TARZKIZ MAĞAZACILIK TEKSTİL TİCARET VE SANAYİ LİMİTED ŞİRKETİ KİŞİSEL VERİLERİN VE ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI

1.TANIMLAR 

İşbu politikada yer alan kavramların tanımları aşağıdaki gibidir:

2. POLİTİKANIN AMACI 

Verilerin korunması TARZKIZ MAĞAZACILIK TEKSTİL TİCARET VE SANAYİ LİMİTED ŞİRKETİ’nin (Bundan sonra “TARZKIZ”, “Veri Sorumlusu” veya “Şirket” olarak anılacaktır.) en önemli öncelikleri arasında yer almaktadır. Politikanın konusunu da çalışanlarımızın, çalışan adaylarımızın, stajyerlerimizin, potansiyel müşteri adaylarımızın, müşterilerimizin, şirket hissedarlarının, şirket yetkililerinin, ziyaretçilerimizin, tedarikçilerimizin, iş ortaklarımızın, iş birliği içinde olduğumuz gerçek ve tüzel kişilerin, gerçek ve tüzel kişilerin çalışanlarının, hissedarlarının, yetkililerinin ve şirketimizde verisi işlenen üçüncü kişilerin verilerinin korunması ve işlenmesi oluşturmaktadır. Şirket, verilerinin korunmasına ilişkin gerekli özeni göstererek, verilerin korunması ve işlenmesini bir politika haline getirmiştir. 

Politikanın temel amacı, şirket tarafından hukuka uygun bir biçimde yürütülen veri işleme faaliyeti kapsamında çalışanlarımız, çalışan adaylarımız, stajyerlerimiz, potansiyel müşteri adaylarımız, müşterilerimiz, şirket hissedarlarımız, şirket yetkililerimiz, ziyaretçilerimiz, işbirliği içinde olduğumuz gerçek ve tüzel kişiler, gerçek ve tüzel kişi çalışanları, hissedarları, yetkilileri ve verileri şirketimiz tarafından işlenen kişileri bilgilendirilerek şeffaflık ve güveni sağlamaktır. Politikanın bir diğer amacı ise şirketin verilerin işlenmesine ilişkin temel ilkeleri ortaya koyarak, alınan tedbirleri açıklamak, şirket organizasyonu içerisinde veri işlemeye ilişkin bilgilendirme yapmak ve şirket tarafından verisi işlenen ilgili kişileri bilgilendirmektir.  

Şirket, politikanın takibi ve uygulamasından bizzat sorumludur. Politika şirket gereklerine uygun olarak revize edilmektedir. Şirketin re’sen işbu politika üzerinde değişiklik yapma yetkisi haizdir.

3. POLİTİKANIN KAPSAMI 

İşbu politika şirketimiz bünyesinde doğrudan ya da dolaylı olarak verisi işlenen tüm gerçek kişileri kapsamaktadır. İstatistik amacıyla kullanılan veriler halihazırda Kanunun düzenlemesine ve politika kapsamına dâhil değildir. 

Veri sahiplerine ilişkin işbu politikanın uygulama kapsamı politikanın tamamı olabileceği gibi; yalnızca bir kısmı da olabilir.

4.KİŞİSEL VERİLERİN VE ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ İLE İLGİLİ TEMEL İLKELER

Şirket bünyesinde veriler işlenirken aşağıdaki ilkelere riayet edilmektedir.

• Hukuka Uygun Olması : Şirket verilerin kaynağını ve hukuka uygunluğunu sorgulamaktadır. Bu bağlamda verilerin hukuka uygun olarak elde edilmesi, korunması ve işlenmesi şirket için önem arz etmektedir.

• Dürüstlük Kurallarına Uygun Olması : Verilerin dürüstlük kuralları çerçevesinde elde edilmesi, korunması ve işlenmesi şirket için önem arz etmektedir.

• İşlendikleri Amaçla Sınırlı, Ölçülü ve Bağlantılı Olması : Şirket elde ettiği verileri işlendikleri amaca uygun, işlenme amacıyla sınırlı, ölçülü ve hizmetin ifasının gerektirdiği ölçüde ve amacıyla bağlantılı olarak kullanmaktadır.

• Verilerin Doğru Olması : Şirket, verilerin yanlış bilgi içermemesine ve doğru olmasına önem vermektedir. Bu bağlamda verilerin doğru olması adına azami özeni göstermektedir.

• Gerektiğinde Güncel Olması : Şirket, işlediği verilerin güncel olması adına azami özeni göstermektedir. Bu bağlamda verilerde değişiklik olmuşsa, söz konusu değişikliğin iletilmesi durumunda verinin güncellenmesini gerçekleştirmektedir. 

• Belirli, Açık ve Meşru Amaçlar İçin İşlenmesi : Şirket, faaliyetlerinin gerektirdiği belirli, açık ve meşru amaçlarla veri işleme faaliyetleri yürütmektedir. 

• Kanunda Öngörülen ve/veya İşlendikleri Amaç İçin Gerekli Olacak Süre Kadar Muhafaza Edilmesi : Şirket işlediği verileri muhtelif mevzuatlarda öngörülen süreler boyunca saklamaktadır. Bunun yanında şirket bünyesinde işlenmekte olan veriler, veri işleme şartlarının ortadan kalkmasına kadar geçecek süre boyunca da muhafaza edilmektedir. 

5. VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL HUSUSLAR

Şirket, Kanunun 4. maddesine uygun olarak, verilerin işlenmesi konusunda; hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlar güderek; amaçla bağlantılı, sınırlı ve ölçülü bir biçimde veri işleme faaliyetinde bulunmakta ve mevzuatlarda öngörülen veya veri işleme amacının gerektirdiği süre kadar kişisel verileri muhafaza etmektedir. Yine Kanunu’nun 5. maddesi gereğince ilgili veri işleme şartlarındaki hukuki sebeplerden birine ya da birkaçına dayanarak kişisel veri işleme faaliyetini yerine getirmektedir. Kanunu’nun 10. maddesine uygun olarak, veri sahiplerini aydınlatmaktadır. Ek olarak Kanunu’nun 6. maddesi çerçevesinde özel nitelikli kişisel verilerin işlenmesi bakımından öngörülen düzenlemelere ve işleme şartlarına uygun olarak özel nitelikli kişisel veri işlemektedir. Tüm bunların yanında Kanunu’nun 8. ve 9. maddelerine uygun olarak, verilerin aktarılması konusunda Kanunda öngörülen ve Kurul tarafından ortaya konulan düzenlemelere uygun davranmaktadır.

6. VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ

Şirket, Kanunu’nun 10. maddesine uygun olarak, verilerin elde edilmesi sırasında veri sahiplerini aydınlatmaktadır. Bu kapsamda şirket ve varsa temsilcisinin kimliğini, verilerin hangi amaçla işleneceğini, işlenen verilerin kimlere ve hangi amaçla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile veri sahibinin sahip olduğu hakları konusunda aydınlatma yapmaktadır. 

Kanunu’nun 11. maddesinde veri sahibinin hakları arasında “bilgi talep etme” hakkı da izah olunmuştur. Şirketimiz bu kapsamda, veri sahibinin bilgi talep etmesi durumunda gerekli bilgilendirmeyi de yapmaktadır.

7. VERİLERİN İŞLENME AMAÇLARI VE HUKUKİ SEBEPLERİ

Veriler, şirkete ait muhtelif aydınlatma metinlerindeki belirtilen amaçlar çerçevesinde işlenmektedir. Her aydınlatma metni uyarınca veri işleme amaçları farklılık gösterebilmektedir. Söz konusu aydınlatma metinleri, verinin elde ediliş yerine göre ilgili alanlara yerleştirilmekte ve ilgili kişinin aydınlatılması sağlanmaktadır. 

Tüm bunların yanında şirketin verilerin işlenmesine ilişkin üst amaçları aşağıdaki gibidir. Alt amaçlar ise ilgili aydınlatma metinlerinde tek tek izah edilmektedir. 

• Şirket tarafından yürütülen ticari faaliyetlerin gerçekleştirilmesi ve yürütülmesi.
  

• Şirketin ticari ve/veya iş stratejilerinin planlanması ve icrası.

• Şirket tarafından sunulan hizmetin ifası ve sözleşmesel yükümlülüklerin yerine getirilmesi.

• Tedarik hizmetlerinden faydalanılması ve tedarikçi ilişkilerinin yönetilmesi. 

• Şirket tarafından sunulan ürünlerden ilgili kişilerin faydalandırılması.

• İnsan kaynakları süreçlerinin planlanması ve icrası.

• İş süreçlerinin yürütülmesi ve operasyonel faaliyetlerin sürdürülebilirliğinin sağlanması.

• Şirket faaliyetlerinin mevzuata uygun yürütülmesi.

• Muhasebe ve finans faaliyetlerinin yürütülmesi.

• Şirketin hukuki yükümlülüklerinin yerine getirilmesi ve olası uyuşmazlıklarda haklarının korunması.

• https://www.tarzkiz.com/ adlı internet sitesi üzerinden müşterilerden sipariş alınması ve sipariş süreçlerinin yönetilmesi.

• https://www.tarzkiz.com/ adlı internet sitesi üzerinden müşteriler ile iletişim kurulması.

• Sosyal medya hesapları üzerinden müşteriler ile iletişim kurulması, destek sağlanması ve müşteri memnuniyetinin artırılması.

• Müşteri ilişkileri yönetimi süreçlerinin yürütülmesi ve talep/şikâyetlerin değerlendirilmesi.

• Satış sonrası destek hizmetlerinin sunulması.

• Pazarlama, kampanya, promosyon ve reklam süreçlerinin yürütülmesi (açık rıza gerektiren haller saklı kalmak kaydıyla).

• Elektronik ileti gönderimi süreçlerinin yürütülmesi (ticari elektronik ileti mevzuatına uygun olarak).

• İstatistiksel analizler yapılması ve hizmet kalitesinin artırılmasına yönelik çalışmaların yürütülmesi.

Kişisel verilerin işlenmesine yönelik hukuki sebepler, ilgili kişi ile şirketin ilişkisinin niteliğine ve kişisel verinin elde ediliş amacına göre değişkenlik göstermektedir. Bu bağlamda şirket Kanunun 5. maddesinde öngörülmüş olan veri işleme şartlarındaki hukuki sebeplere hukuki sebeplere veya gerektiği durumda ilgili kişinin açık rızasına dayanarak kişisel veri işleme faaliyetini gerçekleştirmektedir. 

