MİAFON TEKNOLOJİ SANAYİ TİCARET ANONİM ŞİRKETİ
KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI
İÇİNDEKİLER
1- Giriş
a. Amaç
b. Kapsam
c. Kısaltma ve tanımlar
2- Kişisel Verilerin İşlenmesi ve Korunmasına İlişkin Olarak Miafon Teknoloji Sanayi Ticaret
Anonim Şirketi Tarafından Benimsenen İlkeler
a. Temel Kişisel Veri İşleme Verilerine Uygunluk
b. Kişisel Veri İşleme Şartlarına Uygunluk
c. Özel Nitelikli Kişisel Veri İşleme Şartlarına Uygunluk
3- Sorumluluk ve görev dağılımları
4- Kayıt ortamları
5- Kişisel Verilerin Aktarımı
a. Kişisel Verilerin Yurtiçinde Aktarılması
b. Kişisel Verilerin Yurtdışında Aktarılması
6- Saklama ve İmhayı Gerektiren Sebeplere İlişkin Açıklamalar
a. Saklamaya ilişkin açıklamalar
b. İmhayı gerektiren sebepler
7- Kişisel Veri Sahiplerinin Hakları ve Firma Tarafından Taleplerinin Sonuçlandırılması
8- Teknik ve idari tedbirler
a. Teknik tedbirler
b. İdari tedbirler
9- Kişisel verileri imha teknikleri
a. Kişisel verilerin silinmesi
b. Kişisel verilerin yok edilmesi
c. Kişisel verilerin anonim hale getirilmesi
10- Saklama ve imha süreleri
11- Periyodik imha süresi
12- Politika’nın yayınlanması ve saklanması
13- Politikanın güncelleme periyodu
14- Politikanın yürürlüğü ve yürürlükten kaldırılması
1- GİRİŞ
a. Amaç
Bu dokümanın amacı, Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin
Korunması Kanunu (“KVKK” ya da “Kanun”) ve Kanun’un ikincil düzenlenmesini teşkil eden 28 Ekim
2017 tarihli Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi
veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca yükümlülüklerimizi
yerine getirmek ve veri sahiplerini kişisel verilerinizin işlendikleri amaç için gerekli olan azami
saklama süresinin belirlenmesi esasları ile silme, yok etme ve anonim hale getirme süreçleri
hakkında bilgilendirmek amacıyla veri sorumlusu sıfatıyla AFON TEKNOLOJİ SANAYİ TİCARET
ANONİM ŞİRKETİ bundan böyle kısaca “Miafon” ya da “Firma” olarak anılacaktır.) tarafından
hazırlanmıştır.
b. Kapsam
Kurum çalışanları, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler ve diğer üçüncü kişilere ait
kişisel veriler bu Politika kapsamında olup Kurumun sahip olduğu ya da Kurumca yönetilen kişisel
verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika
uygulanır.
c. Kısaltma ve Tanımlar
Kısaltma
Tanım
AÇIK RIZA
Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür
iradeyle açıklanan rıza.
GDPR
95/46/EC sayılı direktifi 25.05.2018 tarihinde yürürlükten
kaldıran 2016/679 sayılı Avrupa Birliği Genel Veri Koruma
Tüzüğü’nü
İLGİLİ KULLANICI
Verilerin teknik olarak depolanması, korunması ve
yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak
üzere veri sorumlusu organizasyonu içerisinde veya veri
sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel
verileri işleyen kişilerdir.
İMHA
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale
getirilmesi.
KANUN / KVKK
6698 Sayılı Kişisel Verilerin Korunması Kanunu.
KAYIT ORTAMI
Tamamen veya kısmen otomatik olan ya da herhangi bir veri
kayıt sisteminin parçası olmak kaydıyla otomatik olmayan
yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
KİŞİSEL VERİ
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü
bilgi.
KİŞİSEL VERİLERİN
AKTARILMASI
Kişisel verilerin KVKK’ya uygun bir biçimde işbu Politika’nın 5.
maddesine uygun olarak yurt içi veya dışındaki kurum, kuruluş,
tedarikçi vb. paylaşılması,
KİŞİSEL VERİLERİN
ANONİM HALE
GETİRİLMESİ
Kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette
kimliği belirli veya belirlenebilir bir gerçek kişiyle
ilişkilendirilmeyecek hale getirilmesi.
KİŞİSEL VERİLERİN
İŞLENMESİ
Kişisel verilerin tamamen veya kısmen otomatik olan ya da
herhangi bir veri kayıt sisteminin parçası olmak kaydıyla
otomatik olmayan yollarla elde edilmesi,
kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi,
yeniden düzenlenmesi, açıklanması, aktarılması, devralınması,
elde edilebilir hale getirilmesi, sınıflandırılması ya da
kullanılmasının engellenmesi gibi veriler üzerinde
gerçekleştirilen her türlü işlem.
KİŞİSEL VERİLERİN
SİLİNMESİ
Kişisel verilerin silinmesi; kişisel verilerin ilgili kullanıcılar için
hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
KİŞİSEL VERİLERİN YOK
EDİLMESİ
Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez,
geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
KURUL
Kişisel Verileri Koruma Kurulu
KURUM
Kişisel Verileri Koruma Kurumu
OTOMATİK VERİ İŞLEME
İnsan müdahalesi ya da yardımı konusundaki ihtiyacı asgari
seviyeye indiren, kendi aralarında bağlantılı ve etkileşimli
elektrikli veya elektronik bir sistem tarafından gerçekleştirilen
kişisel veri işleme faaliyetini
OTOMATİK OLMAYAN VERİ
İŞLEME
İnsan müdahalesi ya da yardımı yoluyla yani elle yapılan kişisel
veri işleme faaliyetini,
ÖZEL NİTELİKLİ KİŞİSEL
VERİ
Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini,
mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya
da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve
güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik
verileri.
PERİYODİK İMHA
Kanun’da yer alan kişisel verilerin işlenme şartlarının
tamamının ortadan kalkması durumunda kişisel verileri
saklama ve imha politikasında belirtilen ve tekrar eden
aralıklarla re’sen gerçekleştirilecek silme, yok etme ve anonim
hale getirme işlemi
VERİ SAHİBİ / İLGİLİ KİŞİ
Kişisel verisi işlenen gerçek kişi
VERİ SORUMLUSU
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri
kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu
olan gerçek veya tüzel kişi
YÖNETMELİK
28 Ekim 2017 tarihinde Resmî Gazete‘de yayımlanan Kişisel
Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi
Hakkında Yönetmelik.
POLİTİKA
Kişisel Veriler Saklama ve İmha Politikası
VERİ İŞLEYEN
Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu
adına kişisel verileri işleyen gerçek veya tüzel kişi
VERBİS
Veri Sorumluları Sicili Bilgi Sistemi
2- KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASINA İLİŞKİN OLARAK FİRMA
TARAFINDAN BENİMSENEN İLKELER
a. Temel Kişisel Veri İşleme İlkelerine Uygunluk
Firma tarafından, kişisel verilerin korunması mevzuatına uyum sağlanması ve uyumun
sürdürülmesi kapsamında aşağıda sıralanan temel ilkeler benimsenmektedir:
(1) Kişisel verileri hukuka ve dürüstlük kurallarına uygun olarak işleme
Firma, Türkiye Cumhuriyeti Anayasası başta olmak üzere, kişisel verilerin korunması mevzuatına
uygun olarak, kişisel veri işleme faaliyetlerini hukuka ve dürüstlük kuralına uygun olarak yürütür.
(2) İşlenen kişisel verilerin doğruluğunu ve güncelliğini temin etme
Firma tarafından kişisel verilerin lenmesi faaliyeti yürütülürken, teknik imkânlar dâhilinde kişisel
verilerin doğruluğunu ve güncelliğini sağlamaya yönelik gerekli her türlü idari ve teknik tedbirler
alınmaktadır.
(3) Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi
Firma tarafından kişisel verilerin işlenmesi faaliyetleri, kişisel veri işleme faaliyeti başlamadan önce
belirlenmiş olan, açık ve hukuka uygun amaçlar dahilinde yürütülmektedir.
(4) Kişisel verileri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işleme
Firma tarafından, kişisel veriler, veri işleme şartları ile bağlantılı ve bu hizmetlerin gerçekleştirilmesi
için gerektiği kadar işlenmektedir. Bu kapsamda, kişisel veri işleme amacı, kişisel veri işleme
faaliyetine başlanmadan önce belirlenerek, ileride kullanılabileceği varsayımı ile veri işleme
faaliyeti yürütülmemektedir.
(5) Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar
muhafaza etme
Firma, kişisel verileri, ilgili mevzuatta öngörülen veya veri işleme amacının gerektirdiği süre ile
sınırlı olarak muhafaza etmektedir. Bu doğrultuda mevzuatta öngörülen sürenin bitimi veya kişisel
verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Firma tarafından
derhal silinmektedir.
b. Kişisel Veri İşleme Şartlarına Uygunluk
Firma, kişisel veri işleme faaliyetlerini, KVKK’nın 5. maddesinde ortaya konulan veri işleme
şartlarına uygun olarak yürütmektedir. Bu kapsamda, yürütülen kişisel veri işleme faaliyetleri
aşağıda sıralanan kişisel veri işleme şartlarının varlığı halinde gerçekleştirilmektedir:
(1) Kişisel Veri Sahibinin Açık Rızasının Varlığı
(2) Kişisel Veri İşleme Faaliyetinin Kanunlarda Açıkça Öngörülmüş Olması
(3) Fiili imkansızlık Nedeniyle Veri Sahibinin Açık Rızasının Elde Edilememesi ve Kişisel Veri
İşlemenin Zorunlu
(4) Kişisel Veri İşleme Faaliyetinin Bir Sözleşmenin Kurulması veya İfasıyla Doğrudan Doğruya İlgili
Olması
(5) Firma’nın Hukuki kümlülüğünü Yerine Getirmesi için Kişisel Veri İşleme Faaliyeti
Yürütülmesinin Zorunlu Olması
(6) Bir Hakkın Tesisi, Kullanılması veya Korunması için Veri İşlemenin Zorunlu Olması
(7) Veri Sahibinin Kişisel Verisini Alenileştirmesi
(8) Veri Sahibinin Temel Hak ve Özgürlüklerine Zarar Vermemek Şartıyla Kişisel Veri İşleme
Faaliyetinin Yürütülmesinin Firmanın Meşru Menfaatleri için Gerekli Olması
c. Özel Nitelikli Kişisel Veri İşleme Şartlarına Uygunluk
Özel nitelikli kişisel veriler, Firma tarafından işlenmemektedir.
3- SORUMLULUK VE GÖREV DAĞILIMLARI
Unvan
Görev
Bilgi İşlem Müdürü
İşyerindeki görev tanımı dahilinde olan süreçlerin saklama süresine
uygunluğunun sağlanması, işlenen kişisel verilerin amaç ile orantılı şekilde
saklanmasının sağlanması, ilgililerden gelebilecek her türlü başvuruya
gerekli özenin gösterilerek başvuruların takip edilmesi ve sonuçlandırılması
ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi,
İnsan Kaynakları
Müdürü
İşyerindeki görev tanımı dahilinde olan süreçlerin saklama süresine
uygunluğunun sağlanması, işlenen kişisel verilerin amaç ile orantılı şekilde
saklanmasının sağlanması, ilgililerden gelebilecek her türlü başvuruya
gerekli özenin gösterilerek başvuruların takip edilmesi ve sonuçlandırılması
ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi,
Operasyon
Müdürü
İşyerindeki görev tanımı dahilinde olan süreçlerin saklama süresine
uygunluğunun sağlanması, işlenen kişisel verilerin amaç ile orantılı şekilde
saklanmasının sağlanması, ilgililerden gelebilecek her türlü başvuruya
gerekli özenin gösterilerek başvuruların takip edilmesi ve sonuçlandırılması
ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi,
Satış ve Pazarlama
Müdürü
İşyerindeki görev tanımı dahilinde olan süreçlerin saklama süresine
uygunluğunun sağlanması, işlenen kişisel verilerin amaç ile orantılı şekilde
saklanmasının sağlanması, ilgililerden gelebilecek her türlü başvuruya
gerekli özenin gösterilerek başvuruların takip edilmesi ve sonuçlandırılması
ile periyodik imha süresi uyarınca kişisel veri imha sürecinin yönetimi,
4- KAYIT ORTAMLARI
Kişisel veriler, aşağıda listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.
Elektronik Ortamlar
Elektronik Olmayan
Ortamlar
- Sunucular (Etki alanı, yedekleme, e-posta, veri tabanı, web,
dosya paylaşım, vb.)
- Yazılımlar (ofis yazılımları, IK portal,….)
- Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve
engelleme, günlük kayıt dosyası, antivirüs vb. )
- Kişisel bilgisayarlar (Masaüstü, dizüstü)
- Mobil cihazlar (telefon, tablet vb.)
- Optik diskler (CD, DVD vb.)
- Çıkartılabilir bellekler (USB, Hafıza Kart vb.)
- Yazıcı, tarayıcı, fotokopi makinesi
- Kağıt
- Manuel veri kayıt sistemleri
(tur ve transfer bilet
koçanları)
- Yazılı, basılı, görsel ortamlar
5- KİŞİSEL VERİLERİN AKTARIMI
Kişisel veriler, Miafon tarafından hizmetin rülebilmesi amacıyla ve çözüm ortakları ile ve
firma iştirakleri ile paylaşılabilir.
KVKK başta olmak üzere ulusal ve uluslararası mevzuat hükümleri çerçevesinde Firma, işlediği
kişisel verileri hizmetin görülebilmesi için yurt içinde aktarabilir. Transfer işlemlerine tabi tutabilir.
Bu işlemler sırasında KVK Kanunu 8 maddeleri ile 95/46/EC Sayılı Direktif ve bu direktifi yürürlükten
kaldıran GDPR hükümleri dikkate alınmaktadır. Firma, kişisel verilerin yurt içinde aktarımı
konusunda yukarıda belirtilen kanun maddeleri ile direktiflerin öngördüğü şartları yerine
getirmiştir.
a. Kişisel Verilerin Yurtiçinde Aktarılması
Firma, KVKK’nın 8. maddenin verdiği yetki ve işbu politika çerçevesinde ilgili kişinin açık zasını
almak suretiyle, işlediği verileri üçüncü kişilere aktarabilir. Firma tarafından, kişisel verilerin
korunması mevzuatına uyum sağlanması ve uyumun sürdürülmesi kapsamında aşağıda sıralanan
temel ilkeler işbu Politikanın 2. Bölümünde açıklanmıştır.
İşbu KVK Politikası kapsamında herhangi bir Veri İşleyen ’in söz konusu olması halinde, Veri İşleyen
ile Firma arasındaki kişisel veri transferlerinde KVK Kanunu’nun 8 inci madde hükümleri uygulanır.
Hemen belirtmek gerekir ki; Veri sorumlusu sıfatına sahip firma tüzel kişiliği bünyesinde
gerçekleşen, tüzel kişilikte faaliyet gösteren çalışanlar ve farklı departmanlar arasındaki veri
aktarımı, KVK Kanunu’nun 8. maddesi çerçevesinde aktarım olarak kabul edilmemektedir. Ancak
firma ile işbirliği veya çözüm ortağı olarak faaliyet gösteren ayrı tüzel kişiliğe sahip olanlarla
gerçekleşen veri aktarımları, KVK Kanunu 8 inci madde ile işbu KVK Politikası kapsamında veri
transferi olarak değerlendirilmektedir.
6- SAKLAMA VE İMHAYI GEREKTİREN SEBEPLERE İLİŞKİN AÇIKLAMALAR
Veri sahiplerine ait kişisel veriler, Firma tarafından özellikle ticari faaliyetlerin sürdürülebilmesi,
hukuki yükümlülüklerin yerine getirilebilmesi, çalışan haklarının ve yan haklarının planlanması ve
ifası ile müşteri ilişkilerinin yönetilebilmesi amacıyla yukarıda sayılan fiziki veyahut elektronik
ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde
saklanmaktadır.
a. Saklamaya İlişkin Açıklamalar
Hukuka ve işbu Politika’ya uygun olarak işlenen kişisel veriler aşağıdaki şartların varlığında
saklanabilecektir.
- Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle
saklanması,
- Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
- Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla Firma’nın meşru
menfaatleri için saklanmasının zorunlu olması,
- Kişisel verilerin Firma’nın herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla
saklanması,
- Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
- Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri
sahiplerinin açık rızasının bulunması.
b. İmhayı Gerektiren Sebepler
Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait kişisel veriler, Firma tarafından
re’sen yahut talep üzerine silinir, yok edilir veya anonim hale getirilir.
- Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin
değiştirilmesi veya ifası,
- Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
- Kanun’un 5. Ve 6. Maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan
kalkması,
- Kişisel verileri işlemeni sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin
rızasını geri alma,
- İlgili kişinin, Kanun’un 11. Maddesinin 2 (e) ve (f) bentlerindeki hakları çerçevesinde kişisel
verilerinin silinmesini, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri
sorumlusu tarafından kabul edilmesi,