Kişisel Verilerin Korunması Politikası

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

BABİL Kültür Sanat Organizasyon Tic. Ltd. Şti.

1. Amaç

İşbu politika, BABİL Kültür Sanat Organizasyon Tic. Ltd. Şti.’nin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik’in 5. ve 6. maddelerinde öngörülen yükümlülüklerini yerine getirebilmesi ve temel bir insan hakkı olan kişisel verilerin korunması hakkına verdiğimiz önem sebebiyle, kişisel verilerin imha usul ve süreçlerini açıklamak amacıyla hazırlanmıştır.

2. Kapsam

Bu politika, Şirketimiz ile bağlantılı tüm tarafların; otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla, elektronik ortamda ya da basılı dokümanlarla işlenen tüm kişisel verilerini kapsamaktadır.

3. Tanımlar ve Kısaltmalar

Bu dokümanda geçen kısaltmalar ve tanımlar aşağıdaki tabloda gösterilmiştir:

4. Kayıt Ortamları

Kişisel veriler, Şirket tarafından aşağıdaki tabloda listelenen ortamlarda hukuka uygun ve güvenli bir şekilde saklanır.

5. Uygulama

Şirket, benimsemiş olduğu temel değerler gereğince idari süreçlerini ve iş süreçlerini bağlı olduğu mevzuat doğrultusunda yürütmek ve hizmet verdiği kişilere en iyi deneyimi sağlamak için teknolojik kaynak ve altyapıları da kullanarak, “amaca uygun en az veri kullanılarak – veri minimizasyonu” prensibi çerçevesinde kişisel ve özel nitelikli kişisel verileri işler. Verilerin işlenmesinde Kanun’un 4. maddesinde belirtilen ilkeler ve 12. maddesi gereği alınması gereken tedbirler göz önünde bulundurulur. Kayıt saklama ortamları; elektronik veriler için bilişim sistemi sunucuları, uygulamaları, kurumsal bilgisayarlar ve depolama ortamları, basılı dokümanlar için ise ofisler ve arşivlerdir.

5.1. Saklamayı Gerektiren Sebeplere İlişkin Açıklamalar

İlgili kişiye ait veriler; Şirket tarafından faaliyetlerinin sürdürülebilmesi, hukuki yükümlülüklerin yerine getirilebilmesi, çalışan haklarının planlanması ve iş ortakları ile süreçlerin işletilebilmesi amacıyla, fiziki veya elektronik ortamlarda güvenli bir biçimde, Kanun ve ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanır.

5.1.1. Saklamayı Gerektiren Hukuki Sebepler

Saklamayı gerektiren hukuki sebepler aşağıdaki gibidir:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6098 sayılı Türk Borçlar Kanunu
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
• 4982 sayılı Bilgi Edinme Hakkı Kanunu
• 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun
• İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik
• Arşiv Hizmetleri Hakkında Yönetmelik
• Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler

Ayrıca kişisel veriler aşağıdaki sebeplerle de saklanmaktadır:

• Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi
• Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması
• Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması
• Kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla, kişisel verilerin Şirketin meşru menfaatleri için saklanmasının zorunlu olması
• Kişisel verilerin Şirketin herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması

5.1.2. Saklamayı Gerektiren İşleme Amaçları

Şirket, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar:

• İnsan kaynakları süreçlerini yürütmek
• Kurumsal iletişimi sağlamak
• Kurum güvenliğini sağlamak
• İstatistiksel çalışmalar yapabilmek
• İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek
• Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde hukuki yükümlülüklerin yerine getirilmesini sağlamak
• Kurum ile iş ilişkisinde bulunan gerçek ve tüzel kişilerle irtibat sağlamak
• Yasal raporlamalar yapmak
• Çağrı merkezi süreçlerini yönetmek
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğünü yerine getirmek

5.2. İmhayı Gerektiren Sebeplere İlişkin Açıklamalar

Yönetmelik uyarınca, aşağıda sayılan hâllerde kişisel veriler veya özel nitelikli kişisel veriler Şirket tarafından re’sen ya da ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir:

