Kişisel Verilerin İşlenmesi Politikası

MADDE 1 – GİRİŞ

Formpan olarak firmamız; istihdam ve üretim/sanayi sektörlerinde hizmet vermekte olup mevcut ve potansiyel müşterilerimizin, tedarikçilerimizin, şirket hissedarlarımızın, istihdam ettiğimiz çalışanlarımızın veya çalışan adaylarımızın, ziyaretçilerimizin ile iş birliği içinde olduğumuz kurumların çalışanlarının, hissedarlarının yahut diğer üçüncü kişilerin kişisel verilerinin hukuka uygun olarak işlenmesi ve korunması firmamız için son derece önemli bir husustur.

İşbu Kişisel Verilerin İşlenmesi ve Korunması Politikası (“Politika”) ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili ikincil mevzuat çerçevesinde öngörülen kişisel verilerin işlenmesine ve korunmasına ilişkin yerine getirilecek yükümlülükler ile bu kapsamda uygulanacak usul ve esaslar düzenlenmektedir.

MADDE 2 – POLİTİKANIN AMACI

İşbu Politika’nın temel amacı, firmamız bünyesinde ve bağlı olduğu ortaklıklar düzeyinde kişisel verilerin işlenmesi ve korunması hususunda hukuka uygun olarak yürütülen kişisel veri işleme faaliyetlerinin ve kişisel verilerin korunmasına yönelik sistemlerin açıklanması ve firmamız tarafından işlenen kişisel veriler ile ilgili veri sahiplerinin bilgilendirilmesidir.

MADDE 3 – POLİTİKANIN KAPSAMI

İşbu Politika hükümleri; mevcut ve potansiyel müşterilerimizin, tedarikçilerimizin, şirket hissedarlarımızın, istihdam ettiğimiz çalışanlarımızın, çalışan adaylarımızın, ziyaretçilerimizin, iş birliği içinde olduğumuz diğer kurum çalışanlarının, hissedarlarının yahut üçüncü kişilerin, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla firmamız bünyesinde işlenen tüm kişisel verilerini kapsamaktadır.

MADDE 4 – TANIMLAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür irade ile açıklanan rızayı ifade eder.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (ad-soyad, T.C. kimlik numarası, e-posta, adres, doğum tarihi, kredi kartı numarası vb.).
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Kişisel Veri Sahibi / İlgili Kişi: Kişisel verisi işlenen gerçek kişiler (müşteriler, tedarikçiler, çalışanlar, ziyaretçiler vb.).
Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi (örneğin çalışan adaylarının bilgilerini ileten tedarikçi firmalar).
Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. Firmamız bu kapsamda veri sorumlusudur.

MADDE 5 – TEMEL İLKELER VE KİŞİSEL VERİ İŞLENMESİ YÖNTEMİ

İşbu Politika, KVKK ve ilgili ikincil mevzuat tarafından öngörülen kuralları somutlaştırma amacını taşır; bu amaca hizmet edecek yöntemleri belirleyen ve yol gösterici nitelikte bir düzenlemedir. Bu kapsamda firmamız, bu Politika’yı rehber edinerek yürütülen veri işleme faaliyetlerini analiz edecek, gerekli aksiyonları belirleyecek ve her türlü idari ve teknik önlemi alacaktır. Aksiyonların uygulanmaya başlanması ile birlikte iç denetim sistemi işletilerek bu Politika’ya uyumluluk sağlanacak ve sürdürülecektir. İç denetimin yanı sıra çalışanların farkındalığını artırmaya yönelik çalışmalar yapılacak, firmamıza yeni dahil olan çalışanlar için gerekli uyum süreçleri işletilecek ve firmamızın bağlı ortaklıkları ile iş ortaklıklarında gerekli düzenlemeler yapılacaktır.

Tüm bu süreçlerde firmamız, işlenen kişisel verilerin KVKK ve ilgili mevzuat uyarınca belirlenen genel ilke ve hükümlere uygun olması gerektiğinin bilincindedir. KVKK madde 4 kapsamında tüm kişisel veri işleme faaliyetlerinde dikkate alınacak temel ilkeler:

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

Bu çerçevede firmamız, kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi her türlü veri işleme faaliyetinde yukarıdaki ilkelere uygun hareket eder.

