NGM Yapım Anonim Şirketi

Kişisel Verileri İşleme Politikası

1. KAPSAM
   1. İşbu Kişisel Verilerin İşlenmesi Politikası(“Politika”); NGM Yapım Anonim Şirketi. nin kişisel veri işlediği süreçlere dâhil olan tüm Kurum müdürlük, birim ve çalışanları ile üçüncü tarafları kapsamaktadır.
   2. İşbu Politika; NGM Yapım Anonim Şirketi. nin kişisel veriler üzerinde uygulayacağı tüm saklama ve imha faaliyetlerini kapsamaktadır.
   3. İşbu Politika sadece kişisel verilerin imha ve saklama işlemleri için uygulanacaktır.
   4. Kanun, Yönetmelik veya sair mevzuatın kısmen veya tamamen değiştirilmesi, tadil edilmesi, güncellenmesi veya yürürlükten kaldırılması durumunda Kurum, Politikayı yeni Kanun, Yönetmelik veya mevzuata uyumlu olacak şekilde güncelleyerek değiştirecektir.

B. TANIMLAR

İşbu Politikanın uygulanmasında kullanılan kavramlar aşağıda yer verilen anlamları ifade eder;

C. AMAÇ VE KAPSAM

İşbu Politika, Kanunun 7.maddesi uyarınca oluşturulan Yönetmelik içerisinde yer alan kişisel verilerin imhasından sorumlu olan gerçek veya tüzel kişiler hakkında uygulanır ve NGM Yapım Anonim Şirketi’ nin sözleşmelere bağlı olarak sorumlu kıldığı üçüncü kişiler tarafından uyulması gereken esasları belirler.

Yönetmelik uyarınca NGM Yapım Anonim Şirketi, Sicil’e kayıt yükümlülüğü olan bir Veri Sorumlusu olarak, uhdesinde bulunan kişisel verileri kişisel veri envanterine uygun bir şekilde saklamak ve gerektiğinde imha etmek için işbu Politika’yı hazırlamak ve uygun hareket etmek ile yükümlüdür.

Kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler geçerli olacaktır:

1. Kanunun 4 üncü maddesindeki genel ilkelere uyulacaktır.
2. NGM Yapım Anonim Şirketi, işbu Politika’yı hazırlamış olmanın tek başına kişisel verilerin Yönetmelik, Kanun ve ilgili mevzuata uygun olarak imha edildiği anlamına gelmeyeceğini kabul
3. NGM Yapım Anonim Şirketi., kişisel verileri saklarken yahut silerken, yok ederken veya anonim hale getirirken,Kanunun Maddesinde yer alan güvenlik tedbirlerine, ilgili mevzuatta yer alan hükümlere, Kurulu’un alacağı kararlara ve Politika’ya uygun hareket edeceğini kabul, beyan ve taahhüt eder.
4. NGM Yapım Anonim Şirketi., bünyesinde bulundurduğu kişisel verilerin amacı tamamen veya kısmen otomatikolan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin imhası sırasında işbu Politika’ya ve Politika’ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını taahhüt
5. NGM Yapım Anonim Şirketi., Kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi veerişilmesinin önlenmesi ile ilgili, yasaların ön gördüğü gerekli her türlü asgari teknik ve idari tedbirleri alır. Söz konusuteknik ve idari tedbirler, kişisel verilerin saklanması ve imhası için kullanılacak yöntemlerle ilgili oluşturulan teknik kılavuzlarda  tarif edilir.
6. NGM Yapım Anonim Şirketi., Kişisel verileri saklama ve imha süreçlerinde yer alacakların unvan, birim ve görev tanımlarını

D. KAYIT ORTAMLARI

NGM  Yapım Anonim Şirketi., işbu Politika ile kişisel veri içeren ve aşağıda sayılmış olan ortamlar ve bunlara ek olarak ortaya çıkabilecek diğer ortamlardaki kişisel verileri Politika’ nın kapsamına dâhil etmeyi kabul eder.

1. Bilgisayarlar / sunucular
2. Ağ cihazları,
3. Ağ üzerinde veri saklanması için kullanılan paylaşımlı / paylaşımsız disk sürücüleri,
4. Mobil telefonlar ve içerisindeki tüm saklama alanları,
5. Kağıt,
6. Mikrofiş,
7. Yazıcı, Parmak izi okuyucu gibi çevre birimler,
8. Manyetik bantlar,
9. Optik diskler,
10. Flash hafızalar.

