KİŞİSEL VERİ SAKLAMA ve İMHA POLİTİKASI

1. AMACI#

PONEOM TEKNOLOJİ ANONİM ŞİRKETİ ("PONEOM") bu Kişisel Veri Saklama ve İmha Politikası

("Saklama ve İmha Politikası") ile kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanununa

(“Kanun”) uygun olarak teknik ve idari korunması, kişisel verilerin işlenme şartlarının ortadan kalkması

halinde, 28/10/2017 tarihli Resmi Gazete'de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya

Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hükümlerinin uygulamasını düzenlemek

amacıyla çıkarılmaktadır.

2. KİŞİSEL VERİLERİN SAKLANDIĞI KAYIT ORTAMLARI#

Veri sahiplerine ait kişisel veriler, PONEOM tarafından aşağıdaki listelenen ortamlarda başta Kanun

hükümleri olmak üzere ilgili mevzuata uygun olarak güvenli bir şekilde saklanmaktadır:

Elektronik ortamlar:

CRM ve Bulut Tabanlı SaaS Sistemleri

MS SQL Server

E-Posta Kutusu ve Kurumsal İletişim Ağları

Microsoft Office Programları

Görüntü Kayıt Cihazları

Log ve Erişim Kayıt Sunucuları

Fiziksel ortamlar:

Birim Dolapları

Klasörler

Arşiv

3. SAKLAMAYI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR#

Veri sahiplerine ait kişisel veriler, PONEOM tarafından özellikle:

a. Faaliyetlerin sürdürülebilmesi,

b. Hukuki yükümlülüklerin yerine getirilebilmesi,

c. Çalışan haklarının ve yan haklarının planlanması ve ifası,

d. İş ilişkilerinin yönetilebilmesi,

e. İleride doğabilecek hukuki uyuşmazlıklarda bir hakkın tesisi, kullanılması veya savunma hakkının korunması (zamanaşımı süreleri ile sınırlı olmak kaydıyla)

Amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde Kanun ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

Saklamayı gerektiren sebepler:

a. Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması,

b. Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması,

c. Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla, PONEOM'un meşru menfaatinin olması (Meşru menfaat, sınırsız bir saklama gerekçesi yapılamaz; mutlaka denge testi ile belgelendirilir),

d. Kişisel verilerin PONEOM'un herhangi bir hukuki yükümlülüğünü yerine getirmesi,

e. Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,

f. Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.

Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, PONEOM tarafından re'sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:

a. Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

b. Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması (Sözleşme veya abonelik ilişkisi bittiğinde veriler derhal imha sürecine dahil edilir),

c. Kanun'un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması, d. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,

e. İlgili kişinin, Kanun'un 11. Maddesinin 2 (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,

f. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun'da öngörülen süre içinde cevap vermemesi hallerinde; Kurul'a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,

g. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

h. Hukuka aykırı elde edildiği veya işlendiği tespit edilen verilerin derhal imha edilmesi zorunluluğunun doğması.

4. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ALINAN TEDBİRLER#

PONEOM, Kanun'un 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı

olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını

sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu

kapsamda gerekli denetimleri yapmak veya yaptırmaktadır.

4.1. Teknik Tedbirler#

Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

Anahtar yönetimi uygulanmaktadır.

Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri

alınmaktadır.

Bulutta depolanan kişisel verilerin güvenliği sağlanmakta ve hizmet sağlayıcıların (veri işleyenlerin)

sızma testleri (pentest) periyodik olarak talep edilmektedir.

Çalışanlar için yetki matrisi oluşturulmuştur. Verilere erişim "bilmesi gerekenler" (need-to-know)

prensibiyle sınırlandırılmıştır.

Erişim logları düzenli olarak, kullanıcı müdahalesine kapalı ve değiştirilemez şekilde tutulmaktadır.

Gerektiğinde veri maskeleme önlemi uygulanmaktadır.

Güncel anti-virüs sistemleri ve güvenlik duvarları kullanılmaktadır.

Kişisel veriler mümkün olduğunca azaltılmaktadır (Veri Minimizasyonu).

Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP

veya kurumsal posta hesabı kullanılarak gönderilmektedir.

Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi

sağlanmaktadır.

Kişisel verilerin personelin şahsi cihazlarında depolanması kesinlikle yasaklanmış olup, işlemler

yalnızca kurumsal ve güvenli ağlar üzerinden yürütülmektedir.

Veri havuzu veya ortak projelerde, verilerin geriye mühendislik (reverse-engineering) ile

kimliklendirilememesi için tuzlama (salting) ve hashleme yöntemleri kullanılmaktadır.

4.2. İdari Tedbirler#

Çalışanlar, kişisel verilere hukuka aykırı erişimi engellemek için alınacak teknik tedbirler

konusunda eğitilmektedir.

İş birimi bazında kişisel veri işlenmesi hukuksal uyum gerekliliklerine uygun olarak PONEOM

içinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır.

Görev değişikliği olan ya da işten ayrılan çalışanların sistem erişimleri derhal (off-boarding süreci

ile) sonlandırılmaktadır.

PONEOM tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; veri güvenliği hükümleri, sözleşme bitiminde verilerin imha edileceğine dair taahhütler ve denetim hakkı maddeleri eklenmektedir.

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin öğrenilmesi halinde, ihlal gecikmeksizin ve en geç 72 saat içerisinde Kurul'a bildirilir. İhlalden etkilenen ilgili kişilerin belirlenmesini müteakip, ilgili kişilere makul olan en kısa süre içerisinde uygun yöntemlerle bildirim yapılır.

