KİŞİSELVERİLERİ SAKLAMA VE İMHA POLİTİKASI

1. AMAÇ

İşbuKişisel Verileri Saklama ve İmha Politikası (“Politika”),HASÇELİKSANAYİ VE TİCARET ANONİM ŞİRKETİ (“HASÇELİK”veya “Şirket”)tarafından işlenen ve saklanan kişisel verilerin saklanma ve sonrasında silinmesi, yok edilmesi veya anonim hale getirilmesi şeklindeki imha işlemlerine ilişkin usul ve esasların belirlenmesi amacıyla hazırlanmıştır.

İş bu Politika ile Şirket, kişisel verilerin işlenmesi faaliyetlerine konu veri öznelerinin (ilgili kişilerin) kişisel verilerinin saklanması ve imha edilmesine ilişkin Şirket’in genel ilke ve prensiplerinin ortaya konulması ve bu hususlarla yasal düzenlemelerle belirlenen yükümlülüklerin Şirket ve Şirket’in Veri İşleyenleri tarafından yerine getirilmesini hedeflemektedir.

İşbuPolitika’da aksi belirtilmedikçe, Politika ile atıf yapılan dokümanlar hem basılı hem de elektronik kopyaları kapsamaktadır.

İş bu Politika, kişisel veri niteliği taşımayan verilere uygulanmaz.

Kişiselverilerin saklanması ve imhasında aşağıdaki ilkeler geçerli olacaktır:

-6698sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK/KVKKanunu”)4. maddesindeki genel ilkeler ve Yönetmelik’in 7. maddesindeki ilkelere uyulacaktır.

-Şirket,işbu Politika’yı hazırlamış olmanın tek başına kişisel verilerin mevzuata uygun olarak imha edildiği anlamına gelmeyeceğini kabul etmektedir.

-Şirket,kişisel verilerin saklanması yahut imhasında, iş bu Politika’yave mevzuata uygun hareket edeceğini kabul, beyan ve taahhütetmektedir.

İlgili mevzuat düzenlemeleri ve iş bu Politika arasında bir uyumsuzluk olması halinde ilgili mevzuat düzenlemeleri esas alınacaktır.

2. KAPSAM

İşbuPolitika, aşağıdaki kişilere ait, edinilen kişisel verilerin saklanması ve imhası faaliyetlerini kapsamaktadır:

• Şirketimizinçalışanları, çalışan adayları, stajyerleri, eski çalışanları ve bu kişilerin aile yakınları,

• Topluluk şirketimizin çalışanları, çalışan adayları, eski çalışanları, stajyerleri ve bu kişilerin aile yakınları,

• Şirketimizinve topluluk şirketlerimizin temsilcileri, vekilleri ve hissedarları,

• İşortaklarımızın çalışanı, temsilcisi ve vekili,

• Müşterilerimizve potansiyel müşterilerimiz,

• Kamu/özel kurum ve kuruluş çalışanları,

• Hukuken yetkili kişiler,

• Ziyaretçilerimiz,

• Diğer üçüncü kişiler.

Bu kişi grubu tanımlarına ilişkin açıklamalara, EK-1’de yer verilmektedir.

İş bu Politika elektronik, fiziki ve diğer ortamlar üzerinden edindiğimiz ve elektronik, fiziki veya benzeri ortamda sakladığımız tüm kişisel verileri kapsayacaktır.

3. YETKİ VE SORUMLULUKLAR

BilgiTeknolojileri Müdürü:Politika Uygulama Yöneticisi olarak kişisel verilerin saklanmasüresine uygunluğunu ve periyodik imha işleminin koordinasyonunu sağlama ve yönetme

BilgiTeknolojileri Uzmanları:Politika Uygulama Sorumlusu olarak elektronik ortamdaki kişisel verilerin imhasını yürütme

GenelMüdür:Politika Uygulama Sorumlusu olarak fiziki ortamdaki kişisel verilerin imhasını yürütme ve görevlerine uygun olarak iş bu Politikanın yürütülmesinden sorumludur.