E. KİŞİSEL VERİLERİN İMHASINI GEREKTİREN DURUMLAR

Aşağıda belirtilen kapsamda bir ihlal olması durumunda Potansiyel Güvenlik İhlal durumu kabul edilerek NGM Yapım Anonim Şirketi tarafından ilgili güvenlik ihlal süreçleri işletilecek bunlara ilişkin rapor ve bildirimler gerekli görülen durumlarda NGM Yapım Anonim Şirketiyönetimi, Kurul ve ilgili kişisel veri sahipleri nezdinde paylaşılacaktır. Bu amaçla söz konusu rapor ve bildirimlerin yapılması için NGM  Yapım Anonim Şirketi.’nın ihlal yönetimi süreçleri uygulanacaktır.

1. Kanun’a Aykırılık

NGM  Yapım Anonim Şirketi., kişisel verileri Kanun’da belirtildiği şekle aykırı olarak işlemeyeceğini taahhüt eder.

NGM  Yapım Anonim Şirketi., Kanun’un 5 ve 6. maddelerindeki kişisel verilerin işlenmesi şartlarındaki istisnalar mevcut olmadığı sürece;

1. Kanun’da belirtilen istisnalar dışında açık rızasını almadığı kişilerin kişisel verilerinisaklamayacaktır.İstisna kapsamında veya açık rıza kapsamında işlenen verilerin işleme amacının ortadan kalkması ve/veya yasal saklama sürelerinin dolması halinde NGM Yapım Anonim Şirketibukişisel verileri saklamayacak ve imha edecektir.

2. Kişisel Veri İşleme Şartlarının Ortadan Kalkması

NGM  Yapım Anonim Şirketi., veri işlenme şartlarının güncelliğinden sorumludur ve bu sorumluluğunu kişisel veri işleyen ilgili tüm çalışanları ile paylaşır.

Çalışanlar, veri işlenme şartlarının ortadan kalktığı durumlarda veri işlemeye devam etmeyecektir. Bu durumların tespiti ilgili iş biriminin önerisi ile KVKK Komitesi tarafından yapılır ve işbu Politika’ya uygun şekilde imha işlemi gerçekleştirilir.

NGM Yapım Anonim Şirketi, aşağıda listelenen ve Yönetmelik içinde de belirtilen ilgili durumlarda veri işlenme şartlarının ortadan kalktığını kabul eder:

1. İlgili mevzuatın kişisel verileri işlemeye esas teşkil eden hükümlerinin değiştirilmesi veya yürürlüktenkaldırılması;
2. Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçersiz olması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,
3. Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
4. Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması,
5. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
6. İlgili kişinin, Kanunun 11 inci maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı usule uygun başvurunun kabulü,
7. NGM Yapım Anonim Şirketi.’nin, ilgili kişi tarafından kişisel verilerinin imhası talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
8. Kişisel verilerin saklanmasını gerektiren azami süre geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

F.  KİŞİSEL VERİLERİN İMHASI

Kişisel verilerin imhası, aşağıda detaylıca açıklanan verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi şeklinde üç farklı şekilde yapılabilir.

NGM Yapım Anonim Şirketi bünyesinde ilgili iş birimleri, söz konusu kişisel verilerin bulunduğu bilgi sistemleri ve uygulama sahipleri tarafından verilecek bilgilendirme doğrultusunda KVKK Komitesi kişisel verilerin imhası için uygulanacak yönteme bu imhanın nedenine bağlı olarak yazılı karar verir. Bu yazılı karar gereğince işbu Politika’nın G) maddesindeki imha yöntemlerinden biri Kurul’un yayınladığı Kişisel Verilerin Silinmesi Yok Edilmesi ve Anonim Hale Getirilmesi Rehberi’ne bağlı olarak uygulanır.

Kişisel verilerin saklanması ve imhası için kullanılacak yöntemlerle ilgili NGM Yapım Anonim Şirketi ayrıca teknik kılavuzlar oluşturur ve bunların uygulanmasını sağlar.

Kişisel verilerin imhasının takibi NGM Yapım Anonim Şirketiiçerisindeki ilgili veri sahibi iş biriminin sorumluluğundadır. Veri sahibi iş birimi, verilerin imhası için denetimi kendisi tarafından yapılmak kaydıyla NGM  Yapım Anonim Şirketi.’nın farklı birimlerinden destek alır.