Kanun bazı verilere kişilerin mağduriyetine veya ayrımcılığına sebep olma riskine binaen özel önem atfetmiştir. Söz konusu veriler özel nitelikli kişisel verilerdir. Özel nitelikli kişisel veriler Kanunun 6. maddesinde “Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.” şeklinde ifade olunmuştur. 

Özel nitelikli kişisel verilerin işlenmesi hususunda şirket, hassasiyet göstermektedir. Bu bağlamda Kanuna uygun hareket edilmektedir. Yine Kanunen öngörülen teknik ve idari tedbirler şirket bünyesinde alınmaktadır. Ek olarak şirket bünyesinde özel nitelikli kişisel verileriniz Kanun’un 6. maddesinin 3. fıkrası uyarınca belirlenen hukuki sebeplere dayanılarak işlenmekte ve Kanun’un 6. maddesinin 4. fıkrası uyarınca belirlenen yeterli önlemler alınmaktadır. 

8. VERİLERİN AKTARILMASI

Şirket, veri işleme amaçları doğrultusunda veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir. Veri aktarımı yapılan veri aktarım alıcı grupları, ilgili her aydınlatma metninde izah edilerek ilgili kişiler aktarım amacı ve aktarılacak üçüncü kişiler yönünden bilgilendirilmektedir.

Şirket kişisel verileri aktarırken Kanunun 8. maddesine uygun hareket etmektedir. Bu bağlamda kişisel veri işleme amaçları doğrultusunda Kanun’un 8. Maddesinin 2.fıkrasının (a) bendi atfıyla Kanunun 5.maddesinin 2. fıkrasında belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve sınırlı olarak kişisel verileri üçüncü kişilere aktarabilmektedir. Yine özel nitelikli kişisel verilerde ise Kanun’un 8.maddesinin 2.fıkrasının (b) bendi atfıyla Kanun’un 6. maddesinin 3. fıkrası uyarınca belirlenen hukuki sebeplere dayanılarak üçüncü kişilere aktarılmaktadır. Şirket kişisel verileri ve özel nitelikli kişisel verileri aktarırken gerekli teknik ve idari tedbirleri almaktadır. 

Şirket, kişisel verileri ve özel nitelikli kişisel verileri yurtdışına aktarırken Kanunun 9. Maddesine uygun hareket etmekte ve gerekli idari ve teknik tedbirleri almaktadır. Yurtdışına veri aktarımı yapılırken Kanun’un 9.Maddesinin 4.fıkrasının (c) bendinde yer alan veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı halinde veri aktarımı yapılabilmektedir. Bu bağlamda yurtdışına kişisel veriler ve özel nitelikli kişisel veriler aktarılırken Kanunun 9. Maddesinin 4. Fıkrasının (c)bendine riayet edilmektedir. 

9.VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ

Veriler, şirketimiz tarafından aşağıdaki durumlardan birinin vuku bulması halinde imha edilmektedir. 

• Kanun’un 5. ve 6. maddelerindeki verilerin işlenmesini gerektiren şartların ortadan kalkması.

• Şirket tarafından verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde ilgili kişinin açık rızasını geri alması.

• Verilerin işlenmesine veya saklanmasına esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ortadan kalkması.

• Verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, yok olması ya da kaybolması.

• İlgili kişinin, hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi ya da kurulun gereğinin yapılması yönünde karar vermesi.

• Verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

İmha süreci silme, yok etme ya da anonim hale getirme işlemlerinden herhangi bir yöntem seçilmek suretiyle yerine getirilmektedir. Bu bahisle verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin ayrıntılı bilgiler ve şirket uygulaması şirket içerisinde yürürlüğe konulmuş olan “KİŞİSEL VERİ VE ÖZEL NİTELİKLİ KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI” politikasında düzenlenmiş vaziyettedir. 

10. VERİLERİN GİZLİLİĞİ VE GÜVENLİĞİ

Şirket verilerin korunması, yetkisiz kişilerin eline geçmemesi ve verisi işlenen üçüncü kişilerin mağdur edilmemesi için gereken teknik ve idari tedbirleri almaktadır. Verinin korunmasına ilişkin yazılım programları şirketin kapasitesine ve tuttuğu verinin niteliğine uygun olarak seçilmektedir. Yine Kanunun getirdiği hükümlere uygun olarak hazırlanmış politikalara riayet edilmektedir. Verilerin paylaşıldığı üçüncü kişilerden de bu kapsamda gerektiği durumda veri koruması talep edilmektedir. Tüm bunlardan bahisle veriler gizlidir ve şirket işbu gizliliğe riayet etmektedir.  Yine işbu verilere ilişkin olarak 6698 sayılı Kanuna halel getirecek hiçbir kullanım, kopyalama, çoğaltma, aktarım yapılmamakta ve işbu veriler amaçları dışında bir kullanılmamaktadır.

