DEMİRER KABLO

KİŞİSEL VERİ SAKLAMA VE İMHA

POLİTİKASI

1.    GİRİŞ

1.1.          Amaç

Bu Politika’nın amacı; Demirer Kablo Tesisleri Sanayi ve Ticaret A.Ş.’de işlenen kişisel verilerin, korunması çalışmalarının başında kişisel veri olarak çeşitli amaç ve kanallardan Demirer Kablo bünyesine gelen yazılı, basılı ya da elektronik ortamdaki kişisel verilerin tespiti ve uygun kontrollerin tesis edilmesi, bu verilerin saklanmasına ilişkin gereken güvenli ortamların hazırlanması ve bu verilere erişimin kısıtlı sayıda ve yetkili kişiler tarafından gerçekleştirildiğinden emin olunması ile Demirer Kablo Tesisleri Sanayi ve Ticaret A.Ş.’de işlenen kişisel verilerin, işlendikleri amaç için gerekli olan azami süreler ile silinme, yok edilme ya da anonim hale getirilme süreçlerinin belirlenmesi ve bu süreçlerde görev alacak kişilerin rol ve sorumluluklarının tanımlanması ve kişisel veri ihlal olaylarının yönetiminin belirlenmesidir.

 

Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Demirer Kablo Tesisleri Sanayi ve Ticaret A.Ş. tarafından bu doğrultuda hazırlanmış olan Politikaya uygun olarak gerçekleştirilir.

1.2.          Kapsam

Bu Politika’nın kapsamı; Demirer Kablo Tesisleri Sanayi ve Ticaret A.Ş. çalışanları, çalışan adayları, hizmet sağlayıcıları, müşteriler, ziyaretçiler ve diğer üçüncü kişilere ait kişisel verilerin gizliliği, mahremiyeti konusunda kişisel verilerin korunması amacıyla gereken güvenlik önlemlerinin alınması ve kontrollerin uygulanması, kişisel verilerin azami saklama süreleri, kişisel verilerin hukuka uygun olarak saklanması, imha edilmesi için alınmış teknik ve idari tedbirler, kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetleri oluşturmaktadır.

1.3.          Kısaltmalar ve Tanımlar

Politika’da kullanılan terimlere ait tanımlar aşağıda yer almaktadır.

 

2.    SORUMLULUK VE GÖREV DAĞILIMLARI

Demirer Kablo’nun tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

 

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım Tablo 1’de verilmiştir.

 

 

Tablo 1: Saklama ve İmha Süreçleri Görev Dağılımı

 

3.    KAYIT ORTAMLARI

Kişisel veriler, Demirer Kablo tarafından Tablo 2’de listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.

 

Tablo 2: Kişisel Veri Saklama Ortamları

 

 

4.    SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

Demirer Kablo tarafından; çalışanlar, çalışan adayları, ziyaretçiler, müşteriler ve hizmet sağlayıcı olarak ilişkide bulunulan üçüncü kişilerin, kurumların veya kuruluşların çalışanlarına ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.

 

Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6 ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

 

Bu kapsamda, Demirer Kablo faaliyetleri çerçevesinde kişisel verileri 5/2-a, 5/2-c, 5/2-ç, 5/2-f ve 6/3 maddelerine istinaden işlemekte, ilgili mevzuatta öngörülen süre kadar veya işleme amaçlarına uygun süre kadar saklanmaktadır.

