http___proteksan-turquoise.com_kisisel-verilerin-korunmasi.aspx_1.xml
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 19.2 19.3 19.4 20.1 21.1 22.1 22.2 23.1 24.1 24.2 25.1 26.1 27.1 28.1 29.1 30.1 31.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 46.2 47.1 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 61.2 61.3 62.1 63.1 64.1 64.2 65.1 66.1 67.1 68.1 69.1 70.1 71.1 72.1 73.1 74.1 75.1 75.2 76.1 76.2 77.1 77.2 78.1 79.1 80.1 81.1 82.1 83.1 84.1 84.2 85.1 85.2 86.1 86.2 87.1 87.2 88.1 89.1 90.1 91.1 91.2 92.1 93.1 93.2 94.1 94.2 95.1 96.1 96.2 96.3 97.1 98.1 99.1 100.1 101.1 102.1 103.1 104.1 105.1 106.1 107.1 108.1 109.1 109.2 110.1 110.2 111.1 112.1 113.1 114.1 115.1 115.2 116.1 117.1 117.2 118.1 118.2 118.3 119.1 120.1 120.2 121.1 122.1 123.1 124.1 125.1 126.1 126.2 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1 156.2 156.3 157.1 158.1 159.1 160.1 161.1 162.1 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 175.1 175.2 175.3 176.1 177.1 177.2 178.1 178.2 179.1 179.2 179.3 180.1 181.1 182.1 182.2 183.1 184.1 185.1 185.2 186.1 187.1 188.1 189.1 189.2 190.1 190.2 191.1 191.2 191.3 192.1 192.2 193.1 194.1 194.2 194.3 195.1 196.1 197.1 198.1 199.1 200.1 201.1 202.1 203.1 204.1 204.2 205.1 206.1 207.1 208.1 209.1 210.1 211.1 212.1 213.1 214.1 215.1 216.1 217.1 217.2 218.1 219.1 219.2 220.1 221.1 222.1
Privacy Policy & Privacy Notice Privacy Notice Information controller, who are we? Software Minder Limited is an innovative software company which specialises in providing cloud-based business management tools for businesses within the Health & Fitness industry. Your personal data that we process is: - Names - Email - Telephone - Photos - Address We declare that the personal data we collect will only be used for the following purposes: - To improve and assist with customer service. - To send occassional emails - the email address you provide may be used to send information, respond to queries or other requests. - To process transactions - Your information, whether public or private, will not be sold, exchanged, transferred, or given to any other company for any reason whatsoever, without your consent, other than for the express purpose of delivering the purchased product or service requested. - To improve our product and personalise your experience. The basis that entitles us to process your data is: Processing is based on your consent; Do we disclose any information to outside parties? We do not sell, trade, or otherwise transfer to outside parties your personally identifiable information. This does not include trusted third parties who assist us in operating our website, conducting our business, or servicing you, so long as those parties agree to keep this information confidential. We may also release your information when we believe release is appropriate to comply with the law, enforce our site policies, or protect ours or others rights, property, or safety. However, non-personally identifiable visitor information may be provided to other parties for marketing, advertising, or other uses. Consent By agreeing to accept this Privacy Notice, you authorize us to process your personal information only for the purposes we specify. In cases where we want consensus on special (sensitive) personal data, we will always be motivated why and how this information will be used. You can withdraw your consent at any time Data Retention We will retain your Personal Information for as long as needed or permitted in light of the purpose(s) for which it was obtained and consistent with applicable law. The criteria used to determine our retention periods include: - The length of time we have an ongoing relationship with you and provide the Services to you (for example, for as long as you have an account with us or keep using the Services); - Whether there is a legal obligation to which we are subject (for example, certain laws require us to keep records of your transactions for a certain period of time before we can delete them); or - Whether retention is advisable in light of our legal position (such as in regard to applicable statutes of limitations, litigation or regulatory investigations). At any time while we store or process your personal data, you have the following rights: - You have the right to request a copy of your personal data Software Minder Limited and the right of access at any time to your personal data; - You have the right to request your personal data in a form convenient to transfer to another personal data administrator from Software Minder Limited or to ask us to do so without being hindered by ourselves; - You have the right to ask Software Minder Limited to correct without undue delay your inaccurate personal data as well as the data that is not up to date; You have the right to request from Software Minder Limited that your personal data be deleted without undue delay in any of the following circumstances: - personal data are no longer needed for the purposes for which they were collected; - when you have withdrawn your consent; - when you have objected to the processing, - when processing is unlawful; - where personal data must be erased in order to comply with a legal obligation under EU law or the law of a Member State that applies to us as a data controller; - when personal data have been gathered in connection with the provision of information society services. We may refuse to delete your personal information for the following reasons: - in the exercise of the right to freedom of expression and the right to information; - to comply with a legal obligation on our part or to carry out a task in the public interest, - in the exercise of the official powers granted to us (in case you are a body of authority); - for reasons of public interest in the field of public health; - for purposes of archiving in the public interest, for scientific or historical research or for statistical purposes, in so far as deletion is likely to render impossible or seriously obstructing the achievement of the purposes of such processing; or for the establishment, exercise or protection of legal claims. You have the right to request from Software Minder Limited to restrict the processing of your personal data, in which case the data will only be stored but not processed. Our refusal to restrict will be explicit only in writing, and we are obliged to motivate it for the legitimate reason; - You have the right to withdraw your consent to the processing of your personal data at any time with a separate request addressed to the administrator; - You have the right to object to certain types of processing, such as direct marketing (unsolicited advertising messages); - You have the right to object to automated processing, including profiling; - You have the right not to be the subject of a decision based solely on automated processing including profiling; - If we need to use your personal data for a new purpose not covered by this data protection statement, we will provide you with a new data protection skill and when and where necessary we will require your prior consent for the new processing. All the above requests will be forwarded if there is a third party (recipients, including outside the EU and international organizations) in the processing of your personal data. You have the right to complaint to the supervisory authority Data Protection Officer In case you wish to file a complaint about the processing of your personal data through Software Minder Limited (recipients, including outside the EU and international organizations), you can do so by contacting Software Minder Limited or directly of the Data Protection Officer (the contact details listed below). For questions or concerns regarding the Privacy Policy, you may contact the data privacy officer at privacy@ptminder.com. Address: PO Box 25600, St Heliers 1740, Auckland, New Zealand. Privacy Policy Introduction General Data Protection Regulation (GDPR) Regulation (EU) 2016/679 (General Data Protection Regulation) replaces Data Protection Directive 95/46. It has direct effect and implies a change in the legislation of the Member States in the field of personal data protection. Its purpose is to protect the "rights and freedoms" of individuals and to ensure that personal data are not processed without their knowledge and, where possible, processed with their consent. Scope Material scope (GDPR Article 2) - this Regulation applies to the processing of personal data wholly or in part by automatic means and to the processing of personal data (for example, manually and on paper) by other means, which are part of a personal data record or which are intended to form part of a personal data record. Territorial scope (GDPR Article 3) - The rules of the GDPR will apply to all data controllers established in the EU who process personal data of individuals in the context of their activities. It will also apply to non-EU administrators who process personal data in order to offer goods and services or observe the behavior of data subjects who are resident in the EU. Definition: Personal data means any information relating to an identified or identifiable natural person (‘data subject’); an identifiable natural person is one who can be