1. Giriş
Kişisel verilerin korunması şirketimizin öncelikleri arasında yer almaktadır. Bu politika ile, kişisel verilerin işlenmesinde benimsediğimiz temel prensipler, veri güvenliği yaklaşımımız ve çalışanlarımızın hakları konusunda şeffaflık sağlanması amaçlanmaktadır.
Şirketimiz, kişisel veri işleme faaliyetlerini yürürlükteki mevzuata uygun şekilde planlamakta, uygulamakta ve düzenli olarak gözden geçirmektedir.
1.1. Kapsam
Bu politika; çalışanlarımızı, stajyerlerimizi, yönetim kurulu üyelerini, şirket temsilcilerini ve şirket içi veri işleme süreçlerinden etkilenen ilgili kişileri kapsamaktadır.
Mevcut çalışanlara ilişkin veriler iş ilişkisi süresince ve gerekli görülen yasal saklama süreleri boyunca korunur. Eski çalışanlar ve çalışan adaylarına ait veriler ise ilgili aydınlatma metinleri ve veri işleme politikaları doğrultusunda değerlendirilir.
1.2. Politika’ya Erişim
Politika, şirket içinde ilgili birimlerde erişilebilir halde tutulur. Mevzuatta veya uygulamada meydana gelen değişiklikler doğrultusunda güncellenen versiyonlar çalışanların erişimine açık şekilde paylaşılır.
1.3. Tanımlar ve Kısaltmalar
| Kısaltma / Terim | Tanım |
|---|---|
| Açık Rıza | Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza. |
| İlgili Kullanıcı | Verilerin depolanması, korunması ve yedeklenmesinden sorumlu teknik kişi veya birim hariç; veri sorumlusu organizasyonu içinde yetki ve talimat doğrultusunda veri işleyen kişi veya birimler. |
| İmha | Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemleri. |
| İmha Politikası | Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin şirket politikası. |
| Kanun | 6698 sayılı Kişisel Verilerin Korunması Kanunu. |
| Kişisel Veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. |
| Kişisel Verilerin İşlenmesi | Verilerin elde edilmesi, kaydedilmesi, saklanması, muhafaza edilmesi, aktarılması, açıklanması, düzenlenmesi veya kullanılmasının engellenmesi dahil her türlü işlem. |
| Kişisel Verilerin Anonim Hale Getirilmesi | Verilerin başka verilerle eşleştirilse dahi belirli veya belirlenebilir bir kişi ile ilişkilendirilemeyecek hale getirilmesi. |
| Kişisel Verilerin Silinmesi | Kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hale getirilmesi. |
| Kişisel Verilerin Yok Edilmesi | Kişisel verilerin hiç kimse tarafından erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi. |
| Kurul | Kişisel Verileri Koruma Kurulu. |
| Özel Nitelikli Kişisel Veri | Mevzuat kapsamında özel korumaya tabi tutulan veri kategorileri. |
| Periyodik İmha | Kanunda öngörülen şartların ortadan kalkması halinde kişisel verilerin belirli aralıklarla silinmesi, yok edilmesi veya anonimleştirilmesi süreci. |
| Veri İşleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi. |
| Veri Sorumlusu | Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi. |
2. Kişisel Verilerin İşlenmesine İlişkin Hususlar
Şirketimiz kişisel verileri; hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlarla işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli süre kadar muhafaza edilme ilkelerine uygun şekilde işlemektedir.
2.1. Hukuka ve Dürüstlük Kurallarına Uygun İşleme
Tüm veri işleme faaliyetleri mevzuata uygunluk, ölçülülük ve şeffaflık ilkeleri çerçevesinde yürütülür.
2.2. Doğru ve Güncel Olma
İşlenen verilerin doğru tutulması ve gerektiğinde güncellenmesi için şirket içi süreçler işletilir.
2.3. Belirli, Açık ve Meşru Amaç
Veri işleme amaçları iş ilişkisi, insan kaynakları, bordrolama, iş güvenliği, mevzuat yükümlülükleri, güvenlik, operasyon ve şirket içi yönetim süreçleriyle sınırlıdır.
2.4. Bağlantılı, Sınırlı ve Ölçülü İşleme
Sadece ihtiyaç duyulan veri işlenir; amaç dışı veya gereğinden fazla veri işlenmesinden kaçınılır.
2.5. Gerekli Süre Kadar Saklama
Kişisel veriler, ilgili mevzuatta öngörülen süreler ve işlenme amacı için gerekli süre boyunca saklanır.
3. Kişisel Verilerin İşlenme Şartları
Şirketimiz kişisel verileri; ilgili kişinin açık rızasının bulunduğu hallerde veya Kanun’da öngörülen diğer hukuki sebeplere dayanarak işler. Açık rıza aranmaksızın veri işlenebilecek durumlarda Kanun’un izin verdiği hukuki şartlar esas alınır.
