Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. GİRİŞ

Kişisel verilerin korunması, DOĞU BATI LOJİSTİK İNŞ. MAD. TURZ. ORM. ÜRÜN. SAN. VE TİC. LTD. ŞTİ. (“Şirket”, “Şirketimiz” veya “Doğu Batı Lojistik”) tarafından en önemli öncelikleri arasında yer almaktadır. Bu kapsamda, çalışan adaylarımızın, şirket hissedarlarımızın, şirket yetkililerimizin, ziyaretçilerimizin, iş birliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkilileri ile üçüncü kişilerin kişisel verilerinin korunması ve işlenmesi konusundaki temel ilke ve prensipler, işbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) ile ortaya konulmaktadır.

Türkiye Cumhuriyeti Anayasası’nda güvence altına alınan “kişisel verilerin korunmasını isteme hakkı” çerçevesinde, Şirket, işbu Politika ile yönetilen; çalışan adaylarımızın, şirket hissedarlarımızın, şirket yetkililerimizin, ziyaretçilerimizin, iş birliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkilileri ile üçüncü kişilerin kişisel verilerinin korunması ve hukuka uygun işlenmesi için gereken idari ve teknik tedbirleri almakta ve bu konuda azami özeni göstermekle birlikte bunu bir Şirket politikası haline getirmektedir.

Bu Politika’da kişisel verilerin işlenmesinde Şirket’in benimsediği temel ilkeler şunlardır;

• Kişisel verileri hukuka ve dürüstlük kurallarına uygun işleme,
• Kişisel verileri doğru ve gerektiğinde güncel tutma,
• Kişisel verileri belirli, açık ve meşru amaçlar için işleme,
• Kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• Kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme,
• Kişisel veri sahiplerini aydınlatma ve bilgilendirme,
• Kişisel veri sahiplerinin haklarını kullanması için gerekli sistemi ve altyapıyı kurma,
• Kişisel verilerin muhafazasında gerekli tedbirleri alma,
• Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılmasında, ilgili mevzuata ve KVK Kurulu düzenlemelerine uygun davranma.

2. TANIMLAR

Politika kapsamında geçen bazı kavramlar, anlaşılabilirliği artırmak amacıyla aşağıdaki şekilde tanımlanmıştır:

• KVKK (Kanun): 6698 sayılı Kişisel Verilerin Korunması Kanunu.
• KVK Kurulu: Kişisel Verileri Koruma Kurulu.
• KVK Kurumu: Kişisel Verileri Koruma Kurumu.
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• Kişisel Veri Sahibi (İlgili Kişi): Kişisel verisi işlenen gerçek kişi.
• Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir. Örneğin, bir şirketin müşteri verilerini saklayan bilişim firması.
• Veri Sorumlusu: Veri işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. Bu Politika kapsamında Doğu Batı Lojistik, Veri Sorumlusu sıfatına sahiptir.
• Politika: DOĞU BATI LOJİSTİK İNŞ. MAD. TURZ. ORM. ÜRÜN. SAN. VE TİC. LTD. ŞTİ. KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI.
• Alıcı Grubu: Şirket’in veri aktarımı gerçekleştirdiği kişi veya kuruluş kategorileri.
• Açık Rıza: Belli bir hususa ilişkin, gerekli bilgilendirme yapıldıktan sonra, özgür iradeyle verilen onay.
• Anonim Hâle Getirme: Kişisel verilerin, başka bilgilerle ilişkilendirilse dahi kişinin kimliği belirlenemez duruma getirilecek şekilde dönüştürülmesi,
• Çalışan: Şirket bünyesinde istihdam edilen personel.
• Hizmet Sağlayıcı: Sözleşme veya benzeri hukuki çerçeveyle Şirket’e hizmet sunan gerçek veya tüzel kişi.
• Şirket: Bu Politika özelinde, DOĞU BATI LOJİSTİK İNŞ. MAD. TURZ. ORM. ÜRÜN. SAN. VE TİC. LTD. ŞTİ.

3. POLİTİKA’NIN AMACI VE KAPSAMI

Bu Politika’nın temel amacı, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) ve ilgili mevzuat uyarınca, Şirket tarafından gerçekleştirilen kişisel veri işleme faaliyetlerini düzenlemek ve veri sahiplerine ilişkin hak ve yükümlülükleri ortaya koymak, bu kapsamda müşterilerimiz, potansiyel müşterilerimiz, şirket yetkililerimiz, ziyaretçilerimiz ve iş birliği içinde olduğumuz kurumların çalışanları, yetkilileri ve hissedarları ve diğer üçüncü kişiler başta olmak üzere kişisel verileri Şirket tarafından işlenen kişileri bilgilendirerek şeffaflık sağlamaktır.

Bu politika; müşterilerimiz, potansiyel müşterilerimiz, şirket yetkililerimiz, ziyaretçilerimiz ve iş birliği içinde olduğumuz kurumların çalışanları, yetkilileri ve hissedarları ve diğer üçüncü kişiler gibi tüm gerçek kişilere ait kişisel verilerin, otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesine ilişkin usul ve esasları kapsamaktadır.

Yukarıda belirtilen kategorilerde yer alan kişisel veri sahipleri gruplarına ilişkin işbu Politika’nın uygulama kapsamı Politika’nın tamamı olabileceği gibi; yalnızca bir kısmı da olabilir.

4. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

Şirketimiz, Anayasa’nın 20. maddesi ve KVKK’nın 4. maddesi doğrultusunda, kişisel verileri; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar güderek, amaçla bağlantılı, sınırlı ve ölçülü şekilde işler. Ayrıca, kanunlarda öngörülen veya veri işleme amacının gerektirdiği süre boyunca kişisel verileri muhafaza eder.

Şirketimiz, Anayasa’nın 20. maddesi ve KVKK’nın 5. maddesi uyarınca; kişisel verileri, KVKK’nın 5. maddesinde sayılan hukuki işleme şartlarından bir ya da birkaçına dayanarak işlemektedir.

Şirketimiz, Anayasa’nın 20. Maddesi ve KVKK’nın 10. maddesi kapsamında, kişisel veri sahiplerini aydınlatma yükümlülüğünü yerine getirir. Veri sahiplerinin bilgi talep etmesi durumunda, gerekli bilgilendirme Kanun ve ilgili mevzuat çerçevesinde yapılır.

Şirketimiz, KVKK’nın 8. ve 9. maddeleri çerçevesinde, kişisel verilerin yurt içi veya yurt dışına aktarılması hususunda kanunda öngörülen ve Kişisel Verileri Koruma Kurulu tarafından yayımlanan düzenlemelere titizlikle uyar. Bu kapsamda, veri aktarım süreçlerinde veri sahiplerinin hak ve özgürlüklerini korumaya yönelik teknik ve idari tedbirler alır.

4.1. KİŞİSEL VERİLERİN MEVZUATTA ÖNGÖRÜLEN PRENSİPLERE UYGUN İŞLENMESİ

Şirketimiz, Kanun’un ve ilgili ikincil mevzuat çerçevesinde öngörülen ilkelere uygun olarak kişisel veri işlemektedir. Kanun’un 4. Maddesinde düzenlenen veri işleme prensipleri, Şirketimiz tarafından yürütülen tüm veri işleme süreçlerinde dikkate alınmakta ve uygulamaya yansıtılmaktadır.

4.1.1. HUKUKA VE DÜRÜSTLÜK KURALINA UYGUN İŞLEME

Şirketimiz, kişisel verilerin işlenmesinde hukuka ve dürüstlük kuralına riayet eder. Bu çerçevede, veri işleme faaliyetleri Kişisel Verilerin Korunması Kanunu ve ilgili mevzuatla getirilen yükümlülüklerle uyumlu şekilde yürütülür.