identified, directly or indirectly, in particular by reference to an identifier such as a name, an identification number, location data, an online identifier or to one or more factors specific to the physical, physiological, genetic, mental, economic, cultural or social identity of that natural person; Special categories of personal data means personal data revealing racial or ethnic origin, political opinions, religious or philosophical beliefs or membership of trade unions and the processing of genetic data, biometrics for unique identifying an individual, data concerning health or data on the sexual life of an individual or sexual orientation. Processing means any operation or set of operations which is performed on personal data or on sets of personal data, whether or not by automated means, such as collection, recording, organisation, structuring, storage, adaptation or alteration, retrieval, consultation, use, disclosure by transmission, dissemination or otherwise making available, alignment or combination, restriction, erasure or destruction; Controller means the natural or legal person, public authority, agency or other body which, alone or jointly with others, determines the purposes and means of the processing of personal data; where the purposes and means of such processing are determined by Union or Member State law, the controller or the specific criteria for its nomination may be provided for by Union or Member State law; Processor means a natural or legal person, public authority, agency or other body which processes personal data on behalf of the controller; Data subject means any natural person who is the subject of personal data stored by the Controller (Administrator). Consent of the data subject means any freely given, specific, informed and unambiguous indication of the data subject's wishes by which he or she, by a statement or by a clear affirmative action, signifies agreement to the processing of personal data relating to him or her; Profiling means any form of automated processing of personal data consisting of the use of personal data to evaluate certain personal aspects relating to a natural person, in particular to analyse or predict aspects concerning that natural person's performance at work, economic situation, health, personal preferences, interests, reliability, behaviour, location or movements; Personal data breach means a breach of security leading to the accidental or unlawful destruction, loss, alteration, unauthorised disclosure of, or access to, personal data transmitted, stored or otherwise processed; Main place of establishment - the EU controller's headquarters will be the place where he takes the basic decisions about the purpose and means of his data processing activities. For personal data processors, its main place of establishment in the EU will be its administrative center. If the controller is based outside the EU, he must appoint a representative in the jurisdiction where the administrator works to act on behalf of the controller and deal with supervisors. (Article 4 (16) of the GDPR) Recipient means a natural or legal person, public authority, agency or another body, to which the personal data are disclosed, whether a third party or not. However, public authorities which may receive personal data in the framework of a particular inquiry in accordance with Union or Member State law shall not be regarded as recipients; the processing of those data by those public authorities shall be in compliance with the applicable data protection rules according to the purposes of the processing; Third party means a natural or legal person, public authority, agency or body other than the data subject, controller, processor and persons who, under the direct authority of the controller or processor, are authorised to process personal data; Declaration on privacy policy Obligations and roles under Regulation (EU) 2016/679 - The management of Software Minder Limited undertake to ensure compliance with the EU and Member States legislation regarding the processing of personal data and the protection of the "rights and freedoms" of persons whose personal data is Software Minder Limited collects and processes under the General Data Protection Regulation (Regulation (EU) 2016/679). - In accordance with the GDPR, other relevant documents as well as related processes and procedures are described in this policy. - Regulation (EU) 2016/679 and this policy shall cover all processing functions of personal data, including those relating to the personal data of clients, employees, suppliers and partners, and any other personal data that the organization processes from different sources. - The Data Protection Officer shall be responsible for reviewing the "Registry of Processing Activities" annually in the light of any changes in the activities of Software Minder Limited as well as any additional requirements, data protection impact assessments. This register must be available at the request of the supervisory authority. - This policy applies to all employees / workers (and stakeholders) of Software Minder Limited as external suppliers. Any violation of the GDPR will be considered a violation of labor discipline, and if there is a presumption of a crime, the matter will be referred to the relevant state authorities as soon as possible. - Partners and third parties who work with or for Software Minder Limited and who have or may have access to personal data will be expected to become acquainted, understand and comply with this policy. No third party may access personal data stored by Software Minder Limited without having previously entered into a data privacy agreement which impose on the third party obligations no less burdensome than those which the Software Minder Limited has taken over and entitles (Software Minder Limited to carry out checks on compliance with the obligations imposed by the agreement). III. Principles of data protection - Software Minder Limited is (data controller and processor) under Regulation (EU) 2016/679. - Compliance with data protection legislation is the responsibility of all employees of Software Minder Limited, which process personal data. - The training policy of the Software Minder Limited (GDPR_POL_02) specifies the specific training and information requirements in relation to the specific roles of the employees of Software Minder Limited. All processing of personal data must be in accordance with the data protection principles referred to in Article 5 of GDRP (EU) 2016/679. The policies and procedures of Software Minder Limited aim to ensure compliance with these principles. Personal data must be processed lawfully, in good faith and transparently Lawfulness - Identify a legal basis before it can process personal data. They are often referred to as "grounds for processing", such as "consent". Fairness - in order for the processing to be in good faith, the data controller must provide certain information to the data subjects as far as is practicable. This applies irrespective of whether personal data is obtained directly from data subjects or from other sources. Regulation (EU) 2016/679 increases the requirements for what information should be available to data subjects that are covered by the "transparency" requirement. Transparency - The GDPR includes rules on the provision of confidential information to data subjects in Articles 12, 13 and 14 of the GDPR. They are detailed and specific, emphasizing that privacy notices are understandable and accessible. Information must be communicated to the data subject in comprehensible form using clear and comprehensible language. The rules for notification to the data subject by Software Minder Limited are defined in the Transparency Procedure for the Processing of Personal Data (GDPR_PROC_02) and the notification is recorded in the Privacy Policy (GDPR_FORM_01). The specific information to be provided to the data subject must include as a minimum: - Data identifying the controller and contact details of the controller and, if applicable, of the controller's representative; - the contacts of the DPO; - the purposes of the processing for which the personal data are intended and the legal basis for the processing; - the period for which personal data will be stored; - the existence of the following rights - requesting access to data, correction, deletion (right to be forgotten), restriction of processing, as well as the right to object to the conditions (or the lack thereof) in relation to the exercise of these rights; - categories of personal data; - recipients or categories of recipients of personal data, where applicable; - where applicable, whether the controller intends to transfer personal data to a third party recipient and the level of data protection; - any additional information necessary to ensure good handling. Personal data may only be collected for specific, explicit and legitimate purposes Data obtained for specific purposes should not be used for a purpose that differs from those officially announced to the supervisory body as part of the Software Minder Limited Data Processing (Article 30 GDPR). The Transparency Procedure for the Processing of Personal Data (GDPR_PROC_02) defines the