ÇALIŞAN/ İŞÇİ AYDINLATMA METNİ

Veri sorumlusu SÜMER ULUSLARARASI SANAYİ VE TİCARET A.Ş.  olarak firmamız bünyesinde işlenen her türlü kişisel veri 6698 sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere ilgili ulusal ve uluslararası mevzuat hükümleri kapsamında korunmaktadır. Şirketimiz gerekli korunmanın sağlanması adına teknik ve idari tedbirleri vaktinde gereği gibi almakta olup her hangi bir ihlal şüphesi karşısında yasal hükümler çerçevesinde ilgili şahıslara, kurum ve kuruluşlara gerekli bildirimleri en kısa sürede yapmaktadır.

 

  1. KİŞİSEL VERİ KAVRAMI VE BU KAVRAMIN GELİŞİMİ ÜZERİNE AÇIKLAMALAR

            Kişisel veri, bireylerin kimliklerini belirli hale getirmeye elverişli her türlü bilgi olarak tanımlanabilir. Bu bağlamda kişinin kimlik, iletişim, sağlık ve mali bilgileri ile özel hayatına, dini inancına ve siyasi görüşüne ilişkin bilgiler, kişisel veri olarak nitelendirilmektedir. Örneğin; ad, soyad, doğum tarihi, cep telefonu numarası, e-posta, cinsiyet, adres, meslek, eğitim, alışveriş noktası ve zamanı, ne kadar ödeme yaptığı, hangi kampanyadan faydalandığı, aldığı indirim tutarı, alışverişindeki ürün bilgileri, uygulama üzerindeki gezinme ve tıklama bilgileri, uygulamayı açtığı lokasyon bilgileri, vs.

Günümüzde bu veriler, gerek özel sektör ve gerekse kamu sektörü tarafından bilişim sistemleri üzerinden otomatik yollarla sıkça kullanılmaktadır. Bu bilgilerin kullanılması bireyler ile mal ve hizmet sunanlar bakımından bazı kolaylıklar veya avantajlar sağlasa da, bu durum söz konusu bilgilerin istismar edilme riskini de beraberinde getirmektedir. Bu verilerin yetkisiz kişiler tarafından elde edilmesi, kullanılması ve ifşa edilmesi gerek taraf olduğumuz sözleşmeler ve gerekse Anayasamızda koruma altına alınan temel hakların ihlali olarak karşımıza çıkmaktadır. Bu iki menfaat arasında makul bir dengenin oluşturulması gerekmektedir. Kişisel verilerin işlenebilmesi hususunda özel bir kanun ve etkin bir denetim mekanizmasının bulunmaması toplumumuzda olumsuz bir algının oluşmasına sebebiyet vermektedir. Oluşan bu algının ortadan kaldırılması için kişisel verilerin belli şartlar dahilinde işlenmesine, muhafaza edilmesine ve kontrolüne ilişkin esasların belirlenmesi gerekmektedir.

            Çağımızda insan haklarının korunması bilincinin gelişmesine paralel olarak, kişisel verilerin korunmasının da önemi her geçen gün artmaktadır. Bu nedenle günümüzde gelişmiş ülkelerde kişisel verilerin korunması alanında detaylı kanuni düzenlemelerin uygulanmakta olduğu görülmektedir.

             Buna karşın ülkemizde, kişisel verilerin korunmasına ilişkin alanı bütüncül olarak düzenleyen bir kanun bulunmamakta, bu konuya ilişkin hükümler farklı kanunlarda yer almaktadır. Ayrıca ülkemizde kişisel verilerin işlenmesi sürecini kontrol edecek ve denetleyecek bir kurum da bulunmamaktadır. Bunun bir sonucu olarak, halen kişisel veriler yeterli düzenleme ve denetime tabi olmaksızın, birçok kişi veya kurum tarafından kullanılabilmekte ve bu durum bazı hak ihlallerinin yaşanmasına sebep olabilmektedir.

            Ülkemizde kişisel verilerin korunmasını sağlayacak bir kanunun yürürlüğe girmesini gerektiren değişik sebepler bulunmaktadır. Öncelikle, 5237 sayılı Türk Ceza Kanununun 135 ve devamı maddelerinde, kişisel verilerin hukuka aykırı olarak elde edilmesi, kaydedilmesi veya ifşa edilmesi fiilleri suç olarak düzenlenmiş ve yaptırıma bağlanmıştır. Bununla birlikte, kişisel verilerin işlenmesine yönelik özel bir kanunun bulunmaması sebebiyle, bu fillerin ne zaman hukuka aykırı, ne zaman hukuka uygun olduğunun belirlenmesinde tereddütlerin yaşandığı görülmektedir.

            Öte yandan 12 Eylül 2010 tarihinde yapılan halkoylaması sonucu kabul edilen 5982 sayılı Kanunla Anayasanın 20 nci maddesinde yapılan düzenlemeyle, kişisel verilerin korunması temel bir insan hakkı olarak güvence altına alınmış ve detayların kanunla düzenlenmesi öngörülmüştür.

            Yine ülkemizle ilgili olarak devam etmekte olan Avrupa Birliği tam üyelik sürecinde, müzakere fasıllarından dördü, doğrudan kişisel verilerle ilgilidir. Bu fasıllarla ilgili sürecin ilerleyebilmesi için ülkemizde kişisel verilerin korunmasına ilişkin temel bir kanunun yürürlüğe girmesi gerekmektedir.

Kişisel verilerin korunması konusu 1980’li yıllardan itibaren uluslararası belgelerde yer almaya başlamıştır. İlk olarak, ülkemizin de üyesi bulunduğu, İktisadi İşbirliği ve Kalkınma Teşkilatı (OECD) tarafından 23/9/1980 tarihinde “Kişisel Alanın ve Sınır Aşan Kişisel Bilgi Trafiğinin Korunmasına İlişkin Rehber İlkeler” kabul edilmiştir. Avrupa Konseyi tarafından, tüm üye ülkelerde kişisel verilerin aynı standartlarda korunması ve sınır ötesi veri akışı ilkelerinin belirlenmesi amacıyla hazırlanan 108 sayılı “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi”, 28 Ocak 1981 tarihinde imzaya açılmış ve ülkemiz tarafından da imzalanmıştır.

