KURUMSAL

KİŞİSEL VERİLERİN KORUNMASI KANUNU

 

 

KİŞİSEL VERİLERİN KORUNMASI

VE 

İŞLENMESİ POLİTİKASI

BİRİNCİ BÖLÜM

Amaç, Kapsam ve Tanımlar

 

  1. AMAÇ

 

Türkiye Cumhuriyeti Anayasasının 20 inci maddesinde; herkesin, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahip olduğu, özel hayatın ve aile hayatının gizliliğine dokunulamayacağı belirtilmiştir. Anayasa ile güvence altına alınan özel hayatın gizliliğinin korunmasına yönelik çıkarılan 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile genel çerçeve çizilerek hak yetki ve sorumluluklar belirlenmiştir.

Şehri Nuh Otelcilik San. Ve Tic. A.Ş. şirketi olarak bu politikanın amacı, Anayasa ve KVKK ile kişisel ve özel bilgileri güvence altına alınan; çalışan, ortak, aday çalışan, çözüm ortağı çalışanı, müşteri, bayi, bayi adayı, ziyaretçi ve herhangi bir şekilde şirketimizle bilgilerini paylaşan gerçek kişilerin bilgi güvenliğini sağlamak ve haklarını kullanmaları konusunda aydınlanmalarını sağlamaktır.

1.2.KAPSAM VE UYGULAMA

 

Şirketimiz ile çalışan, ortak, aday çalışan, çözüm ortağı çalışanı, müşteri, bayi, bayi adayı, ziyaretçi ve herhangi bir şekilde şirketimizle bilgilerini paylaşan gerçek kişilerin kişisel verilerinin işlenmesi, saklanması, korunması, paylaşılması, aktarılması, anonim hale getirilmesi, yok edilmesi ve hakların kullanılmasıyla ilgili tüm süreçler bu politikanın kapsamındadır. Şehri Nuh Otelcilik San. Ve Tic. A.Ş., dilerse kanunun izin verdiği ölçülere bağlı kalmak kaydıyla kendi çalışanlarıyla ilgili ayrı süreç ve politikalar belirleyebilir.

Yürürlükte bulunan mevzuat hükümleri ile şirket politikası arasında uyumsuzluk olması halinde mevzuat hükümleri öncelikli olarak uygulanacaktır.

1.3.TANIMLAR

 

Anayasa : 2709 sayılı Türkiye Cumhuriyeti Anayasasını,

 

KVKK : 6698 Sayılı Kişisel Verilerin Korunması Kanununu,

 

Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

 

Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

Başkan: Kişisel Verileri Koruma Kurumu Başkanını,

 

Kişisel veri sahibi: Kişisel verisi işlenen gerçek kişiyi,

 

Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

 

Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması,

devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

Kurul: Kişisel Verileri Koruma Kurulunu,

 

Kurum: Kişisel Verileri Koruma Kurumunu,

 

Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,

Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,

 

Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

Şeh-i Nuh Otel : Şehri Nuh Otelcilik Sanayi Ve Ticaret Anonim Şirketini,

 

tüzel kişiyi, İfade eder.

İKİNCİ BÖLÜM

 

Kişisel Verilerin İşlenmesi

 

  1. KİŞİSEL VERİLERİN İŞLENMESİNDE UYGULANACAK İLKELER

 

KVKK nın 4 üncü maddesinde kişisel verilerin bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği belirtildikten sonra aşağıda sayılan ilkelere uyulmasını zorunlu kılmıştır. Şirketimiz bu ilkelere uymak için azami dikkat ve özeni göstermektedir.

2.1.1.Hukuka ve Dürüstlük Kuralına Uygun İşleme,

 

Kişisel verilerin ve özel nitelikli kişisel verilerin işlenmesinde, mevzuatın belirlediği kurallar çerçevesinde doğruluk ve dürüstlük kuralına bağlı kalarak hareket edilmesi şirketimiz tarafından temel ilke olarak benimsenmiştir. Bu kapsamda verilerin işlenmesi için gerekli olan her türlü tedbir alınmış ve alınmaya devam edilmektedir.

2.1.2.Doğru ve Gerektiğinde Güncel Olma,

 

Kişisel veriler genelde kişisel veri sahibinin verdiği bilgi ve belgeler ile sağlanmaktadır. Bu sebeple veri sahibinin bildirmiş olduğu bilgi ve belgeler çoğunlukla gerçeği yansıtmaktadır. Bu bilgi ve belgelerden açık ve net olarak hatalı veya yanlış olduğu görülenlerin düzeltilmesi sağlanmaktadır. Ayrıca üçüncü kişiler vasıtasıyla şirkete ulaşan kişisel verilerin doğruluğunun teyidi ve güncel tutulması için veri sahibinden gerekli bilgilerin alınması sağlanmaktadır.

