KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

İşbu Kişisel Veri Saklama ve İmha Politikası Özdemirler Otomotiv İnş.Turz.San Tic Ltd Şti tarafından Kişisel Verilerin Korunması Kanunu’nun 7.maddesi ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca hazırlanmıştır.

Özdemirler Otomotiv İnş.Turz.San Tic Ltd Şti Türkiye’de yerleşik, tüzel kişiliği olan bir sermaye şirketi olarak faaliyetlerini yürütmektedir. Veri sorumlusu olarak Özdemirler Otomotiv İnş.Turz.San Tic Ltd Şti hakkındaki bilgiler aşağıda belirtildiği şekildedir.

Unvanı	:	Özdemirler Otomotiv İnş.Turz.San Tic Ltd Şti
Mersis Numarası	:	0662006027700017
Adresi	:	Ankara Caddesi no:315 Bornova/İZMİR
Telefonu	:	0 232 479 14 14
Fax	:	0 232 479 00 29
e-posta adresi	:	[email protected]
Kayıtlı Elektronik Posta (KEP)	:	[email protected]

İmha Politikası’nın amacı işlenmesi gerektiren sebeplerin ortadan kaldırılması halinde; i) kişisel verilerin muhafazası ve silinmesi amacıyla Kanun ve Yönetmelik’e uygun sürelerin belirlenmesi, ii) kişisel verilerin hangi süre ve koşullarda saklanacağına ilişkin bilgi sağlanması, iii) tutulması gereken kişisel verilerin Kanun ve Yönetmelik’e uygun olarak saklanmasının sağlanması, iv) tutulan kayıt ortamının belirlenmesi suretiyle saklanan kişisel verilere hızlı, kolay ve etkili erişimin sağlanması ve v) imha yöntemlerinin belirlenmesidir.

2.AMAÇ VE KAPSAM

Müşteriler, potansiyel müşteriler, çalışanlar, çalışan adayları, hizmet sağlayıcılar, ziyaretçiler, tedarikçiler, tedarikçi çalışanları ziyaretçiler ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamındadır. Kurum’un sahip olduğu ya da Kurum tarafından yönetilen bu kişisel verilerin işlendiği tüm kayıtlarında ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

3.TANIMLAR

İşbu Politika’da içerik aksini gerektirmedikçe:

“Açık Rıza”	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,
“Alıcı Grubu”	Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi,
“Anonim Hale Getirme”	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi,
“İlgili Kişi”	Kişisel verisi işlenen gerçek kişi,
“İlgili Kullanıcı”	Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler,
“İmha”	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
“Kanun”	24/03/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu
“Karartma”	Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemler,
“Kayıt Ortamı”	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,
“Kişisel Veri”	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi,
“Kişisel Veri İşleme Envanteri”	Kurumun iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel veri işleme amaçlarını, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırılmış olan envanter,
“Kurul”	Kişisel Verileri Koruma Kurulu
“Maskeleme”	Kişisel verilerinin belli alanlarının, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek şekilde silinmesi, üstlerinin çizilmesi, boyanması ve yıldızlanması gibi işlemler,
“Periyodik İmha”	Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda Politika’da belirtilen ve tekrar eden aralılarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,
“Veri Kayıt Sistemi”	Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi,
“Kişisel Verilerin İşlenmesi”	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem,
“Veri Sorumlusu”	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi,

anlamına gelmektedir.

4.ROLLER VE SORUMLULUKLAR

Kurum’un kişisel veri işleyen ve saklayan tüm sorumlu birim çalışanları kişisel verilerin korunması, saklanması, anonimleştirilmesi ve imha edilmesi için teknik ve idari tedbirlerin gereği gibi uygulanması konusunda gerekli hassasiyeti, dikkat ve özeni gösterir.

Veri yönetimi politikalarında görev alan personelin unvanları ve politikanın uygulanmasına bağlı görev tanımlarına ait dağılım Tablo 1’de verilmiştir.