• 5/2-a Kanunlarda açıkça öngörülmesi.
• 5/2-c Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
• 5/2-ç Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
• 5/2-f İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
• 6/3 Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

4.1.          Saklamayı Gerektiren Hukuki Sebepler

Demirer Kablo’da, faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

 

• 6698 Sayılı Kişisel Verilerin Korunması Kanunu
• 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi Ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 4857 Sayılı İş Kanunu
• 6098 Sayılı Borçlar Kanunu
• 6102 Sayılı Türk Ticaret Kanunu
• 6331 Sayılı İş Sağlığı Ve Güvenliği Kanunu
• 5510 Sayılı Sosyal Sigortalar Ve Genel Sağlık Sigortası Kanunu

 

çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

4.2.          Saklamayı Gerektiren İşleme Amaçları

• İnsan kaynakları süreçlerini yürütmek.
• Kurumsal iletişimi sağlamak.
• Kurum güvenliğini sağlamak.
• İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek.
• Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak.
• Ağ ve erişim güvenliğini sağlamak için gerekli bilgi güvenliği önlemlerinin almak.
• Kurum ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlamak.
• İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü.

4.3.          İmhayı Gerektiren Sebepler

Kişisel veriler;

 

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Demirer Kablo tarafından kabul edilmesi,
• Demirer Kablo’nun ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

 

durumlarında, Demirer Kablo tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re ‘sen silinir, yok edilir veya anonim hale getirilir.

5.    KİŞİSEL VERİLERİN GÜVENLİĞİNİN VE GİZLİLİĞİNİN SAĞLANMASI

Demirer Kablo, Kanunun 12 inci maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya yaptırmaktadır. Kişisel verilerin kanuni olmayan yollarla ifşası durumunda Kanunda öngörülen tedbirlere uygun olarak hareket edilmektedir.

 

 

5.1.          İdari Tedbirler

• Demirer Kablo, Kişisel Verilerin Korunması hukukuna ilişkin olarak çalışanlarını eğitmekte ve bilinçlendirilmelerini sağlamaktadır.
• Çalışanlar, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.
• Çalışanların güvenlik politikalarına uymaması durumunda disiplin süreci işletilmektedir.
• Kişisel verilerin aktarıma konu olduğu durumlarda, Demirer Kablo tarafından kişisel verilerin aktarıldığı kişiler ile akdedilmiş olan sözleşmelere, kişisel verilerin aktarıldığı tarafın veri güvenliğini sağlamaya yönelik yükümlülükleri yerine getireceğine ilişkin kayıtlar eklenmesi temin edilir.
• Kişisel verilerin saklanması konusunda teknik gereklilikler sebebiyle dışarıdan bir hizmet alınması durumunda, kişisel verilerin hukuka uygun olarak aktarıldığı ilgili firmalar ile akdedilen sözleşmelere; kişisel verilerin aktarıldığı kişilerin, kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlanacağına ilişkin hükümlere yer verilmektedir.
• Demirer Kablo tarafından VERBİS sistemine uyumlu Kişisel Veri İşleme Envanteri çıkarılarak, burada hukuka ve amaca uygunluk denetimleri yapılmaktadır.
• Demirer Kablo tarafından yürütülen kişisel veri işleme faaliyetleri detaylı olarak incelenmekte ve periyodik olarak gözden geçirilerek gerektiğinde güncellenmektedir. Bu kapsamda, Kanunda öngörülen kişisel veri işleme şartlarına uygunluğun sağlanması için atılması gereken adımlar tespit edilir.
• Gözden geçirme sonucunda, ihtiyaç duyulmayan kişisel veriler, “Kişisel Veri Saklama Ve İmha Politikası” ile kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi yönetmeliğine uygun ve güvenli bir şekilde imha edilmektedir.
• Demirer Kablo, Kanuna uyumun sağlanması için yerine getirilmesi gereken uygulamaları tespit ederek, “Kişisel Veri Saklama ve İmha Politikası”nı düzenler ve periyodik olarak gözden geçirerek gerektiğinde günceller. Kişisel veri ihlal olayları için ortaya çıkabilecek riskler ile güvenlik ihlallerinin nasıl yönetileceği de açıkça belirlenmektedir.
• Demirer Kablo, kişisel verilerin saklanmasında ISO 27001 Bilgi Güvenliği Yönetim Sistemi standardına uyumlu hareket eder.
• Demirer Kablo tarafından kişisel verilerin korunmasına ilişkin olarak, teknolojinin imkân verdiği ölçüde teknik önlemler alınmakta ve alınan önlemler gelişmelere paralel olarak güncellenip, iyileştirilir.
• Teknik konularda, uzman personel istihdam edilir.
• Alınan önlemlerin uygulanmasına yönelik düzenli aralıklarla denetim yapılır.
• Güvenliği temin edecek yazılım ve sistemler kurulur.
• Demirer Kablo bünyesinde işlenmekte olan kişisel verilere erişim yetkisi, belirlenen işleme amacı doğrultusunda ilgili çalışanlar ile sınırlandırılır.
• Kişisel verilerin güvenli ortamlarda saklanması için teknolojik gelişmelere uygun sistemler kullanılmaktadır.
• Saklanma alanlarına yönelik teknik güvenlik sistemleri kurulmakta, alınan teknik önlemler periyodik olarak denetlenmekte, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilmektedir.
• Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için hukuka uygun bir biçimde tüm gerekli altyapılar kullanılmaktadır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
• Özel nitelikli kişisel veriler e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır. Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı gerçekleştirilmektedir. Kâğıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir

5.2.          Teknik Tedbirler

 

Demirer Kablo tarafından kişisel verilerin hukuka aykırı erişimini engellemek için alınan başlıca teknik tedbirler aşağıda sıralanmaktadır;

5.2.1.     Siber Güvenliğin Sağlanması

• Kişisel veri içeren bilgi teknoloji sistemlerinin internet üzerinden gelen izinsiz erişim tehditlerine karşı korunmasında öncelikli olarak güvenlik duvarı ve ağ geçidi tedbirleri alınmaktadır.
• Kişisel veri güvenliğinin sağlanması için farklı internet siteleri ve/veya mobil uygulama kanallarından kişisel veri temin edilme durumlarında, bağlantılar SSL ile gerçekleştirilmektedir.
• Anti-virüs gateway sistemleri kullanılmaktadır. İnternete giden veya gelen trafik virüslere karşı taranmaktadır.
• İnternet üzerinden şirket tarafından onaylanmamış yazılımlar indirilemez ve şirket sistemleri üzerine bu yazılımlar kurulamaz.
• Üçüncü şahısların şirket internetini kullanmaları Bilgi Teknolojileri çalışanlarının izni ve bu konudaki kurallar dahilinde gerçekleştirilebilecektir.
• Bilgi kaynaklarının bütünlüğünü ve gizliliğini sağlamak, güvenlik açıklıklarını tespit etmek için “Güvenlik Açıklıkları Tespit Etme Politikası” uygulanmaktadır.
• Şirketin bilgisayar ağında bulunan tüm cihazların IP ve MAC adres bilgileri “Ağ Cihazları Güvenlik Politikası” kapsamında envanter dosyasında tutulmaktadır.
• Ağ üzerinde kullanıcının erişeceği servisler kısıtlanıp, sınırsız ağ erişimi engellenmektedir.
• Ağ erişimi VPN, VLAN gibi ayrı mantıksal alanlar oluşturularak sınırlandırılmıştır.
• Firewall olarak kullanılan cihazlar başka bir amaç için kullanılmamaktadır.
• Firewall konfigürasyonu kritik güncellemeleri Bilgi Teknolojileri Müdürü onaylı yapılmaktadır.
• Ağ cihazlarının güncel topolojisi tutularak, konfigürasyon bilgileri saklanmaktadır.
• Kablosuz cihazların gerekli güvenlik tedbirleri alınmaksızın şirketin bilgisayar ağına erişimini engelleme “Kablosuz İletişim Politikası” kapsamında yürütülmektedir.
• Bütün kablosuz erişim cihazları Bilgi Teknolojileri Departmanı tarafından onaylanmış olmalı ve Bilgi Teknolojileri Departmanı’nın belirlediği güvenlik ayarları kullanılmalıdır.
• Firewall’ın DMZ tarafında bulunan şirket cihazlarının sahip olması standartlar “ İnternet DMZ Cihazları Politikası” ile yürütülmektedir.

