KİŞİSEL VERİLERİ İŞLEME, KORUMA, SAKLAMA VE İMHA POLİTİKASI

1. GENEL HÜKÜMLER

1.1. AMAÇ

İşbu Kişisel Verileri İşleme, Koruma, Saklama ve İmha Politikası (“Politika”), Ankara İnvest Elektronik Para ve Ödeme Hiz. A.Ş. (“Ankara İnvest, Şirket”) tarafındanişletilen dakkadasat.com alan adlı internet sitesi ve/veya mobil uygulamalar ve bunlarla sınırlı olmaksızın Şirket’in hizmet sunduğu tüm dijital ortamlar (“Portal”) üzerinde ve şirket faaliyetleri kapsamında gerçekleştirilen işleme, koruma, saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve sair mevzuat uyarınca usul ve esasları, belirlemek amacıyla hazırlanmıştır.

Ankara İnvest; üyeleri, müşterileri, çalışanları, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler ve diğer üçüncü kişilere ait kişisel verilerin T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.

Kişisel verilerin işlenmesi faaliyeti, Kişisel Verilerin İşleme, Koruma, Saklama ve İmha Politikası çerçevesinde kanunlara uygun olarak yönetilmektedir.

1.2. KAPSAM

Ankara İnvest’in çalışanlarına, çalışan adaylarına, hizmet sağlayıcılarına, ziyaretçilerine, üyelerine, müşterilerine ve her ne sebeple olursa olsun kişisel verilerini işlediği diğer üçüncü kişilere ait kişisel veriler işbu politika kapsamındadır. Ankara İnvest’nin içerisinde bulunduğu tüm kişisel verileri işleme, koruma, saklama ve imha faaliyetlerinde bu politika uygulanır.

1.3. KISALTMALAR VE TANIMLAR

Alıcı Grubu :Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

Açık Rıza : Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme : Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.

Kişisel Veri : Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

İlgili Kişi/ Veri Sahibi : Kişisel verisi işlenen gerçek kişi.

İlgili Kullanıcı : Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.

İmha : Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Kanun :6698 sayılı Kişisel Verilerin Korunması Kanunu

Kayıt Ortamı : Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri : Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Veri Envanteri : Ankara İnvest’in iş süreçlerine bağlı olarak gerçekleştirdiği kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçlarını ve hukuki sebepleri, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturduğu ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdığı envanter.

Kişisel Verilerin İşlenmesi : Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Özel Nitelikli Kişisel Veri : Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Periyodik İmha : Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Politika : Kişisel Verileri İşleme ve Koruma Politikası.

Veri İşleyen : Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.

Veri Kayıt Sistemi : Kişisel verilerin belirli kıstaslara göre yapılandırılarak işlendiği kayıt sistemi.

Veri Sorumlusu : Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi.

VERBİS : Veri Sorumluları Sicil Bilgi Sistemi.

2. KİŞİSEL VERİLERİN İŞLENMESİ

Ankara İnvest işlediği kişisel verileri, mevzuatta öngörülen ilkelere uygun olarak işlemektedir. İşlediğimiz kişisel veriler, ilgili verinin niteliğine ve hukuki yükümlülüklerimize uygun bir kayıt ortamında tutulmaktadır.

Kişisel verilerin saklanmasında kullanılan kayıt ortamları aşağıda liste halinde belirlenmiştir. Bununla birlikte kişisel veriler; bir kısım kişisel verilerin özel nitelikleri, hukuki yükümlülükler veya çeşitli sebeplerle aşağıda sayılan kayıt ortamlarından farklı ortamlarda tutulabilir. Her halde veri sorumlusu sıfatıyla Ankara İnvest; kişisel verileri Kanun’a, Kişisel Verilerin İşlenmesi ve Korunması Politikasına ve işbu Kişisel Veri Saklama ve İmha Politikasına uygun olarak işlemektedir ve korumaktadır.

 Elektronik Ortamlar : Kişisel Bilgisayarlar (Masaüstü, Dizüstü), Mobil Cihazlar (Telefon, Tablet vb.), Optik Diskler (CD, DVD vb.), Çıkartılabilir Bellekler (USB, Hafıza Kart vb.), Yazıcı, Tarayıcı, Fotokopi Makinesi.

