Kişisel Veri Saklama ve İmha Politikası

1. GİRİŞ

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ile Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumlularına kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlama yükümlülüğü getirilmiştir. Bu amaçla Silva işlediği kişisel verilerin saklama ve imha süreçleri ile detaylarını işbu Kişisel Veri Saklama ve İmha Politikası (“Politika”) ile düzenlemektedir. Bu Politika, Silva Tekstil ve Pazarlama Dış Ticaret Ltd. Şti. (“Silva”) bünyesinde işlenen kişisel verilerin saklanması ve imhası süreçlerini; 6698 sayılı KVK Kanunu, Yönetmelikler ve Kurul kararları çerçevesinde açıklamak amacıyla hazırlanmıştır.

2. AMAÇ

Politika, Şirket’in faaliyetleri sırasında işlediği kişisel verileri, belirlediği yahut kanundan doğan azami süreler kapsamında saklama, silme, yok etme veya anonim hale getirme süreçlerini yerine getirme, periyodik imha süreçlerinin öngörülen zamanda belirlenen kişiler aracılığıyla yürürlükteki mevzuata uygun bir biçimde yapılmasını sağlama ve veri sahiplerini bilgilendirerek süreçte uygulanacak yöntemler hakkında şeffaflığı sağlayabilme amacıyla hazırlanmıştır. Tüm bu hususların yanında Politika’da;hazırlanma amacına, kişisel verilerin kayıt ortamlarına, hukuki ve teknik terimlerin tanımlarına, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirlere, kişisel verileri saklama ve imha süreçlerinde yer alan personelin unvan, görev ve sorumluluk tanımlarına, mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişikliklere de yer verilmiştir.

3. KAYIT ORTAMLARI

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam kayıt ortamı kapsamına girer. Şirket tarafından toplanan kişisel veriler, verinin niteliği, işlenme amaçları ve kullanım sıklığı gibi esaslara bağlı olarak çeşitli ortamlara kaydedilebilmektedir. Kişisel veriler; sunucular, e-posta, yazılım sistemleri, bilgisayarlar, mobil cihazlar, çıkarılabilir diskler, kâğıt evraklar ve arşiv sistemleri gibi hem elektronik hem de fiziksel ortamlarda saklanabilir. Aşağıda kişisel verilerin hangi ortamlarda kayıt altına alındığı belirtilmiştir.

Elektronik Ortamlar: Yazılım, bulut, merkezi sunucu, taşınabilir medya, veri tabanı gibi ortamlar.

Fiziksel Ortamlar:Birim dolapları, arşiv, kâğıt, ağ cihazı, flash tabanlı ortamlar, manyetik bant, manyetik disk, mobil telefon, optik disk, yazıcı, kapı geçiş/güvenlik sistemi gibi çevresel sistemler.

4. TANIMLAR

Bu politika kapsamında; Kişisel Veri, Veri Sorumlusu, İlgili Kişi, Silme, Yok Etme, Anonimleştirme, Alıcı Grubu, Açık Rıza, Periyodik İmha gibi kavramların tanımları yer almaktadır. Tanımlar, KVK Kanunu ve ilgili yönetmeliklerdeki karşılıkları ile uyumludur.

5. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

6698 Kişisel Verilerin Korunması Kanunu’nun 12. maddesi gereği Veri Sorumlusu sıfatıyla Şirketimiz, kişisel verilerin hukuka aykırı olarak işlenmesini önleme, kişisel verilere hukuka aykırı olarak erişilmesini önleme, kişisel verilerin muhafazasını sağlama ve sair hususlarda veri güvenliğine ilişkin yükümlülüklerini yerine getirmeye yönelik her türlü teknik ve idari tedbirleri almaktadır.Silva, kişisel verileri yalnızca işlendikleri amaç doğrultusunda gerekli süre boyunca saklar. Saklama süresi sona erdiğinde ise bu veriler silinir, yok edilir veya anonim hale getirilir.Veri işleme amaçları sona erdiğinde veya açık rıza geri çekildiğinde; veriler re’sen ya da başvuru üzerine imha edilir.

6. KİŞİSEL VERİLERİ SAKLAMAYI GEREKTİRİR AMAÇLAR

Şirket, kişisel verileri belirli ve meşru amaçlarla, Kanun’da ve Politika’da detaylandırılan ilkeler ışığında saklamaktadır. Şirketin kişisel verileri saklamasını gerektiren birincil sebep, yürürlükte olan kanun ve bu kanunlar uyarınca işleme konulan ikincil mevzuattan kaynaklı yükümlülüklerdir. Kişisel veriler öncelikle kanunlar çerçevesinde öngörülen süreler kadar saklanmaktadır. Süreye ilişkin kanuni bir düzenlemenin bulunmadığı durumlarda Şirket, ilgili kişisel veriyi, işleme süreci ve olası ihtilaflarda delil vasfı ve zamanaşımı def’i de göz önüne alarak kanuni zamanaşımı süresi kadar muhafaza eder. Herhangi bir ihtilafa konu olması mümkün görülmeyen süreçlerde ise kişisel verinin işlenmesini gerektiren sebeplerin varlığı ışığında teamül gereği makul bir süre ilgili verileri saklayabilecektir.

