LPPD
1. GİRİŞ
1.1. Genel Olarak
Kişisel verilerin gizliliğinin, güvenliğinin sağlanması ve ilgili hukuki düzenlemelere uyum, METAL PRODUCT SUPPLIER ‘IN en önemli öncelikleri arasında yer almakta olup, bu konuda azami özen gösterilmektedir. Bu kapsamda kişisel verilerin işlenmesine ve korunmasına dair işbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (‘‘Politika’’) ve Şirket bünyesindeki diğer yazılı politikalar ile yönetilen süreç ve hedeflenen amaç; çalışanlarımızın, çalışan adaylarımızın, ziyaretçilerimizin, misafirlerimizin ve diğer üçüncü kişilerin (‘‘İlgili Kişiler’’) kişisel verilerinin hukuka uygun biçimde işlenmesi, saklanması, korunması konusunda bilgilendirilmesi ve kurumsal kültürümüzün yansıtılmasıdır.
İşbu Politika’nın hazırlanmasında; Türkiye Cumhuriyeti Anayasası ve 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (‘‘KVKK’’) yer alan düzenlemeler başta olmak üzere kişisel verilerin korunmasına ve işlenmesine ilişkin ilgili hukuki normlarda ve Kişisel Verileri Koruma Kurulu kararlarında yer alan hükümleri Şirketimize rehber olarak görmekteyiz.
Bu Politika’da kişisel verilerin işlenmesi süreçleri için Şirketimizin benimsediği ve aşağıda yer alan temel prensiplere ilişkin açıklamalarda bulunulacaktır:
• Kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesi,
• Kişisel verilerin doğru ve gerektiğinde güncel tutulması,
• Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi,
• Kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması,
• Kişisel verilerin ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi,
• İlgili kişilerin aydınlatılması,
• İlgili kişilerin haklarını kullanması için gerekli süreçlerin oluşturulması,
• Kişisel verilerin işlenmesinde ve muhafazasında gerekli tedbirlerin alınması,
• Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılması,
• Özel nitelikli kişisel verilerin işlenmesinde ve korunmasında gerekli hassasiyetin gösterilmesi,
• İşleme amacı ortadan kalkan kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
1.2. Politikanın Amacı
Bu Politikanın temel amacı, Şirketimiz tarafından hukuka uygun bir şekilde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen prosedürler konusunda açıklamalarda bulunmak ve bu kapsamda İlgili Kişileri bilgilendirerek şeffaflığı sağlamaktır. Buna ilaveten, hazırlanan işbu KVK Politikası ve diğer yazılı politikalar, KVKK ve kişisel veri güvenliğine ilişkin diğer ilgili yasal düzenlemelere uyum ilkemizi sürdürülebilir kılmayı amaç edinmektedir.
1.3. Politikanın Kapsamı
Bu politikanın kapsamı, Şirketimiz tarafından otomatik olan veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla gerçekleştirilen, kişisel verileri işlenen gerçek kişilere yönelik olup, işbu Politika kapsamında Kişisel Verilerin Korunmasına İlişkin İç Yönerge oluşturulmuştur.
1.4. Politikanın ve İlgili Mevzuatın Uygulanması
İşbu Politika, ilgili mevzuat tarafından ortaya konulan esaslar dahilinde somutlaştırılarak düzenlenmiştir. Şirketimiz, yürürlükte bulunan mevzuat ile işbu Politika arasında uyumsuzluk bulunması durumunda, yürürlükteki mevzuatın uygulama alanı bulacağını taahhüt ve kabul etmektedir.
1.5. Politikanın Yürürlüğü
İşbu politika, Şirketimiz yönetim kurulu tarafından onaylanarak yürürlüğe girer, internet sitesinde ( www.metalproductsupplier.com ) yayımlanır ve bu yolla İlgili Kişilerin erişimine sunulur.
3. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN ESASLAR
3.1. Kişisel Verilerin Mevzuatta Öngörülen İlkelere Uygun Olarak İşlenmesi
3.1.1. Hukuka ve Dürüstlük Kurallarına Uygun İşleme
Şirketimiz, kişisel veriler üzerinde gerçekleştirilecek her türlü işlemde hukuka ve dürüstlük kurallarına uygun olmayı temel ilke edinmiştir. Bu kapsamda şeffaflık ilkesini benimseyerek toplanan kişisel verilerin kullanım amacı hakkında İlgili Kişilere işbu Politika ve diğer metinler aracılığıyla bilgilendirmede bulunmaktadır.
3.1.2. Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama
Şirketimiz, kişisel verileri işleme faaliyetini yürütürken, işlediği kişisel verilerin doğruluğunu ve güncelliğini sağlamaya yönelik sistem ve sürece sahiptir. Bu kapsamda İlgili Kişiler, Şirketimize başvuruda bulunarak kişisel verilerinin doğru ve güncel olarak tutulmasını mümkün kılabilir.
3.1.3. Belirli, Açık ve Meşru Amaçlarla İşleme
Şirketimiz, kişisel veri işleme amacını meşru ve hukuka uygun sınırlar içerisinde açık bir şekilde belirlemekte ve işbu Politika ve diğer metinler aracılığıyla kişisel veri işleme faaliyeti henüz başlamadan İlgili Kişilerin bilgisine sunmaktadır.
3.1.4. İşlendikleri Amaçlarla Bağlantılı, Sınırlı ve Ölçülü Olma
Şirketimiz, kişisel verileri, faaliyet konusu ile bağlantılı ve orantılı bir biçimde faaliyetin yürütülmesi için gerekli amaçlar dahilinde işlemektedir. Bu kapsamda veri işleme faaliyetini yürütürken amacın gerçekleştirilmesiyle ilgili olmayan ve şu an/ileride ihtiyaç duyulmayan kişisel verileri işlemekten özenle kaçınmaktadır.
3.1.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Etme
Şirketimiz, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre ile sınırlı olarak muhafaza etmektedir. Bu kapsamda öncelikle kişisel verinin saklanması için ilgili mevzuatta bir sürenin belirlenip belirlenmediği tespit edilmekte, bir süre belirlendiyse bu süreye uygun işlem yapılmakta, özel olarak bir süre belirlenmemiş ise her kişisel verinin işlendiği amaç için gerekli olan süre belirlenerek bu süre kadar muhafaza edilmektedir.
Bu kapsamda Şirketimiz, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine yönelik politikası ve yönergesi hazırlamakta ve uygulamaktadır.
3.2. Kişisel Verilerin KVKK’nın 5. Maddesinde Belirtilen Kişisel Veri İşleme Şartlarına Uygun ve Bu Şartlarla Sınırlı Olarak İşlenmesi Şirketimiz, kişisel verileri ancak İlgili Kişinin açık rızasına dayanarak veya KVKK’da açık rızanın aranmayacağı belirtilen hallerde açık rıza olmadan bu hal ve şartlarla sınırlı olacak bir şekilde işlemektedir.
3.2.1. Açık Rıza
Açık rıza, İlgili Kişinin belirli bir konuya ilişkin ve bilgilendirmeye dayalı olarak özgür irade ile yaptığı açıklamadır. KVKK m. 5/1 uyarınca Şirketimiz, kişisel veri işleme faaliyetinde gerekli olması halinde İlgili Kişinin açık rızasına saygı göstermekte ve riayet etmektedir.
3.2.2. Açık Rızanın Aranmadığı Haller
KVKK m. 5/2’de kişisel verilerin bazı durumlarda İlgili Kişinin açık rızasına tabi olmadan işlenmesini düzenlemiştir. Belirtilen şartların birinin varlığı halinde ilgili kişiden açık rıza alınması, İlgili Kişiyi yanıltmak olarak nitelendirileceğinden, veri işleme şartlarının mevcut olduğu durumlarda Şirketimiz açık rızaya başvurmamaktadır.