relevant rules. Personal data must be adequate, relevant, limited to what is necessary for their processing for the purpose. (principle of minimum necessary) - Data Protection Officer (DPO) is responsible for ensuring that Software Minder Limited does not collect information that is not strictly necessary for the purpose for which it was received. - All data collection forms (electronic or paper), including data collection requirements in the new information systems, must include a declaration of bona fide processing or a Privacy Policy Privacy Notice (GDPR_FORM_01) and to be approved by the DPO. - The Data Protection Officer (DPO) will ensure that on an annual basis all data collection methods are reviewed by (internal audit / external experts) to ensure that the collected data continues to be adequate , relevant, are not excessive. Personal data must be accurate and up-to-date at all times, and the necessary efforts are made to enable deletion or correction immediately (within the framework of possible technical solutions) - The data stored by the data controller should be reviewed and updated as necessary. Data should not be stored in cases where it is unlikely to be accurate. - The Data Protection Officer is responsible for ensuring that all staff are trained in the importance of accurate data collection and maintenance. - It is also the duty of the data subject to declare that the data he transmits for storage by Software Minder Limited are accurate and up-to-date. Completing a form from the data subject to the administrator will include a statement that the data contained therein is accurate at the filing date. - Employees / employees (clients / others) should be required to notify Software Minder Limited of any change in circumstances in order to update the records of personal data. Instructions and rules for updating the records are contained (here). The responsibility of Software Minder Limited is to ensure that any change of circumstances notification is recorded and action is taken. - The Data Protection Officer is responsible for ensuring that appropriate procedures and policies are in place to maintain the accuracy and timeliness of personal data, taking into account the volume of data collected, the speed at which it can change, other relevant factors . - At least annually, the Data Protection Officer will review the storage times of all personal data handled by Software Minder Limited, referring to the inventory of the data and will identify all data that are no longer required in the context of the registered objective. These data will be reliably destroyed in accordance with the administrator's procedures and rules. - The Data Protection Officer (DPO) is responsible for complying with data r requests within one month (GDPR_PROC_03), which can be extended by a further two months If the Software Minder Limited decides not to comply with the request, the Data Protection Officer must respond to the data subject in order to explain his / her reasons and to inform him / her of the right to complain and the supervisory authority and to seek redress. - The Data Protection Officer is responsible for taking appropriate measures in cases where third party organizations have inaccurate or outdated personal data to inform them that the information is inaccurate or obsolete and is not used to make decisions about individuals to inform the parties concerned; and to forward any correction of personal data to third countries where necessary. Personal data must be stored in such a form that the data subject can only be identified for as long as is necessary for the processing. - When personal data is retained after the processing date, it will be stored appropriately (minimized, encrypted, aliased) to protect the identity of the data subject in case of data breaches. - Personal data will be stored in accordance with the Data Storage and Destruction Procedure (GDPR_PROC_07) and after the storage period has passed, they must be reliably destroyed by the procedure specified in this procedure. - The Data Protection Officer should specifically approve any retention of data beyond the retention period defined in the Data Storage and Destruction Procedure (GDPR_PROC_07) and must ensure that the justification is clearly defined and complies with the requirements of data protection legislation. This approval must be in writing. Personal data must be processed in a way that ensures appropriate security (Article 24, Article 32 of the GDPR) The Data Protection Officer will carry out an impact assessment (risk assessment) taking into account all circumstances related to data management or processing operations by Software Minder Limited. In determining the suitability of the processing, the Data Protection Officer should also examine the extent of any damage or loss that may be caused to individuals (eg staff or customers) if a security breach occurs, as is the case and any likely damage to the reputation of the controller, including a possible loss of customer confidence. When assessing appropriate technical measures, the Data Protection Officer will consider the following: - Password protection; - Automatic locking of idle workstations in the network; - Removing access rights for USB and other removable storage media; - Antivirus software and firewalls; - Access rights based on roles, including those of assigned temporary staff - Protect devices that leave the organization's premises, such as laptops or others; - Security of local and wide-area networks; - Enhanced privacy practices such as pseudonymization and anonymization - Identification of appropriate international security standards appropriate for Software Minder Limited When assessing the appropriate organizational measures, the Data Protection Officer will consider the following: - Levels of appropriate training in Software Minder Limited - Measures that take into account staff reliability (for example, appraisal assessments, recommendations, etc.); - Inclusion of data protection in employment contracts; - Identification of disciplinary measures for violations with regard to data processing; - Regularly inspect staff for compliance with relevant security standards; - Control of physical access to electronic and paper-based records; - Adoption of a "clean job" policy; - Store the database paper in lockable wall cabinets; - Restricting the use of portable electronic devices outside the workplace; - Limiting employee use of personal devices in the workplace; - Accepting clear rules for creating and using passwords; - Regular backup of personal data and physical storage of media with copies outside the office; - Imposition of contractual obligations on counterparty organizations to take appropriate security measures when transferring data outside the EU. These controls are selected based on the identified personal data risks as well as the potential for damage to the data subjects who are being processed. Compliance with the principle of accountability Regulation (EU) 2016/679 includes provisions that promote accountability and manageability and complement transparency requirements. The principle of accountability in Art. 2 requires the administrator to prove that he adheres to the other principles in the GDPR and explicitly states that this is his responsibility. Software Minder Limited will demonstrate compliance with data protection principles by implementing data protection policies by adhering to codes of conduct, implementing appropriate technical and organizational measures, and adopting data protection techniques the design and protection phase of data, impact assessment on the protection of personal data, personal data breach notification procedure, etc. Rights of data subjects Data subjects shall have the following rights in respect of the processing of data and the data recorded for them: Software Minder Limited provides conditions to ensure the exercise of these rights by the data subject: Data subjects may request data access as described in the Procedure for Managing Subjects Requests (GDPR_PROC_03); this procedure also describes Software Minder Limited will ensure that the response of the data subject's request meets the requirements of the GDPR. Data subjects have the right to submit complaints to the Software Minder Limited, related to the processing of their personal data, the processing of a request by the data subject and the data subject's appeal, on the way complaints are processed in accordance with Procedure for communication of complaints and requests by the data subject (GDPR_PROC_04). - Make requests to verify that personal data associated with it is being processed and, if so, to access the data, as well as information on who the recipients of that data are. - Request a copy of their personal data from the controller (administrator); - Ask the controller (administrator) to correct personal data when they are inaccurate and when they are no longer up to date; - Require the controller (administrator) to delete personal data (right to be forgotten); - Ask the controller (administrator) to limit the processing of personal data, in which case the data will be stored but not processed; - To object to the processing of his or