KİŞİSEL VERİLERİN KORUNMASI POLİTİKASI

I. TANIMLAR

II. POLİTİKANIN AMACI

İşbu Politikanın temel amacı, Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun olarak kişisel verilerin işlenmesi ve korunmasına yönelik sistemler konusunda açıklamalarda bulunmak, bu kapsamda aşağıda detaylıca kategorize edilenler başta olmak ancak bunlarla sınırlı olmamak üzere şirket tarafından kişisel verileri işlenen Kişisel Veri Sahiplerini (İlgili Kişi) bilgilendirmektir.

Bu şekilde Kişisel Veri Sahiplerinin, şirket politikasından haberdar olması, Kişisel Verilere dair mevzuattan kaynaklanan tüm haklarının korunması ve etkin bir şekilde kullanabilmesi hedeflenmektedir.

III. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

1. Kişisel Verilerin Güvenliğinin Sağlanması

Şirketimiz, Kanun'un 12. maddesine uygun olarak, kişisel verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek için, korunacak verinin niteliğine göre gerekli tedbirlerini almaktadır. Bu kapsamda Şirketimiz, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik ve idari tedbirleri almakta, denetimleri yapmakta veya yaptırmaktadır.

2. Özel Nitelikli Kişisel Verilerin Korunması

Kanun ile birtakım kişisel verilere hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem atfedilmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir. Şirket tarafından, Kanun ile “özel nitelikli” olarak belirlenen ve bununla sınırlı olmadan hassas olarak addedilen hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında özel tedbirler alınmakta ve hassas davranılmaktadır.

3. İş Birimlerinin Kişisel Verilerin Korunması ve İşlenmesi Konusunda Farkındalıklarının Artırılması ve Denetimi

Veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini, kişisel verilere hukuka aykırı olarak erişilmesini önlemeye ve kişisel verilerin muhafazasını sağlamaya yönelik farkındalığın artırılması için iş birimlerine gerekli eğitimlerin düzenlenmesini sağlamaktadır. Şirket çalışanlarının kişisel verilerin korunması konusunda farkındalığının oluşması için gerekli sistemler kurulmakta, konuya ilişkin ihtiyaç duyulması halinde danışmanlar ile çalışmaktadır.

IV. KİŞİSEL VERİLERİN İŞLENMESİNDE TEMEL İLKELER

Kişisel verilerin korunmasına ilişkin mevzuata uyum sağlamak ve bunu sürdürmek kapsamında Şirket tarafından aşağıdaki temel ilkeler benimsenmiştir:

1. Kişisel verileri hukuka ve dürüstlük kurallarına uygun olarak işleme
   Şirket, Türkiye Cumhuriyeti Anayasası başta olmak üzere, kişisel verilerin korunması mevzuatına uygun olarak, kişisel veri işleme faaliyetlerini hukuka ve dürüstlük kuralına uygun olarak yürütür.
2. İşlenen kişisel verilerin doğruluğunu ve güncelliğini temin etme
   Şirket tarafından kişisel verilerin işlenmesi faaliyeti yürütülürken, teknik imkanlar dahilinde kişisel verilerin doğruluğunu ve güncelliğini sağlamaya yönelik gerekli her türlü idari ve teknik tedbirler alınmaktadır. Şirketimiz bu kapsamda, kişisel veri sahiplerinin kişisel verilerinin hatalı olması durumunda bunları düzeltme ve doğruluğunu teyit etmeye yönelik mekanizmalar kurmuştur.
3. Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi
   Şirket tarafından kişisel verilerin işlenmesi faaliyetleri, kişisel veri işleme faaliyeti başlamadan önce belirlenmiş olan, açık ve hukuka uygun amaçlar dahilinde yürütülmektedir.
4. Kişisel verileri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işleme
   Şirket tarafından, kişisel veriler, veri işleme şartları ile bağlantılı ve bu hizmetlerin gerçekleştirilmesi için gerektiği kadar işlenmektedir. Bu kapsamda, kişisel veri işleme amacı, kişisel veri işleme faaliyetine başlanmadan önce belirlenerek, ileride kullanılabileceği varsayımı ile veri işleme faaliyeti yürütülmemektedir.
5. Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme
   Şirket, kişisel verileri, ilgili mevzuatta öngörülen veya veri işleme amacının gerektirdiği süre ile sınırlı olarak muhafaza etmektedir. Bu doğrultuda mevzuatta öngörülen sürenin bitimi, kişisel veri sahibinin talebi veya kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler şirket tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

