FORCE MÜHENDİSLİK HİDROLİK MAK. SAN. Ve TİC. LTD. ŞTİ.

KİŞİSEL VERİ SAKLAMA ve İMHA POLİTİKASI

 FORCE MÜHENDİSLİK HİDROLİK MAK. SAN. VE TİC. LTD. ŞTİ. KİŞİSEL VERİ SAKLAMA ve İMHA POLİTİKASI

FORCE MÜHENDİSLİK HİDROLİK MAK. SAN. TİC. LTD. ŞTİ.

Adres                    : Malıköy Başkent OSB Mah.Atatürk Bulvarı No:67 SİNCAN/ANKARA

E-mail                 :This email address is being protected from spambots. You need JavaScript enabled to view it.

Kep                       :This email address is being protected from spambots. You need JavaScript enabled to view it.

Telefon                : 0(312) 385 8450

Fax                        : +90 312 385 8460

İçindekiler

1. GİRİŞ....................................................................................................................... 4
   1. 1Amaç................................................................................................................. 4
2. 2
3. 3KısaltmalarveTanımlar.................................................................................... 4
4. SORUMLULUK VEGÖREVDAĞILIMLARI............................................................ 7
5. KAYITORTAMLARI................................................................................................ 8
6. SAKLAMA VEİMHAYAİLİŞKİNAÇIKLAMALAR................................................... 8
   1. 1SaklamayaİlişkinAçıklamalar.......................................................................... 8
7. 1.1Saklamayı GerektirenHukukiSebepler...................................... 9
8. 1.2Saklamayı GerektirenİşlemeAmaçları...................................... 9
   1. 2İmhayıGerektirenSebepler............................................................................ 10
9. TEKNİK VEİDARİTEDBİRLER............................................................................ 10
10. 1TeknikTedbirler.............................................................................................. 10
    1. 2İdariTedbirler.................................................................................................. 11
11. KİŞİSEL VERİLERİİMHATEKNİKLERİ................................................................ 12
12. 1KişiselVerilerinSilinmesi................................................................................ 12
13. 2Kişisel VerilerinYokEdilmesi.......................................................................... 13
14. 3Kişisel VerilerinAnonimHaleGetirilmesi........................................................ 13
    1. SAKLAMA VEİMHASÜRELERİ.......................................................................... 13
    2. PERİYODİKİMHASÜRESİ.................................................................................. 19
    3. POLİTİKA’NIN YAYINLANMASIVESAKLANMASI............................................. 19
       1. POLİTİKA’NINGÜNCELLENMEPERİYODU..................................................... 19
       2. POLİTİKANINYÜRÜRLÜĞÜVEYÜRÜRLÜKTENKALDIRILMASI.................. 19

 GİRİŞ

1. 1Amaç

Kişisel Verileri Saklama ve İmha Politikası (“Politika”), FORCE MÜHENDİSLİK HİDROLİK MAK. SAN.VE TİC. LTD. ŞTİ. (“Şirket”) gerçekleştirilmekte olan saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır.

Şirket; benimsediği misyon, vizyon ve temel ilkeler doğrultusunda; Şirket çalışanları, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler ve diğer üçüncü kişilere ait kişisel verilerin T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.

Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Şirket tarafından bu doğrultuda hazırlanmış olan Politikaya uygun olarak gerçekleştirilir.

1. 2Kapsam

Şirket çalışanları, çalışan adayları, stajyerler, çıraklar, tedarikçiler, müşteriler, hizmet sağlayıcıları, Şirket ortakları, ziyaretçiler ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup Şirketin sahip olduğu ya da Şirketçe yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

1. 3Kısaltmalar veTanımlar

AlıcıGrubu                      :   Veri sorumlusu tarafından kişisel verilerin aktarıldığıgerçek

veya tüzel kişi kategorisi.

AçıkRıza                          :   Belirli bir konuya ilişkin, bilgilendirilmeye dayanan veözgür

iradeyle açıklanan rıza.

AnonimHaleGetirme    :   Kişisel verilerin, başka verilerle eşleştirilerek dahihiçbir

surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.

Çalışan                              :   FORCE MÜHENDİSLİK HİDROLİK MAK. SAN.VE TİC. LTD.ŞTİ.

personeli.

ElektronikOrtam           :    Kişisel verilerin elektronik aygıtlar ileoluşturulabildiği,

okunabildiği, değiştirilebildiği ve yazılabildiğiortamlar.

Elektronik    Olmayan Ortam

:    Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.

