Kişisel Verilerin Korunması

Gediz Elektrik Perakende Satış AŞ (“Şirket”) olarak, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) uyarınca, veri sorumlusu olduğumuz hallerle sınırlı olmak üzere, işleme amacı ile bağlantılı, sınırlı ve ölçülü olacak şekilde talep ettiğimiz ve bizimle paylaşmış olduğunuz size ve üçüncü kişilere ait kişisel verileri, yine işlenmelerini gerektiren amaç çerçevesinde; kaydedilecek, depolanacak, muhafaza edilecek, yeniden düzenlenecek, hukuken bu kişisel verileri talep etmeye yetkili olan kurumlar ile paylaşılacak, KVKK’nın ve diğer kanunların öngördüğü koşullarda yurt içi veya yurt dışı üçüncü kişilere aktarılacak, devredilebilecek, sınıflandırılabilecek ve KVKK’da sayılan diğer şekillerde işlenebilecek olduğunu bildiririz.

Şirket olarak kişisel verilerinizin işlenme amaçları ve hukuki sebepleri; 4857 sayılı İş Kanunu, 6098 sayılı Türk Borçlar Kanunu, 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu ve ilgili diğer mevzuat kapsamındaki yükümlülüklerimiz de dâhil olmak üzere hukuki yükümlülüklerimizi yerine getirmek, sizinle imzalayacağımız sözleşmeler de dâhil olmak üzere tüm hukuki işlemlerdeki yükümlülüklerimizi yerine getirmek, iş güvenliği ve sağlığını sağlamak da dâhil olmak üzere her türlü meşru amaçla işlemek; elektronik veya kâğıt ortamında işleme amacı doğrultusunda tüm kayıt ve belgeleri düzenlemek; mevzuat, ilgili düzenleyici kurumlar ve diğer otoritelerce öngörülen bilgi saklama, raporlama, bilgilendirme yükümlülüklerine uymak, ticari meşru amaçlarımız doğrultusunda sizinle iletişim kurmak ve kanunlarda yazan diğer her türlü nedendir.

Yukarıda belirtilen amaçlarla, kişisel verilerin aktarılabileceği kişi/kuruluşlar; Türk Ticaret Kanunu, Vergi Usul Kanunu ve diğer mevzuat hükümlerinin izin verdiği kurum veya kuruluşlar; Hazine ve Maliye Bakanlığı, Aile, Çalışma ve Sosyal Hizmetler Bakanlığı, Ticaret Bakanlığı, Sosyal Güvenlik Kurumu, Kişisel Verileri Koruma Kurumu, Enerji Piyasası Düzenleme Kurumu (EPDK) gibi kamu tüzel kişileri; doğrudan/dolaylı yurtiçi / yurtdışı hissedarlarımız, bağlı ortaklıklarımız ve/veya iştiraklerimiz; Şirket olarak faaliyetlerimizi yürütmek üzere sözleşmesel olarak hizmet aldığımız, işbirliği  yaptığımız,  yurt içi/yurt dışı kuruluşlar ve diğer 3. Kişilerdir.

Kişisel veriler sözlü, yazılı veya elektronik ortamda, e-posta ve diğer kanallar aracılığıyla toplanabilir.

KVKK’nın 11. maddesi gereği Adalet Mahallesi, Anadolu Caddesi, Megapol Tower No:41 İç Kapı No:211 Bayraklı/İzmir adresine yazılı olarak başvuruda bulunarak, veri sorumlusu olduğumuz hallerle sınırlı kalmak üzere, bize iletmiş olduğunuz kişisel verilerinizin; 

a)  İşlenip işlenmediğini öğrenme,                                 

b)  İşlenmişse bilgi talep etme,                                     

c)  İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,

ç)  Yurt içinde / yurt dışında aktarıldığı 3. kişileri bilme,

d)  Eksik / yanlış işlenmişse düzeltilmesini isteme,

e)  KVKK’nın 7. maddesinde öngörülen şartlar çerçevesinde silinmesini / yok edilmesini isteme,

f)   Aktarıldığı 3. kişilere yukarıda sayılan (d) ve (e) bentleri uyarınca yapılan işlemlerin bildirilmesini isteme,

g)  Münhasıran otomatik sistemler ile analiz edilmesi nedeniyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,

ğ) Hukuka aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme hakkına sahipsiniz.

İşlemin şirketimiz için bir maliyeti gerektirmesi hâlinde, Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.

Ayrıca bu bilgilendirme yazısı vasıtasıyla Şirket, çalışanları ve Şirket’in sizlere ilettiği müşteri ve çalışan verisi de dâhil üçüncü kişi verileri ile ilgili olarak yapacağınız her türlü veri işleme faaliyetinin de KVKK ve ilgili ikincil mevzuat uyarınca yapılması gerektiğini belirtmek istemektedir. Bu anlamda tabi olduğunuz hukuki, idari ve teknik güvenlik tedbirleri ile yükümlülükleri ilgili mevzuat uyarınca eksiksiz bir biçimde yerine getirmenizi beklemekteyiz.

1. GİRİŞ

1.1. Amaç

Kişisel verilerin korunması, Gediz Elektrik Perakende Satış AŞ (“Şirket””) en önemli öncelikleri arasında olup, bu hususta yürürlükte bulunan tüm mevzuata uygun davranmak için azami gayret göstermektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”); kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerini “Özel Nitelikli Kişisel Veri” olarak sınıflandırarak bu verilere özel bir önem atfetmekte ve bu verilerin yükseltilmiş bir güvenlik standardı ile korunması konusunda veri sorumlularını yükümlü kılmaktadır.

Aydem Holding bünyesinde yer alan grup şirketlerinin her biri işbu Politika hükümlerine tabidir.

İşbu Gediz Elektrik Perakende Satış AŞ Özel Nitelikli Kişisel Veri İşleme Politikası (“Politika”) çerçevesinde Şirketimiz tarafından gerçekleştirilen Özel Nitelikli Kişisel Veri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeler ve Özel Nitelikli Kişisel Veri işleme faaliyetleri esnasında Şirket tarafından alınacak asgari veri güvenliği önlemleri belirlenmektedir.

1.2. Kapsam

İşbu Politika, Kanun kapsamında tanımlanan kimliği belirli veya belirlenebilir gerçek kişilere ait, otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla Şirket bünyesinde işlenen Özel Nitelikli Kişisel Verilere ilişkindir. 

2. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

2.1. Özel Nitelikli Kişisel Verileri İşlenmesi Esnasında Uyulacak Genel İlkeler

Şirketimiz Özel Nitelikli Kişisel Verileri, Kanun’da ve ilgili diğer mevzuatlarda öngörülen usul ve esaslara uygun olarak işlenmektedir. Bu doğrultuda Şirketimiz Özel Nitelikli Kişisel Verileri işlediği süreçlerde aşağıda listelenen ilkelere (“Genel İlkeler”) uygun hareket etmektedir. 

Şirketimiz Özel Nitelikli Kişisel Verileri;

(i) Hukuka ve dürüstlük kurallarına uygun,

(ii) Doğru ve gerektiğinde güncel biçimde,

(iii) Belirli, açık ve meşru amaçlar için,

(iv) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak, 

(v) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar işlemektedir. 

2.2. Özel Nitelikli Kişisel Verilerin İşlenmesi Şartları

Kanunda Özel Nitelikli Kişisel Veriler ayrıca ve sınırlı olarak sayılmış olup hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine sebep olma veya ayrımcılığa maruz kalma riski nedeniyle, bu verilere özel önem atfedilmiştir.

Özel Nitelikli Kişisel Veriler, Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Kişisel Verileri Koruma Kurulu’nun (“Kurul”) belirlediği ya da belirleyeceği asgari güvenlik önlemleri dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alınarak ve aşağıdaki şartlardan en az birinin varlığı halinde işlenmektedir. 

a) İlgili kişinin açık rızasının olması,

b) Kanunlarda açıkça öngörülmesi,

c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASINA İLİŞKİN HUSUSLAR 

Şirketimiz hukuka uygun olan Özel Nitelikli Kişisel Veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak Özel Nitelikli Kişisel Verileri, üçüncü kişilere (“Üçüncü Kişiler”) aktarabilmektedir. Şirketimiz, bu doğrultuda Kanun’un 8’inci ve 9’uncu maddesinde öngörülen düzenlemelere uygun hareket etmektedir. 

4. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN ELDE EDİLMESİ ESNASINDA İLGİLİ KİŞİLERİN AYDINLATILMASI  

Kanun’un 10 uncu maddesine göre; kişisel verilerin elde edilmesi sırasında veri sorumluları veya yetkilendirdiği kişilerce ilgili kişilerin bilgilendirilmesi gerekmektedir. Şirketimiz ilgili kişilere yönelik aydınlatma yükümlülüğünü yerine getirirken asgari olarak aşağıdaki konular hakkında ilgili kişileri bilgilendirmektedir:

(i) Veri sorumlusunun ve varsa temsilcisinin kimliği,

(ii) Kişisel verilerin hangi amaçla işleneceği,

(iii) Kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

(iv) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

(v) Kanun’un 11 inci maddede sayılan ve ilgili kişilere tanınmış olan haklar ve bu hakların ne şekilde kullanılabileceği.

Alternatif yöntem ve metotların benimsendiği haller hariç, Şirket tarafından aydınlatma yükümlülüğünün yerine getirilmesi için ilgili kişilere fiziksel ya da elektronik ortamda, sonradan kanıtlanabilir şekilde sunulan aydınlatma metinleri kullanılmaktadır. Özel Nitelikli Kişisel Verilerin işlendiği süreçlerde görev alan Şirket çalışanları, kişisel verilerin elde edilmesi öncesinde ilgili kişilere gerekli aydınlatma metinlerinin sunulduğu ve ilgili kişilerin bilgilendirildiğinden emin olmalıdır. 

5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI 

Kanun’un 7’nci maddesinde düzenlenen kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi yükümlülüğü gereği, Şirketimiz tarafından Kanun ve diğer mevzuat hükümlerine uygun olarak işlenmiş olmasına rağmen işlenmesini gerektiren sebeplerin ortadan kalkması halinde Özel Nitelikli Kişisel Veriler dahil tüm kişisel veriler, Şirketimizin re’sen vermiş olduğu karara veya kişisel İlgili Kişinin talebine istinaden silinir, yok edilir veya anonim hale getirilir. Şirketimizin ilgili mevzuat hükümleri gereğince kişisel verileri muhafaza etme hak ve/veya yükümlülüğü olan durumlarda veri sahibinin talebini yerine getirmeme hakkı saklıdır.

Kişisel verilerin saklanması ve imhasına ilişkin detaylı bilgilere ilişkin detaylı bilgiler Şirket yönetim standartlarının sağlandığı entegre yönetim sistemi olan QDMS’de erişilebilen Kişisel Veri Saklama ve İmha Politikası’nda yer almaktadır.

6. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN GÜVENLİĞİNİN VE GİZLİLİĞİNİN SAĞLANMASI 

Şirketimiz tarafından Özel Nitelikli Kişisel Verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek için, imkanlar dahilinde, korunacak verinin niteliğine göre gerekli her türlü tedbir alınmaktadır.

Bu kapsamda Şirketimiz tarafından gerekli her türlü idari ve teknik tedbirler alınmakta; ilgili tedbirler güncel Kurul kararlarına uygun şekilde gözden geçirilip güncellenmekte ve kişisel verilerin kanuni olmayan yollarla ifşası durumunda Kanun’da öngörülen tedbirlere uygun olarak hareket edilmektedir.

Şirket’in halihazırda diğer süreçlerinde aldığı standart teknik ve idari veri güvenliği önlemleri, Özel Nitelikli Kişisel Verilerin işlendiği süreçler açısından uygun olduğu ölçüde alınmaya devam edilecektir. Şirket tarafından alınan veri güvenliği önlemlerine dair detaylı bilgilere, Şirket yönetim standartlarının sağlandığı entegre yönetim sistemi olan QDMS’ten erişilebilen Gediz Elektrik Perakende Satış AŞ Veri Güvenliği Politikası’ndan ulaşılabilir.

