KİŞİSEL VERİ AKTARIM POLİTİKASI

ETSUN DIŞ TİCARET A.Ş. KİŞİSEL VERİ AKTARIM POLİTİKASI

1.) AMAÇ

İşbu; Kişisel Veri Aktarım Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 8 ve 9. maddeleri sonucu ve uyarınca oluşturulacak olan “ilgili yönetmelik” içerisinde yer alan kişisel verilerin Etsun Dış Ticaret A.Ş. (“ETSUN” veya “Şirket”) tarafından yurt içi ve yurt dışı aktarımlarda uyulması gereken esasları belirlemek amacıyla düzenlenmiştir.

2.) KİŞİSEL VERİLERİN FİZİKSEL ORTAMDA AKTARILMASI

2.1. ETSUN’un çalışanları aksi belirtilmediği sürece fiziksel ortamda bir kişisel veri aktarımı yapıyorsa işbu Politika’ya bağlı kalmak zorundadır. Çalışan aksi durumda bir aktarım yaptığı veya aktarımın yapıldığına şahit olduğu durumlarda, durumu KVKK Çalışma Kurulu’na bildirmekle yükümlüdür.

2.2. Fiziksel ortamda veri aktarımı yapan çalışan veya departman, aktarılacak olan kişisel veriler alınırken kişinin açık rızasını almalıdır veya açık rızanın alındığından emin olmalıdır.

2.3. Açık rıza alınmadan verilerin aktarılması yalnızca KVKK’da belirtilen istisnaların sağlandığı durumlarda geçerlidir. Bu sebeple aşağıdaki istisna durumları haricinde veri sahibinin açık rızası gerekmektedir.

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İlgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde açık rıza aranmaksızın aktarılabilir.
• Yeterli önlemler alınmak kaydıyla; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ile biyometrik ve genetik verilerini içeren özel nitelikteki kişisel veriler kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın aktarılabilir.
• Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın aktarılabilir.

2.4. ETSUN çalışanları istisnanın geçerliliğinden emin olamıyorsa KVKK Çalışma Kurulu’na danışarak aktarım yapmalıdır.

2.5. Kişisel veri içeren fiziki dokümanların aktarımı sırasında kişisel veriler görülmemelidir. Aktarım; kapalı zarfın, kolinin, kutunun mühürlenmesi şeklinde gerçekleştirilecektir. Mühürleme yapılamadığı durumda aktarım yalnızca KVKK Çalışma Kurulu’nun bilgisi ve onayı dâhilinde yapılabilir.

2.6. Fiziki ortamdaki kişisel verilerin yurt içindeki aktarımı mümkün olduğunda direkt olarak göndericiden alıcıya şeklinde gerçekleştirilmelidir. Dolaylı veya elden ele aktarım yalnızca zorunlu kalınan durumlarda tercih edilmelidir.

2.7. Fiziki ortamdaki kişisel verilerin yurt dışına aktarımı yalnızca Yönetmelik’te belirtilen güvenli ülkelere yapılabilir. Aktarım yapılacak ülke Yönetmelik’te güvenli ülke olarak belirlenmemiş ise aktarım öncesinde KVKK Çalışma Kurulu’nun bilgisine başvurulacaktır.

3.) KİŞİSEL VERİLERİN ELEKTRONİK ORTAMDA AKTARILMASI

3.1. Elektronik ortamdaki kişisel veriler, kişisel verilerin bir elektronik cihaz kullanılarak okunabilir hale getirildiği tüm kişisel verileri kapsamaktadır.

3.2. ETSUN’un çalışanları aksi belirtilmediği sürece elektronik ortamda bir kişisel veri aktarımı yapıyorsa işbu Politika’ya bağlı kalmak zorundadır. Çalışan aksi durumda bir aktarım yaptığı veya aktarımın yapıldığına şahit olduğu durumlarda, durumu KVKK Çalışma Kurulu’na bildirmekle yükümlüdür.

3.3. Elektronik ortamda veri aktarımı yapan çalışan veya departman, aktarılacak olan kişisel veriler alınırken kişinin açık rızasını almalıdır veya açık rızanın alındığından emin olmalıdır.