MADDE 6 – KİŞİSEL VERİLERİN GÜVENLİĞİ

KVKK madde 12 gereğince şirketimiz, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Ayrıca ileride Kişisel Verileri Koruma Kurulu (“Kurul”) kararlarıyla belirlenecek güvenlik ölçütleri de dikkate alınacak ve uygulanacaktır.

Şirketimiz ve bağlı ortaklıklarına ait ortak bir veri tabanında işlenen kişisel veriler, KVKK madde 12 doğrultusunda alınan teknik ve idari önlemler çerçevesinde gizli olarak saklanacak ve ticari amaç gerekçesiyle hiçbir şekilde üçüncü kişilerle paylaşılmayacaktır.

Firmamız, KVKK madde 12 kapsamında alacağı teknik ve idari tedbirlerin işleyişi için gerekli iç denetim sistemlerini kurar; kurulan sistem neticesinde iç denetimleri yapar ve yaptırır. Bu denetimler firma yetkililerince belirlenen birimler veya görevliler tarafından incelenir ve gerekli aksiyonlar alınır.

Firmamız, işlenen kişisel verilerin hukuka veya dürüstlük kuralına aykırı yollarla üçüncü kişiler tarafından elde edildiğinin tespiti hâlinde, bu durumu mümkün olan en kısa sürede ilgili kişisel veri sahibine ve gerektiğinde Kurul’a bildirmekle yükümlüdür.

Firmamız tarafından işlenen kişisel verilerin güvenliğine ilişkin ortaya çıkabilecek risklerin gerçekleşme olasılığı ve gerçekleşmesi hâlinde doğuracağı kayıplar doğru şekilde belirlenerek uygun teknik ve idari tedbirler derhâl alınır. Bu riskler belirlenirken öncelikle kişisel verilerin:
(i) özel nitelikli kişisel veri olup olmadığı,
(ii) mahiyeti gereği hangi derecede gizlilik seviyesi gerektirdiği ve
(iii) güvenlik ihlali hâlinde ilgili kişi bakımından ortaya çıkabilecek zararın niteliği ve niceliği
dikkate alınır. Risklerin tanımlanması ve önceliklendirilmesini takiben; maliyet, uygulanabilirlik ve yararlılık ilkeleri doğrultusunda kontrol ve çözüm alternatifleri değerlendirilir, gerekli tedbirler planlanarak uygulamaya konur.

MADDE 7 – ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI

Özel nitelikli kişisel veriler; KVKK kapsamında kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik veriler olarak tanımlanır. Bu verilerin hukuka aykırı olarak işlenmesi durumunda ilgili kişilerin ciddi şekilde mağduriyetine veya ayrımcılığa neden olma riski sebebiyle özel önem atfedilmiştir.

Bu doğrultuda firmamız, “özel nitelikli” olarak atfedilen her türlü verinin ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında özel bir hassasiyet göstermektedir. Politika’nın 6. maddesi uyarınca alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından da özenle uygulanmakta ve gerekli denetimler yapılmaktadır.

Yürürlükteki mevzuatla uyumlu olarak ve Kurul tarafından belirlenecek önlemler de alınmak kaydıyla, özel nitelikli kişisel veriler:

• Kişisel veri sahibinin açık rızası ile işlenir.
• Açık rıza yoksa; kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hâllerde işlenir.
• Sağlığa ve cinsel hayata ilişkin özel nitelikli kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenir.

MADDE 8 – AYDINLATMA YÜKÜMLÜLÜĞÜ

Şirketimiz, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini verilerinin hangi gerekçe ve hangi usul ile işleneceği konusunda aydınlatmakla yükümlüdür. Aydınlatma yükümlülüğünün asgarî unsurları KVKK madde 10 kapsamında düzenlenmiştir:

• Veri sorumlusu olarak firmamızın (ve varsa temsilcisinin) kimliği,
• Kişisel verilerin hangi amaçla işleneceği,
• Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplamanın yöntemi ve hukuki sebebi,
• Kişisel veri sahibinin sahip olduğu haklar.

