1. GİRİŞ
1.1. POLİTİKANIN AMACI VE KAPSAMI
Türkiye Cumhuriyeti Anayasası’nın 20’nci maddesi uyarınca herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”), kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla yürürlüğe konulmuştur.
İşbu BODE Araç Kapı Sistemleri Sanayi ve Ticaret A.Ş. (“ŞİRKET”) Özel Nitelikli Kişisel Verilerin Korunması Politikası (“Politika”), ŞİRKET tarafından işlenen özel nitelikli kişisel verilerin hukuka uygun şekilde işlenmesi ve korunması ile bu verilere ilişkin teknik ve idari tedbirlerin sistemli, yönetilebilir ve sürdürülebilir şekilde uygulanmasına ilişkin esasların belirlenmesi amacıyla hazırlanmıştır.
POLİTİKA; ŞİRKET tarafından işlenen özel nitelikli kişisel verilerin elde edilmesi, kaydedilmesi, kullanılması, erişimi, saklanması, aktarılması, güvenliğinin sağlanması ve imhasına ilişkin süreçleri ve bu süreçlerde görev alan ŞİRKET çalışanlarını, yetkili kullanıcıları, hizmet sağlayıcıları ve diğer ilgili kişileri kapsar.
ŞİRKETİN tüm organ ve departmanları ile özel nitelikli kişisel veri işleme faaliyetlerinde görev ve yetkisi bulunan çalışanlar, işbu POLİTİKA hükümlerine uygun hareket etmek ve KVKK süreçlerinden sorumlu kişi/birimlerle iş birliği yapmakla yükümlüdür.
1.2. YÜRÜRLÜK VE DEĞİŞİKLİK
POLİTİKA, ŞİRKET tarafından internet sitesinde yayımlanarak kamuoyuna sunulur. Başta KVKK olmak üzere yürürlükteki mevzuat ile işbu POLİTİKA hükümlerinin çelişmesi halinde yürürlükteki mevzuat hükümleri uygulanır.
ŞİRKET, mevzuat değişiklikleri, Kişisel Verileri Koruma Kurulu kararları ve kişisel veri işleme faaliyetlerinde meydana gelebilecek değişiklikler doğrultusunda POLİTİKAYI güncelleyebilir. POLİTİKANIN güncel sürümüne ŞİRKETİN internet sitesinden erişilebilir.
2. ÖZEL NİTELİKLİ KİŞİSEL VERİLER
KVKK’nın 6’ncı maddesi kapsamında kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Özel nitelikli kişisel veriler Kanunda sınırlı sayma yoluyla belirlenmiş olup bu kategorilerin kıyas yoluyla genişletilmesi mümkün değildir.
ŞİRKET, faaliyetlerinin gerektirdiği ölçüde ve Kişisel Veri İşleme Envanterinde belirlenen süreçler kapsamında özel nitelikli kişisel veri işler. İşleme amacı bakımından gerekli olmayan özel nitelikli kişisel verilerin talep edilmemesi ve işlenmemesi esastır.
ŞİRKET tarafından işlenen özel nitelikli kişisel verilere ilişkin veri kategorileri, kişi grupları, işleme amaçları, hukuki sebepler, saklama süreleri ve aktarım bilgileri “Kişisel Veri İşleme Envanteri” ile ilgili aydınlatma metinlerinde belirlenir.
2.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN ELDE EDİLMESİ ESNASINDA İLGİLİ KİŞİLERİN AYDINLATILMASI
KVKK’nın 10’uncu maddesi uyarınca kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişiler tarafından ilgili kişiler aydınlatılır. ŞİRKET, aydınlatma yükümlülüğünü yerine getirirken ilgili kişilere asgari olarak aşağıdaki hususlarda bilgi verir:
A. Veri sorumlusunun ve varsa temsilcisinin kimliği
B. Kişisel verilerin hangi amaçla işleneceği
C. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
D. Kişisel veri toplamanın yöntemi ve hukuki sebebi
E. KVKK’nın 11’inci maddesinde belirtilen ilgili kişi hakları ve bu hakların nasıl kullanılabileceği
Aydınlatma yükümlülüğü ile açık rıza alınması gereken veri işleme faaliyetleri birbirinden ayrı hukuki süreçler olarak yürütülür.
Özel nitelikli kişisel verinin açık rıza dışında KVKK’nın 6’ncı maddesinde düzenlenen bir işleme şartına dayanılarak işlenebildiği hallerde ayrıca açık rıza talep edilmez.
