BAYMER TURİZM VE YATIRIM ANONİM ŞİRKETİ
BAYMER TURİZM VE YATIRIM ANONİM ŞİRKETİ
KİŞİSEL VERİ SAKLAMA, İŞLEME VE İMHA PROSEDÜRÜ
İÇİNDEKİLER
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
BÖLÜM I – GİRİŞ | ………………………………………………………………….................................... | 4 |
1.AMAÇ | ………………………………………………………………….................................... | 4 |
2.KAPSAM | ………………………………………………………………….................................... | 4 |
3.İLGİLİ DÖKÜMANLAR | ………………………………………………………………….................................... | 4 |
4.TANIMLAR | ………………………………………………………………….................................... | 4 |
BÖLÜM II – UYGULAMA | …………………………………………………………………………………………… | 5 |
5.SORUMLULAR | …………………………………………………………………………………………… | 5 |
6.XXXXXXMA | …………………………………………………………………………………………… | 6 |
6.1 Kişisel Veri Saklama Ve İşleme Faaliyetleri | …………………………………………………………………………………………… | 6 |
6.1.1 Saklaxxxx Xxxxxxx Açıklamalar | ………………………………………………………………………………………...... | 6 |
6.1.2 Saklamayı Gerektiren Hukuki Sebepler | ………………………………………………………………………………………...... | 7 |
6.1.3 Saklamayı Gerektiren İşleme Amaçları | ………………………………………………………………………………………...... | 7 |
6.1.4 İmhayı Gerektiren Sebepler | ………………………………………………………………………………………...... | 8 |
6.2. Kayıt Ortamları | ………………………………………………………………………………………...... | 9 |
6.3 Kişisel Veri İşleme Koşulları | ………………………………………………………………………………………...... | 9 |
6.3.1 Veri Sorumlusu’nun Aydınlatma Yükümlülüğü | ………………………………………………………………………………………...... | 9 |
6.3.2 Özel Nitelikli Kişisel Verilerin işlenmesinde Uyulacak Kurallar | ………………………………………………………………………………………...... | 10 |
6.3.3 Çalışanların ve Çalışan Adaylarının Kişisel Verilerinin İşlenmesinde Uyulacak Kurallar | ………………………………………………………………………………………...... | 10 |
6.3.4 Müşterilere Ait Kişisel Verilerin Pazarlama Amaçlarıyla İşlenmesi ve Kullanılmasında Uyulacak Esaslar | ………………………………………………………………………………………...... | 10 |
6.3.5 Görevi Gereği Kişisel Veri İşleyen Çalışanların Özel Olarak Dikkat Etmesi Beklenen Hususlar | ………………………………………………………………………………………...... | 10 |
6.3.6 Görevi Gereği Özel Nitelikli Kişisel Veri İşleyen Çalışanların Uyması Gereken Kurallar | ………………………………………………………………………………………...... | 11 |
6.3.7 Kişisel Verilerin |
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
Transferi ve Devri Gerçekleştirirken Uyulması | ||
Gereken Kurallar | ………………………………………………………………………………………...... | 11 |
6.4 Teknik ve İdari Tedbirler | ………………………………………………………………………………………...... | 11 |
6.4.1 Teknik Tedbirler | ………………………………………………………………………………………...... | 11 |
6.4.2 İdari Tedbirler | ………………………………………………………………………………………...... | 12 |
6.5 İlgili Kişinin Hakları | ………………………………………………………………………………………...... | 13 |
6.6 Güvenlik Koşulları | ………………………………………………………………………………………...... | 13 |
6.7 Kişisel Verileri İmha Teknikleri | ………………………………………………………………………………………...... | 14 |
6.7.1 Kişisel Verilerin Silinmesi | ………………………………………………………………………………………...... | 14 |
6.7.2 Kişisel Verilerin Yok Edilmesi | ………………………………………………………………………………………...... | 14 |
6.7.3 Kişisel Verilerin Anonim Xxxx Getirilmesi | ………………………………………………………………………………………...... | 15 |
6.8 Veri Türlerine Göre Saklanma Ve İmha Süreleri | ………………………………………………………………………………………...... | 15 |
6.9. Periyodik İmha Süreleri | ………………………………………………………………………………………...... | 16 |
BÖLÜM III – YÜRÜRLÜK | ………………………………………………………………………………………...... | 17 |
7. GÜNCELLEME PERİYODU | ………………………………………………………………………………………...... | 17 |
8. PROSEDÜR’ÜN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN
KALDIRILMASI 17
BÖLÜM I - GİRİŞ
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
1. AMAÇ
İşbu Prosedür, Baymer Yatırım ve Turizm Anonim Şirketi (Bundan böyle “Baymer” olarak anılacaktır.) tarafından gerçekleştirilmekte olan kişisel veri saklama ve imha faaliyetlerine ilişkin iş ve işlemler ile çalışanlarımızın görevlerini ifa ederken ellerine geçen ya da bilgileri dahiline giren tüm Kişisel Verileri gizli tutmalarını ve Türkiye’de yürürlükte bulunan 6698 sayılı Kişisel Verilerin Korunması Kanunu (Bundan böyle “KVKK” olarak anılacaktır.) ve hukuki dayanağını ondan alan ikincil mevzuat ile Kişisel Verileri Koruma Kurulu’nun almış olduğu kararlara (Hepsi birlikte (Bundan böyle “KVK Mevzuatı” olarak anılacaktır.)) uymalarını sağlamak amacıyla tasarlanmış ve çıkartılmış bulunmaktadır.
