Politikalarımız

DAVRANIŞ BİLİMLERİ ENSTİTÜSÜ KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

İÇİNDEKİLER
GİRİŞ

• Politikanın Amacı ve Kapsamı
• Yürürlük ve Değişiklik

ŞİRKETİMİZİN YÜRÜTTÜĞÜ KİŞİSEL VERİ İŞLEME FAALİYETLERİNE YÖNELİK VERİ SAHİPLERİ, VERİ İŞLEME AMAÇLARI VE VERİ KATEGORİLERİ

• Veri Sahipleri
• Kişisel Veri İşleme Amaçları
• Kişisel Veri Kategorileri

KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN İLKELER VE ŞARTLAR

• Kişisel Verilerin İşlenmesine İlişkin İlkeler
• Kişisel Verilerin İşlenmesine İlişkin Şartlar
• Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Şartlar

KİŞİSEL VERİLERİN AKTARILMASI

VERİ SAHİPLERİNİN AYDINLATILMASI VE VERİ SAHİPLERİNİN HAKLARI

KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ veya ANONİM HALE GETİRİLMESİ

KANUN KAPSAMI VE UYGULANMASINA İLİŞKİN KISITLAMALAR

GİRİŞ

Politikanın Amacı ve Kapsamı

6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) uyarınca oluşturulan işbu Davranış Bilgi Eğitim Araştırma ve Psikolojik Danışmanlık Hizmetleri A.Ş.(“DBE”)Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”), Şirketimiz tarafından Kanun’a uyumluluğunun sağlanmasını kapsamında belirlenen usul ve esasları kapsamaktadır.

Şirketimiz kişisel verilerin korunması ve işlenmesinde Kanun kapsamında belirlenen ilke ve esasları benimsemiştir. İşbu Politika ile çalışan adayı, danışan, potansiyel danışan, iş ortağı,tedarikçi ve Şirketimiz tarafından verisi işlenen üçüncü kişilerin verilerinin işlenmesine ilişkin hususlar düzenlenmektedir.

Politikada kullanılan terimlere ilişkin tanımlar EK-1’de bulunmaktadır.

Yürürlük ve Değişiklik

Politika, Şirket tarafından yürütülen Kişisel Verilerin Korunması Uyum Projesi kapsamında yürürlüğe girmiştir.Şirket, yasal düzenlemelere paralel olarak Politika’ da değişiklik yapma hakkını saklı tutar.

ŞİRKETİMİZİN YÜRÜTTÜĞÜ KİŞİSEL VERİ İŞLEME FAALİYETLERİNE YÖNELİK VERİ SAHİPLERİ, VERİ İŞLEME AMAÇLARI VE VERİ KATEGORİLERİ

Veri Sahipleri

Politika kapsamındaki veri sahipleri, Şirket tarafından kişisel verileri işlenmekte olan Şirket çalışanları dışındaki tüm gerçek kişilerdir. Bu çerçevede genel olarak veri sahibi kategorileri aşağıdaki şekildedir:

VERİ SAHİBİ KATEGORİLERİ		AÇIKLAMA
1	Hizmet Alan Kişi / Danışan	Şirketimiz tarafından sunulan hizmetlerden faydalanan kurumsal müşterilerimizin çalışanları ve çalışan adayları, bireysel danışanlar, eğitimlerimize katılar profesyoneller
2	Danışan Aile	Danışanın aile bireylerine ilişkin bilgiler
3	Çalışan Adayı	Şirket’e CV göndererek veya başka yöntemlerle iş başvurusu yapan gerçek kişiler
4	Çalışan Aile	Şirkette çalışanlarının aile bireyleri
5	İş Ortağı Danışan	Hizmetlerimizden faydalanan iş ortaklarımızın danışanları
6	Potansiyel Hizmet Alıcısı / PotansiyelDanışan	Şirketimiz tarafından sunulan hizmetlerden faydalanmak isteyen danışan adayları
7	Tedarikçi Çalışanı - Yetkilisi	Şirketin ürün veya hizmet aldığı şirketlerin çalışanları ve yetkilileri
8	Üçüncü Kişi	İSG Uzmanı, Denetçi, Danışman

Kişisel Veri İşleme Amaçları

Şirket tarafından kişisel verileriniz ve özel nitelikli kişisel verileriniz, Kanun’da ve ilgili mevzuatta yer alan kişisel veri işleme şartlarına uygun olarak aşağıdaki amaçlarla işlenebilmektedir:

