I. KİŞİSEL VERİLERİN İŞLENMESİNDE UYGULANACAK İLKELER
1.1. Hukuka ve dürüstlük kuralına uygun kişisel veri işleme faaliyetlerinde bulunma
1.2. Kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama
1.3. Belirli, açık ve meşru amaçlarla işleme
1.4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
1.5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme
II. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI
III. DERGRUP ANONİM ŞİRKETİ İŞTİRAKLERİNİN YüKüMLüLüKLERİ
3.1. Kişisel veri sahibini aydınlatma yükümlülüğü
3.2. Kişisel veri sahiplerinin başvurularını yanıtlandırma yükümlülüğü
3.3. Kişisel verilerin güvenliğini sağlama yükümlülüğü
3.3.1. Hukuka uygun veri işlenmesinin temini için teknik ve idari tedbirlerin alınması
3.3.2. Kişisel verilere hukuka aykırı erişimi engellemek için teknik ve idari tedbirlerin alınması
3.4. Veri Sorumluları Siciline Kaydolma Yükümlülüğü
IV. DERGRUP ANONİM ŞİRKETİ BüNYESİNDE ORGANİZASYONEL YAPILANMA
Bu Politika ile kişisel verilerin işlenmesi ve korunması konusunda DERGRUP Anonim Şirketi tarafından benimsenecek ve uygulama noktasında dikkate alınacak ilkeler ortaya konulmaktadır. Bu Politika ile DERGRUP Anonim Şirketi tarafından yerine getirilecek hususlar ortaya konulmakta, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (“KVKK”) öngörülen düzenlemelere nasıl uyacağına ilişkin temel ilkeler belirlenmektedir.
Bu Politika DERGRUP Anonim Şirketi düzeyinde kişisel verilerin işlenmesi ve korunması konusunda KVKK'ya uyum sağlamak amacıyla ilgili tüm grup şirketleri özelinde yürütülecek uyum faaliyetlerinin en üst düzeyde yönetilmesini ve eşgüdümün sağlanmasını temin etmek hedefiyle hazırlanmıştır.
DERGRUP Anonim Şirketi tarafından belirlenen ilkeler doğrultusunda iç işleyişlerini uyum için gerekli düzenlemeleri yapacak çalışanlarının ve iş ortaklarının farkındalığının oluşması için gerekli sistemi oluşturacaktır.
Bu Politika, DERGRUP Anonim Şirketi'nin KVKK ve ilgili mevzuat tarafından ortaya konulan kuralları somut olarak nasıl uygulayacaklarına ilişkin yol gösterici bir nitelik taşımaktadır.
DERGRUP Anonim Şirketi, bu Politikayı rehber edinerek kendi bünyelerinde gerçekleştirdikleri kişisel veri işleme faaliyetlerini analiz edecek, bu Politikaya uyum için gerekli aksiyonları belirleyecek ve her türlü teknik ve idari önlemi alacaklardır. Belirlenen aksiyonlar hayata geçirildikten sonra iç denetim mekanizmaları işletilerek Politikaya uygunluğun devamlılığı sağlanacaktır.
DERGRUP Anonim Şirketi bünyesinde bu Politikaya uyumluluğun sağlanması amacıyla çalışanların farkındalığının sağlanması için çalışmalar yapılacak, yeni başlayan çalışanlar için gerekli uyum süreçleri işletilecek ve DERGRUP Anonim Şirketi'nin iş ortakları ile ilişkilerinde gerekli düzenlemeler yapılacaktır.
KVKK 'ya uyumluluğun sağlanması için DERGRUP Anonim Şirketi tarafından kişisel veriler mevzuatta öngörülen genel ilke ve hükümlere uygun olarak işlenmelidir. Bu kapsamda, DERGRUP Anonim Şirketi tarafından tüm kişisel veri işleme faaliyetlerinde dikkate alınması gereken ilke ve şartlar bu bölümde ele alınacaktır.
Kişisel verilerin işlenmesi sırasında dikkate alınacak ilkeler aşağıda başlıklar halinde incelenmektedir.
1.1. Hukuka ve dürüstlük kuralına uygun kişisel veri işleme faaliyetlerinde bulunma
DERGRUP Anonim Şirketi kişisel verilerin işlenmesi faaliyetleri kapsamında hukuka ve dürüstlük kurallarına uygun hareket etmelidir. Bu kapsamda DERGRUP Anonim Şirketi, kişisel verilerin işlenmesinde orantılılık ve gereklilik prensiplerini uygulamaya koyarak sadece gerektiği kadar kişisel veriyi, veri işleme amaçlarına uygun düşecek seviyede işlemelidirler.
1.2. Kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama
DERGRUP Anonim Şirketi, işlemekte oldukları kişisel verilerin doğru ve güncel olmasını sağlamalı ve bu doğrultuda gerekli tedbirleri almalıdır. Örneğin, DERGRUP Anonim Şirketi kişisel veri sahiplerinin kişisel verilerini düzeltmelerine ve güncelleştirmelerine imkân verecek sistemleri geliştirmelidir.