 Elektronik Olmayan Ortamlar : Kâğıt, Manuel Veri Kayıt Sistemleri (Anket Formları, Ziyaretçi Giriş Defteri), Yazılı, Basılı, Görsel Ortamlar.

2.2. KİŞİSEL VERİLEN HUKUKA UYGUN OLARAK İŞLENMESİ

• Verilerin Hukuka ve Dürüstlük Kuralına Uygun İşlenmesi

Ankara İnvest, kişisel verilerin işlenmesi faaliyetinde, hukuksal düzenlemeler uyarınca belirlenen ilkeler ile genel olarak dürüstlük kuralına uygun hareket etmektedir. Dürüstlük kuralı uyarınca Ankara İnvest veri işleme amaçlarını gerçekleştirirken veri sahiplerinin haklarını gözetmekte ve veri sahibinin makul beklentileri doğrultusunda hareket etmektedir.

• Verilerin Belirli, Açık ve Meşru Amaçlarla İşlenmesi

Ankara İnvest, kişisel verileri işbu politika ve sair belgelerde açıkça ifade edilen, mevzuata uygun olarak belirlediği meşru amaçlar doğrultusunda işlemektedir.

• Verilerin İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması

Ankara İnvest, bünyesinde kişisel veriler yalnızca iş faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta, belirlenen amaçlarla sınırlı olarak işlenmektedir.

• Kişisel Verilerin Doğru ve Güncel Olması

Ankara İnvest, elde ettiği kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemleri almaktadır.

• İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme

Ankara İnvest, kişisel verileri ancak ilgili mevzuatta belirlenen süre veya kişisel verileri işleme amacı doğrultusunda belirlenen sürelerle sınırlı olarak muhafaza etmektedir.

2.3 KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

2.3.1. Ankara İnvestÇalışanların/Çalışan Adaylarının Kişisel Verilerinin İşlenme Amaçları

Ankara İnvest çalışan ve çalışan adaylarının kişisel verilerini;

• İşyerinde uygun çalışma alanının ve pozisyonun belirlenmesi,

• İş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi,

• Yetkili kurum ve kuruluşlara bilgi verilmesi,

• İş faaliyetlerinin yürütülmesi,

• Hizmetlerimizin işleyişi ve geliştirilmesi çerçevesinde; çalışan memnuniyet, çalışan yan hak ve menfaatlerinin sağlanması,

• Finans ve muhasebe işlerinin yürütülmesi,

• Fiziksel mekân güvenliğinin sağlanması ve denetimi,

• İletişim faaliyetlerinin yürütülmesi,

• İş süreçlerinin iyileştirilmesi,

• Performans değerlendirme süreçlerinin yürütülmesi,

• İSG eğitimlerinin ve faaliyetlerinin koordinasyonu,

• Acil durum operasyonlarının koordinasyonu,

• Sağlık süreçlerinin yürütülmesi,

• Erişim yetkilerinin yürütülmesi,

• İç denetim/ Soruşturma faaliyetlerinin yürütülmesi,

• İnsan kaynakları süreçlerinin planlanması,

• Bilgi güvenliği süreçlerinin yürütülmesi,

• Saklama ve arşiv faaliyetlerinin yürütülmesi,

• İleride ortaya çıkabilecek uyuşmazlıklarda delil olarak kullanılabilmesi,

• Hukuki iş ve işlemlerin icrası/takibi,

• Talep ve şikâyet süreçlerinin yürütülmesi,

• Faaliyetlerin şirketimiz prosedürleri ve ilgili mevzuata uygun olarak yürütülmesinin sağlanması,

amaçlarıyla işlemektedir.