V. KİŞİSEL VERİLERİN İŞLENMESİ ŞARTLARI

Kişisel veri sahibinin açık rıza vermesi haricinde kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabileceği gibi birden fazla şart da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir.

1. Kişisel Veri Sahibinin Açık Rızasının Bulunması
   Kişisel verilerin işlenme şartlarından biri veri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır. Aşağıda yer alan kişisel veri işleme şartlarının varlığı durumunda veri sahibinin açık rızasına gerek kalmaksızın kişisel veriler işlenebilecektir.
2. Kanunlarda Açıkça Öngörülmesi
   Veri sahibinin kişisel verileri, kanunda açıkça öngörülmekte ise diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde işbu veri işleme şartının varlığından söz edilebilecektir.
3. Fiili İmkansızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması
   Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
4. Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması
   Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde işbu şart yerine getirilmiş sayılabilecektir.
5. Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi
   Şirketimizin hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
6. Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi
   Veri sahibinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.
7. Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması
   Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.
8. İlgili Kişinin Temel Hak ve Özgürlüklerine Zarar Vermemek Kaydıyla Veri Sorumlusunun Meşru Menfaati için Veri İşlemenin Zorunlu Olması
   Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

VI. KİŞİSEL VERİ SAHİBİ İLGİLİ KİŞİLERİN TANIMLANMASI

VII. KİŞİSEL VERİ KATEGORİZASYONU

VIII. KİŞİSEL VERİLERİN ELDE EDİLMESİ VE İŞLENMESİ

1. Çalışanlar - İşlenen Kişisel Veriler ve Amaçları

2. Hissedar/Ortaklar - İşlenen Kişisel Veriler ve Amaçları

3. Çalışan Adayları - İşlenen Kişisel Veriler ve Amaçları

4. Potansiyel Gerçek Kişi Müşteri / Potansiyel Müşteri Çalışanı veya Yetkilisi - İşlenen Kişisel Veriler ve Amaçları

5. Gerçek Kişi Müşteri / Müşteri Çalışanı veya Yetkilisi - İşlenen Kişisel Veriler ve Amaçları

6. Potansiyel İş Ortakları Hissedar/Çalışanı/Yetkilisi - İşlenen Kişisel Veriler ve Amaçları

7. İş Ortakları Hissedar/Çalışanı/Yetkilisi - İşlenen Kişisel Veriler ve Amaçları

8. Üçüncü Kişi Ziyaretçiler - İşlenen Kişisel Veriler ve Amaçları

IX. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN ELDE EDİLMESİ VE İŞLENMESİ

Veri sorumlusu şirket; şirket hissedar ve yetkilileri ve çalışanlara ait özel nitelikli kişisel verileri işlemekte olup bu kişisel veriler hakkında ayrıntılı bilgiler sadece ilgili kişilerin erişebileceği şekilde Şirket bünyesinde yayınlanmakta olup, kendilerine bu konuda ayrıntılı bilgilendirme yapılmıştır.

Özel nitelikli kişisel verileri işlenen kişiler, dilerse işbu Politikanın XII. maddesinde yer alan başvuru yöntemlerinden birisini kullanarak işlenen kişisel verilerine ilişkin taleplerini iletebilir ve haklarını kullanabilir.

X. KİŞİSEL VERİLERİN AKTARIMI

Bizimle paylaşmış olduğunuz tüm kişisel verileriniz, şirket nezdinde yer alan veri tabanında, fiziki evraklarda 6698 Sayılı Kişisel Verilerin Korunması Kanunu md. 12 doğrultusunda gizli olarak saklanmaktadır.