2. KAPSAM
İşbu Prosedür, görevleri kapsamında Kişisel Verileri tamamen veya kısmen otomatik yol ve araçlarla işleyen ya da bir kayıt sisteminin bir parçasını oluşturan ya da bir kayıt sisteminin bir parçasını oluşturması amaçlanan Kişisel Verileri başka yol ve araçlarla işleyen tüm çalışanlarımıza; Baymer çalışanları, çalışan adayları, taşeron çalışanları, hizmet sağlayıcıları kiracılar, ziyaretçiler ve bunlarla sınırlı olmamak üzere diğer üçüncü kişilere ait kişisel verilerin işlenmesi faaliyetlerine ilişkin olarak uygulanır.
3. İLGİLİ DÖKÜMANLAR
3.1. Kişisel Verilerin Korunması Başvuru Prosedürü
3.2. Kişisel Verilerin Korunması Aydınlatma Metni (Genel)
3.3. Kişisel Verilerin Korunması Aydınlatma Metni (Çalışan)
3.4. Üçüncü Kişiler İle Akdolunacak Gizlilik Sözleşmesi
3.5. Çalışan Veri Gizliliği Taahhütnamesi
3.6. Güncel İş Sözleşmesi
3.7. Kişisel Verilerin Korunması ve İşlenmesi Politikası
3.8. Temiz Masa – Temiz Ekran Prosedürü
4. TANIMLAR
Xxxx Xxxx | Xxxxxxx bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder. | |
Çalışan | İş Sözleşmesine dayanarak Baymer’de istihdam edilen kişileri ifade eder. | |
Çalışan Adayı | Baymer’e iş başvurusunda bulunarak veya herhangi bir yolla özgeçmişini ve ilgili bilgilerini Baymer ’e erişilebilir kılan gerçek kişileri ifade eder. | |
Xxxxxxxx | Xxxxxx tarafından işletilmekte olan Carousel Alışveriş ve Yaşam Merkezi’nin sunmuş olduğu sadakat (bağlılık) kartını ifade eder. | |
Carousel | Baymer tarafından işletilmekte olan Carousel Alışveriş ve Yaşam Merkezi’ni ifade eder. | |
Hissedar/Ortak | Baymer’in hissedarı/ortağı olan gerçek kişileri ifade eder. | |
İlgili Kişi | Kişisel verisi işlenen gerçek kişileri ifade eder. | |
Kiracı | Carousel’de mağaza/stand kiralayan gerçek kişileri ifade eder. | |
Kişisel Veri | Gerçek kişilere ait her türlü veriyi ifade eder. | |
HAZIRLAYAN | ONAY | |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu | |
Kişisel Verilerin İşlenmesi | Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilme- si, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden dü- zenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getiril- mesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade eder. |
Komite | Baymer tarafından kişisel veri güvenliğinin temini, denetimi ve başvuruların değerlendirilmesi amacıyla görevlendirilmiş kişilerden oluşan komiteyi ifade eder. |
Müşteri | Carousel’in sunmuş olduğu kampanya/çekiliş/etkinlik/Carocard vb. hizmetler- den yararlanan gerçek kişileri ifade eder. |
Özel Nitelikli Kişisel Veri | Bir kişinin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerini ifade eder. |
Taşeron Çalışanı | Xxxxxx’xx hizmet aldığı firma çalışanlarını ifade eder. |
Üçüncü Kişiler | Prosedürde tanımlanmamış olmasına rağmen işbu Prosedür çerçevesinde kişi- sel verileri işlenen tedarikçi, mağdur, aile bireyleri vb. dâhil fakat bunlarla sınırlı olmamak üzere diğer gerçek kişileri ifade eder. |
VERBİS | Veri sorumluları veri sicil bilgi sistemini ifade eder. |
Veri İrtibat Kişisi | Kişisel verileri koruma kurumu ile kurulacak iletişim için Baymer tarafından VERBİS’e kayıt esnasında bildirilen gerçek kişiyi ifade eder. |