2.3.2. Ankara İnvest, Üyeleri, Müşteri ile İş Ortaklarına Ait Kişisel Verilerin İşlenmesi Amaçları

Ankara İnvest, üyeleri, müşteri ile iş ortaklarının kişisel verilerini;

• Mal/Hizmet satış süreçlerinin yürütülmesi,

• Üye ve Müşteri ilişkileri yönetimi süreçlerinin yürütülmesi,

• Pazarlama analiz çalışmalarının yürütülmesi,

• Reklam / Kampanya / Promosyon süreçlerinin yürütülmesi,

• Ürün / Hizmetlerin pazarlama süreçlerinin yürütülmesi,

• Talep ve şikayetlerinizin takibi,

• Sözleşme süreçlerinin ve/veya hukuki taleplerin takibi,

• Üye ve Müşteri memnuniyeti aktivitelerinin planlanması ve icrası kapsamında, anket ve oylamalar ile görüşünüzün alınması,

• Mevzuatta, şirket içi politikalarda sizi ilgilendiren değişikliklerin bildirilmesi diğer bildirimlerin yapılması,

• Doğum günü kutlaması, çekiliş veya yarışmalara dahil edilme, hediye verilmesi ve sizin lehinize olan benzeri diğer etkinlik, promosyon ve kampanyaların gerçekleştirilmesi, sizleri elektronik posta, SMS ve faks ile bilgilendirmek,

• Basılı bültenler, dergiler, kampanyalara dair yazılar gönderilmesi,

• Ziyaretçi profillerimizi belirlemek, istek, talep ve şikayetleri değerlendirmek ve şirketimizin insan kaynakları politikalarının yürütülmesi,

• İşyeri güvenliğinin sağlanması,

amaçlarıyla işlenmektedir.

2.4. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

2.4.1. Standart Nitelikli Kişisel Verilerin İşlenmesi

Ankara İnvest işlediği kişisel verileri, veri sahibinin açık rıza vermesi dışında, aşağıdaki şartların yalnızca biri veya birden fazlasının sağlanması şartıyla işleyebilir.

• Kanunlarda Açıkça Öngörülmesi

Kanunlarda açıkça öngörülmesi/kişisel verilerin işlenmesine ilişkin açık hüküm olması halinde, Veri sahibinin kişisel verileri işlenebilir.

• Fiili İmkânsızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması

Fiili imkânsızlık nedeniyle rızasını açıklayamayan/rızasına geçerlilik tanınamayacak kişi veya bir başkasının kişisel verileri, ilgili kişilerin bedensel bütünlüğünün korunması için zorunluysa işlenebilir.

• Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması

Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel veriler işlenebilir.

• Veri Sorumlusunun Hukuki Yükümlülüğünü Yerine Getirmesi

Veri sorumlusunun hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde, veri sahibinin kişisel verileri işlenebilir.

• Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi

Veri sahibinin, kişisel verisini alenileştirmiş olması halinde; ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilir.

• Bir Hakkın Tesisi veya Korunması İçin Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilir.

• Şirketimizin Meşru Menfaati İçin Veri İşlemenin Zorunlu Olması

Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, şirketin meşru menfaati için zorunlu hallerde veri sahibinin kişisel verileri işlenebilir.

2.4.2. Özel Nitelikli Kişisel Verilerin İşlenmesi

Ankara İnvest, özel nitelikli kişisel verileri, Saklama ve İmha Politikası ve işbu Kişisel Veri İşleme ve Koruma Politikası’nda belirtilen ilkelere uygun olarak, gerekli her türlü idari ve teknik tedbiri almak suretiyle aşağıdaki şartların varlığı halinde işleyebilir.

• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi halinde veri sahibinin açık rızası aranmaksızın işlenebilir. Aksi durumda söz konusu özel nitelikli kişisel verilerin işlenebilmesi için veri sahibinin açık rızası gereklidir.

• Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilir. Aksi durumda söz konusu özel nitelikli kişisel verilerin işlenebilmesi için veri sahibinin açık rızası gereklidir.

2.5. KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI

Ankara İnvest, kişisel verilerin veri sorumlusu olarak kim tarafından, hangi amaçlarla işlendiği, hangi amaçlarla kimlerle paylaşıldığı, hangi yöntemlerle toplandığı ve hukuki sebebi ile kişisel verilerinin işlenmesi kapsamında sahip oldukları hakları konusunda, veri sahiplerini bilgilendirmektedir.

