Kişisel Veri Saklama ve İmha Politikası

FIRAT KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. Amaç

İşbu imha politikasının (“İmha Politikası”) amacı, Fırat Yazılım Bilişim Teknolojileri tarafından (“Fırat”) kişisel verilerin işlenme amaçları için gereken azami sürenin belirlenmesi ile silinmesi, yok edilmesi ve anonimleştirmesine ilişkin yöntem ve sorumlulukların başta 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“KVKK”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) dâhil olmak üzere ilgili kişisel verilerin korunması mevzuatı ve Fırat Kişisel Verilerin Korunması Politikasına uygun şekilde yürütmesini sağlamaktır.

2. İmha Politikasının Kapsamı

Kişisel Verilerin saklanması ve imha edilmesi süreçlerinde izlenecek esas ve yöntemler bu politika kapsamında ele alınır.

3. Tanım ve Kavramlar

1. Anonim Hale Getirme: Kişisel Verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.
   
   
2. İlgili Kullanıcı: Kişisel Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere Fırat organizasyonu içerisinde veya Fırat’dan aldığı yetki ve talimat doğrultusunda Kişisel Verileri işleyen kişilerdir.
3. İmha: Kişisel Verilerin silinmesi, yok edilmesi veya anonim hale getirilmesidir.
   
   
4. Kişisel Veri: Kimliği belirli ya da belirlenebilir gerçek kişiye yönelik her türlü bilgidir.
   
   
5. Silme: Kişisel Verilerin silinmesi, Kişisel Verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
   
   
6. Yok Etme: Kişisel Verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

4. Ortamların Güvenliğinin Sağlanması ve Alınan Tedbirler

Fırat, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için ilgili kişisel veri ile tutulduğu ortamın niteliklerine uygun olarak gerekli tüm teknik ve idari tedbirleri almaktadır.

İşbu tedbirler, bunlarla kısıtlı olmamak üzere, ilgili kişisel verinin ve tutulduğu ortamın niteliğine uygun düştüğü ölçüde aşağıdaki idari ve teknik tedbirleri kapsar.

4.1.  Teknik Tedbirler

Fırat, kişisel verilerin saklandığı tüm ortamların ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki teknik tedbirleri almaktadır:

• Kişisel verilerin tutulduğu ortamlarda yalnızca teknolojik gelişmelere uygun güncel ve güvenli sistemler kullanılmaktadır.
  
  
• Kişisel verilerin tutulduğu ortamlara yönelik güvenlik sistemleri kullanılmaktadır.
  
  
• Bilişim sistemleri üzerindeki güvenlik zafiyetlerinin tespitine yönelik güvenlik testleri ve araştırmaları yapılmakta, yapılan test ve araştırmaların sonucunda tespit edilen mevcut ya da muhtemel risk teşkil eden hususlar giderilmektedir.
  
  
• Kişisel verilerin tutulduğu ortamlara veriye erişim kısıtlanarak yalnızca yetkili kişilerin, kişisel verinin saklanma amacı ile sınırlı olarak bu verilere erişmesine izin verilmekte ve tüm erişimler kayıt altına alınmaktadır.
  
  
• Fırat bünyesinde kişisel verilerin tutulduğu ortamların güvenliğini sağlamak üzere yeterli teknik personel bulundurmaktadır.

4.2.   İdari Tedbirler

Fırat, kişisel verilerin saklandığı tüm ortamların ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki idari tedbirleri almaktadır:

• Kişisel verilere erişimi olan tüm Fırat çalışanlarının bilgi güvenliği, kişisel veriler ve özel hayatın gizliliği konularında farkındalıklarının artırılması ve bilinçlendirilmesi için çalışmalar yapılmaktadır.
  
  
• Bilgi güvenliği, özel hayatın gizliliği ve kişisel verilerin korunması alanındaki gelişmeleri takip etmek ve gerekli aksiyonları almak üzere hukuki ve teknik danışmanlık hizmeti alınmaktadır.
  
  
• Kişisel verilerin teknik ya da hukuki gereklilikler nedeniyle üçüncü kişilere aktarılması halinde ilgili üçüncü kişilerle kişisel verilerin korunması amacıyla protokoller imzalanmakta, ilgili üçüncü kişilerin bu protokollerdeki yükümlülüklerine uyması için gerekli tüm özen gösterilmektedir.

4.3.      Şirket İçi Denetim

• Fırat, Kanun’un 12’nci maddesi uyarınca Kanun hükümlerinin ve işbu Kişisel Veri Saklama ve İmha Politikası ile Kişisel Verilerin İşlenmesi ve Korunması Politikası hükümlerinin uygulanmasına ilişkin şirket içi denetimler yapmaktadır.
  
  
• Şirket içi denetimler sonucunda bu hükümlerin uygulanmasına ilişkin eksiklik ya da kusurların tespit edilmesi halinde bu eksiklik ya da kusurlar derhal giderilir.
  