1. Kişisel Verilerin Silinmesi

Tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin silinmesi; söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Herhangi bir veri kayıt sisteminin parçasını teşkil eden ve otomatik olmayan yollarla işlenen kişisel verilerin silinmesi sürecinde, yasal saklama süreleri göz önünde bulundurularak silme işlemine konu olacak kişisel veriler belirlenir. NGM Yapım Anonim Şirketikişisel verilere erişim ve yetkilendirme anlamında NGM  Yapım Anonim Şirketi.’nin mevcut durumda bilgi sistemleri ve uygulamaları üzerinde yürütmekte olduğu rol ve yetki matrisleri dahilinde güncellemelerini yapar ve ilgili kullanıcıları tespit eder. İlgili Kullanıcıların erişim, geri getirme, tekrar kullanma gibi yetkileri ve yöntemleri bu kapsamda tespit edilir.

NGM  Yapım Anonim Şirketi., kişisel verileri sildiği durumlarda, verileri hiçbir şekilde erişilemez veya tekrar kullanılamaz hale getirir. NGM  Yapım Anonim Şirketi., bu işlemi yaparken verilerin hiçbir kullanıcı tarafından erişilemez veya tekrar kullanılamaz olduğunu garanti eder.

2. Kişisel Verilerin Yok Edilmesi

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Yok etme işlemi, NGM  Yapım Anonim Şirketi.’ nin verileri fiziksel kayıt ortamlarında işlediği durumlarda yapılacaktır. NGM Yapım Anonim Şirketibu verileri tekrar geri getirilmesi mümkün olmayacak hale getirmekle yükümlüdür.

Kağıt ve mikrofiş ortamları için bu işlem gerçekleştirilirken ortamı kağıt imha veya kırpma makinaları ile anlaşılmaz boyutta geri birleştirilemeyecek şekilde küçük parçalara bölünerek yok edilecektir. Ayrıca, NGM Yapım Anonim Şirketibu kapsamda Üçüncü Taraflardan imha hizmeti alabilir.

3. Kişisel Verilerin Anonimleştirilmesi

Anonim hale getirme işlemi, NGM  Yapım Anonim Şirketi.’ nin kişisel verileri tamamen veya kısmen otomatik yollarla işlediği durumlarda, bu verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

NGM  Yapım Anonim Şirketi., ilgili veri kümesindeki tüm doğrudan ve/veya dolaylı tanımlayıcıları çıkartarak ya da değiştirilerek, ilgili kişinin kimliğinin saptanabilmesinin engelleyerek bir grup veya kalabalık içinde ayırt edilebilir olma özelliğini, bir gerçek kişiyle ilişkilendirilemeyecek şekilde kaybetmesini sağlar.

Verilerin anonimleştirilmesi sırasında NGM  Yapım Anonim Şirketi., tek yönlü fonksiyonlar ile şifreleme gibi yöntemler kullanabilir.

G. KİŞİSEL VERİLERİN İMHA YÖNTEMLERİ VE SÜRECİ

Kişisel verilerin imhası için NGM  Yapım Anonim Şirketi., imha sırasında kullanılabilecek tüm yöntemleri İşbuPolitika ve eklerinde tanımlar. Veri sahibi iş birimi, işbu Politika içerisindeki uygun yöntemi uygun duruma göre belirleyerek uygulamakla yükümlüdür.

Kişisel verilerin imhası sırasında NGM Yapım Anonim Şirketi vereceği yazılı karara göre aşağıdaki yöntemlerden uygun olanı seçerek imhayı gerçekleştirir:

1. Üzerine Yazma

Manyetik medya ve yeniden yazılabilir optik medya üzerine yazılımlarla en az 7 kez 0 ve 1’lerden oluşan rassal veriler yazılarak eski verinin okunamaz hale getirilmesi işlemidir.

2. Manyetize Etme

Manyetik medyanın yüksek değerde manyetik alanda fiziksel değişime sokularak üzerindeki verinin okunamaz hale getirilmesi işlemidir.

3. Fiziksel Yok Etme

Optik medya veya manyetik medyanın eritme, toz haline getirme, öğütme ve benzeri işlemlerle fiziksel olarak yok edilmesi işlemidir. Manyetize etme veya üzerine yazma metotlarının başarısız olduğu durumlarda uygulanabilir.

4. Bulut İmhası

Bulut sistemler üzerinde tutulan kişisel verilerin imha bildiriminin anlaşmalı servis sağlayıcıya yapılmasının ardından kişisel verilerin şifreleme anahtarlarının tüm kopyalarının imha edilmesi işlemidir.

5. Çevresel Sistemlerde Yer Alan Kişisel Verilerin İmhası

Yazıcı, parmak izi ünitesi, kapı giriş turnikesi gibi sistemler içerisinde yer alan kişisel verileri barındıran mevcut ise iç ünite, mevcut değil ise tüm cihaz üzerinde üzerine yazma, manyetize etme veya fiziksel yok etme uygulanarak yapılması gereken imha işlemidir. Bu tip imhaların, cihazların yedekleme, bakım ve benzeri işlemlere tabi olmasından önce uygulanması zorunludur.