2.1.3.Belirli, Açık ve Meşru Amaçlar İçin İşleme,

Şirketimiz, kişisel verileri mevzuatın belirlediği hukuka uygun amaçlar için işlemektedir. Veri işleme amacı daha önceden kesin ve açık olarak belirlenmektedir.

2.1.4.İşlendikleri Amaçla Bağlantılı, Sınırlı Ve Ölçülü Olma,

Şirketimiz, kişisel verileri ticari faaliyeti ile bağlantılı ve sınırlı olarak, kendisinin ve veri sahibinin menfaatlerinin gerektirdiği ölçüde işlemektedir.

2.1.5.Gerekli Olan Süre Kadar Muhafaza Edilme,

Şirketimiz, kişisel verileri mevzuatın öngördüğü süre ile sınırlı olarak muhafaza etmektedir. Bir kişisel verinin muhafazası için mevzuatta herhangi bir süre öngörülmüş ise bu süre şirketimiz için bağlayıcı olup daha uzun süreli muhafaza yapılmamaktadır. Mevzuatta herhangi bir süre öngörülmemiş ise işlendikleri amaç için gerekli olan süre kadar muhafaza yapılmaktadır. Kişisel veriler için herhangi bir süre öngörülmemiş olsa bile işleme amacı ortadan kalkmış olan veri şirketimiz tarafından silinmekte veya kanunun öngördüğü biçimde anonim hale getirilmektedir.

 

3.1.KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

 

6698 Sayılı KVKK nın 5 inci maddesinde ve 6 ncı maddesinde kişisel verilerin işlenme şartlarının genel çerçevesi çizilmiştir. Şirketimiz bu şartlar ve amaçlarla bağlı kalarak kişisel verileri işlemektedir.

  1. Kanunlarda açıkça öngörülmesi halinde,
  2. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan ve rızasında hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
  3. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
  4. Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması,
  5. Kişisel verinin ilgili kişi tarafından alenileştirilmiş olması,
  6. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
  7. İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemesinin zorunlu olması,
  8. Sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde ilgili kişinin rızası aranmaksızın işlenebilir,
  9. Sağlık ve cinsel hayata ilişkin ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

 

 

 

4.1.ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

 

6698 Sayılı KVKK nın 6 ncı maddesine göre özel nitelikli kişisel veri; “kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri” olarak tanımlanmıştır.

Yukarıda belirtilen özel nitelikli kişisel verilerin hukuka aykırı olarak işlenmesi halinde kişilerin mağduriyetine sebep olma ihtimali kuvvetle muhtemel bunduğundan kanun koyucunun bu verileri işlemede gösterdiği hassasiyet şirketimiz tarafından büyük bir titizlikle önemsenmektedir. Bu sebeple özel nitelikli kişisel veriler KVK Kurulunun belirlediği yeterli önlemlerin alınması şartıyla aşağıdaki hallerde işlenmektedir.

  1. Kişisel veri sahibinin açık rızasının bulduğu durumlarda işlenebilir.
  2. Kişisel veri sahibinin açık rızası olmasa bile aşağıdaki durumlarda özel nitelikli kişisel veriler işlenebilir.

              a. Sağlık ve Cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hallerde,

              b. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

5.1.KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ

 

  1. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Teknikleri

    Kanun’un 5 inci ve 6 ncı maddelerinde yer alan ve şirket tarafından işlenmiş olan kişisel verilerin işlenme şartlarının ortadan kalkması halinde şirket kendi kararına istinaden resen veya ilgili kişinin talebi üzerine, Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak kişisel verileri silebilir veya yok edebilir. Şehri Nuh Otelcilik San. Ve Tic. A.Ş. tarafından uygulanan silme ve yok etme teknikleri genel olarak aşağıdaki gibidir.Fiziksel olarak yok etme: Şirket tarafından işlenmiş olan kişisel veriler amacın hasıl olması veya veri sahibinin talebi üzerine fiziksel olarak yok edilir. Yok etme işlemi basılı evraklarda verinin kime ait olduğunun anlaşılamayacak şekilde, belgenin yırtılması ve/veya yakılması suretiyle gerçekleştirilir. Elektronik veriler (CD, DVD, USB, Disket, PC vb.) ise, sistem üzerinde geri döndürülemez biçimde silinerek yok edilir. Kişisel verilerin yok edilmesi için teknik  bir uzman ihtiyacı doğması halinde Şehri Nuh Otelcilik San. Ve Tic. A.Ş. uzman vasıtasıyla da kişisel verileri silebilir.

a. Karıştırma yöntemiyle yok etme: Kişisel veriler aynı nitelikteki başka kişisel veriler ile karıştırılarak kime ait olduğu tespit edilemeyecek niteliğe getirilerek yok edilmesidir.

b. Maskeleme yöntemiyle yok etme: Kişisel verinin ayırt edici unsurlarının bilgi içerisinden çıkarılarak, kişisel verinin kime ait olduğunun anlaşılamayacak hale getirilmesidir.

c. Türetme yöntemiyle yok etme: Kişisel verileri, yeni veri ekleyerek kime ait olduğunun anlaşılamayacak hale getirilmesidir.