Veri İşleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişiyi ifade eder. |
Veri Sorumlusu | Baymer’i ifade eder. |
Ziyaretçi | Carousel’i veya internet sitelerini ziyaret eden gerçek kişileri ifade eder. |
5. SORUMLULULAR
BÖLÜM II - UYGULAMA
5.1. Baymer dahilinde tüm iş birimleri ve çalışanları işbu Prosedür ve Kişisel Verilerin Korunması ve İşlenmesi Politikası kapsamında belirtilmiş olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının artması, takibi gibi sürekli denetimi ile kişisel verilerin hukuka uygun şekilde işlenmesini teminen tüm veri işleme ortamlarında veri güvenliğini sağlamaya dönük olarak teknik ve idari tedbirlerin uygulanmasına destek verir ve sorumlu birimlerle işbirliği içinde çalışır.
5.2. Kişisel verilerin saklama ve imha süreçlerinde görev alanların görev yapmakta olduğu hususlar şu şekilde oluşmuştur;
5.2.1. Bu Prosedür ve bu Prosedürde yapılan tüm revizyon ve değişiklikleri incelemek ve onaylamak Komite’nin sorumluluğundadır. Komite aynı zamanda prosedürü geliştirmek ve gerekli eğitimleri vermek ile prosedürün yorumlanması konusunda çalışanlara yol göstermek ile görevlidir. Komite, bu
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
prosedüre uyulup uyulmadığını denetler ve uyulması için gerekli desteği verir.
5.2.2. Komite işbu prosedürün 6.8. maddesinde yer alan periyodik imha süreçlerinin kontrolünden, belirtilen verilerin ilgili muhafaza süreleri boyunca muhafaza edilmesinden, bu sürelerin takibinden ve muhafaza süresi dolan verilerin imha edilmesinden sorumludur.
5.2.3. Komite’nin takibinden sorumlu olduğu Baymer periyodik imha süreci 6 ay olarak belirlenmiştir.
5.2.4. İcra Kurulu veri irtibat kişisinin Prosedürden sapma ve istisna taleplerini incelemek ve onaylamak ile yükümlüdür.
6. UYGULAMA
6.1. Kişisel Veri Saklama Ve İşleme Faaliyetleri
İş faaliyetleri sırasında çalışanlarımız, detayları Kişisel Verilerin Korunması ve İşlenmesi Politikası’nda belirtilmiş olan Kişisel Verileri işbu prosedürde ve Kişisel Verilerin Korunması ve İşlenmesi Politikası’nda öngörülmüş usullerle toplamakta, işlemekte ve saklamakta ve imha etmek ile yükümlüdür.
Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.
6.1.1 Saklamaya İlişkin Açıklamalar
Kişisel veriler, Baymer iş faaliyetleri çerçevesinde ilgili mevzuatta öngörülen veya işleme amaçlarına uygun ve işbu prosedürün 6.8 maddesinde belirtilmiş olan sürelerde saklanır.
6.1.2 Saklamayı Gerektiren Hukuki Sebepler
Baymer, iş faaliyetleri çerçevesinde işlenen kişisel verileri aşağıda belirtilen ilgili mevzuatta öngörülen sürelere uygun olarak muhafaza eder.
• 6098 Sayılı Türk Borçlar Kanunu
• 5510 Sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 6331 Sayılı İş Sağlığı ve Güvenliği Kanunu
• 6102 Sayılı Türk Ticaret Kanunu
• 4857 Sayılı İş Kanunu
• 6502 Sayılı Tüketicinin Korunması Hakkında Kanun
• Alışveriş Merkezleri Hakkında Yönetmelik
Bu kanunlar uyarınca, yürürlükte olan ikincil düzenlemeler ve bunlarla sınırlı olmamak üzere; Baymer’in uyması gereken mevzuat ve idari düzenlemeler uyarınca öngörülen saklama süreleri boyunca kişisel veriler saklanmakta ve işlenmektedir.