Sözleşmenin kurulması veya ifası, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, korunması veya kullanılması ve veri sorumlusunun meşru menfaati bu kapsamda değerlendirilen başlıca hukuki sebeplerdendir.
4. Özel Nitelikli Kişisel Verilerin İşlenmesi
Özel nitelikli kişisel veriler, Kanun ve ilgili kurul kararlarında öngörülen artırılmış güvenlik önlemlerine uygun olarak işlenir. Bu veriler yalnızca gerekli olduğu ölçüde, sınırlı erişim yetkileriyle ve ek teknik-idari tedbirlerle korunur.
5. Kişisel Verilerin Aktarılması
Kişisel veriler, mevzuata uygun olarak ve gerekli güvenlik tedbirleri alınmak suretiyle; yetkili kamu kurum ve kuruluşlarına, iş ortaklarına, hizmet sağlayıcılara, danışmanlara, hukuk ve mali müşavirlere, bilişim altyapısı sağlayıcılarına ve iş süreçleri gereği veri işleyen üçüncü kişilere aktarılabilir.
Yurt içi veya yurt dışı veri aktarımlarında Kanun’da yer alan şartlara uyulur ve veri güvenliğini sağlayan sözleşmesel ve teknik önlemler uygulanır.
6. Kişisel Verilerin Toplanma Yöntemleri ve Hukuki Sebepleri
Kişisel veriler; fiziksel formlar, elektronik başvurular, şirket içi yazılımlar, e-posta, kamera sistemleri, iş başvuru süreçleri, sözleşmeler, bordro ve özlük dosyaları, insan kaynakları uygulamaları ve benzeri araçlar üzerinden toplanabilir.
Toplanan veriler, ilgili mevzuat hükümleri ve şirket faaliyetlerinin gerektirdiği hukuki sebepler doğrultusunda işlenir.
7. Aydınlatma Yükümlülüğü
Şirketimiz, kişisel verileri işlenen kişilere; veri sorumlusunun kimliği, işleme amacı, aktarım alıcıları, veri toplama yöntemi, hukuki sebep ve hakları hakkında aydınlatma yapar. Bu yükümlülük; aydınlatma metinleri, başvuru formları, sözleşme ekleri veya uygun diğer iletişim yöntemleriyle yerine getirilir.
8. Kişisel Verilerin Saklanması
Şirketimiz tarafından işlenen kişisel veriler, ilgili yasa ve mevzuatta öngörülen süreler ile veri işleme amaçları çerçevesinde gereken süre kadar muhafaza edilir. Öncelikle mevzuatta saklama süresi öngörülüp öngörülmediği tespit edilir; bir süre öngörülmüşse buna uyulur, öngörülmemişse veri işleme amacı için gerekli süre esas alınır.
9. Saklama Süresi Sonunda Yapılacak İşlemler
Saklama süresi dolan veya işlenme amacı ortadan kalkan veriler, ilgili mevzuat ve şirket imha politikası çerçevesinde periyodik olarak değerlendirilir ve uygun yöntemlerle silinir, yok edilir veya anonim hale getirilir.
10. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Usulleri
İşlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler şirket kararıyla veya ilgili kişinin talebi üzerine silinir, yok edilir ya da anonim hale getirilir.
Silme ve yok etme süreçlerinde, fiziksel imha, güvenli yazılımsal silme ve gerektiğinde uzman desteğiyle geri döndürülemeyecek yöntemler kullanılabilir. Anonimleştirme süreçlerinde ise maskeleme, toplulaştırma, veri türetme ve benzeri tekniklerden yararlanılır.
11. Kişisel Verilerin Korunmasına İlişkin Alınan Tedbirler
Şirketimiz, Kanun’un 12. maddesi doğrultusunda kişisel verilerin hukuka aykırı işlenmesini ve erişimini önlemek, verilerin muhafazasını sağlamak ve yeterli güvenlik seviyesini oluşturmak amacıyla teknik ve idari tedbirler almaktadır.
11.1. İdari Tedbirler
- Veri işleme konusunda bilgili ve deneyimli personel görevlendirilir; gerekli eğitimler verilir.
- Erişim, bilgi güvenliği, kullanım, saklama ve imha süreçlerine ilişkin kurumsal politikalar oluşturulur.
- İş birimi bazında erişim ve yetkilendirme süreçleri tasarlanır ve uygulanır.
- Gerektiğinde veri maskeleme tedbirleri uygulanır.
- Çalışanlarla yapılan belge ve sözleşmelere gizlilik ve veri koruma yükümlülükleri eklenir.