6.1. Özel Nitelikli Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Özel Nitelikli Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Şirketimiz Tarafından Alınan İdari Tedbirler

(i) Şirketimiz nezdinde Özel Nitelikli Kişisel Verilere yönelik olarak meydana gelebilecek riskler belirlenmiş ve bunlara karşı alınması gereken önlemler tespit edilmiştir,

(ii) Şirketimiz Özel Nitelikli Kişisel Verilerin işlenmesi ve korunmasına ilişkin olarak çalışanlarını eğitmekte, bilinçlendirilmelerini sağlamakta ve onlara yönelik farkındalık çalışmaları yapmaktadır. 

(iii) Özel Nitelikli Kişisel Verilerin güvenliğini sağlamak amacıyla bu verilere erişen çalışanlarla Çalışan Gizlilik Taahhütnamesi imzalanmaktadır. 

(iv) Çalışanların Özel Nitelikli Kişisel Verilere erişimlerinin kapsamı ve süresi sınırlandırılmaktadır. 

(v) Periyodik olarak yetki kontrolleri gerçekleştirilmektedir. 

(vi) Görev değişikliği olan veya işten ayrılan çalışanların erişim yetkileri derhal kaldırılmaktadır. Bu kapsamda kendilerine tahsis edilen envanter iade alınmaktadır. 

(vii) Kurum’un rehber ve yayınlarında vurguladığı üzere veri minimizasyonu prensibi çerçevesinde Özel Nitelikli Kişisel Veriler mümkün olduğunca azaltılmakta ve gerekli olmayan, güncelliğini yitirmiş ve bir amaca hizmet etmeyen Özel Nitelikli Kişisel Veriler toplanmamakta ve eğer KVKK’dan önceki dönemde toplandıysa Kişisel Veri Saklama ve İmha Politika’sına uygun bir şekilde imha edilmektedir. 

6.2. Özel Nitelikli Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Özel Nitelikli Kişisel Verilere Hukuka Aykırı Erişilmesini Önlemek için Şirketimiz Tarafından Alınan Teknik Tedbirler

Özel Nitelikli Kişiler Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise;

(i) Şirketimiz Özel Nitelikli Kişiler Verileri kriptografik yöntemler kullanarak muhafaza etmektedir. 

(ii) Kriptografik anahtarlar güvenli ve farklı ortamlarda tutulmaktadır.

(iii) Özel Nitelikli Kişisel Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları güvenli olarak loglanmaktadır. 

(iv) Özel Nitelikli Kişisel Verilerin bulunduğu ortamlara ait güvenlik güncellemeleri sürekli takip edilmektedir, Sistemlerimizde düzenli olarak zafiyet taramaları yapılmakta, kullandığımız işletim sistemleri ve yazılımların zayıflıkları tespit edilerek gerekli güncellemeler yapılmaktadır. Periyodik sızma testleri ile siber güvenlik dayanıklılığımız test edilmekte, gerekli iyileştirmeler yapılmaktadır. Yama yönetimi ve yazılım güncellemeleri ile yazılım ve donanımların düzgün bir şekilde çalışması ve sistemler için alınan güvenlik tedbirlerinin yeterli olup olmadığının düzenli olarak kontrol edilmektedir. Siber istihbarat servis hizmetleri ile markalarımız, kurum domain adresleri ve internet hizmetlerimiz sürekli olarak takip edilmektedir

(v) Özel Nitelikli Kişisel Verilere bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmeleri yapılmaktadır, gerekli güvenlik testleri düzenli olarak yapılmakta/yaptırılmaktadır, test sonuçları kayıt altına alınmaktadır.

(vi) Özel Nitelikli Kişisel Verilere uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sistemi sağlanmaktadır. 

Özel Nitelikli Kişiler Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise;

(i) Özel Nitelikli Kişisel Verilerin bulunduğu ortamın niteliğine göre yeterli güvenlik önlemlerinin (elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alındığından emin olunmaktadır. 

(ii) Bu ortamların fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir. 

6.3. Özel Nitelikli Kişisel Verilerin Hukuka Uygun Aktarımını Sağlamak için Şirketimiz Tarafından Alınan Tedbirler

(i) Şirketimiz, Özel Nitelikli Kişisel Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya Kayıtlı Elektronik Posta (KEP) hesabı kullanarak aktarmaktadır. 

(ii) Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmektedir ve kriptografik anahtar farklı ortamda tutulmaktadır.

(iii) Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı gerçekleştirilmektedir. 

(iv) Özel Nitelikli Kişisel Verilerin kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmaktadır ve evrak “gizlilik dereceli belgeler” formatında gönderilmektedir. 

6.4. Özel Nitelikli Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler

Şirketimiz tarafından yürütülen Özel Nitelikli Kişisel Veri işleme faaliyeti kapsamında, Özel Nitelikli Kişisel Verilerin hukuka aykırı olarak yetkisiz kimseler tarafından elde edilmesi durumunda, durum Kurul’un 24.01.2019 tarih ve 2019/10 sayılı kararına  uygun biçimde Kurul’a en geç 72 (yetmiş iki) saat içerisinde bildirilecek ve ihlalden etkilenen ilgili kişilere mümkün olan en kısa süre içerisinde bilgilendirme yapılacaktır.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİNİZİN KORUNMASI

KVKK m. 6, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıdıkları için Özel Nitelikli Kişisel Veriler olarak düzenlemiş ve bu verilerin işlenmesini daha hassas bir korumaya tabi tutmuştur.

Şirketimiz, KVKK’nın 10. maddesine uygun olarak, Özel Nitelikli Kişisel Verilerin elde edilmesi sırasında İlgili Kişiler’i aydınlatmaktadır. Özel Nitelikli Kişisel Veriler, KVKK’ya uygun tedbirler alınarak ve gerekli denetimler yapılarak/yaptırılarak işlenmektedir. 

Özel Nitelikli Kişisel Verilerin işlenmesi için KVKK m. 6’da belirtilen şartlardan herhangi birinin varlığı durumunda İlgili Kişiler’in açık rızası aranmamaktadır. Hangi nedene dayanırsa dayansın, işleme süreçlerinde daima genel veri işleme ilkeleri dikkate alınır ve buna ilkelere uygunluk sağlanır.

Şirketimiz, Özel Nitelikli Kişisel Verilerin güvenliğinin sağlanması için özel önlemler almaktadır. Veri minimizasyonu ilkesi gereği, Özel Nitelikli Kişisel Veriler, ilgili iş süreci için gerekli olmadığı sürece toplanmamakta ve yalnızca gerekli durumlarda işlenmektedir. Özel Nitelikli Kişisel Veri işlenmesi durumunda kanuni yükümlülüklere uymak ve KVK Kurulu tarafından belirlenen önlemlere uyum sağlamak için gerekli görülen teknik ve idari tedbirler alınmaktadır. 