 

İlgili Dokümanlar

• Bilgi Teknolojileri Politikaları 4. İnternet Erişim ve Kullanım Politikası
• Bilgi Teknolojileri Politikaları 7. Güvenlik Açıkları Tespit Etme Politikası
• Bilgi Teknolojileri Politikaları 8. Ağ Cihazları Güvenlik Politikası
• Bilgi Teknolojileri Politikaları 9. Ağ Yönetimi Politikası
• Bilgi Teknolojileri Politikaları 15. Kablosuz İletişim Politikası
• Bilgi Teknolojileri Politikaları 16. İnternet DMZ Cihazları Politikası
• Kullanılmayan yazılım ve servislerin cihazlardan kaldırılması işlemi uygulanıp, güvenlik açıklarının önüne geçilmektedir.
• Kullanılan yazılım, servis ve donanımların yama yönetimleri ve yazılım güncellemeleri düzenli olarak kontrol edilmektedir.
• Yazılım ve donanımların düzgün bir şekilde çalışması ve sistemler için alınan güvenlik tedbirlerinin yeterli olup olmadığı düzenli olarak kontrol edilmektedir.

5.2.2.     Yazılım Güncellemeleri

 

İlgili Dokümanlar

• Bilgi Teknolojileri Politikaları 6. İşletim Güvenliği Politikası
• Bilgi Teknolojileri Politikaları 22. Değişiklik Yönetimi Politikası
• Bilgi Teknolojileri Politikaları 27. Uygulama Yazılımları Kurulum Politikası
• Kişisel veri içeren sistemlere erişim sınırlı tutulmaktadır.
• Erişim yetki ve kontrol matrisi oluşturularak “Erişim Kontrol Politikası” uygulanmaktadır.
• Çalışanlara, yapmakta oldukları iş ve görevler ile yetki ve sorumlulukları için gerekli olduğu ölçüde erişim yetkisi tanımlanmış olup, kullanıcı adı ve şifre kullanılmak suretiyle ilgili sistemlere erişim sağlanmaktadır.
• “Personel Güvenliği Politikası” uygulanarak, iş tanımı değişen veya şirketten ayrılan çalışanların erişim hakları hemen silinmektedir.

5.2.3.     Erişim Sınırlamaları

 

 

 

İlgili Dokümanlar

• Erişim Yetki ve Kontrol Matrisi
• Bilgi Teknolojileri Politikaları 12. Erişim Kontrol Politikası
• Bilgi Teknolojileri Politikaları 24. Personel Güvenliği Politikası
• Şifre oluşturulurken, kişisel bilgilerle ilişkili ve kolay tahmin edilecek rakam ya da harf dizileri yerine küçük büyük harf, rakam, hem dijit hem de noktalama karakterleri, sembollerden oluşacak güçlü şifre kombinasyonları tercih edilmektedir.
• Şifreler en az üç ayda bir değiştirilmektedir.
• Şifre giriş deneme sayısı 10 ile sınırlandırılmıştır.

5.2.4.     Parola

 

İlgili Doküman

• Bilgi Teknolojileri Politikaları 2. Şifreleme Politikası
• Kötü amaçlı yazılımlardan korunmak için bilgi sistem ağını düzenli olarak tarayan ve tehlikeleri tespit eden anti-virüs programı kullanılmaktadır.
• Domaine bağlı pc’ler otomatik olarak bulundukları alt ağlardaki sunucu’dan en son versiyonları update etmektedir.
• Domaine bağlı olmayan kullanıcılar ise, anti-virüs programının farklı güncelleme kurallarıyla güncel tutulması sağlanmaktadır.
• Çıkarılabilir medyalar (cd-rom, dvd-rom, bluetooth, flash disk, external disk) daima virüslere karşı tarama yapılmaktadır.

