KVKK Kişisel Veri Saklama ve İmha Politikası

1.KVKK POLİTİKASI HAKKINDA GENEL BİLGİLER

1.1. GİRİŞ

Giriş: İşbu MATRİKS Kişisel Verilerin Saklanması ve İmhası Politikası (“Politika”), aşağıdaki düzenlemelere uyum sağlamak amacıyla hazırlanmıştır:

• 6698 Sayılı Kişisel Verilerin Korunması Hakkında Kanun (“KVKK” ya da “Kanun”),
• 28 Ekim 2017 tarihli Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”).

Bu Politika, MATRİKS Bina Kontrol Sistemler Ltd. Şti. (“MATRİKS” ya da “Şirket”) tarafından, veri sorumlusu sıfatıyla aşağıdaki amaçlarla hazırlanmıştır:

• Kişisel verilerin işlendiği amaçların belirlenmesi,
• Bu amaçlara yönelik gerekli azami saklama sürelerinin belirlenmesi,
• Veri güvenliğinin sağlanması; kişisel verilerin korunması, silinmesi, yok edilmesi ve anonim hale getirilmesine dair süreçlerin yönetilmesi,
• Veri sahiplerinin bu süreçler hakkında açıkça bilgilendirilmesi.

1.2. AMAÇ

Politikanın Amacı: İşbu Politikanın amacı;

• Kişisel Verilerin Korunması hakkındaki düzenlemelere ilişkin yükümlülüklere uyumun sağlanması,
• MATRİKS tarafından otomatik ya da otomatik olmayan yöntemlerle toplanan kişisel verilerin hukuka uygun bir biçimde işlenmesi ve gizliliğinin korunması,
• Şirket içi sorumlulukların belirlenerek işleyişin, iç kontrolün ve önlemlerin tanımlanması,
• Kişisel verileri MATRİKS tarafından işlenen kişilerin bilgilendirilmesi ve şeffaflığın sağlanmasıdır.

1.3. KAPSAM

Bu Politika: Veri sahibi kişilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir.

Politika kapsamında yer alan kişi ve gruplar şunlardır:

• MATRİKS Şirket yetkilileri
• Şirket hissedarları
• Çalışanlar
• Çalışan adayları
• Stajyerler
• Tedarikçiler
• MATRİKS’nin ürün ve hizmetlerinden faydalanan gerçek kişiler (Müşteriler)
• Potansiyel müşteriler
• Bayiler
• Üyeler
• Ziyaretçiler
• İş ortakları
• İnternet sitelerini ve mobil uygulamaları ziyaret eden ilgili kişiler
• İş birliği içerisinde olunan kurumların çalışanları, hissedarları ve yetkilileri
• Hizmet sağlayıcılar
• Diğer üçüncü kişiler

Bu Politika; MATRİKS’nin sahip olduğu ya da MATRİKS tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamlarında ve bu verilerin saklanmasına ve imha edilmesine yönelik faaliyetlerde uygulanır.

1.4. KISALTMALAR VE TANIMLAR

Alıcı Grubu: Veri Sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere, veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Saklama ve İmha Politikası: MATRİKS’nun kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemiyle birlikte, bu verilerin silinmesi, yok edilmesi ve anonim hale getirilmesine yönelik esasları belirleyen politikadır.

Saklama ve İmha Politikası: Kişisel Verilerin Saklanması, Silinmesi, Yok Edilmesi Ve Anonim Hale Getirilmesine İlişkin İmha Politikasıdır.

Kanun/KVKK: 6698 Sayılı Kişisel Verilerin Korunması Kanunu. Kayıt Ortamı tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Periyodik İmha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda, kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re'sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini.

Sicil: Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan veri sorumluları sicili.

Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

Kurul: Kişisel Verileri Koruma Kurulu.

Veri Sahibi / İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Yönetmelik: 28 Ekim 2017 tarihli Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

2. KİŞİSEL VERİLERİN KAYIT ORTAMLARI

Veri sahiplerine ait kişisel veriler, MATRİKS tarafından özellikle “MATRİKS Kişisel Verilerin Korunması ve İşlenmesi Politikası”nda belirlenen amaçlarla, fiziki ya da elektronik ortamlarda güvenli bir biçimde, KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde aşağıdaki tabloda belirtilen şekilde saklanmaktadır. MATRİKS Kişisel Verilerin Korunması ve İşlenmesi Politikası’na www.matrikstr.com web sitesinden ulaşılabilir.

