KVKK

KİŞİSEL VERİLERİN KORUNMASI KANUNU HAKKINDA BİLGİLENDİRME METNİ

6698 sayılı "Kişisel Verilerin Korunması Kanunu"nun 10. maddesi gereğince, bu bildirim yasal yükümlülükler nedeniyle yapılmaktadır.

Bu metin, yasal tüzel kişilikleri açısından veri sorumlusu unvanını taşıyan şirketler kapsamında hazırlanmıştır. Özyer Grubu bünyesinde faaliyet gösteren ve Kişisel Verilerin Korunması konusunda Hotel Management yönetimi altında hizmet veren tüm tesislerimiz için hazırlanmıştır. Bu metin, yasada belirtilen unsurlar doğrultusunda ve Kişisel Verilerin Korunması Kanunu'nda yer alan düşünceler çerçevesinde hazırlanmıştır.

Lykia Turizm Yatırımları Sanayi ve Ticaret A.Ş. (Liberty Lykia), Ayfaba Turizm Yatırımları İnşaat A.Ş. (Liberty Fabay), Özyer Turizm Sanayi ve Ticaret A.Ş. (Liberty Lara, Sundia By Liberty Ölüdeniz, Sundia By Liberty Hisarönü), Fethiye Enerji Sanayi ve Ticaret A.Ş. (Sundia Exclusive By Liberty Fethiye), Ephesus Golf Yönetim Turizm Sanayi ve Ticaret A.Ş. (Ramada Resort By Wyndham Kuşadası, Ramada Suite By Wyndham Kuşadası) şirketleri yukarıda listelenen tüm şirketlerin metin içindeki kısa adıdır.

İlgili şirketler, Kanun, Kanunun ikincil düzenlemesi olan yönetmelik ve diğer mevzuat uyarınca veri sorumlusu olarak; misafirlerinizin, konuk adaylarınızın, ziyaretçilerinizin ve çalışanlarınızın kişisel verilerinin işlenmesini ve korunmasını belirlemek, iş ortaklığı içinde bulunduğu diğer şirketlerin ortakları ve çalışanları ile tüm muhataplarının kişisel verilerinin işlenme amaçları için gereken maksimum saklama süresini belirlemek ve işlenen kişisel veri ile ilgili kişilerin taleplerini yerine getirme sürecini belirlemek amacıyla hazırlanmıştır.

Bu metnin ve Liberty Hotels Group'un Kişisel Veri Saklama ve İmha Politikası'nın amacı, şirketlerimizin web siteleri üzerinden otel rezervasyonu yapmayı tercih eden, web sitelerini taramayı seçen veya ilgili şirketlerimiz tarafından sağlanan formları dolduran sizleri, kişisel verilerinizin korunması sağlanması için ilgili şirketlerimizin taahhütlerini bilgilendirmektir.

Özellikle size, sizden topladığımız kişisel veriler, bu verileri nasıl kullandığımız, nasıl açıkladığımız, nasıl koruduğumuz ve son olarak bu veriler üzerindeki haklarınızı nasıl kullanabileceğiniz hakkında bilgi vermek istiyoruz.

1. Kişisel Verilerin İşlenme Amacı

Bağlı olduğumuz şirketler, aşağıdaki durumlarda sizinle ilgili olarak tarafımıza sunduğunuz ve ilgili olan kişisel verileri işler:

Websitesi üzerinde gezindiğinizde;

• Aşağıdaki otellerden doğrudan rezervasyon yaptığınız durumlarda: Liberty Lykia, Liberty Lara, Liberty Fabay, Sundia Exclusive By Liberty Fethiye, Sundia By Liberty Ölüdeniz, Sundia By Liberty Hisarönü, Ramada Resort By Wyndham Kuşadası ve Ramada Suite By Wyndham Kuşadası.

• Bize haber bültenlerimizi ve diğer pazarlama/ticari materyalleri/bilgileri almak için onay verdiğinizde;

• Herhangi bir zamanda bize bir soru sormak, bağlı olduğumuz şirketlerle ilgili bir şikayette bulunmak veya iletişim başvuru formu aracılığıyla iş başvurusu yapmak istediğinizde.

Kişisel veriler (ad, soyad, doğum tarihi, kimlik ve pasaport bilgileri, iş, ev ve cep telefonu numarası, e-posta adresi, cinsiyet, adres, meslek, eğitim, medeni durum, plaka, konaklama, kredi kartı, harcama) bağlı olduğumuz şirketler ve uçuş bilgileri, alışveriş bilgileri, fatura bilgileri, tüketim tercihleri vb. tarafından işlenir.

• Sunulan ürünler ve hizmetlerden paydaşların faydalanabilmesi için iş birimi tarafından gerekli çalışmaların yapılması.

• Ürün ve hizmetleri sunabilmek, paydaşlara iletilen veya iletilmek üzere olan ürün ve hizmetlerle iletişim kurabilmek,

• Ürün ve hizmetleri tercihlerine, kullanımına ve ihtiyaçlarına uygun olarak özelleştirerek önermek.

• Ürün/hizmet teklifleri, (pazarlama faaliyetlerinde kullanılabilir),

• Modelleme, raporlama, skorlama, insan değerleri politikalarının uygulanması,

• Bağlı olduğumuz şirketlerle temas kuran kişilerin yasal ve ticari güvenliğinin sağlanması.