5.2.5.     Anti-virüs Yazılımları

 

İlgili Doküman

• Bilgi Teknolojileri Politikaları 3. Anti-virüs Politikası
• Sunucuların anti-virüs veritabanlarını güncellemeleri düzenli ve kontrollü olarak yapılmaktadır.
• Veritabanı sistemlerinin kesintisiz ve güvenli şekilde işletilmesine yönelik “Veritabanı Güvenlik Politikası” işletilmektedir.
• Kullanılmayan servis ve uygulamalar kapatılmaktadır.
• Sunucular fiziksel olarak korunmuş sistem odalarında bulunmaktadır.
• Kritik sistemlerde oluşan bütün güvenlikle ilgili olaylar loglanmaktadır.
• Sunucuda meydana gelen mevcut uygulama ile alakalı olmayan olaylar, port tarama atakları, yetkisiz kişilerin ayrıcalıklı hesaplara erişmeye çalışması ile ilgili güvenlik logları sistem yöneticisi tarafından değerlendirilerek gerekli tedbirler alınıp, veri sorumlusuna bildirmektedir.
• Tüm kullanıcıların işlem hareketleri, log kayıtları düzenli olarak tutulmaktadır.
• Bilgi kaynaklarının bütünlüğünü ve gizliliğini sağlamak, güvenlik açıklıklarını tespit etmek için “Güvenlik Açıklıkları Tespit Etme Politikası” uygulanmaktadır.
• Yılda bir kez Zafiyet ve Sızma (Penetrasyon) testleri yaptırılmakta, bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
• Şirketin bilgisayar ağında sistem açıklarının tespit etmek ve gerekli tedbirlerin alınmasını sağlamak amacıyla kendi içerisinde ya da yetkili firmalara risk analizi yaptırılmasına dair kurallar “Risk Değerlendirme Politikası” ile işletilir.
• Bilişim sisteminin çökmesi, kötü niyetli yazılım, servis dışı bırakma saldırısı, eksik veya hatalı veri girişi, gizlilik ve bütünlüğü bozan ihlaller, bilişim sisteminin kötüye kullanılması gibi istenmeyen olaylarda deliller toplanıp güvenli bir şekilde saklanmaktadır.

5.2.6.     Kişisel Veri Güvenliğinin Takibi

 

İlgili Dokümanlar

• Bilgi Teknolojileri Politikaları 3. Anti-virüs Politikası
• Bilgi Teknolojileri Politikaları 7. Güvenlik Açıklarını Tespit Etme Politikası
• Bilgi Teknolojileri Politikaları 14. Risk değerlendirme Politikası
• Bilgi Teknolojileri Politikaları 21. Veritabanı Güvenlik Politikası
• Kâğıt ortamında saklanan kişisel veriler ve cihazlarda bulunan kişisel verilerin çalınması veya kaybolması gibi tehditlere karşı fiziksel güvenlik önlemleri alınmaktadır.
• Kullanım ömrü sona eren ve artık ihtiyaç kalmadığı kanaatine varılan kişisel verilere ait gizli bilgiler kâğıt öğütücü, yakma vb. metotlarla yok edilir.
• Sunucu ve ağ cihazlarının imha edilmesi durumlarında, depolama cihazında bulunan kişisel verilerin bir daha okunamaması önlemleri alınarak depolama cihazı fiziksel olarak imha edilir.
• Bilgisayar başından kalkarken oturumun kapatılması veya şifre ile aktif edilebilecek ekran koruyucuların devreye girmesi önlemleri alınır.
• Kişisel veri güvenliğinin sağlanması için kişisel veri içeren kâğıt ortamındaki evraklar, sunucular, yedekleme cihazları, CD, DVD ve USB gibi cihazların ek güvenlik önlemlerinin olduğu sistem odası ve arşiv odasında tutulmaktadır.
• Sistem odası ve arşiv odasına giriş / çıkışlar kontrol altına alınmaktadır. Yetkisiz kişilerin erişimine kapalıdır.
• Şirket dışı ziyaretçilerin ve yetkisiz personelin güvenli alanlara girişi yetkili güvenlik görevlileri gözetiminde gerçekleştirilmektedir.
• Kişisel veri içeren cihazların kaybolması veya çalınması gibi durumlara karşı erişim kontrol yetkilendirmesi ve/veya şifreleme yöntemleri kullanılmaktadır.
• Kişisel verilerin yer aldığı fiziksel ortamların (sistem odası, arşiv odası) dış risklere (yangın, sel vb.) karşı uygun yöntemlerle korunmaktadır.
• Kişisel verilerin korunması amaçlı, cihazlarda tam disk şifreleme veya cihazda kişisel veri bulunan dosya da şifreleme işlemi uygulanmaktadır.
• Bilgisayarlar ve PDA cihazlar üzerinde anti-virüs programları yüklüdür ve hiçbir nedenle devre dışı bırakılamaz.
• Saklanan veya iletilen hassas veya kritik bilgiyi korumak için şifreleme kullanılmaktadır.
• Saklanan veya iletilen hassas veya kritik bilginin güvenilirlik veya bütünlüğünü korumak için sayısal imzalar veya mesaj doğrulama kodları kullanılmaktadır.
• Bir olay veya faaliyetin oluşumu veya oluşmadığının kanıtını elde etmek için kriptografik teknikler kullanılmaktadır.