7. TEKNİK VE İDARİ TEDBİRLER

• Silva, kişisel verilerin güvenliğini sağlamak amacıyla teknik (şifreleme, loglama, VPN, antivirüs, erişim kısıtlama) ve idari (eğitim, erişim kontrolü, sözleşme maddeleri, iç denetim) tedbirleriuygulamaktadır.Özellikle özel nitelikli kişisel verilerin korunmasına ilişkin olarak KVKK Kurulu’nca belirlenen önlemler eksiksiz şekilde yerine getirilmektedir. Buna göre; Şirket, KVKK’nın 12. maddesinde düzenlenen ilkeler çerçevesinde, kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile verilerin hukuka uygun olarak imha edilmesi amacıyla aldığı idari ve teknik tedbirlere aşağıda yer vermiştir:

1. 1. Şirket idari tedbirler kapsamında;

• Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır. Erişimin sınırlandırılmasında verinin özel nitelikli olup olmadığı ve önem derecesi de dikkate alınır.
• İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.
• Şirket tarafından yürütülen faaliyetlere ilişkin çalışanlara gizlilik sözleşmeleri imzalatılır.
• Veri Sahiplerini aydınlatma yükümlülüğü yerine getirilir.
• Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Personeline kişisel verilerin korunması mevzuatı ve veri güvenliği kapsamında gerekli eğitimleri verir.
• Kendi tüzel kişiliği nezdinde Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapar veya yaptırır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik zafiyetlerini giderir.
• Çalışanlarla ve üçüncü şahıslarla akdedilecek sözleşmelerde, verilerin gizliliğini koruma altına alan hükümlerin yanında, Kişisel Verilerin işlenme amaçları, kapsamı ve süresi belirlenmekte, tarafların sorumlulukları açıkça düzenlenmekte, hukuka ve sözleşme hükümlerine aykırı işleme faaliyetlerini yaptırıma bağlayan hükümler eklenmektedir.
• Şirket teknik tedbirler kapsamında;
• Ağ güvenliği ve uygulama güvenliği sağlanmakta, kapalı sistem ağ kullanılmakta ve bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Güncel anti-virüs sistemleri ve güvenlik duvarları kullanılmaktadır.
• Kurulanan sistemler kapsamında gerekli iç kontrolleri yapar.
• Verilerin kurum dışına sızmasını engelleyecek teknik altyapının temin edilmesini ve ilgili matrislerin oluşturulmasını sağlar.
• Bilgi işlem güvenliği ile ilgili birimde çalışanların kişisel verilere erişim yetkilerinin kontrol altında tutulmasını sağlar.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır. Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim izi bırakmayacak şekilde sağlanır.
• Kanun’un 12. maddesi uyarınca, kişisel verilerin saklandığı her türlü dijital ortam, bilgi güvenliği gereksinimlerini sağlayacak şekilde şifreli yahut kriptografik yöntemler ile korunur.
• Kişisel verilerin tutulduğu ortamlara veriye erişim kısıtlanarak yalnızca yetkili kişilerin, kişisel verinin saklanma amacı ile sınırlı olarak bu verilere erişmesine izin verilmekte ve tüm erişimler kayıt altına alınmaktadır.

8. SAKLAMA VE İMHA SÜRELERİ

Şirket, KVKK ve ikincil mevzuata uygun biçimde elde ettiği kişisel verilerin saklama ve imha süreçlerindeki süre tespitine ilişkin olarak; öncelikle mevzuatta bir süre öngörülmüş ise bu süreye riayet etmektedir. Belirtilen sürenin sona ermesi halinde veya mezkur mevzuatta saklamaya ilişkin herhangi bir süre öngörülmemiş ise; kişisel veriler, KVKK’nın 6. maddesi dikkate alınarak kişisel veriler ve özel nitelikli kişisel veriler olarak ayrıma tabi tutulur. Özel nitelikte olduğu tespit edilen tüm kişisel veriler imha edilir. İlgili verinin imha işlemindeki yöntem, verinin niteliği ve Şirket nezdindeki önem derecesine göre belirlenir. Kişisel veri sınıfındaki verinin saklanması hususunda kanunun belirttiği ilkelere uygunluğu sorgulanır. Verinin saklanmasında Şirket’in meşru bir amacının olmadığı yahut KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir. Verinin saklanması KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisna kapsamında ise gereken makul süreler tespit edilir ve makul sürenin bitiminde ilgili veriler silinir, yok edilir ya da anonim hale getirilir.

İş Kanunu verileri: 5 yıl → +180 gün imha • SGK verileri: 10 yıl → +180 gün imha • Sağlık verileri: 15 yıl → +180 gün imha • Müşteri verileri: 10 yıl → +180 gün imha • İş kazası belgeleri: 10 yıl → +180 gün imha • Ceza kapsamındaki veriler: Dava zaman aşımı süresi boyunca Süre bitiminde ilgili veri ya anonimleştirilir ya da güvenli şekilde silinir/yok edilir.

8.1. Periyodik İmha

Saklama süresi dolan kişisel veriler, işbu Politika’da yer alan bilgilere istinaden, 6 aylık periyodlarla imha edilir. Şirket Ocak ve Haziran aylarında periyodik imha işlemlerini gerçekleştirecektir. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi süreçlerine ilişkin tüm işlemler kayıt altına alınır ve ilgili kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.Mevzuat uyarınca saklama süreleri, zamanaşımı yahut hak düşürücü süre vb. için daha uzun bir süre öngörülmüş ise, mevzuat hükümlerindeki süreler azami saklama süresi olarak kabul edilecektir.

9. BAŞVURU VE ERİŞİM HAKKI

İlgili kişiler, kişisel verilerine ilişkin saklama veya imha taleplerini www.silva.com.tr adresindeki “Veri Sahibi Başvuru Formu” aracılığıyla iletebilirler. Talepler, en geç 30 gün içinde değerlendirilir ve yanıtlanır. İlgili Kişi, işbu Politika’da Şirket’e başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde; Şirket, ilgili verilerin saklanma şartları tamamen ortadan kalkmışsa talebe konu kişisel verileri siler, yok eder veya anonim hale getirir.