•    Acil durum yönetimi süreçlerinin yönetilmesi
•    Bilgi güvenliği süreçlerinin yürütülmesi
•    Çalışan adayı seçme ve yerleştirme süreçlerinin yürütülmesi
•    Çalışan adaylarının başvuru süreçlerinin yürütülmesi
•    Denetim / etik faaliyetlerinin yönetilmesi
•    Eğitim faaliyetlerinin yürütülmesi
•    Erişim yetkilerinin yürütülmesi
•    Faaliyetlerin mevzuata uygun yürütülmesi
•    Finans ve muhasebe işlerinin yürütülmesi
•    Fiziksel mekan güvenliğinin temini
•    Görevlendirme süreçlerinin yürütülmesi
•    Hukuk işlerinin takibi ve yürütülmesi
•    İç denetim / soruşturma / istihbaratfaaliyetlerinin yürütülmesi
•    İletişim faaliyetlerinin yürütülmesi
•    İnsan kaynakları süreçlerinin planlanması
•    İş faaliyetlerinin yürütülmesi / denetimi
•    İş süreçlerinin iyileştirilmesine yönelik önerilerin alınması ve değerlendirilmesi
•    İş sürekliliğinin sağlanması faaliyetlerinin yürütülmesi
•    Mal / hizmet satın alım süreçlerinin yürütülmesi
•    Mal / hizmet satış sonrası destek hizmetlerinin yürütülmesi
•    Mal / hizmet satış süreçlerinin yürütülmesi
•    Organizasyon ve etkinlik yönetimi
•    Saklama ve arşiv faaliyetlerinin yürütülmesi
•    Sözleşme süreçlerinin yürütülmesi
•    Stratejik planlama faaliyetlerinin yürütülmesi
•    Talep / şikayetlerin takibi
•    Taşınır mal ve kaynakların güvenliğinin temini
•    Ücret politikasının yürütülmesi
•    Ürün / hizmetlerin pazarlama süreçlerinin yürütülmesi
•    Veri sorumlusu operasyonlarının güvenliğinin temini
•    Yetkili kişi, kurum ve kuruluşlara bilgi verilmesi
•    Yönetim faaliyetlerinin yönetilmesi
•    Ziyaretçi kayıtlarının oluşturulması ve takibi

Kişisel Veri Kategorileri

Şirket tarafından aşağıda kategorize edilmiş kişisel verileriniz, Kanun’da ve ilgili mevzuatta yer alan kişisel veri işleme şartlarına uygun olarak işlenmektedir:

KİŞİSEL VERİ KATEGORİZASYONU	AÇIKLAMA
Kimlik Bilgisi	Ehliyet, nüfus cüzdanı, ikametgâh, pasaport, avukatlık kimliği, evlilik cüzdanı gibi dokümanlarda yer alan kişinin kimliğine dair ad soyad, anne - baba adı, Anne kızlık soyadı, Doğum tarihi, Doğum yeri, Medeni hali, Nüfus cüzdanı seri sıra no, TC kimlik no, plaka
İletişim Bilgisi	Telefon numarası, adres, e-posta gibi veri sahibiyle iletişim kurulmasına yönelik bilgiler
Lokasyon Bilgisi	Bulunduğu yerin konum bilgileri
Özlük Bilgisi	Bordro bilgileri, Disiplin soruşturması, İşe giriş belgesi kayıtları, Mal bildirimi bilgileri, Özgeçmiş bilgileri, Performans değerlendirme raporları, Sigorta Bilgileri, İşe giriş-çıkış kontrol bilgileri, beden ölçüleri
Hukuki İşlem Bilgisi	Adli makamlarla yazışmalardaki bilgiler, Dava dosyasındaki bilgiler, Çalışan maaş haczi bilgisi
Müşteri İşlem Bilgisi	Ticari faaliyetlerimiz ve bu çerçevede iş birimlerimizin yürüttüğü operasyonlar neticesinde ilgili kişi hakkında elde edilen ve üretilen bilgiler
Fiziksel Mekân Güvenliği	Fiziksel mekâna girişte, fiziksel mekânın içerisinde kalış sırasında alınan kamera kayıtları
İşlem Güvenliği Bilgisi	Ticari faaliyetlerimizi yürütürken teknik, idari, hukuki ve ticari güvenliğimizi sağlamamız için işlenen kişisel verileriniz
Finansal Bilgi	Şirketimizin kişisel veri sahibi ile kurmuş olduğu hukuki ilişkinin tipine göre yaratılan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler, banka hesap bilgileri
Mesleki Deneyim Bilgisi	Geçmiş mesleki tecrübelerine ilişkin veriler
Pazarlama Bilgisi	Alışveriş geçmişi bilgileri, Anket, Çerez kayıtları, Kampanya çalışmasıyla elde edilen bilgiler
Görsel ve İşitsel Kayıtlar	Çalışanlarımıza ait kişisel veri sahibi ile ilişkilendirilen her türlü görsel ve işitsel kayıtlar (Örneğin: fotoğraf, kamera kaydı, ses kaydı vb.)
Aile Bireyleri ve Yakın Bilgisi	Danışanlarımızın ailelerine ilişkin kişisel bilgiler (Örneğin: adi soyad, telefon vb.)
Özel Nitelikli Veri	Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN İLKELER VE ŞARTLAR