3.3. Özel Nitelikli Kişisel Verilerin İşlenmesi
Şirketimiz, işlendiğinde kişilerin daha büyük mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle KVKK tarafından “özel nitelikli” olarak belirlenen kişisel verilerin işlenme süreçleri ve korunması süreçlerinde azami hassasiyet göstermekte olup, özel nitelikli kişisel verilere ilişkin kabul edilen ilkeler, işbu Politikada ayrıca ele alınmıştır.
Şirketimiz tarafından; özel nitelikli kişisel veriler ilgili kişinin açık rızası yok ise ancak Kurul tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenebilmektedir.
a) İlgili kişinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler kanunlarda öngörülen hallerde,
b) İlgili kişinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.
Özel nitelikli kişisel verilerin işlenmesi, bu verilere ulaşılması ile ilgili olarak Şirketimiz ek önlemler ve süreçler belirlemiştir. Bu çerçevede, özel nitelikli kişisel verilerin saklandıkları ortamlar ikincil kilit ve ikincil şifrelerle korunmakta, yetki matrisi çerçevesinde ancak yetkili kişiler tarafından işlenmektedir.
3.4. Kişisel Verilerin Aktarılması
Kişisel veriler, işbu Politika’da belirtilen amaçların yerine getirilmesine yönelik olarak, denetim faaliyetleri çerçevesinde denetleyici kuruluşlara, ilgili yasal düzenlemeler gereğince denetleme ve ortaklık haklarından kaynaklı nedenlerden dolayı hissedarlarımıza, kanunen yetkili kamu kurumları ve kuruluşlarına, yurt içi ve/veya yurt dışında bulunan tedarikçi ve iş ortaklarımıza, hizmet tedariki yapılan gerçek kişilere veya hizmet verilen üçüncü kişilere
KVKK madde 8 ve madde 9’da belirtilen kişisel veri işleme şartları ve amaçları çerçevesinde aktarılabilmektedir.
4. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ESASLAR
4.1. Kişisel Verilerin Güvenliğine İlişkin Şirketimizin Almış Olduğu Teknik ve İdari Tedbirler
4.1.1. Teknik Tedbirler
Şirketimiz tarafından kişisel verilerin hukuka uygun olarak işlenmesinin sağlanması ve kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi için alınan başlıca teknik tedbirler şu şekildedir:
4.1.1.1. Şirketimiz bünyesinde gerçekleştirilen kişisel veri işleme faaliyetleri, kurulan teknik sistemlerle denetlenmektedir.
4.1.1.2. Teknik konularda bilgili ve tecrübeli personel istihdam edilmektedir.
4.1.1.3. Teknik konularda ilgili departmanlar kurulmuştur.
4.1.1.4. Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği yetkili birim/kişiye raporlanmaktadır.
4.1.1.5. Kişisel verilerin güvenli bir şekilde saklanmasını sağlamak için hukuka uygun bir biçimde yedekleme programı kullanılmaktadır.
4.1.1.6. Yeni teknolojik gelişmeler takip edilmekte ve özellikle siber güvenlik alanında sistemler üzerinde teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmekte ve yenilenmektedir.
4.1.1.7. Şirketimiz bünyesindeki her bir bölüm özelinde belirlenen hukuksal uyum gereksinimleri çerçevesinde erişim ve yetkilendirme teknik tedbirleri kullanılmaktadır.
4.1.1.8. Erişim yetkileri sınırlandırılmakta, yetkiler düzenli olarak gözden geçirilmekte, eski çalışanların hesapları kapatılmaktadır.
4.1.1.9. Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kullanılmaktadır.
4.1.1.10. Sahte yazılım ve donanım kullanımından şiddetle kaçınılmaktadır. Kullandığımız tüm ürünlerimiz orijinal ve lisanslıdır.