            Avrupa Konseyi ayrıca, kişisel verilerin korunmasına yönelik, tıbbi veri bankaları, bilimsel araştırma ve istatistik, doğrudan pazarlama, sosyal güvenlik, sigorta, polis kayıtları, istihdam, elektronik ödeme, telekomünikasyon ve internet gibi çeşitli sektörlerde uygulanacak ilkeleri belirleyen tavsiye kararları da kabul etmiştir. Tasarının hazırlanması sırasında, söz konusu tavsiye kararları gözönüne alınmakla beraber, Tasarının “çerçeve tasarı” niteliği korunmuştur. Tüm sektörlerle ilgili düzenlemelere yer verilmesi halinde, Tasarının hacminin çok genişleyeceği düşünülerek, söz konusu tavsiye kararları Tasarıya alınmamıştır. Bu tavsiye kararlarında yer alan ilkelere, ilerleyen süreçte, değişik sektörlerle ilgili yapılacak düzenlemelerde yer verilebileceği değerlendirilmiştir.

             Öte yandan, Avrupa Birliği, üye ülkelerin kişisel verilerin korunmasına ilişkin mevzuatı arasında uyum sağlamak üzere, 24/10/1995 tarihinde “Kişisel Verilerin İşlenmesi Sırasında Gerçek Kişilerin Korunması ve Serbest Veri Trafiği Direktifi”ni (95/46/EC) yürürlüğe koymuştur. Bu Direktifle, üye ülkelerdeki bireylerin kişisel verilerinin üst düzeyde korunması ve kişisel verilerin Avrupa Birliği içerisinde özgür dolaşımını sağlayacak açık ve kalıcı bir düzenleme yapılması amaçlanmıştır. Kişisel verilerin korunmasına yönelik uluslararası belgeler göz önüne alındığında; bu konuya ilişkin hazırlanacak kanunda, kişisel verilerin işlenme şartlarının, bireylerin aydınlatılmasının, bu alanı denetleyecek ve düzenleyecek bir otoritenin oluşturulmasının, veri güvenliğine ilişkin gerekli tedbirlerin alınmasının temel ilkeler olarak kabul edildiği görülmektedir.

            Söz konusu VKD ve öncesi antlaşma ve direktiflerin güncel olaylar karşısında yetersiz kalması ve ülkeden ülkeye imzalanan antlaşma ve direktiflerin farklılık göstermesi karşısında tüm AB’yi kapsayacak bir reform üzerinde 15 Aralık 2011’de uzlaşmaya varılmıştır. Bu kapsamda 2012 yılında hazırlanan GDPR, 14 Nisan 2016 tarihinde AB Parlamentosu tarafından kabul edilmiştir. GDPR 94.madde 95/46 VKD’yi yürürlükten kaldırırken 2002/58/ EC Elektronik Veri Koruma Direktifi’nin uygulama alanını genişletmiştir. 

            2010 yılında 5982 sayılı Kanun’la yapılan Anayasa değişikliği ile Anayasa’nın 20. maddesine ilave bir fıkra eklenmiştir. Söz konusu fıkrada; “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.” hükmüne yer verilmiştir.

Anayasada da, kişisel verilerin korunmasıyla ilgili detaylı düzenlemelerin kanunla yapılacağı belirtilmektedir. Bu kapsamda 26 Aralık 2014 tarihinde “Kişisel Verilerin Korunması Kanunu Tasarısı” TBMM Başkanlığına sunulmuştur. Tasarı, 24 Mart 2016 tarihinde kanunlaşmış ve 6698 sayılı Kişisel Verilerin Korunması Kanunu 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.

            Uluslararası belgeler, mukayeseli hukuk uygulamaları ve ülkemiz ihtiyaçları göz önüne alınmak suretiyle hazırlanan Tasarıyla, kişisel verilerin çağdaş standartlarda işlenmesi ve koruma altına alınması amaçlanmaktadır.

 

  1. KİŞİSEL VERİLERİN İŞLENMESİ VE VERİ İŞLENMESİNE HAKİM OLAN TEMEL İLKELER

            Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem, kişisel verilerin işlenmesi olarak kabul edilmektedir. Kişisel verilerin belirtilen şekilde toplandıktan sonra silme, yok etme ya da anonim hale getirme işlemlerine kadar olan süreçte gerçekleştirilen her türlü faaliyet Kanun kapsamında kişisel verilerin işlenmesi olarak değerlendirilmektedir.

            Kişisel verileriniz şirketimiz bünyesindeki ticari faaliyetin, iş yeri düzeni ve genel işleyişin gerekleriyle bağlantılı olarak 4857 sayılı İş Kanunu, 6698 sayılı Kişisel Verilerin Korunması Kanunu, 6098 sayılı Türk Borçlar Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu başta olmak üzere sair kanunlardaki hükümler kapsamında işlenmektedir. Söz konusu veriler, iş sözleşmesi, ticari sözleşmeler, sair akdi ilişkiler kapsamındaki bilgiler ile tarafın özlük dosyası, tarafınızca sunulan bilgi ve belgeler ile ilgili kurumlardan yasal olarak elde edilen yahut kurumlarca tarafımıza bildirilen bilgi ve belgelerden elde edilmektedir. Yine söz konusu veriler veri sorumlusu şirketimiz denetim ve sorumluluğunda veri işleyenler İnsan Kaynağı, Veri Koruma Birimi (DPO),  Çağrı Merkezi, Muhasebe, Bilgi İşlem, Destek Hizmetleri ile diğer hizmet birimi/birimleri personel veya personelleri tarafından münhasır amaçlarıyla sınırlı olarak yasal çerçeveler içinde işlenmektedir. Yine kurum doktoru ve avukat/avukatları tarafından da işin gereği ve yasal gerekler minvalinde amaçla sınırlı olarak verilerin işlenmesi söz konusu olabilmektedir.

            Uluslararası belgelerde kabul görmüş ve pek çok ülke uygulamasına yansımış olan kişisel verilerin işlenmesine ilişkin temel ilkeler bulunmaktadır. Kişisel Verilerin Korunması Kanunu’nun 4. Maddesinde kişisel verilerin işlenmesine ilişkin usul ve esaslar 108 sayılı Sözleşmeye ve 95/46/EC sayılı Avrupa Birliği Direktifine paralel şekilde düzenlenmiştir. Buna göre; Kanunda kişisel verilerin işlenmesinde sayılan genel (temel) ilkeler şunlardır:

  • Hukuka ve dürüstlük kurallarına uygun olma,
  • Doğru ve gerektiğinde güncel olma,
  • Belirli, açık ve meşru amaçlar için işlenme,
  • İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
  • İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

            Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişisel veri işleme faaliyetlerinin özünde bulunmalı ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak gerçekleştirilmelidir. Yukarıdaki ilkeler merkezinde verilerin korunması için gerekli teknik, hukuki ve idari gerekli tedbirleri almaktayız. Bu bağlamda şirketimiz bünyesinde gerekli çalışmalar yapılmış olup Kişisel Verilerin Korunması Kurumu Genel Kurulu kararları ve mevzuat değişiklikleri minvalinde söz konusu faaliyetler güncellenmektedir.