Kişisel Verilerin İşlenmesine İlişkin İlkeler

Şirket tarafından kişisel verileriniz, Kanun’un 4. maddesinde yer alan kişisel veri işleme ilkelerine uygun olarak işlenmektedir. Bu ilkelere her bir kişisel veri işleme faaliyeti açısından uyulması zorunludur:

• Kişisel verilerin hukuka ve dürüstlük kurallarına uygun olarak işlenmesi; Şirket, kişisel verilerinizin işlenmesinde kanunlara, ikincil düzenlemelere ve hukukun genel ilkelerine uygun olarak hareket eder; kişisel verileri işlenme amacı ile sınırlı olarak işlemeye ve veri sahiplerinin makul beklentilerini dikkate almaya önem verir.
• Kişisel verilerin doğru ve güncel olması; Şirket tarafından işlenen kişisel verilerinizin güncel olup olmadığına, buna ilişkin kontrollerin yapılmasına dikkat edilir. Veri sahiplerine bu kapsamda doğru ve güncel olmayan verilerinin düzeltilmesini veya silinmesini isteme hakkı tanınır.
• Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi; Şirket, her bir kişisel veri işleme faaliyetinden önce veri işleme amaçlarını tespit eder ve bu amaçların hukuka aykırı olmamasına dikkat eder.
• Kişisel verilerin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olması; Şirket tarafından veri işleme faaliyeti toplama amacını gerçekleştirme için gerekli olan kişisel verilerle sınırlandırılmakta ve bu amaçla ilişkili olmayan kişisel verilerin işlenmemesi için gerekli adımlar atılmaktadır.
• Kişisel verilerin mevzuatın ya da işleme amaçlarının gerektirdiği süre kadar saklanması; Şirket tarafından kişisel veri işleme amacının ortadan kalkmasından sonra ya da mevzuatta öngörülen sürenin dolması ile birlikte kişisel veriler silinmekte, yok edilmekte veya anonimleştirilmektedir.

Kişisel Verilerin İşlenmesine İlişkin Şartlar

Şirket tarafından kişisel verileriniz, Kanun’un 5. maddesinde yer alan kişisel veri işleme şartlarından en az birinin varlığı halinde işlenmektedir. Söz konusu şartlara ilişkin açıklamalar aşağıda yer almaktadır:

• Kişisel veri sahibinin açık rızasının olması diğer veri işleme şartlarının var olmadığı durumlarda, 3.1. başlık altında yer verilen genel ilkelere uygun olarak, Şirket tarafından veri sahibinin kişisel verileri, veri sahibinin özgür iradesi ile kişisel veri işleme faaliyetine ilişkin yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak şekilde ve sadece o işlemle sınırlı olarak onay vermesi halinde işlenebilmektedir.
• Kişisel veri işleme faaliyetinin kanunlarda açıkça öngörülmesi halinde Şirket tarafından kişisel veriler, veri sahibinin açık rızası olmadan işlenebilecektir. Bu durumda Şirket, ilgili hukuki düzenleme çerçevesinde kişisel verileri işleyecektir.
• Fiili imkânsızlık nedeniyle veri sahibinin açık rızasının elde edilememesi ve kişisel veri işlemenin zorunlu olması halinde, Şirket tarafından rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan veri sahibine ait kişisel veriler, veri sahibinin veya üçüncü bir kişinin hayatı veya beden bütünlüğünü korumak adına kişisel veri işlemenin zorunlu olması durumunda işlenecektir.
• Kişisel veri işleme faaliyetinin bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması durumunda, veri sahibi ile Şirket arasında kurulan veya halihazırda imzalanmış olan sözleşmenin taraflarına ait kişisel verilerin işlenmesi gerekli ise kişisel veri işleme faaliyeti gerçekleştirilecektir.
• Veri sorumlusu hukuki yükümlülüğünü yerine getirme için kişisel veri işleme faaliyeti yürütülmesinin zorunlu olması durumunda Şirket, yürürlükteki mevzuat kapsamında öngörülen hukuki yükümlülüklerini yerine getirme amacıyla kişisel verileri işlemektedir.
• Veri sahibinin kişisel verilerini alenileştirmiş olması, veri sahibi tarafından herhangi bir şekilde kamuoyuna açıklanmış, alenileştirilme sonucu herkesin bilgisine açılmış olan kişisel veriler alenileştirme amacı ile sınırlı olarak Şirket tarafından veri sahiplerinin açık rızası olmasa da işlenebilecektir.
• Bir hakkın tesisi, kullanılması veya korunması için kişisel veri işlemenin zorunlu olması durumunda,Şirket zorunluluk kapsamında veri sahiplerinin açık rızası olmaksızın veri sahibinin kişisel verilerini işleyebilecektir.
• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması halinde, Şirket ile veri sahibinin menfaat dengesinin gözetilmesi şartıyla Şirket tarafından kişisel veriler işlenebilecektir. Bu kapsamda, meşru menfaate dayanarak verilerin işlenmesinde Şirket öncelikle işleme faaliyeti sonucunda elde edeceği meşru menfaati belirler. Kişisel verilerin işlenmesinin veri sahibinin hak ve özgürlükleri üzerindeki olası etkisini değerlendirir ve dengenin bozulmadığı kanaatindeyse işleme faaliyetini gerçekleştirir.

Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Şartlar

Kanunun 6. maddesinde özel nitelikli kişisel veriler, sınırlı sayıda olacak şekilde belirtilmiştir. Bunlar; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir.

Şirket, özel nitelikli kişisel verileri Kişisel Verileri Koruma Kurulu tarafından belirlenen ilave tedbirlerin alınmasını sağlayarak aşağıdaki durumlarda işleyebilmektedir:

• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verilerin işlenmesi, veri sahibinin açık rıza vermesi halinde veya kanunlarda açıkça öngörülmesi durumunda işlenebilmektedir.
• Sağlık ve cinsel hayata ilişkin kişisel veriler,ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından veri sahibinin açık rızası aranmaksızın işlenebilmektedir.

KİŞİSEL VERİLERİN AKTARILMASI

Şirket, Kanun’un 8. ve 9. maddelerinde sıralanan ve Kişisel Verileri Koruma Kurulu tarafından belirlenmiş olan ilave düzenlemelere uygun olarak; kişisel verilerin aktarılması şartlarının bulunması durumunda kişisel verileri yurtiçinde veya yurtdışına aktarabilmektedir.

• Kişisel verilerin yurtiçinde üçüncü kişilere aktarımı, Kanun’un 5. ve 6. maddesinde yer alan ve veri işleme şartlarından en az birinin varlığı halinde ve veri işleme şartlarına ilişkin temel ilkelere uymak şartıyla kişisel verileriniz Şirket tarafından aktarılabilmektedir.
• Kişisel verilerin yurtdışında üçüncü kişilere aktarımı, kişinin açık rızası olmadığı hallerde, Kanun’un 5. ve 6. maddesinde yer alan veri işleme şartlarından en az birinin varlığı halinde ve veri işleme şartlarına ilişkin temel ilkelere uymak şartıyla Şirket tarafından kişisel verileriniz yurtdışına aktarılabilmektedir.

Aktarımın yapılacağı ülkenin Kişisel Verileri Koruma Kurulu tarafından ilan edilecek güvenli ülkelerden olmaması halinde, Şirket ve ilgili ülkedeki veri sorumlusunun yeterli korumayı yazılı olarak taahhüt etmesi üzerine, Kişisel Verileri Kurul’un bu işleme izin vermesi ile Kanun’un 5. ve 6. maddesinde yer alan veri işleme şartlarından en az birinin varlığı halinde kişisel veriler yurtdışında üçüncü taraflara aktarılabilmektedir.

Kanunun genel ilkeleri ile 8. ve 9. maddelerinde yer alan veri işleme şartları dahilinde Şirket, aşağıdaki tabloda kategorizasyonu yapılmış taraflara veri aktarımı gerçekleştirebilmektedir:

PAYLAŞILAN TARAF KATEGORİZASYONU	KAPSAM
Yetkili Kamu Kurumu ve Kuruluşları	Hukuken Şirket’ten bilgi ve belge almaya yetkili kamu kurum ve kuruluşlar
Gerçek Kişiler veya Özel Hukuk Tüzel Kişileri	Gerçek kişiler veya özel hukuk tüzel kişileri Tedarikçiler İş Ortakları Banka Hizmet alınan kişi ve tüzel kişiler Yurt dışında bulunan hizmet sağlayıcılar
Herkese Açık	Kamuya açık bilgiler Sosyal medya mecralarında paylaşılan içerikler

VERİ SAHİPLERİNİN AYDINLATILMASI VE VERİ SAHİPLERİNİN HAKLARI

Kanunun 10. maddesine göre kişisel verilerin işlenmesinden önce veya en geç kişisel verilerin işlenmesi anında, veri sahiplerinin kişisel veri işlenmesine ilişkin aydınlatılmaları gerekmektedir.İlgili madde gereğince veri sorumlusu sıfatıyla Şirket tarafından kişisel veri işleme faaliyetinin yürütüldüğü her durumda veri sahiplerinin aydınlatılmasını sağlamak üzere şirket içi gerekli yapı oluşturulmuştur. Bu kapsamda;

Veri sahibi olarak Kanun’un 11. maddesi uyarınca aşağıdaki haklara sahip olduğunuzu belirtmek isteriz:

• Kişisel verilerinizin işlenip işlenmediğini öğrenme,
• Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• Kanun’a ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkması durumunda buna itiraz etme,
• Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Sayılan haklarınıza yönelik başvurularınızı kvkk@dbe.com.tr adresine iletebilirsiniz. Talebinizin niteliğine göre en kısa sürede ve en geç otuz gün içinde başvurularınız ücretsiz olarak sonuçlandırılacaktır; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenecek tarifeye göre tarafınızdan ücret talep edilebilecektir.

