AKGÜN SAC VE DEMİR SAN. TİC. LTD. ŞTİ. ÖZEL NİTELİKLİ KİŞİSEL VERİ POLİTİKASI

1.   AMAÇ

Bu politikanın amacı, 6698 sayılı Kişisel Verilerin Korunması Kanununa uygun olarak özel nitelikli kişisel verilerin işlenmesi ve korunmasına yönelik sistemler konusunda açıklamalarda bulunmaktır. Bu kapsamda Şirket Ortağı/Hissedarı, Şirket Yetkilileri, Şirket Çalışanları, Çalışan Adayı, Ziyaretçiler, Müşteriler, Aday Müşteriler, Müşteri Yetkilisi, Kiralayan, Kiracı, Tedarikçiler, Tedarikçi Çalışanları ve üçüncü kişiler başta olmak üzere özel nitelikli kişisel verileri Şirketimiz tarafından işlenen ilgili kişileri bilgilendirmektir.

Şirketimiz tarafından özel nitelikli kişisel verilerin işlenmesi ve korunması faaliyetlerinde mevzuata tam uyumun sağlanması ve ilgili kişilerin özel nitelikli kişisel verilerine dair tüm haklarının korunması hedeflenmektedir.

2.   KAPSAM

İşbu Özel Nitelikli Kişisel Veri Güvenliği Politikası (Bundan sonra "Politika" olarak anılacaktır) Akgün Sac Ve Demir San.Tic.Ltd.Şti. (Bundan sonra "Şirket" olarak anılacaktır) bünyesinde kişisel verileri işleyen herhangi bir sürece dâhil olan tüm departmanları, çalışanları ve üçüncü tarafları kapsamaktadır.

İşbu Politika; Şirket'in özel nitelikli kişisel verilere yönelik kuralları tanımlayacak ve bu alandaki yönetimi sağlayacak tüm faaliyetleri kapsayacak olup, bunu sürdürmek adına her adımda uygulanacaktır.

İşbu Politika özel nitelikli kişisel veri olmayan veriler hakkında uygulanmayacaktır.

Konuyla alakalı yeni mevzuatın belirlenmesi veya ilgili mevzuatın güncellenmesi durumunda, Şirket politikasını ilgili mevzuata uyumlu olacak şekilde güncelleyerek mevzuat gerekliliklerine uyacaktır. Gerekmesi halinde Politikayı yeniden belirleyecektir.

3.   TANIMLAR

4.   ÖZEL NİTELİKLİ KİŞİSEL VERİ

4.1 Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Genel İlkeler

Kanunun 4.maddesinde kişisel verilerin işlenmesine ilişkin usul ve esaslar düzenlenmiştir. Buna göre; Kanunda kişisel verilerin işlenmesinde sayılan genel (temel) ilkeler şunlardır;

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar

muhafaza edilme.

Kişisel verilerin işlenmesine ilişkin ilkeler, tüm kişisel veri işleme faaliyetlerinin özünde bulunur ve tüm kişisel veri işleme faaliyetleri bu ilkelere uygun olarak gerçekleştirilir.

Bu veriler Kişisel Veri İşleme politikası içinde belirtilmiştir.

4.2   Özel Nitelikli Kişisel Verilerin İşlenme Şartları

1- Özel nitelikli kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez.

2- Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel verileri olan ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri, kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir.

3- Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

4.3   Özel Nitelikli Kişisel Verilerin İşlenme Amaçları

Kişisel veriler, Kişisel Veri İşleme Politikası içinde belirtilen amaçlar kapsamında işlenebilmekte olup, bu amaçların ve ilgili yasal sürelerin öngördüğü müddetçe saklanabilmektedir.

Bu kapsamda Şirketimiz tarafından çalışanlarımızın yaptıkları işe uygun olduklarına dair 6331 sayılı Kanun' un 15. maddesi uyarınca alınan sağlık raporları ve çalışma süresi içerisinde çalışan tarafından işyerimize ibraz edilen sağlık raporları dışında herhangi bir özel nitelikli kişisel veri toplanmamakta, işlenmemekte ve aktarılmamaktadır. Söz konusu özel nitelikli kişisel veri kategorisinde yer alan sağlık verisi, işyeri hekimi tarafından kanunda öngörülen istisna kapsamında işlenmekte ve muhafaza edilmektedir.

4.4   Özel Nitelikli Kişisel Verilerin Aktarılması

Kişisel Verilerin Aktarılması

• Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz
• Kişisel veriler; Kanunun 5 inci maddesinin ikinci fıkrasında, yeterli önlemler alınmak kaydıyla, 6'ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.
• Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

Kişisel Verilerin Yurt Dışına Aktarılması

• Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.
• Kişisel veriler, Kanunun 5 inci maddesinin ikinci fıkrası ile 6 ncı maddenin üçüncü

fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;

a) Yeterli korumanın bulunması,

b) Yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.

• Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir.

