KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

Transkript

1 İC İNDEKİLER 1. Giriş ve Politikanın Hazırlanma Amacı 2. Tanımlar 3. Politikanın Kapsamı 4. Kayıt Ortamları 5. İlkeler 6. Kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da dig er sebeplere ilişkin ac ıklama 7. Kişisel verilerin gu venli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin o nlenmesi ic in alınmış teknik ve idari tedbirler 8. Kişisel verilerin hukuka uygun olarak imha edilmesi ic in alınmış teknik ve idari tedbirler 9. Kişisel verileri saklama ve imha su rec lerinde yer alanların unvanları, birimleri ve go rev tanımları, 10. Kişisel verilerin saklama ve imha su releri ve Periyodik İmha Su releri 11. Son Hu ku mler 1 GİRİŞ VE POLİTİKANIN HAZIRLANMA AMACI Bu Politikanın amacı, F.S.S. Fren Sistemleri Sanayi Tic. Ltd. Şti ( bundan sonra F.S.S. olarak anılacaktır) tarafından, 6698 sayılı Kişisel Verilerin korunması Kanunu nun 7. maddesi uyarınca oluşturulan yo netmelik gereg i yu ku mlu lu klerimizin yerine getirilmesi ve hukuka uygun bir bic imde yu ru tu len kişisel veri işleme faaliyetinin, ilgili mevzuata uygun olarak kişisel verileri saklama ve imha politikasını belirlemektir. 2- TANIMLAR Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu dur. Yönetmelik: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim hale Getirilmesi Hakkında Yo netmelik tir. Veri Sorumlusu: Kişisel verilerin işleme amac larını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yo netilmesinden sorumlu olan gerc ek veya tu zelkişidir. Kis isel Veri İs leme Envanteri: F.S.S. iş su rec lerine bag lı olarak gerc ekleştirmekte oldug u kişisel veri işleme faaliyetlerini; kişisel veri işleme amac larını, veri kategorisini, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdug u ve kişisel verilerin işlendikleri amac lar ic in gerekli olan azami su reyi, yabancı u lkelere aktarımı o ngo ru len kişisel verileri ve veri gu venlig ine ilişkin alınan tedbirleri ac ıklayarak detaylandıran envanter Kis isel Verinin Silinmesi: kişisel verinin ilgili kullanıcılar ic in hic bir şekilde erişilemez ve kullanılamaz hale getirilmesi işlemi. ( O rn. Dijital olarak tutulan Ziyaretc i bilgilerinin o ngo ru len su re sonunda ilgili kullanıcı olan İK ve Gu venlik personelinin tekrar erişemeyeceg i şekilde sistemden silinmesi, kag ıt ortamında ise c alışan tarafından İK ya verilen bir dilekc enin iş ile ilgili bag lantısını o g renmek isteyen bo lu m amirine dilekc enin u stu ndeki kişisel verilerin c izilerek/boyanarak/silinerek/ kesilerek karartma işlemi uygulanması. Kis isel Verilerin Yok Edilmesi: Kişisel verilerin hic kimse tarafından hic bir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. (O rn. Sistemler u zerinde bulunan verilerin, de-manyetize etme, u zerine yazma vb. uygun yo ntemlerle yok edilmesi, kag ıt ortamındaki verilerin kag ıt imha makinalarında yok edilmesi.) Anonim Hale Getirme: Kişisel verinin, maskeleme, toplulaştırma, veribozma vb. tekniklerle kişisel veri nitelig ini kaybedecek ve bu durumun geri alınamayacag ı şekilde deg iştirilmesidir. (O r: Yapılan bir c alışan memnuniyeti anketi raporundaki yaş grubu veya cinsiyet veri ku mesinde tek bir yo neticinin olması durumunda, bu kişiye ait kaydın sonuc tan c ıkarılarak, kişisel verinin bir gerc ek kişi ile ilişkilendirilemeyecek hale getirilmesi.) Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere go re yapılandırılarak işlendig i kayıt sistemini, ifade eder. T.. 1/ Orkun ORUÇ Serkan ESKİ