• Ticari ve iş stratejilerinin belirlenmesi ve uygulanması,

• Bağlı olduğumuz şirketlerin mevcut veya yeni ürün çalışmaları ve potansiyel müşteri belirleme vb.

• Turizm, pazarlama, tanıtım ve reklam faaliyetleriyle ilgili olarak, yasal yükümlülükler nedeniyle kişisel veriler, KVKK'nın 5. ve 6. maddelerinde belirtilen işleme amaçları ve koşullarına göre işlenmektedir.

2. Genel İlkeler

Bağlı olduğumuz şirketler, kişisel verilerin edinimi, işlenmesi, depolanması, korunması, silinmesi, imha edilmesi ve anonimleştirilmesi de dahil olmak üzere kişisel verilerle ilgili tüm işlemlerde aşağıdaki ilkelere uygun hareket etmektedir:

• Kanun ve bütünlük kurallarına uyum,

• Gerekli olduğunda doğru ve güncel olma,

• Belirli, açık ve meşru amaçlar için işleme,

• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.

• İlgili mevzuat gerektirdiği süre veya işleme amacı için gereken süre boyunca saklanması ve bu sürenin sonunda ilgili kişinin talebi veya periyodik silme süreleri dikkate alınarak kişisel verilerin silinmesi, imha edilmesi veya anonimleştirilmesi,

• Kişinin haklarına ilişkin talepleri en erken aşamada yanıtlama.

• Kişisel verilerin saklanması, silinmesi, imha edilmesi veya anonimleştirilmesine ilişkin tüm işlemlerin, ilgili yasal mevzuatta belirtilen diğer yasal yükümlülükler hariç olmak üzere, Kanun, Liberty Hotels Group Kişisel Verilerin Saklama ve İmha Politikası ve diğer ilgili mevzuatta belirtilen tüm teknik ve idari tedbirleri alma,

• Kişisel verilerin silinmesi, imha edilmesi, anonimleştirilmesi ile ilgili tüm işlemlerin kaydedilmesi, diğer yasal yükümlülükler dışındaki bu metinde belirtilenler ve en az 3 yıl boyunca saklanması.

3. Kişisel Verilerin Aktarımı

Bağlı olduğumuz şirketlerin iş ortakları, tedarikçileri, paydaşları, bağlı olduğumuz şirketlerin iş ortakları, tedarikçileri, paydaşları, hukuki yetkili kamu kurumları, devlet güvenlik birimleri ve kişisel verilerin işlenme koşulları ve amaçları çerçevesinde kişisel verilerin aktarılmasına ilişkin KVKK'nın 8. ve 9. maddelerinde belirtilen hükümler çerçevesinde hukuka uygun olarak yapılır.

3.1. Misafir Kişisel Verileri

3.1.1. Bireylerle İlişkilendirilen Misafir Verileri

Ad-soyad, kimlik veya pasaport numarası, yaş, cinsiyet, doğum tarihi gibi kişisel veriler (kimlik),

İletişimi sağlayan adres, telefon numarası, e-posta adresi gibi kişisel veriler (iletişim),

Hizmet karşılığında ödeme sağlamak için misafire ilişkin banka kredi kartının ilk 6 ve son 4 hanesi veya banka kartının numarası, kart sahibinin adı, soyadı, geçerlilik tarihi gibi kişisel veriler (ödeme),

Hizmet sağlandığından elde edilen seyahat ürünlerine (uçuş, konaklama, transfer, sağlık turizmi vb.) ilişkin kişisel veri içeren bilgi ve belgeler (hizmet bileşenleri).

IP numarası gibi kişisel verilerin kişiselleştirilmesi imkanı (konum).

Misafirin istek ve beklentilerine göre hizmetin kişiselleştirilmesini sağlayan kişisel veriler (ince yastık, yasemin kokusu, büyük bornoz vb.).

Misafir profilini belirlemek, tercihlerini öğrenmek ve bu profile göre sunulan hizmetleri iyileştirmek amacıyla dijital pazarlama hizmeti alan çözüm ortaklarından elde edilen, kişiyle doğrudan ilişkilendirme imkanı vermeyen istatistiksel veriler ve bağlı kuruluşlar tarafından anonimleştirilebilecek misafir verileri.

3.1.2. Misafir Kişisel Verilerinin Kaynakları

Bağlı kuruluşlarımız, misafir verilerini doğrudan kişiden veya ilgili kişinin temsilcisinden, tur operatörlerinden, ajanslardan, web sayfalarından, çağrı merkezlerinden, mobil telefon uygulamalarından, sosyal medya hesaplarından, üçüncü taraf iş ve çözüm ortaklarından ve ilgili kişi tarafından kamuya açıklanan kaynaklardan elde eder.

Bağlı kuruluşlarımız tarafından ilgili kişiden doğrudan elde edilmeyen ve konaklama hizmetlerinden faydalanmak için bağlı kuruluşlara aktarılan kişisel veriler, ilgili kişi(ler)in iradesine ve yasal düzenlemelere uygun olarak kabul edilir. Bu konuda herhangi bir tereddüt durumunda, bağlı kuruluşlar derhal gerekli önlemleri alır. Liberty Hotels Group Kişisel Verilerin Saklama ve İmha Politikasında belirtilen prensiplere uygun olarak kişisel verileri hemen siler, yok eder veya anonimleştirir.