Mevcut amaçlarla işlenen kişisel veriler, Kanun'un 8 ve 9. maddeleri uyarınca, Aydınlatma Metinleri'nde detaylıca aktarım amaçları belirtilerek (ilgili mevzuatlar kapsamında gerçek kişiler ve özel hukuk tüzel kişileri (yurt içinde Sözleşme ile Dış Hizmet Alımı Yapılan 3. Kişi Özel Kuruluşlara) ve yetkili kamu kurum ve kuruluşlarına (SGK, İŞ-KUR, Türkiye Bankalar Birliği Bünyesindeki Bankalar, Sayıştay, Maliye Bakanlığı, Merkez Bankası vb. yasal mercilere) aktarılmaktadır.

Hissedar/ortak ve çalışanlara ilişkin bazı veriler, yatırım süreçlerinin yürütülmesi, yönetim faaliyetlerinin yürütülmesi, şirket reklam/tanıtım süreçlerinin yürütülmesi amaçları kapsamında bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması şartlarıyla yurt içindeki ve Kişisel Verilerin Korunması Kanunu m.9 dördüncü fıkrada öngörülen uygun güvenceler sağlanmak koşuluyla ve yurt dışındaki Yatırımcılara veya Potansiyel Yatırımcılara aktarılmaktadır.

Çalışanlara ilişkin bazı veriler, çalışan memnuniyeti ve bağlılığı süreçlerinin yürütülmesi, performans değerlendirme süreçlerinin yürütülmesi, şirket reklam/tanıtım süreçlerinin yürütülmesi amaçlarıyla Kişisel Verilerin Korunması Kanunu m.9 dördüncü fıkrada öngörülen uygun güvenceler sağlanmak koşuluyla yurtdışındaki Sosyal Ağ Sağlayıcılara aktarılmaktadır.

İlgili kişilere ilişkin genel nitelikli verilerden bazıları Aydınlatma Metinleri'nde detaylıca kategorize edilerek ve belirtilen amaçlarla, değişiklik sonrası kabul edilen ve Kişisel Verilerin Korunması Kanunu m.9 dördüncü fıkrada öngörülen uygun güvenceler sağlanmak koşuluyla yurtdışındaki Bulut Hizmet Sağlayıcılara aktarılmaktadır.

XI. KİŞİSEL VERİLERİN GÜVENLİĞİ

Şirket işlediği kişisel verilerin güvenliğini sağlamak, hukuka aykırı erişimi önlemek ve hukuka aykırı veri işlemeleri engellemek amacıyla asgari olarak aşağıdaki önlemleri almaktadır.

Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim logları düzenli olarak tutulmaktadır.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

İdari Tedbirler

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

XII. KİŞİSEL VERİ SAHİPLERİNİN KİŞİSEL VERİLERİ ÜZERİNDEKİ HAKLARI VE HAKLARIN KULLANILMASI

İşbu Kişisel Verilerin korunması Politikasında belirtilen amaçlar ve kişisel verilerin işlenme yöntemleri kapsamında bizimle paylaşmış olduğunuz kişisel verileriniz üzerinde 6698 Sayılı Kanun md. 11 uyarınca sahip olduğunuz haklar aşağıdaki gibidir:

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• 6698 sayılı Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

Söz konusu haklarınıza ilişkin taleplerinizi, kişisel veri sahipleri olarak yazılı bir şekilde USERSDOT TEKNOLOJİ VE DANIŞMANLIK A.Ş.'nin “Ayazağa Mah. Kemerburgaz Cad. Vadi İstanbul Park Sitesi 7A Blok No:7B Kat:2 İç Kapı No:4 Sarıyer/İstanbul” adresine elden teslimat, posta veya kargo ya da noter kanalıyla veyahut güvenli elektronik imza ve mobil imza ile [email protected] elektronik posta (KEP) adresimize ya da şirketin e-mail adresi olan [email protected] adresine yazılı olarak iletilmesi halinde 30 (otuz) gün içerisinde değerlendirilerek sonuçlandırılacaktır.