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
6.1.3 Saklamayı Gerektiren İşleme Amaçları
Kişisel veriler, Kişisel Verilerin Korunması ve İşlenmesi Politikası’nda detaylandırılmış bulunan ve aşağıda sıralanmış amaçlarla saklanmaktadır:
• İletişim faaliyetlerinin gerçekleştirilmesinin temini,
• Kurum ve fiziksel mekan güvenliğinin sağlanması,
• İstatiksel çalışmalar yapabilmek,
• Reklam, çekiliş, kampanya, vb. süreçlerinin yürütülmesi,
• Müşteri/ziyaretçi şikayetlerinin/taleplerinin karşılanması, ziyaretçi kayıtlarının oluşturulması ve takibi, Carocard kapsamında müşteri/ziyaretçilere çeşitli ayrıcalıklar sunulması, Carousel tarafından müşterilere/ziyaretçilere sunulan kampanya/çekiliş/etkinlikler hakkında bilgilendirme yapılması,
• Çalışanlar, çalışanlarının işe alınması, ücretlerinin, yan haklarının ve bağlantılı konuların temini. çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi, insan kaynakları süreçlerinin planlanması, iş sağlığı ve güvenliği faaliyetlerinin yürütülmesi,
• İmzalanan kira sözleşmeleri kapsamında iş ve işlemlere ilişkin süreçlerin yürütülmesi, kira bedellerinin hesaplanması, kira bedellerinin tahsilatına ilişkin işlemlerin gerçekleştirilmesi
• Xxxxxxxx başvurusu ve kira sözleşmeleri kapsamında ilgili süreçlerin yürütülmesi,
• Baymer ile iş ilişkisi bulunan gerçek/tüzel kişilerle irtibat sağlamak,
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü,
• Mevzuatta öngörülmesi,
• Acil durum yönetimi süreçlerinin yürütülmesi,
• Bilgi güvenliği süreçlerinin yürütülmesi,
• Çalışan adaylarının başvuru süreçlerinin yürütülmesi,
• Çalışan memnuniyeti ve bağlılığı süreçlerinin yürütülmesi,
• Denetim/etik faaliyetlerinin yürütülmesi,
• Eğitim faaliyetlerinin yürütülmesi,
• Erişim yetkilerinin yürütülmesi,
• Faaliyetlerin mevzuata uygun yürütülmesi,
• Finans ve muhasebe işlerinin yürütülmesi,
• Firma / ürün / hizmetlere bağlılık süreçlerinin yürütülmesi,
• Görevlendirme süreçlerinin yürütülmesi,
• Hukuk işlerinin takibi ve yürütülmesi,
• İş süreçlerinin iyileştirilmesine yönelik önerilerin alınması ve değerlendirilmesi,
• İş sürekliliğinin sağlanması faaliyetlerinin yürütülmesi,
• Mal/hizmet satın alım süreçlerinin yürütülmesi, mal/hizmet satış sonrası destek hizmetlerinin yürütülmesi, mal/hizmet satış süreçlerinin yürütülmesi,
• Müşteri ilişkileri yönetimi süreçlerinin yürütülmesi, müşteri memnuniyetine yönelik aktivitelerin yürütülmesi, organiazsyon ve etkinlik yönetimi,
• Pazarlama analiz çalışmalarının yürütülmesi, performans değerlendirme süreçlerinin yürütülmesi,
• Risk yönetimi süreçlerinin yürütülmesi, taşınır mal ve kaynakların güvenliğinin temini, veri sorumlusu operasyonlarının güvenliğinin temini,
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
• Saklama ve arşiv faaliyetlerinin yürütülmesi,
• Sözleşme süreçlerinin yürütülmesi,
• Yetenek / kariyer gelişimi faaliyetlerinin yürütülmesi,
• Yetkili kişi, kurum ve kuruluşlara bilgi verilmesi,
• Yönetim faaliyetlerinin yürütülmesi,
6.1.4 İmhayı Gerektiren Sebepler
Kişisel veriler;
• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece xxxx xxxx şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• KVKK’nun 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi, ve yok edilmesine ilişkin yaptığı başvurunun Baymer tarafından kabul edilmesi,
• İlgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya KVKK’da öngörülen süre içinde cevap vermemesi hallerinde; Kişisel Verileri Koruma Kurulu’na şikâyette bulunması ve bu talebin Kişisel Verileri Koruma Kurulu tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması
durumlarında, Baymer tarafından ilgili kişinin talebi üzerine ya da re ’sen silinir, yok edilir veya anonim hale getirilir.