5.2.7.     Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması

 

İlgili Dokümanlar

• Bilgi Teknolojileri Politikaları 10. Mobil Cihaz Politikası
• Bilgi Teknolojileri Politikaları 20. Fiziksel Güvenlik Politikası
• Bilgi Teknolojileri Politikaları 28. Temiz Masa Temiz Ekran Politikası
• Bilgi Teknolojileri Politikaları 29. Teçhizat Güvenliği Politikası
• Bilgi Teknolojileri Politikaları 30. Kriptografik Kontroller Politikası
• Yeni sistemlerin tedariği, geliştirilmesi veya mevcut sistemlerin iyileştirilmesi ile ilgili ihtiyaçlar belirlenirken güvenlik gereksinimleri göz önüne alınmaktadır.
• Arızalandığı ya da bakım süresi geldiği için üretici, satıcı, servis gibi üçüncü kurumlara gönderilen cihazlar eğer kişisel veri içermekte ise bu cihazların bakım ve onarım işlemi için gönderilmesinden önce, kişisel verilerin güvenliğinin sağlanması için cihazlardaki veri saklama ortamının sökülerek saklanması, sadece arızalı parçaların gönderilmesi işlemi uygulanır.
• Bakım ve onarım gibi amaçlarla dışarıdan personel gelmişse kişisel verileri kopyalayarak kurum dışına çıkartmasının engellenmesi için gerekli önlemler alınmaktadır.

5.2.8.     Bilgi Teknolojileri Sistemleri Tedariği, Geliştirme ve Bakımı

 

İlgili Dokümanlar

• Bilgi Teknolojileri Politikaları 22. Değişiklik Yönetimi Politikası
• Bilgi Teknolojileri Politikaları 25. Bakım Politikası
• Bilgi Teknolojileri Politikaları 29. Teçhizat Güvenliği Politikası
• Kişisel verilerin herhangi bir sebeple zarar görmesi, yok olması, çalınması veya kaybolması gibi hallerde yedeklenen veriler kullanarak en kısa sürede faaliyete geçirilmektedir.
• Yedeklenen kişisel verilere sadece sistem yöneticisi tarafından erişilebilmektedir.
• Yedekleri alınacak sistem, dosya ve veriler dikkatle belirlenip, yedeği alınacak sistemleri belirleyen bir yedekleme listesi oluşturulmaktadır.
• Yedeklenecek bilgiler değişiklik gösterebileceğinden yedekleme listesi periyodik olarak gözden geçirilip güncellenmektedir.
• Yedekleme işlemi yedekleme programı ajanının yedeği alınmak istenen bilgisayara kurularak network üzerinden yapılacak şekilde ayarlanmaktadır.
• Yedeğin sağlıklı bir şekilde alındığının kontrolü alınan yedeklerin sağlaması yapılarak kontrol edilmektedir.
• Tüm yedeklerin fiziksel güvenliği de ayrıca sağlanmaktadır.