EK-1: TANIMLAR

TANIM
Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilgidir.
Özel Nitelikli Kişisel Veri	Irka, etnik kökene, siyasi düşüncelere, felsefi inanca, dine, mezhebe veya diğer inançlara, kılık ve kıyafete, dernek, vakıf ya da sendika üyeliklerine, sağlığa, cinsel hayata, ceza mahkûmiyeti ve güvenlik tedbirlerine ve biyometrik verilere ilişkin verileri ifade etmektedir.
Veri sahibi/ İlgili Kişi	Kişisel verisi işlenen gerçek kişi
Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemdir.
Açık Rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza
Veri Sorumlusu	Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi
Veri İşleyen	Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişi
Kişisel Veri İşleme Envanteri	Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte olduğu Şirket’in kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturduğu ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter
Kişisel Sağlık Verisi	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü sağlık bilgisi.
KVK Kanunu	24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu
Anayasa	2709 sayılı Türkiye Cumhuriyeti Anayasası
KVK Kurulu	Kişisel Verileri Koruma Kurulu
KVK Kurumu	Kişisel Verileri Koruma Kurumu
Politika	Davranış Bilimleri Enstitüsü Kişisel Verilerin İşlenmesi ve Korunması Politikası
Şirket / Veri Sorumlusu	Davranış Bilgi Eğitim Araştırma ve Psikolojik Danışmanlık Hizmetleri A.Ş.

VERİ SAHİBİ BAŞVURU FORMU

6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVK Kanunu”) Kanunu’nun 11. Maddesi ile, kişisel verilerin işlenmesine ilişkin çeşitli taleplerde bulunma hakkınız bulunmaktadır. Bu kapsamda, veri sorumlusu sıfatıyla Davranış Bilgi Eğitim Araştırma ve Psikolojik Danışmanlık Hizmetleri A.Ş. (“Şirket”) olarak Şirketimize, aşağıdaki kanallar vasıtasıyla yazılı olarak ileteceğiniz başvurularınız, KVK Kanunu’nun 13. Maddesi uyarınca, talebinizin Şirketimize ulaştığı tarihten itibaren en geç 30 gün içinde ücretsiz olarak sonuçlandırılacaktır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.

Veri Sahibi Başvuru Formu'nu indirmek için tıklayınız

 

 

DBE KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

İçindekiler

1. GİRİŞ
1.1. Amaç
1.2. Kapsam
2. TANIMLAR VE KISALTMALAR
3. SORUMLULUK VE GÖREV DAĞILIMLARI
4. KAYIT ORTAMLARI
5. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR
5.1. Saklamaya İlişkin Açıklamalar
5.2. Saklamayı Gerektiren Hukuki Sebepler
5.3. Saklamayı Gerektiren İşleme Amaçları
5.4. İmhayı Gerektiren Sebepler
6. TEKNİK VE İDARİ TEDBİRLER
6.1. Teknik Tedbirler
6.2. İdari Tedbirler
7. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ
7.1. Kişisel Verilerin Silinme Yöntemleri
7.2. Kişisel Verilerin Yok Edilme Yöntemleri
7.3. Kişisel Verilerin Anonim Hale Getirilme Yöntemleri
8. SAKLAMA VE İMHA SÜRELERİ
9. PERİYODİK İMHA SÜRELERİ
10. POLİTİKANIN YAYIMLANMASI
11. SAKLAMA ve İMHA SÜRELERİ

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. GİRİŞ

1.1. Amaç

6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) uyarınca oluşturulan işbu DBE Kişisel Veri Saklama ve İmha Politikası (“Politika”), Şirketimiz tarafından Kanun’a uyumluluğunun sağlanmasını kapsamında belirlenen usul ve esasları kapsamaktadır.

Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Şirket tarafından bu doğrultuda hazırlanmış olan Politikaya uygun olarak gerçekleştirilir.

1.2. Kapsam

Şirket çalışanları, çalışan adayları, danışanlar ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup Şirketin sahip olduğu ya da Şirketçe yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

Ayrıca, işbu Politika’da aksi belirtilmedikçe, Politika ile atıf yapılan dokümanlar hem basılı hem de elektronik kopyaları kapsamaktadır.

