İÇİNDEKİLER

1. GİRİŞ
   1. Amaç
   2. Kapsam
   3. Tanımlar
   4. Politikanın Uygulanmasına İlişkin İlkeler
2. KİŞİSEL VERİLERİ KORUMA KOMİTESİNİN GÖREV VE YETKİLERİ
3. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR
   1. Veri Güvenliğine İlişkin Yükümlülükler
4. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI
   1. Kişisel Veri Sahiplerinin Haklarını Kullanması
   2. Şirketimizin İlgililerin Başvurularına Cevap Vermesi
5. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI
   1. Verilerin Saklanmasını Gerektiren Hukuki Sebepler
   2. Verilerin Saklanmasını Gerektiren İşleme Amaçları
   3. Kişisel Verilerin İmhasını Gerektiren Sebepler
   4. Kişisel Verilerin Şirketimizce Saklanması ve İmha Usulleri
      1. Kayıt Ortamları
      2. Teknik ve İdari Tedbirler
      3. Personel 
      4. Kişisel Verilerin İmha Usulleri
         1. Kişisel Verilerin Silinmesi
         2. Kişisel Verilerin Yok Edilmesi
         3. Kişisel Verilerin Anonim Hale Getirilmesi
6. SAKLAMA VE İMHA SÜRELERİ
7. PERİYODİK İMHA SÜRESİ
8. POLİTİKANIN YAYINLANMASI VE SAKLANMASI 
9. POLİTİKANIN GÜNCELLENME PERİYODU
10. POLİTİKANIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI

1. GİRİŞ

 1.1.Amaç

Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “Kanun”) ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca veri sorumlusu sıfatıyla BİRİNCİ SAĞLIK GRUBU (“Şirket”) tarafından yükümlülüklerimizi yerine getirmek ve veri sahiplerini kişisel verilerinin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi esasları ile silme, yok etme ve anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla hazırlanmıştır. 

 1.2 Kapsam

Bu Politika; Şirketimiz çalışanları da dahil kişilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir. Şirketimiz tarafından kişisel verisi işlenecek ilgili kişilere yönelik gerçekleştirilen kişisel veri işleme faaliyetlerine ve politikaya ayrıca; www.birincisağlıkgrubu.com web adresimiz üzerinden ulaşabilirsiniz.

1.3 Tanımlar

1.4 Politikanın Uygulanmasına İlişkin İlkeler

Şirketimiz tarafından kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler çerçevesinde hareket edilmektedir:

1. Kişisel veriler; Kanun’un 4. Maddesinde sayılan hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkeleri gözetilerek işlenir. 
2. Şirketimiz Kanun’un 12. Maddesi uyarınca öngörülen Veri Güvenliğine ilişkin yükümlülükler doğrultusunda hareket etmekte ve kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesinde politikanın 5.4.2. maddesinde belirtilen teknik ve idari tedbirler, ilgili mevzuat hükümleri ve Kurul kararları nazara alınmaktadır.
3. Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler şirketimiz tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 5 yıl süreyle saklanmaktadır.
4. Kurul tarafından aksine bir karar alınmadıkça ya da mevzuatta (kanun ile ikincil yönetmelikler) öngörülmedikçe, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı Şirketimiz tarafından seçilmektedir. Ancak ilgili kişinin talebi halinde; uygun yöntem gerekçesi açıklanarak seçilecektir.
5. Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler şirketimiz tarafından re’sen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta İlgili Kişi tarafından şirketimize başvurulması halinde; 
   1. İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir,
   2. Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir.

2. KİŞİSEL VERİLERİ KORUMA KOMİTESİNİN GÖREV VE YETKİLERİ

Kişisel Verileri Koruma Komitesi, Politika’nın ilgili iş birimlerine duyurulmasından ve gereklerinin yerine getirilmesinin takibinden sorumludur. Kişisel Verileri Koruma Komitesi kişisel verilerin korunmasına ilişkin mevzuat değişiklikleri, Kurulun düzenleyici işlemleri ile kararları, mahkeme kararları veya süreç, uygulama ve sistemlerdeki değişiklikler gibi durumları ilgili iş birimlerinin takip etmesi ve gerekiyorsa iş süreçlerini güncellemeleri için gerekli duyuruları ve bildirimleri yapar. Kanun ve ikincil düzenlemeleri ile Kurulun kararları ve düzenlemeleri, mahkeme kararları ve sair yetkili makamların kararlarının ve/veya taleplerinin incelenmesi, değerlendirilmesi, takibi ve sonuçlandırılmasına yönelik süreçleri belirler ve ilgili birimlere duyurur. Kurul tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri alır ve denetimleri yapar.

3. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

Bu kapsamda Şirketimiz, Kurul tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik teknik ve idari tedbirleri almakta ve denetimleri yapmaktadır.

3.1. Veri Güvenliğine İlişkin Yükümlülükler

Şirketimiz; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır.

4. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI

Kişisel veri sahipleri aşağıda yer alan haklara sahiptirler:

1. Kişisel veri işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

4.1 Kişisel Veri Sahiplerinin Haklarını Kullanması

Kişisel Veri Sahipleri bu bölümün 3. Başlığı altında sıralanan haklarına ilişkin taleplerini kimliklerini tespit edecek bilgi ve belgelerle ve aşağıda belirtilen yöntemlerle veya Kişisel Verileri Koruma Kurulu’nun belirlediği diğer yöntemlerle Başvuru Formu’nu doldurup imzalayarak BEYMED SAĞLIK İNŞAAT SAN.VE TİC.A.Ş. ‘ne ücretsiz olarak iletebileceklerdir:

1. www.birincisağlıkgrubu.com adresinde bulunan formun doldurulduktan sonra ıslak imzalı bir nüshasının bizzat elden veya noter aracılığı ile ‘‘Cumhuriyet Mah. Atatürk Bulvarı No.5/1 Beylikdüzü/İSTANBUL” adresine iletilmesi,
2. www.birincisağlıkgrubu.com adresinde bulunan formun doldurulup imazalandıktan sonra soft ortamda nilgun.kaytaz@birincisaglikgrubu.com adresine elektronik posta ile gönderilmesi,
3. KVK Kanunu’nda belirtilen diğer yöntemlerle başvurarak iletebilirsiniz.

Kişisel veri sahipleri adına üçüncü kişilerin başvuru talebinde bulunabilmesi için veri sahibi tarafından başvuruda bulunacak kişi adına noter kanalıyla düzenlenmiş özel vekâletname bulunmalıdır.

4.2 Şirketimizin İlgililerin Başvurularına Cevap Vermesi

Şirketimiz, kişisel veri sahibi tarafından yapılacak başvuruları Kanun ve Yönetmelik’e uygun olarak sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almaktadır. Kişisel veri sahibinin, bu bölümün 3.1. başlıklı kısmında yer alan usule uygun olarak talebini iletmesi durumunda şirketimiz talebin niteliğine göre en geç otuz gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, KVK Kurulunca bir ücret öngörülmesi hâlinde, şirketimiz tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınacaktır.

5. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI  

5.1. Verilerin Saklanmasını Gerektiren Hukuki Sebepler

• 6698 sayılı Kişisel Verilerin Korunması Kanunu, 
• 6098 sayılı Türk Borçlar Kanunu, 
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, 
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu, 
• 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun, 
• 4857 sayılı İş Kanunu, 
• 5434 sayılı Emekli Sandığı Kanunu, 
• 2828 sayılı Sosyal Hizmetler Kanunu 
• Sağlık Hizmetleri Temel Kanunu
• İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik, 
• Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR)
• 6698 sayılı Kişisel Verilerin Korunması Kanunu, 
• Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik 
• Kişisel Verileri Koruma Kurulu Çalışma Usul ve Esaslarına Dair Yönetmelik
• Veri Sorumluları Sicili Hakkında Yönetmelik
• Kişisel Sağlık Verilerinin İşlenmesi ve Mahremiyetinin Sağlanması Hakkında Yönetmelik
• Kayıtlı Elektronik Posta Sistemine İlişkin Usul Ve Esaslar Hakkında Yönetmelik 
• Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ 
• Elektronik Tebligat Yönetmeliği 
• İnsan Hakları İhlali İddialarına İlişkin Başvuruların İncelenmesine Dair Usul Ve Esaslar Hakkında Yönetmelik 
• Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ 
• Ceza Muhakemesinde Beden Muayenesi, Genetik İncelemeler Ve Fizik Kimliğin Tespiti Hakkında Yönetmelik 
• 112 Acil Çağrı Merkezleri Kuruluş, Görev Ve Çalışma Yönetmeliği 
• Noterlik İşlemlerinin Elektronik Ortamda Yapılması Hakkında Yönetmelik 
• Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği 
• Mali Suçları Araştırma Kurulu Başkanlığı Elektronik Tebligat Sistemine İlişkin Usul Ve Esaslar Hakkında Yönetmelik 
• Bireysel Emeklilik Sistemi Hakkında Yönetmelik 
• Terörizmin Finansmanının Önlenmesi Hakkında Kanunun Uygulanmasına İlişkin Usul Ve Esaslar Hakkında Yönetmelik 
• Milletlerarası Özel Hukuk Ve Usul Hukuku Hakkında Kanun 
• Bilgi Teknolojileri ve İletişim Kurumu İdari Yaptırımlar Yönetmeliği 
• 2004 sayılı İcra ve İflas Kanunu 
• Elektronik Ticarette Hizmet Sağlayıcı Ve Aracı Hizmet Sağlayıcılar Hakkında Yönetmelik 
• Ticari İletişim ve Ticari Elektronik İletiler Hakkında Yönetmelik 
• Elektronik Haberleşme Sektöründe Kişisel Verilerin İşlenmesi ve Gizliliğinin Korunması Hakkında Yönetmelik
• 1512 sayılı Noterlik Kanunu 
• 5809 sayılı Elektronik Haberleşme Kanunu 
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun 
• 5411 sayılı Bankacılık Kanunu 
• 5070 sayılı Elektronik İmza Kanunu 
• 5464 sayılı Banka Kartları ve Kredi Kartları Kanunu 
• 4904 sayılı Türkiye İş Kurumu Kanunu 
• 6475 sayılı Posta Hizmetleri Kanunu 
• 213 sayılı Vergi Usul Kanunu
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• Özel Hastaneler Yönetmeliği