her personal data; - To object to the processing of personal data relating to him / her for direct marketing purposes. - Appeal to a supervisor if he / she believes that any of the GDPR provisions is violated; - Request and be given personal data in a structured, widely used and machine-readable format; - Withdraw your consent to the processing of personal data at any time with a separate request addressed to the administrator; - Not subject to automated decisions affecting him to a significant extent without human interference; - Oppose automated profiling, which happens without its consent; You can request to exercise these rights by emailing privacy@ptminder.com. We will process your request within 30 days of receiving your request. Note that we may require proof of identification before we process your request. Consent - Under consent, Software Minder Limited shall understand any free expression, specific, informed and unambiguous indication of the will of the data subject, by means of a statement or a clear confirmation action, which expresses its consent to the processing of the related personal data. The data subject may withdraw his / her consent at any time. - Software Minder Limited understands "consent" only in cases where the data subject has been fully informed of the planned processing and has expressed his / her consent and without exerting pressure on it. Consent obtained under pressure or on the basis of misleading information will not be a valid basis for the processing of personal data. - Consent can not be inferred from the absence of a reply to a message to the data subject. There must be active communication between the controller and the subject for consent. The administrator must be able to demonstrate that consent has been received for the processing operations. - For specific categories of data, explicit consent in writing to obtain consent to the processing of personal data (GDPR_PROC_06) of data subjects shall be obtained unless there is an alternative legal basis for processing. - In most cases, the consent for the processing of personal and special categories of data is routinely obtained from Software Minder Limited, using standard documents for consent (please specify) when a new client signs a contract or when recruiting new staff, etc. - When Software Minder Limited processes personal data of children, permission must be obtained from parents exercising parenting rights (parents, guardians, etc.). This requirement applies to children under the age of 16 (unless the Member State has provided for a lower age limit, which may not be less than 13 years). Data security - All employees / employees are responsible for ensuring the security in the storage of the data they are responsible for and which Software Minder Limited, holds and that the data are safely stored and not disclosed under any circumstances of third parties, unless the Software Minder Limited has given such rights to that third party by entering into a contract / confidentiality clause (please indicate here if you have any such). - All personal data must be accessible only to those who need it and access can only be granted in accordance with established access control rules. All personal data must be treated with the utmost certainty and must be kept: - in a self-contained room with controlled access; and / or in a locked cabinet or in the filing cabinet; and / or - if computerized, password protected in accordance with internal requirements set out in organizational and technical measures to control access to information (eg access control rules); and / or - stored on portable computer media that are protected in accordance with organizational and technical measures to control access to information. - Establish an organization to ensure that computer screens and terminals can not be viewed by anyone other than the authorized employees of Software Minder Limited. All employees / workers are required to be trained and accept the relevant contractual clauses / declaration of compliance with the organizational and technical measures of access as well as the rules for the locking of workstations before being given access to information of any kind. - Paper-based records should not be left where they can be accessed by unauthorized persons and can not be removed from the designated office premises without explicit permission. As soon as paper documents are no longer required for ongoing customer support work, they must be destroyed in accordance with the established procedure / rules and the relevant protocol. - Personal data may be erased or destroyed only in accordance with the Data Storage and Destruction Procedure (GDPR_PROC_07). Paper records that have reached the date of storage must be cut and destroyed as "confidential waste". Hard disk data on redundant PCs must be deleted or disks destroyed according to established rules / procedures. - The processing of personal data "outside the office" represents a potentially greater risk of loss, theft or violation of personal data. The staff must be specifically authorized to process data outside the controller's premises. Disclosure of data - Software Minder Limited must ensure that personal data are not disclosed to unauthorized third parties, including family members, friends, state bodies, even investigators, if there is reasonable doubt that they are not required established order. All employees / workers should be cautious when they ask them to disclose personal data stored to another person of a third party. It is important to keep in mind whether or not the disclosure of information is related to the needs of the organization's activities. Special training and periodic briefings are required in order to avoid the risk of such an offense. - All requests from third parties for providing data shall be supported by appropriate documentation and any such disclosure shall be specifically authorized by the Data Protection. Data storage and destruction - Software Minder Limited does not store personal data in a way that allows the identification of the subjects for a longer period than is necessary with respect to the purposes for which the data were collected. - Software Minder Limited may store data for longer periods only if the personal data are processed for purposes of archiving, public interest purposes, scientific or historical research and for statistical purposes and only in the performance of appropriate technical and organizational measures to safeguard the rights and freedoms of the data subject. - The storage period for each category of personal data will be set out in the Procedure for Storing and Destruction of Data (GDPR_PROC_07) as well as the criteria used to determine this period, including any legal obligations, Software Minder Limited to retain the data. - The procedure for storing and destroying data (GDPR_PROC_07) as well as (if you have made) the rules for destroying the information on unused recording media, Software Minder Limited will apply in all cases. - Personal data must be destroyed securely, in accordance with the principle of ensuring an appropriate level of security (Article 5 (1b) of the GDPR) - including protection against unauthorized or unlawful processing and against accidental loss, destruction or damage , by applying appropriate technical or organizational measures ("integrity and confidentiality"); Data Processing Register (Data Inventory) - Software Minder Limited has established a data inventory process as part of its approach to addressing risks and opportunities in complying with the compliance policy with Regulation (EU) 2016/679. In the inventory of the data in the Software Minder Limited and in the work data flow, there are established: - business processes that use personal data; - the sources of personal data; - the number of data subjects; - a description of the categories of personal data and elements in each category; - processing activities; - the purposes of the processing for which the personal data are intended; - the legal basis for the processing; - recipients or categories of recipients of personal data; - Main systems and storage locations; - any personal data that is subject to transfers outside the EU; - storage and deletion times. - Software Minder Limited is aware of the risks associated with the processing of certain types of personal data. - Software Minder Limited assesses the level of risk for persons related to the processing of their personal data. Impact assessments on data protection related to the processing of personal data by Software Minder Limited and in relation to the processing undertaken by other organizations on behalf of Software Minder Limited are being carried out. - Software Minder Limited manages all the risks identified by the Impact Assessment in order to reduce the probability of non-compliance with these rules. Where a type of processing can lead to a high risk to the rights and freedoms of individuals, in particular by using new technologies and taking into account the nature, scope, context and purposes of the processing, before proceeding with the processing of Software Minder Limited should perform an assessment of the impact of the processing operations envisaged on the protection of personal data. A general impact assessment may consider a set of similar processing operations that present similar high risks. - Where, as a result of the Impact Assessment, it is clear that Software Minder Limited will start processing personal data which, due to a high risk, could cause damages to data subjects, the decision whether or not the processing should continue should be submitted for review by the Data Protection Officer. - If the DPO has serious concerns about the potential harm or danger or the amount of relevant data, the matter should escalate to the supervisory authority. - The Data Protection Officer shall make a periodic (annual) review of the initially inventory data, review the entered information in the "Registry of Processing Activities" in the light of any changes in the activities of Software Minder Limited.