Kişisel veriler, veri sahiplerine bildirilen amaçlar dışında kullanılmaz ve veri işleme süreçleri hakkında şeffaflık esas alınır.

4.1.2. KİŞİSEL VERİLERİN DOĞRU VE GEREKTİĞİNDE GÜNCEL OLMASINI SAĞLAMA

Şirketimiz, işlediği kişisel verilerin doğru ve güncel olmasını temin etmek için uygun idari ve teknik tedbirler alır. Veri sahiplerine, kendileriyle ilgili kişisel verileri görüntüleme, bunlarda gerekli değişiklik veya düzeltme yapma imkânı tanınır. Bu kapsamda, veri sahiplerinden gelecek güncelleme talepleri en kısa sürede işleme alınarak verilerin doğruluğu ve güncelliği sağlanır.

4.1.3. BELİRLİ, AÇIK VE MEŞRU AMAÇLARLA İŞLEME

Şirketimiz, kişisel veri işleme faaliyetlerine başlamadan önce meşru ve hukuka uygun işleme amaçlarını belirler. Veri sahiplerinin kişisel verileri elde edilirken, veri işleme amacı açık ve anlaşılır biçimde kendilerine duyurulur. İşleme amaçlarında herhangi bir değişiklik olması durumunda, bu değişiklikler Politika metnine yansıtılır ve mümkün olduğunca farklı iletişim kanallarıyla veri sahiplerine bildirilir.

4.1.4. İŞLENDİKLERİ AMAÇLA BAĞLANTILI, SINIRLI VE ÖLÇÜLÜ OLMA

Kişisel veriler, Şirketimizin önceden belirlemiş olduğu meşru amaçlarla sınırlı olarak işlenir ve bu amaçların dışına çıkılmaz. Veri sahiplerinden toplanan kişisel veriler, yalnızca gerekli olduğu ölçüde talep edilir. Gereksiz veya amacın gerçekleştirilmesiyle ilgisi bulunmayan kişisel verilerin toplanmasından kaçınılır.

4.1.5. İLGİLİ MEVZUATTA ÖNGÖRÜLEN VEYA İŞLENDİKLERİ AMAÇ İÇİN GEREKLİ OLAN SÜRE KADAR MUHAFAZA ETME

Şirketimiz, kişisel verileri ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süreyle sınırlı olarak saklar. Mevzuatta açıkça bir süre belirlenmişse, söz konusu veriler belirtilen süre boyunca muhafaza edilir. Mevzuatta bir süre öngörülmemişse veya verilerin daha uzun saklanmasını gerektiren bir hukuki sebep bulunmuyorsa, kişisel veriler işlendikleri amacın sona ermesiyle birlikte silinir, yok edilir veya anonim hâle getirilir.

4.2. KİŞİSEL VERİLERİN KVKK’NIN 5. MADDESİNDE BELİRTİLEN İŞLEME ŞARTLARINA UYGUN İŞLENMESİ

Kişisel verilerin korunması, Anayasa’nın 20. maddesi uyarınca temel bir haktır. Temel hak ve özgürlükler, yalnızca Anayasa’da belirtilen sebeplere bağlı olarak ve ancak kanunla sınırlanabilir. Anayasa’nın 20. maddesinin üçüncü fıkrası gereğince, kişisel veriler ancak kanunda öngörülen hâllerde veya kişinin açık rızasıyla işlenebilir.

Şirketimiz, KVKK’nın 5. maddesinde belirtilen veri işleme şartlarından en az birine dayanarak ve bu şartlarla sınırlı kalmak kaydıyla kişisel veri işleme faaliyetinde bulunur. Kanunda açıkça yer alan hallerin bulunmaması durumunda, veri işlemenin hukuka uygunluğu veri sahibinin açık rızasına dayandırılır.

Şirketimiz, kişisel veri işlemesi sırasında Anayasa ve KVKK’da öngörülen ilkelere tam uyum gösterir. Veri sahiplerinin hak ve özgürlüklerine saygı duyarak, veri işlemenin ölçülü ve sınırlı olması için gerekli tedbirleri alır.

Bu konuya ilişkin ayrıntılı açıklamalar, işbu Politika’nın ilgili bölümlerinde yer verilmiştir.

5. KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ

Şirketimiz, KVKK’nın 10. maddesi uyarınca, kişisel verilerin elde edilmesi sırasında veri sahiplerini aydınlatmakla yükümlüdür.

Aydınlatma kapsamında;

1. Şirketimizin (ve varsa temsilcisinin) kimliği,
2. Kişisel verilerin hangi amaçlarla işleneceği,
3. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
4. Kişisel veri toplamanın yöntemi ve hukuki sebebi,
5. Veri sahibinin KVKK’nın 11. maddesinde sayılan hakları, açık ve anlaşılır bir şekilde veri sahiplerinin bilgisine sunulur.

Bu konuya ilişkin ayrıntılı açıklamalar, işbu Politika’nın ilgili bölümlerinde yer almaktadır.

Anayasa’nın 20. maddesi uyarınca herkesin, kendisiyle ilgili kişisel veriler hakkında bilgilendirilme hakkına sahip olduğu açıkça düzenlenmiştir. KVKK’nın 11. maddesinde veri sahibinin hakları arasında “bilgi talep etme” hakkına da yer verilmiştir.

Şirketimiz, veri sahibinin bilgi talep etmesi hâlinde, Anayasa’nın 20. ve KVKK’nın 11. maddeleri doğrultusunda gerekli bilgilendirmeyi yapar ve süreci etkin bir şekilde yönetir.

Bu konuya ilişkin ayrıntılı açıklamalar, işbu Politika’nın ilgili bölümlerinde yer verilmiştir.

Şirketimiz, aydınlatma ve bilgilendirme yükümlülüklerini yerine getirirken, şeffaflık ve hesap verebilirlik ilkeleri gereğince hareket eder ve veri sahiplerinin sorularını veya taleplerini, mevzuatta öngörülen süre ve usullere uygun olarak karşılar.

6. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Şirketimiz, kişisel verileri Kanun’da belirtilen veri işleme şartlarından bir veya birkaçına dayanarak işlemektedir. Bu süreçte, kişisel veriler Kanun’da öngörülen düzenlemelere ve ilkelere uygun olarak işlenir.

6.1. KİŞİSEL VERİLERİN İŞLENEBİLECEĞİ ŞARTLAR

Kişisel verilerin işlenebileceği şartlar, aşağıda sıralanmıştır:

• Veri sahibinin açık rızasının bulunması: Kişisel veri işleme faaliyet, veri sahibinin açık rızasına dayanarak gerçekleştirilebilir.
• Kanunlarda açıkça öngörülme: İlgili kanunlarda, belirli kişisel verilerin işlenmesine ilişkin açık hüküm bulunması hâlinde veri sahibinin ek rızası aranmaksızın veri işlenebilir.
• Fiilî İmkânsızlık veya Hayatî Zorunluluk: Veri sahibinin rızasını açıklayamayacak durumda olması veya rızasına hukuki geçerlilik tanınmaması nedeniyle, kendisinin veya üçüncü bir kişinin hayatı ya da beden bütünlüğünün korunması için veri işlenmesinin zorunlu olduğu hâllerde kişisel veri işlenebilir.
• Sözleşmenin Kurulması veya İfası İçin Zorunluluk: Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olmak kaydıyla, sözleşme taraflarına ait kişisel verilerin işlenmesinin gerekli olduğu durumlarda veri işlenebilir.
• Hukukî Yükümlülüğün Yerine Getirilmesi: Şirketimizin hukuki yükümlülüklerini yerine getirmesi için veri işlemenin zorunluğu olduğu hâllerde, kişisel veriler işlenebilir.
• Veri Sahibinin Verileri Alenileştirmesi: Kişisel veriler, veri sahibinin kendisi tarafından alenileştirilmiş olması durumunda, amacına uygun ve sınırlı şekilde işlenebilir.
• Bir Hakkın Tesis, Kullanılması veya Korunması: Bir hakkın tesisi, kullanılması veya korunması için veri işlenmesinin zorunlu olduğu hâllerde kişisel veriler işlenebilir.
• Meşru Menfaat Şartı: Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Şirketimizin meşru menfaatleri için kişisel verilerin işlenmesinin zorunlu olduğu hâllerde veri işlenebilir.
• Güvenlik Kamerası ve Ziyaretçi Kayıtları: Şirketimiz, bina ve tesis girişlerinde ile tesis içinde güvenliği sağlamak amacıyla güvenlik kamarası ile izleme faaliyeti yürütmekte ve misafir/ziyaretçi giriş-çıkışlarını kayıt altına almaktadır. Bu faaliyetler, Anayasa, KVKK, Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili diğer mevzuat hükümlerine uygun şekilde gerçekleştirilir. Güvenlik kamerasıyla izleme faaliyeti, çalışanlarımızın, ziyaretçilerimizin ve diğer üçüncü kişilerin can ve mal güvenliğini sağlamak, hizmet kalitesini artırmak ve bu kişilerin menfaatlerini korumak gibi meşru amaçlar doğrultusunda yürütülür.

7. KİŞİSEL VERİLERİN AKTARILMASI

7.1. KİŞİSEL VERİLERİN ÜÇÜNCÜ KİŞİLERE AKTARILMASI

Şirketimiz, hukuka ve ilgili mevzuata uygun kişisel veri işleme amaçları çerçevesinde işlediği kişisel verileri, gerekli güvenlik önlemlerini alarak ve KVKK’da öngörülen kurallara tam uyum göstererek, üçüncü kişilere aktarabilir. Kişisel veri aktarımı yapılan veya yapılması mümkün olan üçüncü kişiler, işbu Politika’da kategorik olarak belirtilmektedir.

Aşağıda aktarımda bulunan kişilerin kapsamı ve veri aktarım amaçları belirtilmektedir.

7.1.1. VERİ İŞLEME ŞARTLARINA DAYALI AKTARIM

Şirketimiz, KVKK’nın 5. maddesinde öngörülen kişisel veri işleme şartlarından bir veya birkaçına dayanarak verileri üçüncü kişilere aktarır (bkz. Bölüm 7.1). Veri aktarımı sürecinde, amaçla bağlantılı, sınırlı ve ölçülü olma prensibi titizlikle gözetilir.

7.1.2. KANUNA VE İLGİLİ DÜZENLEMELERE UYUM

Şirketimiz, kişisel veri paylaşımı esnasında KVKK’nın 8. ve 9. maddeleri ile diğer tüm ilgili mevzuat hükümlerine riayet eder. Bu kapsamda, gerekli hallerde açık rıza alınır veya kanunlarda belirtilen işleme şartları çerçevesinde aktarım yapılır.

Şirketimiz, kişisel verilerin üçüncü kişilere aktarımını gerçekleştirirken, veri güvenliği ve gizlilik esaslarını ön planda tutar.

7.2. KİŞİSEL VERİLERİN YURTDIŞINA AKTARILMASI

Şirketimiz, işlediği kişisel verileri yasal ve meşru veri işleme amaçları doğrultusunda ve gerekli teknik ile idari güvenlik tedbirlerini alarak, yurt dışında yerleşik üçüncü kişilere aktarabilmektedir. Bu süreçte, Kişisel Verileri Koruma Kurulu tarafından belirlenen ilke ve düzenlemelere tam uyum sağlanır.

Şirketimiz, Kurul tarafından “yeterli korumaya sahip” olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) kişisel veri aktarımını, KVKK’nın 9. maddesi çerçevesinde gerçekleştirir.

Şirketimiz, yeterli korumanın bulunmadığı durumlarda, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmesi ve Kurul’un izin vermesi hâlinde, söz konusu yabancı ülkeye kişisel veri aktarımı yapabilir (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”).

Şirketimiz, yurt dışına veri aktarımı süreçlerinde, veri sahiplerinin hak ve menfaatlerini korumak amacıyla sürekli denetim ve iyileştirme faaliyetlerinde bulunur ve KVKK ile ilgili mevzuata uygunluğunu düzenli olarak gözden geçirir.

8. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ TEKNİKLERİ

Şirketimiz, KVKK ve ilgili mevzuat hükümleri doğrultusunda, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde, kendiliğinden veya veri sahibinin talebi üzerine kişisel verileri siler, yok eder ya da anonim hâle getirir. Söz konusu faaliyetler, aşağıda açıklanan teknikler ve güvenlik tedbirleri çerçevesinde yürütülmektedir.

8.1. KİŞİSEL VERİLERİN SİLİNMESİ VE YOK EDİLMESİ TEKNİKLERİ

8.1.1. FİZİKSEL OLARAK YOK ETME

Otomatik olmayan yollarla işlenen fiziksel nitelikli kişisel veriler, geri döndürülemez şekilde yok edilmek suretiyle kullanılamayacak hâle getirilir. Bu yöntemde, fiziksel ortamda yer alan veri kaydı (örn. kâğıt doküman, harici depolama araçları, vb.) imha edilmekte veya kullanılmaz kılınmaktadır.

8.1.2. YAZILIMDAN GÜVENLİ OLARAK SİLME

Dijital ortamlarda saklanan kişisel veriler, bir daha geri getirilemeyecek şekilde silme yazılımları veya komutları kullanılarak ortamdan güvenli biçimde temizlenir. Bu yöntem, verinin bulunduğu sistem veya veri tabanında, kurtarılabilir herhangi bir iz bırakmamak için tasarlanmış teknikleri içerir.

8.1.3. UZMAN TARAFINDAN GÜVENLİ OLARAK SİLME

Bazı durumlarda Şirketimiz, kişisel verileri geri döndürülemez şekilde silmek veya yok etmek amacıyla bu alanda uzman bir hizmet sağlayıcıyla çalışabilir. Uzman kişi ya da kurumlar tarafından alınan hizmet kapsamında, ilgili veri güvenli bir biçimde imha edilerek kullanılamaz hâle getirilir.

8.2. KİŞİSEL VERİLERİN ANONİM HÂLE GETİRİLMESİ TEKNİKLERİ

Kişisel verilerin anonimleştirilmesi, söz konusu verilerin başka verilerle eşleştirilmesi de dâhil olmak üzere, hiçbir şekilde kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Şirketimiz, işleme amaçları sona erdiğinde veya ilgili mevzuatta öngörülen saklama süresi dolduğunda, gerekli gördüğü takdirde veya talep üzerine, kişisel verileri anonimleştirebilir.

• KVKK’nın 28. maddesi gereğince anonim hâle getirilen kişisel veriler, araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işleme faaliyetleri, KVKK kapsamı dışında olduğundan kişisel veri sahibinin açık rızası aranmaz ve anonim veriler üzerinde veri sahiplerinin Kanun’da düzenlenen hakları uygulanmaz.