3.1.3. Misafir verilerinin elde edilme, işlenme ve aktarılma nedenleri.

Bağlı şirketlerimiz, sadece yasaların 5.6.8. maddelerine uygun olarak misafir verilerini toplar. Madde 9'da belirtilen yasal amaçlar doğrultusunda veri elde eder, işler ve aktarır, bu metnin 2. maddesinde belirtilen genel prensipler çerçevesinde. Bağlı şirketlerimiz, ilgili kişinin açık rızası olmaksızın, yasaların 5 ve 6. maddelerinde belirtilen aşağıdaki koşullardan biri veya daha fazlasının bulunduğu durumlarda, bu durumun gerektirdiği ölçüde ve sürede kişisel veri elde edebilir, işleyebilir veya aktarabilir:

• Yasalarda açıkça öngörülmüşse,

• Kişinin yaşamının, bedensel bütünlüğünün veya açık rızasını ifade edemeyen veya yasal olarak geçerli olmayan bir nedenle rızasını ifade edemeyen bir kişinin yaşamının, bedensel bütünlüğünün korunması için zorunluysa,

• İlgili kişi tarafından doğrudan bağlı şirketlerle ilişkilendirilerek sözleşmenin kurulması veya yerine getirilmesi için kişisel verilerin işlenmesi gerekliyse.

• Bağlı şirketlerin, veri sorumlusu olarak yasal yükümlülüklerini yerine getirmeleri zorunluysa.

• İlgili kişi tarafından kamuya açıklanan kişisel veriler.

• Bir hakkın kurulması, kullanılması veya korunması için veri işlemenin zorunlu olması durumunda.

• Veri sorumlusu sıfatıyla bağlı şirketlerin meşru çıkarları için, veri konusunun temel hak ve özgürlüklerine zarar vermeyen şekilde verilerin işlenmesi zorunluysa.

Yukarıda belirtilen yasal gerekçelere dayanarak, bağlı şirketlerimiz aşağıda belirtilen amaçlarla sınırlama olmaksızın kişisel veri elde edebilir, işleyebilir veya aktarabilir, genel prensiplere aykırı olmadığı sürece:

• Misafirlerin bağlı şirketlerimizin sunduğu ürün ve hizmetlerden faydalanmaları için işlemleri gerçekleştirmek.

• Misafirlerin tercihlerine, kullanımlarına ve ihtiyaçlarına göre bağlı şirketlerimizin sunduğu ürün ve hizmetleri önermek ve sunmak.

• Bağlı şirketlerimizin sunmuş olduğu hizmetlerin kalitesini iyileştirmek ve kalite politikasını geliştirmek.

• Misafirlerin ve potansiyel misafirlerin, bağlı şirketlerimiz tarafından sunulan devam eden ve özel kampanyalardan, promosyonlardan, indirimlerden ve benzeri avantajlardan faydalanabilmeleri için bilgilendirmek.

• Bağlı şirketlerimizin kanallarından hizmet alabilmek için. Ziyaretçiler kullanıcı adları ve şifreleriyle giriş yaptığında, ilgili kanallardaki kişisel verileri, tercihleri, işlemleri ve gezinme süreleri ile birlikte elde edilen verileri talep ettikleri bilgi ve hizmetleri sağlamak amacıyla.

• Bağlı şirketlerimiz tarafından düzenlenen ve/veya düzenlenecek her türlü sadakat kartları hakkında bildirimler (yenileme, süresi dolma vb.) yapabilmek veya bağlı şirketlerimiz ve ilgili kuruluşların web sitesi üyelikleri hakkında bilgilendirmeler yapmak. Misafirlerle ilgili iletişimle ilgili her türlü yön, yeni sunulacak hizmet ve ürünlere ilişkin bilgilendirme. Kişisel veri politikalarında ve üyelik koşullarında meydana gelebilecek değişiklikler, yenilikler ve benzeri konularda bilgilendirme yapmak.

• Bağlı şirketlerimiz ve ortaklarımızla iş ilişkisinde olan kişilerin (bağlı şirketler tarafından iletişim için gerçekleştirilen idari işlemler, bağlı şirketlerin mekanlarının fiziksel güvenliğini ve kontrolünü sağlama, iş ortağı/misafir/tedarikçi (yetkililer veya çalışanlar) değerlendirme süreçleri, yasal uyumluluk süreci, mali işler vb.) yasal ve ticari güvenliğini sağlamak.

• İlgili kişilerin talep edecekleri etkinlikler ve hizmetlerle ilgili bilgileri aktarmak,

• Bağlı şirketlerimizin ticari ve iş stratejilerini belirlemek ve uygulamak.

• Bağlı şirketlerimizin insan değeri politikalarının uygulanmasını sağlamak ve yasal olarak belirtilen durumda yasalar tarafından belirlenen bir yasal yükümlülüğü yerine getirmek, açıkça belirtilmişse.