1.1 2.1 3.1 4.1 5.1 6.1 7.1 8.1 9.1 10.1 11.1 12.1 13.1 14.1 15.1 16.1 17.1 18.1 19.1 20.1 21.1 22.1 23.1 24.1 25.1 26.1 27.1 28.1 29.1 30.1 31.1 32.1 33.1 34.1 35.1 36.1 37.1 38.1 39.1 40.1 41.1 42.1 43.1 44.1 45.1 46.1 47.1 48.1 49.1 50.1 51.1 52.1 53.1 54.1 55.1 56.1 57.1 58.1 59.1 60.1 61.1 62.1 63.1 64.1 65.1 66.1 67.1 68.1 69.1 70.1 71.1 72.1 73.1 74.1 75.1 76.1 77.1 78.1 79.1 80.1 81.1 82.1 83.1 84.1 85.1 86.1 87.1 88.1 89.1 90.1 91.1 92.1 93.1 94.1 95.1 96.1 97.1 98.1 99.1 100.1 101.1 102.1 103.1 104.1 105.1 106.1 107.1 108.1 109.1 110.1 111.1 112.1 113.1 114.1 115.1 116.1 117.1 118.1 119.1 120.1 121.1 122.1 123.1 124.1 125.1 126.1 127.1 128.1 129.1 130.1 131.1 132.1 133.1 134.1 135.1 136.1 137.1 138.1 139.1 140.1 141.1 142.1 143.1 144.1 145.1 146.1 147.1 148.1 149.1 150.1 151.1 152.1 153.1 154.1 155.1 156.1 157.1 158.1 159.1 160.1 161.1 162.1 163.1 164.1 165.1 166.1 167.1 168.1 169.1 170.1 171.1 172.1 173.1 174.1 175.1 176.1 177.1 178.1 179.1 180.1 181.1 182.1 183.1 184.1 185.1 186.1 187.1 188.1 189.1 190.1 191.1 192.1 193.1 194.1 195.1 196.1 197.1 198.1 199.1 200.1 201.1 202.1 203.1 204.1 205.1 206.1 207.1 208.1 209.1 210.1 211.1 212.1 213.1 214.1
KİŞİSEL VERİLERİN KORUNMASI 1. TURQUOISE YAT KVKK POLİTİKASI 1.1. GİRİŞ Kişisel verilerin korunması, TURQUOISE YAT SANAYİ A.Ş.’nin (“TURQUOISE YAT veya Şirket”) Şirketimizin Kurumsal anlamda önem verdiği Değerler arasındadır. Bu konunun en önemli bölümünü bu Politika ile yönetilen; Müşteriler’in, Müşteri Adayları’nın, Stajyerlerimizin, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçi’lerimizin, İşortağımız olan Kurumların Çalışanları’nın, Hissedarları’nın ve Yetkilileri’nin ve Üçüncü Kişi’lerin kişisel verilerinin korunması ve işlenmesi oluşturmaktadır. Türkiye Cumhuriyeti Anayasası’nın 20.Maddesine göre, tüm gerçek kişiler, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bir Anayasal hak olan kişisel verilerin korunması konusunda, TURQUOISE YAT, işbu Politika ile yönetilen; Müşteriler’in, Müşteri Adayları’nın, Stajyerlerimizin, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçi’lerimizin, İşortağımız olan Kurumların Çalışanları’nın, Hissedarları’nın ve Yetkilileri’nin ve Üçüncü Kişi’lerin kişisel verilerinin korunmasına gerekli özeni göstermekte ve bunu bir şirket politikası haline getirmektedir. Bu kapsamda, ilgili mevzuat gereğince işlenen kişisel verilerin korunması için TURQUOISE YAT tarafından gereken idari ve teknik tedbirler alınmaktadır. Bu Politika’da kişisel verilerin işlenmesinde TURQUOISE YAT’nun benimsediği ve aşağıda sıralanan temel ilkelere ilişkin detaylı açıklamalarda bulunulacaktır: - •Kişisel verileri hukuka ve dürüstlük kurallarına uygun işleme, - •Kişisel verileri doğru ve gerektiğinde güncel tutma, - •Kişisel verileri belirli, açık ve meşru amaçlar için işleme, - •Kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü işleme, - •Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme, - •Kişisel veri sahiplerini aydınlatma ve bilgilendirme, - •Kişisel veri sahiplerinin haklarını kullanması için gerekli sistemi kurma, - •Kişisel verilerin muhafazasında gerekli tedbirleri alma, - •Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılmasında, ilgili mevzuata ve KVK Kurulu düzenlemelerine uygun davranma, - •Özel nitelikli kişisel verilerin işlenmesine ve korunmasına gerekli hassasiyeti gösterme 1.2. POLİTİKANIN AMACI Bu Politika’nın temel amacı, TURQUOISE YAT tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen sistemler konusunda açıklamalarda bulunmak, bu kapsamda Müşteriler’in, Müşteri Adayları’nın, Stajyerlerimizin, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçi’lerimizin, İşortağımız olan Kurumların Çalışanları’nın, Hissedarları’nın ve Yetkilileri’nin ve Üçüncü Kişi’ler başta olmak üzere kişisel verileri şirketimiz tarafından işlenen kişileri bilgilendirilerek şeffaflığı ve saydamlığı sağlamaktır. 1.3. KAPSAM Bu Politika; Müşteriler’in, Müşteri Adayları’nın, Stajyerlerimizin, Şirket Hissedarları’nın, Şirket Yetkilileri’nin, Ziyaretçi’lerimizin, İşortağımız olan Kurumların Çalışanları’nın, Hissedarları’nın ve Yetkilileri’nin ve Üçüncü Kişi’lerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir. Yukarıda belirtilen kategorilerde yer alan kişisel veri sahipleri gruplarına ilişkin işbu Politika’nın uygulama kapsamı Politika’nın tamamı olabileceği gibi; yalnızca bir kısım hükümleri de olabilecektir.. 1.4. POLİTİKAYA İLİŞKİN UYGULAMA ESASLARI Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir. Politika, 6698 Sayılı KVKK tarafından ortaya konulan kuralların TURQUOISE YAT uygulamaları kapsamında somutlaştırılarak düzenlenmesinden oluşturulmuştur. Şirketimiz, KVK Kanunu’nda öngörülen yürürlük sürelerine uygun hareket etmek üzere gerekli sistem ve hazırlıklarını yürütmektedir. 1.5. POLİTİKANIN YÜRÜRLÜĞÜ Şirketimiz tarafından 1.versiyon olarak düzenlenen bu Kişisel Verilerin Korunması ve İşlenmesi Politikası 15.Ocak. 2018 tarihlidir. Politika’nın tamamının veya belirli maddelerinin yenilenmesi durumunda Politika’nın yürürlük tarihi ve versiyonu güncellenecektir. Politika Şirketimizin resmi internet sitesinde (https://www.turquoiseyachts.com) yayımlanır ve kişisel veri sahiplerinin talebi üzerine ilgili kişilerin erişimine sunulur. 2. KİŞİSEL VERİLERİN KORUNMASI UYGULAMA ESASLARI Şirketimiz, KVK Kanunu’nun 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya yaptırmaktadır. 2.1. KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI Şirketimiz, aşağıda belirtilen hususlarda veri güvenliği konusunda gerekli hukuki, teknik ve idari tedbirleri almakta, bu konuda en üst düzeyde dikkat ve özeni göstermektedir. Şirketimiz tarafından KVK Kanunu’nun 12inci maddesi uyarınca “veri güvenliğini” sağlamaya yönelik alınan aksiyonlar ve tedbirler aşağıda belirtilmektedir. - •Şirketimiz, kişisel verilerin hukuka uygun işlenmesini sağlamak için, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır. Çalışanlar, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.Tüm çalışanlardan Açık Rıza Onay Formu ıslak imzalı olarak alınmıştır. - •Şirketimiz, kişisel verilerin bilinçsizce veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerdeki tüm hukuka aykırı erişimi önlemek için korunacak verinin niteliği, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır. - •Şirketimiz kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, verilere hukuka aykırı olarak erişilmesinin önlenmesi ve verilerin hukuka uygun muhafazasının sağlanması konusunda kişisel verileri aktarmış olduğu iş ortakları ve tedarikçiler gibi veri işleyen kurumlar nezdinde farkındalıkları arttırmakta; iş ortakları ve tedarikçilerin KVK kanuna uygun kişisel veri işleme faaliyetlerinde bulunması yönünde gerekli önlemleri almaktadır. - •Şirketimizin veri sorumlusu olarak kişisel verileri işlerken uymak zorunda olduğu yükümlülükler ve bu konuda geliştirdiği hukuksal, idari ve teknik tedbirlere uyma zorunluluğu Şirketimizin tedarikçi, iş ortağı gibi çeşitli sıfatlarla ilişkide olduğu veri işleyen kurumlara veri işleme konusunda gerçekleştirdikleri faaliyetin niteliğiyle uyumlu bir şekilde sözleşmelerde yapılan güncellemelerle hukuki olarak yükletilmektedir. - •Şirketimiz, kişisel verilerin güvenli ortamlarda saklanması ve hukuka aykırı amaçlarla yok edilmesini, kaybolmasını veya değiştirilmesini önlemek için teknolojik imkânlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır. - •Şirketimiz, KVK Kanunu’nun 12. maddesine uygun olarak, kendi bünyesinde gerekli denetimleri yapmakta veya yaptırmaktadır. Bu denetim sonuçları Şirketin iç işleyişi kapsamında konu ile ilgili bölüme raporlanmakta ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir. - •Şirketimiz, KVK Kanunu’nun 12. maddesine uygun olarak işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede ilgili kişisel veri sahibine ve KVK Kurulu’na bildirilmesini sağlayan sistemi yürütmektedir. 