SANKYO OİLLESS MAKİNA SANAYİ TİCARET LTD. ŞTİ.

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

 

 

1.        GİRİŞ
   1.     Amaç 

Sankyo Oilless Makina Sanayi Ticaret Ltd. Şti. (ŞİRKET), kişisel verilerin korunması hususunda yürürlükte bulunan yasal mevzuata uygun davranmak için tüm çalışmalarını titizlikle yürütmektedir. Bu kapsamda bu Kişisel Verileri Sakama ve İmha Politikası (Politika) ile Şirket; Şirket bünyesindeki kişisel veri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeleri açıklamakta ve bu konuda şeffaflığı temin etmeyi amaçlamaktadır.

2.     Kapsam

Bu Politika; çalışanlarımızın, çalışan adaylarımızın, hissedarlarımızın, mal sahibi ve tedarikçilerimiz ile mevcut ve potansiyel müşterilerimizin, tedarikçi şirket yetkilisi ve çalışanlarının, ürün veya hizmet sağladığımız kişilerin, eğitime katılan kişilerin, iştirak ve bağlı ortaklarımızın, ihaleye katılan kişilerin, ziyaretçilerimizin otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlediğimiz kişisel verilerini kapsamaktadır.

3.     Kısaltmalar

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu

Kurum: Kişisel Verileri Koruma Kurumu

4.     Tanımlar

Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

Anonim hale getirme: Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini; Kişisel verinin, kişisel veri niteliğini kaybedecek ve bu durumun geri alınamayacağı şekilde değiştirilmesini,

Çalışan Adayı: Şirket ’e herhangi bir şekilde iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini şirketin incelemesine açmış olan gerçek kişileri,

Hissedar: Şirket’in hissedarı gerçek kişileri,

İlgili Kişi (Veri Sahibi): Kişisel verisi işlenen gerçek kişiyi,

İş Birliği İçinde Olduğumuz Kurumların Çalışanları ve Yetkilileri: Şirketin her türlü iş ilişkisi içerisinde bulunduğu kurumlarda (iş ortağı, tedarikçi gibi, ancak bunlarla sınırlı olmaksızın) çalışan, bu kurumların yetkilileri dâhil olmak üzere gerçek kişileri,

İş Ortağı: Şirketin ticari faaliyetlerini yürütürken bizzat veya grup şirketleri ile muhtelif projeler yürütmek, hizmet almak gibi amaçlarla iş ortaklığı kurduğu tarafları,

Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, (Tüzel kişilere ait veriler ancak bir gerçek kişinin kimliği ile ilişkilendirilebilir olmak kaydıyla bu gerçek kişinin kişisel verisi olabilecektir.)

Kişisel Veri İşleme Envanteri: Şirketimizin iş süreçlerine bağlı olarak gerçekleştirdiği veri işleme faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirlerini detaylı şekilde açıkladığımız envanteri, 

Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

Özel nitelikli kişisel veri: Hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan kişisel veriler; Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri,

Şirket Yetkilisi: Şirket yönetim kurulu üyesi ve diğer yetkili gerçek kişileri,

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,

Veri Sahibi Başvuru Formu: Kişisel veri sahiplerinin haklarını kullanmak için Şirket’e yapacakları başvuruyu içeren bilgi istem formunu,

Veri Sorumlusu: Bu Politika kapsamında kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan Şirket’i, 

Web Sitesi: Şirketimize ait https://www.sankyo-oilless.com.tr şeklindeki internet sitesini ifade eder.

5.     Mevzuatın Uygulanması

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanunî düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Şirket yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir. Politika, ilgili mevzuat tarafından ortaya konulan kuralları Şirket uygulamaları kapsamında somutlaştırılarak düzenlemektedir.

2.        SORUMLULUK VE GÖREV DAĞILIMLARI

Şirket, VERBİS üzerinden bildirimlerin ve güncellemelerin yapılması, personelin kişisel verilerin korunmasına dair farkındalığının arttırılması için eğitim organize edilmesi, kişisel verilerin işlenmesinde Şirket politikalarının gerektiği şekilde uygulanmasının takibi, ilgili kişiler tarafından yapılacak başvuruların hızlı bir şekilde cevaplanmasını temin için gerekli aksiyonların alınması için İdari İşler Departmanı’nda çalışan Satın Alma Sorumlusunu görevlendirmiştir. 

Şirket içerisinde bulunan diğer tüm birimlerde çalışan personel ise görevlerine uygun olarak Şirket politikalarının uygulanmasını temin etmekle talimatlandırılmıştır.

 

3.        KİŞİSEL VERİLERİN SAKLANDIĞI ORTAMLAR

Şirket, hukuka uygun olarak işlenen verileri, ilgili verinin niteliğine ve toplanma şekline göre aşağıdaki şekillerde saklamaktadır. Ancak istisnai olarak verinin özel nitelik taşıması veya hukuki yükümlülüklerin gerektirmesi nedeniyle işlenen veriler aşağıda sayılanlar dışında kalan ortamlarda saklanabilecektir. Bu durumlarda da verilerin korunması için gereken tüm tedbirler Şirket tarafından titizlikle uygulanacaktır. 