2.6. KİŞİSEL VERİLERİN AKTARILMASI

Ankara İnvest elde ettiği özel ve standart nitelikli kişisel verileri, işleme amaçları doğrultusunda ve gerekli güvenlik önlemlerini almak suretiyle üçüncü kişilere (üçüncü kişi ve şirketlere, resmi ve özel mercilere) aktarabilir.

Kişisel Veriler, kişisel veri sahibinin açık rızası olmasa dahi aşağıda belirtilen şartlar dahilinde, gerekli özeni göstermek ve tüm güvenlik önlemlerini almak suretiyle üçüncü kişilere aktarılabilir.

• Kişisel verilerin aktarılmasına ilişkin kanunlarda açık hüküm bulunması,

• Kişisel verilerin aktarılmasının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,

• Şirketimizin hukuki yükümlülüğünü yerine getirebilmesi için kişisel verilerin aktarılmasının zorunlu olması,

• Kişisel verilerin veri sahibi tarafından alenileştirilmiş olması şartıyla, alenileştirme amacıyla sınırlı bir şekilde aktarılması,

• Kişisel verilerin aktarılmasının şirketin, veri sahibinin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması,

• Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla ve şirketin meşru menfaatleri için zorunlu olması şartıyla,

• Fiili imkânsızlık nedeniyle rızasını açıklayamayan/rızasına geçerlilik tanınamayacak kişi veya bir başkasının kişisel verilerinin, ilgili kişilerin bedensel bütünlüğünün korunması için aktarılmasının zorunlu olması,

Yukarıdakilere ek olarak kişisel veriler, Kişisel Verileri Koruma Kurumu tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilir. Kişisel veriler, yeterli korumanın bulunmaması durumunda; mevzuatta öngörülen veri aktarım şartları ile Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurum’un izninin bulunduğu yabancı ülkelere aktarılabilir.

3. BÖLÜM: KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

3.1. Kişisel Veri Güvenliğinin Sağlanması

Ankara İnvest, Kanun’un 12. Maddesi doğrultusunda, kişisel verilerin hukuka aykırı olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek amacıyla, korunacak verinin niteliğine göre aşağıda yer alan gerekli tedbirleri almaktadır.

3.1.1.Teknik Tedbirler

Ankara İnvest, kişisel verilerin saklandığı tüm ortamların ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki teknik tedbirleri almaktadır:

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

• Anahtar yönetimi uygulanmaktadır.

• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

• Erişim logları düzenli olarak tutulmaktadır.

• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.

• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

• Güncel anti-virüs sistemleri kullanılmaktadır.

• Güvenlik duvarları kullanılmaktadır.

• Kişisel veri güvenliğinin takibi yapılmaktadır.

• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.

• Şifreleme yapılmaktadır.

• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.

• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

3.1.2. İdari Tedbirler

Ankara İnvest, kişisel verilerin saklandığı tüm ortamların ilgili verinin ve verinin tutulduğu ortamın niteliklerine uygun olarak aşağıdaki idari tedbirleri almaktadır:

• Kişisel verilere erişimi olan tüm Ankara İnvest çalışanlarının bilgi güvenliği, kişisel veriler ve özel hayatın gizliliği konularında farkındalıklarının artırılması ve bilinçlendirilmesi için çalışmalar yapılmakta konuyla ilgili hukuki eğitimler verilmektedir.

• Bilgi güvenliği, özel hayatın gizliliği ve kişisel verilerin korunması alanındaki gelişmeleri takip etmek ve gerekli aksiyonları almak üzere gerektiğinde hukuki ve teknik danışmanlık hizmeti alınmaktadır.

• Kişisel verilerin teknik ya da hukuki gereklilikler nedeniyle üçüncü kişilere aktarılması halinde ilgili üçüncü kişilerle kişisel verilerin korunması amacıyla protokoller imzalanmakta, ilgili üçüncü kişilerin bu protokollerdeki yükümlülüklerine uyması için gerekli tüm özen gösterilmektedir.

• Ankara İnvest tarafından imzalanan sözleşmelere veri güvenliğine ilişkin hükümleri eklenmekte, politika öncesinde imzalanan sözleşmelere veri güvenliğine ilişkin ek sözleşmeler imzalanmaktadır.