6.2 Kayıt Ortamları
Kişisel veriler Baymer tarafından Tablo 1’de listelenen ortamlarda hukuka uygun olarak ve güvenli bir şekilde saklanır.
Tablo 1: Kişisel veri saklama ortamları
Elektronik Ortamlar | Elektronik Olmayan Ortamlar |
(1) Yazılımlar | (1) Xxxxxx Xxxx Xxxxx Ortamları |
(a) Web , e-posta | (a) Formlar |
(b) CRM Portal | (b) Tutanaklar |
(c) Microsoft Office,WindowsServer,SQL Server (d) LOGO | (c) Belgeler |
(2) Güvenlik Duvarı | (2) Görsel – Yazılı Diğer Ortamlar |
(a) Sonicwall (b) Cyberoan (c) Juniper | (a) Arşiv |
(3) Saldırı Tespit Ve Engelleme Sistemi | (b)Klasörler |
(a) Sophos | (c)Birim dolapları |
(4) Antivirüs |
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
(a) Sophos | |
(5) Loglama | |
(a) Sophos (b) Sonicwall | |
(6) Kurum/Kişisel Bilgisayarlar | |
(7) Cep Telefonları/Tabletler | |
(8) Ortak Folder Sistemi | |
(9) Optik Diskler, Yedekleme Cihazı,USBbellek | |
(10) Kamera Kayıt Sistemleri, | |
(11) Ses Kayıt Sistemleri | |
(12) Yazıcı, Fotokopi, Tarayıcı Makinaları |
6.3 Kişisel Veri İşleme Koşulları
Kişisel verilerin bu prosedüre ve Kişisel Verilerin Korunması ve İşlenmesi Politikası’na uygun olarak işlenebilmesi ve kullanılabilmesi için, ilgili kişiye işleme faaliyetlerine dair aydınlatma yapılması, Kişisel Verilerin işlenmesi konusunda izin istenmesi ve ilgili kişinin açık rızasının alınması gerekir. Bu amaçla çalışanlarımız tarafından, kurumumuz tarafından onaylı form ve aydınlatma metinlerinin kullanılması gerekmektedir.
Ancak aşağıda sayılan istisnalardan birinin söz konusu olması halinde ilgili kişiden xxxx xxxx alma şartı uygulanmamalıdır:
• Kişisel Verileri işlemenin, ilgili kişinin de taraf olduğu bir sözleşmenin ifası ve uygulanması için zorunlu olması halinde,
• Kişisel Verileri işlemenin bir kanuni yükümlülüğe uymak için zorunlu olması halinde,
• Kişisel Verileri işlemenin bir kamu otoritesinin ya da resmi makamın yetkileri dahilindeki bir görevin ifası için gerekli olması halinde,
• Kamuya açık olan genel bilgilerin, yoruma dayanan bilgilerin ve/veya istatistik veri ve bilgilerinin işlenmesi halinde.
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan ilgili kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde.
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde.
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması halinde.
6.3.1 Veri Sorumlusu’nun Aydınlatma Yükümlülüğü
Veri Sorumlusu olarak işbu prosedürün 6.5 maddesinde anıldığı şekilde Kişisel Verilerin işlenmesi için her zaman ilgili kişinin xxxx xxxx alınması şartı bulunmasa dahi, Xxxxxx’xx her zaman ilgili kişilere aşağıdaki konularda bilgi verme yükümlülüğü bulunmaktadır:
• Veri Sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• İşbu prosedürün 6.5. maddesinde sayılmış ilgili kişinin diğer hakları.
Aydınlatma yükümlülüğü “Kişisel Verilerin Korunması Aydınlatma Metinleri”ni kullanmak suretiyle yapılabilir.
6.3.2 Özel Nitelikli Kişisel Verilerin işlenmesinde Uyulacak Kurallar:
İş kanunları ve mevzuatından doğan belirli hakların kullanılması veya belirli yükümlülüklerin yerine getirilmesi amaçlarıyla gerekli olmadıkça ve KVK Mevzuatı başta olmak üzere yürürlükteki sair mevzuat gereğince izin ve yetki verilen durumlar haricinde, Özel Nitelikli Kişisel Veriler işlenmeden önce bu verileri işlemek için ilgili kişinin açık izin ve rızasını mutlaka ve daima almak gerekir.