ELEKTRONİK ORTAM	FİZİKSEL ORTAM
Matriks tarafından tahsis edilen ve/veya	Manuel Veri Kayıtları (Anket, Ziyaretçi)
Kişisel masaüstü-dizüstü bilgisayarlar	Defterleri, Matbu Formlar vb.
Mobil Cihazlar (Telefon, tablet vb)	Yazılı basılı görsel ortamlar
Optik Diskler (CD vb)	Kağıt olarak saklanan dosyalar
Sunucular (Web, E-Posta, Yedekleme, Veri Tabanı, Dosya Paylaşım, Exchange)
Yazılımlar (CRM, Office Yazılımları, Portal, Diğer Muhasebe, İnsan Kaynakları ile ilişkili yazılımlar)
Bilgi güvenliği cihazları (Güvenlik duvarı, saldırı tespit ve engelleme, kayıt dosyaları, antivirüs vb)
Çıkartılabilir bellekler (USB, Hafıza kartı vb)
Yazıcı, tarayıcı, fotokopi makinesi

3. KİŞİSEL VERİLERİ SAKLAMAYI VE İMHAYI GEREKTİREN SEBEPLER

3.1. Kişisel Verilerin Saklanmasını Gerektiren Nedenler

6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4. maddesinde ise işlenen kişisel verilerin, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiştir. 5. ve 6. maddelerde ise kişisel verilerin işlenme şartları sayılmıştır.

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesinde, Kanunun 4. maddesindeki genel ilkeler ile 12. madde kapsamında alınması gereken teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kurul kararlarına ve kişisel veri saklama ve imha politikasına uygun hareket edilmektedir.

Bu doğrultuda MATRİKS faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya “MATRİKS Kişisel Verilerin Korunması ve İşlenmesi Politikası”nda belirlenen işleme amaçlarına uygun süre boyunca saklanmaktadır.

Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanmasına ilişkin bir süre öngörülüp öngörülmediğini tespit etmektedir. Eğer böyle bir süre varsa, buna uygun hareket edilmektedir. Yasal bir süre bulunmaması durumunda ise veriler, işlendikleri amaç için gerekli olan süre kadar saklanmaktadır.

Belirlenen saklama sürelerinin sona ermesiyle birlikte kişisel veriler, periyodik imha sürelerine uygun olarak veya veri sahibi başvurusu doğrultusunda; silme, yok etme veya anonimleştirme yöntemlerinden biri ile imha edilmektedir.

İmha işlemleri kayıt altına alınmakta ve bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanmaktadır.

KVKK’nın 5. maddesine uygun olarak, kişisel veriler aşağıdaki nedenlerle saklanmaktadır:

• Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
• Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
• Kişisel verilerin, kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla MATRİKS’in meşru menfaatleri için saklanmasının zorunlu olması,
• Kişisel verilerin MATRİKS’in herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,
• Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
• Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.

3.2. Kişisel Verilerin İmhasını Gerektiren Nedenler

Aşağıda belirtilen durumlarda, veri sahiplerine ait kişisel veriler; 28 Ekim 2017 tarihli Yönetmelik uyarınca MATRİKS tarafından re’sen veya talep üzerine silinir, yok edilir veya anonim hale getirilir. Şöyle ki:

• Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması halinde; kişisel verilerin veri sorumlusu tarafından re’sen veya ilgili kişinin talebi üzerine silinmesi, yok edilmesi veya anonim hale getirilmesi,
• Kişisel verileri işlemenin yalnızca açık rıza şartına dayandığı durumlarda, ilgili kişinin rızasını geri alması,
• Kanun’un 11. maddesi gereğince ilgili kişinin hakları çerçevesinde verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,
• Veri sorumlusunun ilgili kişi tarafından yapılan imha başvurusunu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi halinde; Kurul’a yapılan şikâyet sonucunda bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın bulunmaması.

4. KİŞİSEL VERİLERİN SAKLAMA VE İMHA SÜRELERİ

MATRİKS tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerin saklama ve imha sürelerinin tespitinde, aşağıda sırasıyla belirtilen ölçütlerden yararlanılmaktadır:

1. Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona ermesi sonrasında, veri hakkında b bendi kapsamında işlem yapılır.
2. Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta herhangi bir süre öngörülmemiş olması durumunda, sırasıyla aşağıdaki adımlar izlenir:
   • Kişisel verinin işlenme amacı sona ermişse; veri, MATRİKS tarafından re’sen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.

4.1. Saklama ve İmha Süresi Belirleme Ölçütleri

MATRİKS, kişisel verileri; KVKK’nın 6. maddesinde yer alan tanımlamayı baz alarak, “kişisel veriler” ve “özel nitelikli kişisel veriler” olarak sınıflandırır. Özel nitelikli olduğu tespit edilen tüm kişisel veriler imha edilir. Bu verilerin imhasında uygulanacak yöntem, verinin niteliği ve saklanmasının MATRİKS nezdindeki önem derecesine göre belirlenir.

Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu değerlendirilir. Eğer verinin saklanması, bu ilkelere aykırı ise; ilgili veriler silinir, yok edilir ya da anonim hale getirilir.

Verinin saklanmasının, KVKK’nın 5. ve 6. maddelerinde öngörülen istisnalar kapsamında olup olmadığı belirlenir. Tespit edilen istisnalar çerçevesinde verilerin saklanması için gerekli makul süreler belirlenir. Bu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir.

Saklama süresi sona eren kişisel veriler, bu Politika’nın ilgili bölümünde belirtilen “Saklama ve İmha Süreleri”ne uygun olarak, her 6 ayda bir periyodik imhaya tabi tutulur.