• Kişisel veri güvenliğine ilişkin Saklama ve İmha Politikası ile İşleme ve Koruma Politikaları belirlenmiştir. Söz konusu politikaların uygulanması için gerekli özen ve çaba gösterilmektedir.

• Ankara İnvest bünyesinde yer alan kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmakta, mevcut risk ve tehditler belirlenmekte, anılan sorunların çözümüne yönelik kararlar alınmaktadır.

• Ankara İnvest, Kanun’un 12’nci maddesi uyarınca Kanun hükümlerinin ve işbu Kişisel Veri Saklama ve İmha Politikası ile Kişisel Verilerin İşlenmesi ve Korunması Politikası hükümlerinin uygulanmasına ilişkin şirket içi denetimler yapmaktadır.

• Şirket içi denetimler sonucunda bu hükümlerin uygulanmasına ilişkin eksiklik ya da kusurların tespit edilmesi halinde bu eksiklik ya da kusurlar derhal giderilir.

• Denetim sırasında ya da sair bir şekilde Ankara İnvest sorumluluğunda bulunan kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin anlaşılması hâlinde, derhal gerekli güvenlik tedbirleri alınır ve durum ilgilisi ile Kişisel Verileri Koruma Kurumu’na bildirilir.

4. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

4.1. SAKLAMA VE İMHA NEDENLERİ

4.1.1. Saklama Amaçları

Ankara İnvest faaliyetleri kapsamında işlediği kişisel verileri, ilgili mevzuatta öngörülen süreler ve şirketin meşru menfaati doğrultusunda belirlenen süreler boyunca güvenli olarak muhafaza etmektedir. Ankara İnvest bünyesinde işlenen kişisel veriler aşağıda ve fakat bunlarla sınırlı olmamak üzere;

• Mal/Hizmet satış süreçlerinin yürütülmesi,

• Üye ve Müşteri ilişkileri yönetimi süreçlerinin yürütülmesi,

• Reklam / Kampanya / Promosyon süreçlerinin yürütülmesi,

• Ürün / Hizmetlerin pazarlama süreçlerinin yürütülmesi,

• Talep ve şikayetlerin takibi.

• Pazarlama analiz çalışmalarının yürütülmesi.

• Sözleşme süreçlerinin ve/veya hukuki taleplerin takibi.

• Üye/Müşteri memnuniyeti aktivitelerinin planlanması ve icrası kapsamında anket ve oylamalar ile görüş alınması.

• Mevzuatta, şirket içi politikalarda veri sahiplerini ilgilendiren değişikliklerin bildirilmesi ve diğer bildirimlerin yapılması.

• Ziyaretçi profillerinin belirlenmesi, istek, talep ve şikayetlerin değerlendirilmesi ve şirketimizin insan kaynakları politikalarının yürütülmesi.

• İşyeri güvenliğinin sağlanması.

• İşyerinde çalışan ve çalışan adaylarına uygun çalışma alanının ve pozisyonun belirlenmesi.

• İş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi.

• Yetkili kurum ve kuruluşlara bilgi verilmesi.

• İş faaliyetlerinin yürütülmesi.

• Hizmetlerimizin işleyişi ve geliştirilmesi çerçevesinde; çalışan memnuniyet, çalışan yan hak ve menfaatlerinin sağlanması.

• Finans ve muhasebe işlerinin yürütülmesi.

• Fiziksel mekân güvenliğinin sağlanması ve denetimi.

• İletişim faaliyetlerinin yürütülmesi.

• İş süreçlerinin iyileştirilmesi.

• Performans değerlendirme süreçlerinin yürütülmesi.

• İSG eğitimlerinin ve faaliyetlerinin koordinasyonu.

• Acil durum operasyonlarının koordinasyonu.

• Erişim yetkilerinin yürütülmesi.

• İç Denetim/ Soruşturma faaliyetlerinin yürütülmesi.

• İnsan kaynakları süreçlerinin planlanması.

• Bilgi güvenliği süreçlerinin yürütülmesi.