6.3.3 Çalışanların ve Çalışan Adaylarının Kişisel Verilerinin İşlenmesinde Uyulacak Kurallar
Çalışanlara ait Özel Nitelikli Kişisel Veriler de dahil olmak üzere Kişisel Verilerin İş Kanunu ve diğer ilgili mevzuat uyarınca yahut Baymer tarafından belirlenen başka amaçlarla işlenebilmesi için, halihazırda Baymer çalışanı bulunan kişilere “Çalışan Veri Gizliliği Taahhütnamesi”nin imzalatılması suretiyle aydınlatma ve xxxx xxxx temini yükümlüğünün yerine getirilmesi gerekmektedir.
Halihazırda Baymer çalışanı durumunda bulunmayan, işe alım süreci olumlu şekilde tamamlanacak olan kişilere ilişkin kişisel verilerin işlenebilmesinin için, ilgili kişiye “Güncel İş Sözleşmesi”nin imzalatılması ve aydınlatma yükümlülüğünün yerine getirilmesi mümkündür.
6.3.4.Müşterilere Ait Kişisel Verilerin Pazarlama Amaçlarıyla İşlenmesi ve Kullanılmasında Uyulacak Esaslar
Müşterilerin kişisel verilerini doğrudan veya dolaylı olarak pazarlama yapmak maksadıyla toplanması ve işlenmesi için, kişisel verilerin toplanmasından önce ilgili kişi müşterinin açık rızasının alınmış olması gerekir.
6.3.5 Görevi Gereği Kişisel Veri İşleyen Çalışanların Özel Olarak Dikkat Etmesi Beklenen Hususlar
Görevlerinin bir gereği olarak ve görevleri esnasında, Baymer adına Kişisel Verileri işlerken, çalışanlarımızın işbu prosedürde ve “Temiz Ekran – Temiz Masa Prosedürü”nde yer alan hususların yanı sıra aşağıda sayılan hususları gözetmeleri beklenmektedir:
• Kişisel Verilerin KVK Mevzuatı’na uygun bir şekilde ve meşru yollarla işlenmesi gerekir.
• Kişisel Verilerin sadece izin verilen ve açıklanan yasal amaçlar için işlenmesi gerekir.
• İlgili kişiye açıklanmayan veya meşru olmayan bir amaç için kesinlikle veri işlenmemesi ve saklanmaması gereklidir.
• Kişisel Verilerin işlenme amacı için yeterli olması, bu amaçla ilişkili ve bağlantılı olması ve işlenme amacına kıyasla aşırı miktarda veya sayıda olmaması gerekir.
• Kişisel Verilerin doğru ve gerçek olması ve gerektiğinde güncellenmesi gerekir.
• Herhangi bir amaçla işlenen ve kullanılan Kişisel Verilerin bu amaç için gerekli olan süreden daha uzun bir süreyle tutulmaması ve saklanmaması gerekir.
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
6.3.6 Görevi Gereği Özel Nitelikli Kişisel Veri İşleyen Çalışanların Uyması Gereken Kurallar
Görevlerinin bir gereği olarak ve görevleri esnasında Baymer adına Özel Nitelikli Kişisel Veri işlemekte olan çalışanların işbu prosedürün diğer maddeleri ve 6.3.5. maddede sözü edilen hususları gözetmelerinin yanı sıra KVK Mevzuatı uyarınca Çalışan Veri Gizliliği Taahhütnamesi’ni imzalamaları gerekmektedir.
6.3.7 Kişisel Verilerin Transferi ve Devri Gerçekleştirirken Uyulması Gereken Kurallar
• Çalışanlarımız, KVK Mevzuatı uyarınca Baymer tarafından belirlenen koşullar haricinde herhangi bir üçüncü kişiye veri transfer etmeyeceklerdir.
• Çalışanlarımız, Kişisel Verileri, İlgili Kişi’nin açık rızası bulunmadıkça, Kişisel Verileri Koruma Kurulu tarafından belirlenecek ve ilan edilecek olan ‘Yeterli Korumanın Bulunduğu Ülkeler’ dışında bir ülkeye transfer etmeyeceklerdir.
• Kişisel Veriler, bahsi geçen ‘Yeterli Korumanın Bulunduğu Ülkeler’ dışındaki bir ülkeye, ancak ve sadece ilgili kişi tarafından bu transfere açık izin ve rızası verildiği takdirde transfer edilebilecektir.
6.4 Teknik Ve İdari Tedbirler
Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kişisel Verilerin Korunması Kanunu uyarınca ve Kişisel Verileri Koruma Kurulu tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde olmak üzere Baymer tarafından teknik ve idari tedbirler alınmaktadır.
