Kişisel Verileri Saklama ve İmha Politikası

1. AMAÇ VE KAPSAM

Yapı Kredi Kültür Sanat Yayıncılık Tic.ve San. A.Ş. (“Şirketimiz”), ilgili yasal mevzuatlardan kaynaklanan hukuki sorumlulukları gereğince, kişisel verileri koruma, işleme ve imha düzenlemelerine uymayı taahhüt etmektedir. İşbu Kişisel Verileri Saklama ve İmha Politikası (“Politika”) ilgili mevzuat kapsamında gerekli saklama ve imha çalışmalarının yapılmasına ilişkin çerçeve ve esasları içermektedir.

28 Ekim 2017 tarihli ve 30224 sayılı Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür. Yukarıdaki düzenlemeye dayanarak hazırlanmış olan bu Politikanın amacı; Şirketimiz tarafından işlenen kişisel verilerin, işlendikleri amaç için gerekli olan azami süreler ile silinme, yok edilme ya da anonim hale getirilme süreçlerinin belirlenmesi ve bu süreçlerde görev alacak kişilerin rol ve sorumluluklarının tanımlanmasıdır.

Bu Politika’nın kapsamını; kişisel verilerin azami saklama süreleri ile kişisel verilerin hukuka uygun olarak saklanması ve imha edilmesi için alınmış teknik ve idari tedbirler, Şirketimiz bünyesinde ilgili süreçlerin yürütülmesinde görev alan birimler ile kayıt ortamları oluşturmaktadır;

2. TANIMLAR

Elektronik Ortam : Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.

Elektronik Olmayan Ortam : Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu,

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

Veri Sorumlusu: Tüzel kişi olarak Yapı Kredi Kültür Sanat Yayıncılık Tic.ve San. A.Ş.’yi

KVK Komitesi: Kişisel Verilerin Korunması (KVK) Komitesi, Veri Sorumlusu tarafından atanmış Kişisel Verilerin Korunması Kanunu ve alt düzenlemeleri kapsamında oluşturulmuş süreçlerin idari takibini yapmak üzere oluşturulacak komiteyi,

İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi,

Kurul: Kişisel Verileri Koruma Kurulu’nu,

Anonim Hale Getirme: Kişisel Verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,

İmha: Kişisel Verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen Kişisel Verilerin bulunduğu her türlü ortamı,

Kişisel Veri İşleme Envanteri: Kişisel Verileri işleme faaliyetlerinin; Kişisel Verilerin işlenme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturulan ve Kişisel Verilerin işlendikleri amaçlar için gerekli olan azami süreyi, aktarımı öngörülen Kişisel Verilerin ve veri güvenliğine ilişkin alınan tedbirlerin açıklanarak detaylandırıldığı envanteri,

Kişisel Veri Saklama ve İmha Politikası/Politika: Veri sorumlularının, Kişisel Verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları iş bu politikayı,

Periyodik İmha: Kanun’da yer alan Kişisel Verilerin işlenme şartlarının tamamının ortadan kalkması durumunda Kişisel Verileri Saklama ve İmha Politikası’nda belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,

İlgili Kullanıcı: Kişisel Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere Veri Sorumlusu organizasyonu içerisinde veya Veri Sorumlusu’ndan aldığı yetki ve talimat doğrultusunda Kişisel Verileri işleyen kişileri ifade eder.

Yönetmelik: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

VERBİS:  Veri Sorumluları Sicili Bilgi Sistemi

3. KAYIT ORTAMLARI

Şirketimiz faaliyetleri sırasında çalışanlar, çalışan adayları, müşteriler, ziyaretçiler ile tedarikçi çalışan ve yetkililerinden kişisel veri toplanmakta olup, toplanan kişisel veriler aşağıda gösterilen ortamlarda ilgili yasal mevzuata uygun bir şekilde saklanmaktadır:

• Elektronik Ortamlar

1. Sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım, vb.)
2. Yazılımlar (ofis yazılımları, portal, EBYS, VERBİS.)
3. Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb. ) Kişisel bilgisayarlar (Masaüstü, dizüstü)
4. Mobil cihazlar (telefon, tablet vb.)
5. Optik diskler (CD, DVD vb.)
6. Çıkartılabilir bellekler (USB, Hafıza Kart vb.)
7. Yazıcı, tarayıcı, fotokopi makinesi

• Elektronik Olmayan Ortamlar

1. Kağıt
2. Manuel veri kayıt sistemleri (anket formları, ziyaretçi giriş defteri, servis formları, iş başvuru formları)
3. Diğer yazılı, basılı, görsel ortamlar