8. EK 1 – Tanımlar

1. Giriş

Türkiye Cumhuriyeti Anayasası’nın 20. maddesi uyarınca, herkes kendisi ile ilgili kişisel verilerin korunmasını talep etme hakkına sahiptir. Bu hak, kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar.

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVK Kanunu”) ile kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerini korunması ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esaslar düzenlenmiştir. Bu doğrultuda hazırlanan bu Politika’nın amacı KVK Kanunu düzenlemelerine ilişkin yükümlülüklere uyumun sağlanmasıdır.

İşbu Politika’nın amacını, Politika ile kefil, müşteri, ziyaretçi, tedarikçi ve üçüncü kişilerin kişisel verilerinin korunması oluşturmaktadır. Çalışanlarımızın kişisel verilerinin korunması, bu Politika’daki esaslarla paralel olarak kaleme alınan Çalışan Kişisel Verilerinin Korunması ve İşlenmesine İlişkin Politika altında yönetilmektedir.

KVK Kanunu ve ilgili diğer mevzuat ile Kişisel Verilerin Korunması ve İşlenmesi Politikası arasında çelişki bulunması halinde, yürürlükte bulunan mevzuat uygulama alanı bulacaktır.

2. Amaç

Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere, kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla Gediz Elektrik Perakende Satış AŞ (“ Şirket”) Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) hazırlanmıştır.

Politika ile Şirket tarafından yürütülen faaliyetlerin KVK Kanunu’nda yer alan ilkelere uyumlu olarak sürdürülmesi ve geliştirilmesi benimsenmiştir.

3. Kapsam

İşbu Politika’nın kapsamı dâhilinde kişisel verileri işlenen veri sahipleri aşağıdaki şekilde kategorize edilmiştir:

Müşteriler Herhangi bir sözleşmesel ilişki olup olmadığına bakılmaksızın Şirket  tarafından yürütülen faaliyetler kapsamında iş ilişkileri dolayısıyla kişisel verileri elde edilen gerçek kişiler

Üçüncü Kişiler Şirketimizin yukarıda bahsi geçen taraflarla arasındaki ticari işlem güvenliğini sağlamak veya bahsi geçen kişilerin haklarını korumak ve menfaat temin etmek üzere bu kişilerle ilişkili olan üçüncü taraf gerçek kişiler (Örn. kefil, refakatçi, aile bireyleri ve yakınlar) veya Politika kapsamında açıkça belirtilmese de Şirketimizin kişisel verilerini belirli bir amaçla işlemek durumunda olduğu tüm gerçek kişiler (Örn. eski çalışanlar)

Çalışan Adayı / Stajyer Adayı Şirketimize herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini Şirketimizin incelemesine açmış olan gerçek kişiler

İş Birliği İçerisinde Olduğumuz Kurumların Çalışanları, Hissedarları, Yetkilileri Şirketimizin her türlü iş ilişkisi içerisinde bulunduğu kurumlarda (iş ortağı, tedarikçi vb. ancak bunlarla sınırlı olmaksızın) çalışan, bu kurumların hissedarları ve yetkilileri dahil olmak üzere, gerçek kişiler 

Ziyaretçi Şirketimizin sahip olduğu veya bir organizasyon gerçekleştirdiği fiziksel tesislere (ofisler vb.) çeşitli amaçlarla girmiş olan veya internet sitelerimizi ziyaret eden gerçek kişiler

4. Tanımlar

İşbu Politika’da kullanılan tanımlar aşağıda yer almaktadır:

Açık rıza Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza

Anonim hale getirme Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi

Tedarikçi Şirket’e ürün ya da hizmet sunan gerçek kişiler

Kişisel sağlık verisi Kimliği belirli ya da belirlenebilir gerçek kişinin fiziksel ve ruhsal sağlığına ilişkin her türlü bilgi ile kişiye sunulan sağlık hizmetiyle ilgili bilgiler

Kişisel verilerin işlenmesi Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla

elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi,

değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, 

devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem

KVK Kanunu 6698 sayılı Kişisel Verilerin Korunması Kanunu

KVK Kurulu Kişisel Verileri Koruma Kurulu

KVK Kurumu Kişisel Verileri Koruma Kurumu

Özel nitelikli kişisel veri Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri

TCK 5237 sayılı Türk Ceza Kanunu

Veri işleyen Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi

Kişisel veri sahibi KVK Kanunu’nda “ilgili kişi” olarak addedilen, kişisel verisi işlenen gerçek kişi

Kişisel Veri Sahibi Başvuru Formu Şirket bünyesinde kişisel verileri işlenen kişisel veri sahiplerinin KVK Kanunu’nun 11. maddesinde açıklanan haklarına ilişkin başvurularını kullanırken yararlanacakları başvuru formu

Veri sorumlusu Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi

Veri Sorumluları Sicili Kişisel Verileri Koruma Kurulu gözetiminde Başkanlık tarafından tutulan veri sorumluları sicili

Veri Envanteri Şirket’in iş süreçlerine bağlı olarak gerçekleştirmekte olduğu kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, kişisel verilerin aktarıldığı alıcı grubu ve ilgili kişisel veri sahibi grubuyla ilişkilendirerek oluşturduğu ve detaylandırdığı envanter

5. Kişisel Verilerin İşlenmesine İlişkin Genel İlkeler

KVK Kanunu’nun 3. maddesi uyarınca, kişisel verilerinin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem kişisel verilerin işlenmesi kapsamına girmektedir.

Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:

a) Hukuka ve dürüstlük kurallarına uygun olma

Şirketimiz, Anayasa başta olmak üzere, KVK Kanunu ve ilgili mevzuata uygun olarak, kişisel verileri işleme faaliyetlerini hukuka ve dürüstlük kurallarına uygun olarak yürütür.

b) Doğru ve gerektiğinde güncel olma

Şirketimiz tarafından kişisel verilerin işlenmesi faaliyeti yürütülürken kişisel verilerin

doğruluğunu ve güncelliğini sağlamaya yönelik her türlü idari ve teknik tedbirler alınmaktadır.

c) Belirli, açık ve meşru amaçlar için işlenme

Şirketimiz, kişisel verilerin işlenmesi faaliyetine başlamadan önce kişisel veri işleme amacını

açık ve kesin olarak belirlemektedir.

d) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma

Şirketimiz tarafından kişisel veriler, belirlenen amaçların gerçekleştirilebilmesi için gerektiği ölçüde işlenmektedir. Sonradan kullanılabileceği varsayımı ile veri işleme faaliyeti yürütülmemektedir.

e) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

Şirketimiz, kişisel verileri, KVK Kanunu ve ilgili ve mevzuatta öngörülen veya veri işleme faaliyetine ilişkin amaçların gerektirdiği süre ile sinirli olarak saklamaktadır.

6. Kişisel Verilerin İşlenme Şartları

Şirketimiz, kişisel veri sahibinin açık rızası ile veya KVK Kanunu’nun 5. ve 6. maddelerinde öngörülen

hallerde açık rıza olmaksızın kişisel verileri ve özel nitelikli kişisel verileri işleyebilmektedir.

6.1. Kişisel Verilerin İşlenmesi 

Şirketimiz kişisel veri işleme faaliyetlerini KVK Kanunu’nun 5. maddesinde ortaya konulan veri işleme

şartlarına uygun olarak yürütmektedir:

a. Kanunlarda açıkça öngörülmesi.

b. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayati veya beden bütünlüğünün korunması için zorunlu olması.

c. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

d. Şirketimizin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

e. Kişisel veri sahibinin kendisi tarafından alenileştirilmiş olması.

f. Bir hakkin tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

g. Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Şirketimizin meşru menfaatleri için veri işlenmesinin zorunlu olması.

6.2. Özel Nitelikli Kişisel Verilerin İşlenmesi

Hukuka aykırı olarak işlendiklerinde ayrımcılık yaratma riski taşıyan özel nitelikli kişisel verilerin işlenmesine, Şirket tarafından ayrıca önem verilmektedir. Bu kapsamda, Şirket tarafından, Çalışanlar’ın özel nitelikli kişisel verilerinin işlemesinde öncelikle veri işleme şartlarının var olup olmadığı tespit edilmekte, hukuka uygunluk şartının varlığından emin olunduktan sonra veri işleme faaliyeti yürütülmektedir.

Özel nitelikli kişisel verilerin işlenmesi; 

a. İlgili kişinin açık rızasının olması,

b. Kanunlarda açıkça öngörülmesi,

c. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

d. ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

e. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

f. Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

g. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

h. Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.

6.3 Kişisel Verilerinizin İşlenmesinin Hukuki Sebebi

Kişisel verilerinizi başta 6102 sayılı Türk Ticaret Kanunu, 6098 sayılı Türk Borçlar Kanunu, 213 sayılı Vergi Usul Kanunu, elektronik ticaret mevzuatı olmak üzere KVK Kanunu m. 5’te düzenlenen aşağıdaki hukuki sebepler çerçevesinde işliyoruz: 

o KVK Kanunu ve sair mevzuat uyarınca açık rızanızı almamız gereken durumlarda rızanıza istinaden işliyoruz (Bu durumda rızanızı istediğiniz zaman geri çekebileceğinizi hatırlatmak isteriz)

o Geçerli mevzuatın izin verdiği herhangi bir durumda

o Herhangi bir kişinin hayati önem taşıyan menfaatlerini koruma zorunluluğu olduğunda

o Sizinle sözleşme kurmamız, sözleşmenin ifa edilmesi ve yükümlülüklerimizi bir sözleşme kapsamında yerine getirmemiz gereken durumlarda

o Hukuki yükümlülüklerimizi yerine getirme,

o Kişisel verilerinizin sizin tarafınızdan alenileştirilmiş olması halinde

o Bir hakkın tesisi veya korunması için veri işlememizin zorunlu olması, hukuki haklarımızı kullanma ve aleyhimize açılan hukuki taleplere karşı savunma yapma

o Temel hak ve özgürlüklerinize zarar vermemek koşulu ile meşru menfaatlerimizin gerektirdiği durumlarda

7. Kişisel Verilerin Güvenliğinin ve Gizliliğinin Sağlanması

Şirketimiz, KVK Kanunu’nun 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır.

7.1. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişimi Engellemek İçin Alınan Teknik Tedbirler

Şirket kişisel verilerinizi korumak amacıyla her türlü teknik, teknolojik güvenlik önlemlerini almış olup olası risklere karşı kişisel verilerinizi koruma altına almıştır. Söz konusu tedbirler aşağıda sıralanmıştır:

- Teknolojinin imkân verdiği ölçüde teknik önlemlerin alınması

- Teknik konularda uzman kişilerin istihdam edilmesi

- Düzenli aralıklarla alınan önlemlerin uygulanmasına yönelik denetim yapılması

- Güvenliğin sağlanması için gerekli yazılım ve alt yapının oluşturulması

- Şirket bünyesinde işlenmekte olan verilere erişimin sınırlandırılması

- Kişisel verilerin güvenli bir biçimde saklanmasını sağlamak için hukuka uygun bir şekilde yedekleme programının kullanılması

- Virüs koruma sistemlerini içeren yazılımların kullanılması

7.2. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişimi Engellemek İçin Alınan İdari Tedbirler

- KVK Kanunu’na ilişkin şirket çalışanlarının eğitilmesi ve bilinçlendirilmesi,

- Kişisel veri aktarımının söz konusu olduğu durumlarda, kişisel verilerin aktarıldığı kişiler ile akdedilmiş sözleşmelere kişisel verilerin aktarıldığı tarafın veri güvenliğini yerine getireceğine ilişkin kayıt eklenmesinin sağlanması,

- KVK Kanunu’na uyum için yerine getirilmesi gerekenlerin tespit edilmesi ve uygulamaları için iç politikaların hazırlanması,

- Kişisel Verileri Koruma Kurumun’un rehber ve yayınlarında vurguladığı üzere veri minimizasyonu prensibi çerçevesinde kişisel veriler mümkün olduğunca azaltılmakta ve gerekli olmayan, güncelliğini yitirmiş ve bir amaca hizmet etmeyen kişisel veriler toplanmamakta ve eğer KVK Kanunu’ndan önceki dönemde toplandıysa Kişisel Veri Saklama ve İmha Politika’sına uygun bir şekilde imha edilmektedir. 