3.4. Elektronik olarak kişisel veri aktarımı aşağıdaki yöntemlerle ve yalnızca belirtilen şartlar sağlandığı takdirde yapılabilir, bu yöntemlerin yetersiz kaldığı durumda KVKK Çalışma Kurulu bilgilendirilmelidir:

1. Elektronik Posta;Elektronik posta metni içerisinde, elektronik postanın içeriğinin ve/veya eklerinin kişisel veri içerdiğinin bilgisi verilmelidir ve kişisel verilerin işlenmesi mümkün olduğunca şifrelenerek önlenmelidir. Şifre, bir başka e-posta veya iletişim yöntemi ile alıcı ile paylaşılmalıdır. Şifreleme işleminin yapılamayacağı durumda, ilgili çalışan birim yöneticisine, birim yöneticisi ise KVKK Çalışma Kurulu’na bilgi vererek onay almalıdır.
2. Taşınabilir Medya;Taşınabilir medya; sabit diskler, CD, DVD, teyp, USB bellekler, USB sabit diskler, hafıza kartları ve benzeri elektronik ortamın fiziksel şekilde taşınabildiği tüm elektronik platformları kapsamaktadır. Taşınabilir medyalar ile kişisel veri aktarılırken, taşınabilir medya mutlaka şifrelenmelidir. Şifresiz olarak taşınabilir medyalar ile kişisel veriler transfer edilemez. Şifre, gönderici tarafından alıcıya farklı bir iletişim kanalı kullanarak iletilir. Veri aktarımını yapan çalışan, sonrasında taşınabilir medyanın içerisindeki verinin imhasından da sorumludur. Taşınabilir medya içerisindeki kişisel veriler imha edilmeden, medya herhangi başka bir işlem için kullanılamaz. Taşınabilir medyanın fiziksel transferi göndericiden alıcıya direkt olarak yapılmalıdır. Direkt olarak bu aktarımın yapılamadığı durumlarda minimum aracı kullanılarak transfer gerçekleştirilmelidir. Aktarım sırasında Etsun Dış Ticaret A.Ş.’nin anlaşmalı olduğu kurye hizmeti kullanılmalıdır, aktarımda kargo hizmeti kullanılamaz.
3. Bulut Paylaşımı (Cloud);Bulut paylaşım, kişisel verilerin gönderici tarafından online bir depolama alanına yüklendiği, alıcının ise verileri buradan temin ettiği paylaşımların tamamını kapsamaktadır. Bulut paylaşım yöntemi ile paylaşılan veri şifrelenmiş olmalıdır. Şifre, gönderici tarafından alıcıya başka bir iletişim kanalı kullanılarak iletilir. Bulut paylaşımı yalnızca ETSUN’un donanımları ve ağı kullanılarak yapılabilir, çalışanın bulut paylaşımını ETSUN’un donanımları ve ağını kullanmadan yapmasına izin verilmez.
4. Ağ Üzerinden Paylaşım;Kişisel veriler, ETSUN’un ortak alanları kullanarak departmanlar içerisinde ve/veya departmanlar arasında paylaşılabilir. Ağ üzerinden yapılacak paylaşımlarda, kişisel veriler yalnızca şifreli olarak transfer edilebilir ve transfer sırasında kriptografik protokoller uygulanır. Şifre, farklı bir iletişim kanalı kullanılarak göndericiden alıcıya iletilir. Kişisel verilerin transferi işleminin, şifrelenmeye veya kriptografik protokollerin uygulanmasına uygun olmadığına çalışan tarafından kanaat getiriliyorsa, ilgili birim yöneticisinin bilgisi dâhilinde KVKK Çalışma Kurulu’na bilgi verilir ve yalnızca Grup’un onayı olduğu durumlarda aktarım gerçekleştirilir. Ağ üzerinde paylaşım yapılırken, kullanılan alanın yalnızca alıcı departman ve/veya çalışanın erişimi olması gerekmektedir ve bu kontrol göndericinin sorumluluğundadır. Paylaşımın tamamlanmasının ardından, alıcı kişisel verileri ağ üzerinden imha ederek göndericiye bilgi vermelidir. Bilgiyi alan gönderici, ağ üzerindeki ortak alanda kişisel verilerin artık bulunmadığını kontrol etmeli ve bulunmadığından emin olmalıdır.

4.) YÜRÜRLÜK ve GÜNCELLEMELER

İşbu Politika, Etsun Dış Ticaret A.Ş. Yönetim Kurulu tarafından onaylandığı tarihte yürürlüğe girecektir. Politika’da yapılacak değişiklikler Yönetim Kurulu’nun onayından sonra yürürlüğe girecektir.

Politika, olağan olarak yılda bir defa gözden geçirilerek güncellenir. Ancak mevzuat değişiklikleri, atıf yapılan bir teknik standarttaki değişme, Kişisel Verileri Koruma Kurulu’nun işlemleri ve/veya vereceği kararlar ile mahkeme kararları doğrultusunda ETSUN, bu Politika’yı gözden geçirme ve gerekli durumlarda Politika’yı güncelleme, değiştirme veya ortadan kaldırıp yeni bir Politika oluşturma hakkını saklı tutar.