Kişisel verilerin korunması ve işlenmesi politikası

Kişisel Verilerin Korunması hakkı, Türkiye Cumhuriyeti Anayasası MADDE 20’de aşağıdaki şekilde yer almaktadır: “Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir. Özel hayatın ve aile hayatının gizliliğine dokunulamaz (Ek fıkra: 12/9/2010-5982/2 md.). Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”

Bireyin temel hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı amaçlayan, 6698 sayılı Kişisel Verilerin Korunması Kanunu, önceki metinler üzerinde yapılan çeşitli değişikliklerle 18 Ocak 2016 tarihinde TBMM Başkanlığı’na sevk edilmiş ve 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek kanunlaşmış, 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak yürürlüğe girmiştir.

6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12nci maddesinin (1) numaralı fıkrasında Veri Sorumlusunun; Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorunda olduğu, (5) numaralı fıkrasında ise işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna (Kurul) bildireceği, Kurulun, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceği hükme bağlanmıştır.

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kapsamında, Veri Sorumlusu olarak; Espada Construction (“Şirket”) tarafından yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik süreçler hakkında açıklamalarda bulunmak, uygulamada şeffaflığı ve hukuka uygunluğu sağlamak ve kişisel verileri Şirket tarafından işlenen veri sahibi gerçek kişileri bilgilendirmek amacıyla bu politika hazırlanmıştır.

Bu Politika ile çalışanlarımızın, çalışan adaylarımızın, gerçek kişi müşterilerimizin, ziyaretçilerimizin, işbirliği içinde olduğumuz kurumların çalışan ve hissedarlarının, yetkililerinin, mal ve hizmet tedarikçilerimizin ve bunların çalışanlarının, kurum ile iş ilişkisi bulunan danışman ve diğer üçüncü kişilerin kişisel verilerinin hukuka uygun şekilde korunması ve işlenmesi prensipleri oluşturulmaktadır.

Şirket bu Politika ile bir Anayasal hak olan Kişisel Verilerinin Korunmasını bir Şirket Politikası haline getirmekte ve hukuki ve sosyal sorumluluğu kapsamında Kişisel Veri Koruma Kanunu ve mevzuat ve düzenlemelerine uymayı taahhüt etmektedir. KVK Politikası ile şirket bünyesinde kişisel verilerin hukuka uygun olarak işlenmesi ve korunması konusunda farkındalığın oluşması ve tüm süreçlerde mevzuata uyumu temin etmek için sürdürülebilir ve denetlenebilir sistemin kurulması amaçlanmaktadır. Kişisel Verilerin Korunması Kanunu ve ek mevzuatların uygulanmasına yönelik olarak şirket içerisinde gerekli politika ve prosedürler düzenlenmekte, aydınlatma metinleri oluşturulmakta, açık rızalar uygulanmakta, gizlilik sözleşmeleri yapılmakta, görev tanımları revize edilmekte, kişisel verilerin korunması için şirketimiz tarafından mevzuata uygun idari ve teknik güvenlik tedbirleri alınmakta, bu kapsamda gerekli denetimler yapılmakta veya yaptırılmaktadır.

Kişisel Verileri Koruma Kanunu ve Şirketin Kişisel Verilerin Korunması ve İşlenmesi Politikasında yer alan bazı tanımların açıklamalarına aşağıda yer verilmiştir.

Kişisel Verilerin İşlenmesi

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Veri Sahibi

Kişisel verisi işlenen gerçek kişi müşteriler, çalışanlar, çalışan adayları, tedarikçiler ve çalışanları, ortaklar, Şirketle yapılmış sözleşme kapsamındaki diğer üçüncü şahıs gerçek kişiler.

Kişisel Veri

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. Örneğin; adı-soyadı, TCKN, e-posta, adres, iş adresi, doğum tarihi, doğum yeri, kredi kartı numarası, ehliyet numarası, banka hesap numarası, pasaport numarası, ruhsat numarası, diploma vb.

Özel Nitelikli Kişisel Veri

Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli verilerdir.

Veri Sorumlusu

Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde işlendiği ve saklandığı veri kayıt sistemini kuran ve yöneten kişi veri sorumlusudur.

