Kişisel Veri Saklama ve İmha Politikası
Kişisel verilerin saklanmasına, saklama sürelerinin belirlenmesine ve koşullar oluştuğunda silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin esaslar.
Politikanın kapsamı
Bu politika, Yörükoğlu Karot tarafından işlenen kişisel verilerin hangi koşullarda saklandığını, saklama ve imha süreçlerinin nasıl yürütüldüğünü ve ilgili kişilerin başvuru haklarını açıklamaktadır.
Amaç ve Kapsam
İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), Yörükoğlu Karot bünyesinde kişisel verilerin saklanmasına, işleme amaçlarının ortadan kalkması halinde silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esasları açıklamak amacıyla hazırlanmıştır.
Politika; müşteri ve potansiyel müşteriler, teklif talebinde bulunan kişiler, tedarikçi ve iş ortaklarının yetkilileri, çalışanlar ve çalışan adayları ile internet sitesini ziyaret eden ilgili kişilerin, veri sorumlusunun faaliyetleri kapsamında işlenen kişisel verilerine uygulanır. Kapsam, fiilen yürütülen veri işleme faaliyetleri ile sınırlıdır.
Kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli ve meşru amaçlarla bağlantılı, sınırlı ve ölçülü şekilde işlenir; gerekli olan süre kadar muhafaza edilir.
Hukuki Dayanak ve Tanımlar
Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) başta olmak üzere ilgili mevzuat ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik esas alınarak düzenlenmiştir.
Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.
Verilerin işlenme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir.
Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesidir.
İşleme şartları kalmadığında belirlenen aralıklarla resen gerçekleştirilen imha işlemidir.
Veri Sorumlusu ve Kayıt Ortamları
Bu politikanın veri sorumlusu, [YÖRÜKOĞLU KAROT’UN TAM TİCARİ UNVANI] olarak belirtilecek gerçek veya tüzel kişidir. Hukuki unvan, merkez adresi ve resmî başvuru kanalları yayımlanmadan önce doğrulanarak tamamlanmalıdır.
İş süreçlerinde işlenen kişisel veriler, faaliyetle bağlantılı olmak kaydıyla aşağıdaki kayıt ortamlarında bulunabilir:
- Elektronik ortamlar: Kurumsal bilgisayarlar, e-posta hesapları, web sitesi iletişim/teklif kayıtları, yazılım ve iş uygulamaları, güvenli yedekleme ortamları.
- Fiziksel ortamlar: Sözleşmeler, teklif evrakı, yazılı başvuru ve muhasebe belgeleri ile yetkili personelin erişimine açık arşivler.
- Hizmet sağlayıcı ortamları: İş ihtiyacına göre kullanılan barındırma, iletişim ve bulut altyapıları; varsa hizmet sağlayıcı sözleşmeleri kapsamındaki sistemler.
Kişisel Verilerin Saklanmasını Gerektiren Sebepler
Kişisel veriler, somut işleme faaliyeti bakımından geçerli bir hukuki sebep bulunduğu ve gerekli olduğu süre boyunca saklanır. İşleme ve saklama sebepleri, işin niteliğine göre şu durumları içerebilir:
- Teklif talebinin alınması, değerlendirilmesi ve talebe yanıt verilmesi;
- Karot, beton delme, kesme ve ilişkili hizmetler bakımından müşteri ilişkileri ile sözleşmesel yükümlülüklerin yürütülmesi;
- İş ve ticari faaliyetlerden doğan yasal belge, muhasebe ve kayıt yükümlülüklerinin yerine getirilmesi;
- Talep, şikâyet ve uyuşmazlıkların yönetilmesi; hakların tesisi, kullanılması veya korunması;
- İş sağlığı ve güvenliği ile personel süreçlerinin, uygulanabildiği ölçüde, ilgili mevzuata uygun yürütülmesi.
Hiçbir veri, yalnızca ileride yararlı olabileceği düşüncesiyle sınırsız süre muhafaza edilmez.
İmhayı Gerektiren Durumlar
İlgili kişisel verinin işlenmesini gerektiren şartların tamamının ortadan kalkması hâlinde, KVKK ve ilgili Yönetmelik hükümlerine uygun olarak resen veya ilgili kişinin başvurusu üzerine imha süreci başlatılır.
- Kişisel veri işleme amacının ortadan kalkması ve başka bir hukuki saklama sebebinin bulunmaması;
- İlgili mevzuatta öngörülen saklama süresinin sona ermesi;
- İşleme şartının açık rıza olduğu durumlarda rızanın geri alınması ve başka bir işleme şartının bulunmaması;
- Yetkili idari veya yargısal merci tarafından tesis edilen uygulanabilir bir kararın bulunması;
- İlgili kişi talebinin, yürürlükteki mevzuat çerçevesinde imhayı gerektirmesi.