- Erişim yetkileri sınırlandırılmakta, yetki matrisi oluşturulmakta ve yetkiler düzenli olarak gözden geçirilmektedir. Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

- Şirket tarafından, kişisel verilerin korunması ve güvenliğinin sağlanması kapsamında alınan teknik ve idari tedbirlerin işleyişi denetlenmekte ve işleyişin devamını sağlayacak uygulamalar yürütülmektedir. Bu kapsamda gerçekleştirilen denetim faaliyetlerinin sonuçları, Şirket bünyesinde ilgili departmana raporlanmaktadır. Denetim sonuçları doğrultusunda verilerin korunmasına ilişkin alınan tedbirlerinin geliştirilmesini ve iyileştirilmesini sağlayacak faaliyetler yürütülür.

7.3. Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, Şirketimiz bu durumu en kısa sürede ilgili veri sahibine ve Kurul’a bildirecektir.

8. Kişisel Verilerin İşlenme Amaçları ve Saklama Süreleri

8.1. Kişisel Verilerin İşlenme Amaçları

Kişisel veriler, Şirket tarafından aşağıdaki amaçlar kapsamında işlenebilmekte olup, bu amaçların ve ilgili yasal sürelerin öngördüğü müddetçe saklanabilmektedir. 

Kişisel Veri İşleme Amaçları

• Elektrik perakende satış faaliyetlerinin yürütülmesi

• Yasal ve idari yükümlülükler kapsamında Şirket’in yürütmekle sorumlu olduğu faaliyetlerin gerçekleştirilmesi,

• Veri sahibinin mevzuattaki veya Şirket bünyesince kabul gören kural ve politikalardaki değişiklikler hususunda aydınlatılması,

• Kanuna aykırı işlemlerin soruşturulması, tespiti, bildirilmesi ve önlenmesi ile birlikte, hukuki sürece tabi faaliyetlerin yönetilmesi ve yürütülmesi,

• Meşru menfaatlerin korunması,

• Sözleşmelerin müzakeresi, oluşturulması ve ifası,

• Talep ve sorular kapsamındaki durum tespitinin yapılması ve ilgili kişiye geri dönüşün sağlanması,

• Tanıtım faaliyetlerinin yürütülmesi ile birlikte, anket ve oylamalar ile veri sahiplerinin görüşünün alınması ve müşteri / çalışan memnuniyetinin sağlanması,

• Birimler arasındaki iş akışının ve koordinasyonun sağlanmasıyla birlikte verimliliğin artırılması,

• İş başvurusu, aday değerlendirme ve işe alım süreçlerinde adayların ilgili pozisyona uygunluğunun incelenmesi ile birlikte bu adaylarla ve başvuruyla bağlantılı kişilerle iletişime geçilmesi,

• Ziyaret kaydının alınması ve kargo takibi yapılması,

• Şirket’e ait veya Şirket tarafından kullanılan sayısal sistemlerin ve fiziki ortamların güvenliğinin sağlanması ve ilgili değerlendirmelerin yapılması suretiyle gerekli önlemlerin alınması,

• Sunulan ürün ve hizmetlerden müşterileri faydalandırmak için iş birimleri tarafından gerekli çalışmaların yapılması,

• Kurumsal sürdürülebilirlik faaliyetlerinin planlanması ve icrası,

• Şirketler hukuku işlemlerinin gerçekleştirilmesi,

• İş ilişkisi içerisinde olan kişilerin hukuki ve ticari güvenliğinin sağlanması,

• Ticari ve iş stratejilerinin belirlenmesi ve uygulanması amaçlarıyla ticari faaliyetlerin yürütülmesidir.

8.2. Kişisel Verilerin Saklama Süreleri

Kişisel verilerinizi yalnızca toplandıkları amacı yerine getirmek için gerekli süre boyunca saklarız. Bu süreleri her bir iş süreci özelinde ayrı ayrı belirliyoruz ve ilgili sürelerin sona ermesinin sonunda kişisel verilerinizi saklamamız gereken başkaca bir sebep bulunmuyorsa kişisel verilerinizi KVK Kanunu’na ve Kişisel Veri Saklama ve İmha Politika’sına uygun bir şekilde imha ediyoruz. 

Kişisel verilerinizin imha sürelerini belirlerken aşağıdaki kriterleri dikkate alıyoruz: 

• İlgili veri kategorisinin işlenme amacı kapsamında veri sorumlusunun faaliyet gösterdiği sektörde genel teamül gereği kabul edilen süre,

• İlgili veri kategorisinde yer alan kişisel verinin işlenmesini gerekli kılan ve ilgili kişiyle tesis edilen hukuki ilişkinin devam edeceği süre,

• İlgili veri kategorisinin işlenme amacına bağlı olarak veri sorumlusunun elde edeceği meşru menfaatin hukuka ve dürüstlük kurallarına uygun olarak geçerli olacağı süre,

• İlgili veri kategorisinin işlenme amacına bağlı olarak saklanmasının yaratacağı risk, maliyet ve sorumlulukların hukuken devam edeceği süre,

• Belirlenecek azami sürenin ilgili veri kategorisinin doğru ve gerektiğinde güncel tutulmasına elverişli olup olmadığı,

• Veri sorumlusunun hukuki yükümlülüğü gereği ilgili veri kategorisinde yer alan kişisel verileri saklamak zorunda olduğu süre,

• Veri sorumlusu tarafından, ilgili veri kategorisinde yer alan kişisel veriye bağlı bir hakkın ileri sürülmesi için belirlenen zamanaşımı süresi.

9. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi

KVK Kanunu’nun 7. maddesi uyarınca, kişisel verilerin ilgili mevzuata uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler re’sen veya kişisel veri sahibinin talebi üzerine Şirketimiz tarafından silinir, yok edilir veya anonim hale getirilir.

Bu hususa ilişkin usul ve esaslar KVK Kanunu ve bu Kanun dayanak alınarak oluşturacak ikincil mevzuata göre yerine getirilecektir.

