Kullanım Şartları   Aydınlatma Metni    Başvuru Formu

1. AMAÇ

İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca, ilgili kişilerin kişisel verilerinin saklama ve imha faaliyetlerine ilişkin ASELNET HABERLEŞME A.Ş.  (“ASELNET”) tarafından uygulanacak iş ve işlemlerin usul ve esaslarını belirlemek ve bu konularda bilgilendirme yapmak amacıyla hazırlanmıştır.

2. TANIMLAR

3. KİŞİSEL VERİLERİN SAKLANMASINI GEREKTİREN SEBEPLER

İlgili Kişilere ait kişisel veriler, ASELNET tarafından özellikle

• ticari faaliyetlerin sürdürülebilmesi,
• hukuki yükümlülüklerin yerine getirilebilmesi,
• çalışan haklarının ve yan haklarının planlanması ve ifası

için Kanun ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır.

ASELNET tarafından çalışanlar, çalışan adayları, ziyaretçiler, ASELNET’in ticari ilişkide bulunduğu gerçek kişi müşteriler, iş ortakları, alt yükleniciler, tedarikçiler, son kullanıcılar ile tüzel kişi müşteri, iş ortağı, alt yüklenici, tedarikçi, son kullanıcı şirket ve kurum çalışanlarına ait Kişisel Veriler, Kanun’a uygun olarak saklanır.

Kişisel Verilerin ASELNET tarafından saklanmasının sebepleri, aşağıda belirtilmektedir:

• Kişisel Verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
• Kişisel Verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
• Kişisel Verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla
  ASELNET’in meşru menfaatleri için saklanmasının zorunlu olması,
• Kişisel Verilerin ASELNET’in herhangi bir hukuki yükümlülüğünü yerine getirmesi
  amacıyla saklanması,
• Mevzuatta Kişisel Verilerin saklanmasının açıkça öngörülmesi,
• İlgili Kişinin Açık Rızasının alınmasını gerektiren saklama faaliyetleri açısından İlgili Kişinin Açık Rızasının bulunması.

Kişisel Verilerin ASELNET tarafından saklanmasını gerektiren hukuki sebepler, ASELNET’in faaliyetleri dolayısıyla aşağıdaki kanunlar kapsamındaki yükümlülüklerinden kaynaklanmakta olup, saklama sürelerinde de bu kanunlarda öngörülen süreler esas alınmaktadır:

• 6698 Sayılı Kişisel Verilerin Korunması Kanunu
• 6098 Sayılı Türk Borçlar Kanunu
• 6102 Sayılı Türk Ticaret Kanunu
• 4857 Sayılı İş Kanunu
• 5510 Sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 4734 Sayılı Kamu İhale Kanunu
• 6331 Sayılı İş Sağlığı ve Güvenliği Kanunu
• 5201 Sayılı Harp Araç Ve Gereçleri İle Silâh, Mühimmat Ve Patlayıcı Madde Üreten Sanayi Kuruluşlarının Denetimi Hakkında Kanun
• Yukarıda sayılan kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler

4. KİŞİSEL VERİLERİN İMHASINI GEREKTİREN SEBEPLER

İlgili Kişilere ait Kişisel Veriler, aşağıda belirtilen durumların varlığı halinde, ASELNET tarafından imha edilir:

• Kişisel Verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası sebebiyle imhasının gerekli olması,
• Kişisel Verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması,
• Kişisel Verileri işlemenin sadece Açık Rıza şartına istinaden gerçekleştiği hallerde, İlgili Kişinin Açık Rızasını geri alması,
• İlgili Kişinin, Kanun’un 11. maddesindeki hakları çerçevesinde Kişisel Verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun ASELNET tarafından kabul edilmesi,
• ASELNET’in, İlgili Kişi tarafından Kişisel Verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel Verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve Kişisel Verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

5. KİŞİSEL VERİLERİN GÜVENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİNE YÖNELİK TEDBİRLER

Kişisel Verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesine yönelik, ASELNET tarafından aşağıda belirtilen hususlar dikkate alınır:

• Kanun’un 4. maddesindeki genel ilkelere (hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, işlendikleri amaç için gerekli olan süre kadar saklanma) uygun hareket edilir,
• Kişisel Verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirler alınır,
• Kişisel Verilere hukuka aykırı olarak erişilmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirler alınır,
• Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirler alınır,
• İlgili mevzuat hükümlerine uygun hareket edilir,
• Politika’ya uygun hareket edilir.