Teknik ve İdari Tedbirler
Veri güvenliğinin sağlanması amacıyla, fiilen kullanılan sistem ve kayıt ortamlarının risk düzeyi dikkate alınarak uygun tedbirlerin uygulanması esastır. Bunlar özellikle aşağıdaki kontrol alanlarını kapsar:
Görev bazlı yetki, güçlü kimlik doğrulama, sınırlı erişim ve yetkilerin düzenli gözden geçirilmesi.
Kilitli alanlar, kontrollü arşiv erişimi ve yetkisiz kişilerin belgelere ulaşmasının önlenmesi.
Uygun yedekleme, güncelleme, erişim kayıtları ve olay müdahale prosedürlerinin oluşturulması.
Gizlilik yükümlülükleri, farkındalık çalışmaları ve gerektiğinde veri işleyen sözleşmeleri.
Somut teknik ve idari tedbirlerin kapsamı, veri sorumlusunun mevcut sistemleri ve güvenlik uygulamalarına göre doğrulanmalı ve kurum içi dokümantasyonla uyumlu olmalıdır.
Saklama ve İmha Süreleri
Kişisel veri kategorileri için azami saklama süresi; işleme amacı, veri türü, ilgili mevzuat, sözleşmesel gereklilikler ve olası uyuşmazlıklar dikkate alınarak kişisel veri işleme envanterinde belirlenir. Aşağıdaki tablo, gerçek süreç süreleri kesinleştirilmeden önce doldurulması gereken bir çalışma tablosudur.
| Veri / süreç kategorisi | Saklama süresi / belirleme esası | İmha tetikleyicisi |
|---|---|---|
| İletişim ve teklif talepleri | [Envantere göre azami süre eklenecek] | Talebin sonuçlanması ve tüm işleme sebeplerinin sona ermesi |
| Müşteri ve sözleşme bilgileri | [Sözleşme/mevzuata göre süre eklenecek] | İlgili yükümlülükler ve meşru saklama sebeplerinin sona ermesi |
| Fatura ve ticari/mali kayıtlar | [İlgili mali/ticari mevzuata göre süre] | Yasal saklama süresi ve diğer hukuki sebeplerin sona ermesi |
| Tedarikçi ve iş ortağı kayıtları | [Fiilî süreç ve mevzuata göre süre] | İş ilişkisine bağlı tüm saklama sebeplerinin sona ermesi |
| Personel / iş başvurusu kayıtları (varsa) | [İlgili veri türü ve mevzuata göre süre] | Belirlenen azami sürenin dolması |
| Web sitesi teknik kayıtları (varsa) | [Sistemlerin fiilî log saklama süresi] | Teknik/güvenlik amaçlarının ve yasal sebeplerin sona ermesi |
| Silme, yok etme, anonimleştirme işlem kayıtları | En az 3 yıl (diğer hukuki yükümlülükler saklıdır) | Uygulanabilir saklama süresinin sona ermesi |
Önemli: Köşeli parantezli süreler yayımlanmadan önce firmanın veri işleme envanterindeki kesin azami sürelerle değiştirilmelidir. Mevzuatın öngördüğü özel saklama yükümlülükleri saklıdır.
Kişisel Verilerin İmha Yöntemleri
İmha yönteminin seçimi; verinin niteliği, kayıt ortamı, teknik imkânlar ve mevzuatın gereklilikleri dikkate alınarak yapılır.
Veriler, ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilir.
Fiziksel veya elektronik ortamda geri getirilemeyecek, erişilemeyecek ve kullanılamayacak şekilde imha edilir.
Kimliği belirli veya belirlenebilir kişiyle, başka verilerle eşleştirilse dahi ilişki kurulamayacak hâle getirilir.
Somut uygulamada örneğin güvenli dijital silme, depolama ortamının uygun şekilde fiziksel imhası, evrakın parçalanması veya teknik anonimleştirme yöntemlerinden uygun olanları kullanılır. Seçilen yöntemin sonuçları kayıt altına alınır.
Periyodik İmha ve Başvuru Süreleri
Bu politika kapsamında periyodik imhanın 6 ayı aşmayan aralıklarla gerçekleştirilmesi esastır. İmha yükümlülüğü doğmuş kişisel veriler, politika hazırlayan veri sorumlusu bakımından takip eden ilk periyodik imhada işlem görür. Kurum içi imha takvimi oluşturularak sorumlu kişilerce takip edilir.