Bu çerçevede, Kurul tarafından belirlenen ve aşağıda yer alan teknik tedbirler konusunda Şirketimiz sürekli ve sürdürülebilir nitelikte çalışmalar yapmaktadır:
4.1.1.11. Yetki Matrisi
4.1.1.12. Yetki Kontrol
4.1.1.13. Erişim Logları
4.1.1.14. Kullanıcı Hesap Yönetimi
4.1.1.15. Ağ Güvenliği
4.1.1.16. Uygulama Güvenliği
4.1.1.17. Şifreleme
4.1.1.18. Saldırı Tespit ve Önleme Sistemleri
4.1.1.19. Log Kayıtları
4.1.1.20. Yedekleme
4.1.1.21. Güvenlik Duvarları
4.1.1.22. Güncel Anti-Virüs Sistemleri
4.1.1.23. Silme, Yok Etme veya Anonim Hale Getirme
4.1.1.24. Anahtar Yönetimi
4.1.2. İdari Tedbirler
Şirketimiz tarafından kişisel verilerin hukuka uygun olarak işlenmesini sağlanması ve kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi için alınan başlıca idari tedbirler şu şekildedir:
4.1.2.1. Personelimiz, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir.
4.1.2.2. Şirketimizin iş birimlerinin yürütmüş olduğu kişisel veri işleme faaliyetleri; bu faaliyetlerin KVKK’da belirtilen veri işleme şartlarına uygunluğunun sağlanması için yerine getirilecek olan gereklilikler her bir iş birimi ve yürütülen faaliyet özelinde incelenmektedir.
4.1.2.3. Şirketimiz ile çalışanlar arasındaki hukuki ilişkiyi yöneten sözleşme ve belgelerle, Şirketin talimatları ve kanunla getirilen istisnalar dışında, kişisel verileri işlememe, ifşa etmeme ve kullanmama yükümlülüğü getiren kayıtlar konulmakta ve bu konuda çalışanların farkındalığı artırılmaktadır.
4.1.2.4. İş birimlerimiz esas alınarak belirlenen hukuksal uyum gerekliliklerinin sağlanması için ilgili iş birimleri özelinde farkındalık yaratılmakta ve uygulamaya geçilmektedir. Bu hususların denetimini ve uygulamanın sürekliliğini sağlamak için gerekli idari tedbirler Şirket içi politikalar ve eğitimler ile hayata geçirilmektedir.
4.1.2.5. Faaliyet bazlı hukuksal uyum gerekliliklerine uygun olarak Şirketimiz içinde kişisel verilere erişim ve yetkilendirme süreçleri tasarlanmakta ve uygulanmaktadır.
4.1.2.6. KVKK ve ilgili diğer düzenlemelere ilişkin iş ve işlemlerin takibinde kolaylık ve uyum için oluşturulmuş olan Kişisel Verileri Koruma Komitesi tarafından takip edilmektedir.
4.1.2.7. Şirketimiz tarafından kişisel verilerin hukuka uygun olarak aktarıldığı üçüncü kişiler ile kurulan sözleşmelere, aktarılan kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerin alınacağına ve kendi kuruluşlarında da bu tedbirlere uyulmasının sağlanacağına ilişkin hükümler eklenmektedir.
Bu çerçevede, Kurul tarafından belirlenen ve aşağıda yer alan idari tedbirler konusunda Şirketimiz sürekli ve sürdürülebilir nitelikte çalışmalar yapmaktadır:
4.1.2.8. Kişisel Veri İşleme Envanteri Hazırlanması
4.1.2.9. Kurumsal Politikalar (Erişim, Bilgi Güvenliği, Kullanım, Saklama ve İmha vb.)
4.1.2.10. Sözleşmeler (Veri Sorumlusu- Veri Sorumlusu, Veri Sorumlusu- Veri İşleyen Arasında)
4.1.2.11. Gizlilik Taahhütnameleri
4.1.2.12. Kurum İçi Periyodik ve/veya Rastgele Denetimler
4.1.2.13. Risk Analizleri
4.1.2.14. İş Sözleşmesi, Disiplin Yönetmeliği (Kanuna Uygun Hükümler İlave Edilmesi)
4.1.2.15. Kurumsal İletişim (Kriz Yönetimi, Kurul ve İlgili Kişiyi Bilgilendirme Süreçleri, İtibar Yönetimi vb.)
4.1.2.16. Eğitim ve Farkındalık Faaliyetleri (Bilgi Güvenliği ve Kanun)
4.1.2.17. Veri Sorumluları Sicil Bilgi Sistemine (VERBİS) Bildirim
4.2. Çalışanlarımızın, Kişisel Verileri Koruma Alanında Farkındalıklarının Artırılması ve Denetimi
Şirketimiz, kişisel verilerin hukuka aykırı olarak işlenmesini, verilere hukuka aykırı erişilmesini önlemeye ve verilerin muhafazasını güvenli bir şekilde sağlamaya yönelik farkındalığın artırılması için gerekli eğitimler ve toplantılar düzenlenmesini sağlamaktadır.
Şirketimiz bünyesinde bulunan mevcut çalışanların, kişisel verilerin korunması konusunda farkındalığın artırılmasında konuya ilişkin ihtiyaç duyulması halinde profesyonel kişiler ile çalışılmaktadır.
4.3. Özel Nitelikli Kişisel Verilerin Korunması
Şirketimiz tarafından, KVKK ile özel nitelikli olarak belirlenen ve hukuka uygun olarak işlenen kişisel veriler hassasiyetle korunmaktadır. Bu kapsamda Şirketimiz tarafından kişisel verilerin korunması için alınan teknik ve idari tedbirler, ilgili yasal düzenleme ve Kişisel Verileri Koruma Kurumu tarafından yayınlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” kararı baz alınarak belirlenmiş olup, özel nitelikli kişisel verilerin korunması bakımından özenle uygulanmaktadır.
4.4. Kişisel Verilerin Yetkisiz Bir Şekilde İfşası Durumunda İzlenecek Süreç
Şirketimiz, işlediği kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde, bu durumu 72 saat içerisinde ilgili kişiye ve Kurula bildirecektir.
Kurul tarafından gerekli görülmesi halinde bu durum, Kurul’un internet sitesinde veya başka bir yöntemle ilan edilebilecektir.
4.5. Kişisel Veri Envanteri
Şirketimizin her birimi, güncel bir kişisel veri işleme envanteri oluşturmaktadır. Birim yöneticisi bu envanterin doğruluğundan, güncelliğinden ve gerektiğinde irtibat kişisine ibrazından sorumludur. Envanterlerin doğru tutulması, kişisel verilerin korunmasına ilişkin güncel Şirket politikasının uygulanması ve kişisel verilerin korunması konusundaki güncel gelişmeler daima takip edilir.
5. İLGİLİ KİŞİLERİN VERİ SORUMLUSUNA BAŞVURUSU, İLETİŞİM KANALLARIMIZ VE BAŞVURUNUN DEĞERLENDİRİLMESİ SÜREÇLERİ
5.1. Başvuru Konusu
Şirketimiz, İlgili Kişilerin haklarına büyük önem ve değer vermekte ve bu haklarını kullanmalarına imkân ve olanak sağlamaktadır. Şirketimiz tarafından, ilgili kişilerin taleplerini kolayca iletebileceği bir “Veri Sorumlusuna Başvuru Formu” hazırlanıp internet sitemizde yayımlanmıştır. Ancak İlgili Kişilerin bu formun kullanması zorunlu değildir.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun yapılan her başvuru değerlendirmeye alınacaktır. Herkes, Şirketimize başvuruda bulunarak kendisiyle ilgili;
a) Kişisel verisinin işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,
haklarına sahiptir.