Kişisel Verilerin Korunması

Bu politika; müşterilerimizin, sitemize üye olan kişilerin, ziyaretçilerimizin, tedarikçi ve iş ortağı çalışanlarının, çalışan adaylarımızın ve firmamızla ilişkiye giren diğer gerçek kişilerin kişisel verilerini kapsar.

Tüzel kişilere ait veriler Kanun kapsamında kişisel veri sayılmaz; ancak bir tüzel kişinin yetkilisine ait ad, telefon ve e-posta bilgisi kişisel veridir ve bu politikaya tabidir.

Politikaya uymak, firmamızın tüm çalışanları ve firmamız adına veri işleyen tüm taraflar için bağlayıcıdır.

Kişisel veri — kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Özel nitelikli kişisel veri — ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.

Veri sorumlusu — kişisel verilerin işlenme amacını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi. Bu politikada veri sorumlusu sıfatını taşıyan şirket Topçuoğlu Endüstriyel Lazer İnş Otom Turz San Tic Ltd Şti.

Veri işleyen — veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen taraf. Barındırma ve e-posta hizmet sağlayıcılarımız bu sıfatı taşır.

İlgili kişi — kişisel verisi işlenen gerçek kişi.

Kişisel veriler kural olarak ilgili kişinin açık rızası olmadan işlenemez. Kanun'un 5/2 maddesi bu kuralın istisnalarını sayar ve firmamızdaki işleme faaliyetlerinin tamamı bu istisnalara dayanır.

Dayandığımız istisnalar şunlardır: bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma (5/2-c), hukuki yükümlülüğün yerine getirilmesi (5/2-ç), bir hakkın tesisi, kullanılması veya korunması için zorunlu olma (5/2-e) ve temel hak ve özgürlüklere zarar vermemek kaydıyla meşru menfaat (5/2-f).

Meşru menfaate dayanan her işleme öncesinde denge testi yapılır: menfaatimiz ile ilgili kişinin temel hak ve özgürlükleri karşılaştırılır. Test sonucu ilgili kişinin aleyhineyse işleme yapılmaz.

Firmamız, faaliyeti gereği özel nitelikli kişisel veri işlemeyi amaçlamaz. Site üzerindeki formların hiçbiri sağlık, inanç, üyelik veya biyometrik veri sormaz.

Bir ziyaretçinin serbest metin alanına kendi iradesiyle yazdığı özel nitelikli bir bilgi işlenmek üzere kaydedilmez; fark edildiğinde kayıttan çıkarılır ve bu durum imha kaydına işlenir.

İşyeri hekimliği ve iş sağlığı kapsamında çalışanlara ait sağlık verisi işlendiği hâllerde, bu veriler yalnız sır saklama yükümlülüğü altındaki yetkili kişilerce ve ayrı bir kayıt ortamında işlenir.

Kişisel veriler yalnız Kanun'un 8. maddesindeki şartlar varsa ve yalnız aktarım amacının gerektirdiği alanlarla sınırlı olarak üçüncü kişilere aktarılır.

Veri işleyen sıfatı taşıyan her hizmet sağlayıcıyla yazılı sözleşme yapılır; sözleşmede gizlilik, alınacak teknik tedbirler, alt yüklenici kullanımı ve hizmet bitiminde verinin iadesi veya imhası düzenlenir.

Yurt dışına aktarım yapılmamaktadır. Yapılması gerekirse Kanun'un 9. maddesindeki şartlar sağlanmadan aktarım başlatılmaz ve aydınlatma metni önceden güncellenir.

İşlediğimiz kişisel veriler; veri kategorisi, işleme amacı, hukuki sebep, aktarılan taraf, saklama süresi ve alınan tedbirler sütunlarıyla bir kişisel veri işleme envanterinde tutulur. Yeni bir form, yeni bir alan veya yeni bir hizmet sağlayıcı envantere işlenmeden devreye alınmaz.

Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğü, Kurul kararlarıyla belirlenen çalışan sayısı ve yıllık mali bilanço eşiklerine bağlıdır. Firmamız bu eşikleri her yıl değerlendirir; yükümlülüğün doğduğu tarihte kayıt yapılır ve envanter sicile bildirilen bilgilerle uyumlu tutulur.