  1. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

            Kişisel verilerin işlenmesi 6698 sayılı kanunun 3/e bendinde şu şekilde tanımlanmıştır:

            ‘’ Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,’’

            Söz konusu kişisel veri niteliğindeki bilgilerin ne şekilde işleneceği aynı kanunun 5. maddesinde şu şekilde ifade edilmiştir:

            ‘’ Kişisel verilerin işlenme şartları MADDE 5-

            (1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

             (2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

  1. a) Kanunlarda açıkça öngörülmesi.
  2. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.
  3. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

            ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

  1. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
  2. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
  3. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması’’
  4. ÖZEL NİTELİKTEKİ KİŞİSEL VERİ VE İŞLENME ŞARTLARI

            Müdahale ettiği kapsam ve mahremiyeti gereği bazı veriler diğerlerine nazaran daha önemli bir konum teşkil etmektedir. Bu nedenle iş bu hakların korunması ve işlenmesi söz konusu yasa kapsamında ayrıca ve sıkı şekil şartlarıyla birlikte düzenlenmiştir. Gerek ulusal gerekse uluslararası metinlerde söz konusu verilerin önemine ayrıca işaret edilerek istisnalarının kapsamı daraltılmıştır. Sadece istisnaların kapsamı daraltılmakla kalmamış her aşamada aydınlatılmış rıza alınmasının önemine vurgu yapılmıştır. Özel nitelikteki kişisel haklar kanunun 6/1 fıkrasında şu şekilde tanımlanmış ve sayılmıştır :

            ‘’Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.’’

            Söz konusu hakların ne şekilde işlenebileceği ise aynı maddenin diğer fıkralarında şu şekilde ifade olunmuştur:

            ‘’ (2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır.

            3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

            (4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.’’

            Siyasi parti, vakıf, dernek veya sendika gibi kâr amacı gütmeyen kuruluş ya da oluşumlar tarafından, özel nitelikli kişisel verilerden bazılarının işlenebilmesi mümkündür. Söz konusu kurum ve kuruluşlar, kendi üye ve mensuplarının özel nitelikli verilerini, kuruluş amaçlarına ve tabi oldukları mevzuata uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere açıklanmamak kaydıyla işleyebileceklerdir. Burada amaçla sınırlı kavramı ayrıca önemlidir. Örneğin, bir siyasi partinin veya sendikanın üyelerine ilişkin kimlik ve iletişim bilgilerini, fıkrada belirtilen şartlarla tutması özel nitelikte kişisel veriler için aranan şartların sağlanması ile mümkün olabilecektir. Söz konusu kuruluşlar, sadece kendi faaliyet alanlarıyla sınırlı olarak özel nitelikli veri işleyebileceklerdir. Örneğin, bir sendika, kendi faaliyet alanına ve amacına ilişkin olarak sadece sendika üyeliğiyle ilgili verileri işleyebilecektir. Buna karşın üyelerin sağlık veya din ya da mezhebine yönelik kişisel verileri, faaliyet alanıyla ve amacıyla ilgisi olmaması sebebiyle işleyemeyecektir.

            İlgili kişinin kendisi tarafından kamuoyuna açıklanmış olan yani alenileştirilmiş özel nitelikli kişisel verileri işlenebilecektir. Zira ilgili kişi tarafından alenileştirilen ve böylelikle herkes tarafından bilinen bu tür verilerin işlenmesinde, korunması gereken hukuki yararın ortadan kalktığı kabul edilmektedir.

            Özel niteliği olan kişisel verilerin, bir hakkın tesisi, kullanılması veya korunması için işlenmesinin zorunlu olması halinde söz konusu veriler rıza olmasa da işlenebilir. Örneğin, bir işyerinde engelli çalıştırma zorunluluğu kapsamında çalıştırılan engellinin sağlık raporları için ayrıca bir rıza alınmasına gerek olmayacaktır.  Benzer şekilde engelli bir kişinin özel tüketim vergisinden muaf özel donanımlı araç almak hakkından yararlanabilmesi için, engelliliğine ilişkin sağlık raporlarının vergi dairesi tarafından edinilmesi ve işlenmesi de bu bent kapsamında değerlendirilecektir.

  1. TANIMLAR

Açık rıza, 95/46 EC sayılı Direktif kapsamına göre, açık rıza ilgili kişinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı şeklinde anlaşılmalıdır.

Kişisel verilerin anonim hale getirilmesi, Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade etmektedir.

Veri kayıt sistemi, Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini ifade etmektedir. Söz konusu sistemler fiziki veya dijital olabilir. İş bu sistemlerde veriler belli kriterlere göre sınıflandırılabileceği gibi birden fazla kritere göre de sınıflandırılabilir.

Veri sorumlusu, 6698 sayılı kanun kapsmaında doğrudan verişlerin işlenmesinden, aktarılmasından, silinmesinden ve diğer kanun kapsamındaki yükümlülüklerinden sorumlu olan kişidir. kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olanlardır. Bu kişiler, gerçek kişiler olabileceği gibi, kamu kurumları, şirketler, dernekler veya vakıflar gibi tüzel kişiler de olabilecektir. İş bu aydınlatma metni kapsamında SÜMER ULUSLARARASI SANAYİ VE TİCARET A.Ş.  şirketini ifade etmektedir.

Veri işleyen, veri sorumlusu adına verileri işleyen gerçek ve tüzel kişilerdir. Bu kişiler, kişisel verileri kendisine verilen talimatlar çerçevesinde işleyen çalışanlar olabileceği gibi, veri sorumlusunun hizmet satın almak suretiyle belirlediği ayrı bir gerçek veya tüzel kişi de olabilir. Herhangi bir gerçek veya tüzel kişi aynı zamanda hem veri sorumlusu, hem de veri işleyen olabilir. Örneğin, bir muhasebe şirketi kendi personeliyle ilgili tuttuğu verilere ilişkin olarak veri sorumlusu sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler bakımından ise veri işleyen olarak kabul edilecektir.

İlgili Kişi, Kişisel verisi işlenen gerçek kişiyi yani iş bu sözleşme kapsamında işçiyi ifade etmektedir.

İmha, Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini ifade eder.