Politika hazırlama yükümlülüğü bulunmayan veri sorumluları açısından, imha yükümlülüğünün ortaya çıkmasından itibaren kural olarak 3 ay içinde imha yapılır. İlgili kişinin silme veya yok etme talebi ise kanuni usule göre değerlendirilerek en geç 30 gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir.
İlgili kişinin başvurularına ilişkin otuz günlük cevap süresi, periyodik imha takviminin yerine geçmez. Kurulun süreleri kısaltmaya yönelik yetkisi ve başka mevzuattan doğan yükümlülükler saklıdır.
Görev ve Sorumluluk Dağılımı
Veri saklama ve imha faaliyetlerinde görev alan kişiler, yetkileri ve sorumlulukları veri sorumlusu tarafından belirlenir. İşletmenin organizasyonuna uygun görev dağılımı aşağıdaki alanları kapsar:
- Veri sorumlusu / işletme yönetimi: Politikanın onaylanması, uygulanmasının gözetimi ve yeterli kaynakların sağlanması.
- Veri koruma / idari süreç sorumlusu: Envanter ve sürelerin güncel tutulması, başvuruların koordine edilmesi ve imha kayıtlarının saklanması.
- Bilgi sistemleri sorumlusu veya hizmet sağlayıcı: Yetkilendirme, elektronik silme işlemleri ve teknik kontrol faaliyetleri.
- Belge/arşiv sorumluları: Fiziksel evrakın güvenliği ve kararlaştırılan yöntemlerle imhası.
Fiilî görevli unvanları, birimler ve görev tanımları, şirket organizasyonuna göre kurum içi politikada ayrıca somutlaştırılmalıdır.
İmha İşlemlerinin Kaydı ve Denetim
Silme, yok etme ve anonim hâle getirme işlemleri; işlem tarihi, veri kategorisi, uygulanan yöntem ve işlemi gerçekleştiren yetkili bilgisi gibi uygun unsurlarla belgelendirilir. Bu işleme ilişkin kayıtlar, diğer hukuki yükümlülükler saklı kalmak kaydıyla, en az 3 yıl süreyle muhafaza edilir.
İmha süreçleri ve teknik-idari önlemler ihtiyaç duyuldukça gözden geçirilir; eksiklikler tespit edilmesi hâlinde iyileştirme tedbirleri planlanır. Yetkisiz erişim, kayıp ya da veri güvenliği ihlallerine ilişkin olaylar yürürlükteki yükümlülüklere göre değerlendirilir.
İlgili Kişilerin Hakları ve Başvuruları
İlgili kişiler, KVKK’nın 11 ve 13. maddelerinde düzenlenen hakları kapsamında kişisel verileri hakkında bilgi talep edebilir, mevzuattaki şartları mevcutsa düzeltme, silme veya yok etme başvurusunda bulunabilir.
Başvurular, mevzuatta öngörülen usullere uygun biçimde, kimlik doğrulaması yapılabilecek resmî iletişim kanalları üzerinden veri sorumlusuna iletilebilir. Başvurular en geç 30 gün içinde değerlendirilerek yanıtlanır. İşleme şartlarının tamamı ortadan kalkmamışsa imha talebi, gerekçesi açıklanmak suretiyle reddedilebilir.
Resmî posta adresi, kayıtlı elektronik posta (KEP) adresi veya başvuruya uygun diğer iletişim kanalları veri sorumlusunun doğrulanmış bilgileriyle bu sayfaya eklenmelidir.
Politikanın Yürürlüğü ve Güncellenmesi
Politika; kişisel veri işleme faaliyetlerindeki, kullanılan teknolojilerdeki, şirket organizasyonundaki veya mevzuattaki değişiklikler dikkate alınarak gözden geçirilir. Güncellemeler, ilgili yetkili tarafından onaylandıktan sonra yürürlüğe konulur.
Politika yürürlük tarihi: [ONAYLANAN TARİH] · Son revizyon: [REVİZYON TARİHİ] · Versiyon: 1.0
Bu politika, ilgili kişinin veri işleme faaliyetlerine ilişkin ayrı aydınlatma yükümlülüğünün yerine geçmez; gerekli hallerde Kişisel Verilerin Korunması ve İşlenmesine İlişkin Aydınlatma Metni ile birlikte değerlendirilir.
Veri Sorumlusuna Ulaşın
Bu politikaya ilişkin talepler ve kişisel verilerle ilgili başvurular için veri sorumlusunun aşağıdaki doğrulanmış iletişim kanallarının kullanılması öngörülmüştür:
- Tam ticari unvan: [FİRMANIN RESMÎ TİCARİ UNVANI]
- Posta adresi: [FİRMA AÇIK POSTA ADRESİ]
- Başvuru e-posta / KEP: [DOĞRULANMIŞ KVKK BAŞVURU ADRESİ]