4. TANIMLAR VE KISALTMALAR

   Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
   Özel Nitelikli Kişisel Veri	Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
   İlgili Kişi	Kişiselverisi işlenen gerçek kişi.
   Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
   Açık Rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
   Anonim Hale Getirme	Kişisel verinin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
   Silme	Kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilememesi tekrar kullanılamaz hale getirilmesi işlemidir.
   Yok Etme	Bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesidir.
   İmha	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemidir.
   Periyodik İmha	Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemidir.
   Kayıt Ortamı	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
   Veri Kayıt Sistemi	Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
   KVK Kanunu	7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanan, 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu.
   Yönetmelik	28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
   Kurul	Kişisel Verileri Koruma Kurulu.
   Kurum	Kişisel Verileri Koruma Kurumu.
   Politika	KişiselVerileri Saklama ve İmha Politikası.
   Genel Politika	KişiselVerilerinin Korunması ve İşlenmesi Politikası.
   Veri Sorumlusu	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri yöneten kişidir.
   Veri İşleyen	Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir.
   Kişisel Veri İşleme Envanteri	Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçlarını, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve detaylandırdıkları envanteridir.
   Veri Sorumluları Sicili	Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca Kişisel Verileri Koruma Kurumu Başkanlığı tarafından kurulacak olan veri sorumluları sicilidir.
   Elektronik Ortam	Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlardır.
   Elektronik Olmayan Ortam	Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlardır.

5. KİŞİSEL VERİLERİ SAKLAMAYI VE İMHAYI GEREKTİREN SEBEPLER VE SÜRELERİ

HASÇELİKolarakhizmetlerimizi sunarken işlediğimiz kişisel verileri KVK Kanunu,Yönetmelik ve ilgili mevzuata uygun olarak yasal ve makul sürelerboyunca saklamakta ve bu sürelerin geçmesiyle beraber imhaetmekteyiz.

1. KişiselVerileri Saklamayı Gerektiren Sebepler

   1. SaklamayıGerektiren Hukuki Sebepler

HASÇELİK’in faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler aşağıda belirtilenlerle sınırlı olmamak üzere;

• 6698sayılı Kişisel Verilerin Korunması Kanunu,

• 6098 sayılı Türk Borçlar Kanunu,

• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,

• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,

• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,

• 4857 sayılı İş Kanunu,

• 6102 sayılı Türk Ticaret Kanunu,

• 213 sayılı Vergi Usul Kanunu,

• İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik,

• İş Sağlığı ve Güvenliği Eğitimlerinin Usul ve Esasları Hakkındaki Yönetmelik,

• İnternet Toplu Kullanım Sağlayıcıları Hakkındaki Yönetmelik,

• Ticari Elektronik İletiler ve Ticari İletişim Hakkında Yönetmelik,

• Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler

çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

HASÇELİK, KVK Kanunu’nun 5.ve 6. maddelerinde yer alan işleme şartları doğrultusunda, kişisel verilerin işlenmesini ve saklanmasını gerektiren sebeplerin bulunması halinde kişisel verileri saklamaktadır. HASÇELİK’in işleme şartları doğrultusunda yürüttüğü saklama faaliyetleri aşağıda örneklerle açıklanmaktadır.

2. SaklamayıGerektiren İşleme Amaçları

HASÇELİK, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar.

• İnsan kaynakları süreçlerini yürütmek.

• Ticari faaliyetleri yürütmek.

• Pazarlama faaliyetlerini yürütmek.

• Kurumsal iletişimi sağlamak.

• Kurum güvenliğini sağlamak.

• Finansve muhasebe işlerini yürütmek.

• İmzalanansözleşmeler ve protokoller neticesinde iş ve işlemleri ifaedebilmek.

• VERBİSkapsamında, çalışanlar, veri sorumluları, irtibat kişileri,veri sorumlusu temsilcileri ve veri işleyenlerin tercih veihtiyaçlarını tespit etmek, verilen hizmetleri buna göredüzenlemek ve gerektiği halde güncellemek.

• Yasaldüzenlemelerin gerektirdiği veya zorunlu kıldığı şekildehukuki yükümlülüklerin yerine getirilmesini sağlamak.

• HASÇELİKile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibatsağlamak.

• İleridedoğabilecek hukuki uyuşmazlıklarda delil bulundurmak.

• Verigüvenliğinin sağlanması faaliyetlerini yürütmek.