Kişisel veriye erişimi olan her çalışanla gizlilik taahhüdü imzalanır; taahhüt, iş ilişkisi sona erdikten sonra da geçerliliğini korur.

Erişim yetkileri göreve göre verilir ve görev değişikliğinde aynı gün gözden geçirilir. Çalışanların hangi kayda erişebildiği yılda en az bir kez denetlenir.

Çalışanlara kişisel verilerin korunması konusunda düzenli bilgilendirme yapılır. Bilgilendirmenin konusu yalnız mevzuat değil, günlük iş alışkanlıklarıdır: yanlış alıcıya gönderilen e-posta, ekranda açık bırakılan kayıt, paylaşılan parola.

Sözleşmelerimize kişisel verilerin korunmasına ilişkin hükümler eklenir; bu hükümler tedarikçi ve iş ortağı için de bağlayıcıdır.

Site ve yönetim paneli HTTPS üzerinden sunulur; tarayıcı ile sunucu arasındaki trafik şifrelenir.

Parolalar geri çevrilemez biçimde özetlenerek saklanır ve panel girişinde ikinci adım doğrulama uygulanır. Başarısız giriş denemeleri sayılır ve hız sınırına takılır.

Site ziyaretçiye dosya yükleme alanı açmaz; yükleme yetkisi yalnız kimliği doğrulanmış panel kullanıcısındadır.

Veritabanı düzenli olarak yedeklenir, yedeklerin geri dönüşü sınanır ve yedekler üretim ortamından ayrı tutulur.

Teknik tedbirlerin ayrıntısı ve gözden geçirme düzeni Bilgi Güvenliği Politikamız'dadır.

Her veri kategorisi için saklama süresi önceden belirlenmiştir. Süreler, KVKK Aydınlatma Metni'nde ilgili kişinin görebileceği biçimde yayımlanır ve bu politikayla aynı değerleri taşır.

Saklama süresi dolan veriler periyodik imha ile silinir, yok edilir veya anonim hâle getirilir. Periyodik imha altı ayda bir, Haziran ve Aralık aylarında yapılır ve imha işlemi kayda geçirilir.

İlgili kişinin silme talebi üzerine yapılan imha, periyodik imha beklenmeden en geç otuz gün içinde gerçekleştirilir. Silme talebi bir yasal saklama yükümlülüğüyle çakışıyorsa talep reddedilir ve ret sebebi ilgili kişiye yazılı olarak bildirilir.

Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edildiğinin öğrenilmesi hâlinde durum, en kısa sürede ve öğrenme tarihinden itibaren yetmiş iki saati aşmamak üzere Kişisel Verileri Koruma Kurulu'na bildirilir.

İhlalden etkilenen kişiler, belirlenmelerinin ardından makul en kısa sürede bilgilendirilir. Bilgilendirmede ihlalin ne zaman gerçekleştiği, hangi veri kategorilerini etkilediği, olası sonuçları ve alınan önlemler yer alır.

Her ihlal olayı, etkileri ve alınan tedbirlerle birlikte kayda geçirilir. İhlalin kök nedeni giderilmeden olay kapatılmaz.

Politikanın uygulanmasından firma yönetimi sorumludur. Başvuruların karşılanması, envanterin güncel tutulması ve imha takvimi için bir irtibat kişisi görevlendirilir.

Politikaya uyum yılda en az bir kez iç denetime tabi tutulur. Denetimde envanter, erişim yetkileri, imha kayıtları, hizmet sağlayıcı sözleşmeleri ve açık başvurular gözden geçirilir.

Denetimde tespit edilen eksikler için sorumlu ve süre belirlenir; kapatılmayan bir bulgu bir sonraki denetime devreder ve yönetime raporlanır.

Bu politika yayımlandığı tarihte yürürlüğe girer. Mevzuat değişikliği, Kurul kararı ya da süreçlerimizdeki bir değişiklik hâlinde güncellenir; her hâlde yılda en az bir kez gözden geçirilir.

Politikanın güncel sürümü her zaman bu adreste bulunur. Politika ile Kanun hükümleri arasında bir çelişki olması hâlinde Kanun hükümleri uygulanır.