Kişisel Veri Saklama ve İmha Politikası

1. Amaç

İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), Mesleki Yeterlilik Kurumu ( dokümanda bundan sonra “MYK” anılacaktır )  ’nın kişisel veri saklama ve imha faaliyetlerine yönelik MYK tarafından benimsenen ve uygulanan yöntemler ve kurallar konusunda açıklamalarda bulunmak amacı ile oluşturulmuştur.

Bu politika, MYK bünyesinde tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin toplanması, kaydedilmesi, saklanması, silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin sürecin belirlenmesi,  çalışanlar, tedarikçiler ve müşteriler tarafından uygulanacak kişisel veri güvenliği ile ilgili tedbirlerin belirlenmesi, rol ve sorumlulukların açıklanması amacıyla hazırlanmıştır. 

2. Kapsam

MYK’nın gerçekleştirdiği tüm kişisel veri saklama ve imha faaliyetleri, işbu Politika”ya uygun olarak gerçekleştirilir.

1.    

2.    

3. Uygulama

İşbu Politika, MYK/nın kişisel verilerini işlemekte olduğu tüm ilgili kişilere (çalışan adayları, çalışanlar, üyeler, ziyaretçiler, gerçek kişi tedarikçi ve iş ortakları, tedarikçi ve iş ortaklarının çalışanları ve ilgili diğer 3.kişiler) ait kişisel verileri kapsamakta olup MYK tarafından yönetilen tüm kişisel veri kayıt ortamları ile kişisel veri işleme süreçlerinde işbu Politika uygulanır.

Kişisel verilerin işlendikleri amaç için gerekli olan azami süre ile kişisel verilerin toplanması, saklanması, işlenmesi ve imhası sürecinde dikkat edilmesi gereken minimum gereksinimlere yönelik açıklamalar Politika içeriğinde yer almaktadır.

3.       

4. Kısaltmalar ve Tanımlar

KVKK dokümanları içerisinde kullanılan kısaltmalar ve tanımlar KVKK.KL01 KVKK Kısaltmalar ve Tanımlar Kılavuzu’nda yer almaktadır.

5. Görev ve Sorumluluk

İşbu Politika’nın hazırlanması ve güncel tutulması ile MYK’daki faaliyetlerin Politika’ya uygun gerçekleştirildiğinin denetlenmesi faaliyetlerinden KVK Komitesi sorumludur. KVK Komitesi’nin görev ve sorumlukları KVKK.GT.01 Kişisel Verilerin Yönetimi ve Korunması Komitesi Görev Tanımları’nda belirtilmektedir.

6. Politika İçeriği

7.         

1.1         

2.1         

3.1         

4.1         

5.1         

6.1. Kayıt Ortamları

Kişisel verilerin bulunduğu ortamlar, elektronik ve fiziksel olmak üzere iki başlık altında ele alınmaktadır. Elektronik ortamlar arasında; dizinler ve dijital dokümanlar (dijital ortamda tutulan dosya, doküman ya da klasörler), harici veri taşıyan ortamlar (hard diskler, DVD, CD, vb.), istemci sistemleri (taşınabilir, dizüstü bilgisayarlar, vb.), fiziki ve sanal sunucu sistemleri ile veri tabanları, bunların yedekleri ve uygulama yazılımları yer almaktadır.  Fiziksel ortamlar ise; fiziksel arşivler, basılı dokümanlar ve toplantı odaları gibi ortak kullanılan alanlar olarak değerlendirilebilir. Kayıt ortamlarının detaylı listesi Verim’de Kişisel Veri Envanteri’nde yer almaktadır.

Veri sahiplerine ait kişisel veriler, MYK tarafından aşağıdaki tabloda listelenen ortamlarda KVKK hükümleri, ilgili mevzuatlar ve uluslararası veri güvenliği hususları dikkate alınarak güvenli bir şekilde saklanmaktadır.

Tablo 1: Kişisel veri saklama ortamları

6.2. Saklama ve İmhasını Gerektiren Sebeplere İlişkin Açıklamalar

1.  

2.  

3.  

4.  

5.  

1.    

2.    

3.    

4.    

5.    

6.    

6.1.  

6.2.  

6.2.1. Saklamaya İlişkin Açıklamalar

Kişisel veriler, Kanun’un 4 maddesinde belirtilen başta “kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi” ilkesi ve diğer ilkeler göz önünde bulundurularak saklanır. 