Şirketimizde en çok kullanılan anonimleştirme tekniklerinden bazıları şunlardır:

1. Maskeleme (Masking): Kişisel veriler, temel belirleyici unsurlarından arındırılarak (ör. isim, soyisim veya belirli bir kimlik numarası yerine X, Y gibi semboller kullanarak) anonim hâle getirilir.
2. Toplulaştırma (Aggregation): Birden fazla veri seti bir araya getirilip özetlenerek herhangi bir gerçek kişiyle ilişkilendirilemeyecek istatistiki bilgilere dönüştürülür.
3. Veri Türetme (Data Derivation): Mevcut kişisel veriler kullanılarak daha genel veya üst düzey bir içerik oluşturulur, böylece herhangi bir kişiyle doğrudan ilişkilendirilemeyecek hâle getirilir.
4. Veri Karma (Data Shuffling/Mixing): Kişisel veri seti içindeki değerlerin yerleri veya içerikleri karıştırılarak kişisel veri ile kişi arasındaki bağlantı koparılır.

Şirketimiz, KVKK’nın 10. maddesi uyarınca, veri sahiplerinin haklarını bildirir ve bu hakların nasıl kullanılacağı konusunda gerekli rehberliği sunar. Veri sahiplerinin talepleri, KVKK’nın 13. Maddesine uygun olarak değerlendirilir; gerekli kanallar, iç işleyiş prosedürleri ve idari-teknik düzenlemelerle desteklenir.

Şirketimiz, bu hususlara ilişkin şeffaf ve erişilebilir bir başvuru mekanizması kurarak veri sahiplerinin bilgilendirme ve taleplerine en kısa sürede yanıt verir.

9. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

Şirket, KVKK’nın 12. maddesi uyarınca; işlediği kişisel verilerin hukuka aykırı olarak işlenmesini, yetkisiz erişime maruz kalmasını ve verilerin bütünlüğünün ihlal edilmesini önlemek amacıyla gerekli tüm idari, teknik ve hukuki tedbirleri almaktadır. Bu kapsamda alınan tedbirler periyodik olarak denetlenmekte ve güncel teknolojik ve hukuki gelişmeler çerçevesinde sürekli olarak iyileştirilmektedir.

9.1. KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI

9.1.1. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınan Teknik ve İdari Tedbirler

Şirket, kişisel verilerin hukuka uygun şekilde işlenmesini temin etmek amacıyla KVKK ve ilgili mevzuat çerçevesinde, teknolojik imkânları ve uygulama maliyetlerini de göz önünde bulundurarak gerekli teknik ve idari tedbirleri almaktadır.

Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınan Teknik Tedbirler

Şirket tarafından kişisel verilerin hukuka uygun işlenmesini sağlamak için alınan başlıca teknik tedbirler:

• Şirket bünyesinde yürütülen kişisel veri işleme faaliyetleri, kurulan güvenlik duvarları, erişim yetkilendirmeleri, şifreleme yöntemleri ve ilgili diğer teknik güvenlik tedbirleriyle sürekli izlenmekte ve kontrol altında tutulmaktadır.
• Veri güvenliğini tehlikeye atabilecek yeni riskler düzenli olarak değerlendirilmekte; tespit edilen güvenlik açıklarını önlemek amacıyla gerekli yazılım ve donanım güncellemeleri gerçekleştirilmektedir.
• Şirket içi ağlarda ve veri tabanlarında, yetkisiz erişim veya veri kaybına karşı sürekli tarama ve izleme yapılmakta, gerekiyorsa ilave koruyucu teknolojiler devreye alınmaktadır.

Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak için Alınan İdari Tedbirler

Şirket tarafından kişisel verilerin hukuka uygun işlenmesini sağlamak için alınan başlıca idari tedbirler:

• Çalışanlar, kişisel verilerin korunması ve hukuka uygun işlenmesi konularında düzenli olarak eğitilmekte ve güncel mevzuat değişiklikleri konusunda bilgilendirilmektedir.
• Alınan teknik ve idari önlemler, periyodik iç denetim mekanizmaları tarafından kontrol edilerek sonuçları ilgili yöneticilere raporlanmaktadır.
• Kişisel veri güvenliğiyle ilgili teknik konularda uzman ve deneyim personel istihdam edilerek, veri koruma süreçlerinin sürekliliği ve kalitesi sağlanması amaçlanmaktadır.
• Şirket’in tüm iş birimleri tarafından yürütülen faaliyetler detaylı şekilde analiz edilerek; bu faaliyetler kapsamında işlenen kişisel verilerin KVKK ve ilgili mevzuata uygunluğu gözetilmektedir.
• Hangi iş biriminin, hangi tür kişisel verileri işlediği tespit edilip gerekli yasal ve operasyonel gereksinimler belirlenmekte; böylece veri işleme süreçlerinin yasal çerçeveye uygunluğu sağlanmaktadır.
• Her bir iş birimi özelinde belirlenen hukuksal uyum gerekliliklerine dair uygulama kuralları oluşturulmaktadır. Bu kuralların sürekliliğini sağlamak amacıyla düzenli denetimler yürütülmekte ve gerektiğinde güncellemeler yapılmaktadır.
• Şirket ile çalışanlar arasındaki hukuki ilişkiye yöneten sözleşme ve belgelere, Kanun ve Şirket talimatları doğrultusunda “kişisel verileri işlememe, ifşa etmeme ve amaç dışında kullanmama” yükümlülüğü getiren hükümler eklenmektedir.
• Bu yükümlülükler konusunda çalışanların farkındalığının artırılması amacıyla düzenli bilgilendirmeler ve denetimler yapılmaktadır.

Bu tedbirler, Şirket bünyesinde gerçekleştirilen tüm kişisel veri işleme faaliyetlerinde gözetilmekte ve güncel gereksinimler doğrultusunda sürekli iyileştirilmektedir.

9.1.2. Kişisel Verilerin Hukuka Aykırı Erişimini Engellemek için Alınan Teknik ve İdari Tedbirler

Şirket, KVKK ve ilgili mevzuat çerçevesinde; kişisel verilerin yetkisiz ya da tedbirsizlik sonucu açıklanmasını, erişilmesini, aktarılmasını veya diğer her türlü hukuka aykırı işlenmesini önlemek amacıyla, korunacak verinin niteliğini, mevcut teknolojik olanakları ve uygulanabilirlik maliyetlerini gözeterek gerekli teknik ve idari tedbirleri almaktadır.

Kişisel Verilerin Hukuka Aykırı İşlenmesini Engellemek için Alınan Teknik Tedbirler

Şirket tarafından kişisel verilerin hukuka aykırı işlenmesini engellemek için alınan başlıca teknik tedbirler:

• Teknolojideki gelişmelere uygun güvenlik yazılımları ve donanımları kullanılmakta, bu önlemler düzenli olarak gözden geçirilmekte ve gerektiğinde yenilenmektedir.
• Her bir iş biriminin hukuksal uyum gereklilikleri doğrultusunda, farklı veri türlerine erişim ve yetkilendirme düzeyleri belirlenmekte; bu çerçevede teknik çözümler devreye alınmaktadır.
• Alınan teknik önlemler periyodik olarak kontrol edilmekte ve sonuçlar ilgili birimlere raporlanmaktadır. Risk unsurları yeniden değerlendirilerek gerekli teknolojik iyileştirmeler yapılmaktadır.
• Virüs koruma sistemleri, güvenlik duvarları ve benzeri koruyucu yazılımlar/uygulamalar düzenli olarak güncellenerek devrede tutulmaktadır.
• Sistemlerin güvenliğini sağlayacak ve oluşabilecek riskleri tespit edip giderebilecek bilgi birikimine sahip teknik personel istihdam edilmesine öncelik verilmektedir.