Veri sahibi tarafından iletilen taleplerde veri sahibinin; adı, soyadı, başvuru yazılı ise imzası, TC kimlik numarası bulunması, veri sahibi yabancı ise uyruğu, pasaport numarası veya varsa kimlik numarası bulunması ve tüm veri sahiplerinin tebligata esas yerleşim yeri veya iş adresi, varsa bildirime esas elektronik posta adresi, telefon ve faks numarası ve talep konusu bulunması zorunludur.

Söz konusu talep formuna www.usersdot.com adresinde yer alan Kişisel Verilerin Korunması bölümünden ulaşabilir ve indirebilirsiniz.

XIII. KİŞİSEL VERİLERİN DOĞRU VE GÜNCEL OLARAK MUHAFAZA EDİLMESİ

Kişisel verilerini işlediğimiz ilgili kişi grupları bizzat kendilerinin verdikleri, sözleşme ilişkisi dolayısıyla alınan kişisel verilerin doğru ve güncel olmasının, KVKK anlamında kişisel verileri üzerinde sahip oldukları hakları kullanabilmeleri ve ilgili diğer mevzuat açısından önemli olduğunu bildiklerini ve yanlış bilgi verilmesinden doğacak sorumluluğun tamamen kendilerine ait olacağını kabul ve beyan etmişlerdir.

XIV. KİŞİSEL VERİ SAKLAMA SÜRESİ

Çalışan, hissedar/ortak, çalışan adayları, gerçek kişi müşteri, müşteri çalışanı veya yetkilisi, iş ortaklarının çalışanı/yetkilisi, üçüncü kişi ziyaretçiler ilişkin kişisel veriler hukuki ilişki süresince ve ilişkinin sona ermesinden itibaren 10 yıl; hukuki ilişkinin kurulmadığı potansiyel gerçek kişi müşteri/çalışanı/yetkilisi, potansiyel tüzel kişi müşterinin çalışanı/yetkilisi, potansiyel iş ortaklarının çalışanı veya yetkilisi, çalışan adaylarına ilişkin kişisel veriler işlenmesinden itibaren makul süre 2 yıl ve İşlem güvenliği verilerinde 5651 sayılı İnternet Kanunu bakımından en fazla 2 yıl süre ile saklanmaktadır.

XV. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİMLEŞTİRİLMESİ

İşbu Kişisel Verilerin Korunması Politikasında belirtilen amaçlarla işlenmiş olan kişisel verileriniz; 6698 Sayılı Kanun md. 7/f.1'e göre işlenmesi gerektiren amaç ortadan kalktığında ve md. 17 ve Türk Ceza Kanunu md. 138'e göre ise Kanunların belirlediği süreler geçtiğinde tarafımızca anonimleştirilerek kullanılmaya devam edilecektir.

Şirket ilgili mevzuatta öngörülen veya işleme amacının gerekli kıldığı saklama süreleri sona erdiğinde, periyodik imha için öngörülen 6 aylık süre zarfında; işlediği kişisel verileri Kişisel Verileri Koruma Kurulu tarafından yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesine İlişkin Rehber'de belirtilen anonim hale getirme yöntemlerinden, iş süreçleri ve faaliyetlerine en uygun olan bir veya birkaç tekniği kullanarak anonimleştirir ve bu şekilde verileri kullanmaya devam eder.

Bu konuda ayrıca Saklama ve İmha Politikası oluşturulmuştur ve uygulanmaktadır. Bu konudaki esas şirket prosedürü için detaylar sitede yer alan Saklama ve İmha Politikası'ndan incelenebilir.

XVI. POLİTİKADA YAPILABİLECEK DEĞİŞİKLİKLER VE GÜNCELLEMELER

Şirket bu Politikada yasal düzenlemeler ve Şirket Politikası doğrultusunda değişiklik veya güncellemeler yapabilir. Tüm bu değişiklik ve güncellemeleri yansıtan yeni Politika metni hakkında ilgili kişilere web sitesi üzerinden gerekli bilgilendirmeler yapılır.

İşbu Politika Versiyon 2 olarak güncellenmiş olup 6698 sayılı Kişisel Verilerin Korunması Kanununa yönelik hükümler de içeren 12/3/2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun kapsamında gerekli düzenlemelere uyum sağlanmıştır.