Tablo-1: Görev dağılım tablosu

Unvan	Görev Tanımı
Veri Sorumlusu	Çalışanların, politikaya uygun hareket etmesinden sorumludur.
Veri Yönetimi Sorumlu Personeli	Politika’nın hazırlanması, yürütülmesi ve güncellenmesi ve denetiminden sorumludur.
Yönetici ve Çalışanlar	Departman bazında görevlerine uygun olarak politikanın yürütülmesinden sorumludur.
Bilgi İşlem Sorumlusu	Görevi dâhilinde olan süreçlerin saklama süresine uygunluğunun sağlanması, periyodik imha sürecinin yönetimi, Veri Sahiplerinin taleplerinin için gerekli kontrollerin yapılması

5.POLİTİKANIN ESASLARI

Kanun’un 7.maddesi uyarınca Kanun ve ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen işlenmesini gerektiren sebeplerin kişisel veriler re’sen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hale getirilir.

5.1.Kişisel Veri Saklama ve İmha Politikasının Hazırlanma Amacı

İşbu İmha Politikası Kanun’un 7.maddesi ile Yönetmelik hükümleri uyarınca, Kurumun işlenmesi gereken sebeplerin ortadan kalkması halinde kişisel verilerin ilgili kişisel verilerin ilgili kişinin talebi üzerine veya Kurum tarafından re’sen silinmesi, yok edilmesi veya anonim hale getirilmesi yükümlülüğünün yerine getirilmesini sağlamak amacıyla, Kurum tarafından tutulan kişisel verilen işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etmeye anonim hale getirme işlemlerinin dayanağını ve saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları açıklamaktadır.

5.2.Kayıt Ortamları

Kurum aşağıda detayları açıklanan kayıt ortamlarında veri işleme faaliyetlerini sürdürmektedir.

Fiziksel Ortam: Kâğıt dokümanlar, yazılı, basılı ve görsel ortamda saklanan fiziksel kayıtlar,

Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği yapısal veya yapısal olmayan ortamlardır.

Yapısal Ortam: Müşteri verileri gibi elektronik yapısal veri kayıtları. Yapı, düzen ve kayıtta tutulan veri unsurlarının toplulaştırılmış olarak sunumunu tanımlayan ve kaydın bütünlüğünü sağlayacak şekilde tüm veri unsurlarından oluşmaktadır.

Yapısal Olmayan Ortam: e-posta ve elektronik çizelge gibi elektronik dokümanlar. Örneğin; Kişisel bilgisayarlar, dosya paylaşım alanları, e-posta, mobil cihazlar, çıkartılabilir bellekler, veri güvenliği cihaz ve uygulamaları, sabit disk vb.

6.KİŞİSEL VERİLERİN SAKLANMASI VE İMHASINI GEREKTİREN HUKUKİ, TEKNİK YA DA DİĞER SEBEPLERE İLİŞKİN AÇIKLAMALAR

6.1.Kişisel Verilerin Saklanmasını Gerektiren Sebepler

6.1.1.Kişisel Verilerin Saklanmasını Gerektiren Hukuki Sebepler

6698 sayılı Kişisel Verilerin Korunması Kanunu,
6098 sayılı Türk Borçlar Kanunu,
6100 sayılı Hukuk Muhakemeleri Kanunu,
5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
4982 Sayılı Bilgi Edinme Kanunu,
3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun,
4857 sayılı İş Kanunu

6.1.2.Kişisel Verilerin Saklanmasını Gerektiren İşleme Amaçları

Kurum faaliyetleri çerçevesinde kişisel veriler, Kurum Kişisel Verilerin Korunması ve İşlenmesi Hakkında Kurum Politikası ekinde belirtilen amaçlarla işlenmektedir.