H. SAKLAMA VE İMHA SÜRELERİ

1. Periyodik İmha ve Yasal Saklama Süreleri

Yasal saklama ve imha sürelerini dolduran fiziksel ve elektronik veriler, periyodik olarak imha edilir. NGM  Yapım Anonim Şirketi., imha yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri imha eder.

Periyodik imha sırasında baz alınacak yasal saklama süreleri, ilgili mevzuatın gereklerine göre, sözleşme hükümleri ve Serozan şirket politikaları şartlarına göre belirlenir. İmha işlemi, imha yükümlülüğünün doğmasını takiben ilk Periyodik imha sırasında uygulanır.

İmha edilen kişisel verilere ilişkin tüm işlemler kayıt altına alınır ve bu kayıtlar 3 yıl süre ile saklanır.

2. Veri Sahiplerinin Talep Etmesi Durumunda İmha Süreci

Veri sahiplerinin NGM  Yapım Anonim Şirketi.’ ye başvurarak kendisine ait kişisel verilerin imhasını talep ettiği durumlarda, kişisel verileri işleme şartlarının mevcut durumunu kontrol eder. Söz konusu kontrol sonucunda;

• Kişisel verileri işleme şartlarının tamamının ortadan kalktığı anlaşılırsa, talebe konu kişisel veriler işbu Politika’da belirtilen karar ve yöntemlere uygun olarak en geç otuz gün içinde imha edilir ve ilgili kişiye bilgi
• Kişisel verileri işleme şartlarının ortadan kalktığı ve talebe konu olan kişisel verilerin üçüncü kişilere aktarıldığı anlaşılmışsa NGM Yapım Anonim Şirketibu durumu ilgili üçüncü kişiye bildirir; üçüncü kişi nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin
• Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, NGM Yapım Anonim Şirketiilgili veri sahibine gerekçesini açıklayarak talebi reddedebilir ve ret cevabını ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda

Veri sahiplerinden gelecek taleplerin karşılanması ve yanıtlanması amacıyla NGM Yapım Anonim Şirketibünyesinde Kişisel Veri Sahiplerinden Gelen Talep ve Şikâyetlerin Yönetimi Süreci oluşturulur.

İ. SAKLAMA VE İMHA SÜREÇLERİNDE YETKİLENDİRME

NGM  Yapım Anonim Şirketi., kişisel verileri saklama ve imha süreçlerinde görev alanlar ve iş tanımları aşağıdaki gibidir;

• KVKK Komitesi: Bilgi Güvenliği Ekip Lideri başkanlığında ayda bir kez toplanır. Kişisel verilerin saklanması ve imhası konusunda ilgili iş birimleriyle beraber çalışılarak politika ve yöntemler hakkında karar verir, Politika ve eklerinin güncel tutulmasına sağlar, gerekli durumlarda NGM Yapım Anonim Şirketi.in Süreç Yönetimi, diğer birimlerle yakın çalışarak Politika’nın Kanun ve Yönetmeliğe uygun ve doğru şekilde yürütülmesini temin eder.
• Bilgi teknolojileri: Politika’da belirtilen karar ve yöntemler ışığında ilgili imha ve saklama süreçlerinin Kanun ve Yönetmeliğe uygun şekilde gerçekleştirilmesini sağlar.
• İlgili iş birimleri: Kişisel verilerin saklanması ve imhası konusunda politika ve yöntemlerin belirlenmesi için görüş ve gerekçelerini belirtir ve bu Politika nezdinde yürütülmesi aksiyonların takibini

J. POLİTİKA’DA YAPILACAK DEĞİŞİKLİKLER

1. Kanun, Yönetmelik veya sair mevzuatın kısmen veya tamamen değiştirilmesi, tadil edilmesi, güncellenmesi veya yürürlükten kaldırılması durumunda, NGM Yapım Anonim Şirketi, Politikayı yeni Kanun, Yönetmelik veya mevzuata uyumlu olacak şekilde güncelleyerek değiştirecektir.
2. NGMYapım Anonim Şirketi., Politika üzerinde yaptığı değişiklikler incelenebilecek olacak şekilde güncellenen Politika’yı e-posta yolu ile çalışanlarıyla paylaşacak ve kurumsal intranet üzerinden çalışanlarının erişimine sunacaktır.

K.    POLİTİKA’NIN YÜRÜRLÜK TARİHİ

İşbu Politika 01.12.2021 tarihinde yürürlüğe girmiştir.