4. SORUMLULUK

Bu Politika’nın yayımlanması, güncel tutulması ve uygulanmasının izlenmesi amacıyla Şirketimizi Yönetim Kurulu tarafından; KVK Komitesi oluşturulacak ve tüm bu hususlar ile ilgili olarak KVK Komitesi yetkili kılınacaktır. KVK Komitesi; İnsan Kaynakları Müdürü, İdari İşler Müdürü, Bilgi İşlem Müdürü’nden oluşacaktır. KVK Komitesi aşağıdaki görev ve sorumlulukları yerine getirir;

• Kişisel Verilerin saklama süresine uygunluğunu sağlamak,
• Periyodik imha döneminde kişisel veri imha sürecinin yönetimini gerçekleştirmek,
• Politika’yı asgari olarak yıllık bazda gözden geçirmek,
• Politika’yı esas alarak işlem kurallarını detaylı düzenleyecek Kişisel Veri Saklama ve İmha Prosedürü ve gerekli gördüğü diğer prosedürleri düzenlemek ve yayımlamak,
• Politika ve prosedürlerin uygulanması için gerekli görev dağılımını yapmak, uygun gördüğü kişileri yetkilendirmek ve Kanun’a uyum konusundaki eğitimleri organize etmek,
• Kanunun 12. maddesi uyarınca alınan her türlü teknik ve idari tedbirlerin uygulanmasını takip etmek ve denetimini planlamak,
• Kanun ve ilgili mevzuata uyumun sağlanması için yapılması gereken hususları tespit etmek, uygulanmasını gözetmek ve gerekli koordinasyonu sağlamak,
• Kişisel Verileri işlenen gerçek kişiler tarafından yapılan başvuru ve taleplerle ilgili süreçlerin takibini yapmak ve Kanun ve/veya politika ve prosedürün uygulanması ile ilgili ortaya çıkabilecek sorunların çözümü için gerekli aksiyonların alınmasını sağlamak,
• Kurul ile olan ilişkileri yürütmek.

5. VERİLERİN SAKLANMASINI GEREKTİREN SEBEPLER

Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde kişisel verilerin işlenmesinde,

a) Hukuka ve dürüstlük kurallarına uygun olma.
b) Doğru ve gerektiğinde güncel olma.
c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza

ilkelerine uyulması şart koşulmuştur. Kanun’un 5 ve 6ncı maddelerinde ise kişisel verilerin işleme şartları sayılmıştır. Buna göre, Şirketimiz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

5.1. HUKUKİ SEBEPLER

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 6098 sayılı Türk Borçlar Kanunu,
• 6102 sayılı Türk Ticaret Kanunu,
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 4857 sayılı İş Kanunu,
• Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler

5.2. SAKLAMAYI GEREKTİREN İŞLEME AMAÇLARI

Şirketimiz bünyesinde tutulan kişisel veriler Kanun ve Kişisel Veriler Politikamız (ilgili politikaya “https://www.yapikrediyayinlari.com.tr” adresinden ulaşabilirsiniz) uyarınca, burada belirtilen amaç ve nedenlerle saklanmaktadır.

6. TEKNİK VE İDARİ TEDBİRLER

ŞİRKETİMİZ, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için ilgili kişisel veri ile tutulduğu ortamın niteliklerine uygun olarak gerekli tüm teknik ve idari tedbirleri almaktadır.

İşbu tedbirler, bunlarla kısıtlı olmamak üzere, ilgili kişisel verinin ve tutulduğu ortamın niteliğine uygun düştüğü ölçüde aşağıdaki idari ve teknik tedbirleri kapsar.

6.1. TEKNİK TEDBİRLER

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim logları düzenli olarak tutulmaktadır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

6.2.İDARİ TEDBİRLER

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

7. VERİLERİN İMHASINI GEREKTİREN SEBEPLER

Şirketimiz bünyesinde saklanan kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Şirketimiz tarafından kabul edilmesi,
• Şirketimizin, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması, durumlarında,

Şirketimiz tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

8. İMHA YÖNTEMLERİ

8.1.VERİLERİN SİLİNMESİ

Kişisel Verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilme işlemidir.

Fiziksel Ortamda Yer Alan Kişisel Veriler: Bu tür ortamlarda yer alan verilerden saklanma süresi sona erenler, hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Bu kapsamda, ilgi veriler üzerinde karartma yöntemi kullanılabilmektedir. Karartma yöntemi, ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak diğer kullanıcılarca görünemez hale getirilmesi şeklinde yapılır.

Elektronik Ortamda Yer Alan Kişisel Veriler: Bu tür ortamlarda yer alan verilerden saklanma süresi sona erenler, silinirken verinin bir daha kurtarılamayacak biçimde ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır.