11. VERİLERE İLİŞKİN ALINAN TEKNİK VE İDARİ TEDBİRLER

Şirket, verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla gereken teknik ve idari tedbirleri almaktadır. Bu bağlamda şirket tarafından teknik ve idari tedbirleri aşağıdaki gibi sıralamak mümkündür.

11.1.İdari Tedbirler

• Şirket bünyesinde fiziksel ortamlarda (cihaz, kayıt… vb.) saklanan veriler için fiziksel mekân güvenliğinin sağlanması adına gereken tedbirler alınmaktadır.

• Verilerin yer aldığı fiziksel ortamların dış risklere karşı korunması için gereken tedbirler alınmaktadır.

• Verilerin korunması için fiziksel mekân güvenliği tedbirleri alınmaktadır. 

• Verilerin tutulduğu sistem odaları kilitli tutulmakta ve söz konusu odalara giriş çıkışlar sınırlandırılmaktadır. 

• Çalışanların iş, görev, yetki ve sorumlulukları göz önünde bulundurularak sınırlı sayıda kişinin veri içeren odalara giriş çıkışına izin verilmekte, izinli kişiler kayıt altında tutulmaktadır.

• Veri içeren ortamların güvenliği sağlanmaktadır.

• Personel özlük dosyaları kilitli dolaplarda ve kilitli odalarda tutulmaktadır. Söz konusu odalara giriş çıkışlar sınırlandırılmaktadır. Ek olarak çalışanların iş, görev, yetki ve sorumlulukları göz önünde bulundurularak sınırlı sayıda kişinin odaya giriş çıkışına izin verilmekte, izinli kişiler kayıt altında tutulmaktadır.

• Kağıt ortamında tutulan kişisel veriler kilitli odalarda tutulmaktadır. Söz konusu odalara giriş çıkışlar sınırlandırılmaktadır. Ek olarak çalışanların iş, görev, yetki ve sorumlulukları göz önünde bulundurularak sınırlı sayıda kişinin odalara giriş çıkışına izin verilmekte, izinli kişiler kayıt altında tutulmaktadır.

• Kâğıt ortamında aktarılan veriler için fazladan güvenlik önlemleri alınmaktadır. 

• Veri içeren sunucular, yedekleme cihazları, CD, DVD ve USB gibi cihazlar güvenlik tedbirlerinin alınmış olduğu başka bir odaya alınmakta ve söz konusu odalar kilitli tutulmaktadır. Yine söz konusu odalara sınırlı sayıda kişinin giriş çıkışına izin verilmemekte ve izinli kişiler kayıt altında tutulmaktadır.

• Veri içeren ortamlar ve saklama-arşiv ortamları kilitli tutulmaktadır. Söz konusu kilitli ortamlara sınırlı sayıda kişinin giriş çıkışına izin verilmekte ve izinli kişiler kayıt altında tutulmaktadır.

• Yedeklenen verilerin fiziksel güvenliği sağlanmaktadır.

• Şirketin güncel çalışma sürecinde kullanılan fakat veri içeren belgeler kilitli dolaplarda tutulmaktadır. Söz konusu dolapların anahtarı ise yaptığı iş, görev, yetki ve sorumluluk dikkate alınarak belgelere erişim yetkisi bulunan çalışanlara verilmektedir. İşbu çalışanlarda kayıt altında tutulmaktadır.

• Verilerin korunmasına ilişkin periyodik ve rastgele denetimler yapılmaktadır.

• Veri işleme envanteri güncel tutulmaktadır.

• Verilerin korunmasına ve işlenmesine ilişkin kurumsal politikalar şirket gerekliliklerine uygun olarak güncellenmektedir.

• Şirketin, veri aktarımında bulunduğu üçüncü kişilerle gerektiği durumda gizlilik sözleşmeleri-taahhütnameleri imzalanmaktadır.

• Şirket içinde periyodik olarak risk analizleri yapılmaktadır.

• Şirket bünyesinde belirli aralıklarla çalışanlara yönelik verilerin korunmasına ilişkin farkındalık ve Siber Güvenlik eğitimleri verilmektedir. 

• Çalışanların yaptığı iş, görev, yetki ve sorumlulukları dikkate alınarak veri güvenliğine ilişkin rol ve sorumlulukları, görev tanımları belirlenmiştir. 

• Çalışanların işe alım süreçlerinde gizlilik anlaşması imzalatılmaktadır.

• Şirketin verilerin işlenmesine ilişkin politika ve prosedürlerinde önemli değişik meydana gelmesi halinde yeni eğitimlerle çalışanlara söz konusu değişiklikler izah edilmektedir.

• Çalışanların veri güvenliğine ilişkin tehdit ve riskler hakkında bilgisinin güncel tutulması sağlanmaktadır.

• Veri işlenmesine ilişkin politikalar değişen şirket gerekliliklerine uygun olarak güncel tutulmaktadır.

• Veri işlenmesine ilişkin politikalar şirkete uygun bir şekilde entegre edilmektedir.

• Verilerin işlenmesine ilişkin politikalar çerçevesinde periyodik olarak kontroller yapılmakta kontroller belgelenmekte eksiklikler tespit edilmekte ve eksiklikler tamamlandıktan sonra da periyodik olarak kontrollere devam edilmektedir.

