KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

I. AMAÇ VE KAPSAM

• 6998 Sayılı Kişisel Verilerin Korunması Kanunu'nun şirketimiz bünyesinde aktif olarak uygulanmasını
• Kişisel verilerin hangi amaçla ve hangi yöntemlerle işlendiğinin şeffaf bir şekilde ortaya konulmasını
• Kişisel verilerin saklanma koşullarını, kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesi                   sürecinin belirlenmesi
• Veri sahibi olan kişilerin, kanun kapsamındaki haklarını etkin bir biçimde kullanmaları için gerekli olan çabanın gösterilmesi
• Kanun kapsamında kişisel verilerin korunması için gerekli olan idari ve teknik tedbirlerin alınacağı
• Şirketimiz bünyesinde gerekli iç çalışmaları yapmak, çalışanlarımızın ve iş ortaklarımızın süreç hakkında bilgilendirilmesini sağlama

hususlarını yerine getirirken iş bu politika ile KVKK ve diğer yasal mevzuatlara riayet edeceğimizi temin etmek maksadıyla hazırlanmıştır. İş bu politika, 17.02.2020 tarihinde hazırlanmış olup, mevzuatta meydana gelebilecek yenilikler ile birlikte güncellenecektir. Politikamız ve mevzuat arasında herhangi bir çelişki olması halinde mevzuat hükümlerine göre hareket edilecektir.

II.  TANIMLAR 

III.KİŞİSEL VERİLERİN İŞLENMESİNDE UYGULANACAK GENEL İLKELER

i) Hukuka ve Dürüstlük Kurallarına Uygun Olarak Kişisel Verilerin İşlenmesi

Bu ilke kapsamında;

• Kişisel verilerin işlenmesinde, kanunlarla ve diğer hukuki düzenlemelerle getirilen ilkelere uygun hareket etmeyi, ayrıca veriler işlenirken ilgili kişilerin çıkarlarını ve makul beklentilerini dikkate almayı
• KVKK ve diğer yasal mevzuatlara uygun hareket etmeyi
• Kişinin kişisel verisinin ilgili kişiye karşı haksızlığa yol açacak şekilde kullanılmaması, ilgili kişinin makul beklentisinin karşılanması ve kişisel veriyi toplama amacının aşılmamasını

taahhüt ederiz.

ii) Doğru ve Gerektiğinde Güncel Olma

Bu ilke kapsamında;

• Kişisel verinin, hakkında bilgi verdiği konuyu doğru anlatabilmesini,
• Teknik imkanlarımız dahilinde kişisel verilerin doğrulunu ve güncelliğini sağlamayı
• İlgili kişilerin verilerin düzeltilmesini talep etme hakkı doğrultusunda hatalı işlenmiş verileri düzeltmeyi  taahhüt ederiz.

ii) Belirli Açık Ve Meşru Amaçlar İçin İşlenme

Bu ilke kapsamında;

• Veri sorumlusu olarak ilgili kişiye belirttiğimiz amaçlar dışında başka amaçlarla veri işlememeyi
• Kişisel verinin, tarafımızca yapılan iş veya sunduğumuz hizmetle bağlantılı olarak işlenmesini

taahhüt ederiz.

ii) Kişisel Verilerin İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması

Bu ilke kapsamında;

• Tarafımızca işlenen verilerin belirlenen amaçların gerçekleştirilmesine elverişli olmasını
• Veri işleme amacımızın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınacağımızı
• Kişisel verilerin hangi amaçla işleneceğini belirlemeyi ve bu amaçları kişisel verileri işlenmeden önce veri sahiplerinin bilgisine sunmayı

taahhüt ederiz.

ii) İlgili Mevzuatta Öngörülen Veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme

Bu ilke kapsamında;

• Kişisel verileri, öngörülen süre dolduktan, amaç gerçekleştikten ya da veri işleme şartı ortadan kalktıktan sonra gelecekte kullanma ihtimaline dayanarak saklamayacağımızı
• Mevzuatta öngörülen sürenin bitimi veya kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Zeybekci Holding Anonim Şirketi tarafından silineceğini, yok edileceğini veya anonim hale getirileceğini

taahhüt ederiz.

IV) KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Zeybekci Holding Anonim Şirketi olarak kişisel verilerinizi aşağıda sayılan durumlardan birine veya birkaçına dayanarak işleyeceğimizi taahhüt ederiz.

i) İlgili Kişinin Açık Rızasına Dayanma

• Kişisel verilerin işlenmesinde uygulanacak genel ilkelere riayet ederek, ilgili kişinin belirli bir konuya ilişkin özgür iradesine ve gerekli bilgilendirmelere dayanan açık rızasının varlığı halinde tarafımızca işlenebilecektir.

ii) Kanunlarda Açıkça Öngörülmesi

• Kişisel veri işlenmesi ile ilgili olarak herhangi bir kanunda açık bir hüküm varsa bu açık hükümle sınırlı olmak koşulu ile Zeybekci Holding Anonim Şirketi tarafından kişisel verilerin işlenmesi mümkündür.