6.2.Kişisel Verilerin İmhasını Gerektiren Sebepler

Kişisel veriler ilgili kişinin talebiyle veya re’sen aşağıda sıralanan hallerden birinin varlığı halinde silinir, yok edilir veya anonim hale getirilir;

İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
Kanunun 11.maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
İlgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebinin Kurum tarafından yapılan başvurunun reddedilmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; İlgili Kişinin, KVK Kuruluna şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,

Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

7.1.Teknik Tedbirler

Yeni Teknolojik gelişmelere takip edilmekte ve özellikle siber güvenlik alanında sistemler üzerinde teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmekte ve yenilenmektedir.
Her bir departman özelinde belirlenen hukuksal uyum gereksinimleri çerçevesinde erişim ve yetkilendirme teknik çözümleri devreye alınmaktadır.
Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmektedir. Eski çalışanlara erişim kısıtlaması uygulanmakta, hesaplar kapatılmaktadır.
Kurum içi işleyiş gereğince alınan teknik önlemler ilgili kullanıcılara raporlanmakta, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilmektedir.
Virüs koruma sistemleri, firewall, Veri Açığı güvenlikleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kurulmaktadır.
Teknik konularda bilgili personel istihdam edilmektedir.
Kişisel verilerin toplandığı uygulamalardaki güvenlik açıklarını saptamak için uygulamalar düzenli olarak dış etki testine tabi tutulmakta ve bu testin sonuçlarına göre bulunan açıkların kapatılması sağlanmaktadır.

7.2.İdari Tedbirler

Çalışanlar, Şube ve markalara ait servislerde özellikle kişisel veri işleyen ilgili kullanıcılar ve tüm personel, kişisel verilere hukuka aykırı erişimi engellemek için alınacak idari tedbirler konusunda eğitilmektedir.
Departman bazında kişisel veri işlenme süreçleri dikkate alınarak hukuki uyum şirket içinde kişisel verilere erişim ve yetkilendirme süreçleri uygulanmaktadır.
Kurum ile çalışanlar arasında imzalanan sözleşmelerde hukuka uygun kişisel veri işleme faaliyetinin kapsamı anlatılmakta ve bu hususlara uygun davranılacağına dair taahhütler bulunmaktadır.
Kurum, tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmektedir.

8.KİŞİSEL VERİLERİN İMHA TEKNİKLERİ

Kişisel veriler Kurum tarafından ilgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda re’sen veya ilgili kişinin başvurusu üzerine ilgili mevzuata uygun olarak imha edilir. İmha teknikleri aşağıdaki maddelerde sıralanmıştır.

8.1.Kişisel Verilerin Silinmesi

Kişisel veriler Tablo-2 ‘de gösterilen tekniklerle silinir. Silinen yahut karartma uygulanan kişisel verilere sadece sistem yöneticisinin yahut görevli personelin erişilmesi sağlanır.

Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süresi dolan veriler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Tablo:2 Kişisel verilerin silme teknikleri

Ortam

Açıklama

Server’da yer alan kişisel veriler

Server’da yer alan kişisel veriler (saklanmasını gerektiren süre sona erenler) sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik ortamda yer alan kişisel veriler

Kişisel verilerden saklanmasını gerektiren sebepler ortadan kalktığında (süre bitimi, amacın gerekliliğinin ortadan kalkması gibi) sistem yöneticisi tarafından silme işlemi yapılır. (Sistem yöneticisi hariç diğer personellerin ilgili verilere erişmesi engellenir.)

Fiziksel ortamda yer alan kişisel veriler

Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süresi sona eren belgeler görevli personel tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır. (Görevli hariç hiçbir personelin bu belgelere ulaşması engellenir)

Taşınabilir ortamda yer alan veriler

Flash bellek, CD gibi taşınabilir ortamlarda yer alan kişisel verilerden süresi dolanlar sistem yöneticisi

tarafından şifrelenerek güvenli ortamlarda saklanması sağlanır.

8.2.Kişisel Verilerin Yok Edilmesi

Kişisel veriler Tablo-3 ‘de gösterilen tekniklerle yok edilir.

Tablo-3: Kişisel Verilerin Yok Edilmesi

Ortam

Açıklama

Sunucularda yer alan kişisel veriler

Kişisel verilerden saklanmasını gerektiren sebepler ortadan kalktığında (süre bitimi, amacın gerekliliğinin ortadan kalkması gibi) sistem yöneticisi tarafından geri getirilemeyecek şekilde yok edilir.