Veri İşleyen

Veri sorumlusunun verdiği yetki kapsamında onun adına veri işleyen gerçek veya tüzel kişi.

Açık Rıza

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Kişisel Verilerin Silinmesi

Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilmez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Kişisel Verilerin Yok Edilmesi

Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Anonim Hale Getirme

Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesidir.

KVKK

7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanan Kişisel Verilerin Korunması Kanunu.

KVK Kurulu

Kişisel Verileri Koruma Kurulu.

KANUN MADDE 4 kapsamında kişisel veriler; hukuka ve dürüstlük kurallarına uygun, doğru ve gerektiğinde güncel, belirli, açık ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilerek işlenebilir.

Şirketimiz uygulamalarında; kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven, dürüstlük ve şeffaflık kuralına uygun hareket edilmektedir. Bu çerçevede, kişisel veriler iş faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir. Kişisel verilerin işlenme amaçları açıkça ortaya konulmakta ve bunlara veri envanterinde ve Aydınlatma metinlerinde yer verilmektedir. Veriler iş faaliyetleriyle bağlantılı amaçlar kapsamında işlenmektedir. Kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemler alınmaktadır.

Şirket kişisel verileri yalnızca iş faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta olup belirlenen amaçlarla sınırlı olarak işlemektedir. Şirketimiz kişisel verileri işlendikleri amaç için gerekli olan süre ve faaliyetle ilgili yasal mevzuatta öngörülen süre kadar muhafaza etmektedir. Mevzuatta kişisel verilerin saklanması için bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler saklama sürelerinin sonunda periyodik imha sürelerine veya veri sahibi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

Şirket tarafından özel nitelikli kişisel verileriniz ve genel nitelikli kişisel verileriniz, veri envanterinde yer alan veri kategorileri ile bağlantılı ve ölçülü şekilde envanterde yer alan amaca bağlı ve Kanunun 5. ve 6. maddesinde yer alan hukuki sebepler belirlenerek işlenebilmektedir. Aydınlatma Metinlerinde, işlenen kişisel verilerinize, işleme amacı ve hukuki sebepleriyle eşleştirilerek her veri kategorisi bazında ayrı ayrı yer verilmektedir.

İşlenen veri kategorileri arasında kimlik, iletişim, lokasyon, aile bireyleri ve yakın bilgisi, hukuki işlem ve uyum, özel nitelikli kişisel veri, talep/şikâyet yönetimi, finansal bilgiler, çalışan özlük bilgileri, ceza mahkûmiyetine ilişkin bilgiler ve mesleki deneyim bilgisi yer alabilir. Bu veriler fiziki arşivlerde ve/veya bilişim sistemlerinde muhafaza edilebilir ve güvenlik tedbirleri alınarak yedeklenebilir.

Şirketimiz KVK Kanunu’nun 10. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatmaktadır. Bu kapsamda veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile veri sahibinin hakları konusunda bilgilendirme yapılmaktadır.

Genel Aydınlatma Metni Şirket internet sitesinde yer almakta, veri sahipleri iş ilişkisi ve sözleşme kurulmasından önce açık bir şekilde bilgilendirilmektedir. Kişisel veri sahibinin bilgi talep etmesi durumunda, Şirket gerekli bilgilendirmeleri süresi içinde yapmaktadır. Bu amaçla ‘Başvuru Cevaplama Prosedürü’ uygulanmakta ve sorumlu kişiler görevlendirilmiştir.

Kişisel veriler; Şirketimizin meşru menfaati gereği sizden bizzat talep ettiği bilgi ve dokümanlar, faaliyet konularımıza uygun düşecek şekilde sözlü, yazılı, görsel ya da elektronik ortamda, çağrı merkezi, internet sitesi, e-posta ve KEP yoluyla iletilen bilgiler, sözleşmeler, dijital başvurular, dilekçe ve başvurular, hukuki tebligatlar, yazışmalar, tarafınızdan alenileştirilen kişisel bilgiler ve İK kuruluşları ile hukuki belgeler vasıtasıyla fiziksel ve dijital yollarla toplanmaktadır.