2. TANIMLAR VE KISALTMALAR

Açık Rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,
Alıcı Grubu	Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi
Anayasa	Türkiye Cumhuriyeti Anayasası,
Anonim Hale Getirme	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
Elektronik Ortam	Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
Elektronik Olmayan Ortam	Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar
Hizmet Sağlayıcı	Şirket ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi
İlgili Kişi / Kişisel Veri Sahibi	Kişisel verisi işlenen gerçek kişi.
İlgili Kullanıcı	Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler,
İmha	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
Kanun	6698 Sayılı Kişisel Verilerin Korunması Kanunu.
Kayıt Ortamı	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,
Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyad, TCKN, e-posta, adresi, doğum tarihi, kredi kartı numarası, banka hesap numarası -Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir),
Kişisel Veri İşleme Envanteri	Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem,
Kurul	Kişisel Verileri Koruma Kurulu,
Özel Nitelikli Kişisel Veri	Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,
Periyodik İmha	Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda işbu Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,
Politika	Kişisel Verileri Saklama ve İmha Politikası
Veri İşleyen	Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
Veri Kayıt Sistemi	Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
Veri Sorumlusu	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi,
VERBİS	Veri Sorumluları Sicili,
Yönetmelik	28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik,

3. SORUMLULUK VE GÖREV DAĞILIMLARI

Şirketin tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir. Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılımı ve imha süreçleri aşağıdaki gibidir;

UNVAN	GÖREV
IT	Politika’nın uygulanmasında İhtiyaç duyulan teknik çözümlerin sunulmasından sorumludur.
Diğer Komite Üyeleri	Politika’nın hazırlanması, geliştirilmesi, yürütülmesi, ilgili ortamlarda yayınlanması ve güncellenmesi ile Çalışanların Politika’ya uygun hareket etmesinden sorumludur.

4. KAYIT ORTAMLARI

Elektronik Ortamlar	Fiziksel Ortamlar
Yazılımlar (ofis yazılımları, portal)	Kağıt
Bulut sistemler	Manuel veri kayıt sistemleri Yazılı, basılı, görsel ortamlar
E-postalar
Güvenlik duvarı, saldırı tespit ve engelleme,  antivirüs vb.
Kişisel bilgisayarlar (Masaüstü, dizüstü)
Mobil cihazlar (telefon, tablet vb.)
Optik diskler (CD, DVD vb.)
Çıkartılabilir bellekler (USB, Hafıza Kart vb.)
Yazıcı, tarayıcı, fotokopi makinesi

5. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

Şirket tarafından elde edilen bütün kişisel veriler Kanuna uygun olarak saklanır ve imha edilir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

5.1. Saklamaya İlişkin Açıklamalar

Kanunun 3’üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4’üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6’ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, Şirketimiz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

5.2. Saklamayı Gerektiren Hukuki Sebepler

Şirketimizde, faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda aşağıda sayılanlarla sınırlı olmamak üzere ilgili mevzuat kapsamında kişiler veriler işlenir.

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 6098 sayılı Türk Borçlar Kanunu,
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 4982 sayılı Bilgi Edinme Kanunu,
• 4857 sayılı İş Kanunu,
• 213 sayılı Vergi Usul Kanunu
• 6102 sayılı Türk Ticaret Kanunu

5.3. Saklamayı Gerektiren İşleme Amaçları

Kişisel Verilerin Korunması ve İşlenmesi Politikasının ilgili maddelerinde yer alan kişisel veri işleme amaçlarıyla ve Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarına istinaden kişisel verileri saklamakta ve kullanmakta olup, söz konusu şartların tamamının ortadan kalkması halinde, kişisel verileri re’sen veya kişisel veri sahibinin talebi üzerine imha etmektedir.

5.4. İmhayı Gerektiren Sebepler

Kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• Kanunun 11’inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
• Şirketin, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

durumlarında, Şirket tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

6. TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12’nci maddesiyle Kanunun 6 ncı maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Şirket tarafından teknik ve idari tedbirler alınır. “Özel Nitelikli Kişisel Verilerin İşlenmesi ve Korunması Politikamız” da detaylı bilgiyi bulabilirsiniz.

6.1. Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında "kapalı sistem ağ" kullanılmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim logları düzenli olarak tutulmaktadır.
• Erişim, bilgi güvenliği, kullanım politikaları hazırlanmıştır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Şirket içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

6.2. İdari Tedbirler

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gizlilik taahhütnameleri yapılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

7. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

İmha kapsamında gerçekleştirilen tüm işlemler Şirketimiz tarafından kayıt altına alınmakta ve saklanmaktadır. Şirketimiz, Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re ’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını teknolojik imkanlar ve uygulama maliyetine göre seçmekte olup, kişisel veri sahibinin talebi halinde uygun yöntemin gerekçesini açıklamaktadır.