4.2. Saklama Süresi Belirleme Kapsamı

MATRİKS tarafından işlenen kişisel verilerle ilgili olarak:

• Her bir süreç kapsamında gerçekleştirilen faaliyetler doğrultusunda, kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanteri içerisinde belirlenir.
• Süreç bazında belirlenen saklama süreleri ise, bu Politika’nın devamında açıkça yer almaktadır.

4.3. Süreç Bazlı Saklama ve İmha Süreleri

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesiyle ilgili yapılan tüm işlemler kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

5. KİŞİSEL VERİLERİN İMHA USULLERİ

5.1. Kişisel Verilerin Silinmesi Teknikleri

5.1.1. Sunucularda Yer Alan Kişisel Verilerin Silinmesi

Sunucularda yer alan kişisel verilerden saklanması gereken süresi sona erenler için, ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

5.1.2. Elektronik Ortamda Yer Alan Kişisel Verilerin Silinmesi

Elektronik ortamda yer alan kişisel verilerden saklanması gereken süresi sona erenler, çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

5.1.3. Fiziksel Ortamda Yer Alan Kişisel Verilerin Silinmesi

Fiziksel ortamda tutulan kişisel verilerden saklanması gereken süresi sona erenler için, evrak çalışanlar tarafından erişilemez hale getirilir. Ayrıca okunamayacak şekilde çizilerek, boyanarak veya silinerek karartma işlemi uygulanır.

5.1.4. Taşınabilir Medyada Yer Alan Kişisel Verilerin Silinmesi

Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanması gereken süresi sona erenler, sistem yöneticisi tarafından şifrelenir ve erişim yetkisi sadece sistem yöneticisine verilerek güvenli ortamlarda saklanır.

5.2. Kişisel Verilerin Yok Edilmesi Teknikleri

5.2.1. Fiziksel Ortamda Yer Alan Kişisel Verilerin Yok Edilmesi

Kâğıt ortamında yer alan kişisel verilerden saklanma süresi sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

5.2.2. Optik / Manyetik Medyada Yer Alan Kişisel Verilerin Yok Edilmesi

Optik ve manyetik ortamdaki veriler eritilerek, yakılarak veya toz haline getirilerek fiziksel olarak yok edilir. Ayrıca manyetik medya, özel bir cihazla yüksek manyetik alana maruz bırakılarak okunamaz hale getirilir.

5.3. Kişisel Verilerin Anonim Hale Getirilmesi Teknikleri

Sunucularda, elektronik ortamda, fiziksel ortamda, taşınabilir medyada ve optik/manyetik ortamlarda yer alan kişisel verilerden saklanması gereken süresi sona erenler; başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilemeyecek hale getirilir.

MATRİKS bu kapsamda; doğrudan ve/veya dolaylı tanımlayıcıları çıkararak veya değiştirerek, ilgili kişinin kimliğinin saptanmasını engeller ya da ilişkilendirilemeyecek şekilde anonimleştirir. Uygulanan yöntemler:

• Gruplama
• Maskeleme
• Türetme
• Genelleştirme
• Rastgele hale getirme

Bu yöntemlerin uygulanmasında, verinin niteliği, büyüklüğü, ortam yapısı, çeşitliliği ve işlenme amacı dikkate alınır. Sonuç olarak, elde edilen veriler belirli bir kişiyi tanımlayamaz hale getirilmiş olur.

6. KİŞİSEL VERİLERİN PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11. maddesi gereğince MATRİKS, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Kurumda her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

7. KİŞİSEL VERİLERİN SAKLAMA VE İMHA SÜRECİNDE SORUMLULUK

MATRİKS’in tüm birimleri ve çalışanları; sorumlu birimlerce Politika kapsamında alınan teknik ve idari tedbirlerin uygulanması, birim çalışanlarının eğitimi ve farkındalığının artırılması, izlenmesi ve sürekli denetimiyle sorumludur.

Ayrıca, kişisel verilerin hukuka uygun işlenmesi, kişisel verilere hukuka aykırı erişimin önlenmesi ve kişisel verilerin güvenli biçimde saklanmasını sağlamak amacıyla, veri işlenen tüm ortamlarda veri güvenliğine yönelik teknik ve idari tedbirlerin alınmasında, sorumlu birimlere aktif destek vermekle yükümlüdürler.

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvan, görev ve sorumluluk detaylarına aşağıda yer verilecektir.

8. POLİTİKANIN YÜRÜRLÜĞE GİRMESİ VE GÜNCELLENMESİ

İşbu Politika, 6698 Sayılı Kişisel Verilerin Korunması Kanunu ve kişisel verilere ilişkin sair mevzuat uyarınca hazırlanmış olup, www.matrikstr.com adresinde yayımlandığı tarihten itibaren yürürlüğe girer. (Versiyon 1.0)

MATRİKS, kişisel verilerin işlenmesine ilişkin süreçlerde meydana gelebilecek değişiklikler, yasal düzenlemeler veya sair gerekçelerle bu Politikayı zaman zaman güncelleyebilir. Yapılan güncellemeler, yeni Politika metninin Web Sitesi’nde yayımlandığı tarih itibarıyla yürürlüğe girer.

Güncel Politika metni, www.matrikstr.com internet sitesinde yayımlanır ve ilgili kişilerin erişimine açık hale getirilir.