1.3. Belirli, açık ve meşru amaçlarla işleme
DERGRUP Anonim Şirketi, kişisel verileri belirli, açık ve hukuka uygun sebeplerle işlemelidir. Bu kapsamda DERGRUP Anonim Şirketi kişisel verilerin hangi amaçla işleneceğini belirlemeli ve bu amaçları kişisel verileri işlenmeden önce veri sahiplerinin bilgisine sunmalıdır. Kişisel veriler, belirtilen amaçlar dışında işlenmemelidir. DERGRUP Anonim Şirketi tarafından belirlenen veri işleme amaçları meşru ve hukuka uygun olmalıdır.
1.4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
DERGRUP Anonim Şirketi, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemeli ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmalıdır. Örneğin, kişisel veriler elde edildikten sonra ortaya çıkan yeni bir amacın gerçekleştirilmesine yönelik kişisel veri işleme faaliyeti yürütülmemelidir.
1.5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme
DERGRUP Anonim Şirketi kişisel verileri yalnızca kanunlarda öngörülen süreler ile veya işlendikleri amaç ile sınırlı olarak muhafaza etmelidir. Bu kapsamda, ilgili mevzuatta kişisel verilerin saklanması için bir süre belirlenmişse bu süreye uygun davranmalıdır. Bir süre belirlenmemişse, kişisel veriler işlendikleri amaç için gerekli olan süre kadar muhafaza edilmelidir.
Kişisel veriler kural olarak, KVKK 'nın 5 numaralı maddesinde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı olarak işlenmelidir. Bu kapsamda DERGRUP Anonim Şirketi kişisel veri işleme faaliyetlerinin bu şartlardan birinin kapsamına girip girmediğini değerlendirmeli ve bu şartlardan birine dayanmayan kişisel veri işleme faaliyetleri durdurulmalıdır.
KVKK 'da özel nitelikteki kişisel verilerin işlenmesi için özel önlemler getirilebileceği düzenlenmiştir. Bu kapsamda özel nitelikli kişisel veriler işlenirken kurul tarafından belirlenecek önlemler alınmalıdır.
Kişisel verilerin yurt içinde veya yurt dışında üçüncü kişilere aktarılması konusunda, KVKK 'nın 8 ve 9 numaralı maddelerinde öngörülen düzenlemelere uygun hareket etmeye yönelik gerekli organizasyonel sistemler kurgulanmalıdır. Kişisel veriler aktarılırken işleme amaçları doğrultusunda gerekli güvenlik önlemleri alınmalıdır.
Kişisel verilerin hukuka aykırı işlenmesinin önüne geçilmesi adına şirketler içerisinde gerekli sistemler kurgulanmalı ve kurum içi farkındalık yaratılmalıdır.
3.1. Kişisel veri sahibini aydınlatma yükümlülüğü
DERGRUP Anonim Şirketi, kişisel verilerin elde edilmesi sırasında verileri işlenecek kişileri, verilerinin ne şekilde işleneceği konusunda aydınlatılmalıdır. KVKK 'da, bilgilendirmede yer alması gereken asgari hususlar sayılmıştır.
Bu bilgiler aşağıdaki gibidir:
(1) Veri sorumlusu olarak DERGRUP Anonim Şirketi'nin ve varsa temsilcisinin kimliği,
(2) Kişisel verilerin hangi amaçla işleneceği,
(3) Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
(4) Kişisel veri toplamanın yöntemi ve hukuki sebepleri,
(5) Kişisel veri sahibinin sahip olduğu haklar.
Bu kapsamda, DERGRUP Anonim Şirketi tarafından öncelikle kişisel veri toplama kanalları tespit edilmeli ve her kanal özelinde aydınlatma noktaları ve metinleri belirlenmelidir.
3.2. Kişisel Veri Sahiplerinin Başvurularını Yanıtlandırma Yükümlülüğü
Kişisel veri sahipleri, yazılı olarak veya Kurul'un belirleyeceği diğer yöntemlerle başvuruda bulunarak kendi verilerine ilişkin KVKK 'da yer alan haklarını kullanabilirler. Bu kapsamda, DERGRUP Anonim Şirketi, kişisel veri sahiplerinin haklarının yerine getirilmesi için, KVKK 'nın 13 numaralı maddesi kapsamındaki yükümlülüklerini yerine getirmek için gereken idari ve teknik önlemleri almalıdır.
KVKK kapsamında kişisel veri sahipleri aşağıdaki haklara sahiptir:
Kişisel veri sahiplerinin yalnızca yazılı olarak DERGRUP Anonim Şirketi'ne iletilen talepleri işleme alınmalıdır. İleride Kurul tarafından farklı başvuru yöntemleri belirlenebilecektir. DERGRUP Anonim Şirketi talebin niteliğine göre ilgili talebi en kısa sürede ve en geç otuz gün içerisinde yanıtlamalıdır.
Değerlendirme sonucunda DERGRUP Anonim Şirketi başvuruları kabul ederek gereken aksiyonları alabilecekleri gibi başvuruları gerekçeli olarak reddedebilir.
Önemle belirtmek gerekir ki kişisel veri sahibi, başvurusunun reddedilmesi, verilen cevabı yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde 30 gün içerisinde Kurul'a şikâyette bulunabilir. Bu şikâyetleri engellemek adına kişisel veri sahiplerine zamanında ve tatmin edici cevaplar verilmesi önem arz etmektedir.
3.3. Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü
DERGRUP Anonim Şirketi işlemekte oldukları kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini engellemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almalıdır.
Kurul ileride veri güvenliğine ilişkin yükümlülükler hakkında detaylı düzenlemeler getirebilecektir. Dolayısıyla bu kapsamdaki yükümlülüklere de uyum sağlamak amacıyla makul derecede efor sarf ederek maksimum derecede güvenlik sağlanmalıdır.
DERGRUP Anonim Şirketi, alacağı teknik ve idari tedbirler bakımından tedbirlerin işleyişi ile ilgili olarak gerekli denetimleri yapmaya ve yaptırmaya yönelik sistemleri kurgulamalıdır. Bu denetim sonuçları DERGRUP Anonim Şirketi bünyesinde görevli birimlerce incelenmeli ve gerekli aksiyonlar alınmalıdır.
DERGRUP Anonim Şirketi, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede ilgili kişisel veri sahibine ve mevzuatın gerektirmesi halinde Kurul'a bildirmekle yükümlüdürler. Bu kapsamda gerekli organizasyonel yapı kurulmalıdır.
DERGRUP Anonim Şirketi tarafından güvenlik riski teşkil eden durumlar tespit edilirse vakit kaybetmeksizin söz konusu riski ortadan kaldıracak önlemler alınmalıdır.
3.3.1. Hukuka Uygun Veri İşlenmesinin Temini İçin Teknik ve İdari Tedbirlerin Alınması
Kişisel verilerin hukuka uygun işlenmesi için aşağıdaki tedbirler DERGRUP Anonim Şirketi tarafından alınmalıdır:
3.3.2. Kişisel verilere Hukuka aykırı erişimi engellemek için teknik ve idari tedbirlerin alınması
Kişisel verilere hukuka aykırı erişimi engellemek için aşağıdaki tedbirler DERGRUP Anonim Şirketi tarafından alınmalıdır:
3.4. Veri Sorumluları Siciline Kaydolma Yükümlülüğü
DERGRUP Anonim Şirketi, veri işlemeye başlamadan önce Kurul tarafından belirlenerek ilan edilecek süre içinde, KVKK 'da sayılan başvuru bilgi ve belgelerini sunarak Veri Sorumluları Sicili 'ne kayıt olmalıdır. Sunulacak bilgiler aşağıdaki gibidir (Kurul tarafından çıkarılacak ikincil düzenlemeler ile ek bilgi ve belgelerin talep edilmesi mümkündür):
(1) Veri sorumlusu olarak DERGRUP Anonim Şirketi'nin ve varsa temsilcisinin kimlik ve adres bilgileri,
(2) Kişisel verilerin hangi amaçla işleneceği,
(3) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,
(4) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
(5) Yabancı ülkelere aktarımı öngörülen kişisel veriler,
(6) Kişisel veri güvenliğine ilişkin alınan tedbirler,
(7) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.
DERGRUP Anonim Şirketi bünyesinde işbu politika ve bu politikaya bağlı ve ilişkili diğer politikaları yönetmek üzere, üst yönetim tarafından uyum için belirlenen aksiyonların yerine getirilmesinden sorumlu “Kişisel Verilerin Korunması Komitesi” veya bu konuda sorumlu olacak kişi atanmalıdır.
Bu kapsamda Komite veya atanacak kişi tarafından aşağıda sıralanan asgari aksiyonlar alınmalıdır:
Açık Rıza : |
Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. |
Anonim hale getirme : |
Kişisel verinin, kişisel veri niteliğini kaybedecek ve bu durumun geri alınamayacağı şekilde değiştirilmesidir. Ör: Maskeleme, toplulaştırma, veri bozma vb. tekniklerle kişisel verinin bir gerçek kişi ile ilişkilendirilemeyecek hale getirilmesi. |
Kişisel veri sahibi : |
Kişisel verisi işlenen gerçek kişi. Örneğin; müşteriler ve çalışanlar. |
Kişisel Veri : |
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir. Örneğin; adı-soyadı, TCKN, e-posta, adres, doğum tarihi, kredi kartı numarası vb. |
Özel nitelikli kişisel Veri : |
Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli verilerdir. |
Kişisel Verilerin İşlenmesi : |
Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem. |
Veri İşleyen : |
Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir. Örneğin, bir şirketin müşteri verilerini saklayan bilişim firması. |
Veri Sorumlusu : |
Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi veri sorumlusudur. |