KİŞİSEL VERİLERİN KORUNMASI POLİTİKASI

İşbu Kişisel Verilerin Korunması Politikası (“Politika”),6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere ilgili ikincil mevzuat hükümleri uyarınca Kişisel Verilerin işlenmesine ve korunmasına yönelik yükümlülüklerin yerine getirilmesinde Morliva Tekstil Turizm İnşaat Tiç Ltd Şti (“Şirket”) tarafından Şirket içerisinde ve/veya Şirket tarafından uyulması gereken esasları belirlemektedir.

Şirket, işbu Politikaya bağlı olarak uygulanacak prosedürlere uygun davranmayı taahhüt eder.

1. POLİTİKANIN AMACI

İşbu Politikanın temel amacı, Şirket tarafından Kişisel Verilerin İşlenmesine ve korunmasına yönelik işlem ve süreçlere ilişkin esasları belirlemektedir.

2. POLİTİKANIN. KAPSAMI

İşbu Politika, Şirketin işlemekte olduğu Kişisel Verilere yönelik tüm faaliyetleri kapsar ve uygulanır.

3. TANIMLAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilemeyecek, hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek hale getirilmesidir.

Aydınlatma Yükümlülüğü: Kişisel verilerin en geç elde edilmesi sırasında Veri Sorumlusu veya yetkilendirdiği kişinin, Veri Sahibine KVKK 10. Maddesi kapsamında bilgi vermesine ilişkin yükümlülüğünü ifade eder.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Verinin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kurul: Kişisel Verileri Koruma Kurulu.

Kurum: Kişisel Verileri Koruma Kurumu.

KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu.

KVK Düzenlemeleri: 6698 sayılı Kişisel Verilerin Korunması Kanunu ile Kişisel Verilerin korunmasına yönelik ilgili mevzuatlar, mahkeme ve diğer resmi makamlarca verilen bağlayıcı kararlar, ilke kararları, uluslararası anlaşmalar ve diğer her türlü mevzuat.

Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik genel verileri.

Silme veya Silinme: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.

Silme veya Silinme: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.

Veri Sahibi (İlgili Kişi): Kişisel verileri Şirket tarafından veya Şirket adına işlenen tüm gerçek kişiler.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Yok Etme: Kişisel verilerin, hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi.

4. POLİTİKANIN YÜRÜTÜLMESİ VE SORUMLULUKLAR

Şirket, Veri Sorumlusu sıfatıyla işbu Politikanın uygulanmasından sorumludur.

İşbu Politika doğrultusunda hazırlanacak olan Yönetmelik, Prosedür, Kılavuz ve eğitim faaliyetlerinin Şirket bünyesinde uygulanması için gerekli faaliyetler gerçekleştirilecektir.

Şirket genelinde tüm çalışanlar, iş ortakları ve ilgili tüm 3. Kişiler Politikaya uyum ile birlikte ilgili mevzuat hükümleri doğrultusunda doğacak hukuki sorumlulukların, risklerin ve tehlikelerin önlenmesinde Şirket ile iş birliği yapmakla yükümlüdür.

İşbu Politika, Şirket içerisinde duyurulacak ve ortak bilgi işlem sistemlerinde her zaman erişilebilir olacaktır. Ayrıca işbu Politika Şirket internet sitesinde ve uygulamasında yayınlanacaktır. Politikada herhangi bir değişiklik olması halinde güncellemesi yapılacaktır.

Politika ile yürürlükte olan mevzuat hükümleri arasında bir çelişki meydana gelmesi halinde Şirket, Veri Sorumlusu sıfatı doğrultusunda mevzuat hükümlerinin uygulanacağını kabul eder.

5. KİŞİSEL VERİ İŞLEMENİN İLKELERİ

6698 sayılı Kanun 4. Maddesi uyarınca;

•  Kişisel Verilerin Hukuka ve Dürüstlük Kurallarına Uygun Olarak İşlenmesi

Şirket, kişisel verileri hukuka ve dürüstlük kurallarına uygun olarak işler.

• Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olması İçin Gerekli Önlemlerin Alınması

Şirket, kişisel verilerin işlenmesinde, kişisel verilerin güncel ve doğru olması için gerekli tüm tedbirleri alır ve denetimleri sağlar, herhangi bir talep halinde bu bilgileri günceller.

• Kişisel Verilerin İşlendikleri Amaçlar Bağlantılı, Sınırlı ve Ölçülü Olması

Şirket tarafından kişisel veriler işlenme amaçları ile bağlantılı ve sınırlı olarak ve bu amacın gerçekleştirilmesi için gereken ölçüde işlenir. Amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verileri işlemekten kaçınır.

• Kişisel Verilerin İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Edilmesi

Kişisel veriler, ilgili mevzuatta öngörülen süreler kadar veya verilerin işlenme amacının gerektirdiği süre kadar saklanır. Saklanma ve işleme süresi dolan kişisel veriler hakkında imha politikası gerçekleştirilir.

6. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

• İlgili Kişinin Açık Rızasının Bulunması

Asıl kural, diğer işleme şartlarının bulunmaması durumunda açık rızanın varlığının aranmasıdır. Açık rızanın Aydınlatma Yükümlülüğünün yerine getirilmesinden sonra belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür irade ile alınması gerekmektedir.

• Kanuni Gereklilikler Nedeniyle Verilerin İşlenmesi

Mevzuat gereğince kişisel verilerin işlenmesinin zorunluğu olduğu durumlarda kişisel veri işlenebilir.

•  Fiili İmkânsızlık Nedeniyle Rızasını Açıklayamayan veya Rızasına Hukuki Geçerlilik Tanınamayan Kişinin Verilerinin İşlenmesinin Kendisinin veya Başkasının Hayatı veya Beden Bütünlüğünün Korunması İçin İşlenmesinin Zorunlu Olması

Veri sahibinin rızasını açıklamasının mümkün olmadığı durumlarda kendisinin veya başkasının hayatının korunması için kişisel veri işlenmesinin zorunlu olduğu hallerde kişisel verilerin işlenmesi mümkündür.

•  Bir Sözleşmenin Kurulması ve İfası ile Doğrudan İlgili Olmak Kaydı ile Sözleşmenin Taraflarına Ait Kişisel Verilerin İşlenmesinin Zorunlu Olması

Sözleşmenin kurulması ve ifası ile doğrudan ilgili olmak kaydı ile sözleşmenin taraflarına ait kişisel veriler Şirket tarafından işlenebilir.

•  Veri Sorumlusunun Hukuki Yükümlülüğünü Yerine Getirebilmesi İçin Zorunlu Olması

Söz konusu yükümlülüğün sınırları çerçevesinde kalmak kaydı ile Şirket tarafından kişisel veriler işlenebilir.

•  İlgili Kişi Tarafından Alenileştirilen Kişisel Verilerin İşlenmesi

Veri sahibinin (İlgili Kişi) kişisel verisini alenileştirmesi halinde alenileştirilme amacı ile bağlı olarak kişisel veriler işlenebilir.

•  Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Zorunlu Olan Verilerin İşlenmesi

Kişisel veriler, bir hakkın tesisi, kullanılması veya korunması için zorunlu olduğu ölçüde Şirket tarafından işlenebilir.

•  Veri Sorumlusunun Meşru Menfaati İçin Kişisel Verilerin İşlenmesi

Veri sahibinin temel hak ve özgürlüklerine. Zarar vermemek kaydıyla Şirketin, meşru menfaatleri doğrultusunda kişisel veriler işlenebilir. Şirketin meşru menfaati, Kanunda sayılan ilkelere, mevzuata ve Anayasa ile güvence altına alınmış olan hakkın özüne müdahale edecek şekilde aykırı nitelikte olamaz.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

KVKK’’nın 6. Maddesi uyarınca özel nitelikli kişisel veri tanımı yapılmıştır. Bu maddeye göre; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayılmıştır.
Özel nitelikli kişisel verilerin işlenebilmesi için açık rıza aranmış olup, açık rızanın olmaması halinde bazı şartlara tabi tutulmuştur.