Elektronik ortamda yer alan kişisel veriler

Fiziksel ortamda yer alan kişisel veriler

Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için belgeler görevli personel tarafından kâğıt kırpma makinası ile yok edilir.

Taşınabilir ortamda yer alan veriler

CD, DVD gibi manyetik ortamlarda yer alan kişisel veriler, eritilme, yakılma, toz haline getirme, yüksek değerde manyetik alana maruz bırakılma gibi yöntemlerle tekrar okunamayacak hale getirilir.

8.3.Kişisel Verilerin Anonim Hale Getirilmesi

Kurum Kişisel Verileri, başka verilerle eşleştirilse dahi hiçbir surette kişinin kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirmektedir.

Kişisel veriler, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmektedir.

9.SAKLAMA VE İMHA SÜRELERİ

Kurum tarafından işlenmekte olan kişisel verilerle ilgili olarak; ilgili kişisel veri bazında saklama süreleri “Kişisel Veri İşleme Envanterinde”, veri kategorileri bazında saklama süreleri VERBİS sisteminde, süreç bazında saklama süreleri ise “Kişisel Veri Saklama ve İmha Politikasında” yer alır. Söz konusu saklama süreleri üzerinde, gerekmesi halinde Kurum tarafından güncellemeler yapılır.

Tablo-4: Saklama ve İmha Süreleri

İş Süreci	Saklama Süresi	İmha Süresi
Müşteri Bilgileri	Türk Ticaret Kanunu 82. madde uyarınca ticari defter ve kayıtlara dayanak teşkil eden faturaların düzenlenmesine esas bilgiler anılan kanun maddesi gereği 10 yıl süre ile bunun dışındaki Müşteri Bilgileri ise işlendikleri amaç için gerekli olan süre kadar saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Özlük Bilgileri	Hizmet akdi sona erdikten sonra 10 yıl.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Çalışanların Kişisel Sağlık Dosyaları	İş Sağlığı ve Güvenliği mevzuatına göre kişisel sağlık dosyalarının 10 yıl saklanması gerekmektedir.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Çalışan Adayı Bilgileri	En fazla 2 yıl olmak üzere, güncelliğini yitirinceye kadar saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Ziyaretçi Bilgileri	2 yıl süre ile saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İş Ortağı ve Danışman Bilgileri	Şirket ile olan ilişkisi süresince ve sona ermesinden itibaren 10 yıl süre ile saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Firmalar Tarafından Şirket ile Paylaşılan Bilgiler	Şirket ile olan ilişkisi süresince ve sona ermesinden itibaren Türk Borçlar Kanunu 146. maddesi uyarınca 10 yıl süre ile saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Müşteri	Müşteri’nin, satın almış olduğu her bir ürün/hizmetin sunulmasından itibaren Türk Borçlar Kanunu md.146 ile Türk Ticaret Kanunu md.82 uyarınca 10 yıl süre ile saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Müşteri/Potansiyel Müşteri Talepleri ve Şikâyetleri	Talep ve/veya şikâyet tarihinden itibaren 10 yıl süre ile saklanır.	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Santral Kayıtları Ses Verileri	2 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Finans ve Muhasebe İşlerinin Yürütülmesi	Faaliyetin sona ermesinden sonra 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Sözleşme Süreçlerinin Yürütülmesi	Faaliyetin sona ermesinden sonra 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Saklama ve Arşiv Faaliyetlerinin Yürütülmesi	Faaliyetin sona ermesinden sonra 10 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde

10.PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11 inci maddesi gereğince Kurum tarafından, her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir

11.POLİTİKA’NIN YAYINLANMASI, SAKLANMASI ve GÜNCELLENMESİ

İşbu Politika yayımlandığı tarihten itibaren yürürlüğe girer. Politika, ihtiyaç duyuldukça mevzuattaki ve faaliyet süreçlerindeki değişikliğe göre gözden geçirilir ve gerekli olan bölümler güncellenir.

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

ÖZDEMİRLER OTOMOTİV KİŞİSEL VERİLERİN İŞLENMESİ HAKKINDA AYDINLATMA METNİ