iii) Fiili İmkansızlık Nedeniyle Rızasını Açıklayamayacak Durumda Bulunan Veya Rızasına Hukuken Geçerlilik Tanınmayan Kişinin Kendisinin Ya Da Bir Başkasının Hayatı Veya Beden Bütünlüğünün Korunması İçin Zorunlu Olması

• Kişisel verisi işlenecek kişinin herhangi bir fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olması veya rızasına hukuki geçerlilik tanınmayan kişinin kendisi veya başkasının hayatı ve beden bütünlüğünün korunması için zorunlu olması halinde Zeybekci Holding Anonim Şirketi tarafından kişisel verilerin işlenmesi mümkündür.

iv) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgili Olması

• Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde Zeybekci Holding Anonim Şirketi tarafından kişisel veri işlenebilecektir.

v) Zeybekci Holding Anonim Şirketi 'nin Hukuki Yükümlülüğünü Yerine Getirebilmesi İçin Zorunlu Olması

• Zeybekci Holding Anonim Şirketi 'nin hukuki yükümlülüğünü yerine getirebilmesi için gerekli ve bu amaçla sınırlı olarak kişisel verileri işlemesi mümkündür.

vi) İlgili Kişinin Kendisi Tarafından Kişisel Verisinin Alenileştirilmiş Olması

• Kişinin kendisi tarafından alenileştirmiş olduğu kişisel veriyi alenileştirme amacıyla sınırlı olarak Zeybekci Holding Anonim Şirketi tarafından işlenmesi mümkün olabilecektir.

vii) Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Veri İşlemenin Zorunlu Olması

• Zeybekci Holding Anonim Şirketi tarafından ilgili kişilere bir hakkın tesis edilmesi, kullandırılması veya ilgili kişilerin haklarının korunması için gerekli olması halinde kişisel veri işlenebilecektir.

viii) Zeybekci Holding Anonim Şirketi 'nin Meşru Menfaatleri

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Zeybekci Holding Anonim Şirketi 'nin meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda kişisel veri işlenmesi mümkün olabilecektir.

V)ÖZEL NİTELİKTEKİ KİŞİSEL VERİLERİN İŞLENMESİ

Kişisel verilerin daha sıkı tedbirlerle korunmasını gerektiren bir kategori olan özel nitelikli (hassas) kişisel veriler, başkaları tarafından öğrenildiği takdirde ilgili kişinin mağdur olmasına, ayrımcılığa maruz kalmasına ya da şeref ve onurunun zedelenmesine neden olabilecek nitelikteki verilerdir. Bu türden verilerin işlenmesinde Zeybekci Holding Anonim Şirketi olarak kişisel verilerini işlediğimiz kişilerin hiçbir suretle mağduriyet yaşamaması adına kanunların bizlere yüklediği yükümlülükleri yerine getireceğimizi taahhüt ederiz.

Özel nitelikli kişisel veriler Zeybekci Holding Anonim Şirketi tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde işlenmektedir:

Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, ancak kanunlarda öngörülen hallerde kişinin açık rızası olmaksızın işlenebilecektir. Aksi durumda ilgili kişinin açık rızası olmaksızın tarafımızca işlenemeyecektir.

Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilecektir. Aksi durumda ilgili kişinin açık rızası olmaksızın tarafımızca işlenemeyecektir.

VI) KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ, ANONİM HALE GETİRİLMESİ

Zeybekci Holding Anonim Şirketi kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili faaliyetin tabi olduğu yasal mevzuatta öngörülen minimum sürelere uygun olarak muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır.

Kişisel veriler Zeybekci Holding Anonim Şirketi tarafından uygun şekilde işlenmiş olsalar dahi, işlenmeyi gerektiren sebepler ortadan kalktığında Zeybekci Holding Anonim Şirketi resen veya ilgili kişinin talebi üzerine silmeyi, yok etmeyi veya anonim hale getirmeyi taahhüt eder.

Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

• Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar (veri sorumlusu veya veri işleyen nezdinde verileri teknik olarak depolama, koruma ve yedeklemeden sorumlu olanlar hariç herkes) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
• Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir
• Kişisel verilerin anonim hale getirilmesi, bu verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirlenebilir bir gerçek kişiyle ilişkilendirilememesini ifade etmektedir.

VI) KİŞİSEL VERİLERİN AKTARILMASI

KVKK 'nın 8. ve 9. maddelerine uygun olarak ilgili kişinin rızasıyla aşağıdaki birimlere/kurumlara/kuruluşlara amaçları ile sınırlı olmak kaydıyla veri aktarılabilir.

• Zeybekci Holding Anonim Şirketi ortaklarına
• Zeybekci Holding Anonim Şirketi tedarikçilerine
• Kanunen yetkili kamu kurum ve kuruluşlarına
• Kanunen yetkili özel hukuk kişilerine

VII) AYDINLATMA YÜKÜMLÜLÜĞÜ

Zeybekci Holding Anonim Şirketi olarak kişisel verilerin elde edilmesi sırasında verisini işlediğimiz gerçek kişilerin bilgilendirilmesi için gerekli olan bütün çalışmayı yapacağımızı taahhüt ederiz.

