak teknik tedbirler konusunda eğitilmektedir. Kişisel veri işlenmesi hukuksal uyum gerekliliklerine uygun olarak kurum içinde erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır. Kurum tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere ek olarak, kişisel verilerin aktarıldığı kişilerin gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin gizlilik sözleşmesi imzalanmaktadır.