Konuklardan elde edilen kişisel veriler için bilgilendirilmiş onayın doğrudan veya dolaylı olarak elde edilmesi önemlidir. Ancak, bağlı şirketlerimiz, yasaya göre belirtilen madde 5/2'nin paragraf 2'sinde belirtilen konularla sınırlı olarak açık onay almadan konukları veya konuk adaylarını içeren işlemleri gerçekleştirebilirler. Bu gereklilik ortadan kalkarsa, konuk veya konuk adayı onay vermezse veriler hemen silinir, yok edilir veya anonim hale getirilir.

Bağlı şirketlerimiz, yukarıda belirtilen prensipler çerçevesinde konuğun açık onayı alınsa dahi yasal amaçlar için sağladıkları hizmetler dışında kişisel veri işlemez ve elde ettikleri verileri yasalara ve bütünlük kurallarına aykırı hizmetlerde kullanmazlar.

3.1.4. Konuk Kişisel Verilerinin Aktarımı

Bağlı şirketlerimiz, amaçlarını yerine getirmek ve bu metinde belirtilen hukuki gerekçelere uygun olarak sözleşmelerin çerçevesindeki yükümlülüklerini yerine getirmek amacıyla iş ve çözüm ortaklarına, konaklama ve transfer hizmeti sağlayıcılarına ve diğer üçüncü taraflara elde ettikleri verileri paylaşabilir.

Bağlı şirketler, yasanın 8. maddesinde belirtilen sebepler doğrultusunda hizmetlerini yerine getirmek amacıyla, Kurul tarafından belirlenen ilkeler çerçevesinde yurtdışı hedeflere kişisel veri aktarabilir. Kanunun 8/2 maddesinde belirtilen sebepler dışında kişisel veri aktarımı, ilgili kişinin onayına bağlıdır.

Bağlı şirketlerimiz, veriyi paylaştıkları kişi ve kuruluşlarla ilgili mevzuata, kurul kararlarına ve gerekli teknik ve idari önlemleri alma ilkesini benimserler.

Bağlı şirketlerimiz, aşağıdaki kişilere ve kurumlara kişisel veri aktarabilir ve sınırları aşan hizmetler sunmak amacıyla kullanabilir:

• Konuklara konaklama hizmeti sağlamak ve aynı zamanda ticari faaliyetlerini yürütmek için bağlı şirketlere gerekli hizmetleri sağlayan tedarikçilere ve alt yüklenicilere.

• Konuğun hava taşımacılığından ve konaklama hizmetlerinden birlikte faydalanmak istemesi durumunda ilgili havayolu şirketlerine.

• Konuğun havaalanından kalacağı otele ve/veya otelden havaalanına özel transfer hizmeti talep etmesi durumunda bu transfer hizmetini sunan tedarikçi ve taşıma şirketlerine.

• Bağlı şirketlerimiz tarafından sunulan konaklama hizmetlerinin ticari faaliyetlerinin uygulanmasını sağlamak için çözüm ortaklarına.

• Yasal yükümlülüklerini yerine getirmek amacıyla kamu kurum ve kuruluşlarına.

• Dolandırıcılık durumunda, fikri mülkiyet haklarına ve veri politikasının ihlallerine karşı illegal faaliyetlerin önlenmesi veya ortadan kaldırılması için kişilerin yaşamına, bedensel bütünlüğüne ve güvenliğine yönelik bir tehdidi ortadan kaldırmak amacıyla üçüncü taraflara, kamu kurum ve kuruluşlarına kişisel veri.

• Bağlı şirketlerimizin meşru çıkarlarını, haklarını ve çıkarlarını, kendilerine ve onlara iletilen taleplere karşı korumak amacıyla avukatlara ve hukuki danışmanlık ve denetim şirketlerine.

3.2. Çalışan ve Çalışan Adaylarına İlişkin Kişisel Veriler

Bağlı şirketlerimiz, iş sözleşmesinin kurulması amacıyla istihdam ettikleri çalışanların kişisel verilerini, karşılıklı yükümlülüklerin yerine getirilmesi ve işveren olarak üzerine düşen yasal yükümlülüklerin yerine getirilmesi amacıyla ve bu amaçlar için sınırlı açık onay ile işleyebilir. Bu durumda, bağlı şirketlerimiz, bu metinde belirtilen genel prensipleri temel alacak, çalışanlarını bilgilendirecek ve kişisel verilerinin güvenliğini sağlayacaklar.

Bağlı şirketlerimiz, iş başvuru sürecinde istihdam için başvuran çalışan adaylarının CV'sinde ve ilgili belgelerinde bulunan kişisel verileri, açık onay almak şartıyla başvuruları tamamlanana kadar işleme alabilir.

Başvuru başarılı olmadığı takdirde, belirtilen saklama süresinin sona ermesini takiben kişisel veriler tamamen silinir, yok edilir veya anonim hale getirilir. Başvuru kısmen veya tamamen başarılı olduğu durumlarda ise elde edilen kişisel verilerin saklanması ve işlenmesinin devamı, yeni hukuki ilişkinin şartlarına bağlıdır.

3.3. Özel nitelikli Kişisel Veriler

Yasa'nın 6. maddesinde belirtilen özel nitelikli kişisel veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernekler, vakıflar veya sendikalara üyelik, sendika üyeliği, sağlık, cinsel hayat, suç mahkumiyeti ve güvenlik önlemleri, biyometrik ve genetik verilerdir.