İlgili kişilere;

• Şirketimizin unvanını ve varsa temsilcimizin kimliğini
• Zeybekci Holding Anonim Şirketi tarafından kişisel verilerin hangi amaçla işleneceği
• Zeybekci Holding Anonim Şirketi tarafından işlenen kişisel verilerin kimlere ve hangi amaçla aktarabileceği
• Kişisel veri toplamamın yöntemi ve hukuki sebebi
• VIII. Maddede Sayılan ilgili kişinin hakları,

konusunda bilgi vermekle kanunen yükümlüyüz.

VIII) İLGİLİ KİŞİNİN HAKLARI

Zeybekci Holding Anonim Şirketi tarafından kişisel verisi işlenmiş veya işlenmemiş her gerçek kişi, tarafımıza başvuruda bulunarak KVKK ’nın 11. maddesinde sayılmış olan haklarını kullanabilir.

• Kişisel veri işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
• KVKK'nın7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme ve yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme  
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

Zeybekci Holding Anonim Şirketi olarak kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla aşağıda örnekseme yöntemi ile sayılan idari ve teknik tedbirlere başvurulacaktır.

ALINAN İDARİ TEDBİRLER

• Çalışanlarla imzalanan iş sözleşmelerinde sır saklama yükümlülüğü ve gizlilik hükümlerine yer verilmiştir.
• Güvenlik politika ve prosedürlerine uymayan çalışanlara yönelik uygulanacak disiplin prosedürü hazırlanmıştır.
• Kişisel verilerin paylaşılması ile ilgili olarak kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalanır yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliği sağlanır. Gizlilik taahhütnameleri yapılır.
• Kişisel Veri Envanteri hazırlanır ve süreç içerisinde güncellenir.
• İlgili kişilere yönelik aydınlatma yükümlülüğü yerine getirilmektedir.
• Özel nitelikli kişisel verilerin güvenliğine yönelik prosedürler belirlenmiş ve uygulanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kâğıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirir.
• Kişisel verilere erişimi olan tüm çalışanların bilgi güvenliği, kişisel veriler ve özel hayatın gizliliği konularında farkındalıklarının artırılması ve bilinçlendirilmesi için çalışmalar yapılmaktadır.
• Bilgi güvenliği, özel hayatın gizliliği ve kişisel verilerin korunması alanındaki gelişmeleri takip etmek ve gerekli aksiyonları almak üzere hukuki ve teknik danışmanlık hizmeti alınmaktadır.
• Kişisel veri içeren fiziksel ortamlara (arşiv odası vb. gibi) giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınır ve fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanır.
• Kurum içi periyodik ve rastgele denetimler yapılmaktadır.

ALINAN TEKNİK TEDBİRLER

• Sızma (Penetrasyon) testleri ile şirketimiz bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
• Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
• Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
• Şirketin bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
• Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi vb.) ve yazılımsal (güvenlik duvarları, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
• Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır.
• Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
• Şirket, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
• Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için Şirket tarafından buna uygun bir sistem ve altyapı oluşturulmuştur.
• Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
• Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
• Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı politika belirlenmiştir.
• Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
• Özel nitelikli kişisel verilerin, kâğıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

X) ZEYBEKCİ HOLDİNG ANONİM ŞİRKETİ TARAFINDAN İLGİLİ KİŞİLERİN BAŞVURULARININ SONUÇLANDIRILMASI

İlgili kişilerin Kanunun uygulanmasıyla ilgili taleplerini, öncelikle Zeybekci Holding Anonim Şirketi 'ye iletmeleri zorunludur. İlgili kişilerin, taleplerini tarafımıza yazılı olarak ya da Kurulun belirleyeceği diğer yöntemlerle iletebilmelerine imkân sağlanmaktadır.

İlgili kişi, Kanunun 11. maddesinde belirtilen hakları kapsamındaki taleplerini, yazılı olarak veya kayıtlı elektronik posta (KEP) adresi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından Zeybekci Holding Anonim Şirketi 'ne daha önce bildirilen ve veri sorumlusunun sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla tarafımıza iletebilir.,

Zeybekci Holding Anonim Şirketi olarak bize ulaşan talebi; ücretsiz olarak veya işlemin ayrıca bir maliyeti gerektirmesi halinde, Kurul tarafından belirlenen tarifeye göre, alacağı ücret mukabilinde en kısa sürede ve en geç 30 gün içinde talebi incelemeyi, kabul veya gerekçesini açıklayarak reddetmeyi, ayrıca cevabı ilgili kişiye bildirmeyi, 30 gün içerisinde herhangi bir cevap vermediğimiz takdirde talebinizi reddetmiş sayılacağımızı kabul ve taahhüt ederiz.

İlgili kişinin talebinin tarafımızca kabul edilmesi halinde gereken işlemler yapılır. Başvuru konusu, Zeybekci Holding Anonim Şirketi 'nin hatasından kaynaklanmış olması halinde alınan ücret ilgiliye iade edilir.

Kep Adresi: zeybekciholding@hs02.kep.tr

Zeybekci Holding Anonim Şirketi