 

 

 

  1. İLGİLİ KİŞİ OLARAK İŞÇİNİN HAKLARI

Veri sorumlusu SÜMER ULUSLARARASI SANAYİ VE TİCARET A.Ş.  olarak işçilere karşı sorumluluklarımız ve işçilerin hakları şu şekildedir:

  • İşçiler kendilerine ait kişisel verilerin işlenip işlenmediğini işleniyorsa ne şekilde ne kadar süreyle işlendiğini yahut işleneceğini öğrenme,
  • İşlenen kişisel verileri varsa bunlara ilişkin bilgi talep etme,
  • Kişisel verilerin işlenme amacını ve bu verilerin amaca uygun kullanılıp kullanılmadığını öğrenme,
  • Kişisel verilerinin aktarıldığı üçüncü kişileri bilme, kişisel verilerindeki hataların düzeltilmesini ve eğer aktarım yapılmışsa ilgili üçüncü kişiden bu düzeltmenin istenmesini talep etme,
  • Kişisel verilerle alakalı şikayetlerin kurum nezdinde itiraz yoluyla giderilmesini isteme eğer itiraz sonuçsuz kalır yahut talep reddedilirse Kişisel Verilerin Korunması kurumuna şikayette bulunma,
  • Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde bu verilerin silinmesini, yok edilmesini ya da anonim hale getirilmesini isteme ve eğer aktarım yapılmışsa bu talebin aktarılan üçüncü kişiye iletilmesini isteme,
  • Kişisel verilerin imha edilmesine ilişkin sürelerin tarafına haberdar edilmesini ve hangi verinin ne kadar süreyle tutulacağını talep etme,
  • İşlenen verilerin neticesinde kişi ile ilintili olumsuz bir sonuç çıkmasına itiraz etme,
  • Kanuna aykırı veri işleme nedeniyle zararının ortaya çıkması halinde zararını yasalar çerçevesinde talep etme haklarına sahiptir.

Veri sorumluları, ilgili kişiler tarafından yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle kendisine iletilen Kanunun uygulanmasıyla ilgili talepleri, niteliklerine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmalıdır. Ancak, işlemin ayrıca bir maliyet gerektirmesi hâlinde, veri sorumlusu, Kurulca belirlenen tarifedeki ücretleri başvuruda bulunan ilgili kişiden isteyebilir.

Veri sorumlusu, talebi kabul eder veya gerekçesini açıklayarak reddeder ise bu cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir. Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusu tarafından bu talebin gereği yerine getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde ise alınan ücret ilgiliye iade edilir.

Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hâllerinde; ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir.

            Bize kişisel verilerinizle ilgili her türlü soru ve görüşleriniz için : info@sumeras.com  e-posta adresimize 0312 418 4129  telefon numarası ile çağrı merkezlerimize dilediğiniz zaman ulaşabilirsiniz.

 

 

 

  1. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMLERİ

Kişisel verileriniz firmamız ile kurdurunuz diyaloglar ve iletişim kapsamında alınan bilgilerden, tarafımıza iletilen referans mektupları ve akdedilen ön sözleşme kapsamlarından, iş başvuru formları ve deneme süreli çalışma sözleşmelerinden, internet sitesi, elektronik posta, mobil haberleşme, mobil uygulamalar, öneri/şikâyet formu, muhtelif sözleşmeler, mail ve sair iletişim kanallar ile gönderilen bilgi, belge ve başvuru formlarından, internet sitesi çerez uygulamalarından, internet sitesi kapsamında doldurulan ve tarafımıza iletilen formlardan,  güvenlik kameraları ve bunlarla sınırlı olmamak kaydıyla sözlü, yazılı ve elektronik olarak toplanmaktadır. İş bu veriler veri politikamız ve Kurul kararları minvalinde KVKK 5.madde ilkeleri göz önünde bulundurularak elde edilip işlenmektedir. Tüm bu süreçlerde orantılılık ve ölçülülük ilkeleri göz önünde bulundurularak gereksiz veri alımının önüne geçilmesi hedeflenmektedir.

 

  1. TALEP EDİLEN KİŞİSEL VERİLER VE BUNLARIN SAKLANMA ŞEKİLLERİ

            Veri sorumlusu olarak İş Kanunu, aramızda yapılan iş sözleşmesi ve işin gereği olarak özlük dosyanız oluşturulması ve sair nedenlerle aşağıdaki bilgilerin işçilerden alınması gereklidir. Talep edilecek bilgi ve belgeler şunlardır:

  • İş sözleşmesi/ işletmeye ait yönetmelikler
  • İşe giriş bildirgesi
  • Kimlik fotokopisi
  • İkametgah ilmühaberi
  • Ehliyet ve sürücü sertifika bilgi ve belgeleri
  • Adli sicil kaydı
  • Sağlık raporu
  • Resim
  • Diploma ve eğitim belgeleri
  • Eş ve çocukların kimlik bilgileri
  • Peryodik muayene formu
  • İzin formları
  • İşçi veya işçinin müdahil olduğu tutanak ve olaylara ilişkin evraklar
  • İmzalı bordrolar/ hesap pusulaları
  • İletişim bilgileri ( mail, telefon vs) ve acil durumlar için bir yakının iletişim bilgileri
  • Ödemeler için hesap bilgileri
  • Sendika bilgileri
  • Önceki işyeri kişisel sağlık dosyası
  • Kredi derecelendirme kuruluşlarından alınan risk raporları (Findeks raporları gibi)

 

Talep edilen veriler TARAFINIZIN/İŞÇİNİN şirketimizle kurdukları ilişkilere göre çeşitlilik göstermekle birlikte başlık olarak şu şekilde kategorize dilebilir:

Kimlik Bilgisi

Gerçek kişi/kişilere ait olan kişiyi belirli ya da belirlenebilir hale getiren otomatik yahut otomatik olmayan şekilde işlenen; kişinin kimliğine dair bilgilerin bulunduğu verilerdir; ad-soyad, T.C. kimlik numarası, uyruk bilgisi, anne adı-baba adı, doğum yeri, doğum tarihi, cinsiyet gibi bilgileri içeren sürücü belgesi, nüfus cüzdanı ve pasaport gibi belgeler ile vergi numarası, SGK numarası, imza bilgisi, taşıt plakası vb. bilgiler

İletişim Bilgisi

Kimliği açık veya belirlenebilir olan gerçek kişilere ait; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; telefon numarası, adres, e-mail adresi, faks numarası, IP adresi gibi bilgiler

Aile Bireyleri ve Yakın Bilgisi

Kimliği açık veya belirlenebilir olan gerçek kişilere ait; kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan şekilde işlenen; Şirket süreç yönetimlerinin sağlanması, acil durumların gerektirmesi ve yasaların öngörmesinden kaynaklı olarak çalışanlardan alınan aile yakınlarına ait kimlik, iletişim ve adres bilgileri vb.