• Saklama ve arşiv faaliyetlerinin yürütülmesi

• İleride ortaya çıkabilecek uyuşmazlıklarda delil olarak kullanılabilmesi. Hukuki iş ve işlemlerin icrası/takibi.

• Talep ve şikâyet süreçlerinin yürütülmesi.

• Faaliyetlerin şirketimiz prosedürleri ve ilgili mevzuata uygun olarak yürütülmesinin sağlanması,

amaçları doğrultusunda saklanmaktadır.

4.1.2. İmha Nedenleri

Ankara İnvest bünyesinde işlenen kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

• İşlenmesi veya saklanmasını gerektiren amacın ortadan kalkması,

• Kişisel veri işlemenin açık rızaya bağlı olduğu hallerde, ilgili kişinin açık rızasını geri alması,

• Kişisel verilerin korunması kanunu gereği ilgili kişinin, kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi talebinin Ankara İnvest tarafından kabul edilmesi,

• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı çıkaracak herhangi bir şartın mevcut olmaması,

hallerinde ilgili kişinin talebi ya da re’senAnkara İnvest tarafından silinir, yok edilir veya anonim hale getirilir.

5. İMHA TEKNİKLERİ

Bir üst maddede sayılan imha nedenlerinden bir veya birkaçının vuku bulması halinde kişisel veriler, Ankara İnvest tarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

5.1. Kişisel Verilerin Silinmesi

Kişisel veriler aşağıda açıklanan yöntemlerle silinir.

• Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

• Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

• Fiziksel ortamda tutulan kişisel verilerin saklanması için gerekli sürelerin sona ermesi halinde, ilgili veriler evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar açısından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

• Flash tabanlı saklama ortamlarında tutulan kişisel verilerin saklanması için gerekli sürelerin sona ermesi halinde; ilgili veriler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

5.2. Kişisel Verilerin Yok Edilmesi

Kişisel veriler aşağıda açıklanan yöntemlerle yok edilir.

• Fiziksel ortamda tutulan kişisel verilerin saklanması için gerekli sürelerin sona ermesi halinde, ilgili veriler kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

• Optik medya ve manyetik medyada yer alan kişisel verilerin saklanması için gerekli olan sürelerin sona ermesi halinde; ilgili verilerin, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilme işlemi uygulanır. Ayrıca, manyetik medyalar özel bir cihazdan geçirilerek, yüksek değerde manyetik alana maruz bırakılır ve böylelikle üzerindeki veriler okunamaz hale getirilir.

5.3.Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. İlgili kişisel verilerin anonim hale getirilmesi; kişisel verilerin veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesinin imkansızlaştırılması yoluyla olur. Bu kapsamda ilgili verilerin; kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmesi engellenir.

6. SAKLAMA VE İMHA SÜRELERİ

Ankara İnvest faaliyetleri kapsamında işlediği kişisel verilerle ilgili olarak;

• Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde,

• Veri kategorileri bazında saklama süreleri Verbis’e kayıtta,

• Süreç bazında saklama süreleri ise Kişisel Veri Saklama ve İmha Politikasında yer alır.

Söz konusu saklama süreleri üzerinde, gerekmesi halinde güncellemeler yapılır.

7. PERİYODİK İMHA SÜRESİ

Yönetmeliğin 11 inci maddesi gereğince Ankara İnvest periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Kurumda her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

8. POLİTİKANIN GÜNCELLENME PERİYODU

Politika, Ankara İnvest’in ihtiyaçları doğrultusunda, gözden geçirilir ve gerekli olan bölümler güncellenir. Politikada gerçekleştirilen değişiklikler internet üzerinden duyurulur.

9.KİŞİSEL VERİLER’İN AKTARILDIĞI ALICI GRUPLARI VE AKTARIM AMAÇLARI

Kişisel Veriler yurt içinde veya yurt dışında yerleşik aşağıda sıralanan kişi (alıcı grubu) kategorilerine yukarıda açıklanan hukuki sebeplerle sınırlı olarak aktarılabilir:

• Kanunen Yetkili Kurumlar,

• İş Ortaklarımız,

• Tedarikçiler,

• Hissedarlarımız,

• Referans Paylaşımı Yapılan Resmi ve Özel Kurumlar.