• Veri kategorileri için ortaya çıkabilecek riskler ve güvenlik ihlallerinin nasıl yönetileceği belirlenmektedir.

• Veriler doğru ve niteliğine uygun yerde muhafaza edilmektedir.

• İşleme amaçları doğrultusunda verilere şirket bünyesinde ihtiyaç olup olmadığı periyodik olarak değerlendirilmektedir.

• Sıklıkla ihtiyaç duyulmayan ve arşiv amaçlı tutulan verilerin güvenli ortamlarda muhafaza edilmesi sağlanmaktadır.

• Periyodik imha işlemleri gerçekleştirilmekte ve imha edilen verilerin niteliği tutanakla kayıt altına alınmaktadır.

• Veri işleyenlerle sözleşmeler yazılı olarak imzalanmaktadır. 

• Şirket bünyesinde imzalanan sözleşmelerde veri güvenliği hükümleri yer almaktadır.

• Veri sorumlusu, veri ihlali durumunda ihlali Kişisel Verileri Koruma Kurulu’na ve ilgili kişiye derhal ihlali bildirme yükümlülüğünü yerine getirmektedir.

• Veri sorumlusu, veri içeren sistemler üzerinde gerekli denetimleri yapmakta veyahut yaptırmaktadır. 

• Her veri işleme faaliyetinden önce verisi işlenecek gerçek kişi, veri sorumlusu tarafından aydınlatılmaktadır.

• Şirketin üçüncü kişilere dolaylı yoldan temas ettiği noktalarda verilerin işlenmesine ilişkin metinler Kişisel Verilerin Korunması Kanunu ve şirket faaliyetine uygun olarak güncel tutulmakta ve gerekli durumlarda güncellemeler yapılmaktadır.

• Veri işlemeye ilişkin süreçler güncel tutulmaktadır.

• Acil durumlarda ilgili politika ve prosedürlere riayet edilmektedir.

• Şirkete ait elektronik cihazların çalınması, kaybolması… vb. durumlara ilişkin fiziksel mekân güvenliği sağlanmaktadır.

11.2.Teknik Tedbirler

• Şirket, Siber Güvenliğin sağlanması için alınması gereken tedbirleri gelişen ve değişen teknolojiye ve şirket gerekliliklere uygun olarak almaktadır.

• Şirket bünyesinde alınan Siber Güvenlik tedbirleri verilerin korunması için kapsamlı ve birçok yönden birbirini tamamlayıcı niteliktedir.

• Şirket bünyesinde yazılım programları vasıtasıyla alınan teknik tedbirler sıklıkla kontrol edilmektedir.

• İnternet üzerinden gelen tehditler ve saldırılar sürekli olarak kontrol edilmektedir.

• Şirket bünyesinde kullanılan yazılım ve donanımların güncelliği periyodik olarak denetlenmektedir.

• Şirket bünyesinde kullanılan yazılım programlarının eski sürümleri veyahut kullanılmayan sürümleri kaldırılarak yeni ya da güncel sürümleri kullanılmaktadır.

• Şirket bünyesinde kullanılan yazılım ve donanımların kurulum ve yapılandırma işlemlerine dikkat edilmekte ve sıklıkla gözden geçirilmektedir.

• Şirket bünyesinde eskiden kurulmuş olan güvenlik açıkları tespit edilmiş yazılım programları kullanılmamakta ve kaldırılmaktadır.

• Şirket bünyesinde alınmış olan güvenlik tedbirlerinin yeterliliği düzenli olarak kontrol edilmekte ve denetlenmektedir.

• Çalışanların yaptığı iş, görev, yetki ve sorumluluk dikkate alınarak verilere erişime ilişkin sınırlı yetki verilmektedir. 

• Çalışanların yaptığı iş, görev, yetki ve sorumluluk kapsamında verilere kullanıcı adı ve şifre oluşturmak suretiyle erişim izin verilmektedir.

• Veri sorumlusu sıfatıyla şirket her çalışan için erişim yetki ve kontrol matrisi oluşturmaktadır.

• Veri sorumlusu ile ilişkisi kesilen çalışanların e-posta hesabı başta olmak üzere veri içeren tüm sistemlere erişim yetkisi kapatılmaktadır.

• Anti-Virüs ve Anti-Spam Sistemleri güncel tutularak gerekli dosyaları taradığı periyodik olarak kontrol edilmektedir.

• Bilişim ağlarında hangi yazılım ve servislerin çalıştığı periyodik olarak kontrol edilmektedir.

• Bilişim ağlarında sızma veya olmaması gereken bir hareket olup olmadığı periyodik olarak kontrol ve tespit edilmektedir.

• Şirket bünyesindeki tüm kullanıcıların işlem hareketleri kaydının ve Log kayıtlarının düzenli olarak tutulması sağlanmaktadır.

• Güvenlik sorunları mümkün olan en kısa sürede raporlanmaktadır.

• Şirket bünyesindeki sistem ve güvenlik zafiyet açıkları, güvenlik tehditleri resmi olarak raporlanmakta ve veri sorumlusuna sunulmaktadır.

• Güvenlik yazılımı iletileri, raporlama araçları, erişim kontrolü kayıtları düzenli olarak kontrol edilmektedir. İşbu sistemlerden uyarı gelmesi üzerine derhal harekete geçilmektedir.