5.2.9.     Kişisel Verilerin Yedeklenmesi

 

İlgili Dokümanlar

• Bilgi Teknolojileri Politikaları 20. Fiziksel Güvenlik Politikası
• Bilgi Teknolojileri Politikaları 23. Bilgi Sistemleri Yedekleme Politikası

5.3.         Kişisel Veri Güvenliği İhlal Olayları Yönetimi

Demirer Kablo tarafından yürütülen kişisel veri işleme faaliyeti kapsamında, işlenen kişisel verilerin idari ve teknik tüm tedbirler alınmış olmasına rağmen, kanuni olmayan yollarla üçüncü kişiler tarafından ele geçirilmesi/ifşası durumunda;

 

• Kişisel veri güvenliği ihlal olaylarına hızlı etkili ve düzenli şekilde cevap verebilmek için kişisel veri güvenliği ihlal olayları karşısında çalışan öncelikli ve gerçek sorumludur. Böyle bir durumda çalışan öncelikli olarak komite_kvkk@demirerkablo.com.tr adresine durumu bildirmekle yükümlüdür.
• Kişisel veri güvenliği ihlal olaylarında “Kişisel Veri Güvenliği İhlal Olayı ve Açıklık Bildirim Formu” tutularak kayıt altına alınır.
• Kanun çerçevesinde yayımlanmış olan yönetmeliklerde belirtilen hükümlere aykırı düşen ve kuralları ihlal eden tutum, davranış ve olayların ortaya çıkması durumunda izlenecek süreçler ve gerekliliklerine uymayan çalışanlara karşı “İhlal Bildirim Tutanağı” tutularak “Disiplin Prosedürü” işletilmektedir.
• Tespiti yapılan olay ile ilgili kurum dışı birim yada firmalardan destek alınması gereken durumlarda iletişimi kurmak ve sağlamak konusunda öncelikli sorumluluk VERBİS’e kayıt edilmiş irtibat kişisidir.
• İrtibat kişisi ihlal ve olay bildirimini ilgili kişiye ve Kurula 72 saat içinde bildirmekle yükümlüdür.
• Demirer Kablo, söz konusu veri ihlalinden etkilenen kişilerin belirlenmesini müteakip ilgili kişilere de makul olan en kısa süre içerisinde, ilgili kişinin iletişim adresine ulaşılabiliyorsa doğrudan, ulaşılamıyorsa Demirer kablo web sitesi üzerinden yayımlanması gibi uygun yöntemlerle bildirim yapmakla yükümlüdür.
• Demirer kablo, bildirimin 72 saat içinde yapılamaması durumunda, Kurula haklı bir gerekçe ile yapılacak bildirimle birlikte gecikmenin nedenlerinin de Kurula bildirmekle yükümlüdür.
• Kurula yapılacak bildirimde Kurulun yayınlamış olduğu “Kişisel Veri İhlal Bildirim Form”u kullanılacaktır.
• Formda yer alan bilgilerin aynı anda sağlanmasının mümkün olmadığı hallerde, bu bilgilerin gecikmeye mahal verilmeksizin aşamalı olarak sağlanacaktır.
• Demirer Kablo tarafından veri ihlallerine ilişkin bilgilerin, etkilerinin ve alınan önlemlerin kayıt altına alınması ve Kurulun incelemesine hazır halde bulundurulacaktır.
• Veri ihlalinin yurtdışında yerleşik veri sorumlusu nezdinde yaşanması halinde, bu ihlalin sonuçlarının Türkiye’de yerleşik ilgili kişileri etkilemesi ve ilgili kişilerin sunulan ürün ve hizmetlerden Türkiye’de faydalanmaları durumunda, bu veri sorumlusu tarafından da aynı esaslar çerçevesinde Kurula bildirimde bulunulacaktır.

