I.KAPSAM
İşbu Özel Nitelikli Kişisel Verilerin Korunması ve İşlenmesi Politikası Soner Temel Mühendislik İnşaat ve Ticaret A.Ş, grup şirketi, bağlı şirketler ve ortaklıkları bünyesindeki diğer şirketler bünyesinde kişisel verileri işleyen herhangi bir sürece dahil olan tüm departmanları, çalışanları ve 3. kişileri kapsamaktadır.
İşbu Politika; Şirket'in Özel Nitelikli Kişisel Verilerin güvenliğine yönelik kuralları tanımlayacak ve bu alandaki yönetimi sağlayacak tüm faaliyetleri kapsayacak olup, bunu sürdürmek adına her adımda uygulanacaktır.
İşbu Politika Özel Nitelikli Kişisel Veri olmayan veriler hakkında uygulanmayacaktır .
II.TANIMLAR
Kanun 6698 Sayılı Kişisel Verilerin Korunması Kanunu
Yönetmelik Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Haline Getirilmesi Hakkında Yönetmelik
Kurul Kişisel Verileri Koruma Kurulu
Kişisel Veri Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
Politika İşbu Özel Nitelikli Kişisel Verilerin Korunması ve İşlenmesi Politikası
Kişisel Veri İşleme Envanteri Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandıran envanter
Özel Nitelikli Kişisel Veri KVKK kapsamında ilgili kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik veriler
Şirket Soner Temel Mühendislik İnşaat ve Ticaret A.Ş, grup şirketi, bağlı şirketler ve ortaklıkları bünyesindeki diğer şirketler
İlgili Kişi Kişisel verisi işlenen gerçek kişiler
VERBİS Başkanlık tarafından tutulan Veri Sorumluları Sicili
III.AMAÇ
İşbu Politika, Kanun uyarınca veri sorumlusu sıfatını haiz Şirket nezdinde tutulan Özel Nitelikli Kişisel Veri niteliğindeki verilerin, veri güvenliği kapsamında korunması ve işlenmesi usul ve esaslarını belirlemek maksadıyla oluşturulmuştur.
Şirket, VERBİS’e kayıt yükümlülüğü olan bir veri sorumlusu olarak, uhdesinde bulunan Özel Nitelikli Kişisel Verileri; Kişisel Veri İşleme Envanterine uygun bir şekilde saklamaktan, bu verilerin güvenliğine yönelik kuralları tanımlamaktan ve yönetimini sağlayacağı tüm faaliyetleri kapsayarak, bunu sürdürmek adına uygulayacak bir Politika hazırlayarak bu Politikaya uygun hareket etmekle yükümlüdür.
Kişisel Verilerin saklanması ve imhasında Kanun ve ilgili mevzuatta bulunan şartlar ve ilkeler geçerli olacaktır.
IV.ÖZEL NİTELİKLİ KİŞİSEL VERİ
1)Özel Nitelikli Kişisel Veri İşlenmesine İlişkin Genel İlkeler
Şirket, Kişisel Verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile ilgili gerekli her türlü teknik ve idari tedbirleri alır.
Şirket, Kişisel Verileri Kanun'da belirtildiği şeklin aksine bir şekilde işlemeyeceğini taahhüt eder.
Şirketin, Kanun'un 6. Maddesi 3.fıkrasındaki Özel Nitelikli Kişisel Verilerin işlenmesi şartlarındaki istisnalar mevcut olmadığı sürece; Kanun'da belirtilen istisnalar dışında açık rızasını almadığı kişilerin Özel Nitelikli Kişisel Verilerini saklaması yasaktır. Şirket, Özel Nitelikli Kişisel Verileri sakladığı durumlarda, verileri ilgili mevzuata bağlı kalarak açık rıza alınması durumunda işler.
2)Şirket Tarafından İşlenen Özel Nitelikli Kişisel Veriler
Sağlık ve cinsel hayat dışındaki Özel Nitelikli Kişisel Veriler, kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir durumdadır.
Sağlık ve cinsel hayata ilişkin Özel Nitelikli Kişisel Veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbı teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir durumdadır.
Özel Nitelikli Kişisel Veriler Şirket bünyesinde veri sahiplerinden alınan açık rıza aracılığıyla işlenmekte olup, bu veriler ancak işbu Politikanın 'Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Genel İlkeler' bölümünde belirtilen kontroller çerçevesinde işlem görmektedir. Şirket ile İlgili Kişi arasındaki ilişkinin türüne ve niteliğine, kullanılan iletişim kanallarına ve bahsi geçen amaç bilgisine bağlı olarak çeşitlenmekte ve farklılaşmaktadır.