• Kanun’un 5. ve 6. maddelerinde yer alan, kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması
• İşlemenin açık rıza şartına dayandığı hâllerde ilgili kişinin rızasını geri alması
• Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması
• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması
• İlgili kişinin, hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi ya da Kurul’un bu yönde karar vermesi

5.3. Uygulanan Teknik ve İdari Tedbirler

Şirket, Kanun’un 7. ve 12. maddelerini göz önünde bulundurarak veri saklama ve imha süreçlerinde teknik ve idari tedbirler alır. Alınan tedbirler şunlardır:

5.3.1. İdari Tedbirler

• Şirket bünyesinde bilgi güvenliği yönetim sisteminin kurulması ve işletilmesi
• Şirket personeli ve ilgili taraflarla taahhütname ve gizlilik sözleşmelerinin imzalanması
• İş süreçleri üzerinde risk analizlerinin gerçekleştirilmesi
• Kişisel veri envanterinin oluşturulması
• Bilgi güvenliği politika ve prosedürlerinin işletilmesi
• Bilgi güvenliği ve kişisel veri işleme faaliyetleri hakkında eğitimlerin düzenlenmesi ve değerlendirilmesi
• Çalışanlara ait bilgisayar vb. araç ve gereçlere yetkisiz erişimin önüne geçmek için bu araç ve gereçlerin yalnızca yetkili kişilerce kullanılması
• Şirket içi ya da bağımsız denetimlerle faaliyetlerin gözden geçirilmesi
• Yapılan işlemler için objektif delil üretecek kayıtların oluşturulması

5.3.2. Teknik Tedbirler

• Sızma testleri ile Şirket bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
• Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda, bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
• Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi; erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığıyla yapılmaktadır.
• Sistemler üzerinde değişiklik veya güncelleme yapılacağı zaman denemeler test ortamında yapılmakta, varsa güvenlik açıkları tespit edilerek gerekli tedbirler alınmakta ve değişikliğe son hâli bu işlemlerin ardından verilmektedir.
• Şirketin bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
• Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için donanımsal (sistem odasına yalnızca yetkili personelin girişini sağlayan erişim kontrol sistemi, alan ağını oluşturan kenar anahtarların fiziksel güvenliği, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
• Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlerle ilgili teknik kontroller yapılmaktadır.
• Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişimle ilgili raporlama ve analiz çalışmaları yapılmaktadır.
• Şirket, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
• Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi hâlinde bu durumu ilgili kişiye ve Kurul’a bildirmek için Şirket tarafından gerekli hazırlık çalışmaları yapılmıştır.
• Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel hâlde tutulmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
• Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
• Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• Şirket internet sayfasına erişim, güvenli protokol (HTTPS) kullanılarak SHA-256 bit RSA algoritmasıyla şifrelenmektedir.
• Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı bir politika belirlenmiştir.
• Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış ve verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği veya erişildiği elektronik ortamlar kriptografik yöntemlerle korunmakta, kriptografik anahtarlar güvenli ortamlarda tutulmakta, tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testleri düzenli olarak yapılmakta veya yaptırılmakta ve test sonuçları kayıt altına alınmaktadır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği veya erişildiği fiziksel ortamlarda yeterli güvenlik önlemleri alınmakta, fiziksel güvenlik sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
• Özel nitelikli kişisel verilerin e-posta yoluyla aktarılması gerekiyorsa, veriler şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa veriler kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı bir ortamda tutulmaktadır.
• Farklı fiziksel ortamlardaki sunucular arasında aktarım gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı yapılmaktadır.
• Kâğıt ortamında aktarım gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişilerce görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

5.4. Veri Silme, Yok Etme ve Anonim Hâle Getirme

Bu politikanın 5.2. maddesinde belirtilen şartların gerçekleşmesi hâlinde kişisel veriler, Şirket tarafından re’sen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir. Bu hususta ilgili kişi tarafından Şirket’e başvurulması hâlinde:

• İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılır ve ilgili kişiye bilgi verilir.
• Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda bu durum, verilerin aktarıldığı üçüncü kişiye bildirilir ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilir.
• Durum, şartlar ve mevzuat gereği ilgili kişinin talep ettiği imha usulü yerine başka bir imha usulünün kullanılması gerekiyorsa, bu durum ilgili kişiye verilecek cevapta açıklanarak, kullanılması gereken usulle imha gerçekleştirilir.
• Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa bu talep, veri sorumlusunca Kanun’un 13. maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç 30 (otuz) gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hâle getirme yöntemlerinden uygun olanı tarafımızca seçilir. Ancak ilgili kişinin talebi hâlinde uygun yöntem, gerekçesi açıklanarak seçilir. İlgili kişinin Kanun’un 11. maddesinde gösterilen hakları kapsamında yaptığı başvurulara verilecek cevaplar ücretsiz olarak karşılanır.

5.4.1. Kişisel Veri Silme

Sunucularda yer alan kişisel veriler: Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik ortamda yer alan kişisel veriler: Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilir.

Fiziksel ortamda yer alan kişisel veriler: Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilir. Ayrıca üzeri okunamayacak şekilde çizilerek, boyanarak veya silinerek karartma işlemi de uygulanır.

Taşınabilir medyada bulunan kişisel veriler: Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi yalnızca sistem yöneticisine verilerek, şifreleme anahtarlarıyla birlikte güvenli ortamlarda saklanır.

5.4.2. Kişisel Veri Yok Etme

Fiziksel ortamda yer alan kişisel veriler: Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, yakılarak veya kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde öğütülerek yok edilir.

Optik ve manyetik medyada yer alan kişisel veriler: Optik ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlere eritme, yakma veya toz hâline getirme gibi fiziksel yok etme işlemi uygulanır. Ayrıca manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılır ve üzerindeki veriler okunamaz hâle getirilir.

5.4.3. Kişisel Veri Anonimleştirme

Şirket’te anonimleştirme için, verinin bulunduğu ortama ve işleme türüne göre değişken çıkarma, gürültü ekleme veya mikro birleştirme yöntemlerinden biri kullanılır.

Değişken çıkarma: Toplanan verilerin bir araya getirilmesinden sonra oluşturulan veri setindeki değişkenlerden “yüksek dereceli betimleyici” olanlar çıkarılarak veri seti anonim hâle getirilir.

Gürültü ekleme: Özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde, mevcut verilere belirlenen oranda artı veya eksi yönde sapmalar eklenerek veriler anonim hâle getirilir.

Mikro birleştirme: Tüm veriler önce anlamlı bir sıraya dizilerek (büyükten küçüğe gibi) gruplara ayrılır; grupların ortalaması alınarak elde edilen değer, gruptaki ilgili verilerin yerine yazılarak anonimleştirme sağlanır.

5.5. Veri Saklama ve İmha Süreleri ile Sorumluları

5.5.1. Veri Saklama ve İmha Sorumluları

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, görevleri ve sorumlulukları aşağıdaki tabloda gösterilmiştir.

5.5.2. Veri Saklama ve İmha Süreleri

Veri saklama ve imha süreleri kişisel veri envanterinde ayrıntılı olarak gösterilir ve aşağıda belirtildiği gibidir. Kişisel veriler; saklama şartlarının ortadan kalkması üzerine, ilgili kişinin talebiyle veya süresinin dolması durumunda periyodik imha süresinde, Şirket’in uygun göreceği imha usulüyle imha edilir. Yönetmelik’in 11. maddesi gereğince Şirket, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre Şirket’te her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

6. Sorumluluk

Şirketin tüm birimleri ve çalışanları; sorumlu birimlerce politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının artırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin ve kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla, kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

Bu politikaya ilişkin görev dağılımı aşağıdaki tabloda gösterilmiştir.

7. Güncelleme Kayıtları