Kişisel verilerin toplu e-posta veya genel duyuru sistemleri üzerinden şirket içi ifşası yasaklanmış olup, disiplin prosedürlerine bağlanmıştır.

5. KİŞİSEL VERİLERİN İMHA EDİLMESİNE İLİŞKİN ALINAN TEDBİRLER#

PONEOM, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir. İmha yönteminin seçimi keyfi olmayıp, verinin niteliğine göre gerekçelendirilerek iç denetim kayıtlarında belgelendirilir.

5.1. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesine İlişkin Yöntemler#

5.1.1. Kişisel Verilerin Silinmesi#

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Veri tabanlarında bulunan kişisel bilgilerin bulunduğu satırlar yahut sütunlar 'Delete' komutu ile silinecektir.

Hatalı veya sehven girilen veriler ile işleme şartı kalkan veriler için "kara listeye alma" (black-list) yöntemi kullanılamaz; bu veriler sistemden kalıcı olarak silinir.

Yasal saklama süresi devam eden ancak aktif kullanımı gerekmeyen veriler (örn. faturalar), aktif profillerden silinerek yalnızca yetkili personelin erişebileceği "pasif/arşiv" statüsüne alınır.

5.1.2. Kişisel Verilerin Yok Edilmesi#

Fiziksel Yok Etme (Kağıt İmha Makinesi)

De-manyetize Etme ve Kriptografik Silme: Dijital verilerin teknik olarak geri getirilemez şekilde yok edilmesi.

5.1.3. Kişisel Verileri Anonim Hale Getirilmesi#

Maskeleme, Kayıtları Çıkartma, Bölgesel Gizleme, Global Kodlama ve Gürültü Ekleme yöntemleri kullanılır. Anonimleştirme ile "kimliksizleştirme" (takma ad kullanımı) birbirine karıştırılmaz; anonimleştirilen verinin hiçbir teknik yolla geri döndürülemeyeceği garanti edilir.

5.2. İmha İşlemlerinin Belgelendirilmesi#

Gerçekleştirilen tüm silme, yok etme ve anonim hale getirme işlemleri için bir "İmha Tutanağı" düzenlenir. Bu tutanaklar, işlemin tarihini, yöntemini ve gerekçesini içerecek şekilde en az 3 (üç) yıl süreyle muhafaza edilir.

6. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜRELERİ#

PONEOM, kişisel verileri işlendikleri amaç için Ek-1'de belirtilen süreler boyunca saklar. Yasal bir süre öngörülmemiş ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar muhafaza edilir.

İlgili kişinin silme talebinde bulunması halinde, bu talep periyodik imha süresi (6 ay) beklenmeksizin en geç 30 gün içinde yerine getirilir. Ancak, yasal yükümlülüklerin (örn. Vergi Usul Kanunu) veya bir hakkın tesisi/savunması durumlarının devam etmesi halinde, silme talebi gerekçeli olarak reddedilebilir.

Sözleşme veya abonelik ilişkisi sona erdiğinde, verilerin imhası için "otomatik tetikleyici mekanizmalar" devreye girer ve eski kullanıcıların verileri pazarlama/tanıtım amaçlı kullanılamaz.

7. PERİYODİK İMHA SÜRELERİ#

Yönetmeliğin 11 inci maddesi gereğince, periyodik imha süresi 6 ay olarak belirlenmiştir. Buna göre, her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir. Ancak, özel nitelikli kişisel veriler ile görsel/işitsel kayıtlar için işleme amacı ortadan kalktığında periyodik süre beklenmeksizin derhal imha prosedürü işletilir.

8. PERSONEL#

Kanun kapsamında PONEOM veri sorumlusu sıfatıyla, , Kanunun veri saklama ve imha süreci uygulanması bakımından yükümlülükleri yerine getirilecek personelin unvanları, birimleri ve görev tanımları Saklama ve İmha Politikası Ek-2’de yer alan tablo ile belirlenmiştir. Sınırları belirlenmiş bu kişiler Türk Ticaret Kanunu, Borçlar Kanunu ve Türk Ceza Kanunu kapsamında kendi yetki sınırları içinde gerçekleşen işlem ve eylemlerden sorumludur. Her bir departman sorumlusu, departmanlardaki ilgili kullanıcıların Kanun ve Yönetmelik çerçevesinde hazırlanan Saklama ve İmha Politikası ve Kişisel Veri Politikası’na uygun davranıp davranmadığını denetlemekle yükümlü olacaktır. Tüm departman sorumluları belirtilen periyodik imha sürelerinde işbu Saklama ve İmha Politikası doğrultusunda gerçekleştirdiği işlemleri PONEOM Kişisel Verileri Koruma Komitesi Başkanı’na raporlayacaktır. Bu raporlar için yapılan çalışma sonuçlarında çıkan karar uygulamaya konulacaktır.

9. REVİZYON VE YÜRÜRLÜKTEN KALDIRMA#

Saklama ve İmha Politikası’nın değiştirilmesi, yürürlükten kaldırılması halinde yeni düzenleme PONEOM internet sitesinden ilan edilecektir.

10. YÜRÜRLÜK#

Bu Saklama ve İmha Politikası yayınlandığı tarihte yürürlüğe girer.

EKLER

EK 1-Veri Saklama ve İmha Süreleri

EK 2- Kişisel Veri Saklama, İmha ile Görevli Personel Tablosu

EK 1 - Veri Saklama ve İmha Süreleri

Veri Kategorisi

Saklama Süresi

İmha Süresi

Kimlik

İşlem tarihi veya hukuki ilişkinin sonlanmasından itibaren 10 yıl