6.4.1 Teknik Tedbirler
Baymer tarafından işlenmekte olan kişisel veriler bakımından alınan teknik tedbirler aşağıda sayılmıştır:
• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakım kapsamındaki güvenlik önlemleri alınmaktadır.
• Erişim logları düzenli olarak tutulmaktadır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel antivirüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
• Özel nitelikli kişisel veriler için güncel şifreleme/kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulaması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Taşınabilir bellek, CD, DVD ortamından aktarılan özel nitelikli kişisel veriler şifrelenerek aktarılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
6.4.2 İdari Tedbirler
Baymer tarafından işlenmekte olan kişisel verilere ilişkin olarak alınan idari tedbirler aşağıda sayılmıştır:
• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kağıt yolu ile aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kurum içi periyodik ve / veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda farkındalığı sağlanmaktadır.
6.5 İlgili Kişinin Hakları
Baymer tarafından kişisel verileri işlenmekte olan Xxxxxx Xxxx Xxxxxx ’e başvurarak kendisi ile ilgili;
(a) Kişisel veri işlenip işlenmediğini öğrenme,
(b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
(c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
(d) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
(e) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
(f) Veri Koruma Mevzuatı’nda öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
(g) (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
(h) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
(i) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.
Kişisel Verilerin doğrudan, pazarlama çabalarının bir parçası olarak toplandığı durumlarda, ilgili kişi, kendisine ait Kişisel Verilerin üçüncü şahıslara verilmesine veya pazarlama amaçlarıyla kullanılmasına itiraz etme hakkına ya da Kişisel Verileri üçüncü şahıslara verilmeden veya pazarlama amaçlarıyla kullanılmadan önce durumun kendisine bildirilmesini talep etme hakkına sahiptir.
İlgili kişilerin bu başvurularının, değerlendirilmesinin ve yanıtlanmasının Kişisel Verilerin Korunması Başvuru Prosedürü içinde anıldığı şekilde gerçekleşmesi gerekmektedir.
6.6 Güvenlik Koşulları
Baymer çalışanları, Kişisel Verileri kazayla veya yasadışı bir şekilde imha olma, kaybolma, tahrif edilme, yetkisiz ifşa veya yetkisiz erişim risklerine karşı koruma amacıyla aşağıdaki de dahil tüm makul güvenlik önlemlerini alırlar;
• Kişisel Verilere erişimi sadece görevlerinin ifası esnasında bu bilgilere erişmesi zorunlu olan çalışanlarla sınırlı tutmak.
• Uygunsa, şifre korumalı elektronik dosyaları kullanmak.
• Kişisel Verileri içeren dosyaları düzenli saklamak ve bu dosyalara fiziksel erişimi gerektiği gibi ve uygun şekilde kısıtlamak.
• Kişisel Verilere yetkisiz erişim veya Kişisel Verilerin usulsüz kullanımı gibi olay ve durumlardan haberdar olduğunda bunları derhal âmirine bildirmek.
• Kişisel Verileri ilk belirtilen amacı dışında bir amaçla kullanmadan önce ilgili kişiden KVK Mevzuatı uyarınca xxxx xxxx almak ve işleme konusuyla ilgili aydınlatma yükümlülüğünü yerine getirmek.
Kişisel Verileri korumak için alınan güvenlik tedbirleri periyodik olarak Komite tarafından incelenmekte ve değerlendirilmektedir. Böylelikle kişisel verilerin korunması için ilave güvenlik tedbirlerine veya prosedürlerine ihtiyaç olup olmadığı tespit edilir.
6.7 Kişisel Verileri İmha Teknikleri
İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Baymer tarafından re ‘sen (periyodik imha süreleri) veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
6.7.1 Kişisel Verilerin Silinmesi
Kişisel veriler Tablo-2’de verilen yöntemlerle silinir.
Tablo 2: Kişisel Verilerin Silinmesi
Veri Kayıt Ortamı | Açıklama |
Sunucularda Yer Alan Kişisel Veriler | Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırıla- rak silme işlemi yapılır. |
Elektronik Ortamda Yer Alan Kişisel Veriler | Elektronik ortamda yer alan kişisel verilerden sak- lanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. |
Fiziksel Ortamda Yer Xxxx Xxxxsel Veriler | Fiziksel ortamda tutulan kişisel verilerden saklanma- sını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizile- rek/boyanarak/silinerek karartma işlemi de uygulanır |
Taşınabilir Medyada Bulunan Kişisel Veriler | Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır. |
6.7.2 Kişisel Verilerin Yok Edilmesi
Tablo 3 : Kişisel Verilerin Yok edilmesi
Fiziksel Ortamda Yer Alan Kişisel Veriler | Kâğıt ortamında yer alan kişisel verilerden saklanma- sını gerektiren süre sona erenler, kâğıt kırpma maki- nelerinde geri döndürülemeyecek şekilde yok edilir. |
Optik / Manyetik Medyada Yer Xxxx Xxxx- sel Veriler | Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenle- rin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir. |
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
6.7.3 Kişisel Verilerin Anonim Hale Getirilmesi
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.