5.2. Verilerin Saklanmasını Gerektiren İşleme Amaçları ve Hukuki Dayanaklar

Şirketimiz, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar ve hukuki dayanaklar doğrultusunda saklar:

• Yönetim faaliyetlerinin yürütülebilmesi,
• Acil durum yönetim süreçlerinin yürütülmesi,
• Bilgi güvenliği,
• İş sağlığı ve güvenliği faaliyetlerinin yürütülmesi,
• İstatiksel çalışmalar yapabilmek,
• Finans muhasebe faaliyetlerinin yürütülmesi,
• Kurum güvenliğini sağlamak,
• Denetim ve etik süreçlerinin yürütülmesi,
• İnsan Kaynakları süreçlerini yürütmek,
• Pazarlama ve lojistik faaliyetlerinin yürütülmesi,
• Reklam/Kampanya/Promosyon süreçlerinin yürütülmesi,
• İletişim faaliyetlerinin yürütülmesi,
• Taşınır mal ve kaynakların güvenliğinin temini,
• VERBİS kapsamında, çalışanlar, veri sorumluları, irtibat kişileri, veri sorumlusu temsilcileri ve veri işleyenlerin tercih ve ihtiyaçlarını tespit etmek, verilen hizmetleri buna göre düzenlemek ve gerekmesi halinde güncellemek,
• Müşteri ve çalışan süreçlerinin yürütülmesi,
• Ticari ve hizmet faaliyetlerinin yürütülmesi,
• Mal/Hizmet satın alma süreçlerinin yönetilmesi,
• Organizasyon ve etkinlik yönetimi,
• Veri sahibinin açık rızası alınması gereken saklama faaliyetleri kapsamında veri sahibinin açık rızasının bulunması,
• Hukuk işlerinin takibi ve yürütülmesi,
• Yetkili kurum ve kuruluşlara bilgi verilmesi,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• Tedarik zinciri süreçlerinin yürütülmesi,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun
  meşru menfaatleri için veri işlenmesinin zorunlu olması.

Hukuki dayanaklar içinde yer alan ‘’İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması’’ 

Veri sahiplerine ait kişisel veriler, Şirketimiz tarafından özellikle:

1. Faaliyetlerin sürdürülebilmesi ve yürütülebilmesi,
2. Çalışan ve müşteri haklarının planlanması ve ifası,
3. Kurum içi güvenliğin sağlanması,
4. İş ilişkilerinin yönetilebilmesi.

Amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde Kanun ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

5.3. Kişisel Verilerin İmhasını Gerektiren Sebepler

Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, şirketimiz tarafından re ’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir:

a. Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

b. Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

c. Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması.

d. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,

e. İlgili kişinin, Kanun’un 11. maddesinin2 (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,

f. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,

g. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması

5.4. Kişisel Verilerin Şirketimizce Saklanması ve İmha Usulleri

5.4.1. Kayıt Ortamları 

Veri sahiplerine ait kişisel veriler, şirketimiz tarafından aşağıdaki tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır: 

5.4.2 Teknik ve İdari Tedbirler 

Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla KVKK’nın 12. Maddesindeki ilkeler çerçevesinde, şirketimiz tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır: 

a. İdari Tedbirler: 

Şirketimiz idari tedbirler kapsamında; 

1. Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır. Erişimin sınırlandırılmasında verinin özel nitelikli olup olmadığı ve önem derecesi de dikkate alınır. 
2. İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir. 
3. Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar. 
4. Kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel istihdam eder ve personeline kişisel verilerin korunması mevzuatı ve veri güvenliği kapsamında gerekli eğitimleri verir. İşbu eğitimlerle şirket bünyesindeki personellerin teknik bilgi/becerisi geliştirilmekte ve kişisel verilerin işlenmesi/saklanması ve imhası prosedürlerinin, ilgili personeller tarafından hukuka ve mevzuata uygun şekilde yürütülmesi sağlanmaktadır.
5. Kendi tüzel kişiliği nezdinde kanun hükümlerinin uygulanmasını ve kontrolünü sağlamak amacıyla gerekli denetimleri periyodik olarak yapar ve yaptırır. Denetimler sonucunda ortaya çıkan/çıkma ihtimali bulunan gizlilik ve güvenlik zaafiyetlerini giderir.
6. Kişisel verilerin korunması ve veri güvenliğinin sağlanması amacıyla, şirket tarafından yürütülen faaliyetlere ilişkin olarak çalışanlarla gizlilik sözleşmeleri imzalar veya var ise mevcut sözleşmelere eklenen hükümler ile veri güvenliğini sağlar. 
7. Kişisel veri işlemeye başlamadan önce kişisel verileri işlenen ilgili kişilere bu verilerin kim tarafından, hangi amaçlarla ve hukuki sebeplerle işlenebileceği, kimlere hangi amaçlarla aktarılabileceği hususunda bilgi vererek aydınlatma yükümlülüğünü yerine getirir.
8. Mevzuat tarafından ön görülen istisnai haller dışında; kişisel verileri ilgilinin açık rızası olmadan işlemeyeceğini ilgili kişilere taahhüt etmektedir. Açık rıza alınması gerekli hallerde ise; ilgili kişinin belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızası alınarak söz konusu yükümlülük yerine getirilir.
9. Kanunda ön görülen veya politikada belirtilen veri saklama süresinin dolması halinde; şirket tarafından yapılacak ilk periyodik imha işleminde işbu kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi süreci işletilir.
10. Bilginin çalınmasını, kaybolmasını veya bozulmasını engellemek amacıyla tüm makul önlemlerin alınması sağlanır.

b. Teknik Tedbirler: 

Şirketimiz teknik tedbirler kapsamında; 

1. Kurulan sistemler kapsamında gerekli iç kontrolleri yapar. 
2. Bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınır.
3. Kurulan sistemler kapsamında bilgi teknolojileri risk değerlendirmesi ve iş etki analizinin gerçekleştirilmesi süreçlerini yürütür. 
4. Hukuka aykırı veri işlemeye yönelik riskler belirler ve işbu risklere uygun teknik tedbirler alır. Hukuka aykırı veri işlendiğinin tespiti halinde ise, ilgili kişiye ve kurula bildirmek için bir sistem ve altyapı oluşturur.
5. Erişim yetki ve rol dağılımları için prosedürler oluşturulur ve uygulanır. Yetki matrisi uygulanır, erişimler kayıt altına alınarak uygunsuz erişimler kontrol altında tutulur, saklama ve imha politikasına uygun imha süreçleri tanımlanır ve uygulanır
6. Bilgi teknolojileri birimlerinde çalışanların kişisel verilere erişim yetkilerinin kontrol altında tutulmasını sağlar. 
7. Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim izi bırakmayacak şekilde sağlanır. 
8. Kanun’un 12. maddesi uyarınca, kişisel verilerin saklandığı her türlü dijital ortam, bilgi güvenliği gereksinimlerini sağlayacak şekilde şifreli veyahut kriptografik yöntemler ile korunur. Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenir.
9. Kişisel verilerin güvenli olarak saklanmasını sağlayan yedekleme programları kullanılır.
10. Belirlenen kurallara göre güvenli işlem kayıtları (Log kaydı) tutulur.
11. Belirlenen kurallara göre işlem kayıtları (log kaydı) tutulur.
12. Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılır.
13. Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulur.
14. Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılır.
15. Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.  
16. Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (Güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınır.

5.4.3. Personel 

Kişisel veri saklama ve imha sürecinde yer alan personelin unvanlarına, birimlerine ve görev tanımlarına işbu Politika’nın EK-1’nde yer alan listeden ulaşabilirsiniz. 