8.2. VERİLERİN YOK EDİLMESİ
Kişisel Verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Bu tür ortamlarda yer alan verilerden saklanma süresi sona erenler, fiziksel yok etme ya da üzerine yazma yöntemlerinden uygun olanı kullanılarak yok edilir.

Ağ Cihazları: Switch, router vb.’de manyetize etme, fiziksel yok etme, üzerine yazma yöntemlerinden uygun olanı kullanılarak yok edilir.

Flash Tabanlı Ortamlar: İlgili üreticinin önerdiği yöntemler ya da fiziksel yok etme veya üzerine yazma yöntemlerinden uygun olanı kullanılarak yok edilir.

Sim Kart ve Sabit Hafıza Kartları: Fiziksel yok etme veya üzerine yazma yöntemlerinden uygun olanı kullanılarak yok edilir.

Optik Diskler: Fiziksel yöntemlerle yok edilir.

Veri Kayıt Ortamı Sabit Olan Yazıcı, Parmak İzli Kapı Geçiş Sistemleri: Fiziksel yok etme veya üzerine yazma yöntemlerinden uygun olanı kullanılarak yok edilir.

Kağıt vb. ortamlar: Kağıt ortamında bulunan kişisel veriler, kağıt imha makinaları kullanılarak yok edilir.

8.3.VERİLERİN ANONİMLEŞTİRİLMESİ

Kişisel Verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi işlemidir. Anonim hale getirme, bir veri kümesindeki tüm doğrudan ve/veya dolaylı tanımlayıcıların çıkartılarak ya da değiştirilerek, ilgili kişinin kimliğinin saptanabilmesinin engellenmesi veya bir grup veya kalabalık içinde ayırt edilebilir olma özelliğini, bir gerçek kişiyle ilişkilendirilemeyecek şekilde kaybetmesidir. Bu özelliklerin engellenmesi veya kaybedilmesi sonucunda belli bir kişiye işaret etmeyen veriler, anonim hale getirilmiş veri sayılır. Kişisel Verinin tutulduğu veri kayıt sistemindeki kayıtlara uygulanan otomatik olan veya olmayan gruplama, maskeleme, türetme, genelleştirme, rastgele hale getirme gibi yöntemlerle yürütülen bağ koparma işlemlerinin hepsine anonim hale getirme yöntemleri adı verilir. Anonim hale getirilmiş Kişisel Verilerin çeşitli müdahalelerle tersine döndürülmesi ve anonim hale getirilmiş verinin yeniden kimliği tespit edici ve gerçek kişileri ayırt edici hale dönüşmesi riski olup olmadığı araştırılarak ona göre işlem tesis edilmesi esas alınır.

9. VERİLERİN İLGİLİ MEVZUAT KAPSAMINDAKİ SAKLAMA SÜRELERİ

Şirketimiz bünyesinde saklanan tüm Kişisel Veriler için saklama süreleri belirlenir. Saklama süreleri belirlenirken öncelikle ilgili mevzuat, ilgili mevzuat ile öngörülen bir süre yoksa Kişisel Veri işleme amacı için gereken süre göz önünde bulundurulur. İlgili sürelere Kişisel Veri Envanteri’nde ve VERBİS’te yer verilir.

Kişisel Veri İşleme Envanteri’nde bahsi geçen Kişisel Veriler, zamanaşımı süresini kesen ya da durduran herhangi bir hukuki durum olmadığı takdirde, aşağıdaki tabloda yer alan yasal düzenlemeler gereği saklanır ve saklama süresini takip eden ilk periyodik imha tarihinde imha edilir.

10. PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11 inci maddesi gereğince Şirketimiz, periyodik imha süresini 6 ay olarak belirlemiştir.

Buna Şirketimiz’e başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde ilgili talep kişisel verilerin işleme şartlarının kalkıp kalkmadığına göre değerlendirilir. Kişisel verilerin işleme şartları tamamen ortadan kalkmışsa Şirketimiz talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. Kişisel verilerin işleme şartları tamamı ortadan kalkmamışsa ilgili talep gerekçesi açıklanarak reddedilir. Talepler her durumda 30 gün içinde sonuçlandırılarak ilgili kişiye bildirilir.

Kişisel Verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklanır.

11.POLİTİKA’NIN GÜNCELLENME PERİYODU

Politika, ihtiyaç duyuldukça KVK Komitesi tarafından gözden geçirilir ve gerekli olan bölümler güncellenir.

12.POLİTİKANIN YÜRÜRLÜĞÜ

Bu Politika, Şirketimizin internet sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilir. Bu tarih itibariyle geçerli ve bağlayıcı kabul edilir.