Aktarımda bulunulan yukarıda belirtilen kişilerin kapsamı ve veri aktarım amaçları aşağıda belirtilmektedir.

Veri Aktarımı

Yapılabilecek Kişiler Tanımı

Kanunen Yetkili Kurumlar İlgili mevzuat hükümlerine göre Şirketimizin bilgi ve belge aktarmasına yetkili kamu kurum ve kuruluşları anlamına gelmektedir.

İş Ortağı

Şirketimizin ürün ve hizmetlerinin satışı, tanıtımı ve pazarlanması, satış sonrası desteği, üye ve ortak müşteri bağlılığı programlarının yürütülmesi gibi amaçlarla iş ortaklığı kurduğu taraflar anlamına gelmektedir.

Tedarikçi Şirketimizin ticari faaliyetlerini yürütürken Şirketimizin emir ve talimatlarına uygun olarak sözleşme temelli olarak Şirketimize hizmet sunan taraflar anlamına gelmektedir.

Referans Paylaşımı Yapılan Resmi ve Özel Kurumlar İnsan kaynakları süreçlerinde referans verilmesi veya Şirketimiz Çalışanlarının başka kurumlara yapacakları başvurularda (iş başvurusu, vb.) bulunması hallerinde Şirketimizin mevcut veya eski Çalışanlarına ait bilgileri talep eden resmi ve özel kurumlar anlamına gelmektedir.

10. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI VE BU HAKLARIN KULLANILMASI

Veri Sahipleri, Ankara İnvest tarafından işlenen kişisel verilere ilişkin olarak, Kanun’un 11. Maddesi uyarınca aşağıdaki haklara sahiptir.

• Kişisel veri işlenip işlenmediğini öğrenme,

• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü gerçek ve/veya tüzel kişileri bilme,

• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

• Kişisel verilerin KVKK ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerin silinmesi veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere aktarılmasını isteme,

• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme.

Yukarıda belirtilen haklar kapsamında veri sahipleri; Kanun’un 11. maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkına Tebliği uyarınca dilekçeyle veya www.Ankara İnvest.com.tr adresinde yer alan “Kişisel Veriler Hakkında Başvuru Formu” nu doldurarak yukarıda yer verilen adresimize bizzat elden veya posta yoluyla iletilebilir.

Bu kapsamda yapılacak başvurular Ankara İnvest tarafından yapılacak kimlik doğrulamasını takiben kabul edilecek olup; talebin, niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılacaktır. Başvuruya yazılı olarak cevap verilmesi durumunda, 10 sayfaya kadar ücret alınmayacak, 10 sayfanın üzerindeki her sayfa için Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 7. maddesinde yer alan işlem ücreti alınabilecektir. Başvuruya cevabın CD, flash bellek gibi bir kayıt ortamında verilmesi halinde ise kayıt ortamının maliyeti tutarında bir ücret talep edilebilecektir.

Başvurunun geçerli olabilmesi için Başvurucu veri sahibinin;

• Ad soyadı, yazılı ise imza,

• Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası,

• Yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,

• Tebligata esas yerleşim yeri veya işyeri adresi,

• Varsa bildirime esas e-posta adresi, telefon ve faks numarası,

• Talep konusu,

Bilgilerinin bulunması zorunludur.

11. DİĞER HÜKÜMLER

11.1. Ankara İnvest, güvenliğin sağlanması amacıyla, binalarında ve tesislerinde güvenlik kamerasıyla izleme faaliyeti ile misafir giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyetlerinde bulunmaktadır. Veri sahiplerini bilgilendirmek amacıyla muhtelif yerlere gerekli uyarılar asılmıştır.

11.2. Ankara İnvest, güvenliğin sağlanması ve giriş çıkışların kontrol altında tutulması amacıyla işlediği kişisel verileri Kanun’un 4. maddesine uygun olarak, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işlemektedir.