İlgili şirketlerimiz, bu metinde belirtilen özel nitelikli kişisel verilerin işlenmesi, aktarılması, silinmesi, imhası veya anonim hale getirilmesi ile ilgili olarak ayrıca özel tedbirler almaktadır. Yasal yükümlülüklerden kaynaklanan nedenlerden veya yasalar tarafından öngörülen durumlar için yapılacak işlemler saklıdır.

İlgili şirketlerimiz, özel nitelikli kişisel verilerin işlenmesinde Yasa'nın 6. maddesinde belirtilen veri işleme koşullarına uygun hareket etmektedir. Bu metinde belirtilen prosedürler ve prensiplere ek olarak, hassas kişisel verilerin işlenmesi için ilgili mevzuatta belirlenen yeterli önlemlerin alınması gerekmektedir.

İlgili şirketlerimiz, çalışanlarının ve konuklarının sağlıkla ilgili kişisel verilerini aşağıdaki koşullardan biri varsa, ilgili mevzuatta belirtilen yeterli önlemleri almak, genel prensiplere uygun olarak işlemek ve gizli tutma yükümlülüğü altında olmak kaydıyla işleyebilecektir:

Kişisel veri konusu olan ilgili kişinin açık rızası,

Halk sağlığının korunması.

Önleyici tıp, tıbbi teşhisin uygulanması, tedavi ve bakım hizmetlerinin gerçekleştirilmesi,

Sağlık hizmetlerinin ve finansmanının planlanması ve yönetimi.

Çalışanlar için İnsan Değerleri süreçlerinin yönetimi. İlgili kişinin açık rızası olmadığı durumlarda.

• Sağlık dışındaki özel kişisel veriler, cinsel hayatla ilgili olanlar ve yalnızca yasada belirtilen durumlarda.

• Sağlık ve cinsel hayatla ilgili kişisel veriler, halk sağlığını korumak, önleyici tıp, tıbbi teşhis, tedavi ve bakım hizmetlerini gerçekleştirmek, sağlık hizmetlerini planlamak ve yönetmek amacıyla gizli tutma yükümlülüğü olan kişiler veya yetkili kurumlar ve kuruluşlar tarafından işlenebilir.

4. Kişisel veri toplama yöntemi ve hukuki nedeni.

İlgili şirketlerimiz, yukarıda belirtilen amaçlar doğrultusunda sunulan ürün ve hizmetleri sağlamak amacıyla belirlenen yasal çerçeve içinde sözlü, yazılı veya her türlü elektronik ortam aracılığıyla kişisel verileri elde eder. Bu hukuki nedenle toplanan kişisel veriler, bu metinde belirtilen kişisel veri işleme koşulları ve KVKK'nın 5. ve 6. maddelerinde belirtilen amaçlar doğrultusunda işlenebilir ve aktarılabilir.

5. Kişisel verilerin korunması ve işlenmesine ilişkin farkındalık ve denetim.

İlgili şirketlerimiz, kişisel verilerin yasadışı işlenmesini, yasadışı veri erişimini önlemek ve verinin korunmasını sağlamak için işletme konuları için gerekli eğitimlerin düzenlenmesini sağlar.

Şirketlerimiz, mevcut ve yeni işe alınan çalışanlarının kişisel verilerin korunması konusunda farkındalığını artırmak için gerekli sistemleri kuracak ve gerektiğinde danışmanlarla çalışacaktır. Bu bağlamda, ilgili eğitimlere, seminerlere ve bilgilendirici oturumlara katılımın değerlendirileceği ve ilgili mevzuatın güncellenmesiyle paralel olarak yeni eğitim oturumlarının düzenleneceği belirtilmiştir.

6. Kişisel verilerin işlenmesi için şartlar

Kişisel veri sahibinin açık rızası haricinde, kişisel veri işleme faaliyetinin temeli aşağıda belirtilen koşullardan biri olabilir veya birden fazla koşul aynı kişisel veri işleme faaliyetinin temeli de olabilir. İşlenen veri özel nitelikli kişisel veri ise, Özel Nitelikli Kişisel Verilerde yer alan koşullar uygulanır.

6.1. Kişisel veri sahibinin açık rızasının temin edilmesi

Kişisel verilerin işlenmesi için koşullardan biri, veri sahibinin açık rızasının temin edilmesidir. Kişisel veri sahibinin açık rızası, bilgilendirme ve özgür iradeye dayalı olarak belirli bir konuda açıklanmalıdır.

6.2. Kanunda açıkça öngörülmesi.

Veri sahibinin kişisel verileri kanunda açıkça öngörülüyorsa, yani ilgili mevzuatta kişisel verilerin işlenmesi konusunda açık bir hüküm varsa, bu veri işleme koşulunun mevcut olduğu belirtililebilir.

6.3. Gerçek bir imkansızlık durumundan dolayı açık rızanın elde edilememesi.

Veri sahibi olan kişinin hayatını veya fiziksel bütünlüğünü korumak amacıyla, gerçek bir imkansızlık nedeniyle açık rızasını beyan edemeyen veya rızası doğrulanamayan kişinin kişisel verileri işlenebilir.

6.4. Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma durumu.

Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili ise, kişisel verilerin işlenmesi gerekiyorsa, bu koşul yerine getirilmiş sayılabilir.

6.5. Şirketin yasal yükümlülüğünü yerine getirme.