2 3- POLİTİKANIN KAPSAMI İşbu politika, F.S.S. nin kişisel verileri işledig i her hangi bir su rece dahil olan tu m departmanlarını, c alışanlarını ve 3. tarafları kapsamaktadır. İşbu politika, F.S.S. nin kişisel veriler u zerinde uygulayacag ı tu m imha faaliyetlerini kapsayacak olup, her tu rlu imha gereksinimi sonucunda uygulanacaktır. Mevzuat deg işiklig i durumunda F.S.S politikasını ilgili mevzuata uygun surette gu ncelleyecektir. İşbu politikanın F.S.S. tarafından uygulanmasında hukuki bir engel oldug una kanaat getirilmesi durumunda, F.S.S. uygulayacag ı adımları gerek go ru lmesi halinde Hukuk Bo lu mu ne ve Yo netim Kurulu na danışarak yeniden belirleyebilir. Yo netmelik uyarınca F.S.S. sicile kayıt yu ku mlu lu g u olan bir Veri Sorumlusu olarak, uhdesinde bulunan kişisel verileri kişisel veri envanterine uygun surette saklamak ve gerektig inde silmek ya da anonim hale getirmek ic in esasları işbu Politika kapsamında belirlemiştir. 4- KAYIT ORTAMLARI İşbu Politikanın uygulanmasında, kullanılan kayıt ortamları; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parc ası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulundug u her tu rlu ortam anlamına gelmektedir. Şirketimizdeki kayıt ortamları; a) Bilgisayarlar/Sunucular b) Ag cihazları c) Disk Su ru cu leri d) Bulut Sistemleri e) Mobil telefonlar, Digital Fotog raf Makineleri ve ic erisindeki saklama alanları f) Kag ıt g) Yazıcı, parmak izi okuyucu gibi c evre birimler h) Manyetik bantlar i) Optik diskler j) Flash Hafızalar k) Elektronik Ortamlar l) Fiziksel Ortamlar (Birim Dolapları, Arşiv ortamında tutulan dosyalanmış basılı kag ıt kayıt ortamları) m) Gu venlik Kameraları Go ru ntu kayıt ortamı 5- İLKELER F.S.S. tarafından kişisel verilerin saklanması ve imhasında aşag ıda yer alan ilkeler c erc evesinde hareket edilmektedir Kişisel verilerin silinmesi, imhası ve anonim hale getirilmesinde Kanun un 4. Maddesinde sayılan ilkeler ile 12. Maddesi kapsamında alınması gereken ve işbu politikada belirlenen teknik ve idari tedbirlere, ilgili mevzuat hu ku mlerine, Kurul kararlarına ve işbu politikaya tamamen uygun hareket edilmektedir Kişisel Verileri Koruma Kurulu tarafından aksi bir karar alınmadıkc a, kişisel verileri re sen silme, imha veya anonim hale getirme yo ntemlerinden uygun olanı tarafımızca sec ilmektedir. Ancak, ilgili kişinin talebi halinde uygun yo ntem gerekc esi ac ıklanarak sec ilecektir Kanun un 5 ve 6. Maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler F.S.S. tarafından re sen veya ilgili kişinin talebi u zerine silinmekte, yok edilmekte veya anonim hale getirilmektedir. Bu hususta ilgili kişi tarafından F.S.S. ye başvurulması halinde, iletilen talepler en gec 30 gu n ic inde sonuc landırılmakta ve ilgili kişiye bilgi verilmektedir. Talebe konu verilerin u c u ncu kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldıg ı 3. Kişiye bildirilmekte ve 3. Kişiler nezdinde gerekli işlemlerin yapılması sag lanmaktadır. T.. 2/ Orkun ORUÇ Serkan ESKİ

3 6- KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN HUKUKİ, TEKNİK YA DA DİG ER SEBEPLERE İLİŞKİN AC IKLAMA F.S.S. Kişisel verileri; a) İnsan Kaynakları su rec lerinin yo netiminde, b) Muhtelif projeler ile iş ortaklıg ının kurulma amac larının yerine getirilmesini temin etmek amacıyla ticari faaliyetlerini yerine getirmek ic in, c) Şirketler hukuku, etkinlik yo netimi, kurumsal iletişim su rec lerinin yo netiminde, d) Şirket ticari faaliyetlerine ilişkin stratejilerin tasarlanması ve denetiminde e) Gu venlig in sag lanmasında, f) Hukuken yetkili kamu kurum ve kuruluşlarına olan yu ku mlu lu klerin yerine getirilmesi amacıyla, g) Bir hakkın tesisi, kullanılması veya korunması amacıyla, h) F.S.S. nin her hangi bir hukuki yu ku mlu lu