• Bilişim sistemlerinde oluşabilecek zafiyet açıklarına istinaden periyodik zafiyet taramaları yapılmaktadır.

• Periyodik olarak sızma testi yaptırılmaktadır.

• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

• Periyodik testler sonucunda şirket bünyesinde ortaya çıkan güvenlik açıkları hemen kapatılmakta ve gerekli aksiyonlar alınmaktadır.

• Şirket bünyesinde fiziksel ortamlarda (cihaz, kayıt… vb.) saklanan veriler için fiziksel mekân güvenliğinin sağlanması adına gereken tedbirler alınmaktadır.

• Verilerin yer aldığı fiziksel ortamların dış risklere karşı korunması için gereken tedbirler alınmaktadır.

• Verilerin yer aldığı fiziksel ortamlara giriş-çıkışlar sınırlandırılmakta ve giriş çıkışlar kontrol edilmektedir.

• Verilerin e-posta üzerinden gönderilmesi halinde veri sorumlusu tarafından gerekli ve yeterli güvenlik tedbirleri alınmaktadır.

• Çalışanların ya da üçüncü kişilerin şahsi elektronik araçları ile şirketin bilgi sistem ağına erişim sağlaması esnasında veri sorumlusu tarafından veri ihlalini önlemeye yönelik gerekli ve yeterli güvenlik tedbirler alınmaktadır.

• Veri içeren sunucular, yedekleme cihazları, CD, DVD ve USB gibi cihazlar güvenlik tedbirlerinin alınmış olduğu başka bir odaya alınmış vaziyette olup söz konusu odalar kilitli tutulmaktadır. 

• Veri içeren cihazların çalınması veya kaybolması gibi durumlara karşı erişim kontrol yetkilendirmesi ve/veya şifreleme yöntemi kullanılmaktadır. Bu minvalde şifre anahtarı, sadece yetkili kişilerin erişim sağlayabileceği ortamda saklanmakta ve yetkisiz erişim önlenmektedir.

• Veriler şifreleme yöntemi ile korunmaktadır. 

• Verilerin bir kısmı ya da tamamı bulutta depolanıyorsa veri sorumlusu olarak bulut depolama hizmeti sağlayıcısı tarafından alınan güvenlik önlemlerinin yeterli ve uygun olup olmadığını denetlenmektedir. Bu bağlamda bulutta depolanan veriler bilinmekte ve yedeklenmesi, senkronize edilmesi ve verilere uzaktan erişim sağlanması için kademeli kimlik doğrulama kontrolünün yapılmaktadır. Yine bulutta depolanan ve kullanılan veriler kullanım ve depolama faaliyetleri esnasında kriptografik yöntemlerle şifrelenmekte, bulut ortamına şifrelenerek gönderilmekte, her bir bulut çözümü için ayrı ayrı şifreleme anahtarları kullanılmaktadır. Ek olarak bulut bilişim hizmeti sonlandığında verileri kullanılabilir hale getiren şifreleme anahtarlarının tüm kopyalarının yok edilmektedir.

• Veri sorumlusu, yeni güvenlik sistemleri kurarken veya mevcut sistemleri geliştirirken-iyileştirirken güvenlik gereksinimlerini göz önünde bulundurmaktadır.

• Arıza ya da bakım için üçüncü kişilere gönderilen cihazların veri içeren veri saklama ortamı sökülerek saklanmakta ve sadece arızalı parçalar gönderilmektedir.

• Bakım, arıza, onarım faaliyetleri için dışarıdan gelen üçüncü kişilerin, verileri kopyalayarak-çoğaltarak dışarıya çıkarmaması için gereken tedbirler alınmaktadır.

• Veri güvenliğinin sağlanması için veriler yedeklenmektedir. Yedeklenen veriler mutlaka ağ dışında tutulmaktadır. Yine yedeklenen verilere sadece sistem yöneticisi tarafından erişim sağlanmaktadır. Ek olarak yedeklenen verilerin fiziksel güvenliği de alınmaktadır.

• Veri işleyene bırakılan işler için veri işleme faaliyet çerçevesinde gerekli tedbirleri aldığı kontrol edilmektedir. 

• Veri bütünlüğünün bozulup bozulmadığı kontrol edilmektedir.

• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

• Veri güvenliğinin takibi yapılmaktadır.

• Özel nitelikli kişisel veriler işlenirken güvenli şifreleme/kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.

• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belirli aralıklarla denetimi yapılmakta ve veri güvenliği konusunda farkındalığı sağlanmaktadır.

• Veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

12. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER

Şirket, özel nitelikli kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, özel nitelikli kişisel verilere hukuka aykırı olarak erişilmesini önlemek, özel nitelikli kişisel verilerin muhafazasını sağlamak amacıyla Kanuna ve ilgili mevzuata uygun olarak gereken bazı ek tedbirleri de almaktadır. Bu bağlamda şirket bünyesinde alınan ve yukarıda 11. madde de izah olunan teknik ve idari tedbirlere ek olarak özel nitelikli kişisel veriler için alınan ilave tedbirler aşağıdaki gibidir. 

