Saklama ve İmha Prosedürü

1. AMAÇ

Bu imha politikası (POLİTİKA) veri sorumlusu  YETKİN SİGORTA AR. HİZ. LTD. ŞTİ.  (“ŞİRKET”) olarak elde edilen kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat gereğince silinmesi, yok edilmesi ve/veya anonim hale getirilmesine ilişkin uygulanacak usul ve esasların belirlenmesi amacıyla hazırlanmıştır.

2. KAPSAM

İşbu Politika, ŞİRKET tarafından işletilmekte olunan Kişisel Verilere yönelik tüm faaliyetleri kapsar ve söz konusu faaliyetlere uygulanır. Bu Kişisel Verilerin saklanmasıyla ilgili olarak bu politika tarafından düzenlenen kurallar danışan, çalışan veya diğer gerçek şahıslarla ilgili basılı, elektronik veya diğer ortamlardaki tüm kişisel verileri kapsar.

3. TANIMLAR

4. SORUMLULUKLAR

4.1. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi ŞİRKET tarafından bu prosedürde belirtilen teknik ve idari tedbirlere, ilgili mevzuat hükümlerine, Kişisel Verileri Koruma Kurulu (‘Kurul’) kararlarına uygun olarak gerçekleştirilir.

4.2. Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tarafımızca seçilmektedir. Ancak, İlgili Kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilecektir.

4.3. Kişisel verilerin silinmesi, yok edilmesi, anonim hale getirilmesiyle ilgili yapılan tüm işlemler ŞİRKET tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere madde 6’da açıklanan sürelerle saklanmaktadır.

4.4. Şirketin faaliyetleri için Kişisel Verileri elinde tutmamasını ve Kişisel Verilerin silinmesi ve/veya arşivlenmesini sağlamak tüm çalışanların ve Veri İrtibat kişisinin sorumluluğudur.

4.5. Kanun’un 5. ve 6. maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel veriler ŞİRKET tarafından periyodik imha zamanlarında re’sen veya ilgili kişinin talebi üzerine silinmekte, yok edilmekte veya anonim hale getirilmektedir.

Bu hususta İlgili Kişi tarafından Şirkete başvurulması halinde; İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlandırılmakta ve ilgili kişiye bilgi verilmektedir, Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilmektedir.

5. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMLERİ

Kişisel veriler, VERİ SORUMLUSU tarafından yetkilendirilmiş veri işleyen gerçek veya tüzel kişiler tarafından, 6698 sayılı Kişisel Verilerin Korunması Kanununda ve bu kanuna bağlı olarak çıkarılan ikincil düzenlemelerde belirtilen şartlar ve amaçlar dahilinde; Veri sahiplerinin şirkete başvurması ve ilk bilgilendirmenin yapılması, kaydın açılarak hasta dosyası oluşturulması, kâğıt ve elektronik ortamda tutulan formlar ve tutanaklar gibi vasıtalarla, cv ibrazıyla veya iş başvurularıyla, tedarikçi/hizmet alınan olarak herhangi bir amaçla ŞİRKET ile iletişime geçildiğinde ve hizmet alındığında otomatik ve otomatik olmayan yöntemlerle sözlü, yazılı veya elektronik ortamda temin edilmektedir.

6. KİŞİSEL VERİLERİN SAKLANMASI

6.1. Veri Sahiplerine ait kişisel veriler, ŞİRKET tarafından özellikle (i) OSGB hizmetlerinin sürdürülebilmesi, (ii) hukuki yükümlülüklerin yerine getirilebilmesi, (iii) çalışan haklarının ve yan haklarının planlanması ve ifası ile (iv) müşteri ilişkilerinin yönetilebilmesi amacıyla yukarıda sayılan fiziki veyahut elektronik ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

6.2. Saklamayı gerektiren sebepler aşağıdaki gibidir:

• Kişisel verilerin sağlık hizmetlerinin verilmesi / sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
• Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
• Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla ŞİRKETin meşru menfaatleri için saklanmasının zorunlu olması,
• Kişisel verilerin ŞİRKETin herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması, · Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
• Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü nedeniyle saklanması.