Kişisel veriler, 

•      İnsan kaynakları süreçlerinin yürütülmesi, çalışan haklarının ve yan haklarının planlanması ve hizmet sözleşmelerinin ifası,
•      MYK’nın iş ortakları ve her türlü mal veya hizmet alımı yaptığı tedarikçiler ile süreçlerin işletilebilmesi, gerekli durumlarda bu kişilerle veya iş ilişkisi içerisine girilebilecek diğer kişilerle iletişim kurulabilmesi,
•      MYK’nın ve çalışanlarının güvenliğinin sağlanabilmesi,
•      MYK’nın taraf olduğu her türlü sözleşme veya ilgili mevzuatlardan doğan hak ve taleplerini kullanabilmesi,
•      Hukuki yükümlülüklerin yerine getirilebilmesi,

amaçlarıyla, fiziki veya elektronik ortamlarda güvenli bir biçimde Kanun ve diğer ilgili yönetmelikte belirtilen sınırlar çerçevesinde saklanır.

MYK’nın bünyesinde Kişisel veriler, Kanun’un 5 ve 6.maddesinde sayılan aşağıdaki hukuki sebepler çerçevesinde işlenir:

•       Kişisel verilerin; MYK’nın taraf olduğu sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
•       Bir hakkın tesisi, kullanılması veya korunması için MYK tarafından veri işlemenin zorunlu olması,
•       İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, MYK’nın meşru menfaatleri için veri işlenmesinin zorunlu olması,
•       İlgili kişinin kendisi tarafından alenileştirilmiş olması,
•       Kişisel verilerin MYK’nın bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,
•       Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
•       İşleme için ilgili kişinin açık rızasının olması gereken saklama faaliyetleri açısından ilgili kişinin açık rızası,
•       Özel Nitelikli Kişisel Veri’ler için ise, kişinin açık rızası veya Kanun’un 6.maddesinde sayılan diğer istisnalardan birinin var olması.

6.2.2.1 Saklamayı Gerektiren İşleme Amaçları

MYK, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar.

•       Bilgi güvenliği süreçlerinin yürütülmesi
•       Çalışan adaylarının başvuru süreçlerinin yürütülmesi
•       Çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi
•       Çalışanlar için yan haklar ve menfaatleri süreçlerinin yürütülmesi
•       Eğitim faaliyetlerinin yürütülmesi
•       Erişim yetkilerinin düzenlenmesi
•       Erişim yetkilerinin yürütülmesi
•       Faaliyetlerin mevzuata uygun yürütülmesi
•       Fiziksel mekan güvenliğinin temini
•       Hukuk işlerinin takibi ve yürütülmesi
•       İç denetim/ soruşturma / istihbarat faaliyetlerinin yürütülmesi
•       İş faaliyetlerinin yürütülmesi / denetimi
•       İşe alım faaliyetlerinin yürütülmesi
•       Mal / hizmet satın alım süreçlerinin yürütülmesi
•       Sözleşme süreçlerinin yürütülmesi
•       Talep / şikayetlerin takibi
•       Tedarik zinciri yönetimi süreçlerinin yürütülmesi
•       Ücret politikasının yürütülmesi
•       Veri sorumnlusu operasyonlaırnın güvenliğinin temini
•       Ziyaretçi kayıtlarının oluşturulması ve takibi
•      İnsan kaynakları süreçlerini yürütmek.
•      Kurumsal iletişimi sağlamak.
• •    Kurum güvenliğini sağlamak,
• •    İstatistiksel çalışmalar yapabilmek.
• •    İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek.
• •    VERBİS kapsamında, çalışanlar, veri sorumluları, irtibat kişileri, veri sorumlusu temsilcileri ve veri işleyenlerin tercih ve ihtiyaçlarını tespit etmek, verilen hizmetleri buna göre düzenlemek ve gerekmesi halinde güncellemek. 
• •    Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak.
• •    Kurum ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlamak.
• •    Yasal raporlamalar yapmak.
• •    Çağrı merkezi süreçlerini yönetmek.
• •    İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğünü yerine getirmek.

6.2.2. İmhaya İlişkin Açıklamalar

Yönetmelik uyarınca, aşağıda sayılan hallerde kişisel ya da özel nitelikli kişisel veriler, MYK tarafından re’sen yahut ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir:

•       Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması,
•       Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
•       Açık rıza şartına istinaden kişisel veri işlenen hallerde, ilgili kişinin rızasını geri alması,
•       Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması,
•       İlgili kişinin, Kanun’un 11.maddesinden doğan hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun MYK tarafından kabul edilmesi ya da MYK tarafından talebin kabul edilmemesi üzerine İlgili Kişi tarafından Kurul’a yapılan başvuru üzerine Kurul’un İlgili Kişi’nin talebini kabul etmesi ve bu durumu MYK’ye bildirmesi halinde.

7. Uygulanan Teknik ve İdari Tedbirler

MYK, Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12. ve 6/4 maddesi uyarınca Kurul’un kararlarında ve rehberlerinde belirlediği teknik ve idari tedbirleri alır. 