  
• Denetim sırasında ya da sair bir şekilde Fırat sorumluluğunda bulunan kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin anlaşılması hâlinde, Fırat bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

5. Kişisel Veri Saklama ve İmha Sebepleri

Fırat nezdinde bulunan Kişisel Veriler, birim dolapları, arşiv gibi fiziki ortamlar ya da dijital ortamlarda KVKK ve ilgili mevzuata uygun şekilde güvenli bir biçimde saklanmaktadır.

Fırat, Kişisel Verileri aşağıda sıralanan sebeplerle saklamaktadır:

1. Sözleşmenin kurulması ya da ifasıyla doğrudan doğruya ilgili olması;
   
   
2. Fırat’ın hukuki yükümlülüğünü yerine getirmesi için gerekli olması;
   
   
3. Bir hakkın tesisi, kurulması ya da korunması için zorunlu olması;
   
   
4. Kişisel Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Fırat’ın meşru menfaatleri için zorunlu olması;
   
   
5. Mevzuatta ilgili Kişisel Verinin saklanmasının açıkça öngörülmesi;
   
   
6. Veri sahibinin açık rızasının varlığı.

Fırat, Kişisel Verileri aşağıdaki sebeplerle imha etmektedir:

1. Kişisel Verilerin işlenmesi veya saklanması için geçerli sebebin ortadan kalkması;
   
   
2. Kişisel Verilerin işlenmesi ve saklanmasına esas teşkil eden mevzuat hükümlerinin değişmesi veya ilgası;
   
   
3. Fırat’ın veri sahibinin KVKK’nın 11. maddesi kapsamında yaptığı Kişisel Verisinin imha edilmesi talebini kabul etmesi;
   
   
4. Kişisel Verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen Fırat’ın ilgili verileri daha uzun süreyle saklamak için haklı bir sebebin bulunmaması.

6. Saklama ve İmha Süreleri

Fırat, Kişisel Verileri, mevzuat kapsamında tabi olduğu bir süre varsa bu süre ile, eğer böyle bir süre öngörülmediyse her bir Kişisel Verinin işlendiği amaç için gerekli olan süre ile saklamaktadır.

Fırat, Kanun, ilgili mevzuat, Kişisel Verilerin İşlenmesi ve Korunması Politikası ve işbu Kişisel Verileri Saklama ve İmha Politikası uyarınca sorumlu olduğu kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde kişisel verileri siler, yok eder veya anonim hale getirir.

Her hâlükârda, Fırat IT / Bilişim Teknolojileri Birimi tarafından, Fırat nezdinde bulunan tüm Kişisel Veriler 6 (altı) aylık periyodlarla taranacak ve imha edilmiş olması gerekirken sehven muhafaza edilmeye devam edilmiş olan Kişisel Veriler derhal imha edilecektir.

Kişisel Verilerin imhasına ilişkin yapılan bütün işlemler Fırat IT / Bilişim Teknolojileri Birimi tarafından kayıt altına alınacak ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 8 (sekiz) yıl süreyle saklanacaktır.

Fırat’ın saklama, imha ve periyodik imha süreleri işbu Politikanın ekinde yer alan Kişisel Veri Saklama Sürelerine İlişkin Tabloda yer almaktadır (EK 1).

7. Kişisel Verilerin İmhasına Yönelik Yöntemler ve Alınan Tedbirler

7.1. Fırat nezdinde olan Kişisel Verilere ilişkin erişim, yetki ve kontrol matrisi uyarınca ilgili kullanıcıların ancak görevleriyle ilgili olan verilere erişmesi esası benimsenmiştir. İmha işlemleri için de, Fırat IT / Bilişim Teknolojileri Birimi tarafından, Fırat nezdinde bulunan Kişisel Verilere ilişkin erişim, yetki ve kontrol matrisi çerçevesinde, her bir Kişisel Veri için söz konusu Kişisel Verilere erişim ve bu verileri kontrol yetkisine sahip kişilerin belirlenmesi sağlanacaktır (“İlgili Kullanıcı/lar”).

7.2. Fırat tarafından en çok kullanılan silme, yok etme ve anonim hale getirme teknikleri aşağıda sıralanmaktadır:

7.2.2. Silme Yöntemleri

Matbu Ortamda Tutulan Kişisel Veriler İçin Silme Yöntemleri

Karartma:        Matbu ortamda bulunan kişisel veriler karartma yöntemi kullanılarak silinir. Karartma işlemi, ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak görünemez hale getirilmesi şeklinde yapılır.

Bulut ve Yerel Dijital Ortamda Tutulan Kişisel Veriler İçin Silme Yöntemleri

Yazılımdan güvenli olarak silme:        Bulut ortamda ya da yerel dijital ortamlarda tutulan kişisel veriler bir daha kurtarılamayacak şekilde dijital komutla silinir. Bu şekilde silinen verilere tekrar ulaşılamaz.

7.2.3. Yok Etme Yöntemleri

Matbu Ortamda Tutulan Kişisel Veriler İçin Yok Etme Yöntemleri

Fiziksel yok etme:       Matbu ortamda tutulan belgeler evrak imha makineleri ile tekrar bir araya getirilemeyecek şekilde yok edilir.