Bu doğrultuda şirketimiz tarafından öncelikle kişisel veri toplama kanalları tespit edilecek ve her kanal özelinde aydınlatma noktaları ve metinleri belirlenecektir.

MADDE 9 – KİŞİSEL VERİ SAHİPLERİNİN BAŞVURMA HAKKI

Firmamız bünyesinde işlenen kişisel veriler ile ilgili kişisel veri sahipleri, veri sorumlusu olan firmamıza başvurarak KVKK madde 11 kapsamında öngörülen haklardan yararlanabilir. Bu kapsamda kişisel veri sahipleri:

• Kişisel veri işlenip işlenmediğini öğrenme,
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• Kişisel verilerin silinmesini veya yok edilmesini isteme,
• Yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

Kişisel veri sahipleri bu haklarını, firmamızın internet sitesinde yer alan “KVKK Başvuru Formu”nu doldurarak ve formda belirtilen kanallar üzerinden firmamıza ileterek kullanabilir. KVKK madde 13 ile uyumlu olarak başvuru usulüne uyulmaması hâlinde başvurular dikkate alınmayabilir.

MADDE 10 – VERİ SORUMLULARI SİCİLİNE KAYIT OLMA YÜKÜMLÜLÜĞÜ

Firmamız, Kurul tarafından belirlenecek süre zarfında, KVKK ve Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca istenen bilgi ve belgeleri sunarak Veri Sorumluları Sicili’ne kayıt olacaktır. Kurul tarafından talep edilebilecek ek bilgi ve belgeler haricinde, Sicil’e ibraz edilecek başlıca bilgiler şunlardır:

• Veri sorumlusunun kimlik ve adres bilgileri,
• Kişisel verilerin hangi amaçla işleneceği,
• Veri konusu kişi grupları ve bu gruplara ait veri kategorileri,
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
• Yabancı ülkelere aktarımı öngörülen kişisel veriler,
• Kişisel veri güvenliğine ilişkin alınan tedbirler,
• Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

MADDE 11 – KİŞİSEL VERİLERİN AKTARIMI

Kişisel verilerin aktarılması, kural olarak kişisel veri sahibinin açık rızası ile veya KVKK madde 5’te öngörülen istisnalar doğrultusunda; ayrıca yeterli önlemler alınmak kaydıyla KVKK madde 6/3 atfıyla diğer kanunlarda öngörülen istisnalar kapsamında meşru ve hukuka uygundur. Şirketimiz bu ilkeler çerçevesinde kişisel veri aktarımı sağlar.

Bununla beraber şirketimiz, kişisel verileri yurt dışına aktarırken ya ilgili kişisel veri sahibinin açık rızasını temin eder ya da KVKK madde 5’teki istisnalar ve/veya KVKK madde 6/3 atfıyla diğer kanunlarda öngörülen istisnalar kapsamında, yeterli önlemleri de alarak belirtilen şartlardan birini sağlar. Ayrıca kişisel verinin aktarılacağı yabancı ülkede:

• Yeterli korumanın bulunması,
• Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul’un izninin bulunması,

kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarım yapılabilir.

MADDE 12 – POLİTİKANIN VE İLGİLİ MEVZUATIN UYGULANMASI

Kişisel verilerin işlenmesi ve korunmasına ilişkin yürürlükteki kanun, ikincil düzenlemeler ve ilgili diğer mevzuat ile işbu Politika şirketimiz bünyesinde uygulanır. Yürürlükteki mevzuat ile bu Politika arasında herhangi bir uyumsuzluk bulunması hâlinde, mevzuat hükümleri uygulanır.

İşbu Politika, mevcut mevzuat tarafından belirlenen kurallar çerçevesinde somutlaştırılmış olup firmamız, KVKK kapsamında öngörülen yürürlük sürelerine uygun hareket etmek üzere gerekli sistem ve hazırlıkları yürütmektedir.

MADDE 13 – POLİTİKANIN YÜRÜRLÜĞÜ

İşbu Politika 01.01.2020 tarihinde yürürlüğe girecektir.