DİREKT KREDİ KİŞİSEL VERİ SAKLAMA, GİZLİLİK VE İMHA POLİTİKASI

Amaç

Bu Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlusu olan Direkt Teknoloji A.Ş. (“Şirket”) tarafından, bu Politika’nın dayanağı yasal Mevzuat’a uygun bir biçimde yürütülen kişisel verilerin işlenmesi ve korunması ile işlenen kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin usul ve esasların belirlenmesi amacıyla hazırlanmıştır.

Kapsam

Bu Politika, Şirket’in müşterilerinin temsilci ve çalışanlarını, Şirket çalışanlarını, çalışan adaylarını, yöneticilerini, Şirket’in iş birliği içerisinde olduğu üçüncü kişileri ve onların çalışanlarını, yöneticilerini ve diğer üçüncü kişileri; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla Şirket tarafından kişisel verilerinin işlenmesi hallerini kapsamaktadır.

Yukarıda belirtilen kişisel veri sahiplerine, bu Politika’nın tamamı uygulanabileceği gibi, sadece birtakım hükümleri de uygulanabilecektir.

Dayanak

Bu Politika 6698 sayılı Kişisel Verilerin Korunması Kanunu, 30286 sayılı Veri Sorumluları Sicili Hakkında Yönetmelik ve 30224 sayılı Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik dayanılarak hazırlanmıştır.

Kişisel verilerin işlenmesi, korunması ve imhası konusunda bu Politika ile yürürlükte bulunan mevzuat arasında farklılık bulunması halinde Mevzuat hükümleri öncelikle uygulanacaktır.

Tanımlar

1. Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini,
2. İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,
3. İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,
4. Kanun: 24/3/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması Kanununu,
5. Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,
6. Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
7. Kişisel veri sahibi: Kişisel verisi işlenen gerçek kişiyi,
8. Kişisel verilerin anonim hale getirilmesi: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,
9. Kişisel verinin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,
10. Kişisel verinin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini,
11. Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini,
12. Kurul: Kişisel Verileri Koruma Kurulunu,
13. Kurum: Kişisel Verileri Koruma Kurumunu,
14. Loglama: Tüm kritik ağlar ve cihazları kapsayan bilişim sistemlerinin ürettiği olay kayıtlarının, diğer bir deyişle logların, belirlenen kurallara göre analiz edilmesi, kapsamlı bir şekilde toplanması, birleştirilmesi, orijinal haliyle saklanması, metin olarak analizi ve sunumu gibi adımlardan oluşan, olası saldırın göstergelerini ve delillerini elde etmeye olanak sağlayan, saldırının hangi kanallardan ne zaman gerçekleştirildiği, hangi protokollerin kullanıldığı ve atağın nereden başladığı gibi önemli bilgileri elde etmeye yardımcı olan kayıt izleme biçimini,
15. Özel nitelikli kişisel veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri,
16. Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,
17. Politika: Kanun uyarınca veri sorumlusu olduğu kabul edilen Şirket’in, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptığı bu Kişisel Veri Saklama, Gizlilik ve İmha Politikasını,
18. Şirket: Ticari unvanı Direkt Teknoloji A.Ş. olan şirketi,
19. Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişiyi,
20. Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
21. Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

Kişisel Veri Kayıt Ortamları

Veri sahiplerine ait kişisel veriler, Şirket tarafından aşağıdaki tabloda listelenen ortamlarda, başta KVKK hükümleri olmak üzere, ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır:

1. Teknik kayıt ortamları:
1. Şirket adına kayıtlı bilgisayarlar ve sunucular,
2. Ağ cihazları,
3. Ağ üzerinden veri saklanması için kullanılan paylaşımlı/paylaşımsız disk sürücüleri,
4. Bulut sistemleri,
5. Mobil telefonlar ve içerisindeki tüm saklama alanları,
6. Flaş bellekler,
2. Teknik olmayan veri kayıt ortamları:
1. Kâğıt,
2. Dolapları,

Kişisel Verilerin Saklanması ve İmhasında Genel İlkeler

Kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler geçerli olacaktır:

1. Şirket, Kanun’un 4’üncü maddesinde yer alan genel ilkelere uyulacağını,
2. Şirket, bu Politika’yı hazırlamış olmanın tek başına kişisel verilerin mevzuata uygun olarak silindiği, yok edildiği veya anonim hale getirildiği anlamına gelmeyeceğini,
3. Şirket, kişisel verileri saklarken, silerken, yok ederken veya anonim hale getirirken, Kanun’un 12’inci maddesinde yer alan güvenlik tedbirlerine, ilgili Mevzuat’ta yer alan hükümlere, Kurul kararlarına ve Politika’ya uygun hareket edeceğini,
4. Şirket, bünyesinde bulundurduğu kişisel verilerin amacı tamamen veya kısmen otomatik olan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi sırasında bu Politika’ya ve Politika’ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını,
5. Şirket, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemleri kayıt altına alacağını ve söz konusu kayıtları, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklayacağını,

Saklamayı Gerektiren İşleme Amaçları

Kişisel verileriniz, Anayasa’nın 20. maddesine ve Kişisel Verilerin Korunması Kanunu’nun (KVKK) 4. maddesine uygun olarak, veri sorumlusu Şirket tarafından;

• Bilgi Güvenliği Süreçlerinin Yürütülmesi
• Çalışan Memnuniyeti ve Bağlılığı Süreçlerinin Yürütülmesi
• Çalışanlar İçin İş Akdi ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
• Çalışanlar İçin Yan Haklar ve Menfaatleri Süreçlerinin Yürütülmesi
• Eğitim Faaliyetlerinin Yürütülmesi
• Erişim Yetkilerinin Yürütülmesi
• Faaliyetlerin Mevzuata Uygun Yürütülmesi
• Finans ve Muhasebe İşlerinin Yürütülmesi
• Fiziksel Mekan Güvenliğinin Temini
• Hukuk İşlerinin Takibi ve Yürütülmesi
• İletişim Faaliyetlerinin Yürütülmesi
• İnsan Kaynakları Süreçlerinin Planlanması
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
• İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
• Risk Yönetimi Süreçlerinin Yürütülmesi
• Saklama ve Arşiv Faaliyetlerinin Yürütülmesi
• Sözleşme Süreçlerinin Yürütülmesi
• Stratejik Planlama Faaliyetlerinin Yürütülmesi
• Ücret Politikasının Yürütülmesi
• Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
• Veri Sorumlusu Operasyonlarının Güvenliğinin Temini
• Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi
• Yönetim Faaliyetlerinin Yürütülmesi İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi

Kişisel Verilerin İmhasını Gerektiren Hukuki, Teknik Ve Diğer Sebepler

Şirket tarafından veri sahiplerine ait kişisel veriler;

1. Kanun’un 4’üncü maddesinde yer alan genel ilkeler,
2. İşleme amacının ortadan kalkması,
3. Veri sahibi ilgili kişinin talebi,
4. Yasal yükümlülüklerin sona ermesi,

Kişisel Verilerin Güvenli Bir Şekilde Saklanması İle Hukuka Aykırı Olarak İşlenmesi Ve Erişilmesinin Önlenmesi İçin Alınmış Teknik Ve İdari Tedbirler

Veri sahibi ilgili kişilere ait kişisel verilerin güvenli bir şekilde saklanması ve hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için Şirket tarafından alınmış teknik tedbirler aşağıda sıralanmıştır:

1. Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
2. Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
3. Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
4. Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
5. Erişim logları düzenli olarak tutulmaktadır.
6. Güncel anti-virüs sistemleri kullanılmaktadır.
7. Güvenlik duvarları kullanılmaktadır.
8. Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
9. Kişisel veriler mümkün olduğunca azaltılmaktadır.
10. Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
11. Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
12. Saldırı tespit ve önleme sistemleri kullanılmaktadır.
13. Sızma testi uygulanmaktadır.
14. Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
15. Veri kaybı önleme yazılımları kullanılmaktadır.

1. Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
2. Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
3. Çalışanlar için yetki matrisi oluşturulmuştur.
4. Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
5. Gizlilik taahhütnameleri yapılmaktadır.
6. Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
7. Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
8. Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
9. Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
10. Mevcut risk ve tehditler belirlenmiştir.

Kişisel Verilerin Hukuka Uygun Olarak İmha Edilmesi İçin Alınmış Teknik Ve İdari Tedbirler

Veri sahibi ilgili kişilere ait kişisel verilerin hukuka uygun olarak imha edilmesi için Şirket tarafından alınmış teknik tedbirler,

1. Kişisel verilerin imhasına ilişkin teknolojik açıdan gerekli en güncel sistemlerinin kullanılması, gizlilik ve bilgi güvenliği tedbirlerinin alınması,
2. İlgili Kullanıcılar’ın kişisel veriler kapsamındaki erişim, geri getirme, tekrar kullanma yetki ve yöntemlerinin kapatılması, ortadan kaldırılması ve silinmiş verileri geri getirme yetkisinin kaldırılması,
3. Bulut sistemler ile merkezi sunucuda yer alan kişisel verilerin silme komutu verilerek geri döndürülemeyecek şekilde silinmesi,
4. Bu sayılanların haricinde teknik olan kayıt ortamlarından uygun olanlar için yok etme (fiziksel de-manyetize etme, üzerine yazma) ya da anonimleştirme yöntemlerinden kişisel verinin niteliğine göre uygun olanın tercih edilmesi,
5. Teknik olmayan kayıt ortamlarında bulunan kişisel verilerin imhası için silme (karartma vs.), yok etme (fiziksel yok etme) yöntemlerinin uygulanması,

1. Kişisel verilerin imhası hakkında gerekli uygulama çalışmasının düzenli olarak yapılması ve eğitimlerin verilmesi,
2. Şirket’e ait işyeri dahilinde özellikle teknik olmayan veri kayıt ortamlarının fiziksel imhasına ilişkin gerekli ekipmanın bulundurulması,

Kişisel Verilerin Saklanma Ve İmha Süreçlerinde Görevli Birimler Ve Bilgileri

Şirket’in kişisel verileri saklama ve imha süreçlerinde yer alan görevli birimlerinde çalışan personelin unvanlarını ve görev tanımlarını gösteren liste EK-1’de yer almaktadır.

Periyodik İmha Süreleri

Şirket tarafından işlenen kişisel verilerin kategorilerine göre saklama ve imha sürelerini saklama süresinin sona ermesini takiben 6 (altı) aydır.

Kişisel Verileri İlgili Kişinin Talep Etmesi Durumunda İmha Süreleri

İlgili kişi, Kanun’un 13’üncü maddesine istinaden Şirket’e başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde;

1. Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; Şirket talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. Şirket, ilgili kişinin talebini en geç 30 (otuz) gün içinde sonuçlandırır ve ilgili kişiye bilgi verir.
2. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa Şirket bu durumu üçüncü kişiye en kısa sürede bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.
3. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep Şirket tarafından Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç 30 (otuz) gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

Yürürlük

Şirket tarafından hazırlanan bu Politika Şirket’e ait İnternet Sitesi’nde yayınlandığı tarih itibariyle yürürlüğe girmiştir.

KVKK ve ilgili diğer Mevzuat hükümleri ile bu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer Mevzuat hükümleri uygulanacaktır.

EK-1: GÖREVLİ BİRİMLER VE BİLGİLERİ TABLOSU

Kişisel verileri saklama ve imha süreçlerinde yer alan Şirket çalışanlarının unvanlarına, birimlerine ve kişisel verilerin korunması alanında görev tanımları aşağıdaki tabloda yer almaktadır.

Aşağıda listeli tüm çalışanların sadece kişisel verilerin korunması hakkındaki görev tanımlarına yer verilmiş olup, tamamının görev tanımlarına dahil süreçleri ilgilendiren kişisel verilerin saklama sürelerine uygunluğun sağlanması görevi bulunmaktadır.