2.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ
Özel nitelikli kişisel veriler, aşağıdaki koşullardan birinin bulunması durumunda işlenebilir:
A. İlgili kişinin açık rızasının olması
B. Kanunlarda açıkça öngörülmesi
C. Fiilî imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
D. İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması
E. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
F. Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca; kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması
G. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması
H. Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların; tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine ve mensuplarına yahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması
Özel nitelikli kişisel veriler, KVKK’nın 6’ncı maddesinde belirtilen işleme şartlarından en az birinin bulunması ve Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması kaydıyla işlenir.
ŞİRKET, özel nitelikli kişisel verileri yalnızca ilgili veri işleme faaliyeti bakımından geçerli olan hukuki sebebe dayanarak, belirlenen amaçla sınırlı ve ölçülü şekilde işler.
İlgili veri işleme faaliyetinin KVKK’nın 6’ncı maddesinde yer alan açık rıza dışındaki bir işleme şartına dayanması mümkün ise ayrıca açık rıza talep edilmez. Açık rızanın hukuki sebep olduğu hallerde ise açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması esastır.
2.3. BENİMSENEN İLKELER
ŞİRKET özel nitelikli kişisel verilerin işlenmesinde KVKK’nın 4’üncü maddesinde düzenlenen temel ilkelere uygun hareket eder. Bu kapsamda kişisel veriler aşağıdaki kriterler uyarınca işlenir ve muhafaza edilir:
A. Hukuka ve dürüstlük kurallarına uygun olarak
B. Doğru ve gerektiğinde güncel olarak
C. Belirli, açık ve meşru amaçlar için
D. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde
E. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar
Veri minimizasyonu, özel nitelikli kişisel veri işleme faaliyetlerinde temel esaslardan biridir. İşleme amacı için gerekli olmayan özel nitelikli kişisel veriler talep edilmez; herhangi bir yolla elde edilmeleri halinde ilgili mevzuat ve ŞİRKETİN saklama ve imha kuralları çerçevesinde gerekli işlemler gerçekleştirilir. Özel nitelikli kişisel verilere erişim, görev ve yetki gerekliliği bulunan kişilerle sınırlı tutulur.
2.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI
ŞİRKET, özel nitelikli kişisel verileri ancak belirli, açık ve hukuka uygun amaçların bulunması ve uygulanabilir KVKK işleme ve aktarım şartlarının sağlanması halinde üçüncü kişilere aktarabilir.
Yurt içi aktarımlarda KVKK’nın 8’inci maddesi ile özel nitelikli kişisel verinin niteliğine uygun olarak KVKK’nın 6’ncı maddesinde öngörülen şartlar ve Kurul tarafından belirlenen yeterli önlemler dikkate alınır.
ŞİRKET özel nitelikli kişisel verileri yurt dışına aktarmamaktadır.
ŞİRKETİN bilgi sistemleri, hizmet sağlayıcıları, saklama veya yedekleme altyapısında yapılacak bir değişiklik sonucunda özel nitelikli kişisel verilerin yurt dışına aktarılmasının gündeme gelmesi halinde, aktarım faaliyeti devreye alınmadan önce KVKK’nın 9’uncu maddesi kapsamında gerekli hukuki ve teknik değerlendirme yapılır; “Kişisel Veri İşleme Envanteri”, ilgili aydınlatma metinleri ve gerekli diğer dokümanlar güncellenir.
3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI
ŞİRKET, KVKK’nın 12’nci maddesi kapsamında kişisel verilerin; hukuka aykırı olarak işlenmesini önlemek, hukuka aykırı olarak erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirleri alır.
Özel nitelikli kişisel verilerin işlenmesinde, genel kişisel veri güvenliği tedbirlerine ilave olarak Kişisel Verileri Koruma Kurulunun 31.01.2018 tarihli ve 2018/10 sayılı Kararı ile belirlenen yeterli önlemler uygulanır. Kurul Kararı özel nitelikli veriler için ayrıca sistemli ve sürdürülebilir bir politika/prosedür oluşturulmasını da öngörmektedir.
ŞİRKET bünyesinde özel nitelikli kişisel veri işleme süreçleri ve uygulanan güvenlik tedbirleri risk esaslı olarak izlenir; gerekli görülmesi halinde kontrol ve denetimler gerçekleştirilir.