9.1. Kişisel Verilerin Silinmesi ve Yok Edilmesi Teknikleri

Şirketimiz ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir. Şirketimiz tarafından en çok kullanılan silme veya yok etme teknikleri aşağıda sıralanmaktadır:

a. Fiziksel Olarak Yok Etme

Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler silinirken/yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır.

b. Yazılımdan Güvenli Olarak Silme

Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken/yok edilirken; bir daha kurtarılamayacak biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır.

c. Uzman Tarafından Güvenli Olarak Silme

Şirketimiz bazı durumlarda kendisi adına kişisel verileri silmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından bir daha kurtarılamayacak biçimde güvenli olarak silinir/yok edilir.

9.2. Kişisel Verilerin Anonim Hale Getirilmesi Teknikleri

Kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir

gerçek kişiyle ilişkilendirilemeyecek bir hale getirilmesini ifade eder.

a. Maskeleme

Veri maskeleme ile kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir.

Örnek: Kişisel veri sahibinin tanımlanmasını sağlayan isim, TC Kimlik No vb. bilginin çıkartılması yoluyla kişisel veri sahibinin tanımlanmasının imkânsız hale geldiği bir veri setine dönüştürülmesi.

b. Toplulaştırma

Veri toplulaştırma yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmektedir.

Örnek: Müşterilerin yaşlarının tek tek göstermeksizin x yaşında y kadar müşteri bulunduğunun ortaya konulması.

c. Veri Türetme

Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır.

Örnek: Doğum tarihleri yerine yaşların belirtilmesi; açık adres yerine ikamet edilen bölgenin belirtilmesi.

d. Veri Karma

Veri karma yöntemi ile kişisel veri seti içindeki değerlerinin karıştırılarak değerler ile kişiler arasındaki bağın kopartılması sağlanmaktadır.

Örnek: Ses kayıtlarının niteliğinin değiştirilerek sesler ile veri sahibi kişinin ilişkilendirilemeyecek hale getirilmesi.

10. Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarım Amaçları

Kişisel veri aktarımlarında uygulanacak usul ve esaslar KVK Kanunu’nun 8. ve 9. Maddelerinde düzenlenmiş olup kişisel veri sahibinin kişisel verileri ve özel nitelikli kişisel verileri yurtiçi ve yurtdışındaki üçüncü kişilere aktarılabilmektedir. Hizmetlerin yerine getirilmesi için, kişisel verileriniz Kanun ve sair mevzuat ile kanunlara ilişkin sair yönetmelikler, denetleyici ve düzenleyici kurum ve kuruluşların düzenlemeleri ile kamu otoritelerinin zorunlu kıldığı haller dâhil olmak fakat bunlarla sınırlı olmamak üzere, Şirket’in hizmet aldığı üçüncü kişiler, anlaşmalı kurumlar, hukuki uyuşmazlıkların çözümü amacıyla avukatlar, vekâlet ilişkisi içerisinde olduğumuz gerçek ve tüzel kişiler, iş ortaklarımız ve diğer üçüncü kişilerle paylaşılabilecektir. Ancak, her halükarda istisna halleri hariç olmak üzere kişisel veriler kişisel veri sahibinin açık rızası olmaksızın aktarılamaz.

10.1. Kişisel Verilerin Yurt İçinde Aktarımı

KVK Kanunu’nun 8. maddesine uygun olarak, kişisel verilerin yurt içinde aktarımı işbu Politika’nın “Kişisel Verilerin İşlenme Şartları” başlıklı 6. bölümünde belirtilen koşullardan birinin sağlanmış olması kaydıyla mümkün olacaktır.

10.2. Kişisel Verilerin Yurt Dışında Aktarımı

Şirket tarafından, KVK Kanunu’nun 9. maddesi gereğince kişisel veriler;

(i) Aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından verilmiş bir yeterlilik kararı bulunması halinde veya,

(ii) İlgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde yurtdışına aktarılabilir:

a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

(iii) Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

(iv) Veri sorumluları ve veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir:

a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.

10.3. Şirketimiz Tarafından Kişisel Verilerin Aktarıldığı Kişi Grupları

Şirketimiz, KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak ve işbu Politika kapsamı dâhilinde olan kişisel veri sahiplerinin kişisel verileri aşağıda belirtilen kişi gruplarına belirtilen amaçlar çerçevesinde aktarabilir:

KİŞİ GRUPLARI TANIM AKTARIM AMACI

Hukuken Yetkili Kamu Kurum ve Kuruluşları Enerji Piyasası Düzenleme Kurumu (EPDK), Enerji Piyasaları İşletme A.Ş. (EPİAŞ), Türkiye Elektrik İletim A.Ş. (TEİAŞ), Türkiye Elektrik Dağıtım A.Ş. (TEDAŞ), Türkiye İstatistik Kurumu (TÜİK), T.C. Enerji Bakanlığı, Türkiye İş Kurumu, Türkiye Cumhuriyeti Aile, Çalışma ve Sosyal Hizmetler Bakanlığı, Sosyal Güvenlik Kurumu, İlçe Sağlık Müdürlüğü, belediyeler gibi tahdidi olmamak üzere resmi ve/veya idari merciler 

İlgili kamu kurum ve

Kuruluşlarının yetkisi 

çerçevesinde talep ettiği amaçla sınırlı olarak, bu kuruluşların nezdinde bilgilendirme, raporlama vb. yükümlülüklere uyulması ve taleplerinin yerine getirilmesi.

Hukuken Yetkili Özel Hukuk Kişileri İlgili mevzuat hükümlerine uygun

olarak şirketimizden bilgi ve belge almaya yetkili özel hukuk kişileri İlgili özel hukuk kişilerinin

hukuki yetkisi dâhilinde talep ettiği amaçla sınırlı olarak.

Hizmet sağlayıcılar Bulut bilişim hizmeti sunan firmalar veya veri tabanı hizmeti sunan firmalar, sunucular İşlevler ve hizmetlerin en verimli şekilde ve güncel teknolojilere uygun yürütülmesi amacıyla sınırlı olarak.

Profesyonel Danışmanlar • Bankalar

• Sigorta şirketleri

• Denetçiler

• Avukatlar

• Muhasebeciler

• Nakliye Firmaları,

• Depolar

• Kargo Şirketleri

• Servis Firmaları

• Seyahat Acenteleri İş faaliyetlerini sürdürmek amacıyla, ihale süreçlerinin yürütülmesi, arabuluculuk ve tahkim işlemlerinin yürütülmesi ve tedarikçilerimizle olan ilişkilerimizin yürütülmesi amaçlarıyla sınırlı olarak.