4.5   Veri İşleme Şartlarının Ortadan Kalkması

Şirket, özel nitelikli kişisel veri işlenme şartlarının güncelliğinden sorumludur ve bu sorumluluğunu tüm çalışanları ile paylaşır.

Çalışanlar, veri işlenme şartlarının ortadan kalktığı durumlarda veri işlemeye devam edemez. Şirket, şartların ortadan kalktığı ortamları ilgili iş birimlerinin ya da İcra Kurulunun talebi üzerine işbu Politikaya uygun bir şekilde ortadan kaldırmakla yükümlüdür.

Şirket aşağıda örnek olarak listelenen ve "Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik" içinde de belirtilen ilgili durumlarda özel nitelikli kişisel veri işlenme şartlarının ortadan kalktığını kabul eder:

a) Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,

b) Kişisel verileri işlemenin hukuka ve dürüstlük kuralına aykırı olması,

c) Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması.

Veri sorumlusu, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili gerekli her türlü idari ve teknik tedbirleri almakla yükümlüdür.

Bu kapsamda Şirket tarafından "Kişisel Veri Saklama ve İmha Politikası" içinde tanımlı olan tedbirler, uygulama esas usulleri ve bu çerçevede alınacak aksiyonlar geçerlidir.

4.6 Özel Nitelikli Kişisel Verilerin İşlenmesinde Güvenlik Önlemleri

6698 sayılı Kişisel Verilerin Korunması Kanununun 6. maddesinin (4) numaralı fıkrasında, "Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır" hükmü yer almaktadır.

Bu çerçevede, Kanunun 22 inci maddesinin (1) numaralı fıkrasının (ç) ve (e) bentleri uyarınca özel nitelikli kişisel veri işleyen veri sorumluları tarafından alınması gereken yeterli önlemler, Kişisel Verileri Koruma Kurulu'nun 07.03.2018 tarihli Resmi Gazetede yayımlanan, 31.01.2018 tarihli kararı uyarınca aşağıdaki şekilde belirlenmiştir:

1- Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan çalışanlara yönelik,

• Kanun ve buna bağlı yönetmelikler ile özel nitelikli kişisel veri güvenliği konularında düzenli olarak eğitimler verilmesi,
• Gizlilik sözleşmelerinin yapılması,
• Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamlarının ve sürelerinin net olarak tanımlanması,
• Periyodik olarak yetki kontrollerinin gerçekleştirilmesi,

2- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin derhal kaldırılması. Bu kapsamda, veri sorumlusu tarafından kendisine tahsis edilen envanterin iade alınması, Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise;

• Verilerin kriptografik yöntemler kullanılarak muhafaza edilmesi,
• Kriptografik anahtarların güvenli ve farklı ortamlarda tutulması,
• Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli olarak Loglanması,
• Verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,
• Verilere bir yazılım aracılığıyla erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmelerinin yapılması, bu yazılımların güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması,

3- Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sisteminin

sağlanması, Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği

ortamlar, fiziksel ortam ise;

• Özel nitelikli kişisel verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunması,
• Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışların engellenmesi,

4- Özel nitelikli kişisel verileri aktaracak ise;

• Verilerin e-posta yoluyla aktarılması gerekiyorsa, şifreli olarak kurumsal e-posta adresi ile veya kayıtlı elektronik posta (KEP) hesabı kullanılarak aktarılması,
• Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmesi ve kriptografik anahtar farklı ortamda tutulması,
• Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemi ile veri aktarımının gerçekleştirilmesi,
• Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemlerin alınması ve evrakın "gizlilik dereceli belgeler" formatında gönderilmesi gerekir.

5- Yukarıda belirtilen önlemlerin yanı sıra Kişisel Verileri Koruma Kurumunun internet sitesinde yayımlanan Kişisel Veri Güvenliği Rehberinde belirtilen uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirler de dikkate alınmaktadır.

5.   POLİTİKA YÜRÜRLÜK VE GÜNCELLEMELER

İşbu Politika, Şirket Ortaklar Kurulu tarafından onaylandığı tarihte yürürlüğe girecektir. Politikada yapılacak değişiklikler ve bu değişikliklerin yürürlüğe konulması konusunda gereken çalışmalar Şirket İrtibat Kişisi tarafından yürütülecektir.

Ancak, mevzuat değişiklikleri, atıf yapılan bir teknik standarttaki değişme, Kişisel Verileri Koruma Kurulu'nun işlemleri ve/veya vereceği kararlar ile mahkeme kararları doğrultusunda Şirket bu Politikayı gözden geçirme ve gerekli durumlarda Politikayı güncelleme, değiştirme veya ortadan kaldırıp yeni bir Politika oluşturma hakkını saklı tutar. Politika, olağan olarak yılda bir defa gözden geçirilir ve gerekirse güncellenir. Politikanın yürürlükten kaldırılmasına ilişkin olarak karar verme yetkisi Şirket Ortaklar Kurulu'na aittir.

Saygılarımızla

Akgün Sac Ve Demir San.Tic.Ltd.Şti.