 

5.4.         Kişisel Verilerin Korunmasına İlişkin Denetim Faaliyetlerinin Yürütülmesi

Demirer Kablo tarafından, kişisel verilerin korunması ve güvenliğinin sağlanması kapsamında alınan teknik ve idari tedbirlerin işleyişi denetlenmekte ve işleyişin devamını sağlayacak uygulamalar yürütülmektedir. Bu kapsamda gerçekleştirilen denetim faaliyetlerinin sonuçları, Demirer Kablo bünyesinde KVK Komitesi’ne ve ilgili departmana raporlanmaktadır. Denetim sonuçları doğrultusunda verilerin korunmasına ilişkin alınan tedbirlerinin geliştirilmesini ve iyileştirilmesini sağlayacak faaliyetler yürütülür.

6.    KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Demirer Kablo tarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

6.1.         Kişisel Verilerin Silinmesi

Kişisel veriler Tablo-3’te verilen yöntemlerle silinir.

 

Tablo 3: Kişisel Verilerin Silinmesi

 

6.2.         Kişisel Verilerin Yok Edilmesi

Kişisel veriler, Demirer Kablo tarafından Tablo-4’te verilen yöntemlerle yok edilir.

 

Tablo 4: Kişisel Verilerin Yok Edilmesi

 

6.3.         Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

 

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

7.    SAKLAMA VE İMHA SÜRELERİ

Demirer Kablo tarafından, faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;

 

• Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde;
• Veri kategorileri bazında saklama süreleri VERBİS’e kayıtta;
• Süreç bazında saklama süreleri ise Kişisel Veri Saklama ve İmha Politikasında yer alır.

 

Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi gerçekleştirilir.

 

Tablo 5: Süreç bazında saklama ve imha süreleri tablosu

 

8.    PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11 inci maddesi gereğince Demirer Kablo, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Kurumda her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

9.    İLGİLİ KİŞİ BAŞVURU SÜREÇLERİ

Kanunda ilgili kişi olarak tanımlanan kişisel veri sahiplerine, Kanunun 11 inci maddesinde kişisel verilerinin işlenmesine ilişkin birtakım taleplerde bulunma hakkı tanınmıştır.

 

Kanunun 13 üncü maddesinin birinci fıkrası uyarınca; veri sorumlusu olan Demirer Kablo bu haklara ilişkin olarak yapılacak başvuruların yazılı olarak veya Kurul tarafından Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında belirlenen diğer yöntemlerle tarafımıza iletilmesi gerekmektedir.

 

Bu çerçevede “yazılı” olarak Demirer Kablo’ya yapılacak başvurular, başvuru formunun çıktısı alınarak;

 

• Başvuru Sahibinin şahsen başvurusu ile,
• Noter vasıtasıyla,
• İadeli taahhütlü posta yoluyla kimlik doğrulamak suretiyle,

 

tarafımıza iletilebilecektir.

10.GÖZDEN GEÇİRME

İşbu Politika, Demirer Kablo KVK Komitesi tarafından her yıl en az 1 (bir) defa gözden geçirilerek gerekli olması halinde güncellenecektir. İşbu Politika’nın yürürlüğe girmesi, değiştirilmesi, yürütülmesi ve yürürlükten kaldırılması hususlarında Demirer Kablo KVK Komitesi yetkili ve sorumludur.

11.YÜRÜRLÜK

Bu politika üst yönetim tarafından onaylanmış ve  14/10/2019 tarihi itibariyle yürürlüğe girmiştir.