2.2. VERİ SAHİBİNİN HAKLARININ GÖZETİLMESİ VE TALEPLERİNİN DEĞERLENDİRİLMESİ Şirketimiz, kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine gereken bilgilendirmenin yapılması için KVK Kanunu’nun 13. maddesine uygun olarak gerekli kanalları, iç işleyişi, idari ve teknik düzenlemeleri yürütmektedir. Kişisel veri sahipleri aşağıda sıralanan haklarına ilişkin taleplerini yazılı olarak Şirketimize iletmeleri durumunda Şirketimiz talebin niteliğine göre talebi en geç otuz gün içinde ücretsiz olarak sonuçlandırmaktadır. Ancak, KVK Kurulunca bir ücret öngörülmesi hâlinde, Şirketimiz tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınacaktır. Kişisel veri sahipleri; - •Kişisel veri işlenip işlenmediğini öğrenme, - •Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, - •Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, - •Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, - •Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, - •KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, - •İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, - •Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir. Kişisel Verilerinin Korunması Kanunun 13üncü maddesinin 1inci fıkrası gereğince, kişisel veri sahiplerinin yukarıda belirtilen haklarını kullanmakla ilgili taleplerini “yazılı” veya Kişisel Verilerin Korunması Kurulunun belirlediği diğer yöntemlerle Şirketimize iletmeleri gerekmektedir. Kişisel Verilerin Korunması Kurulu şu aşamada herhangi bir yöntem belirlemediği için başvuruların Kanunun amir hükmü gereği yazılı olarak Şirketimize iletilmesi gerekmektedir. Kişisel veri sahiplerinin yukarıda belirtilen haklarını kullanmaları için, kimliklerini tespit edici gerekli bilgiler ve kullanmak istedikleri haklarına yönelik açıklamalarla birlikte taleplerini, Kanunun 11inci maddesinde belirtilen haklarda hangisinin kullanımına ilişkin olduğunu da belirterek Şirketimize iletmeleri; başvuruların daha hızlı ve etkili bir şekilde cevaplandırılmasını sağlayacaktır. Bu çerçevede, Şirketimize Kişisel Verilerin Korunması Kanunu’nun 13üncü maddesine dayalı olarak aynı Kanunun yukarıda belirtilen 11inci maddesindeki hakların kullanılması kapsamında, yapılacak başvuruların yazılı olarak iletileceği kanallar ve usuller aşağıda açıklanmaktadır. KVK Kanunu’nun 11. maddesinde belirtilen haklardan kullanılmak istenen kişisel veri sahibinin hakkına yönelik açıklamaları içeren talepler; www.turquoiseyachts.com adresindeki formu doldurarak, veya formun imzalı bir nüshasını Güzelyalı Caddesi Malkoçoğlu sokak No:3/1 34903 Güzelyalı Pendik İstanbul Türkiye adresine veri sahibinin kimliğini tespit edici belgeler ile birlikte bizzat elden iletilebilir, noter kanalıyla veya KVK Kanunu’nda belirtilen diğer yöntemler ile gönderilebilir. Kişisel veri sahipleri adına üçüncü kişilerin başvuru talebinde bulunabilmesi için veri sahibi tarafından başvuruda bulunacak kişi adına noter kanalıyla düzenlenmiş özel vekâletname bulunmalıdır. 2.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI KVK Kanunu ile bir takım kişisel verilere, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem atfedilmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir. Şirketimiz tarafından, KVK Kanunu ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, Şirketimiz tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve gerekli denetimler sağlanmaktadır. 2.4. KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI Şirketimiz, KVK Kanunu’nun 10. maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatmaktadır. Bu kapsamda Şirketimiz tarafından kişisel veri sahiplerine kişisel verilerinin elde edilmesi sırasında Şirketimizin kimliği, kişisel verilerin hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile kişisel veri sahibinin KVK Kanunu’nun 11inci maddesi kapsamında sahip olduğu haklara ilişkin aydınlatma yapılmaktadır. Anayasa’nın 20. maddesinde herkesin, kendisiyle ilgili kişisel veriler hakkında bilgilendirilme hakkına sahip olduğu ortaya konulmuştur. Bu doğrultuda KVK Kanunu’nun 11inci maddesinde kişisel veri sahibinin hakları arasında “bilgi talep etme” de sayılmıştır. Şirketimiz bu kapsamda, Anayasa’nın 20inci ve KVK Kanunu’nun 11inci maddelerine uygun olarak kişisel veri sahibinin bilgi talep etmesi durumunda gerekli bilgilendirmeyi yapmaktadır. Bunun yanında Şirketimiz KVK Kanundaki tüm hususlar ile başta “Hukuka ve dürüstlük” kuralına uygun kişisel veri işleme faaliyetinde bulunduğunu kişisel veri sahipleri ile ilgililere işbu Politika belgesi başta olmak üzere çeşitli kamuoyuna açık dokümanlarla duyurarak, kişisel veri işleme faaliyetlerinde ilgilileri bilgilendirmeyi ve bu çerçevede hesap verilebilirliği ve şeffaflığı sağlamaktadır. Ayrıca Şirketimiz ilgili kişilere; kişilerin “açık rıza” sına başvurduğu zamanlar başta olmak üzere kendi faaliyetleri ve kanundaki hususlar hakkında birçok farklı yöntemlerle de bilgilendirmede bulunmaktadır. 3. KİŞİSEL VERİLERİN İŞLENMESİ Şirketimiz,Anayasa’nın 20. maddesine ve KVK Kanunu’nun 4. maddesine uygun olarak, kişisel verilerin işlenmesi konusunda; hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlar güderek; amaçla bağlantılı, sınırlı ve ölçülü bir biçimde kişisel veri işleme faaliyetinde bulunmaktadır. Şirketimiz kanunlarda öngörülen veya kişisel veri işleme amacının gerektirdiği süre kadar kişisel verileri muhafaza etmektedir. Şirketimiz, Anayasa’nın 20. ve KVK Kanunu’nun 5. maddeleri gereğince, kişisel verileri, kişisel verilerin işlenmesine ilişkin KVK Kanunu’nun 5. maddesindeki şartlardan bir veya birkaçına dayalı olarak işlemektedir. Şirketimiz, KVK Kanunu’nun 6. maddesine uygun olarak özel nitelikli kişisel verilerin işlenmesi bakımından öngörülen düzenlemelere uygun hareket etmektedir. Şirketimiz, KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak, kişisel verilerin aktarılması konusunda kanunda öngörülen ve KVK Kurulu tarafından ortaya konulan düzenlemelere uygun davranmaktadır. Çalışan Verilerinin İşlenmesi İş ilişkisi için verilerin işlenmesi İş ilişkilerinde kişisel veriler, iş sözleşmesinin kurulması, uygulanması ve sonlandırılması için gerekli olması halinde ayrıca onay alınmadan işlenmektedir. İş ilişkisi başlatılırken adayların kişisel verileri işlenmektedir. Eğer aday reddedilirse, adaya ait bilgiler aday daha sonraki bir seçim aşaması için uygun veri saklama süresi kadar muhafaza edilmekte bu sürenin sonunda silinmekte, yok edilmekte veya anonim hale getirilmektedir. Kanunda açıkça öngörülmesi veya Şirketin hukuki yükümlülüğü sebebiyle yapılan veri işlemleri Çalışana ait kişisel veriler, işlemenin ilgili mevzuatta açıkça belirtilmesi veya mevzuatla belirlenen bir hukuki yükümlülüğün yerine getirilmesi amacıyla ayrıca onay alınmadan işlenebilir. Meşru menfaate uygun olarak verilerin işlenmesi Çalışana ait kişisel veriler, Şirket’in meşru bir menfaatinin gerektiğinde de ayrıca onay alınmadan işlenebilmektedir. Meşru menfaatler genellikle yasal (örn. yasal hakların dosyalanması,uygulanması ya da savunulması) ya da ekonomik (örn. şirketin değerlendirilmesi) menfaatlerdir. Çalışanların menfaatlerinin korunması gerektiği kişisel durumlarda kişisel veriler meşru menfaat amaçları için işleme alınmamaktadır. Veriler işlenmeden önce koruma gerektiren menfaatlerin olup olmadığı belirlenmektedir. Çalışanlara ait verilerin Şirketin meşru menfaatine dayanarak işlendiğinde, işlemenin ölçülü olup olmadığı incelenmektedir. Şirketin bu kontrol önlemini almasındaki meşru menfaatinin ilgili çalışanın korunması gereken bir hakkını ihlal etmediği kontrol edilmekte olup ve sadece ölçülü olması halinde uygulanmaktadır. Münhasıran otomatik sistemler vasıtasıyla işlenen veriler Eğer kişisel veri iş ilişkisinin bir parçası olarak münhasıran otomatik sitemler vasıtasıyla işleniyor ise (örn. personel seçiminin bir parçası veya yetenek profillerinin değerlendirilmesi olarak), Çalışan kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme hakkına sahiptir. Telekomünikasyon ve internet Telefon donanımları, eposta adresleri, şirket içi ağlar ile birlikte intranet ve internet, Şirket tarafından öncelikli olarak işle ilgili görevler için sağlanmaktadır. Bunlar çalışma araçları ve Şirket kaynaklarıdır. Bu araçlar yasal düzenlemelere ve Şirketin iç yönetmeliklerine uygun olarak kullanılmalıdır. Telefon ve eposta iletişimi veya intranet ve internet kullanımı ile ilgili genel denetleme olmamaktadır.BT altyapısına veya bireysel kullanıcılara karşı saldırıları önlemek için Şirket ağına geçişlerde, teknik açıdan zararlı içerikleri bloke eden veya saldırıların modellemesini analiz eden koruyucu önlemler alınmaktadır. Telefon donanımlarının, eposta adreslerinin, intranetin/internetin ve/veya şirket içi sosyal ağların kullanımı, güvenlik nedenlerinden dolayı sınırlı bir süre saklanmaktadır. Bu verilerin kişiyle ilgili değerlendirmeleri ancak yasal düzenlemeler veya MB Holding yada Turquoise Yat yönetmeliklerinin ihlaline ilişkin somut bir şüphenin var olması halinde yapılmaktadır. Bu kontroller ilgili departmanlar tarafından sadece ölçülülük prensibinin korunması şartıyla yerine getirilmektedir. 3.1. KİŞİSEL VERİLERİN MEVZUATTA ÖNGÖRÜLEN İLKELERE UYGUN OLARAK İŞLENMESİ Hukuka ve Dürüstlük Kuralına Uygun İşleme Şirketimiz; kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu kapsamda Şirketimiz, kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, kişisel verileri amacın gerektirdiği dışında kullanmamaktadır. Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama Şirketimiz; kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır. Bu doğrultuda gerekli tedbirleri almaktadır. Belirli, Açık ve Meşru Amaçlarla İşleme Şirketimiz, meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir.Şirketimiz, kişisel verileri sunmakta olduğu hizmetle bağlantılı ve bunlar için gerekli olan kadar işlemektedir. Şirketimiz tarafından kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma Şirketimiz, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme Şirketimiz, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması durumunda kişisel veriler Şirketimiz tarafından silinmekte, yok edilmekte,imha süreçleri çalıştırılmakta veya anonim hale getirilmektedir. 3.2. KİŞİSEL VERİLERİN SINIRLI OLARAK İŞLENMESİ Anayasa'nın 20. maddesinin üçüncü fıkrası gereğince, kişisel veriler ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilecektir. Şirketimiz bu doğrultuda ve Anayasa’ya uygun bir biçimde; kişisel verileri, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlemektedir. Kişisel veri sahibinin açık rıza vermesi, kişisel verilerin hukuka uygun olarak işlenmesini mümkün kılan hukuki dayanaklardan yalnızca bir tanesidir. Açık rıza dışında, aşağıda yazan diğer şartlardan birinin varlığı durumunda da kişisel veriler işlenebilir. Kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabildiği gibi bu şartlardan birden fazlası da aynı kişisel veri işleme faaliyetinin dayanağı olabilir. İşlenen verilerin özel nitelikli kişisel veri olması halinde; aşağıdaki şartlar uygulanır. Şirketimiz tarafından kişisel verilerin işlenmesine yönelik hukuki dayanaklar farklılık gösterse de, her türlü kişisel veri işleme faaliyetinde 6698 sayılı Kanun’un 4. maddesinde belirtilen genel ilkelere uygun olarak hareket edilmektedir. Kişisel Veri Sahibinin Açık Rızasının Bulunması Kişisel verilerin işlenme şartlarından biri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır. Kişisel verilerin, kişisel veri sahibinin açık rıza vermesine bağlı olarak işlenmesi için, müşteri, potansiyel müşteri ve ziyaretçilerden ilgili yöntemler ile açık rızaları alınmaktadır. Kanunlarda Açıkça Öngörülmesi Veri sahibinin kişisel verileri, kanunda açıkça öngörülmesi halinde hukuka uygun olarak işlenebilecektir. Fiili İmkânsızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir. Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi mümkündür. Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi Şirketimizin veri sorumlusu olarak hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir. Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi Veri sahibinin, kişisel verisini kendisi tarafından alenileştirilmiş olması halinde ilgili kişisel veriler işlenebilecektir. Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir. Şirketimizin Meşru Menfaati için Veri İşlemenin Zorunlu Olması Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir. 3.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ Şirketimiz tarafından, KVK Kanunu ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, KVK Kanunu’nda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır. KVK Kanunu’nun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiştir. Bu veriler; ırk, etnik köken, siyasi parti üyeliği, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir. KVK Kanunu’na uygun bir biçimde Şirketimiz tarafından; özel nitelikli kişisel veriler, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenmektedir: - •Kişisel veri sahibinin açık rızası var ise veya - •Kişisel veri sahibinin açık rızası yok ise; - oKişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde, - oo Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmektedir. 3.4. KİŞİSEL VERİLERİN AKTARILMASI Şirketimiz hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere (MB Holding , iş ortaklarına ve sair üçüncü kişilere) aktarabilmektedir. Şirketimiz bu doğrultuda KVK Kanunu’nun 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir. Kişisel Verilerin Yurtdışına Aktarılması Şirketimiz hukuka uygun kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemleri alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini yurtdışındaki üçüncü kişilere aktarabilmektedir. Şirketimiz tarafından kişisel veriler; KVK Kurulu tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve KVK Kurulu’nun izninin bulunduğu yabancı ülkelere (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”) aktarılmaktadır. Şirketimiz bu doğrultuda KVK Kanunu’nun 9. maddesinde öngörülen düzenlemelere uygun hareket etmektedir. 4. ŞİRKETİMİZ TARAFINDAN İŞLENEN KİŞİSEL VERİLERİN İŞLENME AMAÇLARI VE SAKLANMA SÜRELERİ Şirketimiz, KVK Kanunu’nun 10. maddesine uygun olarak aydınlatma yükümlülüğü kapsamında hangi kişisel veri sahibi gruplarının hangi kişisel verilerini işlediğini, kişisel veri sahibinin kişisel verilerinin işlenme amaçlarını ve saklama sürelerini kişisel veri sahibine bildirmektedir. 4.1. KİŞİSEL VERİLERİN KATEGORİZASYONU Şirketimiz nezdinde; Şirketimizin meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, KVK Kanunu’nun 5. maddesinde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve sınırlı olarak, başta kişisel verilerin işlenmesine ilişkin 4. maddede belirtilen ilkeler olmak üzere KVK Kanunu’nda belirtilen genel ilkelere ve KVK Kanunu’nda düzenlenen bütün yükümlülüklere uyularak ve bu Politika kapsamındaki sürelerle (Müşteriler, Müşteri Adayları, MB Holding Müşterisi, Ziyaretçi, Üçüncü Kişi, Stajyer, Şirket Hissedarı, Şirket Yetkilisi, İşbirliği İçinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri) sınırlı olarak kişisel verileri, KVK Kanunu’nun 10. maddesi uyarınca ilgili kişiler bilgilendirilmek suretiyle işlenmektedir. 4.2. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI Şirket, KVK Kanunu’nun 5. maddesinin 2. fıkrasında ve 6. maddenin 3. fıkrasında belirtilen kişisel veri işleme şartları içerisindeki amaçlarla ve koşullarla sınırlı olarak kişisel verileri işlemektedir. Bu amaçlar ve koşullar; - •Kişisel verilerin işlenmesine ilişkin, TURQUOISE YAT‘ın ilgili faaliyette bulunmasının Kanunlarda açıkça öngörülmesi - •Kişisel verilerin TURQUOISE YAT tarafından işlenmesinin bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması - •Kişisel verilerin işlenmesinin TURQUOISE YAT’ın hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması - •Kişisel verilerin kişisel veri sahibi tarafından alenileştirilmiş olması şartıyla; veri sahibinin alenileştirme amacıyla sınırlı bir şekilde TURQUOISE YAT tarafından işlenmesi - •Kişisel verilerin TURQUOISE YAT tarafından işlenmesinin TURQUOISE YAT’nun veya veri sahiplerinin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması - •Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla TURQUOISE YAT’ın meşru menfaatleri için kişisel veri işleme faaliyetinde bulunulmasının zorunlu olması - •TURQUOISE YAT tarafından kişisel veri işleme faaliyetinde bulunulmasının kişisel veri sahibinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması ve bu durumda da kişisel veri sahibinin fiili veya hukuki geçersizlik nedeniyle rızasını açıklayamayacak durumda bulunması - •Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler açısından kanunlarda öngörülmüş olması - •Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri açısından ise kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesidir. Bu kapsamda TURQUOISE YAT kişisel verilerinizi aşağıdaki amaçlarla işlemektedir: - •İş ortakları veya tedarikçilerle olan ilişkilerin yönetimi - •Muhasebe ve Satınalma kayıtlarının yönetilmesi,Raporlanması ve Analizi - •TURQUOISE YAT’ın personel temin ve Kariyer Değerlendirme süreçlerinin yürütülmesi - •Liman Bildirimlerinin gerçekleştirilmesi - •Tevzi Formlarının oluşturulması - •TURQUOISE YAT’ın finansal raporlama ve risk yönetimi işlemlerinin icrası/takibi - •TURQUOISE YAT’ın hukuk işlerinin icrası/takibi - •Kurumsal iletişim faaliyetlerinin planlanması ve icrası - •Kurumsal yönetim faaliyetlerinin icrası - •Şirketler ve ortaklık hukuku işlemlerinin gerçekleştirilmesi - •Talep ve şikayet yönetimi - •Yetkili kuruluşlara mevzuattan kaynaklı bilgi verilmesi - •Ziyaretçi kayıtlarının oluşturulması ve takibi Bahsi geçen amaçlarla gerçekleştirilen işleme faaliyetinin, KVK Kanunu kapsamında öngörülen şartlardan herhangi birini karşılamıyor olması halinde, ilgili işleme sürecine ilişkin olarak TURQUOISE YAT tarafından kişisel veri sahibinin açık rızası temin edilmektedir. 4.3. KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ TURQUOISE YAT, ilgili kanunlarda ve mevzuatlarda öngörülmesi durumunda kişisel verileri bu mevzuatlarda belirtilen süre boyunca saklamaktadır. Kişisel verilerin ne kadar süre boyunca saklanması gerektiğine ilişkin mevzuatta bir süre düzenlenmemişse, Kişisel Veriler, TURQUOISE YAT’ın o veriyi işlerken yürütülen faaliyet ile bağlı olarak TURQUOISE YAT’ın uygulamaları ve ticari yaşamının teamülleri uyarınca işlenmesini gerektiren süre kadar işlenmekte daha sonra silinmekte, yok edilmekte veya anonim hale getirilmektedir. Kişisel verilerin işlenme amacı sona ermiş; ilgili mevzuat ve TURQUOISE YAT’ın belirlediği saklama sürelerinin de sonuna gelinmişse; kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi veya savunmanın tesis edilmesi amacıyla saklanabilmektedir. Buradaki sürelerin tesisinde bahsi geçen hakkın ileri sürülebilmesine yönelik zaman aşımı süreleri ile zaman aşımı sürelerinin geçmesine rağmen daha önce aynı konularda TURQUOISE YAT’a atfen yöneltilen taleplerdeki örnekler esas alınarak saklama süreleri belirlenmektedir. Bu durumda saklanan kişisel verilere herhangi bir başka amaçla erişilmemekte ve ancak ilgili hukuki uyuşmazlıkta kullanılması gerektiği zaman ilgili kişisel verilere erişim sağlanmaktadır. Burada da bahsi geçen süre sona erdikten sonra kişisel veriler silinmekte, imha edilmekte veya anonim hale getirilmektedir. Bu süre zarfında ilgili Kişisel Verilere Erişim izni sadece ,Veri Sorumlusu tarafından Bilgi Teknolojilerinde Veri İşleyen sıfatıyla görev yapan kullanıcı yetkilerini düzenleyen kişilerde olmaktadır. 