7.1. Kişisel Verilerin Silinme Yöntemleri

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirketimiz, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri silme işlemi için aşağıdaki yöntemleri uygulamaktadır:

Veri Kayıt Ortamı	Açıklama
Sunucularda Yer Alan Kişisel Veriler	Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
Elektronik Ortamda Yer Alan Kişisel Veriler	Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
Fiziksel Ortamda Yer Alan Kişisel Veriler	Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/ boyanarak/ silinerek karartma işlemi de uygulanır.
Taşınabilir Medyada Bulunan Kişisel Veriler	Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

7.2. Kişisel Verilerin Yok Edilme Yöntemleri

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirketimiz, kişisel verilerin yok edilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri yok etme işlemi için aşağıdaki yöntemleri uygulamaktadır:

Veri Kayıt Ortamı	Açıklama
Fiziksel Ortamda Yer Alan Kişisel Veriler	Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir
Optik / Manyetik Medyada Yer Alan Kişisel Veriler	Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

7.3. Kişisel Verilerin Anonim Hale Getirilme Yöntemleri

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, Şirketimiz, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekmektedir. Şirketimiz, kişisel verilerin anonim hale getirilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri anonim hale getirme işlemi için aşağıdaki yöntemleri uygulamaktadır:

Anonim Hale getirme Yöntemleri	Açıklama
Fiziksel Ortamda Yer Alan Kişisel Veriler	Kâğıt ortamında yer alan kişisel verilerden kimliğini ortaya çıkaracak veriler silme ve karartma yöntemi ile anonimleştirilir.
Eğitimlerde Kullanılan Ses ve Görüntü Kayıtları / Videoları	Ses ve görüntü kayıtları/videolarında yer alan kişilerin kimliklerinin tanınmaz hale gelecek biçimde teknoloji kullanılarak anonimleştirilmesi.

8. SAKLAMA VE İMHA SÜRELERİ

Şirketimiz, kişisel verileri ancak ilgili uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri aşağıdaki 11. Saklama ve İmha Süreleri Tablosu’nda belirtilen azami süreler boyunca saklamakta ve imha etmektedir:

• Kişisel veri sahibinin, Şirketimize başvurarak kendisine ait kişisel verilerin imha edilmesini talep etmesi halinde Şirketimiz:
• Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa:
• Kişisel veri sahibinin talebini en geç otuz gün içinde sonuçlandırır ve kişisel veri sahibine bilgi verir, ve
• Talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa, bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.
• Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, kişisel veri sahibinin talebini Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesini açıklayarak reddedilebilir ve ret cevabını kişisel veri sahibine en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

9. PERİYODİK İMHA SÜRELERİ

Yönetmeliğin 11’inci maddesi gereğince Şirket, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Şirketimizde her yıl Mayıs ve Haziran aylarında periyodik imha işlemi gerçekleştirilir.

10. POLİTİKANIN YAYIMLANMASI

İşbu Politika yayınlandığı tarihinde yürürlüğe girmiştir.

11. SAKLAMA ve İMHA SÜRELERİ
 

Süreç Bazlı Veri Grubu	Saklama Süresi	İmha Süresi
Danışan Dosyaları ve Kişisel Verileri (Fiziki ortam)	Terapi Süreci Bittikten Sonra 5 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Danışan Dosyası ve Kişisel Verileri (Elektronik Ortamda)	Terapi Süreci Bittikten Sonra 10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Araştırma Girdi Dataları	10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Danışan İzni ile Alınmış Video Kayıtları	Rızası süresince	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Firmalara Verilen Teklifler Fiziki Ortamda	2 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Firmalara Verilen Teklifler Elektronik Ortamda	10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Eğitim Ses Kayıtları ve Videoları	Rızası süresince	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Eğitimde Kullanılan Dokümanlar	1 hafta	Süre bitiminde hemen
Eğitim Değerlendirme Formları	1 yıl (fiziksel) – 10 yıl ( elektronik)	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Firmalar ile Yapılan Sözleşmeler	Hukuki İlişki + 10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Özlük Dosyaları	Hukuki İlişki + 10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İş Sağlığı ve Güvenliğine İlişkin Kayıtlar	Hukuki İlişki + 15 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Muhasebe ve Finans Süreçleri	Hukuki İlişki + 10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Bilgi işlem faaliyetleri kapsamında çalışan e-mail içerikleri	5 yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Bilgi işlem faaliyetleri kapsamında çalışan e-mailleri	Hukuki İlişki + 1Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Kamera kayıtları	3 ay	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Hukuk işleri	Hukuki İlişki + 10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Tanıtım birimi faaliyetleri	Hukuki İlişki + 10 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde

Tarih:

İmza:

 

DBE ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

İÇİNDEKİLER TABLOSU

1. GİRİŞ
1.1. POLİTİKANIN AMACI VE KAPSAMI
1.2. YÜRÜRLÜK VE DEĞİŞİKLİK
2. ÖZEL NİTELİKLİ KİŞİSEL VERİLER
2.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ VE AKTARILMASI
2.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN YURTDIŞINA AKTARILMASI
2.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI
2.3.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNDE YER ALAN ÇALIŞANLARA YÖNELİK TEDBİRLER
2.3.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ ELEKTRONİK ORTAMLAR İÇİN
2.3.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ FİZİKSEL ORTAMLAR İÇİN
2.3.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASINA İLİŞKİN ÖNLEMLER

1. GİRİŞ

1.1. POLİTİKANIN AMACI VE KAPSAMI

6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında oluşturulan işbu Özel Nitelikli Kişisel Verilerin Korunması Politikası (“Politika”), Kanun’a uyumluluğun sağlanması ve Şirketimiz tarafından özel nitelikli kişisel verilerin korunması ve işlenmesine ilişkin kuralların belirlenmesini amaçlamaktadır.