12.1.Teknik Tedbirler

Şirket bünyesinde özel nitelikli kişisel verilerin korunması için alınan teknik tedbirleri verinin tutulduğu ortama göre iki ayrı şekilde incelemek mümkündür. 

12.1.1.Elektronik Ortamda Muhafaza Edilen ve/veya Elektronik Ortam Vasıtasıyla Erişilen Özel Nitelikli Kişisel Veriler İçin Alınan Teknik Tedbirler

• Özel nitelikli kişisel veriler güvenli şifreleme / kriptografik yöntemler kullanılarak muhafaza edilmektedir. 

• Kriptografik anahtarlar güvenli ve farklı ortamlarda tutulmaktadır. Ek olarak farklı birimlerce yönetilmektedir.

• Özel nitelikli kişisel veriler üzerinde kullanıcılar tarafından gerçekleştirilen tüm hareketlere ait işlem kayıtları güvenli olarak zaman, yer ve kişi bakımından loglanmaktadır. 

• Özel nitelikli kişisel verilerin tutulduğu ortamlara periyodik olarak güvenlik güncellemeleri yapılmaktadır. 

• Özel nitelikli kişisel verilerin tutulduğu ortamların güvenliği periyodik olarak yazılım programları ile denetlenmektedir. 

• Özel nitelikli kişisel verilerin tutulduğu ortamlarda gerekli güvenlik testleri periyodik olarak yapılmakta ve test sonuçları kayıt altına alınmaktadır. 

• Özel nitelikli kişisel verilerin güvenliğinin sağlandığı yazılımlara ait kullanıcı yetkilendirmeleri yapılmaktadır. Yine işbu yazımların güvenlik testleri düzenli olarak yapılmakta ve test sonuçları kayıt altına alınmaktadır.

• Özel nitelikli kişisel verilere uzaktan erişim sağlanması gerektiği durumlarda en az iki kademeli doğrulama sistemi kullanılmaktadır.  

• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.

• Çalışanlar için yetki matrisi oluşturulmuştur.

• Erişim logları düzenli olarak tutulmaktadır.

• Özel nitelikli kişisel verilere erişim yetkisi kısıtlanmaktadır. Bu bağlamda sadece erişimi gerekli olan kullanıcılara yetki verilmektedir. Erişim yetkisine sahip kullanıcıların, yetkisinin kapsamı ve süresi net olarak tanımlanmaktadır.  

12.1.2. Fiziksel Ortamda Muhafaza Edilen ve/veya Fiziksel Ortam Vasıtasıyla Erişilen Özel Nitelikli Kişisel Veriler İçin Alınan Teknik Tedbirler

• Özel nitelikli kişisel verilerin tutulduğu fiziksel ortamın niteliğine göre gereken güvenlik önlemleri alınmaktadır. 

• Fiziksel ortamda tutulan özel nitelikli kişisel verilerin güvenliği gerekli olduğu ölçüde yazılım programları ile desteklenmektedir.

• Özel nitelikli kişisel verilerin tutulduğu ortamlara giriş-çıkış güvenliği üst seviyede tutulmaktadır. Söz konusu ortamlara giriş yetkisi kısıtlanarak ve yetkisiz giriş çıkışlar engellenmektedir.

• Kâğıt yoluyla aktarılan özel nitelikli kişisel veriler için ekstra güvenlik tedbirleri alınmaktadır.

• Kâğıt yoluyla aktarılan özel nitelikli kişisel veriler için evrakın çalınması, kaybolması, telef olması ya da yetkisiz kişiler tarafından görülmesi ... vb. risklere karşı gereken önlemler alınmaktadır.

• Özel nitelikli kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

• Özel nitelikli kişisel veri içeren ortamların güvenliği sağlanmaktadır.

12.2. İdari Tedbirler

• Şirket bünyesinde periyodik yetki kontrolleri gerçekleştirilmektedir. 

• Özel nitelikli kişisel verilerin işlenme süreçlerinde yer alan çalışanlara yönelik verilerin korunması ve işlenmesi konusunda eğitimler vermektedir. Bu bağlamda şirket çalışanları verilerin kanuna uygun olarak işlenmesi ve korunması hususunda bilgilendirilmekte ve eğitilmektedir. 

• Şirket bünyesindeki çalışanlara verilerin işlenmesi ve korunması hususunda periyodik olarak elektronik ortamda bilgilendirmeler yapılmaktadır.

• Veri güvenliğinin sağlanması için çalışanlarla gizlilik sözleşmeleri-taahhütnameleri imzalanmaktadır. 

• Şirket bünyesinde görev değişikliği olan ya da işten ayrılan çalışanların özel nitelikli kişisel verilere erişim yetkileri derhal kaldırılmaktadır. Şirket, bu kapsamda çalışanlara tahsis ettiği özel nitelikli kişisel verileri içeren tüm belge ve envanterleri geri almaktadır.

• Gizlilik taahhütnameleri yapılmaktadır.

• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.

• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

• Özel nitelikli kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

• Özel nitelikli kişisel veri güvenliğinin takibi yapılmaktadır.

• Özel nitelikli kişisel veriler mümkün olduğunca azaltılmaktadır.

• Mevcut risk ve tehditler belirlenmektedir.