Güvenlik Bilgisi

Gerçek kişilere ait otomatik veya otomatik olmayan yöntemlerle işlenen; Şirket merkezi, şubeleri, satış ofisleri ile her türlü tesislerine girişte, bu yerler içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler; kamera kayıtları, parmak izi kayıtları, kartlı giriş çıkış kayıtları ve güvenlik noktasında alınan kayıtlar vb.

Mali Bilgi

Gerçek kişilere ait otomatik veya otomatik olmayan yöntemlerle işlenen; Şirket ile girilen kişisel ilişkiye göre şekillenen ve çeşitlilik gösteren her türlü mali bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler ile banka hesap numarası, IBAN numarası finansal profil, malvarlığı verisi, gelir bilgisi gibi veriler. Ayrıca Findeks gibi risk değerlendirme kuruluşlarının raporları

Görsel/İşitsel Bilgi

Gerçek kişilere ait otomatik veya otomatik olmayan yöntemlerle işlenen; fotoğraf ve kamera kayıtları (Güvenlik Bilgisi kapsamında giren kayıtlar hariç), ses kayıtları ile kişisel veri içeren belgelerin kopyası niteliğindeki belgelerde yer alan veriler

Özlük Bilgisi

Gerçek kişilere ait kanunlarda yer alan şartların ifası, şirket menfaatlerinin sağlanması ve alınan rıza kapsamında toplanan özlük dosya bilgilerini ifade etmektedir. Söz konusu bilgi ve belgeler kimlik bilgilerinden sağlık raporlarına kadar geniş bir alanı kapsar.

Özel Nitelikli Kişisel Veri

Gerçek kişilere ait olan KVK Kanunu’nun 6. maddesinde belirtilen veriler (örn. kan grubu da dahil sağlık verileri, biyometrik veriler, din ve üye olunan dernek bilgisi gibi)

Talep/Şikâyet Yönetimi Bilgisi

Gerçek kişilere ait otomatik veya otomatik olmayan yöntemlerle işlenen; Şirketimiz’e yöneltilmiş olan her türlü talep veya şikâyetin alınması ve değerlendirilmesine ilişkin kişisel veriler

İmza ve Sair El Yazısı Bilgi ve Kayıtları

Bilgileri Kullanıcı tarafından belirlenecek veri türleri, form yazıları, şikayet dilekçeleri v.b. (Kişisel Veri). (Dijital imza olması hallinde Özel Nitelikte Kişisel Veri)

 

 

Bu bilgi ve belgeler şirketimiz nezdinde korunacak olup korunma ve tutulma şekilleri aşağıdaki gibidir:

Elektronik Ortamlar

Elektronik Olmayan Ortamlar

Sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım, vb.)

 Yazılımlar (ofis yazılımları, portal, EBYS, VERBİS.)

Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb. )

Kişisel bilgisayarlar (Masaüstü, dizüstü)

Mobil cihazlar (telefon, tablet vb.)

Optik diskler (CD, DVD vb.)

Çıkartılabilir bellekler (USB, Hafıza Kart vb.)

Yazıcı, tarayıcı, fotokopi makinesi

 

 

 Kağıt

Manuel veri kayıt sistemleri (anket formları, ziyaretçi giriş defteri)

Yazılı, basılı, görsel ortamlar

 

 

Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6 ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, Kurumumuz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

 Saklamayı Gerektiren Hukuki Sebepler

 

Kurumda, faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

  • 6698 sayılı Kişisel Verilerin Korunması Kanunu,
  • 6098 sayılı Türk Borçlar Kanunu,
  • 4734 sayılı Kamu İhale Kanunu,
  • 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
  • 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
  • 5018 sayılı Kamu Mali Yönetimi Kanunu,
  • 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,
  • 4982 Sayılı Bilgi Edinme Kanunu,
  • 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun,
  • 4857 sayılı İş Kanunu,
  • 5434 sayılı Emekli Sağlığı Kanunu,
  • 6102 sayılı Türk Ticaret Kanunu
  • 6502 sayılı Tüketicinin Korunması Hakkında Kanun
  • 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun

 

Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

 

 Saklamayı Gerektiren İşleme Amaçları

 

Şirket, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar;

 

  • İnsan kaynakları süreçlerini yürütmek için,
  • Şirket içi iletişimi sağlamak için,
  • Şirket ve şirket çalışanları ile üçüncü kişi konumundakilerin güvenliğini sağlamak için,
  • İstatistiksel çalışmalar yapabilmek için,
  • Kurum içi etkinlik yönetimini sağlamak için,
  • İş ortakları veya tedarikçilerle olan ilişkilerin yönetimini sağlamak amacıyla,
  • Talep ve şikayet yönetimini sürdürülebilir kılmak maksadıyla,
  • İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek için,
  • Kişisel Verilerin Korunması Hakkında Kanun ve Kurul kararı doğrultusunda VERBİS sistemi için gerekli bilgi ve belgeleri temin edip Kuruma bildirmek amacıyla,
  • Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak için,
  • Şirket ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlamak için,
  • Şirketin üretim ve ticari politikaları kapsamında işlemleri yürütmek amacıyla,
  • Yasal raporlamalar yapmak maksadıyla,
  • İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğünü ifa etmek için,
  • Söz konusu hesap ve kimlik verileri Bordro işlemlerinin takibi adına, (muhasebe programında tutulmakta ve söz konusu program veri depolama alanında muhafaza edilmektedir)
  • Teşvik ve sair çalışan/işçi lehine kanunu mali hakların korunması için 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu kapsamında kurum bildirimleri için,
  • Kişisel verileriniz ulaşım, araç tedariki, kartvizit basımı gibi sebeplerle ilgili çözüm ortağı veya üçüncü kişi ve firmalar ile amaçla sınırlı olarak Kurum içi iletişim ve faaliyetlerin sürdürülmesi amacıyla,
  • Kişisel verileriniz avukatlar veya dava takiplerinden sorumlu personel ile Firma veya yasal şartların oluşması halinde üçüncü kişilerin yasal haklarının korunması adına,
  • Bordro veya sağlık bilgileri ilgili kurum denetçileri için denetim faaliyetlerinin mevzuata uygun yürütülmesini sağlamak maksadıyla,
  • İlgili kişi yakını ve ilgili kişi kimlik ve iletişim bilgileri acil durumlarda koordinasyonun sağlanması saikiyle,
  • İşe giriş çıkışların takibi amacıyla,
  • Ehliyet ve sair sürücü yeterlilik belgeleri şirket araçlarının tashihi için,
  • Eğitim süreçlerinin takibi amacıyla,
  • SGK bildirimleri, İŞKUR bildirimleri, karakol bildirimi ile teşvik ve yasal yükümlülük bilgilendirmelerinin yapılması amacıyla,
  • Özlük dosyalarının oluşturulması için,