 

6.1.KİŞİSEL VERİLERİN AKTARILMASI

 

Kanunun 8 inci maddesi gereğince kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. Ancak Kanunun 5 inci maddesinin ikinci fıkrasında, yeterli önlemler alınmak kaydıyla, 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin bulunması halinde, ilgili kişinin rızası aranmaksızın aktarılabilir. Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

6.1.1.Kişisel verilerin yurt dışına aktarılması

 

Kanunun 9 uncu maddesi gereğince kişisel veriler, ilgilinin açık rızası olmaksızın yurt dışına aktarılamaz. Kişisel veriler, 5 inci maddenin ikinci fıkrası ile 6 ncı maddenin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verilerin aktarılacağı yabancı ülkede; yeterli korumanın bulunması, yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmeleri ve Kurum izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.

 

 

ÜÇÜNCÜ BÖLÜM

HAKLAR VE YÜKÜMLÜLÜKLER

 

  1. KİŞİSEL VERİ SAHİBİNİN HAKLARI VE VERİ SORUMLUSUNUN YÜKÜMLÜLÜKLERİ

 

6998 sayılı KVKK’nın 10, 11 ve 12 nci maddelerinde kişisel veri sahibinin hakları ve veri sorumlusunun aydınlatma yükümlülüğü ile veri güvenliğine ilişkin yükümlükleri sayılmıştır.

7.1.1.Veri sorumlusunun aydınlatma yükümlülüğü

 

Şehri Nuh Otelcilik San. Ve Tic. A.Ş. tarafından kişisel verilerin elde edilmesi sırasında yetkilendirdiği kişi vasıtasıyla veri sahibine aşağıdaki açıklamalar yapılacaktır.

a. Veri sorumlusunun ve varsa temsilcisinin kimliği,

b. Kişisel verilerin hangi amaçla işleneceği,

c. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

d. Kişisel veri toplamanın yöntemi ve hukuki sebebi,

d. 11 inci maddede sayılan diğer hakları,

 

7.1.2.Veri sahibinin hakları

 

Kanunun 11. Maddesi uyarınca veri sahibinin hakları aşağıda sıralanmıştır.

 

a. Kişisel veri işlenip işlenmediğini öğrenme,

b. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

c. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

d. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

e. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

f. 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

g. 11. maddenin birinci fıkrasının (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

h. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

i. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

7.1.3.Veri sorumlusuna başvuru hakkı

 

Veri sahibi, KVKK’ nın uygulamasıyla ilgili taleplerini yazılı olarak veya Kurul’un belirleyeceği herhangi bir yöntem ile şirketimize iletebilir. Şirketimiz, başvurunun usulüne uygun olduğunu tespit ettikten sonra talebin niteliğine göre mümkün olan en kısa sürede ancak her halükarda otuz (30) gün içerisinde sonuçlandırır. Yapılan işlem ayrıca bir maliyeti gerektirmiyor ise ücretsiz olarak sonuçlandırılır. Ücret alınmasını gerektiren bir durum halinde ise, Kurulca belirlenen tarife üzerinden ücret alınır.

Şirketimiz talebi kabul ederek cevaplayabilir veya gerekçesini açıklayarak reddedebilir. Kabul veya ret durumu başvurucuya yazılı veya elektronik ortamda bildirilir. Ücret alınan durumlarda başvurunun şirketimizin hatasından kaynaklandığının anlaşılması halinde alınan ücret başvurucuya iade edilir.

7.1.4.Başvurucunun şikâyet hakkı

 

Şirketimize yapılan başvurunun reddedilmesi, verilen cevabın tatmin edici olmaması veya Kanunun belirlediği azami sürede cevap verilememesi halinde; başvuru sahibi, veri sorumlusunun cevabını öğrendiği veya azami sürenin dolduğu tarihten itibaren otuz (30) ve her halde başvuru tarihinden itibaren altmış (60) gün içinde Kurula şikâyette bulunabilir.

8.1. DİĞER HUSUSLAR

 

Şirketimiz tarafından hazırlanan işbu veri politikası hükümleri ile KVKK ve/veya Kurul tarafından alınacak kararlar arasında bir uyuşmazlık bulunması veya veri politikasında hüküm bulunmaması halinde KVKK ve/veya Kurul kararları öncelikli olarak uygulanır.

İşbu veri politikası hükümlerinin herhangi bir maddesinin hükümsüz olması halinde, diğer maddeler geçerliliğini koruyacaktır.