13. VERİLERİN GÜNCELLİĞİ 

Kanun, veri işleme faaliyeti kapsamında kişisel verilerin ve/veya özel nitelikli kişisel verilerin “güncel olma” ilkesi esas alınarak işlenmesi gerektiğini belirtmiştir. Bu bağlamda şirket, veri işleme faaliyeti kapsamında verinin güncel olup olmadığına dikkat etmektedir. Gerektiği durumda verisi işlenen kişiden verinin güncel olup olmadığı konusunda teyit almaktadır.

İlgili kişilerin verilerinin güncellenmesini şirketten talep etme hakkı bulunmaktadır. Verilerin güncelleştirilmesine ilişkin talep şirketin üzerinde tahrifat yapılması mümkün olmayan eski kayıtlarını etkilemez. Yine geçmiş evrak, sözleşme, ödeme araçları, belge gibi ifa araçları üzerinde güncellenme yapılamaz. Verilerin güncellenmesine ilişkin ilgili kişiden gelen talep usulüne uygun olduğu durumda dikkate alınmaktadır. Bu bağlamda verilerinin güncellenmesini talep eden ilgili kişinin bu talebini yazılı olarak şirkete iletmesi gerekmektedir. Yazılı olarak yapılmayan veri güncelleme talepleri şirket tarafından dikkate alınmamaktadır. 

Usulüne uygun olarak iletilmiş olan veri güncelleme talebi şirket tarafından dikkate alınır ve gerekli işlem yapılır.  Veri güncelleme talebi hakkında mümkün olan en kısa sürede; maksimum ise otuz (30) günlük süre içinde ilgili kişiye bilgi verilir. 

Güncelleme yapılan veri güncel haliyle şirkette muhafaza edilir. Güncellenen verinin bütün şirket sistemlerinde güncel olması önem taşımaktadır. Bu bağlamda ilgili kişiye ait kişisel verilerin tüm sistemlerde güncel olup olmadığı şirket tarafından kontrol edilmekte ve güncellemeler yapılmaktadır. 

14. VERİLERİN DOĞRULUĞU

Şirket, gerçek ve tüzel kişilerden kendisine gelen ve muhtelif yollardan topladığı verilerin yanlış bilgi içermemesine ve doğru olmasına önem vermektedir. Söz konusu verilerin doğru olup olmadığını araştırma yükümlülüğü altında değildir. Zira çalışma prensibi ve hukuki açıdan her verinin doğru olup olmadığının araştırılması mümkün değildir. Bu bahisle beyan edilen kişisel veriler doğru olduğu kabul edilmektedir. 

15. CİMRİLİK İLKESİ 

Cimrilik ilkesi diğer adıyla azami tasarruf ilkesidir. Muhtelif yollardan ulaşan veriler şirket sistemine aktarılır. Söz konusu ilke uyarınca veriler, gerekli olduğu kadar sisteme işlenmektedir. 

Şirket tarafından toplanan veriler amaca uygun olarak belirlenmekte ve değişkenlik göstermektedir. Bu bağlamda veriler amaca uygun olarak toplanmakta ve amaçla paralel olmayan veriler toplanmamaktadır. Amacı dışındaki fazlalık veriler şirket sistemine kaydedilmez veya imha edilir. 

16. İHLAL BİLDİRİMİ

Şirket, olarak tarafımıza herhangi bir veri ihlali bildiriminde bulunulduğunda mevzubahis ihlali gidermek için derhal harekete geçer, ilgili kişinin uğrayabileceği zararı minimuma indirmek için elimizden geleni yaparız. İlaveten, şirketimizce bir veri ihlalinin gerçekleştiği tespit edildiğinde derhal Kişisel Verileri Koruma Kurulu’na veri ihlali bildiriminde bulunulmaktadır.

17. İLGİLİ KİŞİNİN HAKLARI

Şirket, Kanunun 11. maddesinde düzenlenen ilgili kişinin haklarına riayet etmektedir. Bu doğrultuda, ilgili kişi şirketin internet sitesinde belirtilen başvuru şekli ile;

1. Kişisel veri işlenip işlenmediğini öğrenme,

2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

5.  Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

6. Kanuun 7nci maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

7. (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme 

8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme 

9. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, 

Haklarına sahiptir. 

İlgili kişinin başvuruları, başvurunun içeriğine göre en kısa sürede ve şirkete ulaşmasından itibaren en geç 30 gün içinde cevaplanmaktadır. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde, Şirketimiz tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınacaktır.

18.POLİTİKANIN YAYIMLANMASI, SAKLANMASI, GÜNCELLENMESİ VE YÜRÜRLÜK

Politika, yönetim kurulu tarafından onaylanarak 04.02.2026 Tarihinde yürürlüğe girmiştir. Yürürlükten kaldırılmasına karar verilmesi halinde, politikanın ıslak imzalı eski nüshaları iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile şirket tarafından saklanır.

Politika, yürürlüğe girmesinden sonra gerekli görülürse internet sayfasında kamuoyuna ilan edilebilecektir. Basılı kâğıt nüshası şirket bünyesinde saklanır. Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli bölümler güncellenir.

TARZKIZ MAĞAZACILIK TEKSTİL TİCARET VE SANAYİ LİMİTED ŞİRKETİ