6    

6.1    

6.2    

7.1. İdari Tedbirler

• MYK bünyesinde bilgi güvenliği yönetim sisteminin kurulması ve işletilmesi,
• Kurum personeli ve ilgili taraflar ile taahhütnameler ve gizlilik sözleşmelerinin imzalanması,
• İş süreçleri üzerinde risk analizlerinin gerçekleştirilmesi,
• Kişisel veri envanterlerinin oluşturulması,
• Kişisel veri işleme faaliyetleri hakkında eğitimlerin düzenlenmesi ve değerlendirilmesi,
• Kişisel veri işleme faaliyetleri hakkında farkındalık çalışmalarının yürütülmesi,
• Kurum içi ya da bağımsız denetimler ile faaliyetlerin gözden geçirilmesi,
• Yapılan işlemler için objektif delil üretecek kayıtların oluşturulması,
• Kişisel veri işleme faaliyetinin hukuka uygun yürütülmesi için gerekli politika ve prosedürlerin hazırlanarak yayınlanması ve güncel tutulması,
• Kişisel verilere erişim gerçekleştirebilecek personelin listelendiği yetki listesinin hazırlanması,
• MYK bünyesindeki görevli personelin, görev tanımlarının KVKK uyumlu halde hazırlanması,
• MYK bünyesinde disiplin yönetmeliği uygulanması.

7.2. Teknik Tedbirler

• Ağ ve uygulama hizmetleri kimlik doğrulama ile erişim gerçekleştirilmesi,
• Ağ ve uygulama hizmetlerine erişimde şifreleme kullanılması,
• Erişim kontrolü ve bilgiye erişim kısıtlamalarının uygulanması,
• Kurumun bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemlerin alınması,
• Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulması,
• Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve KVK Kurumu’na bildirmek için Kurum tarafından buna uygun bir yöntemin tanımlanması,
• Güvenlik açıklarının takip edilerek uygun güvenlik yamalarının yüklenmesi ve bilgi sistemlerinin güncel halde tutulması,
• Kişisel verilerin işlendiği elektronik ortamlarda MYK’nın Şifre Politikası’na uygun parolaların kullanılması,
• Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemlerinin kullanılması,
• Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programlarının kullanılması,
• Zafiyet ve sızma testleri gerçekleştirilmesi,
• Bilişim sistemlerinin kötü niyetli yazılımlara karşı uygulamalar aracılığı ile korunması,
• Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı politika belirlenmesi,
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlara ilişkin tüm işlem kayıtlarının loglanması, ortamların güvenlik güncellemelerinin düzenli olarak takip edilmesi, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması, test sonuçlarının kayıt altına alınması, gerekli aksiyonların planlanması ve takip edilmesi,
• Kişisel ve Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemlerinin alınması, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmesi,

8. Kişisel Verileri İmha Yöntemleri

Bu Politika’da yukarıda 6. maddede belirtilen şartların ortadan kalkması halinde, kişisel veriler MYK tarafından kendiliğinden veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir. Bu hususta ilgili kişi tarafından MYK’ye başvurulması halinde;

•       İletilen talepler en geç 30 (otuz) gün içerisinde sonuçlanır ve ilgili kişiye bilgi verilir,
•       Talebe konu verilerin üçüncü kişilere aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü kişiye bildirilir ve üçüncü kişiler nezdinde gerekli işlemlerin yapılması temin edilir,
•       Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep veri sorumlusunca Kanunun 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç 30 (otuz) içinde yazılı olarak ya da elektronik ortamda bildirilir.

KVK Kurul’u tarafından aksine bir karar alınmadıkça, kişisel verileri kendiliğinden silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı tarafımızca seçilir. Ancak, ilgili kişinin talebi halinde uygun yöntem gerekçesi açıklanarak seçilir.

6.3    

8.1. Silme

Kişisel veriler Tablo 2’de verilen yöntemlerle silinir.

Tablo 2: Kişisel Verilerin Silinmesi

8.2. Yok Etme

Kişisel veriler, MYK tarafından Tablo 3’te verilen yöntemlerle yok edilir.

Tablo 3: Kişisel Verilerin Yok Edilmesi

8.3. Anonim Hale Getirme

MYK anonimleştirme için verinin bulunduğu ortam ve işleme türüne göre değişken çıkarma, gürültü ekleme, mikro birleştirme yöntemlerinden biri kullanılır.

Değişken Çıkarma: Betimleyici nitelikteki verilerin çıkartılması yöntemi ile toplanılan verilerin bir araya getirilmesinden sonra oluşturulan veri setindeki değişkenlerden “yüksek dereceli betimleyici” olanlar çıkarılarak mevcut veri seti anonim hale getirilir.

Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayısal verilerin ağırlıklı olduğu bir veri setinde mevcut verilere belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek veriler anonim hale getirilir.