 

mevzuat hükümleri ve sözleşme gerekleri kapsamında elde edilen veriler veri sorumlusunun gözetiminde gizlilikleri korunarak yasal süreler içerisinde veri işleyenler tarafından korunacaktır. Şirketimiz veri işleyenleri şunlardır:

 

  • Şirketimiz muhasebe departmanı/birimi
  • Şirketimiz insan kaynakları departmanı/birimi
  • Şirketimiz disiplin kurulu
  • Şirketimiz Kişisel Verilerin Korunmasından Sorumlu kişiler
  • Şirketimiz irtibat kişisi (bu kişi aynı zamanda kişisel verilerin korunmasından sorumlu kişidir)
  • İşe alımlarda ve şirket içi yetkilendirme ile işçi görüşmelerinde idari personel
  • Şirket doktoru
  • Performans değerlendirmeleri bakımından birim şefleri
  • Şirket avukatları
  • Mali müşavirler
  • Özel hizmet sağlayıcıları
  • IT depertmanı
  • Teknik personel
  • Pazarlama Departmanı

 

 

Söz konusu işin niteliğine göre başka kişilerde veri işleyen olarak halin ve işin icabı gereği bu statüye girebilir. Her kim veri işleyen sıfatını almış ise ilgili mevzuat gereği veri güvenliğini sağlamaya çalışacak olup söz konusu verileri amaçla sınırlı olarak kullanacaktır. Örneğin,  sağlık kayıtları muhasebe birimi tarafından incelenmeyecektir.

 

Kişisel veriler veri işleyenler tarafından herkesin ulaşamayacağı yerde sadece işleyen kişiye tahsisli anahtarla kilitli olarak muhafaza edilecektir. Söz konusu verilerin güvenlikleri 24 saat usulü çalışan kameralarla sağlanacaktır.

 

 

  1. KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ VE İMHALARI

 

Şirketimiz bünyesinde verilerin imhası için yılın Ocak ve Temmuz ayları imha dönemleri olarak belirlenmiştir. İlgili kişilerden elde edilen kişisel veriler saklama sürelerinin bitiminden itibaren takip eden imha dönemi içinde şirket bünyesindeki verilerin korunmasından sorumlu personel/personeller tarafından silinecek, yok edilecek veya anonim hale getirilecektir. İmha işlemine ilişkin tutanaklar bağımsız bir yerde şirket bünyesindeki verilerin korunmasından sorumlu personel/personeller tarafından 3 (üç) yıl süreyle tutulacaktır. Üç yıl sonra söz konusu tutanaklarda imha edilecektir. İmha işlemine ilişkin 28 Ekim 2017 tarih ve 30224 sayılı Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik ile 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümleri esas alınacaktır.

 

İmhayı gerektiren sebepler şunlardır:

 

  • İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
  • İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
  • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
  • Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
  • Kurumun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
  • Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmamasıdır.

 

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12 nci maddesiyle Kanunun 6 ncı maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde Şirket tarafından teknik ve idari tedbirler alınır.

 

Şirket tarafından, işlediği kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:

 

  • Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
  • Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
  • Şirketin bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
  • Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
  • Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır.
  • Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
  • Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
  • Şirket, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
  • Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için Kurum tarafından buna uygun bir sistem ve altyapı oluşturulmuştur.
  • Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
  • Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
  • Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
  • Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
  • Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır. .
  • Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı politika belirlenmiştir.
  • Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
  • Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar kriptografik yöntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar güvenli ortamlarda tutulmakta, tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
  • Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
  • Özel nitelikli kişisel veriler e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır. Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı gerçekleştirilmektedir. Kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

 

Şirket tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:

  • Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması, iletişim teknikleri, teknik bilgi beceri, İş Kanunu ve ilgili diğer mevzuat hakkında eğitimler verilmektedir.
  • Şirket tarafından yürütülen faaliyetlere ilişkin çalışanlara gizlilik sözleşmeleri imzalatılmaktadır.
  • Güvenlik politika ve prosedürlerine uymayan çalışanlara yönelik uygulanacak disiplin prosedürü hazırlanmıştır.
  • Kişisel veri işlemeye başlamadan önce Kurum tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
  • Kişisel veri işleme envanteri hazırlanmıştır.
  • Şirket içi periyodik ve rastgele denetimler yapılmaktadır.
  • Çalışanlara yönelik bilgi güvenliği eğitimleri verilmektedir.

 

Kişisel veriler yasal sürelerin dolması üzerine ilgili kişinin talebi yahut şirket tarafından resen aşağıdaki şekillerde imha edilir.

 

VERİ KAYIT ORTAMI

AÇIKLAMA

Sunucularda / Serverlarda Yer Alan Kişisel Veriler

Sunucularda yer alan kişisel veriler saklama sürelerinin bitmesini müteakip ilk imha döneminde sistem yöneticisi tarafından erişimi yetkileri kaldırılarak silinir.

Elektronik Ortamda Yer Alan Kişisel Veriler

Elektronik ortamda yer alan kişisel veriler saklama sürelerinin bitimini müteakip ilk imha döneminde veri tabanı yöneticisi hariç diğer çalışanlar için erişim yetkisi ortadan kaldırılır ve ulaşılamaz hale getirilir

Fiziksel Ortamda Yer Alan Kişisel Veriler

Fiziksel ortamda tutulan kişisel veriler saklama sürelerinin bitmesini müteakip ilk imha döneminde yakılarak/ boyanarak, çizilerek/ kesilerek/ silinerek/ kabartma yöntemi ve çizme yöntemi ile ortadan kaldırılır. 

Taşınabilir Medyada Bulunan Kişisel Veriler

Flash tabanlı saklama ortamlarında tutulan kişisel veriler sistem yöneticisi tarafından saklama sürelerinin bitimindeki imha döneminde diğer çalışanların ve üçüncü kişilerin ulaşamayacağı şekilde silinir gerekli görülmesi halinde imha edilir.