Veri sahibinin kişisel verileri, şirketimizin yasal yükümlülüklerini yerine getirmek için gerekli ise işlenebilir.

6.6. Kişisel Veri Sahibi tarafından kişisel verilerin kamuya açıklanması.

Veri sahibi kişisel verilerini kamuya açıklamışsa, ilgili kişisel verilerin kamuya açıklanma amacıyla işlenmesi mümkündür.

6.7. Bir hakkın tesis veya korunması için zorunlu veri işleme.

Veri işleme, bir hakkın tesis, kullanım veya korunması için gerekli ise, veri sahibinin kişisel verileri işlenebilir.

6.8. Şirketimizin meşru çıkarı için zorunlu veri işleme.

Veri sahibinin temel hak ve özgürlüklerine zarar vermediği sürece, veri sahibinin kişisel verileri, şirketimizin meşru çıkarları için gerekli olan veri işleme durumunda işlenebilir.

7. Kişisel veri sahiplerinin hakları

Bir kişisel veri sahibi olarak;

• Kişisel verilerin işlenip işlenmediğini öğrenme

• Kişisel verilerin işlendiği durumda, bunlar hakkında bilgi talep etme.

• Kişisel verilerin işlenme amacını ve bu amaca uygun şekilde kullanılıp kullanılmadığını öğrenme.

• Kişisel verilerin yurt içinde veya yurt dışında hangi üçüncü taraflara aktarıldığını öğrenme.

• Eksik veya yanlış işlenen kişisel verilerin düzeltilmesini talep etme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü taraflara bildirilmesini isteme.

• KVKK ve ilgili mevzuat hükümlerine uygun olarak işlense dahi, işlenmeyi gerektiren sebepler ortadan kalkmışsa kişisel verilerin silinmesini talep etme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü taraflara bildirilmesini isteme.

• İşlenen verilerin yalnızca otomatik sistemler aracılığıyla analiz edilerek kişi aleyhine bir sonuç ortaya çıkmasına itiraz etme.

• Kişisel verilerin hukuka aykırı işlenmesi durumunda zararın giderilmesini talep etme hakkına sahiptir.

KVKK'nın 13. maddesinin 1. fıkrası gereğince yukarıda belirtilen hakların kullanımına ilişkin talebi, iştiraklere yazılı olarak veya 'Kişisel Verileri Koruma Kurulu' tarafından belirlenen diğer yöntemlerle iletmelisiniz.

Başvuru KVKK'ya uygun olarak iştiraklere yazılı olarak yapılmalıdır. Bu kapsamda, KVKK'nın 11. maddesi kapsamında iştiraklere yapılan başvurular için yazılı olarak başvurunun nasıl ve hangi prosedürlerle yapılacağı aşağıda açıklanmıştır.

Yukarıda belirtilen hakların kullanımı için kimlik bilgilerini içeren bir talep ve KVKK'nın 11. maddesinde belirtilen haklardan hangilerinin kullanılacağına dair açıklamaları içeren bir başvuru yapmanız gerekmektedir.

Başvuru Formu'nu doldurduğunuzda, formun imzalı bir kopyasını kimlik belgeleri ve kimlik fotokopisiyle birlikte iştiraklerin adresine bizzat gönderebilir veya noter aracılığıyla, iadeli taahhütlü posta veya KVKK'da belirtilen diğer yöntemlerle gönderebilirsiniz.

7.1. Bağlı olduğumuz şirketlerin başvurulara yanıt vermesi.

Bağlı olduğumuz şirketler, Kişisel Veri Sahibinin taleplerini, Kanun ve ikincil mevzuata uygun olarak tamamlamak için gerekli idari ve teknik tedbirleri alır.

Kişisel Veri Sahibi, 7. bölümde ("Kişisel Veri Sahibinin Hakları") belirtilen haklarla ilgili talebini bağlı olduğumuz şirketlere uygun şekilde ilettiği takdirde ve talebin niteliğine bağlı olarak, bağlı olduğumuz şirketler en kısa sürede ve en geç 30 (otuz) gün içinde yanıt verir. Ancak, işlem ek bir maliyet gerektiriyorsa, ücret, kurul tarafından belirlenen tarifeye uygun olarak talep edilebilir.

8. Kişisel veri kayıt ortamları.

Bağlı olduğumuz şirketler yukarıda belirtilen kişisel verileri aşağıdaki kayıt ortamlarında saklar:

• Elektronik Ortam: Asya Soft, Netsis, Uyum Soft, Microsoft SQL, Dosya Sunucusu, Windows İşletim Sistemi, IOS işletim sistemi, Android işletim sistemi

• Fiziksel Ortamlar: Bölüm/birim dolapları, depolama kutuları ve arşivler.

9. Kişisel verilerin silinmesi, imha edilmesi ve anonimleştirilmesi.

Bağlı olduğumuz şirketler, bu metinde ve Kanun'da uygun şekilde belirtilen prensip ve prosedürlere göre ve resen veya ilgili kişinin başvurusu üzerine, verilerin işlenmesi için amaç ve hukuki sebeplerin ortadan kalkması durumunda, Kanun, ilgili mevzuat, Kurul kararları ve yönergeler çerçevesinde, periyodik imha süreçlerinde elde edilen kişilerin verilerini siler, yok eder veya anonimleştirir.