Mikro Birleştirme: Mikro birleştirme yönteminde tüm veriler ilk olarak anlamlı bir sıraya dizilerek (büyükten küçüğe gibi) gruplara ayrılıp, grupların ortalaması alınarak elde edilen değer mevcut gruptaki ilgili verilerin yerine yazılarak anonimleştirme sağlanır.

9. Veri Saklama ve İmha Süreleri

6.4 

Veri saklama ve imha süreleri kişisel veri envanterinde ve Kurum arşivinde bulunan dokümanlarda detaylı olarak tutulur. Verilerin saklama ve imha süreleri aşağıda belirtildiği gibidir.

10. Periyodik İmha İşlemi ve Süresi

Kişisel verilerin imhasına ilişkin uygulamalar;

•       Kişisel verilere yönelik bilgiler (periyodik imha süreleri, azami tutulma süreleri, kayıt ortamları, vb.) İmha Çizelgeleri üzerinde yer almakta olup, periyodik gözden geçirmeler KVK Komitesi kontrolünde KVKK Birim Temsilcileri’nin sorumluluğundadır.
•       MYK tarafından 6 aylık periyotlarda imha işlemi gerçekleştirilir.
•       İmha edilecek Kişisel Veriler, KVKK Birim temsilcileri tarafından belirlenerek, ilgili Daire Başkanları’nın onayı alınır. Gerçekleştirilen imha süreçleri, KVKK.FR04 Kişisel Veri İmha Tutanağı ile kayıt altına alınarak Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca üç yıl süre ile saklanır.
•       İmhası onaylanan kişisel veriler için; imha ekibi; Bilgi İşlem Personeli, KVK Komitesi tarafından görevlendiren sorumlu ve imha edilecek ortamları kullanan ve işleten ilgili KVK Birim temsilcisinin katılımıyla oluşturulur.
•       İmha zamanı geldiğinde, kişisel verilerin bulunduğu ortamın özelliği göz önünde bulundurularak imha yöntemlerinden uygun bulunan bir tanesi (silme, yok etme, anonimleştirme) seçilir ve ilgili ortam imha işleminde görevli personel tarafından temin edilerek Bilgi İşlem personeli tarafından imha işlemi gerçekleştirilir.
•       İşlem tamamlandıktan sonra imha işleminde görevli ekip tarafından yapılan işlemler KVKK.FR02 İmha Kayıt Formu ile kayıt altına alınır. İmha Kayıt Formu 5 yıl süreyle saklanacaktır.
•      İmha işlemlerine yönelik kayıt iki aşamalı olarak yapılmaktadır;

•      Birinci aşamada imha işlemine başlandığı andan itibaren görüntülü kayıt alınmaktadır. Görüntülü kayıtlar Bilgi İşlem ortak alanında arşivlenmelidir.  Görüntülü arşivin saklama süresi 5 yıldır.
•      İkinci aşamada imha edilecek ortamlara yönelik bilgi KVKK.FR02 İmha Kayıt Formu’na işlenmeli ve alınan görüntü ile kayıt üzerinde eşlenmesi sağlanmaktadır.

Yukarıda açıklanan silme, yok etme, imha etme işlemlerinden hangisinin ya da hangilerinin uygulanacağı, uygulanabilir olduğu ölçüde veri sahibi İlgili Kişi ve/veya KVK Komitesi tarafından belirlenir.

11. Yaptırım(lar)

11.1. MYK’nın Karşılaşabileceği Yaptırımlar

KVKK.PL01 Kişisel Verilerin Yönetimi ve Korunması Politikası’nda yer almaktadır.

11.2. MYK Çalışanlarının Karşılaşabileceği Yaptırımlar

İşbu metinde yer alan hususlara kısmen ya da tamamen uyum sağlamayan Çalışanlar için MYK’nın Disiplin Süreci işletilir.

MYK işbu metin başta olmak üzere KVKK kapsamındaki kuralların en iyi şekilde anlaşılması ve gündelik iş süreçlerinde bu kuralların uygulama alanı bulması adına,  çalışanlarına yönelik olarak gerekli eğitim modüllerini yürütmeye başlayacaktır.

12. 

7. 

8. 

9. 

10. 

11. 

12. 

1.1 

1.2 

1.3 

1.3.1 

12. Dokümanın Güncelliği

Bu doküman aşağıdaki koşullarla gözden geçirilir ve gerektiğinde güncellenir. Doküman güncelliği çalışmaları KVK Yöneticisi tarafından koordine edilir.

a)   Düzenli olarak her yıl,

b)   KVKK ile ilgili yeni çıkan bir yasa ve yönetmeliğin, tebliğin, KVK Kurul kararının, ilgili mevzuat değişikliğinin politika dokümanı içeriğin etkilemesi,

13.