6.3. Kişisel Veriler, ŞİRKET bünyesinde ilgili yasal saklama/zamanaşımı süreleri müddetince bulundurulmakta olup, bu verilerle ilişkili faaliyetlerin ve işbu POLİTİKA’da de belirtilen amaçların gerçekleştirilmesi için gerekli süre boyunca saklanmaktadır. Kullanım amacı sonlanan ve yasal saklama süresi/zamanaşımı sona eren Kişisel Veriler ise, KVKK’nın 7’nci maddesi uyarınca ŞİRKET tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

7. SAKLAMA VE İMHA SÜRELERİ

7.1. Söz konusu verilerin imhasında uygulanacak yöntem, verinin niteliği ŞİRKETimiz nezdindeki önem derecesine göre belirlenir.

7.2. Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere uygunluğu sorgulanır. Saklanmasının KVKK’nın 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen veriler silinir, yok edilir ya da anonim hale getirilir.

7.3. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, yok edilir ya da anonim hale getirilir.

7.4. ŞİRKET’imiz tarafından KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen kişisel verilerinizin saklama ve imha işlemlerinde Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir.

7.5. Saklama süresi dolan kişisel veriler, ŞİRKET tarafından belirlenen imha süreleri çerçevesinde, 6 aylık periyodlarla her yılın Ocak ve Temmuz ayı’nda işbu Prosedür’de yer verilen usullere uygun olarak imha edilir.

7.6. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

7.7. Kişisel Veri saklama ve imha süreleri aşağıdaki gibidir.

8. SAKLAMA VE İMHA USULLERİ

1. KAYIT ORTAMLARI VERİ TÜRÜ MUHAFAZA SÜRESİ İMHA SÜRESİ

Kişisel verilerin saklanma süresi belirlenirken yasal düzenlemelerin getirdiği yükümlülükler göz önüne alınmaktadır. Yasal düzenlemeler dışında, kişisel verilerin işlenme amaçları dikkate alınarak saklama süresi belirlenmektedir. Veri işleme amacının ortadan kalkması halinde, verilerin tutulmasına olanak sağlayan başka bir hukuki sebep veya dayanak bulunmadığı sürece veriler silinir, yok edilir veya anonim hale getirilir. Kişisel verilerin işlenme amacı sona ermiş; ilgili mevzuat ve ŞİRKET’in belirlediği saklama sürelerinin de sonuna gelinmişse; kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi veya savunmanın tesis edilmesi amacıyla saklanabilmektedir. Buradaki sürelerin tesisinde bahsi geçen hakkın ileri sürülebilmesine yönelik zamanaşımı süreleri ile zamanaşımı sürelerinin geçmesine rağmen daha önce aynı konularda ŞİRKET’e yöneltilen taleplerdeki örnekler esas alınarak saklama süreleri belirlenmektedir. Söz konusu süreler aşağıdaki tabloda gösterilmektedir. Bu süreler sona erdikten sonra kişisel veriler silinmekte, yok edilmekte veya anonim hale getirilmektedir. Söz konusu kişisel verinin saklanmasına ilişkin olarak, mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda, veriler, veri sorumlusu tarafından, 6 aylık periyodlarda silinir, yok edilir ya da anonim hale getirilir. Kurum tarafından aksine bir karar alınmadıkça, kişisel verileri silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı ŞİRKET tarafından seçilir.

Veri sahiplerine ait kişisel veriler, ŞİRKET tarafından aşağıdaki tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır:

• Web Browser Destekli Antivirus Programı
• Bilgisayar Şifreleme
• Kilitli Dolaplar
• Kısıtlı Erişim

1. TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla ŞİRKET tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır.

1. İdari Tedbirler:
   • Aydınlatma Yükümlülüğü hazırlamak ve bu metni kişisel veri sahiplerinin ulaşabileceği mecralarda tutulmaktadır.
   • Mevcut risk ve tehditleri belirlenmektedir.
   • Şirket ve personel arasındaki ilişkiyi düzenleyecek şekilde, kişisel veri içeren her türlü belgeye kişisel verilerin hukuka uygun olarak işlenmesi için KVK Kanunu ile öngörülen yükümlülüklere uygun hareket edilmesi gerektiği, kişisel verilerin ifşa edilmemesi gerektiği, kişisel verilerin hukuka aykırı olarak kullanılmaması gerektiği ve kişisel verilere ilişkin gizlilik yükümlülüğünün Şirket ile olan iş akdinin sona ermesinden sonra dahi devam ettiği yönünde Gizlilik ve Sadakat Sözleşmeleri imzalatmak, bu Sözleşmelere söz konusu yükümlülüklere uymaması iş akdinin feshine varabilecek yaptırımların uygulanacağına ilişkin hükümler eklemek, Çalışanları, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirmek ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.
   • Veri aktarılan kişilere Gizlilik ve Sadakat Taahhütnameleri imzalatmak, Şirket tarafından kişisel verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmiştir.
   • Saklama ve imha politikası hazırlamak ve imha süreçlerini uygun şekilde yürütülmektedir.
   • Kişisel verileri mümkün olduğunca azaltılmaktadır.
   • Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırmak, fiziki ortamda personelin sadece yetkilendirildiği belgelere erişimine izin vermek,
   • Şirket içinde kişisel verilere erişim ve yetkilendirme süreçlerini tasarlama ve uygulanmaktadır.
   • Kişisel verilere hukuka aykırı erişilmesini önlenmek, kişisel verilerin muhafazasını sağlanmaktadır.
   • Çalışanların niteliği ve teknik bilgi/becerisi geliştirilerek, kişisel verilerin hukuka aykırı işlenmesi önlenmektedir.
   • Şirket Personeline KVK mevzuatı ve veri güvenliği kapsamında gerekli eğitimler verilmektedir.
   • İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirilmektedir.
   • Özel nitelikli kişisel verilerin güvenliğine yönelik politika ve prosedürler belirlenmektedir.
   • Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
   • Özel nitelikli kişisel verileri kağıt ortamında aktarımı gerekiyorsa evrak “gizlilik dereceli belgeler” formatında gönderilmektedir.

1. Teknik Tedbirler:
   • Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
   • Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
   • Güncel anti-virüs sistemleri kullanılmaktadır.
   • Güvenlik duvarları kullanılmaktadır.
   • Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
   • Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
   • Kişisel veri güvenliğinin takibi yapılmaktadır.
   • Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
   • Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
   • Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
   • Kişisel veriler mümkün olduğunca azaltılmaktadır.
   • Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
   • Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
   • Mevcut risk ve tehditler belirlenmiştir.
   • Saldırı tespit ve önleme sistemleri kullanılmaktadır.
   • Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
   • Şifreleme yapılmaktadır.
   • Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
   • Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.

9. KİŞİSEL VERİLERİ SİLME, İMHA ETME VE ANONİMLEŞTİRME USULLERİ

ŞİRKET tarafından KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme amaçlarının ortadan kalkması halinde ŞİRKET tarafından re’sen yahut İlgili Kişinin başvurusu üzerine yine Kanun ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen teknikler ile imha edilecektir.

9.1. Kişisel Verilerin Silinmesi

Kişisel veriler aşağıda belirtilen yöntemlerle silinir:

Sunucularda yer alan kişisel veriler                               : Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için VERİ SORUMLUSU tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik ortamda yer alan kişisel veriler   : Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, VERİ SORUMLUSU hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Fiziksel ortamda yer alan kişisel veriler        : Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için VERİ SORUMLUSU dışındaki kişiler için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

Taşınabilir medyada bulunan kişisel veriler : Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, VERİ SORUMLUSU tarafından şifrelenerek ve erişim yetkisi sadece VERİ SORUMLUSUNA verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

9.2. Kişisel Verilerin İmha Edilmesi

Kişisel veriler aşağıda belirtilen yöntemlerle yok edilir:

Fiziksel ortamda yer alan kişisel veriler                                       : Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

Optik/Manyetik medyada yer alan kişisel veriler                        : Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

9.3. Kişisel Verilerin Anonim Hale Getirilmesi

ŞİRKET kayıtları çıkartma, değişken değiştirme, genelleştirme gibi yöntemlerle kişisel verilerin anonim hale getirilmesini sağlar.

9.4. Periyodik İmha Süresi

Yönetmeliğin 11.maddesi gereğince Veri Sorumlusu, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, ŞİRKET’te her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

9.5. Politikanın Yayınlanması Ve Saklanması

Politika, ıslak imzalı olarak basılı kâğıtta düzenlenir ve ŞİRKETte ilgili dosyalarda saklanır. ŞİRKETin bir internet sayfası olması halinde politika aynı zamanda internet sayfasında da kamuya açıklanır.

9.6. Politikanın Güncellenme Periyodu

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir. İşbu Politika; yayımlandığı tarihte yürürlüğe girmiş kabul edilir.

Yürürlükten kaldırılmasına karar verilmesi halinde Politika’nın ıslak imzalı eski nüshaları VERİ SORUMLUSU tarafından iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile ŞİRKET’te ilgili dosyalarda saklanır.

VERİ SORUMLUSU        :

YETKİN SİGORTA AR. HİZ. LTD. ŞTİ.

İMZA                                    :