6.8 Veri Türlerine Göre Saklanma Ve İmha Süreleri
Aşağıdaki tabloda belirtilen verilerin ilgili muhafaza süreleri boyunca muhafaza edilmesinden,
Komite sorumludur.
Komite’nin takibinden sorumlu olduğu Baymer periyodik imha süresi 6 ay olarak belirlenmiştir. Komite bu sürelere uygun olarak imhaların gerçekleştirilmesinden ve muhafaza süresi dolan kişisel verilerin imhasına ilişkin gerekli hatırlatmaları yapmak bakımından görevli ve yetkilidir.
Tablo 4: Kişisel veri saklama ve imha süreleri
VERİ TÜRÜ | MUHAFAZA SÜRESİ | İMHA SÜRESİ | |
E-posta, Şirket içi yazışma- lar | 10 Yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de | |
Sözleşmeler | Sözleşmenin Sona Ermesini Takip Eden 10 Yıl Boyunca | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de | |
Müşteri/Ziyaretçi Kayıtları | Müşteri/Ziyaretçi İle Girilen Son Etkileşimi Takip Eden 3 Yıl Boyunca, Temin Edilen Eşyanın İade Edildiği Tarih | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de | |
Çalışan Kayıtları | İş Akdinin Sonlanmasından İtibaren 10 Yıl Boyunca | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde | |
Çalışan Adaylarına İlişkin Kayıtlar | İlgili Pozisyona Yönelik İşe Alım İhtiyacının Ortadan Kal- masından İtibaren 1 Yıl Boyun- ca | Saklama süresinin bitimini takip eden ilk periyodik imha süresinde | |
Muhasebe ve Finans Kayıt- ları | Süresiz | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de | |
Şirket İçi Şikayetler ve İlgili Belgeler | 3 Yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de | |
HAZIRLAYAN | ONAY | ||
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu | ||
Hissedar/Ortak Kayıtları | Süresiz | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Hukuki Kayıtlar | 20 yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Resmi Yazışmalar | Süresiz | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Kiracı Kayıtları | Xxxx Xxxxxxxxxxx Sona Ermesin- den İtibaren 10 Yıl Boyunca | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Vergi Kayıtları | Süresiz | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Protokol Kişisi/Basın Çalı- şanı Kayıtları | İlgili Kişinin Pozisyonundan Ayrılmasından İtibaren 1 Yıl Boyunca | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Otopark/Kamera Kayıtları | 1 Ay | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Ses Kayıtları/İşitsel Kayıt- lar | 6 Ay | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
İnternet (5651 S.K. Gereği) Kayıtları, Web Sitesi Giriş Kayıtları | 2 Yıl | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Tadilat/Tamirat İşlemine Yönelik Kayıtlar | Tadilat/Tamirat İşleminin So- na Ermesinden İtibaren 6 Ay Boyunca | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
Taşeron/Tedarikçi Çalışan Kayıtları | İlgili Firmadan Ayrılmasından İtibaren 10 Yıl Boyunca | Saklama süresinin bitimini takip eden ilk periyodik imha süresin- de |
6.9. Periyodik İmha Süreleri
Baymer, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Xxxxxx’xx her yıl Mayıs ve
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |
Kasım aylarında periyodik imha işlemi gerçekleştirilir.
7. GÜNCELLEME PERİYODU
BÖLÜM III – YÜRÜRLÜK
Prosedür, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir.
8. PROSEDÜR’ÜN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI
Prosedür, Xxxxxx’x ait xxx.xxxxxxxx.xxx.xx uzantılı internet sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilir. Yürürlükten kaldırılmasına karar verilmesi halinde, Prosedür’ün ıslak imzalı eski nüshaları İcra Kurulu tarafından iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile Komite tarafından saklanır.
HAZIRLAYAN | ONAY |
Kişisel Verileri Koruma Komitesi | Baymer Turizm ve Yatırım Anonim Şirketi İcra Kurulu |