Yapılan silme, imha veya anonimleştirme işlemleri bir rapor halinde kaydedilir ve silme, imha veya anonimleştirme işlemlerine ilişkin kayıtlar, bağlı olduğumuz şirketlerin veri sorumlusu olarak sahip oldukları diğer yükümlülüklerden bağımsız olarak en az 3 yıl süreyle saklanır.

Kişisel verilerin silinmesi, imha edilmesi veya anonimleştirilmesi sürecinde bağlı olduğumuz şirketler tarafından tüm teknik ve idari tedbirler alınır.

Bu, ilgili kullanıcılar için kişisel verilerin erişilemez ve kullanılamaz hale getirilme sürecidir.

Bağlı olduğumuz şirketler adına hareket eden veri işleyici, veriye erişimin olmadığını kontrol eder ve bu konuda bir rapor düzenler.

9.1. Kişisel verilerin silme teknikleri.

Kağıt ortamındaki Kişisel Veriler: Karartma yöntemi kullanılarak silinir.

Merkezi sunucudaki ofis dosyaları: İşletim sistemi üzerindeki silme komutuyla silinir.

Taşınabilir ortamlardaki Kişisel Veriler: Uygun yazılım kullanılarak silinir.

Veritabanları: İlgili kişisel verilere ait ilgili satırlar, veritabanı komutlarıyla okunamaz hale getirilir.

9.2. Kişisel Verilerin İmhası.

Kişisel verilerin herhangi bir kişi tarafından erişilemez hale getirilmesi, herhangi bir durumda verilerin kurtarılamaması ve yeniden kullanılamaması sürecidir.

Yerel Sistemlerdeki Kişisel Veriler: Manyetikleştirmeler, fiziksel imha, üzerine yazma gibi uygun yöntemler kullanılarak imha edilir.

Ortam Sistemlerindeki Kişisel Veriler:

Ağ Cihazları (anahtarlayıcı, yönlendirici vb.): Yanma, parçalara ayırma gibi fiziksel imha yöntemleriyle verilerin erişilemez hale getirilmesini sağlar.

SIM kart ve sabit bellek kartları: Optik veya manyetik ortam verileri eritme veya yanma gibi işlemlerle erişilemez hale getirilir.

Optik Diskler: Veriler, üzerine yazma veya yanma, parçalara ayırma, eritme gibi fiziksel imha yöntemleriyle erişilemez hale getirilir.

Sabit Veri Kaydedici Ortamlara Sahip Çevre Birimleri: Verilerin üzerine yazma, yanma, parçalara ayırma, eritme gibi fiziksel imha yöntemleriyle erişilemez hale getirilmesini sağlar.

Kağıt ve Mikrofilm Ortamındaki Kişisel Veriler: Kağıt imha makineleri kullanılarak veriler imha edilir.

Tarama yoluyla orijinal kağıt formatından elektronik ortama aktarılan kişisel veriler, ortamına göre uygun yazılım kullanılarak silinir.

Bulut Ortamı: Söz konusu sistemlerdeki kişisel verilerin depolanması ve kullanımı sırasında parola ile erişim sağlanır. Bakım ve onarım gibi amaçlarla dış kaynak kullanılan personelin erişimi yetkili bir dış kaynak kullanılan personelin denetimi altında gerçekleştirilir. Süresi dolan sunucuların diskleri küçük parçalara kırılarak imha edilir.

9.3. Kişisel Verilerin Anonimleştirilmesi

Bir veri setindeki tüm doğrudan ve/veya dolaylı tanımlayıcıların kaldırılması veya değiştirilmesi, ilgili kişilerin tanımlanmasını engelleyen veya bir grup içinde ayırt edilemez hale getiren bir şekilde gerçek bir kişiyle ilişkilendirilemeyen bir şekilde gerçekleştirilen süreçtir.

Kişisel Verilerin Anonimleştirilmesi Teknikleri: Kişisel Verilerin Anonimleştirilmesi sürecinde, metinde gösterilen yöntemlerden biri, ilgili mevzuat hükümleri çerçevesinde kullanılır.

9.4. Kişisel Verilerin Silinmesi, İmhası, Anonimleştirilmesi İçin Süreler

İlgili kişinin yasal yükümlülükler gereği kişisel verilerini saklama zorunluluğu olmadığı sağlandığı takdirde; kişinin rızasıyla işlenen veriler, ilgili kişinin talebi doğrultusunda bağlı olduğumuz şirketlere iletilmesini takiben en geç 30 gün içinde silinir, imha edilir veya anonimleştirilir.

Kanunun 5. maddesinde belirtilen sebeplerle işlenen, açık rıza gerektirmeyen kişisel veriler, sebep ve hukuki dayanak ortadan kalktıktan sonra ilk periyodik silme, imha veya anonimleştirme döneminde, süre sonunda silinir, imha edilir veya anonimleştirilir.

Kanunun 5. maddesinde belirtilen sebeplerle açık rıza aranmaksızın kişisel verilerin işlendiği durumlarda, ancak ilgili kişi bunun silinmesini talep ederse, kişisel veriler, rızayla işlenen verilerden ayrıştırılır ve yasal yükümlülüklere ilişkin endişeleri sınırlayan yetki ve kontrol matrisleri tarafından sadece ilgili yükümlülüklere ilişkin olanlara erişilebilmesini sağlayacak şekilde saklanır. Madde'de belirtilen hukuki dayanak kaldırılarak hemen imha edilir veya anonimleştirilir.