3.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNDE YER ALAN ÇALIŞANLARA ve YETKİLİ KULLANICILARA YÖNELİK TEDBİRLER
Özel nitelikli kişisel verilerin işlenmesinde görev alan çalışanlara:
A. KVKK, ilgili mevzuat ve özel nitelikli kişisel veri güvenliği konularında düzenli eğitim verilir.
B. Gizlilik yükümlülükleri uygulanır ve gerekli gizlilik sözleşmesi/taahhütleri oluşturulur.
C. Verilere erişim yetkisine sahip kullanıcıların yetki kapsamları ve süreleri açık şekilde belirlenir.
D. Erişim yetkileri periyodik olarak kontrol edilir.
E. Görev değişikliği olan veya işten ayrılan çalışanların özel nitelikli kişisel verilere ilişkin erişim yetkileri gecikmeksizin kaldırılır; kendilerine tahsis edilmiş veri taşıyan cihaz, ortam ve diğer kurumsal envanter iade alınır.
F. Yetkilendirmede görev gereği erişim ve en az yetki prensibi uygulanır; çalışanlara görevleri için gerekli olandan daha geniş özel nitelikli kişisel veri erişimi verilmez.
G. Özel nitelikli kişisel verilerin yetkisiz olarak kopyalanması, aktarılması, kişisel cihaz veya hesaplarda saklanması ya da görev amacı dışında kullanılması yasaktır.
3.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ VE/VEYA ERİŞİLDİĞİ ELEKTRONİK ORTAMLARA YÖNELİK TEDBİRLER
Özel nitelikli kişisel verilerin elektronik ortamda işlendiği, muhafaza edildiği veya erişildiği sistemlerde:
A. Veriler, uygulanabilir olduğu ölçüde uygun kriptografik yöntemler kullanılarak korunur
B. Kriptografik anahtarların güvenli şekilde ve gerekli durumlarda verilerden farklı ortamlarda tutulması sağlanır
C. Veriler üzerinde gerçekleştirilen erişim ve işlemlere ilişkin kayıtların güvenli şekilde loglanması sağlanır
D. Verilerin bulunduğu ortamlara ilişkin güvenlik güncellemeleri sürekli takip edilir; gerekli güvenlik testleri düzenli olarak yapılır veya yaptırılır ve test sonuçları kayıt altına alınır.
E. Özel nitelikli kişisel verilere bir yazılım veya bilgi sistemi aracılığıyla erişilmesi halinde kullanıcı yetkilendirmeleri yapılır; ilgili sistem ve yazılımların güvenlik testleri düzenli olarak gerçekleştirilir ve sonuçları kayıt altına alınır.
F. Özel nitelikli kişisel verilere uzaktan erişimin gerekli olduğu hallerde en az iki kademeli kimlik doğrulama uygulanır.
G. Kullanıcı hesaplarının paylaşılmaması, erişim yetkilerinin kişiye özgü olarak tanımlanması ve erişimlerin görev/yetki kapsamıyla sınırlandırılması esastır.
3.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ VE/VEYA ERİŞİLDİĞİ FİZİKSEL ORTAMLARA YÖNELİK TEDBİRLER
Özel nitelikli kişisel verilerin fiziksel ortamda işlendiği veya muhafaza edildiği hallerde;
A. Verilerin bulunduğu ortamın niteliğine uygun olarak elektrik kaçağı, yangın, su baskını, hırsızlık ve benzeri risklere karşı gerekli fiziksel ve çevresel güvenlik önlemleri alınır
B. Verilerin bulunduğu ortamların fiziksel güvenliği sağlanır.
C. Özel nitelikli kişisel verilerin bulunduğu fiziksel ortamlara erişim yetkilendirme esasına tabi tutulur ve yetkisiz giriş-çıkışlar engellenir.
D. Kağıt ortamındaki özel nitelikli kişisel verilerin yetkisiz kişiler tarafından görülmesini, alınmasını veya kopyalanmasını önleyecek uygun saklama ve erişim tedbirleri uygulanır.
3.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASINA İLİŞKİN GÜVENLİK TEDBİRLERİ
Özel nitelikli kişisel verilerin aktarılmasının gerekli olduğu hallerde:
A. Verilerin e-posta yoluyla aktarılması gerekiyorsa güvenli ve uygun şifreleme yöntemleri kullanılarak kurumsal e-posta hesabı veya Kayıtlı Elektronik Posta (KEP) üzerinden aktarım gerçekleştirilir.