11.3. Şirket güvenliğinin sağlanması için işlenen canlı kamera görüntüleri ile dijital ortamda kaydedilen ve muhafaza edilen kayıtlara, belirli sayıda Ankara İnvest çalışanının erişimi bulunmaktadır. Kayıtlara erişimi olan sınırlı sayıda çalışan gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

11.4. Ankara İnvest güvenliğin sağlanması amacıyla, iş yerine gelen ziyaretçilerin kişisel verilerini işlemektedir. Veri sahipleri, kişisel verilerinin elde edildiği esnada yazılı, sözlü veya Ankara İnvest nezdinde asılan ya da diğer şekillerde misafirlerin erişimine sunulan metinler aracılığıyla aydınlatılmaktadır.

11.5. Politika, Ankara İnvest’nin ihtiyaçları doğrultusunda, gözden geçirilir ve gerekli olan bölümler güncellenir. Politikada gerçekleştirilen değişiklikler internet üzerinden duyurulur.

EK-1

Veri Sahibi Kategorisi Veri Kategorisi Saklama Süreleri

Üyeler, Müşteriler Kimlik Bilgisi, İletişim Bilgisi, Üye/Müşteri Bilgisi, Aile Bireyleri ve Yakın Bilgisi, Risk Yönetimi Bilgisi, Finansal Bilgi, Hukuki İşlem ve Uyum Bilgisi, Özel Nitelikli Kişisel Veri, Pazarlama Bilgisi Üye/Müşteri çalıştığı sürece saklanır, üyenin/müşterinin tüm ürünlerinin kapatılarak sistemde inaktive çekildiği tarihten itibaren 10 yıl süreyle saklanır.

Üyeler, Müşteriler Lokasyon Verisi, Üye/Müşteri İşlem Bilgisi, İşlem Güvenliği Bilgisi, Denetim ve Teftiş Bilgisi, Talep/Şikayet Yönetimi Bilgisi, İtibar Yönetimi Bilgisi, Olay Yönetimi Bilgisi Veri kategorisi kapsamında gerçekleşen işleme dair tarihten itibaren 10 yıl saklanır.

Üyeler, Müşteriler Fiziksel Mekan Güvenlik Bilgisi Veri kategorisi kapsamında gerçekleşen işleme dair tarihten itibaren 1 ay saklanır.

Çalışanlar Kimlik Bilgisi, İletişim Bilgisi, Aile Bireyleri ve Yakın Bilgisi, Özlük Bilgisi, Çalışan Performans ve Kariyer Gelişim Bilgisi, Yan Haklar ve Menfaatler Bilgisi, Özel Nitelikli Kişisel Veri Personel çalıştığı sürece saklanır, personel ayrıldığı tarihten itibaren 10 yıl süreyle saklanır.

Çalışanlar Çalışan İşlem Bilgisi, Denetim ve Teftiş Bilgisi, Olay Yönetimi Bilgisi Veri kategorisi kapsamında gerçekleşen işleme dair tarihten itibaren 10 yıl saklanır.

Çalışan Yakınları Kimlik Bilgisi, İletişim Bilgisi, Risk Yönetimi Bilgisi Personel çalıştığı sürece saklanır, personel ayrıldığı tarihten itibaren 10 yıl süreyle saklanır.

Adaylar Çalışan Adayı Bilgisi Adaylar için belge alındığı tarihten itibaren 10 yıl saklanır.

İş Ortağı Kimlik Bilgisi, İletişim Bilgisi İş ortaklığı süresinde saklanır, iş ortaklığının tamamlanmasından itibaren 10 yıl süreyle saklanır.

Ziyaretçiler Kimlik Bilgisi, İletişim Bilgisi, Veri kategorisi kapsamında gerçekleşen işleme dair tarihten itibaren 10 yıl saklanır.

Ziyaretçiler Fiziksel Mekan Güvenlik Bilgisi Veri kategorisi kapsamında gerçekleşen işleme dair tarihten itibaren 1 ay saklanır.

Diğer 3. Kişiler (Örn: Hesap sahibi adına para yatıran kişi) Kimlik Bilgisi, İletişim Bilgisi Veri kategorisi kapsamında gerçekleşen işleme dair tarihten itibaren 10 yıl saklanır.