6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU (“KVKK”) UYARINCA SAKLAMA VE İMHA POLİTİKASI

SAKLAMA VE İMHA SÜRELERİ

Kişisel veri saklama ve imha süreleri veri bazlı olarak Kişisel Veri İşleme Envanterinde yer almaktadır. Söz konusu envanter kapsamının geniş olması nedeniyle gerekli tabloya ilgili politika metni içinde yer verilmemiş olup, envanter kapsamında ilgili süreler bulunmaktadır.

Envanterde belirtilen süreler dâhilinde güvenli olarak saklanması sağlanan verilerin aşağıda belirtilen silinme ve imha süreçleri veri sahibi ilgili bölüm yöneticisi, CRM Bölümü, Hukuk ve Uyum bölüm yöneticileri ile en az bir Genel Müdür Yardımcısı ve Genel Müdür kararına istinaden yürütülür.

KİŞİSEL VERİLERİN SAKLANMASI VE İMHASINI GEREKTİREN HUKUKİ, TEKNİK YA DA DİĞER SEBEPLER

SECOM Kanunu’nun 42’nci maddesi gereğialınan yazılar ve faaliyetler ile ilgili belgelerin asılları veya bunun mümkün olmadığı hâllerde sıhhatlerinden şüpheye mahal vermeyecek kopyaları ve yazılan yazıların makine ile alınmış, tarih ve numara sırası verilerek düzenlenecek suretleri, usûlleri çerçevesinde ilgili SECOM nezdinde on yıl süreyle saklanır.

Gerçek kişilerde kimlik tespitinde yetkililerce istenildiğinde sunulmak üzere teyide esas kimlik belgelerinin asıllarının veya noterce onaylanmış suretlerinin ibrazı sonrası okunabilir fotokopisi veya elektronik görüntüsü alınır yahut kimliğe ilişkin bilgiler kaydedilmesi gerekmektedir.

Suç gelirlerinin aklanması kapsamında yükümlüler her türlü ortamdaki, yükümlülüklerine ve işlemlerine ilişkin belgeleri düzenleme tarihinden, defter ve kayıtları ise son kayıt tarihinden; kimlik tespitine ilişkin belge ve kayıtları son işlem tarihinden itibaren sekiz yıl süre ile muhafaza etmek ve istenmesi halinde yetkililere ibraz etmek zorundadır. Yükümlü nezdindeki hesaplarla ilgili kimlik tespitine ilişkin belgelerin muhafaza süresinin başlangıç tarihi hesabın kapatıldığı tarihtir. Ancak ilgili belgeler aynı zamanda SECOM süreçlerinin bir parçası olduğundan saklaması süresi bakımında SECOM Kanunu’ndaki 10 yıl süresi esas alınmaktadır.

Kişisel verilerin imha edilmesi süreci 2 şekilde ortaya çıkabilir;

1.    Kişisel Verilerin Periyodik Olarak İmha Edilmesi

Kanun kapsamında yer alan Veri işleme şartlarının ortadan kalkması ve belirtilen 10 yıllık zaman aşımı süresinin sona ermesi halinde, 6 ayda bir olmak üzere periyodik olarak SECOM ürün ve hizmetleri kapsamında işlenmiş kişisel veriler SECOM tarafından uygun bulunan yöntemle imha edilir.

1.    Veri Sahibinin Talebi Halinde Kişisel Verilerin İmha Edilmesi

Veri sahibinin, Kanun’un 13. Maddesine istinaden, kişisel verilerinin imha edilmesine ilişkin başvurusu halinde veri işleme şartlarının ortadan kalkmış olması ve mevzuatta öngörülen saklama sürelerinin sona ermiş olması koşuluyla, veri sahibinin kişisel verileri SECOM tarafından uygun bulunan yöntemle imha edilir. İlgili kişinin talebi, 30 gün içerisinde yerine getirilerek, ilgili kişiye bilgi verilir.

Mevzuat gereği saklama süresinin dolmamış olması halinde, başvuru yapan kişiye imha koşullarının oluşmadığına ilişkin bilgi verilir.

Kişisel verilerin işleme şartlarının tamamı ortadan kalmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmış ise, bu husus aktarım yapılan üçüncü kişiye bildirilir ve imhası için gerekli işlemlerin yapılması sağlanır.

İMHA YÖNTEMİ

Kişisel verilerin imha edilmesine ilişkin gerekli şartların oluşması halinde, Kanun ve Yönetmelik’te öngörülen ve Kurul tarafından bildirilen şekilde, kişisel verilerin anonim hale getirilmesi ve silinmesi yöntemleri ile imhası gerçekleştirilir.

İmha yöntemleri, söz konusu kişisel verilerin saklandığı ortama göre farklılıklar gösterebilmektedir.

Anonimleştirme ve Silme Esasları

·         Kişisel verilerin anonim hale getirilmesiyle kişisel veriler başka verilerle eşleştirilse dahi, hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilir.

·         Anonim hale getirilmiş kişisel veriler, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez ve CRM ve İş Zekası ekipleri tarafından istatistiki amaçla kullanılmaya devam edilir.   Aynı zamanda ilgili kişisel verilere ilerde herhangi bir hukuki talebin yerine getirilmesi amacıyla sadece verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birimle sınırlı olmak üzere tekrar erişilmeye ve kullanılabilmesi amacıyla silme işlemi uygulanacaktır

·         SECOM veri sorumlusu olduğu kişisel verilerin anonim hale getirilmesi ve silinmesiyle ilgili gerekli her türlü teknik ve idari tedbiri alınır.

·         Kişisel verilerin anonim hale getirilmesi ve silinmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanır.

BİLGİLENDİRME

SECOM çalışanının kişisel verilerin saklanma ve imha edilmesi konusunda üstlenmiş olduğu sorumluluklarla ilgili gerekli duyurular yapılır.

YAPTIRIM

Kişisel Veri Saklama ve İmha Politikasında belirtilen hususlara uyulmadığının ve yerine getirilmediğinin belirlenmesi halinde, Yönetim Kurulu ve Denetim Komitesi Kararı ile 04.010.P002 Disiplin Prosedürü’ndeki disiplin hükümleri uygulanabilir.