11. Şirketimizin Aydınlatma Yükümlülüğü

Şirketimiz, KVK Kanunu’nun 10. maddesine uygun olarak, kişisel verilerin toplanması sırasında kişisel veri sahiplerini aydınlatmalıdır. Bu kapsamda, Şirketimiz aşağıdaki konularda aydınlatma yükümlülüğünü yerine getirmektedir:

a. Veri sorumlusu sıfatıyla Şirketimizin unvanı

b. Kişisel verilerin hangi amaçla işleneceği

c. İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği

d. Kişisel veri toplamanın yöntemi ve hukuki sebebi

e. Kişisel veri sahibinin hakları

12. Kişisel Veri Sahiplerinin Hakları ve Bu Hakların Kullanılması

KVK Kanunu’nun 13. maddesine uygun olarak, kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine yapılması gereken bilgilendirme işbu Politika’nın yanı sıra Şirket Kişisel İlgili Kişi Başvuru Formu aracılığıyla gerçekleştirilmektedir. Kişisel veri sahipleri, kişisel verilerinin işlenmesi faaliyetlerine ilişkin şikâyet veya taleplerini ilgili formda belirtilen esaslar çerçevesinde tarafımıza ulaştırabilir.

12.1. Başvuru Hakkı

KVK Kanunu’nun 11. maddesi uyarınca, kişisel verileri işlenen herkes Şirketimize başvurarak kendisi ile ilgili aşağıda yer alan konularla ilgili taleplerde bulunabilir:

a. Kişisel verilerinin işlenip işlenmediğini öğrenme,

b. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

c. Kişisel verilerinin işlenme amacı ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

d. Kişisel verilerinin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenme,

e. Kişisel verilerinin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

f. Kişisel verilerinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde bunların silinmesini, yok edilmesini veya anonim hale getirilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

g. İşlenen kişisel verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle veri sahibinin aleyhine bir sonucun ortaya çıkmasına itiraz etme,

h. Kişisel verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.

12.2. Başvuru Hakkının Kapsamı Dışında Kalan Durumlar

KVK Kanunu’nun 28. maddesi gereğince, aşağıdaki hallerde kişisel veri sahiplerinin haklarını ileri sürmeleri mümkün olmayacaktır:

a. Kişisel verilerinin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi,

b. Kişisel verilerinin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,

c. Kişisel verilerinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,

d. Kişisel verilerinin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum vekuruluşları tarafından yürütülen önleyici, koruyucu ve istihbarî faaliyetler kapsamında işlenmesi,

e. Kişisel verilerinin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

KVK Kanunu’nun 28. maddesinin 2. fıkrası gereğince kişisel veri sahiplerinin haklarını (zararın giderilmesini talep etme hakkı hariç olmak üzere) ileri sürmeleri mümkün olamayacaktır:

a. Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.

b. İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.

c. Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile

d. kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.

e. Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

12.3. Cevap Verme Usulü

KVK Kanunu’nun 13. maddesine uygun olarak Şirketimiz, kişisel veri sahibinin yapmış olduğu başvuru taleplerini, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandıracaktır.

Kişisel veri sahibinin başvurusu aşağıda belirtilen durumlarda reddedilebilecektir:

a. Diğer kişilerin hak ve özgürlüklerini engellemesi

b. Orantısız çaba gerektirmesi

c. Bilginin kamuya açık bir bilgi olması

d. Başkalarının gizliliğini tehlikeye atması

e. KVK Kanunu uyarınca kapsam dışında kalan hallerden birinin mevcut olması

13. Şirket İçerisinde Yapılan Kişisel Veri İşleme Faaliyetleri ile İnternet Sitesi Üzerinde Yapılan Veri İşleme Faaliyetleri

13.1.      Şirket İçerisinde Kamera ile İzleme

Şirketimizin ve diğer kişilerin güvenliğini sağlamaya ilişkin menfaatlerini korumak için Şirketimiz içerisinde kamera ile izleme gerçekleştirilmektedir.

Kamera bulunan alanlara, kameraların izleme alanlarına, kayıtların tutulma sürelerine ilişkin bir prosedür hazırlanmış ve Şirketimizde uygulama alınmıştır. kamera yerleştirilmeden önce bu prosedür dikkate alınmakta ve kamera daha sonra yerleştirilmektedir.

Kişinin mahremiyetine müdahale sonucu doğurabilecek alanlarda izleme söz konusu olmamaktadır. Güvenlik kamerası kayıtlarına yalnızca sınırlı sayıda Şirket çalışanımız ve ihtiyaç duyulması halinde tedarikçi konumunda bulunan güvenlik şirketi çalışanları erişebilmektedir. Kayıtlara erişimi olan söz konusu kişiler imzaladıkları gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

13.2. Şirketi Ziyaret Eden Müşteri Giriş – Çıkışları

Şirketimizi ziyaret eden misafirlerimizin giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyeti gerçekleştirilmektedir. Şirketimize gelen kişilerin ad-soyad bilgisi elde edilirken söz konusu veriler yalnızca bu amaçla işlenmekte ve ilgili kişisel veriler fiziki ortamda kayıt sistemine kaydedilmektedir.

13.3.       İnternet Sitesi Ziyaretçileri

Şirketimize ait internet sitesini ziyaret eden kişilerin ziyaret amaçlarıyla uygun bir şekilde ziyaretlerini gerçekleştirebilmeleri için kendilerine özelleştirilmiş içerikler gösterilebilmesi ve çevrimiçi reklamcılık faaliyetlerinde bulunulabilmesi için (teknik vasıtalar ile örneğin cookie) site içerisindeki internet hareketleri kaydedilmektedir. Şirketimizin bu faaliyetleri ile ilgili detaylı açıklamalar internet sitemizde Gizlilik Politikaları metinleri içerisinde yer almaktadır.

İşbu Politika, gerekli görüldüğü hallerde Şirket tarafından revize edilebilir. Revizyonun söz konusu olduğu hallerde, Politika’nın en güncel haline Şirket’in internet sitesinde yer verilecektir.