•  İlgili Kişinin Açık Rızasının Bulunmamasına Rağmen Özel Nitelikli Kişisel Verilerin Mevzuat Hükümleri ile Öngörülmesi Sebebiyle İşlenmesi

İlgili kişinin sağlık ve cinsel hayatı harici kalan özel nitelikli kişisel verileri KVKK 6. Madde 3. Fıkrası ile sınırlı kalmak şartı ile işlenebilmektedir.

•  Sağlık, Cinsel Hayat ile İlgili Özel Nitelikli Kişisel Verilerin Koruyucu Hekimlik, Tıbbi Teşhis, Tedavi ve Bakım Hizmetlerinin Yürütülmesi, Sağlık Hizmetleri ile Finansmanının Planlanması ve Yönetimi Amacıyla, Sır Saklama Yükümlülüğü Altında Olmak Kaydı ile İşlenmesi

Yukarıda sayılmış olan ilgili durumlarda, Şirket tarafından mevzuat hükümleri çerçevesinde özel nitelikli kişisel verilerin işlenmesi söz konusudur.

Özel nitelikli kişisel verilerin işlenmesi ile ilgili Kurul’un 2018/10 sayılı ve 31.01.2018 tarihli kararında belirlenmiş olan idari ve teknik tedbirler yer almaktadır. Bu kapsamda, Şirket, özel nitelikli kişisel verilerin işlenmesinde çalışanlarına yönelik;

• KVK düzenlemeleri ve özel nitelikli kişisel verilerin güvenliği konularında düzenli olarak eğitimler verecektir.
• Gizlilik sözleşmeleri yapılacaktır.
• Verilere erişen çalışanlar arasında yetki matrisi oluşturulacaktır.
• Periyodik aralıklarla yetki kontrolleri sağlanacaktır.
• Yetki matrisi uyarınca görev değişikliği veya görevden ayrılan çalışanlar bakımından yetkileri derhal kaldırılacaktır.

8. KİŞİSEL VERİLERİN AKTARIMI

•  Kişisel Verilerin Yurtiçinde Aktarılması

KVKK 8. Maddesi uyarınca kişisel verilerin yurtiçinde aktarımı için ilgili kişinin açık rızası öngörülmüştür. Açık rızanın aranmadığı haller KVKK 8. Maddesi 2. Fıkrası uyarınca belirlenmiştir. Buna göre; KVKK 5/2 ve yeterli önlemlerin alınması kaydı ile KVKK 6/3’te belirtilen şartlardan birinin bulunması halinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.

•  Kişisel Verilerin Yurt dışına Aktarılması

KVKK 9. Maddesi uyarınca kişisel verilerin yurt dışına aktarımı için ilgili kişinin açık rızası öngörülmüştür. Maddeye göre kişisel veriler, KVKK 5/2 ile KVKK 6/3’teki şartların birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.

9. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ, ANONİM HALE GETİRİLMESİ

Kişisel verilerin işlenmesine yönelik amaçların ortadan kalkmasından sonra kişisel veriler silinerek, yok edilerek veya anonim hale getirilir. Bu işlemlerin gerçekleşmesinde veri sorumlusu olarak Şirket sorumludur ve gerekli idari ve teknik tedbiri almakla yükümlüdür.

10. ŞİRKETİN YÜKÜMLÜLÜKLERİ

•  Aydınlatma Yükümlülüğü

Şirket, KVKK 10. Maddesi uyarınca kişisel verilerin işlenmesinden önce ve en geç kişisel verilerin elde edilmesi sırasında, kişisel veri sahiplerini aydınlatır. Aydınlatma yükümlülüğü kapsamında veri sahiplerine yapılacak bildirimin içermesi gereken unsunlar;

• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• Veri sahiplerinin KVKK 11. Maddesinde sayılan hakları

•  Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü

Şirket, kişisel verilerin hukuka aykırı bir şekilde işlenmesini engellemek üzere gerekli idari ve teknik tedbirleri almakla yükümlüdür. Bu kapsamda çalışanlarını bilgilendirerek ve gerekli prosedürleri oluşturup denetimler gerçekleştirmekle yükümlüdür. Şirket, oluşturacağı kişisel veri işleme envanteri ve yetki matrisi oluşturarak gerekli güncellemeleri her zaman sağlamalıdır.

•  Kişisel Verilere Hukuka Aykırı Olarak Erişilmesini Önleme Yükümlülüğü

Şirketin bu kapsamda alması gereken tedbirler;

• Şirket, teknik tedbirlerini periyodik aralıklarla güncelleyerek ve denetleyecektir.
• Yetki matrisi uyarınca çalışanlar arasında yetkilendirme yapacak ve erişim yetkileri düzenleyecektir.
• Özel güvenlik sistemleri ve yazılımları kullanılarak veri güvenliği sağlanacaktır.
• Şirket çalışanları veri güvenliği hakkında bilgilendirilecektir.
• Şirket, kişisel verilere erişim yetkilerine dair prosedür ve dokümanları hazırlayarak çalışanlarına ulaştıracaktır.
• Şirket, çalışanları ile arasında gizlilik sözleşmeleri imzalayarak iş ilişkisinin sona ermesinden dahi sonra bile kişisel veri güvenliğini sağlamak için tedbirler alacaktır.
• Şirket aldığı tüm tedbirler kapsamında denetimler gerçekleştirerek, bu denetimlerin sağlanması için sistemler kurgulayacaktır. Bu kapsamda, Şirket gerekli doğrulama testleri uygulayarak denetimler yapacaktır.
• Şirket, kişisel verileri aktardığı üçüncü şahısların da işbu Politika ve KVKK hükümleri doğrultusunda verileri hukuka uygun olarak işleme ve muhafaza etme ve verilere uygun olarak erişme yükümlülüklerini yerine getirmesinden KVKK 12. Maddesi uyarınca sorumludur. Bu nedenle Şirket, üçüncü kişilere veri aktarırken yapılacak sözleşmeler ve kişisel veri aktarımı ile düzenlemelerde taahhütler alarak çalışanlarını da bu konudaki sorumlulukları hakkında bilgilendirecektir.

11. İLGİLİ KİŞİNİN HAKLARI

KVKK 11. Maddesi uyarınca ilgili kişi hakları belirlenmiştir. Bu kapsamda, herkes, veri sorumlusuna başvurarak kendisiyle ilgili;

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacını uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksil veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
• KVKK 7. Maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesi veya yok edilmesini isteme,
• Kişisel verilerinin düzeltilmesini, silinmesini veya yok edilmesinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme haklarına sahiptir.

İlgili kişilerin yukarıda sayılan haklarına ilişkin taleplerini yazılı olarak Şirkete iletmeleri durumunda Şirketin talebin niteliğine göre talebi gecikmeksizin en geç otuz gün içinde sonuçlandırır veya talebin niteliğine göre gerekçesini açıklayarak reddeder. İlgili kişinin talebinin reddedilmesi, cevabın yetersiz kalması veya süresinde cevap verilmemesi halinde ilgili kişinin otuz gün içinde Kurul’a şikâyet hakkı olduğu konusunda tüm çalışanlar bilgilendirilmelidir.

12. DENETİM

Şirket, işbu Politika ve KVK düzenlemelerine ilişkin tüm çalışanlarını ve iş ilişkisinde olduğu kişilerin uygun hareket ettiğini denetleme hakkına sahiptir. Denetleme hakkı periyodik aralıklarla olabileceği gibi Şirket’in gerekli gördüğü her halde gerçekleştirilebilir.

13. YÜRÜRLÜK TARİHİ VE GÜNCELLEMELER

İşbu Politika Şirket tarafından onaylandığı tarihte yürürlüğe girer. Politika, periyodik olarak KVK düzenlemeleri, mevzuat değişiklikleri, Kurul ve mahkeme kararları kapsamında yapılan değişimler kapsamında senede bir defa güncellenir. Politikadaki değişiklikler için Şirket Genel Müdürü’nün onayı gereklidir. Politikanın yürürlükten kaldırılmasına ilişkin karar verme yetkisi Şirkete aittir.