KVKK Saklama ve İmha Politikası

1. Politikanın Amacı

Bu politikanın amacı; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun ve ilgili diğer düzenlemeler doğrultusunda, kişisel verilerin saklanması, silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yükümlülüklerin yerine getirilmesini sağlamaktır.

Bu çerçevede, CTPOLAT Hukuk bünyesinde kişisel veri saklama ve imha süreçlerinin nasıl yönetileceğine dair usul ve esaslar belirlenmekte, rol ve sorumluluklar netleştirilmektedir.

2. Politikanın Kapsamı

Bu politika, CTPOLAT Hukuk (“Şirket”) nezdinde tutulan tüm kişisel ve özel nitelikli kişisel verileri kapsar.

• Şirket çalışanları, yöneticileri, danışmanları
• İştirakler, dış hizmet sağlayıcıları
• Şirket ile hukuki ilişki kuran gerçek ve tüzel kişiler
• Kişisel veri paylaşımı söz konusu olan tüm taraflar

3. Tanımlar

Anonim Hale Getirme

Kişisel verilerin, başka verilerle birleştirilse dahi hiçbir şekilde belirli bir kişiyle ilişkilendirilemeyecek hale getirilmesini ifade eder.

İmha

Kişisel verilerin tamamen silinmesi veya yok edilmesi işlemidir.

Kişisel Veri

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Periyodik İmha

Kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması halinde belirli zaman aralıklarında silme, yok etme veya anonim hale getirme işlemlerinin gerçekleştirilmesidir.

Özel Nitelikli Kişisel Veri

Irk, etnik köken, siyasi görüş, dini inanç, biyometrik ve genetik veriler, sağlık bilgileri, ceza mahkumiyeti bilgileri gibi hassas nitelikteki verilerdir.

Veri Kayıt Sistemi

Kişisel verilerin belirli bir düzen içinde işlendiği kayıt sistemidir.

4. Kayıt Ortamları

Şirketimiz tarafından işlenen kişisel veriler; verinin niteliğine, ilgili yasal yükümlülüklere ve güvenlik gereksinimlerine uygun şekilde belirlenen kayıt ortamlarında saklanmaktadır.

4.1. Kişisel Verilerin Saklandığı Ortamlar

• Fiziksel ortamlar: evrak dolapları, arşiv odaları, güvenli kasalar, kağıt formatında saklanan dokümanlar
• Dijital ortamlar: şirket iç sunucuları, şifrelenmiş harici diskler, bulut tabanlı depolama, yetkilendirilmiş yazılım sistemleri
• Matbu ortamlar: kağıt ya da mikrofilmler üzerine basılarak tutulan ortamlar
• Yerel dijital ortamlar: sunucular, sabit ya da taşınabilir diskler, optik diskler
• Bulut ortamlar: kriptografik yöntemlerle şifrelenmiş internet tabanlı sistemler

4.2. Ortamların Güvenliğinin Sağlanması

Şirket, kişisel verilerin güvenli şekilde saklanmasını sağlamak ve hukuka aykırı erişimi ya da işlenmesini engellemek amacıyla gerekli teknik ve idari önlemleri almaktadır.

Teknik Tedbirler

• Güncel, güvenli ve teknolojik gelişmelere uygun sistemler kullanılmaktadır
• Güvenlik sistemleri aktif olarak kullanılmakta ve izlenmektedir
• Düzenli güvenlik testleri ve analizler yapılmaktadır
• Erişim yalnızca yetkilendirilmiş kişilerle sınırlandırılmıştır

İdari Tedbirler

• Çalışanlara bilgi güvenliği ve KVKK konularında düzenli eğitimler verilmektedir
• Yasal düzenlemeler ve sektörel gelişmeler takip edilmektedir
• Üçüncü kişilerle veri güvenliği sözleşmeleri imzalanmaktadır

6. İşlenme Şartlarının Ortadan Kalkması

Kişisel verilerin işlenmesine ilişkin hukuki dayanağın ortadan kalkması, açık rızanın geri alınması veya Kanun’un 5. ve 6. maddelerinde belirtilen işleme şartlarının sona ermesi durumunda, ilgili veriler silinir, yok edilir veya anonim hale getirilir.

Şirket, kişisel verileri işleyen ve saklayan tüm kullanıcıların en geç dört ayda bir, verilerin işlenme şartlarının devam edip etmediğini gözden geçirmelerini sağlar.

Kişisel veri sahipleri, Kanun’un 13. maddesi uyarınca verilerinin silinmesini, yok edilmesini veya anonim hale getirilmesini talep edebilir.

8.3. İmha Yöntemleri

Şirket tarafından kullanılan silme, yok etme ve anonim hale getirme teknikleri kayıt ortamının niteliğine göre belirlenmektedir.

Silme Yöntemleri

• Matbu ortam: karartma yöntemi ile kişisel verilerin geri döndürülemeyecek şekilde görünmez hale getirilmesi
• Dijital ortam: bir daha kurtarılamayacak şekilde dijital komutla silme

Yok Etme Yöntemleri

• Matbu ortam: evrak imha makineleri ile fiziksel yok etme
• Manyetik medya: de-manyetize etme, üzerine yazma, eritme veya yakma
• Bulut ortam: dijital komutla silme ve şifreleme anahtarlarının yok edilmesi

9. Saklama ve İmha Süreleri

Mevzuat uyarınca daha uzun bir süre düzenlenmiş olması halinde, mevzuat hükümlerindeki süreler azami saklama süresi olarak kabul edilir.

10. Periyodik İmha Süreleri

6698 sayılı KVKK kapsamında, kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda, Şirket bu verileri belirlenen periyotlarla re’sen siler, yok eder veya anonim hale getirir.

Talep üzerine imha işlemlerinde, işleme şartlarının ortadan kalkması halinde talebin alındığı tarihten itibaren 30 gün içinde işlem yapılır.

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesiyle ilgili gerçekleştirilen tüm işlemler kayıt altına alınır ve en az iki yıl süreyle muhafaza edilir.

11. Yürürlük ve Güncelleme

Bu politika, yayınlandığı tarih itibarıyla yürürlüğe girer. Şirket genelinde duyurulması ve güncellenmesi Veri Sorumlusu’nun sorumluluğundadır.

Şirket, Kanunda yapılan değişiklikler, Kurul kararları ve sektörel gelişmeler doğrultusunda bu politikada değişiklik yapma hakkını saklı tutar.