3)Özel Nitelikli Kişisel Verilerin İşlenme Amaçları
Kişisel Veriler, Kişisel Veri İşleme Envanteri içerisinde belirtilen amaçlar kapsamında işlenebilmekte olup, bu amaçların ve ilgili yasal sürelerin öngördüğü müddetçe saklanabilmektedir.
4)Özel Nitelikli Kişisel Verilerin Aktarılması
Şirket, işbu Politikanın 'Özel Nitelikli Kişisel Verilerin İşlenme Amaçları' bölümünde örneklendirilen amaçlar çerçevesinde ve Kanun’un 8 ve 9'uncu maddeleri uyarınca yurt içi ve yurt dışı veri aktarımı yapmaktadır ve Kişisel Veriler bu kapsamda kullanılan sunucu ve elektronik ortamlarda işlenerek saklanabilmektedir. Şirket tarafından hazırlanmış Kişisel Veri İşleme Envanterinde veri aktarımı gerçekleşen taraflar ve veri aktarım amaçları detaylı bir şekilde belirtilmiştir. Yapılan bu aktarımların niteliği ve paylaşım yapılan taraflar, İlgili Kişi ile Şirket arasındaki ilişki türüne ve niteliğine, aktarımın amacına ve ilgili yasal dayanağa bağlı olarak değişmekte olup, bu kapsamda alınan tedbirler, uygulama esas usulleri ve bu çerçevede alınacak olan işlemler geçerlidir.
Şirket, Özel Nitelikli Kişisel Verileri aktaracak ise; Kanun ve ilgili mevzuatta belirtilen hüküm ve şartlara uygun olarak gerekli önlemleri almak suretiyle aktarımı gerçekleştirir.
5)Veri İşleme Şartlarının Ortadan Kalkması
Şirket, Özel Nitelikli Kişisel Veri işlenme şartlarının güncelliğinden sorumludur ve bu sorumluluğunu tüm çalışanları ile paylaşır.
Çalışanlar, veri işlenme şartlarının ortadan kalktığı durumlarda veri işlemeye devam edemez. Şirket, şartların ortadan kalktığı ortamları ilgililerin talebi üzerine veya resen işbu Politika'ya uygun bir şekilde ortadan kaldırmakla yükümlüdür.
Şirket aşağıda örnek olarak listelenen ve Yönetmelik içinde de belirtilen ilgili durumlarda Özel Nitelikli Kişisel Veri işlenme şartlarının ortadan kalktığını kabul eder:
- Kişisel Verilerin işlenmesini gerektiren amacın ortadan kalkması,
- Kişisel Verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması,
- Kişisel Verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması.
6)Özel Nitelikli Kişisel Verilerin Güvenliği
Şirket, veri sorumlusu sıfatıyla aşağıda belirtilen önlemleri almaktadır:
i) İdari Tedbirler:
- Çalışanlar için çalışanların niteliği ve teknik bilgi/becerisinin geliştirilmesi, Kişisel Verilerin hukuka aykırı işlenmesinin önlenmesi, Kişisel Verilere hukuka aykırı erişilmesinin önlenmesi, Kişisel Verilerin muhafazasının sağlanması, iletişim teknikleri ve ilgili mevzuatlar hakkında aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
- Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
- Kişisel Veri İşleme Envanteri hazırlanmıştır.
- Saklama ve imha konularında kurumsal politikalar hazırlanmıştır.
- Kişisel Veri işlemeye başlamadan önce, İlgili Kişileri aydınlatma ve açık rızalarını alma yükümlülükleri yerine getirilmektedir.
- Kişisel Veriler mümkün olduğunca azaltılmaktadır.
- Periyodik ve rastgele denetimler yapılmaktadır.
- VERBİS kaydı yapılmaktadır.
- Kişisel Veriler için alınan idari tedbirlerin yanı sıra; Özel Nitelikli Kişisel Verilerin güvenliğine yönelik sistemli, kuralları net bir şekilde belli, yönetilebilir ve sürdürülebilir ayrı bir politika ve prosedür belirlenmektedir.
- Kanun ve buna bağlı yönetmelikler ile Özel Nitelikli Kişisel Veri güvenliği konularında düzenli olarak eğitimler verilmektedir.
- Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak belirlenmektedir.
- Periyodik olarak yetki kontrollerinin gerçekleştirilmektedir.
ii) Teknik Tedbirler:
- Kişisel Veri güvenliği politika ve prosedürleri belirlenmiştir.
- Kişisel Veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
- Kişisel Veri güvenliğinin takibi yapılmaktadır.
- Kişisel Veri saklama ve imha politikasına uygun olarak silme, yok etme veya anonim hale getirme işlemleri periyodik olarak uygulanmaktadır.
- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
- Kişisel Veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
- Kişisel Veri içeren ortamların güvenliği sağlanmaktadır.
- Hukuka aykırı işlemeyi önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirler alınmaktadır.
- Erişim yetki ve rol dağılımları için prosedürler oluşturulmakta ve uygulanmaktadır.
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
- Yetki matrisi yapılmaktadır.
- Erişim logları düzenli olarak tutulmaktadır.
- Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmaktadır.
- Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
- Kişisel Veriler yedeklenmekte ve yedeklenen Kişisel Verilerin güvenliği de sağlanmaktadır.
- Kişisel Veriler için alınan teknik tedbirlerin yanı sıra; Özel Nitelikli Kişisel Veriler kriptografik yöntemler kullanılarak muhafaza edilmektedir.
- Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları güvenli olarak loglanmaktadır.
- Verilere uzaktan erişim gerektiğinde en az iki kademeli kimlik doğrulama sistemi uygulanmaktadır.
- Verilerin e-posta yoluyla aktarılması gerektiğinde şifreli olarak kurumsal e-posta adresi veya Kayıtlı Elektronik Posta (KEP) hesabı kullanılmaktadır.
- Kişisel Veriler için alınan teknik tedbirlerin yanı sıra; Özel Nitelikli Kişisel Verilerin bulunduğu ortam için yeterli güvenlik önlemleri (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınmaktadır.
- Özel Nitelikli Kişisel Verilerin bulunduğu ortama yetkisiz giriş çıkışlar engellenmektedir.
- Özel Nitelikli Kişisel Verilerin kâğıt ortamı ile aktarımında evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizlilik dereceli belgeler” formatında gönderilmektedir.
7)Özel Nitelikli Kişisel Verilerin Aktarılması
Şirket, hukuka uygun olarak elde etmiş olduğu Özel Nitelikli Kişisel Verileri, veri işleme amaçları doğrultusunda, gerekli güvenlik önlemlerini alarak, İlgili Kişi’nin Özel Nitelikli Kişisel Verilerini üçüncü kişilere aktarabilmektedir. Bu doğrultuda, Şirket, Özel Nitelikli Kişisel Verileri, yukarıdaki bölümde belirtilen işleme şartlarından ve aşağıda belirtilen şartlardan birinin varlığı halinde üçüncü kişilere aktarabilecektir:
- İlgili Kişi’nin açık rızası var ise,
- Kanunlarda Özel Nitelikli Kişisel Veri’nin aktarılacağına ilişkin açık bir düzenleme var ise,
- İlgili Kişi’nin veya başkasının hayatı veya beden bütünlüğünün korunması için zorunlu ise ve İlgili Kişi fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda ise veya rızasına hukuki geçerlilik tanınmıyorsa,
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait Kişisel Verinin aktarılması gerekli ise,
- Şirket’in hukuki yükümlülüğünü yerine getirmesi için Kişisel Veri aktarımı zorunlu ise,
- Özel Nitelikli Kişisel Veriler, İlgili Kişi tarafından alenileştirilmiş ise,
- Özel Nitelikli Kişisel Veri aktarımı bir hakkın tesisi, kullanılması veya korunması için zorunlu ise,
- İlgili Kişi’nin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Şirket’in meşru menfaatleri için Kişisel Veri aktarımı zorunlu ise.
8)Özel Nitelikli Kişisel Verilerin Yurtdışına Aktarılması
Şirket, gerekli özeni göstererek, gerekli güvenlik tedbirlerini ve Kurul tarafından öngörülen yeterli önlemleri alarak, meşru ve hukuka uygun Kişisel Veri işleme amaçları doğrultusunda, İlgili Kişi’nin Özel Nitelikli Kişisel Veriler’ini aşağıdaki durumlarda yeterli korumaya sahip veya yeterli korumayı taahhüt eden veri sorumlusunun bulunduğu yabancı ülkelere aktarabilmektedir:
- İlgili Kişi’nin açık rızası var ise veya
- İlgili Kişi’nin açık rızası yok ise; o İlgili Kişi’nin sağlığı ve cinsel hayatı dışındaki Özel Nitelikli Kişisel Verileri (ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir), kanunlarda öngörülen hallerde, o İlgili Kişi’nin sağlığına ve cinsel hayatına ilişkin Özel Nitelikli Kişisel Verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi kapsamında.
V.GÜNCELLEME
Konuyla alakalı yeni mevzuatın belirlenmesi veya ilgili mevzuatın güncellenmesi durumunda, Şirket politikasını ilgili mevzuata uyumlu olacak şekilde güncelleyerek mevzuat gerekliliklerine uyacaktır.