5. TURQUOISE YAT TARAFINDAN KİŞİSEL VERİLERİN AKTARILDIĞI ÜÇÜNCÜ KİŞİLER VE AKTARILMA AMAÇLARI TURQUOISE YAT, KVK Kanunu’nun 10. maddesine uygun olarak kişisel verilerin aktarıldığı kişi gruplarını kişisel veri sahibine bildirmektedir. TURQUOISE YAT SAN. A.Ş., KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak Politika ile yönetilen veri sahiplerinin kişisel verilerini aşağıda sıralanan kişi kategorilerine aktarabilir: - •TURQUOISE YAT iş ortaklarına, - •TURQUOISE YAT tedarikçilerine, - •MB holding şirket ve Temsilcilerine, - •TURQUOISE YAT hissedarlarına, - •Şirket yetkililerine, - •Hukuken Yetkili kamu kurum ve kuruluşlarına - •Hukuken yetkili özel hukuk kişilerine 6. ZİYARETÇİLERE İLİŞKİN KVKK BİLGİLENDİRMESİ UYGULAMA ESASLARI 6.1. TURQUOISE YAT LOKASYONLARINDA YÜRÜTÜLEN KİŞİSEL VERİ İŞLEME FAALİYETLERİ TURQUOISE YAT tarafından Genel Müdürlük,Pendik Tersane,Kocaeli Tersane, Liman ve Tersanelerde yapılan kişisel veri işleme faaliyetleri, Anayasa’ya, KVK Kanunu’na ve ilgili diğer mevzuata uygun bir biçimde yürütülmektedir. Şirketimiz tarafından güvenliğin sağlanması amacıyla, Şirketimiz İstanbul ve Koceali Lokasyonlarında güvenlik kamerasıyla izleme faaliyeti ile misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Güvenlik kameraları kullanılması ve misafir giriş çıkışlarının kayıt altına alınması yoluyla Şirketimiz tarafından kişisel veri işleme faaliyeti yürütülmüş olmaktadır. TURQUOISE YAT, güvenlik kamerası ile izleme faaliyeti; şirketin ve diğer kişilerin güvenliğini sağlamaya ilişkin menfaatlerini korunması amacını taşımakta olup bu kapsamda Şirketimiz Anayasa, KVK Kanunu ve ilgili diğer mevzuata uygun olarak hareket etmektedir. Şirketimizin bina, tesis girişlerinde ve tesis içerisinde kamera ile izleme sistemi vasıtasıyla ziyaretçilerimizin görüntü kayıtları alınmaktadır.Şirketimiz, güvenlik kamerası ile izleme faaliyeti kapsamında; sunulan hizmetin kalitesini artırmak, güvenilirliğini sağlamak, şirketin, müşterilerin ve diğer kişilerin güvenliğini sağlamak ve müşterilerin aldıkları hizmete ilişkin menfaatlerini korumak gibi amaçlar taşımaktadır. Şirketimiz tarafından güvenlik amacıyla kamera ile izleme faaliyeti yürütülmesinde KVK Kanunu’nda yer alan düzenlemelere uygun hareket edilmektedir. Şirketimiz tarafından yürütülen kamera ile izleme faaliyeti, Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun olarak sürdürülmektedir. Dijital ortamda kaydedilen ve muhafaza edilen kayıtlara yalnızca sınırlı sayıda Şirket çalışanının erişimi bulunmaktadır. Canlı kamera görüntülerini ise, güvenlik görevlileri izleyebilmektedir. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir. Şirketimiz tarafından KVK Kanunu’nun 12. maddesine uygun olarak, kamera ile izleme faaliyeti sonucunda elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır. Yukarıda belirtilen kamerayla kayıt dışında Şirketimiz tarafından; güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla, Şirketimiz binalarında ve tesislerinde misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Misafir olarak Şirketimiz binalarına gelen kişilerin isim ve soyadları elde edilirken ya da Şirket nezdinde asılan ya da diğer şekillerde misafirlerin erişimine sunulan metinler aracılığıyla söz konusu kişisel veri sahipleri bu kapsamda aydınlatılmaktadırlar. Misafir giriş-çıkış takibi yapılması amacıyla elde edilen veriler yalnızca bu amaçla işlenmekte veya ilgili kişisel veriler fiziki ortamda veri kayıt sistemine kaydedilmektedir. Şirketimiz tarafından güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla; Şirketimiz tarafından Kurumumuz Lokasyonları içerisinde kaldığınız süre boyunca talep eden Ziyaretçilerimize internet erişimi sağlanabilmektedir. Bu durumda internet erişimlerinize ilişkin log kayıtları 5651 Sayılı Kanun ve bu Kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi veya Şirket içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir. Bu çerçevede elde edilen log kayıtlarına yalnızca sınırlı sayıda Şirket çalışanının erişimi bulunmaktadır. Bahsi geçen kayıtlara erişimi olan Şirket çalışanları bu kayıtları yalnızca yetkili kamu kurum ve kuruluşundan gelen talep veya denetim süreçlerinde kullanmak üzere erişmekte ve hukuken yetkili olan kişilerle paylaşmaktadır. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir. 6.2. İNTERNET SİTESİ ZİYARETÇİLERİ Şirketimiz sahibi olduğu internet sitelerinde; bu siteleri ziyaret eden kişilerin sitelerdeki ziyaretlerini ziyaret amaçlarıyla uygun bir şekilde gerçekleştirmelerini temin etmek; kendilerine özelleştirilmiş içerikler gösterebilmek ve çevrimiçi reklamcılık faaliyetlerinde bulunabilmek maksadıyla teknik vasıtalarla (Örn. çerezler-cookie gibi) site içerisindeki internet hareketlerini kaydedilmektedir. Şirketimiz İnternet sitesi girişinde Çerezlerin kullanımına ilişkin onay bilgisi tüm kullanıcılardan alınmaktadır. Şirketimizin yapmış olduğu bu faaliyetlere ilişkin kişisel verilerin korunması ve işlenmesine ilişkin detaylı açıklamalar internet sitemizin “Gizlilik ve Güvenlik” metinleri içerisinde yer almaktadır. 7. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ ŞARTLARI TURQUOISE YAT, Türk Ceza Kanunu’nun 138. maddesinde ve KVK Kanunu’nun 7. maddesinde düzenlendiği üzere ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde TURQUOISE YAT’ın kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir. 7.1. TURQUOISE YAT’NUN KİŞİSEL VERİLERİ SİLME, YOK ETME VE ANONİMLEŞTİRME YÜKÜMLÜLÜĞÜ Türk Ceza Kanunu’nun 138. maddesinde ve KVK Kanunu’nun 7. maddesinde düzenlendiği üzere ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması durumunda TURQUOISE YAT’ın kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir. Bu kapsamda Şirketimiz ilgili yükümlülüğünü yerine getirmek üzere Şirket içerisinde gerekli teknik ve idari tedbirleri alarak; bu konuda gerekli işleyiş mekanizmaları geliştirmiş olup; bu yükümlüklerine uygun davranmak üzere ilgili iş birimlerini eğitmekte, görevlendirme ve farkındalıklarını sağlamaktadır. 7.2. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ TEKNİKLERİ 7.2.1 Kişisel Verilerin Silinmesi ve Yok Edilmesi Teknikleri TURQUOISE YAT, ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir. TURQUOISE YAT tarafından en çok kullanılan silme veya yok etme teknikleri aşağıda sıralanmaktadır: Fiziksel Olarak Yok Etme Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler silinirken/yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır. Yazılımdan Güvenli Olarak Silme Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken/yok edilirken; bir daha kurtarılamayacak biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler kullanılır. Uzman Tarafından Güvenli Olarak Silme TURQUOISE YAT, bazı durumlarda kendisi adına kişisel verileri silmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından bir daha kurtarılamayacak biçimde güvenli olarak silinir/yok edilir. 7.2.2 Kişisel Verileri Anonim Hale Getirme Teknikleri Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder. TURQUOISE YAT, hukuka uygun olarak işlenen kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında kişisel verileri anonimleştirebilmektedir. KVK Kanunu’nun 28. maddesine uygun olarak; anonim hale getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işlemeler KVK Kanunu kapsamı dışında olup, kişisel veri sahibinin açık rızası aranmayacaktır. Anonim hale getirilerek işlenen kişisel veriler KVK Kanunu kapsamı dışında olacağından Politika’nın 2. Bölümünde düzenlenen haklar bu veriler için geçerli olmayacaktır. TURQUOISE YAT, tarafından en çok kullanılan anonimleştirme teknikleri aşağıda sıralanmaktadır. A-Maskeleme Veri maskeleme ile kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir. B-Toplulaştırma Veri toplulaştırma yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmektedir. C-Veri Türetme Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır. D-Veri Karma Veri karma yöntemi ile kişisel veri seti içindeki değerlerinin karıştırılarak değerler ile kişiler arasındaki bağın kopartılması sağlanmaktadır. 8. TANIMLAR - •Kişisel verinin izi hiç kimse tarafından sürülemiyorsa veya kişisel kimlik makul olmayan bir zaman, gider ve iş gücüyle yeniden yaratılabiliyorsa veri anonimleştirilmiş sayılır. - •Veri ihlalleri, kişisel verinin kanuna aykırı şekilde ele geçirilmesi, toplanması, değiştirilmesi,kopyalanması, dağıtılması veya kullanılmasına dair haklı şüphelerin olduğu olaylardır. Bu üçüncü taraflarla ve kişilerle ilgili olabilir. - •İlgili kişi, kişisel verisi işlenen gerçek kişidir. - •Özel nitelikli veriler kişinin ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir. - •Kişisel veri, bir gerçek kişinin kimliğini belirleyen ya da kimliğini belirlenebilir kılan her türlü bilgidir. Bir kişi örneğin kişisel ilişkisi olası ek bilgi ile dahi olsa bilginin kombinasyonu kullanılarak belirlenebilirse tanımlanabilir olmaktadır. - •Kişisel verinin işlenmesi kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi kapsamaktadır.