Optik / Manyetik Medyada Yer Alan Kişisel Veriler

Optik medya ve manyetik medyada yer alan kişisel veriler saklama sürelerinin bitiminden sonraki ilk imha dönemi içinde yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanmak suretiyle üçüncü kişilerin ulaşılmasına imkan vermeyecek şekilde ortadan kaldırılır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

 

            İşçilerden alınacak kişisel veriler niteliklerine göre farklı zaman dilimlerinde saklanıp imha edilirler. İşe alım evrakları ile Sosyal Güvenlik Kurumuna gerçekleştirilen; hizmet süresine ve ücrete dair bildirimlere esas özlük verileri, Hizmet akdinin devamında ve hitamından itibaren de 15(on beş) yıl müddetle muhafaza edilir. Bu sürenin bitiminden sonraki imha dönemi içinde de söz konusu veriler imha edilirler. İşe alım evrakları ile Sosyal Güvenlik Kurumuna gerçekleştirilen; hizmet süresine ve ücrete dair bildirimlere esas özlük verileri dışında kalan özlük verileri, Hizmet akdinin devamında ve hitamını takip eden takvim yılı yılbaşından itibaren de 10 (on) yıl müddetle muhafaza edilir. Bu sürenin bitiminden sonraki imha dönemi içinde de söz konusu veriler imha edilirler. İşyeri Kişisel Sağlık Dosyası İçeriğindeki Veriler, Hizmet akdinin devamında ve hitamından itibaren 15 (on beş), ölümlü iş kazası var ise 20 (yirmi) yıl, eğer iş kazası bir ceza davası da söz konusu ise 30 (otuz) yıl müddetle muhafaza edilir. Bu sürenin bitiminden sonraki imha dönemi içinde de söz konusu veriler imha edilirler.

            İlgili kişi, Kanunun 13’ncü maddesine istinaden SÜMER ULUSLARARASI SANAYİ VE TİCARET A.Ş.  başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde;

  1. Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; Şirket talebe konu kişisel verileri talebi aldığı günden itibaren 30 (otuz) gün içinde [1]gerekçesini açıklayarak uygun imha yöntemi ile siler, yok eder veya anonim hale getirir. Şirket’in talebi almış sayılması için ilgili kişinin talebini Kişisel Verilerin İşlenmesi ve Korunması Politikasına uygun olarak yapmış olması gerekir. Şirket, her halde yapılan işlemle ilgili ilgili kişiye bilgi verir.
  2. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep Şirket tarafından Kanunun 13’ncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir. İlgili kişinin kuruma şikayet hakkı saklıdır. Bu bağlamda ilgili kişiler taleplerin reddedildiğini öğrenmelerinden itibaren Kurula 60 (altmış gün) içinde başvurabilir.
  3. Bu çerçevede “yazılı” olarak Şirketimize yapılacak başvurular,
  • Başvuru Sahibinin şahsen başvurusu ile,
  • Noter vasıtasıyla,
  • Başvuru Sahibince 5070 Sayılı Elektronik İmza Kanunu’nda tanımlı olan “güvenli elektronik imza” ile imzalanarak

Şirket kayıtlı elektronik posta adresine gönderilmek suretiyle, tarafımıza iletilebilecektir. Bu hakkınızı kullanmak için iletişim bilgilerimiz aşağıdaki gibidir:

 

Unvan : SÜMER ULUSLARARASI SANAYİ VE TİCARET A.Ş.  

Mersis No / Vergi No : 7860018595

E-mail Adresi : info@sumeras.com

Posta Adresi: BAŞKENT OSB MAHALLESİ BAŞKENT BULVARI NO:81 SİNCAN/ANKARA

Tel: 0312 418 4129

 

  1. KİŞİSEL VERİLERİN AKTARILMASI

            Kişisel verilerin ülke sınırları içinde ne şekilde ve ne şartlar altında üçüncü kişilere aktarılacağı Kişisel Verilerin Korunması Kanunu’nun 8.maddesi kapsamında düzenlenmiştir. İş bu maddeye göre ancak kişilerin açık rızalarının olması halinde kişisel verilerin aktarılması mümkündür. Ancak yine aynı kanun maddesinde 5.ve 6. madde kapsamındaki şartların olması halinde açık rıza olmaksızın da kişisel verilerin aktarılabileceğini kaleme alınmıştır. Söz konusu kanun maddelerinin birlikte yorumlanmasından çıkan sonuç;

  • İlgili kişinin açık rızasının alınması,
  • Kanunlarda açıkça öngörülmesi,
  • Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
  • Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
  • Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
  • İlgili kişinin kendisi tarafından alenileştirilmiş olması,
  • Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
  • İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması halinde kişisel verilerin aktarılabilmesi mümkündür.

Özel nitelikteki kişisel verilerin aktarılabilmesi için ise;

  • İlgili kişinin açık rızasının alınması halinde,
  • Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler bakımından kanunlarda açıkça öngörülmüş olması halinde,
  • Sağlık ve cinsel hayata ilişkin kişisel veriler bakımından ise kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından özel nitelikteki kişisel veriler üçüncü kişilere aktarılabilir.

Kişisel verilerin yalnızca gerçek kişilere ait veriler olabilmesinin aksine, “veri sorumlusu” ve “veri işleyen” hem gerçek hem de tüzel kişi olabilmektedir. Kişisel veriler üzerinde işlem gerçekleştiren her türlü gerçek veya tüzel kişi, veri işlenmesine ilişkin amaç ve yöntemlerine göre ya veri sorumlusu ya da veri işleyendir. Bu bağlamda, söz konusu iki kategorideki kişiler arasında gerçekleştirilecek her türlü veri aktarımı için de Kanunun 8. maddesinde yer alan düzenlemelere uyulması gerekmektedir.

Kişisel verilerin şirketimiz faaliyet kapsamı ve ticari menfaatleri kapsamında kişisel verileri yurt dışındaki kamu ve özel tüzel kişilere yasal şartlar minvalinde aktarması mümkündür. Kanun’un 9. maddesine göre, yurt dışına veri aktarımı;

  • İlgili kişinin açık rızasının bulunması,
  • Kanun’da belirtilen hallerin varlığında (Kanun’un 5. maddesinin 2. fıkrası ile 6. maddesinin 3. fıkrasında belirtilen şartlar) veri aktarılacak ülkede yeterli korumanın bulunması (Kurul tarafından güvenli kabul edilen ülkeler),
  • Kanun’da belirtilen hallerin varlığında (Kanun’un 5. maddesinin 2. fıkrası ile 6. maddesinin 3. fıkrasında belirtilen şartlar) veri aktarılacak ülkede yeterli korumanın bulunmaması halinde (Kurul tarafından güvenli kabul edilmeyen ülkeler), yeterli korumanın yazılı olarak taahhüt edilmesi ve Kurul’un izninin bulunması durumlarında gerçekleştirilebilir.