5.4.4. Kı̇şı̇sel Verı̇lerı̇n İmha Usulleri̇ 

Şirketimiz tarafından KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde şirketimiz tarafından re’sen yahut İlgili Kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir. 

5.4.4.1. Kişisel Verilerin Silinmesi  

Kişisel veriler aşağıda belirtilen yöntemlerle silinir.

5.4.4.2 Kişisel Verilerin Yok Edilmesi

Şirket, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir. Kişisel verilerin silinmesi akabinde ilgili kişiler hiçbir şekilde silinen verilere tekrardan erişilemeyecek ve kullanılmayacaktır. Şirket tarafından kişisel verilerin imha süreçlerinin tanımlanması ve takip edilmesine ilişkin etkin bir veri takip süreci yönetilecektir. Yürütülen süreç sırası ile silinecek verilerin tespit edilmesi, ilgili kişilerin tespiti, kişilerin erişim yöntemlerinin tespiti ve hemen akabinde verilerin silinmesi olacaktır.

Kişisel verileriniz, şirketimiz tarafından aşağıdaki yöntemlerle silinir.

5.4.4.3 Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

6. SAKLAMA VE İMHA SÜRELERİ

Şirketimiz tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha sürelerinin tespitinde aşağıda sırasıyla belirtilen ölçütlerden yararlanılmaktadır: 

1. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi akabinde veri hakkında 2. bent kapsamında işlem yapılır. 

2. Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda sırasıyla; 

1. Kişisel veriler, KVKK’nın 6. maddesinde yer alan tanımlama baz alınarak, kişisel veriler ve özel nitelikli kişisel veriler olarak sınıflandırmaya tabi tutulur. Fiziki veya dijital ortamlarda mevcut bulunan ve özel nitelikte olduğu tespit edilen tüm kişisel veriler veri sahibinin açık rızasının bulunmadığı durumlarda imha edilir. Söz konusu verilerin imhasında uygulanacak yöntem verinin niteliği ve saklanmasının şirketimiz nezdindeki önem derecesine göre belirlenir. 
2. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu örneğin; verinin saklanmasında Şirketin meşru bir amacının olup olmadığı sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir. 
3. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir. 

Şirket tarafından tespit edilen saklama, imha ve periyodik imha sürelerine, işbu Politika’nın ekinde (Ek-2) yer alan ‘‘Saklama, İmha ve Periyodik İmha Sürelerine ilişkin Tablo”’dan ulaşabilirsiniz. 

Saklama süresi dolan kişisel veriler, işbu Politika’nın ekinde (Ek-2) yer alan imha süreleri çerçevesinde, 6 aylık periyodlarla işbu Politika’da yer verilen usullere uygun olarak imha edilir. İmha edilen verilere ilişkin “Veri İmha Tutanağı’na” Ek-4’den ulaşabilirsiniz.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 5 (beş) yıl süreyle saklanır. 

7. PERİYODİK İMHA SÜRESİ

Şirketimiz tarafından, periyodik imha süresi 6 ay olarak belirlenmiştir. Buna göre her yıl Şubat ve Temmuz aylarında imha gerçekleştirilir

8. POLİTİKAMIZIN YAYINLANMASI VE SAKLANMASI 

Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, şirketimizin internet sayfasında açıklanır. Basılı kâğıt nüshası da şirketimizin genel merkezinin Muhasebe departmanında saklanır.

9. POLİTİKAMIZIN GÜNCELLENME PERİYODU

Politika, ihtiyaç duyuldukça ve ilgililerden talep olması durumunda gözden geçirilir ve gerekli olan bölümler güncellenir. Yapılan güncellemeler 7 iş günü içerisinde şirketimizin ‘‘CUMHURİYET MAH.ATATÜRK BULVARI NO.5/1 BEYLİKDÜZÜ/İSTANBUL” adresinde, basılı nüshası ise şirketimizin genel merkezinin Muhasebe departmanında ilan edilir.

10. POLİTİKAMIZIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI

Politika şirketimiz tarafından düzenlenerek 23.12.2019 tarihinde yürürlüğe girmiştir. Politika’da değişiklik olması durumunda, Politika’nın yürürlük tarihi ve ilgili maddeler bu doğrultuda güncellenecektir. Gerekliliğinde yapılabilecek güncellemelere ilişkin Güncelleme Tablosu Ek-3’te yer almaktadır. KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat hükümleri uygulanacaktır. 

Güncelleme Tablosu Ek-3