3. KişiselVerileri İmha Etmeyi Gerektiren Sebepler

HASÇELİK,aşağıdaki hallerde, kişisel verileri silmek, yok etmek veyaanonim hale getirmekle yükümlü olacaktır. HASÇELİKbu imha faaliyetini bu sürelerin bitmesini takip eden ilk periyodikimha işleminde gerçekleştirecektir.

Aşağıdakidurumlarda, HASÇELİKtarafından ilgili kişinin talebi üzerine silinir, yok edilir ya dare’sen silinir, yok edilir veya anonim hale getirilir.

• HASÇELİK’inkişisel verileri işlemek için meşru bir amacının bulunmaması,

• İşlenmesineesas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesiveya ilgası,

• İşlenmesiniveya saklanmasını gerektiren amacın ortadan kalkması,

• Kişiselverileri işlemenin sadece açık rıza şartına istinadengerçekleştiği hallerde, ilgili

kişininaçık rızasını geri alması,

• Kanunun11 inci maddesi gereği ilgili kişinin hakları çerçevesindekişisel verilerinin

silinmesive yok edilmesine ilişkin yaptığı başvurunun Kurum tarafındankabul edilmesi,

• HASÇELİK’in,ilgili kişi tarafından kişisel verilerinin silinmesi, yokedilmesi veya anonim hale getirilmesi talebi ile kendisine yapılanbaşvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya KVKKanunu’nda öngörülen süre içinde cevap vermemesi hallerinde;ilgili kişinin Kurula şikâyette bulunması ve bu talebin Kurultarafından uygun bulunması,

• Kişiselverilerin saklanmasını gerektiren azami sürenin geçmiş olmasıve kişisel verileri daha uzun süre saklamayı haklı kılacakherhangi bir şartın mevcut olmaması.

2. Saklamave İmha Süreleri

İşbu Bölümde belirlenen şartlar kapsamında, kişisel verileri saklama ve imha sürelerini içeren Saklama ve İmha Süreleri Tablosu (Ek-2) oluşturulmuştur. HASÇELİK, bu saklama ve imha sürelerine uygun olarak kişisel verileri saklayacak ve imha edecektir.

HASÇELİK, periyodik imha süresini mevzuata uygun bir şekilde 6 (altı) ay olarak belirlemiştir. Bu kapsamda HASÇELİK6 (altı) ayda bir saklanan kişisel verileri değerlendirmekte ve belirtilen saklama süresi sona eren kişisel verileri imha etmektedir. Bu sürenin sona ermesinden sonra saklama süresi dolan veriler bir sonraki ilk periyodik imha döneminde imha edilecektir.

Örnek olarak; HASÇELİK, 12 Kasım 2019 tarihinde iş başvurusu yapan çalışan adayının kayıtlarını makul süre olarak belirlediği 1 yıl boyunca tutabilecektir. 12 Kasım 2020 tarihinde bu sürenin sona ermesiyle beraber, HASÇELİKgerçekleştireceği ilk periyodik imha işleminde bu bilgileri imha etmekle yükümlüdür. Bu kapsamda, son periyodik imha işlemi, 10 Ekim 2020’de gerçekleştirilmişse, bu bilgiler en geç altı ay sonra, 10 Nisan 2021’de imha edilecektir.

6. KİŞİSEL VERİLERİ SAKLAMA ORTAMI

   1. ElektronikOlmayan Ortam

Kişisel veriler kağıt, form, belge, sözleşme veya herhangi bir basılı varlık olarak elektronik olmayan ortamda saklanabilecektir. Aşağıda, basılı varlıkların saklandığı ortamlar belirtilmiştir.

• HASÇELİKofislerinde bulunan kilitli dolaplar,

• HASÇELİKofislerinde ve depolarında bulunan panolar,

• HASÇELİKofislerindebulunan arşiv odası,

• HASÇELİKofislerinde bulunan çekmeceler ve klasörler.

Bukapsamda elektronik ortamdan elde ettiğimiz ancak sonrasındaçıktısını alarak veya kağıt, form veya belgede yazaraksakladığımız tüm kişisel verilerin de fiziki ortamda saklandığıkabul edilmiştir.

2. ElektronikOrtam

Kişisel veriler aşağıdaki elektronik ortamda saklanabilecektir.

• Masaüstü ve dizüstü bilgisayarlar,

• Mobil cihazlar,

• E-posta sunucuları,

• Sosyal medya hesaplarının mesaj kutuları,

• Yazılımlar ve bağlı olduğu Veritabanları (Yedekleme Yazılımı, Active Directory, SAP, Hybris, Jira, Eba, QDMS, Netsis, MII, ERP, SQL DB),

• Sistem odaları,

• Taşınabilir medya (USB Bellek, CD ve DVD vb.),

• Ağüzerinde veri saklanması için kullanılan disk sürücüleri.

Bukapsamda fiziki ortamda, sözlü veya basılı kağıt, form veyabelge olarak elde ettiğimiz ancak tamamen veya kısmen otomatik birsisteme kaydettiğimiz tüm kişisel verilerin de elektronik ortamdasaklandığı kabul edilmiştir.

7. KİŞİSEL VERİLERİN SAKLANMASINA İLİŞKİN GÜVENLİK TEDBİRLERİ

HASÇELİK,kişisel verilerin güvenli bir şekilde saklanmasını sağlamak,hukuka aykırı olarak işlenmesini önlemek ve kişisel verilerehukuka aykırı olarak erişilmesini önlemekle yükümlüdür. Buyükümlülük çerçevesinde HASÇELİKtarafından alınan idari ve teknik tedbirler aşağıda sayılmıştır:

1. İdariTedbirler

• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.

• Çalışanlara, kişisel verilerin güvenliğinin sağlanması, hukuka aykırı olarak açıklanmaması ve paylaşılmamasına ilişkin gerekli eğitim ve farkındalık çalışmaları yapılmaktadır.

• HASÇELİKtarafından yürütülen faaliyetlere ilişkin çalışanlardan gizlilik taahhüdü alınmakta ve spesifik faaliyetlere ilişkin gizlilik sözleşmeleri imzalatılmaktadır.

• Kişisel veri güvenliğine ilişkin şirket içi prosedürlere/ politikalara/ talimatlara uymayan çalışanlara karşı disiplin prosedürü uygulanmaktadır.

• Kişisel veri işlemeye başlamadan önce, HASÇELİKtarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.

• Kişiselveri işleme envanteri hazırlanmış olup gerekli güncellemeleriyapılmaktadır.

• Erişim,bilgi güvenliği, kullanım, saklama ve imha konularında kurumsalpolitikalar hazırlanmış olup uygulanmakta ve gerekligüncellemeler yapılmaktadır.

• Kişiselveri güvenliği politika ve prosedürleri belirlenmiştir. Kişisel veri güvenliği politika ve prosedürlerine uyumun takibi yapılmaktadır.

• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

• Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği raporlanmaktadır.

• Kişisel verilerin kullanımı iş amaçları doğrultusunda mümkün olduğunca, veri minimizasyonuna uygun olarak azaltılmaktadır.

• Kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin işlenmesi, korunması ve güvenliğine ilişkin sözleşmeler imzalanmakta veya mevcut sözleşmeye buna ilişkin hükümler eklenmektedir.

• HASÇELİKbünyesinde gerçekleştirilen kişisel veri işleme faaliyetleri iş birimleri özelinde analiz edilerek, iş birimlerinin yalnızca faaliyetlerini gerçekleştirme amacıyla kişisel veri işlemesi sağlanmaktadır.

• Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı politika belirlenmiştir.

• Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.

2. TeknikTedbirler

• Periyodik olarak sızma testleri ile bilgi sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.

• Bilgi teknolojilerine dair riskler, etkin risk değerlendirme ve cevap verme süreçleri ile yönetilmektedir.

• Tüm teknik konular, HASÇELİKtarafından görevlendirilen/istihdam edilen yetkin personel ve/veya üçüncü kişiler tarafından incelenmektedir.

• Görev değişikliği olan ya da işten ayrılan çalışanların erişim yetkileri ivediklikle kaldırılmaktadır.

• Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.

• Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.

• Bilgi sistemleri üzerinde güvenli olduğu kabul edilen protokoller kullanılmaktadır.

• Çalışanların fiziki ve elektronik sistemlere erişmelerine yönelik yetki matrisleri oluşturulmakta ve güncellenmektedir.

• Kişisel veri içeren ortamların güvenliği sağlanmaktadır. Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır. Bu fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

• Kişisel verilerin işlendiği sistemlerin bulunduğu alanların fiziki güvenliği sağlanmış ve yetkisiz erişim, yangın, sel, deprem, nem, vb. risklere karşı korunmaktadır.

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır. Ağlar kullanım amaçlarına göre sanl ağlara ayrılmaktadır.

• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

• Kablosuz ağlar şifrelenmekte ve yetkisiz erişimlere izin verilmemektedir.

• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır. Sistem geliştirme süreçlerinde güvenlik bakış açısı ile sistem edinimleri sağlanmaktadır.

• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.

• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.

• HASÇELİKinternet sayfasına erişimde güvenli protokol (HTTPS) kullanılmaktadır.

• Sistemlere uygun güvenlik yamaları zamanında yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.

• HASÇELİKsistemlerinde güçlü parolalar kullanılmaktadır.

• Gerektiğindeveri maskeleme önlemi uygulanmaktadır.

• Tümsunucu ve istemcilerde güncel anti-virüs sistemlerikullanılmaktadır.

• Güvenlikduvarları kullanılmakta ve yönetilmektedir.

• Verilereerişim yetkisine sahip kullanıcıların yetki kapsamları vesüreleri belirlenmektedir.

• Sistemlereerişim yetkileri periyodik sürelerde gözden geçirilmektedir.

• Kişiselverilerin güvenli olarak saklanmasını sağlayan veri yedeklemeprogramları kullanılmaktadır.

• Üçüncütarafların Şirket ağına erişimi ve kişisel verilerin üçüncükişiler ile paylaşılması sürecinde VPN ve loglama önlemleriuygulanmaktadır.

• Özelnitelikli kişisel veriler dahil kişisel verilerin işlendiği,muhafaza edildiği ve/veya erişildiği elektronik ortamlar sıkıerişim yönetimleri kullanılarak muhafaza edilmekte, tüm işlemkayıtları mevzuata uygun şekilde loglanmaktadır.

• Özelnitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veyaerişildiği fiziksel ortamların yeterli güvenlik önlemlerialınmakta, fiziksel güvenliği sağlanarak yetkisiz girişçıkışlar engellenmektedir.

• Özelnitelikli kişisel veriler e-posta yoluyla aktarılması gerekiyorsaancak ve ancak şifreli olarak kurumsal e-posta adresiyle veya KEPhesabı kullanılarak aktarılmaktadır. Farklı fizikselortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa,sunucular arasında VPN – MPLS vb. kurularak veri aktarımıgerçekleştirilmektedir. Kağıt ortamı yoluyla aktarımıgerekiyorsa evrakın çalınması, kaybolması ya da yetkisizkişiler tarafından görülmesi gibi risklere karşı gerekliönlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

• Teknikgüvenlikle ilgili olarak uzman dış kaynaklardan danışmanlıklaralınmaktadır.

8. KİŞİSEL VERİLERİN İMHA EDİLMESİNE İLİŞKİN TEDBİRLER

   1. İmhaİşlemleri

      1. KişiselVerilerin Silinmesi

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir. HASÇELİK, bunun için kullanıcı seviyesinde erişim yetki ve kontrol matrisi oluşturur ve bunu bir politika çerçevesinde uygulamaya alır. Veri tabanında silme işleminin gerçekleştirilmesi için gerekli tedbirleri alır.

2. KişiselVerilerin Yok Edilmesi

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir.

3. KişiselVerilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir.

2. Kullanılacakİmha Teknikleri

HASÇELİK, kişisel verileri Kurumun yayınladığı Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Rehberi’ne uygun olarak imha edecektir. Aşağıda HASÇELİK’in uygulayacağı imha tekniklerinden birkaçı örnek olarak verilmiştir.

1. SilmeTeknikleri

SilmeKomutu ile Silme:Elektronik veri ortamında bulunan silme komutuyla kişisel verilerinsilinmesidir. Silinen veriler hiçbir şekilde erişilemez ve tekrarkullanamaz hale gelecektir.

YazılımAracılığıyla Silme:Güvenli bir silme işlemenin sağlanması için kişisel verilerinuygun bir yazılım ile silinmesidir.

2. YokEtme Teknikleri

De-manyetize Etme: Manyetik medyanın özel bir cihazdan geçirilerek gayet yüksek değerde bir manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemidir.

Fiziksel Yok Etme: Optik medya ve manyetik medyanın fiziksel olarak yok edilmesi işlemidir.

Üzerine Yazma: Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının önüne geçilmesi işlemidir. Bu işlem, özel yazılımlar kullanılarak yapılmaktadır.

3. AnonimHale Getirme Teknikleri

Maskeleme:Kişisel verilerin kapatılması, üzerinin çizilmesi, yıldızlanması, elektronik olarak çıkartılması ve buna benzer yöntemlerdir. Örneğin Ahmet Yıldırım yerine A***** **Y*** veya ismin üzerini yıldızlanabilecektir.

Genelleştirme:İlgili kişisel veriyi, özel bir değerden daha genel bir değere çevirme işlemidir.

9. KİŞİSEL VERİLERİN PERİYODİK İMHA SÜRESİ

Şirket’inuhdesinde bulunan kişisel veriler belirli periyodik aralıklarlakontrol edilecek ve bu verilerden işleme şartları tamamen ortadankalkmış olanlar silinecek, yok edilecek ya da anonim halegetirilecektir.

Periyodikİmha, tüm kişisel veriler için 6 (altı) aylık zamanaralıklarında gerçekleştirilir. Anılan süre, her hal ve koşuldaYönetmelik’in 11. maddesinde belirtilen azami periyodik imhasüresini aşmamaktadır. Şirket, ilgili mevzuat kapsamındaKurul’un süreleri kısaltması durumunda, yeni sürelere uyumsağlayacağını taahhüt eder.

Kişiselverilere uygulanacak bu periyodik inceleme ve imha işlemleri Şirkettarafından oluşturulan Kişisel Veri İşleme Envanteri’nde yeralmaktadır.

İmhakapsamında gerçekleştirilen tüm işlemler Şirket tarafındankayıt altına alınmakta ve söz konusu kayıtlar, diğer hukukiyükümlülükler hariç olmak üzere en az 3 (üç) yıl süreylesaklanmaktadır. Şirket’in diğer hukuki yükümlülüklerdenkaynaklanan Kişisel Veri saklama hakları saklıdır.

10. KİŞİSEL VERİLERİ RESEN SİLME, YOK ETME VEYA ANONİM HALE GETİRME SÜRELERİ

Kişiselverileri silme, yok etme veya anonim hale getirme yükümlülüğününortaya çıktığı tarihi takip eden ilk periyodik imha işleminde,kişisel verileriniz silinecek, yok edilecek veya anonim halegetirilecektir. Bu süre herhalde 6 (altı) ayı aşamayacaktır.

Telafisigüç veya imkânsız zararların doğması ve açıkça hukukaaykırılık olması halinde, Kurul bu maddede belirlenen süreyikısaltabilecektir.

11. REFERANSLAR VE DAYANAK

KişiselVerilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi HakkındaYönetmelik

12. POLİTİKANIN YÜRÜRLÜĞÜ

İşbu Politika’nın birinci versiyonu Şirket’in tüm kişisel veri işleme faaliyetlerine uygulanmak üzere Şirket Yönetim Kurulu tarafından onaylanarak yürürlüğe girmiştir.

İşbu Politika’nın hazırlanmış olduğu Türkçe dilindeki metni ile Şirket tarafından yayınlanan herhangi bir dildeki çeviri metni arasında bir uyuşmazlık çıktığı hallerde, Türkçe metin esas alınacaktır.

EK-1KİŞİ GRUPLARI

EK-2SAKLAMA VE İMHA SÜRELERİ TABLOSU

Aşağıda yer alan tablodaki süreçlere ilişkin saklama süreleri, işbu Politika’nın yürürlüğe girdiği tarihteki mevzuat esas alınarak belirlenmiştir. Söz konusu süreler, ilgili kişi tarafından dava açılması halinde kesintiye uğrayacak ve davaya konu kişisel veriler en az dava kesinleşene kadar bir hakkın korunması hukuki sebebine dayanarak saklanacaktır.

10 yıllık zaman aşımıuygulanacaktır. Ancak bu durumda, zaman aşımı süresinin henüz dolan kısmı 5 yıldan az ise; kalan süre 5 yılla tamamlanınca zaman aşımı süresi dolmuş olur. Zaman aşımı süresi dolduğunda kişisel veriler imha edilmektedir.