Yerel Dijital Ortamda Tutulan Kişisel Veriler İçin Yok Etme Yöntemleri

Fiziksel yok etme:       Kişisel veri barındıran optik ve manyetik medyanın eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemidir. Optik veya manyetik medyayı eritmek, yakmak, toz haline getirmek ya da bir metal öğütücüden geçirmek gibi işlemlerle verilerin erişilmez kılınması sağlanır.

De-manyetize etme (degauss) :           Manyetik medyanın yüksek manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemidir.

Üzerine yazma:           Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazılarak eski verinin okunmasının ve kurtarılmasının önüne geçilir.

Bulut Ortamda Tutulan Kişisel Veriler İçin Yok Etme Yöntemleri

Yazılımdan güvenli olarak silme:        Bulut ortamda tutulan kişisel veriler bir daha kurtarılamayacak şekilde dijital komutla silinir ve bulut bilişim hizmet ilişkisi sona erdiğinde kişisel verileri kullanılır hale getirmek için gerekli şifreleme anahtarlarının tüm kopyaları yok edilir. Bu şekilde silinen verilere tekrar ulaşılamaz.

7.2.4. Anonimleştirme Yöntemleri

Anonimleştirme, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir.

Değişkenleri çıkarma   :           İlgili kişiye ait kişisel verilerin içerisinde yer alan ve ilgili kişiyi herhangi bir şekilde tespit etmeye yarayacak doğrudan tanımlayıcıların bir ya da birkaçının çıkarılmasıdır.

Bu yöntem kişisel verinin anonim hale getirilmesi için kullanılabileceği gibi, kişisel veri içerisinde veri işleme amacına uygun düşmeyen bilgilerin bulunması halinde bu bilgilerin silinmesi amacıyla da kullanılabilir.

Bölgesel gizleme:        Kişisel verilerin toplu olarak anonim şekilde bulunduğu veri tablosu içinde istisna durumda olan veriye ilişkin ayırt edici nitelikte olabilecek bilgilerin silinmesi işlemidir.

Genelleştirme:             Birçok kişiye ait kişisel verinin bir araya getirilip, ayırt edici bilgileri kaldırılarak istatistiki veri haline getirilmesi işlemidir.

Alt ve üst sınır kodlama / Global kodlama:    Belli bir değişken için o değişkene ait aralıklar tanımlanarak kategorilendirilir. Değişken sayısal bir değer içermiyorsa bu halde değişken içindeki birbirine yakın veriler kategorilendirilir. Aynı kategori içinde kalan değerler birleştirilir.

Mikro birleştirilme:      Bu yöntem ile veri kümesindeki bütün kayıtlar öncelikle anlamlı bir sıraya göre dizilip sonrasında bütün küme belirli bir sayıda alt kümelere ayrılır. Daha sonra her alt kümenin belirlenen değişkene ait değerinin ortalaması alınarak alt kümenin o değişkenine ait değeri ortalama değer ile değiştirilir. Bu sayede veri içerisinde bulunan dolaylı tanımlayıcılar bozulmuş olacağından, verinin ilgili kişiyle ilişkilendirilmesi zorlaştırılır.

Veri karma ve bozma: Kişisel veri içerisindeki doğrudan ya da dolaylı tanımlayıcılar başka değerlerle karıştırılarak ya da bozularak ilgili kişi ile ilişkisi koparılır ve tanımlayıcı niteliklerini kaybetmeleri sağlanır.

Fırat, kişisel verilerin anonim hale getirilmesi için ilgili verinin niteliğine göre bu sayılan anonimleştirme yöntemlerinden bir ya da birkaçını kullanır. Fırat, bu anonimleştirme yöntemlerini kullanırken K-Anonimlik (K-Anonymity), L-Çeşitlilik (L-Diversity) ve T-Yakınlık (T-Closeness) istatistik yöntemlerini kullanabilir.

8. Personel

Fırat’ın Kişisel Verilerin saklanması ve imha süreçlerinde yer alan personelinin unvanları, birimleri ve görev tanımları işbu İmha Politikasının ekinde (EK 2) yer almaktadır.

9. Saklama ve İmha Politikasında Yapılacak Değişiklikler

Fırat, işbu İmha Politikasında zaman zaman faaliyetlerin gerektirdiği ölçüde veya yasal açıdan gerekli olan değişiklikleri yapabilir. Söz konusu değişiklikler, değişikliğe uğramış olan İmha Politikası metninin www.firatbilisim.com.tr sitesinde paylaşılması ile birlikte geçerlilik kazanacaktır. Ayrıca, müşterilere, çalışanlara ve yetkililere yapılacak değişikliklerle ilgili elektronik posta yoluyla bildirimde bulunulacaktır.

EK 1- Saklama sürelerine ilişkin tablo

EK 2- Saklama ve imha süreçlerinde yer alan Fırat personeline ilişkin tablo

EK 1: Saklama sürelerine ilişkin tablo

EK 2: Saklama ve imha süreçlerinde yer alan Fırat personeline ilişkin tablo