HizmetSağlayıcı              :   FORCE MÜHENDİSLİK HİDROLİK MAK. SAN. VE TİC. LTD.ŞTİ.

ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi.

İlgiliKişi                          :   Kişisel verisi işlenen gerçek kişi.

İlgiliKullanıcı                 :   Verilerin     teknik     olarak     depolanması,                                           korunması       ve

yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.

İmha                                 :   Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Kanun                               :   6698 Sayılı Kişisel Verilerin Korunması Kanunu.

KayıtOrtamı                   :   Tamamen veya kısmen otomatik olan ya da herhangi birveri

kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

KişiselVeri                       :   Kimliği belirli veya belirlenebilir gerçek kişiye ilişkinher

türlü bilgi.

Kişisel    Veri    İşleme Envanteri

Kişisel           Verilerin İşlenmesi

: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleriaçıklayarak

detaylandırdıkları envanter.

:    Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan  yollarla                    elde   edilmesi, kaydedilmesi, depolanması,       saklanması,                                   değiştirilmesi,   yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir                      hale    getirilmesi,                         sınıflandırılması    ya  da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlüişlem.

Kurul                                :   Kişisel Verileri Koruma Kurulu

Özel Nitelikli Kişisel Veri

:   Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Periyodikİmha                :   Kanunda    yer   alan    kişisel   verilerin   işlenme                                           şartlarının

tamamının   ortadan   kalkması   durumunda                     kişisel     verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirmeişlemi.

Politika                             :   Kişisel Verileri Saklama ve İmhaPolitikası

Veriİşleyen                      :   Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu

adına kişisel verileri işleyen gerçek veya tüzel kişi.

VeriKayıtSistemi           :   Kişisel    verilerin   belirli   kriterlere   göre                                           yapılandırılarak

işlendiği kayıt sistemi.

VeriSorumlusu               :   Kişisel verilerin işleme amaçlarını ve vasıtalarınıbelirleyen,

veri   kayıt   sisteminin   kurulmasında   ve          yönetilmesinden sorumlu gerçek veya tüzelkişi.

Veri Sorumluları Sicil Bilgi Sistemi

:   Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişimsistemi.

VERBİS                            :   Veri Sorumluları Sicil BilgiSistemi

Yönetmelik                       :   28 Ekim 2017 tarihli Resmi Gazetede yayımlananKişisel

Verilerin   Silinmesi,   Yok    Edilmesi   veya                  Anonim      Hale Getirilmesi Hakkında Yönetmelik.

1. SORUMLULUKVEGÖREVDAĞILIMLARI

Şirketin tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destekverir.

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım Tablo 1’de verilmiştir.

Tablo 1: Saklama ve imha süreçleri görev dağılımı

1. KAYITORTAMLARI

Kişisel veriler, Şirket tarafından Tablo 2’de listelenen ortamlarda hukuka uygun olarak güvenli bir şekildesaklanır.

Tablo 2: Kişisel veri saklama ortamları

1. SAKLAMAVEİMHAYAİLİŞKİNAÇIKLAMALAR

Şirket tarafından; çalışanlar, çalışan adayları, stajyerler, tedarikçiler, müşteriler, hizmet sağlayıcıları, Şirket ortakları, vekaletname veren yöneticiler, etkinlik katılımcıları, ziyaretçiler ve diğer üçüncü kişilere ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.

Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

1. 1Saklamaya İlişkinAçıklamalar

Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6 ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, Şirketimiz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

1. 1.1SaklamayıGerektirenHukukiSebepler

Şirket faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

• 6698 sayılı Kişisel Verilerin KorunmasıKanunu,
• 6098 sayılı Türk BorçlarKanunu,
• 6102 sayılı Türk TicaretKanunu,
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık SigortasıKanunu,
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 4857 sayılı İş Kanunu,
• 213 sayılı Vergi UsulKanunu,
• 5746 sayılı Araştırma ve Geliştirme Faaliyetlerinin Desteklenmesi HakkındaKanun

ve bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

1. 1.2SaklamayıGerektirenİşlemeAmaçları

Şirket,   faaliyetleri   çerçevesinde   işlemekte   olduğu   kişisel   verileri              aşağıdaki     amaçlar doğrultusundasaklar.

• İnsan kaynakları süreçleriniyürütmek.
• Personel seçme ve işe alım süreçlerini gerçekleştirmek, stajyer alım süreçlerinisağlamak.
• Personel özlük ve yan haklar süreçleriniyürütmek.
• İş Sağlığı ve Güvenliği faaliyetlerinigerçekleştirmek.
• Şirket idari iş süreçlerinin yürütülmesinisağlamak.
• Şirket içi iletişimisağlamak.
  • Şirket ile iş ilişkisinde bulunan gerçek / tüzel kişilerle / tüzel kişi çalışanları ile irtibat sağlamak.
• Fabrikaların ve Şirket binalarının güvenliğinisağlamak.
• İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifaedebilmek.
• Faturalandırma, ödeme işlemleri ve muhasebe süreçlerinin yürütülmesinisağlamak.
• Hukuki süreçleriyürütmek.
  • Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak.
• Şirket AR-GE ve üretim faaliyetleri ve planlamalarınıgerçekleştirmek.
• Satın alma, satış ve tedarik süreçlerini yürütülmesi ve takibinisağlamak.
• Acil durum eylem planlarının yapılmasını sağlamak.
• Şirketin yürüttüğü projeler, eğitim, etkinlik ve seminerlerin gerçekleştirilmesinisağlamak.
• Şirket kalite süreçlerinin yürütülmesinisağlamak.
  • Şirket faaliyetleri, ürünleri, etkinlikleri vb. hususlarda tanıtım ve bilgilendirmelerini yapmak.
• Şirket’in ticari iletişiminisağlamak.

• Veri güvenliğini ve yetkilendirmelerisağlamak.
• Veri depolama, yedekleme faaliyetleriniyürütmek.
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispatyükümlülüğü.

1. 2İmhayı GerektirenSebepler

Kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veyailgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadankalkması,
  • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
  • Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Şirket tarafından kabuledilmesi,
• Şirketin, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygunbulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcutolmaması,

durumlarında, Şirket tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

1. TEKNİKVEİDARİTEDBİRLER

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12 nci maddesiyle Kanunun 6 ncı maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Şirket tarafından teknik ve idari tedbirler alınır(EK-1).

1. 1TeknikTedbirler

Şirket tarafından, işlediği kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:

• Ağ güvenliği ve uygulama güvenliğisağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağkullanılmaktadır.
• Anahtar yönetimiuygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliğisağlanmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim logları düzenli olaraktutulmaktadır.

• Gerektiğinde veri maskeleme önlemiuygulanmaktadır.
• Güncel anti-virüs sistemlerikullanılmaktadır.
• Güvenlik duvarlarıkullanılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği desağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekildetutulmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarakgönderilmektedir.
• Saldırı tespit ve önleme sistemlerikullanılmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takipedilmektedir.
• Şifrelemeyapılmaktadır.
• Veri kaybı önleme yazılımlarıkullanılmaktadır.

1. 2İdariTedbirler

Şirket tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemelerimevcuttur.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gizlilik taahhütnameleriyapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerikaldırılmaktadır.
• Kişisel veri güvenliğinin takibiyapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliğisağlanmaktadır.
• Kişisel veriler mümkün olduğuncaazaltılmaktadır.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığısağlanmaktadır.

1. KİŞİSELVERİLERİİMHATEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Şirket tarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

1. 1Kişisel VerilerinSilinmesi

Kişisel veriler Şirket tarafından Tablo-3’te verilen yöntemlerle silinir.

Tablo 3: Kişisel Verilerin Silinmesi

1. 2KişiselVerilerinYokEdilmesi

Kişisel veriler, Şirket tarafından Tablo-4’te verilen yöntemlerle yok edilir.

Tablo 4: Kişisel Verilerin Yok Edilmesi

1. 3KişiselVerilerinAnonimHaleGetirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel verilerin anonim hale getirilmesi için; kişisel verilerin, Şirket veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmektedir.

1. SAKLAMAVEİMHASÜRELERİ

Şirket tarafından, faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;

• Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşlemeEnvanterinde;
• Veri kategorileri bazında saklama süreleri VERBİS’ekayıtta;
• Süreç bazında saklama süreleri ise Kişisel Veri Saklama ve İmha Politikasında yer alır.

Söz konusu saklama süreleri üzerinde, gerekmesi Şirket tarafından güncellemeler yapılır.

Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi Bilgi İşlem Departmanı ve Şirket tarafından yetkilendirilen ilgili departmanlarca tarafından yerine getirilir. Fiziksel dokümanlara ilişkin imha işlemleri ilgili birim tarafından veya yetkilendirilen birim yönlendirmesi ile gerçekleştirilir.

Tablo 5: Süreç bazında saklama ve imha süreleri tablosu