Kişisel Verilerin Hukuka Aykırı İşlenmesini Engellemek için Alınan İdari Tedbirler

Şirket tarafından kişisel verilerin hukuka aykırı işlenmesini engellemek için alınan başlıca idari tedbirler:

• Çalışanlar, kişisel verilere hukuka aykırı erişimi engellemeye yönelik teknik önlemler ve veri güvenliği konularında düzenli aralıklarla eğitilmekte ve güncel bilgileri takip etmeleri sağlanmaktadır.
• İş birimi bazlı hukuksal uyum gereklilikleri doğrultusunda, Şirket genelinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır.
• Çalışanlar, görevleri sırasında öğrendikleri kişisel verileri KVKK ve ilgili mevzuat hükümlerine aykırı olarak başkalarına açıklayamayacakları, işleme amaçları dışında kullanamayacakları konusunda bilgilendirilmekte ve bu yükümlülüğün işten ayrıldıktan sonra da devam edeceğine ilişkin taahhütname imzalamaktadır.
• Kişisel verileri hukuka uygun yollarla aktardığımız taraflarla yapılan sözleşmelere, söz konusu tarafların veri güvenliğini sağlamak için gerekli tedbirleri alacağı ve bu tedbirlere kendi kuruluşlarında da uyulmasını sağlayacakları yönünde hükümler eklenmektedir.

Bu tedbirler, Şirket bünyesinde kişisel verilerin korunmasına yönelik genel politikamızın bir parçası olup, ortaya çıkabilecek yeni risklere ve teknolojik gelişmelere göre düzenli olarak gözden geçirilmekte ve güncellenmektedir.

9.1.3. Kişisel Verilerin Güvenli Ortamlarda Saklanması

Şirket, KVKK ve ilgili mevzuat çerçevesinde; kişisel verilerin güvenli ortamlarda saklanmasını, hukuka aykırı amaçlarla yok edilmesini, kaybolmasını veya değiştirilmesini önlemek amacıyla, teknolojik gelişmeler ve uygulama maliyeti gibi unsurları dikkate alarak gerekli teknik ve idari tedbirleri almaktadır.

Kişisel Verilerin Güvenli Ortamlarda Saklanması için Alınan Teknik Tedbirler

Şirket tarafından kişisel verilerin güvenli ortamlarda saklanması için alınan başlıca teknik tedbirler:

• Kişisel verilerin güvenli ortamlarda saklanmasını sağlamak amacıyla, teknolojik gelişmelere uygun sistemler kullanılmakta ve bu sitemler düzenli aralıklarla güncellenmektedir.
• Veri koruma ve sistem güvenliği alanlarında uzman personel istihdam edilmesine öncelik verilerek, ortaya çıkabilecek risklerin etkin bir şekilde yönetilmesi amaçlanmaktadır.
• Veri saklama alanlarına yönelik teknik güvenlik önlemleri (erişim denetlemeleri, şifreleme, işlem kaydı, vb.) uygulanmakta, bu önlemler iç denetim mekanizması çerçevesinde düzenli olarak gözden geçirilerek raporlanmaktadır. Tespit edilen riskler doğrultusunda gerekli teknolojik iyileştirmeler yapılmaktadır.
• Kişisel verilerin bütünlüğünü ve güvenliğini temin etmek üzere periyodik yedekleme faaliyetleri hukuka uygun şekilde yürütülmekte, olası veri kayıplarına karşı koruma sağlanmaktadır.

Kişisel Verilerin Güvenli Ortamlarda Saklanması için Alınan İdari Tedbirler

Şirket tarafından kişisel verilerin güvenli ortamlarda saklanması için alınan başlıca idari tedbirler:

• Çalışanlar, kişisel verilerin güvenli bir biçimde saklanması ve bu verilerin korunması konularında düzenli olarak eğitilmekte ve farkındalıkları artırılmaktadır.
• Kişisel verilerin saklanması veya korunması amacıyla dışarıdan bir hizmet alındığında, söz konusu hizmet sağlayıcılarla imzalanan sözleşmelere; ilgili tarafların kişisel verilerin korunması için gerekli güvenlik tedbirlerini alacakları ve bu tedbirlere kendi kuruluşlarında uyulmasını sağlayacakları yönünde hükümler eklenmektedir.

Bu önlemler, Şirket bünyesinde sürdürülen tüm veri saklama faaliyetlerine entegre edilmekte ve düzenli olarak gözden geçirilerek gerektiğinde güncellenmektedir.

9.1.4. Kişisel Verilerin Korunması Konusunda Alınan Tedbirlerin Denetimi

Şirket, KVKK’nın 12. maddesi uyarınca, kişisel verilerin korunmasına ilişkin alınan teknik ve idari tedbirlerin etkinliğini ve uyumluluğunu düzenli olarak denetler veya bağımsız denetim kuruluşlarına denetletir.

Denetim sonuçları, Şirket’in iç işleyişi kapsamında ilgili birimlere raporlanır ve elde edilen bulgular doğrultusunda, risklerin giderilmesi ve sürekli iyileştirme faaliyetlerinin uygulanabilmesi için gerekli aksiyonlar alınır. Böylece Şirket, kişisel verilerin korunmasına ilişkin yükümlülüklerini yerine getirmek amacıyla gerekli önlemleri sürekli gözden geçirerek günceller ve uygulamada sürekliliği sağlar.

9.1.5. Kişisel Verilerin Yetkisiz Bir Şekilde İfşası Durumunda Alınacak Tedbirler

Şirket, KVKK’nın 12. Maddesi uyarınca; işlenen kişisel verilerin hukuka aykırı yollarla üçüncü kişiler tarafından elde edilmesi durumunda, söz konusu ihlali en kısa sürede hem ilgili kişisel veri sahibine hem de Kişisel Verileri Koruma Kurulu’na bildirilmesini sağlayacaktır.

Kişisel Verileri Koruma Kurulu tarafından gerekli görülmesi halinde, Kurul’un internet sitesi veya başka bir yöntemle kamuoyuna duyuru yapılabilir.

10. VERİ SAHİBİNİN HAKLARI VE BU HAKLARINI KULLANMASINA İLİŞKİN KURALLAR

10.1. GENEL ESASLAR

Şirket, KVKK’nın 13. maddesi ve ilgili mevzuat çerçevesinde, veri sahiplerinin haklarını etkin bir biçimde kullanabilmelerini temin etmek amacıyla gerekli idari ve teknik düzenlemeleri yürütmektedir. Veri sahiplerinin başvuru ve taleplerine ilişkin süreçler, Şirket’in iç işleyişinde oluşturulan prosedürlerle yönetilmektedir.

10.1. VERİ SAHİPLERİNİN HAKLARI

KVKK’nın 11. maddesi uyarınca, kişisel veri sahipleri aşağıdaki haklara sahiptir:

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• KVK Kanunu ve ilgili diğer mevzuat hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

10.2. KİŞİSEL VERİ SAHİBİNİN HAKLARINI KULLANMASI

Veri sahipleri yukarıda belirtilen haklarını kullanmak için, yazılı olarak veya Kurul’un belirlediği diğer yöntemlerle Şirket’e başvuruda bulunabilirler. Şirket, bu başvuruların etkin bir şekilde yönetilebilmesi adına internet sitemizde veya diğer iletişim kanallarımızda gerekli yönlendirmeleri ve formları temin etmektedir.

Şirket, veri sahiplerinin taleplerini en kısa sürede ve en geç otuz (30) gün içinde sonuçlandırır. Başvurular, kural olarak ücretsiz olarak değerlendirilir. Ancak, işlemin ayrıca bir maliyet gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret talep edilebilir.

Başvurunun olumsuz değerlendirilmesi durumunda, ret gerekçesi tarafımıza iletilen iletişim bilgileri vasıtasıyla veri sahibine yazılı olarak veya elektronik ortamda bildirilir.

Kişisel veri sahibi Kanun’un 14. Maddesi gereğince, başvurusunun reddedilmesi, verilen cevabı yetersiz bulması veya süresinde başvurusuna cevap verilmemesi hâllerinde; Şirket’in cevabını öğrendiği tarihten itibaren otuz ve her hâlükarda başvuru tarihinden itibaren altmış (60) gün içinde Kurul’a şikâyette bulunabilir.

Bu Politika’da ve Şirket’in internet sitesinde veri sahiplerinin haklarına ilişkin detaylı açıklamalar ve başvuru yöntemleri yer almaktadır. Veri sahipleri, hak ve taleplerini bu kanallar üzerinden her zaman iletebilirler. Şirket, başvuruları yasal mevzuata uygun şekilde titizlikle ele almakta ve sonuçlandırmaktadır.

10.3. KİŞİSEL VERİ SAHİBİNİN HAKLARINI İLERİ SÜREMEYECEĞİ HÂLLER

KVKK’nın 28. maddesi kapsamında, aşağıda yer alan durumlar Kanun’un uygulanma alanı dışında bırakıldığından, veri sahipleri bu durumlara ilişkin olarak aşağıda sayılan haklarını ileri süremez:

• Resmî İstatistik ve Anonim Hâle Getirilmiş Araştırmalar: Kişisel verilerin resmî istatistik, anonim hâle getirilerek araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
• Sanat, Tarih, Edebiyat, Bilimsel Faaliyetler ve İfade Özgürlüğü: Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlâl etmemek veya suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
• Önleyici, Koruyucu ve İstihbari Faaliyetler: Kişisel verilerin, millî savunma, millî güvenlik, kamu güvenliği, kamu düzeni veya ekonomik güvenliğin sağlanması amacıyla kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu veya istihbari faaliyetler kapsamında işlenmesi.
• Soruşturma, Kovuşturma, Yargılama veya İnfaz İşlemleri: Kişisel verilerin, soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVKK’nın 28/2 maddesi uyarınca, aşağıda belirtilen hâllerde, kişisel veri sahipleri zararın giderilmesini talep etme hakkı hariç, aşağıda sayılan diğer haklarını ileri süremezler:

• Suçun Önlenmesi veya Soruşturulması: Kişisel veri işlemenin suçun önlenmesi veya suç soruşturması için gerekli olması.
• Veri Sahibince Alenileştirme: Kişisel veri sahibinin, kendisi tarafından alenileştirilmiş kişisel verilerinin işlenmesi.
• Kamu Kurumları ve Meslek Kuruluşları Tarafından Yürütülen Görevler: Kişisel veri işlemenin, kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ya da disiplin soruşturması veya kovuşturması için gerekli olması.
• Yargılama ve İnfaz Süreçleri: Kişisel verilerin, soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

11. ŞİRKETİMİZİN VERİ İŞLEME SÜREÇLERİ ÖZELİNDE BİLGİLENDİRME

11.1. ŞİRKET TARAFINDAN İŞLENEN KİŞİSEL VERİ TİPLERİ

Şirketimiz, Kanun’un 10. maddesi uyarınca veri sahiplerini bilgilendirmek suretiyle; Kanun’un 5. Maddesinden belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayanarak ve Kanun’da öngörülen ilkelere uyarak kişisel verileri işlemektedir. Şirketimiz, kişisel verileri hukuka ve dürüstlük kurallarına uygun bir şekilde, meşru amaçları doğrultusunda ve amaçla bağlantılı, sınırlı ve ölçülü olarak işler.

Aşağıda, Şirketimiz tarafından Kanun kapsamında ve ilgili mevzuata uygun şekilde işlenebilecek kişisel veri kategorileri yer almaktadır:

• Kimlik Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; ehliyet, nüfus cüzdanı, ikametgâh, pasaport, avukatlık kimliği, evlilik cüzdanı gibi dokümanlarda yer alan tüm bilgiler.
• İletişim Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; telefon numarası, adres, e-mail gibi bilgiler.
• Lokasyon Verisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; kişisel veri sahibinin ürün ve hizmetlerimizi kullanımı sırasında veya çalışanlarımız ile işbirliği içerisinde olduğumuz kurumların çalışanlarının Şirketimizin araçlarını kullanırken bulunduğu yerin konumunu tespit eden bilgiler.
• Müşteri Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; ticari faaliyetlerimiz ve bu çerçevede iş birimlerimizin yürüttüğü operasyonlar neticesinde ilgili kişi hakkında elde edilen ve üretilen bilgiler.
• Aile Bireyleri ve Yakın Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; sunduğumuz ürün ve hizmetlerle ilgili veya Şirketin ve veri sahibinin hukuki menfaatlerini korumak amacıyla kişisel veri sahibinin aile bireyleri ve yakınları hakkındaki bilgiler.
• Müşteri İşlem Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; ürün ve hizmetlerimizin kullanımına yönelik kayıtlar ile müşterinin ürün ve hizmetleri kullanımı için gerekli olan talimatları ve talepleri gibi bilgiler.
• Fiziksel Mekân Güvenlik Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; fiziksel mekâna girişte, fiziksel mekânın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler.
• İşlem Güvenliği Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; ticari faaliyetlerimizi yürütürken teknik, idari, hukuki ve ticari güvenliğimizi sağlamamız için işlenen kişisel verileriniz.
• Risk Yönetimi Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ve veri kayıt sistemi içerisinde yer alan; ticari, teknik ve idari risklerimizi yönetebilmemiz için bu alanlarda genel kabul görmüş hukuki, ticari teamül ve dürüstlük kuralına uygun olarak kullanılan yöntemler vasıtasıyla işlenen kişisel veriler.
• Finansal Bilgi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; şirketimizin kişisel veri sahibi ile kurmuş olduğu hukuki ilişkinin tipine göre yaratılan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler.
• Özlük Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; çalışanlarımızın veya Şirketimizle çalışma ilişkisi içerisinde olan gerçek kişilerin özlük haklarının oluşmasına temel olacak bilgilerin elde edilmesine yönelik işlenen her türlü kişisel veri.
• Çalışan Adayı Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Şirketimizin çalışanı olmak için başvuruda bulunmuş veya ticari teamül ve dürüstlük kuralları gereği şirketimizin insan kaynakları ihtiyaçları doğrultusunda çalışan adayı olarak değerlendirilmiş veya Şirketimizle çalışma ilişkisi içerisinde olan bireylerle ilgili işlenen kişisel veriler.
• Çalışan İşlem Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; çalışanlarımızın veya şirketimizle çalışma ilişkisi içerisinde olan gerçek kişilerin işle ilgili gerçekleştirdiği her türlü işleme ilişkin işlenen kişisel veriler.
• Çalışan Performans ve Kariyer Gelişim Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; çalışanlarımızın veya Şirketimizle çalışma ilişkisi içerisinde olan gerçek kişilerin performanslarının ölçülmesi ile kariyer gelişimlerinin şirketimizin insan kaynakları politikası kapsamında planlanması ve yürütülmesi amacıyla işlenen kişisel veriler.
• Yan Haklar ve Menfaatler Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Çalışanlara veya Şirketimizle çalışma ilişkisi içerisinde olan diğer gerçek kişilere sunduğumuz ve sunacağımız yan haklar ve menfaatlerin planlanması, işlenen kişisel verileriniz.
• Hukuki İşlem ve Uyum Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; hukuki alacak ve haklarımızın tespiti, takibi ve borçlarımızın ifası ile kanuni yükümlülüklerimiz ve şirketimizin politikalarına uyum kapsamında işlenen kişisel verileriniz.
• Denetim ve Teftiş Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Şirketimizin kanuni yükümlülükleri ve şirket politikalarına uyumu kapsamında işlenen kişisel verileriniz.
• Pazarlama Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; ürün ve hizmetlerimizin kişisel veri sahibinin kullanım alışkanlıkları, beğenisi ve ihtiyaçları doğrultusunda özelleştirilerek pazarlamasının yapılmasına yönelik işlenen kişisel veriler ve bu işleme sonuçları neticesinde yaratılan rapor ve değerlendirmeler.
• Talep/Şikayet Yönetimi Bilgisi: Kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Şirketimize yöneltilmiş olan her türlü talep veya şikayetin alınması ve değerlendirilmesine ilişkin kişisel veriler.

Aşağıda tabloda Şirketimizce işlenen kişisel veri kategorilerinin hangi veri sahibi kategorisi ile ilişkili olduğunu görebilirsiniz.

12. ŞİRKET TARAFINDAN KİŞİSEL VERİ İŞLEME AMAÇLARI

Şirketimiz, KVKK’nın 5. ve 6. maddelerinde belirtilen veri işleme şartlarına (iletişim, hukuki zorunluluk, meşru menfaat, sözleşmenin ifası vb.) dayalı olarak veya veri sahibinin açık rızasını temin ederek kişisel veri işleme faaliyetlerinde bulunur. Kişisel veriler, bu şartlardan en az birinin varlığı hâlinde işlenir; aksi hâlde veri sahibinin açık rızası aranır.

Şirketimiz tarafından hazırlanan kategorizasyona göre kişisel verilerin işlenmesine ilişkin üst amaçlar aşağıda paylaşılmaktadır:

1. Ticari Faaliyetlerin Yürütülmesi: Şirketimizin ilgili iş birimleri tarafından, sunulan ürün ve hizmetlerin yürütülmesi ve geliştirilmesi amacıyla gerekli çalışmaların planlanması ve uygulanması.
2. Ticari/İş Stratejilerinin Planlanması ve İcrası: Şirketimizin uzun vadeli ticari hedeflerini, iş planlarını ve rekabet stratejilerini oluşturmak ve hayata geçirmek için gerekli operasyonların yürütülmesi.
3. Ürün ve Hizmetlerden Yararlanılmasının Sağlanması: İlgili kişilere sunulan ürün ve hizmetlerin kullanımına yönelik süreçlerin planlanması, yönetilmesi ve geliştirilmesi; müşteri memnuniyet ve ilişkileri yönetimi faaliyetlerinin gerçekleştirilmesi.
4. İnsan Kaynakları Politikalarının Planlanması ve İcrası: Şirketimizin insan kaynakları ihtiyaçlarının belirlenmesi, işe alım süreçlerinin yönetimi, çalışan performanslarının değerlendirilmesi, kariyer planlanması ve eğitim süreçlerinin yürütülmesi.
5. Hukuki, Teknik ve Ticari İş Güvenliğinin Temini: Şirketimizin ve iş ilişkisinde bulunduğu kişilerin hak ve menfaatlerini korumak amacıyla, hukuki, teknik ve ticari güvenlik tedbirlerinin alınması; veri sahibiyle olan ilişkiye yönelik kanuni yükümlülüklerin ifası ve gerekli denetimlerin yapılması.

Şirketimizin kişisel verileri işleyebileceği genel amaçlar yukarıda örnekleyici olarak belirtilmiş olup, bu amaçlar iş süreçleri, mevzuat değişiklikleri veya kurumsal politikalar doğrultusunda güncellenebilir:

• Şirket faaliyetlerinin şirket prosedürleri ve/veya ilgili mevzuata uygun olarak yürütülmesinin temini için gerekli operasyonel faaliyetlerin planlanması ve icrası,
• Araştırma ve geliştirme faaliyetlerinin planlanması ve icrası,
• İş faaliyetlerinin planlanması ve icrası,
• Kurumsal yönetim faaliyetlerin planlanması ve icrası,
• Bilgi güvenliği süreçlerinin planlanması, denetimi ve icrası,
• Bilgi teknolojileri alt yapısının oluşturulması ve yönetilmesi,
• İş ortakları ve/veya tedarikçilerin bilgiye ve tesislere erişim yetkilerinin planlanması ve icrası,
• Finans ve/veya muhasebe işlerinin takibi,
• Lojistik faaliyetlerinin planlanması ve icrası,
• Tedarikçi veya iş ortağı yönetimi süreçlerinin planlanması ve icrası,
• Müşterilerin finansal risklerinin tespitine yönelik faaliyetler yapılması,
• İnsan kaynakları süreçlerinin planlanması ve icrası,
• Personel istihdamına ilişkin süreçlerinin yürütülmesi,
• İş sürekliliğinin sağlanması faaliyetlerinin planlanması ve icrası,
• Hukuk işlerinin takibi ve yürütülmesi,
• İş ortağı ve/veya tedarikçi çalışanlarının giriş-çıkış kayıtlarının toplanması,
• Ziyaretçi kayıtlarının oluşturulması ve takibi,
• Şirket denetim faaliyetlerinin planlanması ve icrası,
• İş sağlığı ve/veya güvenliği süreçlerinin planlanması ve/veya icrası,
• Verilerin doğru ve güncel olmasının sağlanması,
• Şirket yerleşkeleri, demirbaşlarının ve kaynaklarının güvenliğinin temini,
• Şirket malvarlığının ve/veya kaynaklarının güvenliğinin temini,
• Mal ve hizmet satış sonrası destek hizmetlerinin planlanması ve icrası,
• Ürün ve hizmetlerin pazarlama süreçlerinin planlanması ve icrası,
• Talep ve/veya şikayetlerin takibi,
• Müşteri memnuniyetine yönelik aktivitelerin planlanması ve/veya takibi,
• Sözleşme süreçlerinin ve/veya hukuki taleplerin takibi,
• Şirket finansal risk süreçlerinin planlanması ve/veya icrası,
• Risk yönetimi süreçlerinin yürütülmesi,
• Ücret politikasının yürütülmesi,
• Yetkili kişi ve/veya kuruluşlara mevzuattan kaynaklı bilgi verilmesi,
• Kurumsal iletişim faaliyetlerinin planlanması ve icrası,
• Operasyon süreçlerinin planlanması ve icrası,
• Mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi,
• Çalışanlar için yan haklar ve menfaatleri süreçlerinin planlanması ve icrası,
• Performans değerlendirme süreçlerinin planlanması ve icrası,
• Yetenek ve/veya kariyer gelişimi faaliyetlerinin planlanması ve icrası,
• Çalışanların iş faaliyetlerinin takibi ve/veya denetimi,
• Acil durum yönetimi süreçlerinin planlanması ve icrası

Yukarıda belirtilen durumların (Kanun’da öngörülen işleme şartlarının) mevcut olmadığı hâllerde, Şirketimiz kişisel verileri ancak veri sahibinin açık rızası doğrultusunda işlemektedir. İlgili iş birimleri tarafından yürütülen ve aşağıda örnek olarak belirtilen kişisel veri işleme faaliyetleri, veri sahiplerinin bu kapsam verdiği açık rızalara dayanılarak gerçekleştirilir:

1. İş ortakları ve/veya tedarikçilerin bilgiye ve tesislere erişim yetkilerinin planlanması ve icrası,
2. Lojistik faaliyetlerin planlanması ve icrası,
3. İş ortakları ve/veya tedarikçilerle olan ilişkilerin yönetimi,
4. Sözleşme süreçlerinin ve/veya hukuki taleplerin takibi,
5. İnsan kaynakları süreçlerinin planlanması,
6. Personel temin süreçlerinin yürütülmesi,
7. Müşteri memnuniyeti aktivitelerinin planlanması ve/veya icrası,
8. Şirket faaliyetlerinin şirket prosedürleri ve/veya ilgili mevzuata uygun olarak yürütülmesinin temini için gerekli operasyonel faaliyetlerin planlanması ve icrası,
9. İş ortağı/tedarikçi çalışanlarının giriş-çıkış kayıtlarının toplanması,
10. Şirket denetim faaliyetlerinin planlanması ve icrası,
11. İş sağlığı ve/veya güvenliği süreçlerinin planlanması ve/veya icrası,
12. Şirket yerleşkeleri, demirbaşlarının ve kaynaklarının güvenliğinin temini olarak sıralanabilir.

Bazı durumlarda, yukarıda verilen veri işleme amaçlarının gerçekleştirilmesi, KVKK uyarınca açık rıza alınmasını gerektirebilir. Bu gibi hâllerde, Şirketimiz veri sahiplerine gerekli aydınlatmayı yaparak Kanun’a uygun açık rıza süreçlerini uygular. Kişisel veri sahibinin açık rızasını vermemesi durumunda, ilgili kişinin verileri ancak Kanun’da sayılan “açık rıza alınmadan kişisel verilerin işlenebileceği” şartlar kapsamında ve bu şartlara uygun amaçlarla işlenebilmektedir.

13. KİŞİSEL VERİLERİN AKTARILDIĞI ÜÇÜNCÜ KİŞİLER VE AKTARILMA AMAÇLARI

Şirketimiz, Kanun’un 8. ve 9. maddeleri çerçevesinde; müşterilere ait kişisel verileri, aşağıda belirtilen amaçlar ve kapsam dâhilinde aşağıda sıralanan kişi kategorilerine paylaşabilir:

1. Şirket iş ortaklarına,
2. Tedarikçilere,
3. Şirket iştiraklerine ve bağlı ortaklıklar,
4. Gerçek kişiler veya özel hukuk tüzel kişileri,
5. Hukuken yetkili kamu kurum ve kuruluşlarına,
6. Hukuken yetkili özel hukuk kişilerine.

Aktarımda bulunulan yukarıda belirtilen kişilerin kapsamı ve veri aktarım amaçları şöyledir:

• İş ortağı ile iş ortaklığının kurulma amaçlarının yerine getirilmesini temin etmek amacıyla,
• Şirketimizin dış kaynak yoluyla temin ettiği ve ticari faaliyetlerini yerine getirebilmesi için gerekli olan hizmetlerin sunulması amacıyla,
• Şirketimizin de katıldığı ticari faaliyetlerin yürütülmesi için, iş birliği içinde olduğumuz gerçek veya tüzel kişilere, projenin ve/veya faaliyetlerinin yürütülmesini temin etmek amacıyla,
• Şirketimizin ticari faaliyetlerine ilişkin stratejilerinin planlanması ve denetim amaçlarıyla,
• İlgili mevzuat hükümlerine uygun olarak, Şirketimizin ticari faaliyetleri, strateji tasarımı ve denetim amaçlarıyla,
• İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dâhilinde talep ettiği amaçla,
• Hukuken yetkili özel hukuk kişileri ile ilgili özel hukuk kişilerinin hukuki yetkisi dahilinde talep ettiği amaçla,
• Her hâlükârda, veriler Bölüm 12’de belirtilen işleme amaçları doğrultusunda paylaşılabilmektedir.

Şirketimiz, kişisel verilerin işlenmesi ve aktarılması süreçlerinde işbu Politika’da belirtilen ilkelere uygun hareket eder.

Şirketimiz, KVKK’nın 10. maddesi doğrultusunda, işlenen kişisel veriler hakkında veri sahiplerini bilgilendirmekte; veri işleme amaçları, yasal dayanaklar ve veri sahiplerinin hakları hakkında gerekli aydınlatmayı yapmaktadır.

Her türlü kişisel veri işleme faaliyeti, KVKK’nın 4. maddesinde düzenlenen temel ilkelere (hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli, açık ve meşru amaçlar için işleme, amaçla bağlantılı, sınırlı ve ölçülü olma, gereken süre kadar muhafaza) uygun şekilde gerçekleştirilmektedir.

Kişisel verilerin, kişisel veri sahibinin açık rıza vermesine bağlı olarak işlenmesi için, ziyaretçilerden ve üçüncü kişilerden açık rızaları alınmaktadır.

Mevzuatta kişisel verilerin işlenmesine ilişkin açık bir hüküm bulunması durumunda, kişisel veri sahibinin verileri hukuka uygun biçimde işlenebilir.

Veri sahibinin fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda olması veya rızasına hukuken geçerlilik tanınmaması hâlinde; kendisinin veya başka bir kişinin hayatı ya da beden bütünlüğünü korumak için veri işlenmesi zorunlu ise, kişisel veriler işlenebilir.

Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili ve gerekli olması hâlinde, sözleşmenin taraflarına ait kişisel veriler işlenebilir.

Şirketimizin veri sorumlusu olarak hukuki yükümlülüklerini yerine getirmesi zorunlu olduğu durumlarda, veri sahibinin kişisel verileri işlenebilir.

14. KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ

Şirketimiz, ilgili kanunlar ve ikincil mevzuatlarda öngörülen sürelerle sınırlı olarak kişisel verileri saklar. Bu kapsamda, herhangi bir kanunda açıkça belirtilmiş bir saklama süresi varsa, veriler ilgili süre boyunca muhafaza edilir.

Kişisel verilerin saklanmasına yönelik bir süre mevzuatta düzenlenmemiş ise, söz konusu veriler işlenme amacı ortadan kalktığında veya veriyi saklamayı gerektiren hizmet ve ticari teamüller sona erdiğinde silinir, yok edilir veya anonim hâle getirilir. Saklama süreleri belirlenirken, Şirketimizin yürüttüğü faaliyetlerin niteliği, verilerin kullanım amacı ve ticari hayatın kabul gören uygulamaları dikkate alınır.

Kişisel verilerin işlenme amacı sona ermiş ve ilgili mevzuat ile Şirketimiz tarafından belirlenen saklama süreleri dolmuş olsa dahi, olası hukuki uyuşmazlıklarda delil teşkil etmesi veya bir hakkın ileri sürülebilmesi/savunmanın tesis edilebilmesi için veriler daha uzun süre muhafaza edilebilir. Bu ek saklama sürelerinin belirlenmesinde, ilgili mevzuatta öngörülen zamanaşımı süreleri ile benzer konularda daha önce Şirketimize yöneltilen talep ve uyuşmazlıklardaki örnek uygulamalar dikkate alınır. Bu süre zarfında saklanan veriler, belirtilen hukuki amaçlar dışında kesinlikle erişime kapalı tutulur ve yalnızca uyuşmazlık hâlinde kullanılması gerekirse erişime açılır.

Mevzuatta veya Şirket politikalarında belirlenen saklama süresinin veya zamanaşımı süresinin sona ermesiyle birlikte, söz konusu kişisel veriler geri getirilemez şekilde silinir, yok edilir ve anonim hâle getirilir.

15. YÜRÜRLÜK VE GÜNCELLENEBİLİRLİK

Bu Politika, 17.03.2025 tarihi itibariyle yürürlüğe girmiş olup, ilgili mevzuat ve Şirketimizin veri işleme uygulamalarındaki gelişmeler doğrultusunda, tamamı veya belirli bölümleri güncellenebilir. Herhangi bir güncelleme durumunda, Politika’nın en güncel hâli Şirketimizin resmi internet sitesi (dogubatinakliyat.com) üzerinden yayınlanacak ve kişisel veri sahiplerinin talebi üzerine erişime sunulacaktır.