1.2. YÜRÜRLÜK VE DEĞİŞİKLİK

İşbu Politika Şirket tarafından yürütülen Kişisel Verilerin Korunması Uyum Projesi kapsamında yürürlüğe girmiştir. Şirket, yasal düzenlemelere paralel olarak Politikada değişiklik yapma hakkını saklı tutar.

2. ÖZEL NİTELİKLİ KİŞİSEL VERİLER

Irka, etnik kökene, siyasi düşüncelere, felsefi inanca, dine, mezhebe veya diğer inançlara, kılık ve kıyafete, dernek, vakıf ya da sendika üyeliklerine, sağlığa, cinsel hayata, ceza mahkûmiyeti ve güvenlik tedbirlerine ve biyometrik verilere ilişkin verileri ifade etmektedir.

2.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ VE AKTARILMASI

Şirketimiz tarafından, Kanun ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, Kanunda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır. Kanunun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Kanuna uygun bir biçimde Şirketimiz tarafından; özel nitelikli kişisel veriler, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla, veri sahibinin açık rızası ile işlenmektedir ve aktarılabilmektedir. Veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde, kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmektedir.

2.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN YURTDIŞINA AKTARILMASI

Şirketimiz gerekli özeni göstererek, gerekli güvenlik tedbirlerini alarak ve KVK Kurulu tarafından öngörülen yeterli önlemleri alarak; meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda kişisel veri sahibinin özel nitelikli verilerini veri sahibinin açık rızası üzerine Yeterli Korumaya Sahip veya Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülkelere

aktarabilmektedir. Yeterli Korumanın bulunmadığı durumlarda, Kurum tarafından yayınlanan yurt dışına veri aktarılmasına ilişkin taahhütname ilgili taraflarla imzalanarak Kurul’un onayına sunulacaktır.

2.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI

Şirketimiz tarafından, Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, Şirketimiz tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve Şirketimiz bünyesinde gerekli denetimler sağlanmaktadır.

Ayrıca özel nitelikli kişisel veriler bakımından Kişisel Verileri Koruma Kurulu tarafında belirlenen önlemler ile, uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de alınmaktadır.

Şirketimizin genel prensibi, kanundan kaynaklanan sebepler olmadıkça özel nitelikli kişisel veri işlememektedir. Gerekli olmayan özel nitelikli kişisel veriler silinmekte veya karartılmaktadır.

Buna istinaden, özel nitelikli kişisel verilerin güvenliğine yönelik kurallar işbu politikada belirlenmiştir;

2.3.1. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNDE YER ALAN ÇALIŞANLARA YÖNELİK TEDBİRLER

• Kanun ve buna bağlı yönetmelikle ile özel nitelikli kişisel veri güvenliği konularında düzenli eğitimler verilmektedir.
• Gizlilik sözleşmeleri imzalanmaktadır.
• Verilere erişim yetkisine sahip kullanıcıların yetki kapsamları ve yetki süreçleri YETKİ MATRİSİ ile tanımlanmıştır.
• Periyodik olarak yetki kontrolü yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alanlarındaki yetkileri derhal kaldırılmaktadır.
• Çalışana envanter tahsis edilmiş ise derhal geri alınmaktadır.

2.3.2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ ELEKTRONİK ORTAMLAR İÇİN

• Özel nitelikli veriler kural olarak elektronik ortamda tutulmamaktadır.
• Zorunlu durumlarda özel nitelikli kişisel verilerin elektronik ortama alınması halinde veriler imha edilir, saklanmaya devam etmek istenmesi halinde, kriptografik yöntemler kullanılarak muhafaza edilmektedir.
• Verilerin bulunduğu ortamlara ait güvenlik güncellemeleri sürekli takip edilmektedir.
• Verilere yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirilmesi yapılmaktadır.

2.3.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENDİĞİ, MUHAFAZA EDİLDİĞİ FİZİKSEL ORTAMLAR İÇİN

• Özel nitelikli kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Veriler kilitli dolaplar ve/veya kilitli odalarda tutulmaktadır.

2.3.4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASINA İLİŞKİN ÖNLEMLER

• E-posta yolu ile aktarılması halinde kurumsal e-posta adresi veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılmaktadır.
• Taşınır bellek, CD, DVD gibi ortamlar yoluyla aktarılması halinde -gerekli durumlarda- kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır.
• Kâğıt ortamında aktarım yapılırken evrakın çalınması, kaybolması, yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve belgeler “gizlilik dereceli belgeler” formatında kapalı zarfta gönderilmektedir.