g u nu yerine getirmesi amacıyla, İlgili mevzuat ve politikalarda belirtildig i şekilde saklar ve imha eder. 7 KİŞİSEL VERİLERİN GU VENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN O NLENMESİ İC İN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER: Kişisel verilerin gu venli ve hukuka uygun şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin o nlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla Kanun un 12. Maddesindeki ilkeler c erc evesinde teknolojik imka nlar ve uygulama maliyetine go re teknik ve idari tedbirler almaktadır Kis isel Verilerin Hukuka Uygun Saklanması, İs lenmesi ve Eris ilmesinin O nlenmesini Sag lamak ic in Alınan Teknik Tedbirler: F.S.S. ; Kurulan sistemler kapsamında gerekli ic kontrolleri yapar Kurulan sistemler kapsamında bilgi teknolojileri risk deg erlendirmesi ve iş etki analizinin gerc ekleştirilmesi su rec lerini yo netir Verilerin kurum dışına sızmasını engelleyecek veya go zlemleyecek teknik alt yapının temin edilmesini ve ilgili matrislerin oluşturulmasını sag lar Birim c alışanlarının kişisel verilere erişim yetkilerinin kontrol altında tutulmasını sag lar, rrişim yetkilerini sınırlandırır, yetkileri du zenli olarak go zden gec irir. Teknik konularda bilgili personel istihdam eder Viru s koruma sistemleri ve gu venlik duvarlarını ic eren yazılımlar ve donanımlar kullanır. Kişisel verilerin gu venli bir bic imde saklanmasını sag lamak ic in hukuka uygun bir bic imde yedekleme programları kullanır. Kişisel verilerin bulundug u veri depolama alanlarına erişimler loglanarak uygunsuz erişimler veya erişim denemeleri ilgililere iletilir. Kanun un 12. Maddesi uyarınca, kişisel verilerin saklandıg ı her tu rlu dijital ortamı, bilgi gu venlig i gereksinimlerini sag layacak şekilde şifreli veya kriptografik yo ntemler ile korur Kis isel Verilerin Hukuka Uygun Saklanması, İs lenmesi ve Eris ilmesinin O nlenmesini Sag lamak ic in Alınan İdari Tedbirler F.S.S. ; Saklanan kişisel verilere şirket ic i erişimi iş tanımı gereg i erişmesi gerekli personel ile sınırlandırır. Erişimin sınırlandırılmasında verinin o zel nitelikli olup olmadıg ı ve o nem derecesi de dikkate alınır. İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi halinde, bu durumu en kısa su rede ilgilisine ve Kişisel Verileri Koruma Kurulu na bildirir. Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldıg ı kişiler ile kişisel verilerin korunması ve veri gu venlig ine ilişkin c erc eve so zleşme imzalar Veri gu venlig i kapsamında gerekli eg itimleri verir Kendi tu zelkişilig i nezdinde Kanun hu ku mlerinin uygulanmasını sag lamak amacıyla gerekli denetimleri yapar ve yaptırır. Denetimler sonucunda ortaya c ıkan gizlilik ve gu venlik zafiyetlerini giderir. T.. 3/ Orkun ORUÇ Serkan ESKİ

4 C alışanları, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak saklanması, işlenmesi konusunda bilgilendirir ve eg itir. Yu ru tmekte oldug u tu m faaliyetleri tu m bo lu mler o zelinde analiz ederek, bu analiz neticesinde ilgili iş birimlerinin gerc ekleştirmiş oldug u ticari faaliyetler o zelinde kişisel veri işleme faaliyetlerini ortaya koyar. C alışanlarını, o g rendikleri kişisel verileri KVK Kanunu hu ku mlerine aykırı olarak başkasına ac ıklayamayacag ı ve işleme amacı dışında kullanamayacag ı ve bu yu ku mlu lu g u n go revden ayrılmalarından sonra da devam edeceg i konusunda bilgilendirir. 8- KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İC İN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER F.S.S. kişisel verilerin hukuka uygun şekilde imha edilmesi ic in, teknolojik imka nlar ve uygulama maliyetine go re teknik ve idari tedbirler almakta ve c eşitli yo ntemler ic erisinden uygun olanları kullanmaktadır. 