Elektronik Ortamlar	Elektronik Olmayan Ortamlar
Sunucular (Yedekleme, e-posta, veritabanı, web siteleri, dosya paylaşımı, vs.) Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vs.) Bilgisayarlar, Mobil cihazlar (telefon, tablet vs.) Optik Diskler (CD gibi) Taşınabilir bellekler (USB, Hafıza Kartı vs.) Yazıcı, tarayıcı, fotokopi makinesi	Kâğıt Manuel veri kayıt sistemleri (anket, ziyaretçi formları vs.) Yazılı/basılı görsel ortamlar

 

4.        SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

Şirket tarafından işlenen kişisel veriler, Kanuna ve bu politikada yer alan koşullara uygun olarak saklanır ve imha edilir.

1.     Saklamayı Gerektiren Hukuki Nedenler

Şirket tarafından işlenen kişisel verilerin saklanması, aşağıda sayılan hukuki nedenlere dayanmaktadır:

1. Mevzuatın öngördüğü saklama sürelerine riayet edilmesi zorunluluğu (6098 sayılı Türk Borçlar Kanunu, 6762 sayılı Türk Ticaret Kanunu, 4857 sayılı İş Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun, 6361 sayılı İş Sağlığı ve Güvenliği Kanunu ve bu kanunların düzenlediği konulara ilişkin diğer yasal düzenlemeler)
2. Sözleşmenin kurulması ve ifası için gerekli olması,
3. İlgili kişinin açık rızasına dayalı olarak açık rızanın bulunduğu süre kadar saklanması,
4. Şirket’in meşru menfaatleri gereğince kişisel verinin saklanmasının zorunlu olması.

 

2.     Saklamayı Gerektiren İşleme Amaçları

Şirket tarafından işlenen kişisel verilerin saklanması aşağıda sayılan amaçlara dayanmaktadır:

1. İnsan kaynakları süreçlerinin planlanması, 
2. Acil durum süreçlerinin yürütülmesi, 
3. İş sağlığı ve güvenliği faaliyetlerinin yürütülmesi,
4. Faaliyetlerin mevzuata uygun yürütülmesi, 
5. Görevlendirme süreçlerinin yürütülmesi,
6. Hukuk işlemlerinin takibi ve yürütülmesi, 
7. Denetim faaliyetlerinin yürütülmesi,
8. Çalışanların iş akdi kaynaklı yükümlülüklerinin yerine getirilmesi,
9. Eğitim faaliyetlerinin yürütülmesi, 
10. Erişim yetkilerinin yürütülmesi,
11. Finans ve muhasebe işlemlerinin yürütülmesi,
12. İletişim faaliyetlerinin yürütülmesi,
13. Mal/hizmet satın alım süreçlerinin yürütülmesi
14. Bilgi güvenliği süreçlerinin yürütülmesi.

 

3.     İmhayı Gerektiren Nedenler

Şirket aşağıdaki durumların varlığında ilgili kişinin talebi üzerine veya re ’sen kişisel verileri siler, yok eder ya da anonim hale getirir:

1. İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
2. İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
3. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
4. Kanunun 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
5. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

 

5.        TEKNİK VE İDARİ TEDBİRLER

Şirket, kişisel verilerin ve özel nitelikli kişisel verilerin Kanuna uygun olarak saklanması için gereken tüm idari ve teknik tedbirleri almaktadır. Saklama nedenlerinin ve saklama amacının sona ermesinden sonra ise Şirket, bu verileri gerekli tedbirleri alarak imha etmektedir.

1.     Teknik Tedbirler

Kişisel verilerin korunması için Şirket tarafından aşağıdaki teknik tedbirler alınmaktadır:

1. Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
2. Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
3. Çalışanlar için yetki matrisi oluşturulmuştur.
4. Erişim logları düzenli olarak tutulmaktadır.
5. Görev değişikliği olan ya da işten ayrılan çalışanların bu alanlardaki yetkileri kaldırılmaktadır.
6. Güncel anti-virüs sistemleri kullanılmaktadır.
7. Güvenlik duvarları kullanılmaktadır.
8. Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
9. Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır. 
10. Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
11. Veri kaybı önleme (DLP) yazılımları kullanılmaktadır.
12. Sızma (Penetrasyon) testleri ile Şirket bilişim sistemlerine yönelik riskler ve varsa açıklıklar ortaya çıkarılarak gerekli teknik ve idari tedbirler alınmaktadır.
13. Veri yedekleme programları kullanılmaktadır.