Veri sorumlusu olarak, üçüncü kişilerin talepleri doğrultusunda menfaatlerinin sağlanmasının yaşsal zorunluluk olması, şirket amaçlarının gerektirmesi, kamu kurumlarına karşı yükümlülüklerin yerine getirilmesi, kanuni yükümlülüklerin ifası ve diğer maksatlar doğrultusunda yukarıdaki şartların varlığıyla birlikte kişisel verilerin ve özel nitelikteki kişisel verilerin üçüncü kişilere aktarılabilmesi mümkündür. Söz konusu veriler şirketimiz ilgili personeli, bağlantılı şirketlerimiz, yurt içi iştiraklerimiz, hizmet aldığımız kuruluşlar, kullandığımız yurt içi ve yurt dışı server (sunucular), veri sorumlusu adına veri işleyen, ölçümleme, hedefleme, profilleme desteği veren kişi ve kuruluşlar, denetim şirketleri iş ve çözüm ortakları, tedarikçiler, kamu ve özel tüzel kişilikleriyle paylaşılabilecektir. Söz konusu bilgilerin yurt dışı serverlara aktarım yapan Mail ve sair iletişim kanallarında kullanılması ve Kurulun 31/05/2019 Tarihli ve 2019/157 sayılı kararı uyarınca KVKK 9/2 fıkrası hükümleri iş bu olay özelinde uygulama bulmaktadır.

 

 

Kişisel veri kategorilerine göre verileri işlenen kişi gruplarının listesi aşağıdaki gibidir;

 

Kimlik Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket Çalışanları, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler ve Korunan veya Üstün Olan Üçüncü Kişiler, Çözüm Ortakları

İletişim Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket Çalışanları, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler, Üçüncü Kişiler, Çözüm Ortakları

Lokasyon Verisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket Çalışanları, Müşteriler, Çözüm Ortakları

İşlem Güvenliği Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket Çalışanları, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler ve Üçüncü Kişiler 

Aile Bireyleri ve Yakın Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket Çalışanları, Şirket İş Ortakları

Fiziksel Mekan Güvenlik Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler, Üçüncü Kişiler, Stajyerler

Finansal Bilgi

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler ve Üçüncü Kişiler 

Görsel/İşitsel Bilgi

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler, Üçüncü Kişiler 

Özlük Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları

Hukuki İşlem Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler ve Üçüncü Kişiler 

Özel Nitelikli Kişisel Veri

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler ve Üçüncü Kişiler 

Talep/Şikayet Yönetimi Bilgisi

Şirket Hissedarları, Şirket Yetkilileri, Şirket İş Ortakları, Çalışan Adayları’mız, Ziyaretçiler’imiz, Şirket ve Grup Şirket Müşterileri, Potansiyel Müşteriler, Stajyerler ve Üçüncü Kişiler 

 

 

  1. DİĞER AÇIKLAMALAR

Söz konusu politikalar kapsamında bir değişiklik olduğunda bunlar ilan suretiyle işçilere bildirilecek olup eski politikaların onaylı suretleri 3 (üç) yıl süreyle tutulacaktır.

            Şirket, Kanunda yapılan değişiklikler nedeniyle, Kurum kararları uyarınca ya da sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda Kişisel Verilerin İşlenmesi ve Korunması Politikasında ya da işbu Kişisel Veri Saklama ve İmha Politikasında değişiklik yapma hakkını saklı tutar. 

İşbu Kişisel Veri Saklama ve İmha Politikasında yapılan değişiklikler derhal metne işlenir ve değişikliklere ilişkin açıklamalar politikanın sonunda açıklanır.

Söz konusu veriler usul ve yasalara aykırı olarak elde edilmesi halinde KVKK 12.madde uyarınca en kısa sürede kurula bildirilecektir. En kısa süreden anlaşılması gereken[2] 72 saattir.

 

  1. GÜNCELLEME VE UYUM

Şirket, Kanun’da yapılan değişiklikler nedeniyle, KVK Kurulu kararları uyarınca ya da sektördeki ya da bilişim alanındaki gelişmeler doğrultusunda işbu Politika ve bu Politika’ya bağlı ve ilişkili diğer politikalarda değişiklik yapma hakkını saklı tutar.

İşbu Politika’da yapılan değişiklikler derhal metne işlenir ve değişikliklere ilişkin açıklamalar Politika’nın sonunda açıklanır.

Firmamıza yapabileceğiniz şikayet formuna, KVK Kurumuna yapabileceğiniz şikayet formuna ve İş bu aydınlatma metni ve KVKK Politikalarına şu linkten/linklerden;

http://www.sumeras.com

ulaşabilirsiniz.

 

 

 

 

 

[1] Veri Sorumlusuna Başvuru ve Kurula Şikayet Sürelerinin Hesaplanmasına İlişkin Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/9 sayılı Kararında şu ilkelere yer verilmiştir:

 

  • İlgili kişi tarafından yapılan başvuruya veri sorumlusunca 30 gün içinde bir cevap verilmesi halinde ilgili kişinin veri sorumlusunun cevabını müteakip 30 gün içerisinde şikâyette bulunabileceği, bu itibarla söz konusu hallerde ilgili kişinin veri sorumlusuna başvurduğu tarihten itibaren 60 günlük süresinin bulunmadığı,

 

  • İlgili kişi tarafından yapılan başvuruya veri sorumlusunca bir cevap verilmediği durumda ise ilgili kişinin veri sorumlusuna başvurduğu tarihten itibaren 60 gün içinde Kurula şikâyette bulunabileceği,

 

  • İlgili kişi tarafından yapılan başvuruya veri sorumlusunca Kanunda tanınan 30 günlük süre sonrasında bir cevap verilmesi halinde ilgili kişinin, Kanunda veri sorumlusuna tanınan 30 günlük süre sonrasında verilecek cevabı beklemekle yükümlü olmadığı ve veri sorumlusuna tanınan sürenin dolması ile birlikte Kurula şikâyette bulunabileceği göz önüne alınarak, ilgili kişinin veri sorumlusunun kendisine cevap verdiği tarihten itibaren 30 gün değil, veri sorumlusuna başvurduğu tarihten itibaren 60 gün içinde Kurula şikâyette bulunabileceği,

 

hususlarının Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/9 sayılı Kararı ile kamuoyuna duyurulması uygun görülmüştür.

 

 

[2]       Kişisel Verileri Koruma Kurulunun 24.01.2019 tarih ve 2019/10 sayılı Kararı ile;

 

Kanunun 12 nci maddesinin (5) numaralı fıkrasının “İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir….” hükmünde yer alan “en kısa sürede” ifadesinin 72 saat olarak yorumlanmasına ve bu kapsamda veri sorumlusunun bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirmesine, veri sorumlusunca söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa veri sorumlusunun kendi web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapılmasına,