Kişisel veri saklama ve imha politikası

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

GİRİŞ

Tabi olduğu mevzuat hükümlerine uygun çalışmayı ilke edinen Uneli Gıda İnşaat Lojistik Turizim Sanayi ve Ticaret Limited Şirketi (“Şirket”) tarafından kişisel verilerin korunmasına oldukça önem verilmektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“Kanun”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ve diğer ilgili mevzuata uygun şekilde hazırlanan işbu Uneli Gıda İnşaat Lojistik Turizim Sanayi ve Ticaret Limited Şirketi Kişisel Veri Saklama ve İmha Politika’sında (“Politika”) Şirketimiz tarafından işlenen kişisel verilerin saklanması ve imhasında benimsenen genel ilke ve prensipler belirtilmiş olup, verileriniz bu ilke ve prensiplere uygun şekilde saklanmakta ve imha edilmektedir.

POLİTİKA’NIN AMACI VE KAPSAMI

İşbu Politika, Şirketimiz tarafından işlenen kişisel verilerin saklama ve imha faaliyetlerine ilişkin genel ilke ve prensiplerin belirlenmesi ve mevzuatla belirlenen yükümlülüklerin yerine getirilmesi amacıyla hazırlanmıştır.

İşbu Politika, şirket hissedarları, yetkilileri, çalışanları, çalışan adayları, iş ortakları, ziyaretçileri ve müşterileri ve web sitesi ziyaretçilerine yönelik Şirket tarafından işlenen tüm kişisel verileri kapsamakta olup, Şirketin sahip olduğu ya da Şirket tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamları bakımından uygulanmaktadır.

TANIMLAR

“Açık Rıza”	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
“Alıcı Grubu”	Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.
“Anonim Hale Getirme”	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
“Çalışan”	Şirket personeli.
“Elektronik Ortam”	Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
“Elektronik Olmayan Ortam”	Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.
“İlgili Kişi”	Kişisel verisi işlenen gerçek kişi.
“İlgili Kullanıcı”	Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.
“İmha”	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
“Kanun”	6698 Sayılı Kişisel Verilerin Korunması Kanunu.
“Kayıt Ortamı”	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
“Kişisel Veri”	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyadı, TCKN, e-posta, adresi, doğum tarihi, kredi kartı numarası, banka hesap numarası – Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir).
“Kişisel Veri Sahibi”	Kişisel verisi işlenen gerçek kişi.
“Kişisel Veri İşleme Envanteri“	Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
“Kişisel Verilerin İşlenmesi”	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
“Kurul”	Kişisel Verileri Koruma Kurulu.
“Özel Nitelikli Kişisel Veri”	Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.
“Periyodik İmha”	Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda işbu Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
“Veri İşleyen”	Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
“Veri Sorumlusu”	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi.

anlamına gelmektedir.

GÖREV VE SORUMLULUKLAR

Şirketimizin tüm çalışanları ve birimleri, işbu Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere destek vermekle yükümlüdür.

Kişisel verilerin saklama ve imha süreçlerinden sorumlu kişilerin unvanları, birimleri ve görev tanımlarına ait dağılıma aşağıdaki tabloda yer verilmiştir.

UNVAN	BİRİM	GÖREV
		Çalışanların politikaya uygun hareket etmesinden sorumludur.
		Politika’nın hazırlanması, geliştirilmesi, yürütülmesi, ilgili ortamlarda yayınlanması ve güncellenmesinden sorumludur.
		Politika’nın uygulanmasında ihtiyaç duyulan teknik çözümlerin sunulmasından sorumludur.
		Görevlerine uygun olarak Politikanın yürütülmesinden sorumludur.

KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

Şirketimiz, kişisel veri işleme faaliyetlerinde;

Hukuka ve dürüstlük kuralına uygunluk
Kişisel verilerin doğru ve gerektiğinde güncel olması
Belirli, açık ve meşru amaçlarla işleme
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme

ilkelerini esas almakta ve Kanun’un 5. maddesinde sayılan kişisel veri işleme (saklama) sebepleri doğrultusunda ve “Uneli Gıda İnşaat Lojistik Turizim Sanayi ve Ticaret Limited Şirketi Kişisel Verilerin Korunması ve İşlenmesi Politikası”nda (https://www.unabella.com.tr/kvkk/veri-sahibi-basvuru-formu.pdf) yer alan genel esaslara yapılmaktadır.

Kanun’un 5. maddesinde sınırlı sayı ilkesi gözetilerek sayılan aşağıdaki işleme sebeplerinden en az birinin bulunması halinde kişisel verinin işlenmesi ve saklanması mümkündür:

İlgili kişinin açık rızasının varlığı,
Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
İlgili kişinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

POLİTİKA İLE DÜZENLENEN KAYIT ORTAMLARI

Elektronik Ortamlar

Elektronik Olmayan Ortamlar

Örneğin:

Sunucular (Etki alanı, yedekleme, e-posta,

veritabanı, web, dosya paylaşım, vb.)

Yazılımlar (ofis yazılımları)

Bilgi güvenliği cihazları (güvenlik

duvarı, saldırı tespit ve engelleme, günlük

kayıt dosyası, antivirüs vb. )

Kişisel bilgisayarlar (Masaüstü, dizüstü)

Mobil cihazlar (telefon, tablet vb.)

Optik diskler (CD, DVD vb.)

Çıkartılabilir bellekler (USB, Hafıza

Kart vb.)

Yazıcı, tarayıcı, fotokopi makinesi

Örneğin:

Kağıt

Manuel veri kayıt sistemleri (anket formları,

ziyaretçi giriş defteri)

Yazılı, basılı, görsel ortamlar

KİŞİSEL VERİLERİN GÜVENLİ SAKLANMASINA VE İMHASINA İLİŞKİN ALINACAK TEKNİK VE İDARİ TEDBİRLER

Şirketimiz, kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi, kişisel verilerinin hukuka uygun olarak imha edilmesi için gerekli teknik ve idari tedbirleri almakta yükümlü olmakla birlikte bu tedbirleri ilgili kişilere duyurmak ve uygulanmasını sağlamakla yükümlüdür. Bu kapsamda aşağıda kişisel verilerin işlenmesinde alınan teknik ve idari tedbirler ile özel nitelikli kişisel verilerin işlenmesinde alınan teknik ve idari tedbirlere yer verilmiştir.

1. 7.1. İdari Tedbirler

Kişisel Veri Saklama ve İmha Politika’sının yayınlanması
Şirket internet sayfası içerisinde Gizlilik Politikası’nın yayınlanması
Kişisel veri işlemeye başlamadan önce ilgili kişileri aydınlatılması
Çalışanlarla gizlilik sözleşmeleri yapılması
Şirket içerisinde veri koruma, saklama ve silme ile ilgili farkındalık eğitimlerinin gerçekleştirilmesi
Kişisel Veri Saklama Süre Tablosu’nun oluşturulması
Kişisel Veri İşleme Envanteri’nin oluşturulması

1. 7.2. Teknik Tedbirler

Erişim kontrol sisteminin oluşturulması
Kişisel veri işleme izinlerinin tek yerden yönetilmesi ve sistem eşleşmelerinin sağlanması
Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılması
Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılması
Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılması
Silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirlerin alınması
Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.

1. 7.3.Özel Nitelikli Verilerin İşlenmesinde Alınan Teknik ve İdari Tedbirler

Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik olarak alınan tedbirler:

Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi,
Gizlilik sözleşmelerinin yapılması,
Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması,
Periyodik olarak yetki kontrollerinin gerçekleştirilmesi,
Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması,

Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise alınan tedbirler:

Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi,
Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması,
Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak loglanması,
Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin sağlanması,

Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise alınan tedbirler:

Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması,
Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi,
Özel nitelikli kişisel verilerin aktarılması halinde alınacak tedbirler:
Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılarak aktarılması,
Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtarın farklı ortamda tutulması,
Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın “gizlilik dereceli belgeler” formatında gönderilmesi gerekir.

KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

1. Kişisel Verilerin Silinmesi

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Veri Kayıt Ortamı	Yapılan İşlem
Sunucularda Yer Alan Kişisel Veriler	Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veritabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
Elektronik Ortamda Yer Alan Kişisel Veriler	Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.
Fiziksel Ortamda Yer Alan Kişisel Veriler	Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.
Taşınabilir Medyada Bulunan Kişisel Veriler	Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

1. Kişisel Verilerin Yok Edilme Yöntemleri

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Veri Kayıt Ortamı	Yapılan İşlem
Fiziksel Ortamda Yer Alan Kişisel Veriler	Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
Optik Medya ve Manyetik Medyada Yer Alan Kişisel Veriler	Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

1. Kişisel Verilerin Anonim Hale Getirilme Yöntemleri

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu ve üçüncü kişiler tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekmektedir.

KİŞİSEL VERİ SAKLAMA VE İMHA SÜRELERİ

Şirketimiz, kişisel verileri ancak ilgili uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir.

Süreç bazında Kişisel Veri Saklama Ve İmha Tablomuz aşağıda yer almaktadır:

KİŞİSEL VERİ KATEGORİZASYONU	KİŞİSEL VERİ KATEGORİZASYONU AÇIKLAMA
Kimlik Verisi	Sözleşme ilişkisinin bitmesinden itibaren 10 yıl
İletişim Bilgisi	Sözleşme ilişkisinin bitmesinden itibaren 10 yıl
Sağlık Verisi	Sözleşme ilişkisinin bitiminden itibaren 6 ay
Sözleşme İlişkisi Çerçevesinde Toplanan Veriler	Sözleşme ilişkisinin bitiminden itibaren 10 yıl
Özlük Bilgisi ve İş Sözleşmesi Kapsamında Alınan Veriler	İş ilişkisinin sona ermesinden itibaren 10 yıl

Çalışan Adayı Bilgisi	Başvuru tarihinden itibaren 2 yıl
Referans ve Yakın Bilgisi	Sözleşme ilişkisinin bitiminden itibaren 6 ay
Görsel Veri	Veri işleme faaliyetinden itibaren 6 ay
İşitsel Veri	Veri İşleme faaliyetinden itibaren 1 yıl
Konum Verisi	……………….

PERİYODİK İMHA SÜRELERİ

Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri imha etmektedir. Şirketimizin periyodik imha süresini 6 ay olarak belirlenmiştir. Buna göre, Şirketimiz her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirir.

POLİTİKANIN YÜRÜRLÜĞÜ

İşbu Politika 26/10/2020 tarihinde yürürlüğe girmiştir. Politika değişen şartlara ve mevzuata uyum sağlamak amacıyla tarafımızca güncellenebilecektir. Güncel Politika www.unabella.com.tr adresinde yayınlandığı tarihte yürürlüğe girmiş kabul edilecektir.