10. Teknik ve İdari Tedbirler

10.1. İdari Tedbirler

İdari tedbirler kapsamında bağlı olduğumuz şirketler;

• İçerideki kişisel verilere erişim ve depolama için iş tanımlarını dikkate alarak yetkilendirme ve kontrol matrislerini sınırlar.

• İşlenen kişisel verilerin başkaları tarafından hukuka aykırı şekilde elde edilmesi durumunda, en kısa sürede ilgili kişiyi bilgilendirir.

• Kişisel verilerin işlenmesi konusunda bilgi ve deneyime sahip personel istihdam eder ve gerekli eğitim ve uyarıları sağlar.

• Kendi tüzel kişiliği ve tüm grup şirketlerinin sorumluluğu altında, kişisel verilerin korunmasına ilişkin politikalar, prosedürler, talimatlar, yönergeler ve diğer dokümantasyonları belirler.

• İlgili kişilerle yapılan sözleşmelere, hizmet seviyelerine ve diğer ilgili sözleşmelere gizlilik ve gizlilik taahhüdünü dahil eder.

• Kişisel verilerin güvenli bir şekilde saklanmasını ve erişimin sınırlanmasını sağlamak için güvenlik önlemleri alır.

• Kişisel verilerin işlenmesi sırasında ortaya çıkan riskleri değerlendirir ve uygun önleyici ve düzeltici tedbirler alır.

10.2. Teknik Tedbirler

Teknik tedbirler kapsamında bağlı olduğumuz şirketler;

• Kişisel verilerin işlenmesi için gerekli ağ güvenliği önlemlerini alır.

• Veri merkezlerinin fiziksel güvenliğini sağlamak için uygun önlemler alır.

• Kişisel verilerin işlenmesi sırasında kullanılan sistemlerin güvenliğini sağlamak için uygun önlemler alır.

• Veri erişimi ve iletişimi için şifreleme teknolojilerini kullanır.

• Veri kaybı ve bozulmasını önlemek için yedekleme ve geri yükleme yöntemleri kullanır.

• Kişisel verilerin korunmasını sağlamak için güvenlik testleri ve denetimler gerçekleştirir.

• Sistemlere yetkisiz erişimi engellemek için kimlik doğrulama ve yetkilendirme yöntemleri kullanır.

Bu tedbirlerin uygulanması, Kişisel Veri Koruma Kanunu'nda belirtilen hükümlere ve bağlı olduğumuz şirketlerin veri koruma politikalarına uygun olarak gerçekleştirilir.

10.2. Teknik Önlemler

• Kurulan sistemlerin kapsamında gerekli iç denetimleri gerçekleştirir.

• Kurulan sistemlerin kapsamında bilgi teknolojisi risk değerlendirmesi ve iş etkisi analizi süreçlerini yürütür.

• Kurum içerisindeki kişisel verilerin kurum dışına çıkmasını engelleyecek teknik altyapıyı sağlar ve yetkilendirme ve kontrol matrislerinin oluşturulmasını sağlar.

• Gerektiğinde periyodik aralıklarla penetrasyon testi hizmeti alarak sistem zafiyetlerinin kontrolünü sağlar.

• Bilgi teknolojisi birimlerinde çalışanların kişisel verilere erişim hakları kontrol altında tutulur.

• Kişisel verilerin saklandığı alanlar, yüksek güvenlikli parola teknolojisi veya şifreleme yöntemleriyle korunur ve güvenlik duvarı, SSL Protokolü (Güvenli Giriş Katmanı) ile kötüye kullanımlar engellenir. Fiziksel olarak tutulan veriler, bağlı şirketler tarafından yetkilendirilen arşivlerde tutulur.

• Kişisel verilerin saklandığı alanlarda siber güvenliği sağlamak için gerekli önlemler alınır. Bu bağlamda, siber saldırılara karşı internet hizmet sağlayıcılarından DDOS hizmeti alınır.

• Sanal sunucuların güvenliğini sağlamak için güvenlik yazılımları da kullanılır.

• Kişisel verilerin saklandığı kayıt alanlarında gerçekleşen tüm işlemler ve hareketler izlenir ve güvenlik ihlalleri durumunda risk analizi yapılır ve zafiyetler hemen giderilir.

• Kişisel verilerin bulunduğu kayıt ortamlarının, siber sistemlerin ve sunucuların fiziksel koruması, özel güvenlik cihazları ve yetkilendirme kontrolleri ile sağlanır.

• Kişisel veri yedekleme diskleri ve sunucuları, yangın ve su baskını gibi dış etkenlere karşı kilitli kasanlarda korunur.

• ISP sistem odasında tutulan veriler, noktadan noktaya hatlarla günlük olarak yedeklenir.

• Kayıt alanlarına erişim için yetkilendirme kontrolleri sağlanır.

• Veri kaybı riskini önlemek için DLP (Data Loss Prevention) çözümü kullanılır.

• Harici medya bağlantı noktaları, yetkililer tarafından kayıp riskine karşı kapalı tutulur.

Tüm misafirlerimize sunmuş olduğumuz bilgileri beyan ediyoruz.