B. Taşınabilir bellek, CD, DVD ve benzeri fiziksel veri taşıma ortamlarının kullanılması zorunlu ise veriler kriptografik yöntemlerle şifrelenir ve kriptografik anahtar farklı ve güvenli bir ortamda tutulur.
C. Farklı fiziksel ortamlardaki sunucular arasında veri aktarımı yapılması halinde VPN veya sFTP gibi güvenli veri aktarım yöntemleri kullanılır.
D. Verilerin kâğıt ortamında aktarılmasının gerekli olduğu hallerde; evrakın kaybolması, çalınması veya yetkisiz kişilerce görülmesi risklerine karşı gerekli tedbirler alınır ve gizlilik dereceli belge niteliğine uygun şekilde gönderimi sağlanır.
E. Aktarımlar yalnızca görev ve amaç bakımından gerekli kişilerle ve gerekli veri kapsamıyla sınırlı tutulur.
4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI
Özel nitelikli kişisel veriler; ilgili mevzuatta öngörülen süreler, kişisel verilerin işlenmesini gerektiren amaçların devam ettiği süre ve ŞİRKETİN Kişisel Veri İşleme Envanteri ile Kişisel Veri Saklama ve İmha Politikasında belirlenen saklama süreleriyle sınırlı olarak muhafaza edilir.
Saklama süresinin belirlenmesinde KVKK’nın 4’üncü maddesinde yer alan “ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme” ilkesi esas alınır.
Özel nitelikli kişisel verinin işlenmesini gerektiren hukuki sebeplerin ortadan kalkması ve verinin muhafazasını gerektiren başka bir hukuki zorunluluk bulunmaması halinde söz konusu veriler KVKK’nın 7’nci maddesi ile ŞİRKETİN “Kişisel Veri Saklama ve İmha Politikası” doğrultusunda silinir, yok edilir veya anonim hale getirilir.
Özel nitelikli kişisel veri içeren belge veya kayıtların imhasında, verinin yetkisiz kişilerce tekrar elde edilmesini veya erişilebilir hale gelmesini engelleyecek uygun imha yöntemleri kullanılır.
5. YETKİLENDİRME, DENETİM VE SORUMLULUK
Özel nitelikli kişisel verilere erişim yetkileri, çalışanların görev ve sorumlulukları dikkate alınarak Yetki Matrisi ve ilgili bilgi güvenliği kuralları kapsamında belirlenir.
Erişim yetkileri ihtiyaç halinde ve periyodik olarak gözden geçirilir. Görev değişikliği, yetki değişikliği veya iş ilişkisinin sona ermesi halinde gerekli erişim değişiklikleri gecikmeksizin gerçekleştirilir.
Özel nitelikli kişisel verilerin işlenmesine ilişkin teknik ve idari tedbirlerin uygulanması, ilgili süreç sahiplerinin ve yetkilendirilmiş çalışanların sorumluluğundadır. KVKK süreçlerinden sorumlu kişi/birim, bu Politikanın uygulanmasının koordinasyonunu sağlar.
POLİTİKA hükümlerine, bilgi güvenliği kurallarına veya kişisel veri güvenliğine aykırı bir durum tespit eden çalışanlar durumu gecikmeksizin ŞİRKETİN ilgili yöneticisine ve/veya KVKK süreçlerinden sorumlu kişi/birime bildirir.
ŞİRKET, özel nitelikli kişisel veri işleme faaliyetlerini ve alınan tedbirleri risk, mevzuat, süreç veya bilgi sistemi değişiklikleri doğrultusunda gözden geçirir ve gerekli iyileştirmeleri gerçekleştirir.
6. POLİTİKANIN GÜNCELLENMESİ
İşbu POLİTİKA; mevzuat değişiklikleri, Kişisel Verileri Koruma Kurulu kararları, ŞİRKETİN özel nitelikli kişisel veri işleme faaliyetlerindeki değişiklikler, bilgi sistemleri veya organizasyon yapısındaki değişiklikler ve diğer hukuki veya operasyonel gereklilikler doğrultusunda gözden geçirilebilir ve güncellenebilir.
POLİTİKANIN güncel sürümü ŞİRKETİN internet sitesinde yayımlanır. POLİTİKANIN güncellenmesi nedeniyle ilgili kişilere ayrıca aydınlatma yapılmasını gerektiren bir kişisel veri işleme değişikliği ortaya çıkması halinde, ilgili aydınlatma yükümlülüğü ayrıca yerine getirilir.