http___protimeas.com_kvkk-veri-guvenligine-iliskin-yukumlulukler_hizmetler_114_1.xml
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 9.2 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 19.2 20.1 21.1
Appendix A – Information about the processing A.1 The purpose of the data processor’s processing of personal data on behalf of the data controller is The purpose of the data processor’s processing of personal data on behalf of the data controller is so that the data controller can use the Application (CleanManager), which is owned and operated by the data processor, to manage and plan work on the data controller’s employees and customers. A.2 The data processor’s processing of personal data on behalf of the data controller shall mainly pertain to (the nature of the processing) Delivering, operating and further developing of the Application, including storing data and backup management. Besides storing of data, the processing may also in – accordance with the data controllers instruction – include: A.3 The processing includes the following types of personal data about data subjects For employees: Name, address, phone no., email, CPR-no., bank statements, employment and termination date, emergency contact person, picture, time and place of meetings, employment contract, workplace assessments etc. For customers: Name, billing and shipping address, phone no., email, CVR-no. and EAN-no., CPR-no., information on contact person (name, phone no. and email), contracts, work assessments etc. The data processor does not support the recording of data related to the special categories of personal data, including health, race and ethnicity and personal data related to criminal conviction and offences. A.4 Processing includes the following categories of data subject The processing may include the following categories of data subjects insofar the data on these categories are entered into the Application: The data controller’s current employees The data controller’s terminated employees The data controller’s potential customers and their contact persons The data controller’s current customers and their contact persons The data controller’s previous customers and their contact persons Section III to V includes both private persons, enterprises and public organisations. A.5 The data processor’s processing of personal data on behalf of the data controller may be performed when the Clauses commence. Processing has the following duration The processing may be performed for the entire and continuous duration of the subscription period and 30 days after the termination of the subscription period. There may be a duration of 20 days from the period of deletion until the data is deleted from the backup systems.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1
KVKK Veri Güvenliğine İlişkin Yükümlülükler Kanunun veri güvenliğine ilişkin 12. maddesine göre veri sorumlusu; Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, Kişisel verilerin muhafazasını sağlamak ile yükümlüdür. Veri sorumlusu bu yükümlülüklerini yerine getirmek amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Veri güvenliğine ilişkin yükümlülükleri belirlemek amacıyla düzenleyici işlem yapmak ise Kurulun yetki ve görevleri arasında yer almaktadır. Bununla birlikte, Kurul tarafından belirlenecek asgari kriterler esas alınmak üzere sektör bazında işlenen kişisel verilerin niteliğine göre ilave tedbirlerin alınması da söz konusu olabilecektir. Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, gerekli tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur. Dolayısıyla veri işleyenler de veri güvenliğinin sağlanması için tedbir alma yükümlülüğü altındadır. Buna göre, örneğin veri sorumlusunun şirketine ilişkin kayıtlar bir muhasebe şirketi tarafından tutuluyorsa, verilerin işlenmesine ilişkin birinci fıkrada belirtilen tedbirlerin alınması hususunda veri sorumlusu muhasebe şirketiyle birlikte müştereken sorumlu olacaktır. Kanunda, veri güvenliğine ilişkin olarak ayrıca veri sorumlusuna denetim yükümlülüğü getirilmiştir. Veri sorumlusu, kendi kurum veya kuruluşunda, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır. Dolayısıyla, veri sorumlusu bu denetimi kendisi gerçekleştirebileceği gibi, bir üçüncü kişi vasıtasıyla da gerçekleştirebilir. Öte yandan, veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder. Son olarak, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir. Veri güvenliğine ilişkin alınacak önlemlerin her bir veri sorumlusunun yapısına, faaliyetlerine ve tabi olduğu risklere uygun olması gerekmektedir. Bu nedenle, veri güvenliğine ilişkin tek bir model öngörülememektedir. Uygun önlemlerin belirlenmesinde şirketin büyüklüğü veya cirosunun yanı sıra veri sorumlusunun yaptığı işin ve korunan kişisel verinin niteliği de önemlidir.