8.1-Kis isel Verilerin Hukuka Uygun Olarak İmha Edilmesi İc in Alınan Teknik Tedbirler: F.S.S. bu nyesinde gerc ekleştirilen kişisel veri saklama, imha faaliyetleri denetlenmektedir. Alınan teknik o nlemler ilgilisine raporlanmaktadır. Teknik konularda bilgili personel istihdam edilmektedir Kis isel Verilerin Hukuka Uygun Olarak İmha Edilmesi İc in Alınan İdari Tedbirler C alışanlar, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak imha edilmesi konusunda bilgilendirilmekte ve eg itilmektedir. Kişisel veri işleme envanterinde kayıtlı olan kişisel verileri imha edecek personel belirlenmiştir Kis isel Verilerin Hukuka Uygun Olarak İmha Edilmesi İc in Kullanılan Yöntemler; Kişisel Verilerin Silinmesi Yo ntemleri i. Kag ıt Ortamında Bulunan Kişisel Veriler: Karartma yo ntemi kullanılarak silinmektedir. ii. Merkezi Sunucuda Yer Alan Ofis Dosyaları: İşletim sistemindeki silme komutu ile silinir. iii. Taşınabilir Medyada Bulunan Kişisel Veriler: Uygun yazılımlarla silinir. iv. Veri Tabanları: Kişisel verilerin bulundug u ilgili satırlar veri tabanı komutları ile silinir Kişisel Verilerin Yok Edilmesi Yo ntemleri i. Yerel Sistemlerde Bulunan Kişisel Veriler: De-manyetize etme, fiziksel yok etme, u zerine yazma yo ntemlerinden uygun olanı kullanılarak yok edilir. ii. C evresel Sistemlerde Bulunan Kişisel Veriler: 1. Ag cihazları (switch, router vb.): (i.) de belirtilen uygun yo ntemler ile yok edilir. 2. Flash tabanlı ortamlar: İlgili u reticinin o nerdig i yo ntemler ya da (i.) belirtilen yo ntemler ile yok edilir. 3. Manyetik bant: De-manyetize ederek ya da yakma, eritme gibi fiziksel yo ntemlerle yok edilir. 4. Sim Kart ve sabit hafıza kartları: (i.) de belirtilen uygun yo ntemler ile yok edilir. 5. Optik diskler: Yakma, ku c u k parc alara ayırma, eritme gibi fiziksel yo ntemlerle yok edilir. 6. Veri Kayıt Ortamı sabit olan c evre birimleri: (i.) de belirtilen uygun yo ntemler ile yok edilir. iii. Kag ıt makinaları kullanılarak yok edilir. Orijinal kag ıt formattan tarama yoluyla elektronik ortama aktarılan Kişisel veriler ise bulundukları ortama go re uygun yo ntemlerle yok edilirler Kis isel Verilerin Anonim Hale Getirilmesi Yöntemleri: Kişisel verilerin anonim hale getirilmesi aşamasında, Kişisel Verileri Koruma Kurumu nun yayınladıg ı Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberinde go sterilen Kişisel Verilerin Anonim hale getirilmesi yo ntemlerinden uygun olanı kullanılır (Deg işken C ıkartma, Kayıtları C ıkartma, Bo lgesel Gizleme, Alt ve Üst Sınır Kodlama, Genelleştirme, Global Kodlama, Gu ru ltu Ekleme, Mikro Birleştirme, Veri Deg iş Tokuşu vb) T.. 4/ Orkun ORUÇ Serkan ESKİ

5 9 KİŞİSEL VERİLERİ SAKLAMA VE İMHA SU REC LERİNDE YER ALANLARIN UNVANLARI, BİRİMLERİ VE GO REV TANIMLARI, F.S.S. Kişisel verileri saklama su rec lerinde Muhasebe - Finans, İnsan Kaynakları, Bilgi İşlem, Satınalma, Satış, Teknik Hizmetler, Kalite ve Üretim Bo lu mleri; İmha su rec lerinde ise Muhasebe Finans, Bilgi İşlem ve İnsan Kaynakları bo lu mleri yer almaktadır. Sorumluların pozisyonları Kişisel Veri İşleme Envanterinde belirtilmektedir. 10 KİŞİSEL VERİLERİN SAKLAMA VE İMHA SU RELERİ VE PERİYODİK İMHA SU RELERİ Saklama ve imha Su releri ve Periyodik imha su relerini de ic eren Kişisel Veri İşleme Envanteri işbu Politikanın ayrılmaz bir parc asıdır. 11 SON HU KU MLER Bu Politikada hu ku m bulunmayan hususlarda sonradan yapılan deg işikliklerle Kanun ve ilgili mevzuat hu ku mleri uygulanır İşbu Politika, tarihinde yu ru rlu g e girer. T.. 5/ Orkun ORUÇ Serkan ESKİ