Kişisel Verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesine yönelik, ASELNET tarafından aşağıda belirtilen teknik ve idari tedbirler uygulanmaktadır:

• Şirketin tesislerinin fiziki güvenliğinin sağlanması amacıyla gerekli fiziki güvenlik önlemlerinin alınması,
• Kişisel Verilerin bulunduğu ortama göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınmasını sağlar ve bu ortamlara yetkisiz giriş çıkışların engellenmesi,
• Kişisel Verilerin işlenmesi hakkında bilgili ve deneyimli çalışanlar istihdam edilmesi,
• Çalışanlara Kişisel Verilerin korunması mevzuatı ve veri güvenliği kapsamında gerekli eğitimlerin verilmesi,
• Şirket içerisinde Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimlerin yapılması veya yaptırılması ve bu denetimler sonucunda ortaya çıkan zafiyetlerin giderilmesi,
• Politika’ya aykırı davranan çalışanlar hakkında, şirket içerisinde gerekli disiplin işleminin yapılması,
• Kişisel Veri saklama sürelerinin tespit edilmesi,
• Kişisel Verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere, Kişisel Verilerin korunması ve veri güvenliğinin sağlamasına yönelik hükümler eklenmesi,
• Kritik bilgi içeren sistemlerle ilgili çalışılan firmalarla gizlilik sözleşmeleri yapılması,
• Şirketin internet sitesinde, İlgili Kişilerin Kişisel Verileri ile ilgili başvurularının alınması amacıyla gerekli yönlendirmelerin yapılması,
• İşlenen Kişisel Verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumun en kısa sürede İlgili Kişiye ve Kurul’a bildirilmesi,
• Saklanan Kişisel Verilere şirket içi erişimin, iş tanımı gereği erişmesi gerekli çalışan
  ile sınırlandırılması. Erişimin sınırlandırılmasında Kişisel Verinin Özel Nitelikli Kişisel Veri olup olmadığı ve önem derecesinin de dikkate alınması,
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanması ve bunların takibinin
  yapılması,
• Görevi, unvanı veya iş tanımı değişen çalışanların erişim haklarının yeniden düzenlenmesi,
• Ayrılan çalışanın erişim haklarının derhal kaldırılması veya bloke edilmesi,
• Erişim loglarının düzenli olarak tutulması,
• Bilgi güvenliği ile ilgili risklerin yönetilmesi ve riskleri azaltıcı önlemlerin alınması,
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik
  önlemlerinin alınması,
• Sistemi zararlı yazılım tehditlerine karşı korumak üzere zararlı yazılım önleme programı kullanılması ve bu programın güncel tutulması,
• Virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılımlar ve donanımlar kullanılması,
• Virüs koruma yazılımları, işletim sistemleri ve kullanılan yazılımların güncel tutulması,
• Siber güvenlik önlemlerinin alınması ve uygulanmasının takibi,
• İhtiyaç oluştuğunda sızma testi hizmeti alarak sistem zafiyetlerinin kontrolünün sağlanması,
• Teknik konularda bilgili personel istihdam edilmesi.

6. KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİNE YÖNELİK TEDBİRLER

ASELNET tarafından belirlenen saklama süreleri dolan Kişisel Veriler Periyodik İmha dönemlerinde işbu Politika’da yer verilen usullere uygun olarak imha edilir. Kişisel Verilerin İmhasıyla ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere 3 (üç) yıl süreyle saklanır.

Kişisel Verilerin İmhasında, ASELNET tarafından aşağıda belirtilen hususlar dikkate alınır:

• Kanun’un 4. maddesindeki genel ilkelere (hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, işlendikleri amaç için gerekli olan süre kadar saklanma) uygun hareket edilir,
• Kişisel Verilerin hukuka aykırı olarak işlenmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirler alınır,
• Kişisel Verilere hukuka aykırı olarak erişilmesini önlemek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirler alınır,
• Kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli teknik ve idari tedbirler alınır,
• İlgili mevzuat hükümlerine uygun hareket edilir,
• Politika’ya uygun hareket edilir.

Kişisel Verilerin hukuka uygun olarak imha edilebilmesi için, aşağıda belirtilen yöntemler ve tedbirler uygulanır ve bu yöntemlerin uygulanmasına ilişkin ilgili çalışanlara gerekli bilgilendirme, eğitim, kontrol, yaptırım ve denetim tedbirleri uygulanır:

• Periyodik İmha işlemi için belirlenen sürelere dikkat edilir.
• Fiziksel ortamda yer alan Kişisel Verilerin imhası için; Kişisel Verinin üzerinde bulunduğu belgede ilgili Kişisel Veri üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi uygulanarak hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir veya Kişisel Verinin üzerinde bulunduğu belge kağıt kırpma makinesinde geri döndürülemeyecek şekilde yok edilir.
• Optik medya ve manyetik medyada yer alan Kişisel Verilerin imhası için; Kişisel Verinin içerisinde bulunduğu medyanın eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır.
• Sunucularda yer alan Kişisel Verilerin imhası için; sistem yöneticisi tarafından ilgili kullanıcıların ilgili Kişisel Verinin yer aldığı dosyaya/dosyalara erişim yetkisi kaldırılarak silme işlemi yapılır.
• Elektronik ortamda yer alan Kişisel Verilerin imhası için; sistem yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilecek şekilde ilgili Kişisel Verinin yer aldığı dosya/dosyalar silinerek veya ilgili Kişisel Verinin yer aldığı dosya içerisinde ilgili Kişisel Veri silinerek, silme işlemi yapılır.

7. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜREÇLERİNDE GÖREV ALANLAR

ASELNET’de tüm bölüm müdürleri, kendi bölümlerinin yürüttüğü iş süreçleriyle ilgili, Politika’yı yürütülmekten, kişisel verilerin saklanması ve imhasıyla ilgili gerekli özeni göstermek, tedbirleri almak ve bağlı çalışanlarını bu konuda bilgilendirmekle sorumludur.

Genel Müdür ve Genel Müdür Yardımcısı, Politika’nın hazırlanması ve gerektiğinde güncellenmesi, tüm şirket çalışanlarının Politika ile ilgili farkındalığının sağlanması ve Politika’ya uygun davranmasından sorumludur.

8. KİŞİSEL VERİLERİN SAKLAMA VE İMHA SÜRELERİ

Yürütülen faaliyetler kapsamında işlenmekte olan Kişisel Verilerle ilgili ASELNET’in saklama süreleri, aşağıda belirtilen belge ve kayıtlarda yer almaktadır:

• Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm Kişisel Verilerle
  ilgili Kişisel Veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde,
• Veri kategorileri bazında saklama süreleri VERBİS’te,
• Süreç bazında saklama süreleri ise Kişisel Veri Saklama ve İmha Politikası’nda

Bahse konu saklama sürelerinde, gerekmesi halinde güncellemeler yapılır.

Saklama süreleri sona eren Kişisel Veriler için resen silme, yok etme veya anonim hale getirme işlemi, ASELNET tarafından Periyodik İmha usulüyle yerine getirilir.

Kişisel Verilerin saklama sürelerinin tespitinde, ASELNET tarafından aşağıdaki ölçütler dikkate alınır:

• Yasal mevzuatta ilgili Kişisel Verinin saklanmasına ilişkin bir süre öngörülmüş ise bu süreye uyulur. Bu sürenin sonunda veya yasal mevzuatta ilgili Kişisel Verinin saklanması için bir süre öngörülmemişse, aşağıdaki ölçütler dikkate alınır:
  • Kişisel Veriler, Kanun’un 6. maddesinde yer alan tanımlama esas alınarak, Kişisel Veriler ve Özel Nitelikli Kişisel Veriler olarak sınıflandırmaya tabi tutulur. Özel Nitelikli Kişisel Veriler imha edilir.
  • Verinin saklanmasının Kanun’un 4. maddesinde belirtilen ilkelere (hukuka ve dürüstlük kurallarına uygun olma, doğru ve gerektiğinde güncel olma, belirli, açık ve meşru amaçlar için işlenme, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, işlendikleri amaç için gerekli olan süre kadar saklanma) uygunluğu sorgulanır. Saklanmasının Kanun’un 4. maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit edilen Kişisel Veriler saklanmaz, imha edilir.
  • Kişisel Verinin saklanmasının Kanun’un 5. ve 6. maddelerinde öngörülmüş olan istisnalardan hangisi/hangileri kapsamında değerlendirilebileceği tespit edilir. Tespit edilen istisnalar çerçevesinde ilgili Kişisel Verilerin saklanması gereken makul süreler tespit edilir. Söz konusu sürelerin sona ermesi halinde veriler imha edilir.

ASELNET tarafından saklanan Kişisel Veriler, yukarıda belirtilen hususlar dikkate alınarak belirlenen saklama süresinin dolmasını takip eden ilk Periyodik İmha dönemi içerisinde, imha edilir.

Süreç bazında Kişisel Verilerin saklama ve imha süreleri, aşağıdaki tabloda verilmiştir:

İlgili Kişi, Kanun’un 11. ve 13. maddelerine istinaden ASELNET’ye başvurarak kendisine ait Kişisel Verilerin silinmesini veya yok edilmesini talep ettiğinde;

• İlgili Kişisel Verileri işleme şartlarının tamamı ortadan kalkmışsa; talebe konu Kişisel Veriler ASELNET tarafından imha edilir. İlgili Kişinin talebi ASELNET tarafından en geç 30 (otuz) gün içinde sonuçlandırılır ve İlgili Kişiye bilgi verilir.
• İlgili Kişisel Verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan Kişisel Veriler üçüncü kişilere aktarılmışsa, bu durum ASELNET tarafından üçüncü kişiye bildirilir; üçüncü kişi nezdinde bu gerekli imha işlemlerinin yapılması temin edilir.
• İlgili Kişisel Verileri işleme şartlarının tamamı ortadan kalkmamışsa, ASELNET tarafından bu talep Kanun’un 13. maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı İlgili Kişiye en geç 30 (otuz) gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

9. KİŞİSEL VERİLERİN PERİYODİK İMHA SÜRELERİ

Kişisel verilerin periyodik imhası işlemleri, 6 (altı) ayda bir tekrarlanacak şekilde gerçekleştirilir.

10. GÜNCELLEMELER VE DEĞİŞİKLİKLER

İşbu Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümleri güncellenir. Politika’da güncelleme yapılması durumunda, yapılan değişiklikler bu başlık altında listelenir. Politika’nın hazırlanışından bugüne kadar, yapılmış herhangi bir değişiklik bulunmamaktadır.