- Çalışanların iş faaliyetleri kapsamında işlenen verileri için hukuka uygun bilgilendirme süreçleri yürütülür.
- Disiplin veya şikâyet süreçlerinden önce ilgili çalışana açıklama ve savunma imkânı sağlanır.
- Veri aktarılan üçüncü kişilerle yapılan sözleşmelere veri güvenliği yükümlülükleri eklenir.
- Verilere erişebilecek çalışan sayısı mümkün olduğunca sınırlı tutulur.
- Fiziksel erişim güvenliği ve organizasyonel kontrol mekanizmaları uygulanır.
- Hukuka aykırı elde etme durumlarında ilgili kişiye ve Kurul’a bildirim yapılır.
- Düzenli denetimler yapılarak güvenlik zafiyetleri giderilir.
- Veri işleyen hizmet sağlayıcıların farkındalığı ve denetimi sağlanır.
11.2. Teknik Tedbirler
- Kişisel verilere hukuka aykırı erişimi önlemeye yönelik teknik eğitimler verilir.
- Teknolojik gelişmelere uygun güvenlik önlemleri alınır ve periyodik olarak güncellenir.
- Yetkisiz erişim, veri kaybı, silinme ve zarar görme risklerine karşı makul önlemler uygulanır.
- Erişim kayıtları ve denetim izi mekanizmaları oluşturulur ve düzenli kontrol edilir.
- Ağ güvenliği ve uygulama güvenliği sağlanır; gerekli hallerde kapalı ağ kullanılır.
- Anahtar yönetimi ve şifreleme süreçleri uygulanır.
- Bilgi teknolojileri tedarik, geliştirme ve bakım süreçlerinde güvenlik önlemleri alınır.
- Taşınabilir cihazlarla veri çıkarılması halinde ek koruma yöntemleri uygulanır.
- Erişim yetkileri sınırlandırılır, düzenli olarak gözden geçirilir ve yetki matrisi kullanılır.
- Virüs koruma, güvenlik duvarı, sızma testi, saldırı tespit ve önleme sistemleri devrede tutulur.
- Güvenlik taramaları yapılır, açıklar tespit edildiğinde kapatılır.
- Yedekleme süreçleri işletilir ve yedeklerin güvenliği sağlanır.
- Log kayıtları kullanıcı müdahalesi olmaksızın tutulur.
- Siber güvenlik önlemleri sürekli takip edilir.
- Özel nitelikli verilerin taşınabilir ortamlarda aktarımında şifreleme uygulanır.
- Veri kaybını önleme ve geri döndürülemeyecek imha yöntemleri kullanılır.
11.3. Alınan Tedbirlerin Denetimi
Şirketimiz, veri sorumlusu sıfatıyla ilgili mevzuat kapsamında gerekli yükümlülükleri yerine getirir ve uyum süreçlerinin takibi için şirket içinde sorumlu kişiler görevlendirir. Periyodik raporlama, iç kontrol ve yönetime sunum mekanizmaları ile veri koruma süreçlerinin etkinliği izlenir.
12. Çalışanlarımızın Hakları ve Bu Hakların Kullanılması
Çalışanlarımız, Kanun kapsamında aşağıdaki haklara sahiptir:
- Kişisel verilerinin işlenip işlenmediğini öğrenme,
- İşlenmişse buna ilişkin bilgi talep etme,
- İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
- Eksik veya yanlış işlenmiş verilerin düzeltilmesini isteme,
- Kanunda öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini isteme,
- Düzeltme, silme veya yok etme taleplerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- Otomatik sistemler ile analiz sonucu aleyhe bir sonucun ortaya çıkmasına itiraz etme,
- Kanuna aykırı işleme nedeniyle zarar doğması halinde zararın giderilmesini talep etme.
12.1. Başvuru Usulleri
İlgili kişiler taleplerini yazılı başvuru, noter, kayıtlı elektronik posta veya sistemde kayıtlı e-posta adresi üzerinden şirkete iletebilir.
| Başvuru Yöntemi | Başvuru Adresi | Açıklama |
|---|---|---|
| Yazılı Başvuru | 100. Yıl Bulvarı No: 6 PK 06370 Ostim / Ankara – Türkiye | Zarf veya tebligat üzerine “Kişisel Verilerin Korunması Kanunu Kapsamında Bilgi Talebi” yazılmalıdır. |
| KEP ile Başvuru | ceyhun.gunen@hs01.kep.tr | E-posta konu kısmına “Kişisel Verilerin Korunması Kanunu Bilgi Talebi” yazılmalıdır. |
| Sistemde Kayıtlı E-posta ile Başvuru | info@cagcelik.com | E-posta konu kısmına “Kişisel Verilerin Korunması Kanunu Bilgi Talebi” yazılmalıdır. |