 

2.     İdari Tedbirler

Kişisel verilerin korunması için Şirket tarafından aşağıdaki idari tedbirler alınmaktadır:

1. Kişisel veri toplama faaliyetleri öncesinde aydınlatma yapılmaktadır.
2. Kişisel veri işleme envanteri hazırlanmıştır.
3. Şirket içi rastgele ve periyodik denetimler yapılmaktadır. 
4. Çalışanlar için veri güvenliği önlemleri içeren disiplin düzenlemeleri mevcuttur.
5. Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır. 
6. Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulanmaya başlanmıştır. 
7. Gizlilik taahhütnameleri yapılmaktadır.
8. İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
9. Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
10. Kişisel veri güvenliğinin takibi yapılmaktadır.
11. Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

 

6.        KİŞİSEL VERİLERİ İMHA TEKNİKLERİ 

ŞİRKET tarafından en çok kullanılan silme, yok etme ve anonim hale getirme teknikleri aşağıda sıralanmaktadır:

1.     Silme Yöntemleri

Sunucularda Yer Alan Kişisel Veriler	Sunucularda yer alan kişisel verilerden saklanma süresi sona erenler için sistem yöneticisi tarafından kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
Elektronik Ortamda Yer Alan Kişisel Veriler	Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veritabanı yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
Fiziksel Ortamda Yer Alan Kişisel Veriler	Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.
Taşınabilir Medyada Bulunan Kişisel Veriler	Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

 

2.     Yok Etme Yöntemleri

Fiziksel Ortamda Yer Alan Kişisel Veriler	Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
Optik / Manyetik Medyada Yer Alan Kişisel Veriler	Kişisel veri barındıran optik ve manyetik medyanın eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemidir. Optik veya manyetik medyayı eritmek, yakmak, toz haline getirmek ya da bir metal öğütücüden geçirmek gibi işlemlerle verilerin erişilmez kılınması sağlanır.
Üzerine Yazma	Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazılarak eski verinin okunmasının ve kurtarılmasının önüne geçilir.
De-Manyetize Etme (Degauss)	Manyetik medyanın yüksek manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemidir.

 

3.     Anonimleştirme Yöntemleri

Anonimleştirme, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. 

Şirket, kişisel verilerin anonim hale getirilmesi için ilgili verinin niteliğine göre; değişkenleri çıkarma, bölgesel gizleme, genelleştirme, alt ve üst sınır kodlama, mikro birleştirme, veri karma ve bozma anonimleştirme yöntemlerinden bir ya da birkaçını kullanır.

7.        SAKLAMA VE İMHA SÜRELERİ

Şirket, işlediği kişisel verilerin saklama sürelerine ilişkin detayları her bir veri türü için belirtmek suretiyle Kişisel Veri Envanterinde düzenlemiştir. Kişisel veri kategorileri bakımından ise saklama sürelerini en fazla süreyi belirtecek şekilde VERBİS bildiriminde ve bu Politikada belirtmiştir.

Kimlik	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
İletişim	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Özlük	İş ilişkisinin sona ermesinden itibaren 10 yıl
Hukuki İşlem	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Müşteri İşlem	10 yıl
Fiziksel Mekân Güvenliği	15 gün
İşlem Güvenliği	2 yıl
Risk Yönetimi	10 yıl
Finans	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Mesleki Deneyim	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Pazarlama	Hukuki ilişkinin sona ermesinden itibaren 10 yıl
Görsel ve İşitsel Kayıtlar	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Sağlık Bilgileri	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Ceza Mahkumiyeti ve Güvenlik Tedbirleri	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl
Biyometrik Veri	İş ilişkisinin sona ermesinden itibaren 10 yıl
Taşıt Bilgisi, Ehliyet Bilgisi, İletişim Dili, Kişisel Araç Ruhsat Bilgisi, Kurum ve Unvan Bilgisi, Seyahat Engeli Durumu, Personel Yakını Bilgileri, Referans Bilgileri Gibi Diğer Bilgiler	İlgili kişi grubuna göre değişkenlik göstermekle birlikte en fazla 10 yıl

 

8.        PERİYODİK İMHA

Şirket, bir yıl içerisinde altı ay aralıklarla iki kez imha işlemi gerçekleştirir. Bu kapsamda Politika gereğince her Ekim ve Nisan aylarında periyodik olarak gerekli koşulları oluşmuş olan verilerin imha süreçleri işletilecektir.

9.        POLİTİKA HAKKINDA

ŞİRKET, Kanunda yapılan değişiklikler nedeniyle, Kurum kararları uyarınca ya da sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda Kişisel Verilerin İşlenmesi ve Korunması Politikasında ya da işbu Kişisel Veri Saklama ve İmha Politikasında değişiklik yapma hakkını saklı tutar.

İşbu Kişisel Veri Saklama ve İmha Politikasında yapılan değişiklikler derhal metne işlenir ve değişikliklere ilişkin açıklamalar politikanın sonunda açıklanır.