Kanunun 5. maddesi çerçevesinde Şirket, kanunun tanıdığı istisnai haller dışında açık rızanın bulunması halinde kişisel veri işlemektedir. Ayrıca kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifası, hukuki yükümlülük, bir hakkın tesisi/kullanılması/korunması ve meşru menfaat gibi hallerde açık rıza olmaksızın işleme mümkün olabilir. Özel nitelikli veriler için 6. madde şartları aranır; hukuki sebep yoksa açık rıza alınır, alınamazsa işleme yapılmaz veya durdurulur.

Şirketimiz için KVK Kanunu ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunması özel öneme sahiptir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Şirket bünyesinde sağlık verileri işlenmekte ve bazı durumlarda adli sicil belgesi kayıtları açık rıza alınarak tutulmaktadır. Bu verilere erişebilen kişilerin yetkisi mevzuata uygun düzenlenir, eğitim verilir, denetimler yapılır, gizlilik sözleşmeleri imzalanır; işten ayrılmada erişim derhal iptal edilir. Fiziki sağlık dosyaları kilitli ve yalnızca sağlık personelinin erişebildiği alanlarda saklanır.

Şirketimiz hukuka uygun kişisel veri işleme amaçları doğrultusunda, gerekli güvenlik önlemlerini alarak, kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere ve kurumlara aktarabilmektedir. Aktarım KVKK’nın 8. ve 9. madde hükümlerine tabidir.

Şirket, bilginin bütünlüğünü koruyacak ve sürekli erişilebilirliğini garanti altına alacak alt yapı ve kontrolleri hayata geçirmiştir. Kişisel verilerin tedbirsizlikle veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerdeki hukuka aykırı erişimi önlemek için teknik ve idari tedbirler uygulanmaktadır.

Şirket faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarına uygun süre kadar saklanır. Süreçlere bağlı saklama süreleri Kişisel Veri İşleme Envanterinde yer alır. Mevzuatta süre yoksa veriler, ilgili hizmet ve uygulamalar için gerekli süre kadar tutulur; sonrasında silinir, yok edilir veya anonim hale getirilir.

İşleme amacı sona ermiş ve saklama süreleri dolmuş olsa bile, kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya hakkın ileri sürülebilmesi/savunmanın tesis edilmesi amacıyla kanuni süreler gözetilerek saklanabilir. Gelecekte kullanma ihtimali ile kişisel veriler saklanmamaktadır.

Kanunun 7. maddesi uyarınca, kişisel verilerin hukuka uygun işlenmiş olmasına rağmen işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde bu veriler resen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hâle getirilir.

Başvurularınızı Espada Construction’a ıslak imzalı yazılı olarak bizzat teslim edebilir, noter kanalıyla gönderebilir; güvenli elektronik imza, mobil imza ya da Şirket sisteminde kayıtlı elektronik postanız kanalıyla iletebilirsiniz. Güncel başvuru adresi, KEP ve iletişim kanalları Şirketin internet sitesindeki iletişim bölümünde yayımlanır.

Üçüncü kişiler ancak özel vekâletname ile başvuru yapabilir. Başvurunun reddi, yetersiz cevap veya süresinde cevap verilmemesi hâlinde, cevabı öğrendiğiniz tarihten itibaren 30 gün ve her hâlde başvuru tarihinden 60 gün içinde KVK Kurulu’na şikâyette bulunabilirsiniz. Şirket, başvuruda bulunan kişinin veri sahibi olup olmadığını tespit için ek bilgi talep edebilir.

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Şirket Politikası arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir.

Şirket tarafından düzenlenen bu Politika 01/01/2023 tarihlidir. Politika’nın tamamının veya belirli maddelerinin yenilenmesi durumunda Politika’nın yürürlük tarihi güncellenecektir. Politika Şirketin internet sitesinde yayınlanır; gözden geçirme ve güncelleme, Şirket tarafından yetkilendirilen Veri Koruma Görevlisi tarafından yerine getirilir. Politika her yıl en az bir kez gözden geçirilir.