GDPR
GENERAL DATA PROTECTION REGULATION
- Policy, Scope and Purpose
- The Board of Directors and management of Cesur Ambalaj ("Company") are committed to comply with the principles and rules introduced by the Constitution of the Republic of Turkey, the General Data Protection Regulation No. 6698 (GDPR) and other legislation regarding the protection of personal data and to protect the rights and freedoms of individuals whose data are processed by the Company. To this end, the Board of Directors has adopted a written personal data protection policy and system to be implemented and developed.
- Scope
The provisions of the Policy cover all information systems and sub-information, contracts, environmental and physical areas, and the systems and regulations produced for all these, which are involved in the processing of personal data in the Company's fields of activity and fields of activity.
This policy covers the Company's units, support company personnel, visitors, third parties, interns and contracted personnel.
- Purposes of the General Data Protection Regulation and System
The purpose of the General Data Protection Regulation and System is to ensure that the Company establishes and realizes its own standards in the management of personal data; to determine and support organizational goals and obligations, to establish control mechanisms in accordance with the acceptable risk level; to fulfill its obligations in accordance with international conventions, the Constitution, laws, contracts and professional rules in the field of personal data protection and to protect the interests of individuals in the best way.
- The Company will comply with personal data protection legislation and data protection principles. The data protection principles adopted by the Company include the following:
- Process personal data only if it is clearly necessary for legitimate corporate purposes;
- To process the minimum amount of personal data necessary for these purposes and not to process more data than necessary;
- Providing individuals with clear information about how and by whom their personal data is used;
- Process only relevant and appropriate personal data;
- To process personal data in accordance with equity and law;
- Keeping an inventory of the categories of personal data processed by the Company;
- Keeping personal data accurate and updated when necessary;
- To store personal data only for as long as required by legal regulations and the Company's legal obligations or legitimate corporate interests;
- Respect the rights of individuals in relation to their personal data, including the right of access;
- Keeping all personal data secure;
- To apply the exceptions permitted under the legislation;
- Establish and implement a personal data protection system for the implementation of the Policy;
- When necessary, to determine the internal and external stakeholders who are parties to the personal data protection system and the extent to which they are involved in the Company's personal data protection system;
- Identify the personnel/s with special authorizations and responsibilities related to the personal data protection system.
Declarations
- The Company informs the General Data Protection Board ("GDP Board") that it is the data controller and which categories of personal data it processes in this capacity, and determines all categories of personal data it processes in the personal data inventory.
- The notification shall be made in accordance with the procedure and method to be determined by the GDP Board and a copy of the notification shall be kept by the General Data Protection Committee (GDP Committee) .
- Notifications are periodically repeated and updated if deemed necessary by the relevant legislation or the GDP Board.
- The GDP Committee reviews the Company's data processing activities and changes in them annually in order to identify potential changes that may occur in the notification made to the GDP Board and informs the GDP Board if necessary.
The Company's disciplinary legislation will be applied to any actions of all units of the Company, support company personnel, interns and contracted personnel that violate this policy, and if the violation in question constitutes a crime or misdemeanor, the situation will be reported to the relevant authorities as soon as possible.
The Company's solution partners and all third parties working with the Company who have access or potential access to personal data are invited to read and comply with this policy. No third party may gain access to personal data processed by the Company without a written confidentiality agreement that includes obligations with standards at least as strong as the Company on the protection of personal data and the Company's right to audit them.
- Definitions
Explicit consent: Consent on a specific subject, based on information and expressed with free will,
Anonymization: Making personal data impossible to be associated with an identified or identifiable natural person under any circumstances, even by matching with other data,
Relevant person: The person whose personal data is processed
Personal data: Any information relating to an identified or identifiable person,
Sensitive personal data: Data relating to race, ethnic origin, political opinion, philosophical belief, religion, sect or other beliefs, appearance and dress, membership to associations, foundations or trade unions, health, sexual life, criminal convictions and security measures, and biometric and genetic data,
Processing of personal data: All kinds of operations performed on personal data such as obtaining, recording, storing, retaining, modifying, reorganizing, disclosing, transferring, taking over, making available, classifying or preventing the use of personal data by fully or partially automatic means or by non-automatic means provided that it is part of any data recording system,
GDPR Law No. 6698 on the Protection of Personal Data,
GPDR Board Personal Data Protection Board,
GPDR Authority: Personal Data Protection Authority,
Data processor: A natural or legal person who processes personal data on behalf of the data controller based on the authorization granted by the data controller,
Data recording system: The recording system in which personal data are structured and processed according to certain criteria,
Data Controller: The natural or legal person who determines the purposes and means of processing personal data and is responsible for the establishment and management of the data recording system
ifade eder.
- Duties and Responsibilities
- The Company is the data controller in accordance with KVKK.
- All personnel, especially those in senior management, executive and auditor positions, are responsible for developing and promoting the right practices in the processing of personal data within the Company, as well as other obligations related to this issue included in their individual job descriptions.
- The GDP Committee has been established as the unit in charge of managing the personal data protection system and ensuring and documenting compliance with the GDP Law and other relevant legislation and is responsible to the Board of Directors in these matters.
- GPD Committee
The members of the GDP Committee are appointed by the Board of Directors, taking into account their expertise and experience in personal data protection legislation and practices, and report directly to the Board of Directors.
The GDP Committee consists of the Information Security Unit, Human Resources Unit and other unit employees assigned in this field.
The meetings are also attended by the legal advisor who provides consultancy to the Company in the field of GPDR.
The Committee meets at least once every 3 (three) months to discuss risks and make assignments.
The e-mail address of the Company GPDR Committee is 'kvkk@cesur.com.tr'.
- Duties and Responsibilities of the GDP Committee
- The Committee should inform the Board of Directors on Personal Data Protection legislation and developments.
- The Committee is responsible for ensuring that the Company's policies and procedures are up to date and that data processing audits are carried out in accordance with the planned schedule and that they comply with the relevant legislation.
- The Committee acts together with all relevant personnel on personal data protection issues.
- The main duties and responsibilities of the Committee are as follows:
- Providing information and advice to relevant partners and support service providers on personal data protection legislation and compliance issues.
- Providing information and advice to its personnel on their obligations under personal data protection legislation.
- Monitor compliance of data processing activities with personal data protection legislation.
- Contribute to the development and maintenance of a personal data protection policy and related procedures and processes.
- To assign responsibilities within the Company in the context of compliance with personal data protection legislation.
- To ensure that all personnel involved in personal data processing processes are provided with the necessary training and awareness.
- To observe compliance with the Personal Data Protection legislation by conducting regular audits and reporting to the Board of Directors.
- To act in cooperation and liaison with the PDP Board.
- To determine the responsible persons who will function as the contact point and representative of the Company before the PDP Board.
- Develop a formal procedure for reporting personal data breach incidents and investigations to the Board.
- Providing information and advice on the retention of corporate records.
- To ensure the extent to which personal data is collected, kept and used within the Company and the conditions of their storage in accordance with the relevant legislation.
- To carry out oversight and assessments regarding compliance, reasonableness, security practices and other controls that may be necessary for the protection of personal data.
- Identify and implement controls to ensure the confidentiality, integrity and accessibility of personal data, and recommend additional controls that may be necessary.
- To present the issues that pose potential risks in terms of personal data within the Company and the related suggestions to the agenda of the Board of Directors.
- The PDP Committee is authorized to audit the Company in all systems related to the collection, processing and storage of personal data. While fulfilling its duties, the PDP Committee may request cooperation from all personnel, including access to systems and records. If this cooperation is not provided, the Committee reports the situation to the Board of Directors.
- All personnel of the Company who process personal data are responsible for acting in accordance with the Personal Data Protection legislation.
- The Human Resources unit is responsible for the realization of the necessary notifications and trainings so that all personnel are aware of their responsibilities in the field of personal data protection and have the necessary awareness.
- Company personnel are obliged to ensure the accuracy and currency of all personal data provided to the Company by or relating to them.
- Data Protection Principles
All personal data processing activities must be carried out in accordance with the following data protection principles. The Company's policies and procedures aim to ensure compliance with these principles:
- Compliance with the law and good faith.
- Being accurate and up to date when necessary.
- Processing for specific, explicit and legitimate purposes.
- Being relevant, limited and proportionate to the purpose for which they are processed.
- Retention for the period stipulated in the relevant legislation or required for the purpose for which they are processed.
- Personal data is processed in accordance with the law and good faith and in a transparent manner.
In this direction, the Company includes disclosure text/privacy notices in data collection channels and related areas regarding the personal data processing activities it performs. The PDP Committee determines the areas where these notifications, which contain clear and understandable information about which data about whom and for what purposes are processed by the Company, will take place and be announced. The following issues are included in these notifications:
- Identity and contact information of the Company as the data controller,
- KVK Committee and contact information,
- Types of personal data processed,
- Purposes of processing personal data,
- The envisaged retention period of the personal data,
- Rights of the data subject,
- Third parties with whom the data may be shared.
- Personal data may only be processed for specific, explicit and legitimate purposes.
- In the personal data inventory, the reasons/purposes for processing personal data are determined and personal data cannot be used for purposes other than the stated purpose without any other legal justification or the explicit consent of the data subject.
- In the event that conditions arise that require the use of personal data for purposes other than those specified in the personal data inventory, this situation is notified to the Liaison Officer / KVK Committee by the relevant personnel / unit. The PDP Committee checks the suitability of the new purpose and, if necessary, ensures that the data subject is informed about the new purpose and the new data processing activity.
- Personal data must be appropriate and relevant and processed to a limited extent for the purpose.
- KVK Komitesi işleme amacı için açıkça gerekli olmayan kişisel verilerin toplanmadığını ve işlenmediğini sağlamakla yükümlüdür.
- Elektronik ve fiziksel tüm veri toplama formları ve bilgi sistemlerindeki veri toplama mekanizmaları KVK Komitesince onaylanmak koşuluyla uygulanır.
- KVK Komitesi periyodik olarak, kişisel veri envanteri üzerinden işlenen verilerin uygun ve ilgili olduğunu denetler.
- KVK Komitesi yıllık bazda tüm veri işleme yöntemlerinin uygun ve ilgili olduğunu denetler.
- KVK Komitesi, uygun ya da ilgili olmadığı veya işleme amacı bakımından gereğinden fazla olduğunu tespit ettiği kişisel veriler bakımından veri işleme faaliyetinin durdurulmasından ve işlenmiş verilerin saklama ve imha prosedürü uyarınca güvenli bir şekilde imha edilmesinden sorumludur.
- Kişisel veriler doğru ve güncel olmalıdır.
- Uzun süre boyunca tutulan verilerin doğruluğu ve güncelliği gözden geçirilmelidir.
- İnsan Kaynakları biriminin yöneticisi tüm personelin, kişisel verilerin doğru ve güncel olarak toplanması ve tutulması konusunda eğitilmesinden sorumludur.
- Personele ilişkin tutulan verilerin doğruluğu ve güncelliği, ilgili personelin kendi sorumluluğundadır. Yöneticiler bu konuda çalışanları bilgilendirecektir.
- Personeller/ müşteriler ve diğer ilgili kişiler işlenen kişisel verilerin güncellenmesi için
Şirket’i bilgilendirmelidir. Bu şekilde bir bildirim yapılması üzerine söz konusu kaydın düzeltilmesi ve güncellenmesi ilgili birimin sorumluluğundadır. İlgili güncellemeyi yapmayan birim yöneticisi Disiplin Prosedürü uyarınca sorumlu olacaktır.
- KVK Komitesi veri envanteri üzerinden, işlenen verinin türü, saklama süresi ve miktarı üzerinde yapacağı değerlendirme ile belirli verilerin doğruluğunun veya güncelliğinin gözden geçirilmesi için ilgili birime talimat verebilir.
- Kişisel veriler, yalnızca veri işleme amacı bakımından gerekliyse işlenmelidir.
- Kişisel verilerin Back-up vb. gereklilikler nedeniyle gerekli sürenin ötesinde saklanması durumunda veri güvenliği zafiyeti durumlarında bireylerin hal ve özgürlüklerinin korunması için kişisel veriler şifrelenmeli veya anonimleştirilmeli/maskelenmelidir.
- Kişisel verilerin saklama ve imha tabloları ve prosedürlerinde belirlenmiş sürelerin sonrasında işlenmesi için KVK Komitesinin yazılı onayına bağlıdır.
- Veri Sahiplerinin Hakları
Veri sahipleri haklarındaki Şirket nezdindeki veri işleme faaliyetleri ve kayıtlara ilişkin olarak aşağıdaki haklara sahiptir:
- Kişisel verisinin işlenip işlenmediğini öğrenme,
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
- Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
- Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
- Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
- KVKK veya bu politika uyarınca işlenmesi için hukuka uygun bir gerekçe veya dayanak bulunmayan kişisel verilerin silinmesini veya yok edilmesini isteme,
- İsteği üzerine yapılan düzeltme veya silme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
- Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.
Veri sahipleri, kişisel verilerine erişme ve yukarıda sayılan haklarını kullanma talebinde bulunabilirler. Bu talepler İrtibat Sorumlusu/KVK Komitesine iletilir ve Komite tarafından 30 gün içerisinde cevap verme işlemi yerine getirilir. Taleplerin alınması, iletilmesi ve sonuçlandırılmasına ilişkin süreçler talep yönetim prosedürü uyarınca gerçekleştirilir.
Veri sahipleri taleplerini KVKK Başvuru Formu’nu doldurmak suretiyle Cumhuriyet Mah.Yüzyıl Cad. No:64 34876 Kartal Istanbul Türkiye adresine noter vasıtasıyla veya iadeli taahhütlü mektup vasıtasıyla kimlik teyidi yapmak suretiyle veya cesur.tr adresine veya kvkk@cesur.com.tr adresinden iletebilirler.
Şirket’in tüm personeli, görev tanımı ne olursa olsun kendisine yönelmiş veri sahibi erişim taleplerine yönelik olarak doğru başvuru yöntemi konusunda veri sahiplerini yönlendirmekle yükümlüdür. Şirket personeli, veri sahiplerinden gelecek talepler konusunda nasıl hareket etmeleri konusunda bilgilendirilmeli ve eğitilmelidir.
- Açık Rıza Alınması
Şirket, veri sahibi tarafından belirli veri işleme faaliyetlerine ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle, hakkında veri işlenmesine ilişkin iradeyi ortaya koyan, yazılı/sözlü beyan veya açık doğrulayıcı eylemle açıklanan, rızayı açık rıza olarak kabul etmektedir. Hassas veriler bakımından açık rıza mutlaka yazılı olarak alınır. Açık rıza veri sahibi tarafından her zaman geri alınabilir.
Açık rıza, açık rıza formu şablonu veri sahibine imzalatılarak veya veri sahibiyle yapılacak sözleşme veya elektronik formda bu şablonda yer alan unsurlara yer verilmesi suretiyle alınabilir. Personeller, personel adayları ve müşterilere ilişkin rutin olarak işlenen kişisel veriler bakımından açık rıza, ilgili sözleşme veya formlar aracılığıyla alınır.
Açık rızaya dayanan veri işleme faaliyetinin süreklilik arz edecek veya tekrarlanacak olması halinde ilgili birimce tek bir liste halinde açık rızası alınmış kişilerin listesi tutulur. Bu listenin güncelliği ve doğruluğu ilgili birimin sorumluluğundadır. Açık rızaya dayanan veri işleme faaliyetine ilişkin açık rıza formları veya diğer ilgili ispat araçları ilgili birimce saklanır.
- Veri Güvenliği
Tüm personel, Şirket tarafından işlenen ve kendi sorumluluklarında olan kişisel verilerin güvenli olarak tutulmasını sağlamakla yükümlüdür.
Kişisel verilere, yalnızca bunlara erişimi gerekli olanlar erişebilmelidir.
Kişisel verilerin güvenliği, KVK Politikası ve buna bağlı dokümanlar uyarınca sağlanır.
Kişisel verilere ilişkin bilgi güvenliği olayları KVK Komitesince en kısa süre içerisinde KVK Kuruluna ve ilgili kişiye bildirilir.
- Veri Paylaşımı
- Kişisel veriler ancak hukuka ve hakkaniyete uygun olarak üçüncü kişilerle paylaşılabilir. Buna göre kişisel verilerin paylaşılabilmesi için aşağıdaki koşullardan birinin bulunması aranır:
- Veri sahibin açık rızasının alınmış olması.
- Kanunlarda açıkça öngörülmesi.
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
- Taraf olduğu ya da olacağı bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
- Hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
- İlgili kişinin kendisi tarafından alenileştirilmiş olması.
- Şirket’in haklarının tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Şirket’in meşru menfaatleri için veri işlenmesinin zorunlu olması.
- Kişisel veriler, ancak yukarıdaki koşulların sağlanması ve hedef ülkede yeterli korumanın bulunması ve veri sahibinin bu aktarım konusunda açık rızasının alınması koşuluyla yurtdışına aktarılabilir. Politika’nın yayın tarihi itibariyle güvenli ülkeler ilan edilmemiştir. Bu itibarla, aktarım kişilerinin taahhütnameleri Kurul’ca onaylanmadığı sürece Şirket, verileri açık rıza almaksızın yurtdışına aktarmaz.
- Kişisel verilerin paylaşımına ilişkin tüm işlemler gerekçeleriyle birlikte yazılı olarak kayıt altına alınmalıdır. KVK Komitesi bu kayıtların belirli periyotlarla denetlenmesini sağlar.
- Yasal bir dayanak veya hukuki yükümlülük olmaksızın düzenli bir veri paylaşma ilişkisinin söz konusu olması halinde, söz konusu tarafla veri paylaşımının koşullarını belirleyen bir KVKK Taahhütnamesi yapılır. KVKK Taahhütnamesi minimumda şunları içerir:
- Paylaşımın amacı veya amaçları;
- Potansiyel üçüncü kişi alıcılar veya alıcı türü ve erişim hakkı koşulları;
- Paylaşılacak veri kategorilerinin neler olduğu (bu amaçlarınız için gerekli minimum düzeyde tutulmalıdır);
- Verinin işlenmesine ilişkin genel ilkeler;
- Veri güvenliği tedbirleri;
- Paylaşılan verilerin tutulma süresi;
- Veri sahibinin hakları, erişim talepleri, başvuru ve şikâyetlere cevap verme prosedürleri;
- Paylaşım sözleşmesinin yürürlüğünün sona erdirilmesinin gözden geçirilmesi ve
- Sözleşmeye uyulmaması veya personelin bireysel ihlalinden dolayı sorumluluk ve yaptırımlar.
- Şirket Tarafından Yürütülen Kişisel Veri İşleme Faaliyetleri Kapsamında İşlenen Kişisel Veri İşleme Amaçları, Kişisel Veri Sahipleri, Kişisel Veri Kategorileri ve Paylaşılan Taraf Kategorileri
- Kişisel Veri İşleme Amaçları
Veri Sorumluları Sicil Bilgi Sistemi kapsamında Şirket tarafından yürütülen kişisel veri işleme faaliyetleri kapsamında veri işleme amaçları aşağıdaki gibidir:
- Acil Durum Yönetimi Süreçlerinin Yürütülmesi
- Bilgi Güvenliği Süreçlerinin Yürütülmesi
- Çalışan Adayı / Stajyer / Öğrenci Seçme Ve Yerleştirme Süreçlerinin Yürütülmesi
- Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
- Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
- Eğitim Faaliyetlerinin Yürütülmesi
- Faaliyetlerin Mevzuata Uygun Yürütülmesi
- Finans Ve Muhasebe İşlerinin Yürütülmesi
- Firma / Ürün / Hizmetlere Bağlılık Süreçlerinin Yürütülmesi
- Fiziksel Mekan Güvenliğinin Temini
- Görevlendirme Süreçlerinin Yürütülmesi
- Hukuk İşlerinin Takibi Ve Yürütülmesi
- İletişim Faaliyetlerinin Yürütülmesi
- İş Faaliyetlerinin Yürütülmesi / Denetimi
- İnsan Kaynakları Süreçlerinin Planlanması
- İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
- İş Süreçlerinin İyileştirilmesine Yönelik Önerilerin Alınması ve Değerlendirilmesi
- İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
- Lojistik Faaliyetlerinin Yürütülmesi
- Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
- Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
- Mal / Hizmet Satış Süreçlerinin Yürütülmesi
- Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi
- Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
- Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
- Pazarlama Çalışmalarının Yürütülmesi
- Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi
- Sözleşme Süreçlerinin Yürütülmesi
- Taşınır Mal Ve Kaynakların Güvenliğinin Temini
- Tedarik Zinciri Yönetimi Süreçlerinin Yürütülmesi
- Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
- Ücret Politikasının Yürütülmesi
- Yabancı Personel Çalışma Ve Oturma İzni İşlemleri
- Ziyaretçi Kayıtlarının Oluşturulması Ve Takibi
- Kişisel Veri Sahipleri
| KİŞİSEL VERİ SAHİBİ KATEGORİSİ | AÇIKLAMA |
| Çalışan Adayı | Herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini Şirket’in incelemesine açmış olan gerçek kişiler. |
| Çalışan | Şirket tarafından yürütülen etkinlik, çalışan memnuniyeti, insan kaynakları, denetim, bilgi teknolojileri güvenliği ve altyapısının sağlanması, hukuki uyum vb faaliyetler çerçevesinde kişisel verileri işlenen çalışanlar. |
| Hissedar Ortak | Şirket hissedarı gerçek kişiler |
| Stajyer | Şirket tarafından yürütülen etkinlik, çalışan memnuniyeti, insan kaynakları, denetim, bilgi teknolojileri güvenliği ve altyapısının sağlanması, hukuki uyum vb faaliyetler çerçevesinde kişisel verileri işlenen stajyerler. |
| Tedarikçi Çalışanı | Şirket ticari faaliyetlerini yürütürken Şirket emir ve talimatlarına uygun olarak sözleşme temelli olarak Şirket’e hizmet sunan taraf çalışanı. |
| Tedarikçi Yetkilisi | Şirket’e ticari faaliyetlerini yürütürken Şirket’in emir ve talimatlarına uygun olarak sözleşme temelli olarak Şirket’e hizmet sunan taraf yetkilisi. |
| Müşteri (Ürün veya Hizmet Alan Kişi) | Şirketi ile herhangi bir sözleşmesel ilişkisi olup olmadığına bakılmaksızın Şirket iş birimlerinin yürüttüğü operasyonlar kapsamında iş ilişkileri üzerinden kişisel verileri elde edilen gerçek kişiler. |
| Potansiyel Ürün veya Hizmet Alıcısı | Şirket ile herhangi bir sözleşmesel ilişkisi olmaksızın Şirket iş birimlerinin yürüttüğü operasyonlar kapsamında iş ilişkileri üzerinden kişisel verileri elde edilen gerçek kişiler. |
| Ziyaretçi | Şirket’in sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan veya internet sitelerimizi ziyaret eden gerçek kişiler |
| Diğer (3.Kişi) | Şirket’in ile bir şekilde ilişki içerisinde bulunup yukarıda tanımlar kapsamına giremeyen gerçek kişiler |
- Kişisel Veri Kategorileri
| KİŞİSEL VERİ KATEGORİLERİ | AÇIKLAMA |
| Kimlik Bilgisi | Kişinin kimliğine dair bilgilerin bulunduğu verilerdir; ad-soyad, T.C. kimlik numarası, uyruk bilgisi, doğum yeri, doğum tarihi, cinsiyet, işyeri bilgisi, sicil no., vergi numarası, unvan, biyografi vb. bilgiler ile ehliyet, mesleki kimlik, nüfus cüzdanı ve pasaport gibi belgeler |
| İletişim Bilgisi | Telefon numarası, adres, e-mail adresi, faks numarası vb. bilgiler |
| İşlem Güvenliği Bilgisi | Faaliyetlerimizin yürütülmesi sırasında teknik, idari, hukuki ve ticari güvenliğimizi sağlamamız için işlenen kişisel verileriniz (örneğin log kayıtları, IP bilgisi, kimlik doğrulama bilgileri) |
| Müşteri İşlem Bilgisi | Fatura, senet, çek bilgileri, gişe dekontlarındaki bilgiler, sipariş bilgisi, talep bilgisi gibi bilgiler |
| Özlük Bilgisi | Çalışanın bordro bilgileri, disiplin soruşturması, işe giriş-çıkış belgesi kayıtları, mal bildirimi bilgileri, özgeçmiş bilgileri, performans değerlendirme raporları gibi veriler |
| Hukuki İşlem Bilgisi | Bilgisi Hukuki alacak ve haklarımızın tespiti, takibi ve borçlarımızın ifası ile kanuni yükümlülüklerimiz ve Şirketimizin politikalarına uyum kapsamında işlenen kişisel veriler |
| Finansal Bilgi | Şirket’nin kişisel veri sahibi ile kurmuş olduğu hukuki ilişkinin tipine göre yaratılan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler ile banka hesap numarası, IBAN numarası, gelir bilgisi, borç/alacak bilgisi gibi veriler |
| Fiziksel Mekan Güvenlik Bilgisi | Fiziksel mekana girişte, fiziksel mekanın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler; kamera kayıtları, araç bilgisi kayıtları ve güvenlik noktasında alınan kayıtlar v.b. |
| Mesleki Deneyim | Diploma bilgileri, gidilen kurslar, meslek içi eğitim bilgileri, sertifikalar, transkript bilgileri gibi bilgiler |
| Görsel ve İşitsel Veriler | Fotoğraf ve kamera kayıtları (Fiziksel Mekan Güvenlik Bilgisi kapsamında giren kayıtlar hariç) ve ses kayıtları |
| Sağlık Bilgileri | Engellilik durumuna ait bilgiler, kan grubu bilgisi, kişisel sağlık bilgileri, kullanılan cihaz ve protez bilgileri vs. |
| Ceza Mahkumiyeti ve Güvenlik Tedbirleri | Ceza mahkûmiyetine ilişkin bilgiler, güvenlik tedbirlerine ilişkin bilgiler |
- Paylaşılan Taraf Kategorileri
| PAYLAŞILAN TARAF KATEGORİSİ | TANIMI | PAYLAŞMA AMACI |
| Gerçek kişiler veya özel hukuk tüzel kişileri | İlgili mevzuat hükümlerine göre Şirket’ten bilgi ve belge almaya yetkili özel hukuk kişileri | İlgili özel hukuk kişilerinin hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak |
| Herkese Açık | Tüm gerçek ve tüzel kişileri | Şirket tarafından aleni şekilde paylaşılması amacıyla sınırlı olarak |
| İştirakler ve Bağlı Ortaklıklar | Şirket’in hissedarı olduğu şirketler | Şirket’in iştiraklerinin de katılımını gerektiren ticari faaliyetlerinin yürütülmesini temin etmekle sınırlı olarak |
| Tedarikçiler | Şirket’in ticari faaliyetlerinin yürütülmesi kapsamında, Şirket’in emir ve talimatlarına uygun ve sözleşme temelli olarak Şirket’e hizmet sunan taraflar | Şirket’in tedarikçiden dış kaynaklı olarak temin ettiği ve Şirket’in ticari faaliyetlerini yerine getirmek için gerekli hizmetlerin Şirket’e sunulmasını sağlamak amacıyla sınırlı olarak |
| Hissedarlar | Şirket hissedarı gerçek kişiler | Hissedarların yetkileriyle sınırlı olarak |
| Yetkili Kamu Kurum ve Kuruluşları | İlgili mevzuat hükümlerine göre Şirket’in bilgi ve belge almaya yetkili kamu kurum ve kuruluşları | İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak |
- Kayıtların Yönetimi
Kişisel veriler, işlenme amaçları için gerekli süreden fazla tutulamaz. Kişisel veri içeren kayıtların sınıflandırılması ve bunlara ilişkin saklama süreleri Saklama ve İmha Politikası uyarınca belirlenir.
İşlenme amaçları için gerekli süresi dolan veya veri sahibinin haklı talebi üzerine kişisel veriler, veri sahibi gerçek kişi tespit edilemeyecek şekilde anonimleştirilir veya silinir veya imha edilir.
- Denetim
- Politikanın Güncel Tutulması
[…………….]
Doküman Sahipliği ve Onay
Bu dokümanın sahibi KVK Komitesidir ve bu politikanın yukarıda belirtilen gözden geçirme gereklilikleri uyarınca düzenli olarak gözden geçirilmesinden sorumludur.
Bu dokümanın güncel versiyonu ortak alan üzerinden tüm ŞİRKET personelinin erişimine sunulmuş ve şirket web sitesi üzerinden yayınlanmıştır.
Bu politika […………….] tarihinde Yönetim Kurulu tarafından onaylanmış ve Genel Müdürün imzası ile yayımlanmıştır.
İmza: Tarih:
Revizyon Geçmişi Kayıtları
| Sayı | Revizyon Tanımı | Onay | Yayım Tarihi |
| 1 | İlk Yayım | Eylül 2021 | |
| 2 | Güncelleme | ||