Veri Saklama Maskeleme Ve İmha Politikası
AMAÇ ve KAPSAM
Kişisel Veri Saklama ve İmha Politikası (“Politika”); Etsun Dış Ticaret A.Ş. (“Şirket veya ETSUN”) tarafından gerçekleştirilen kişisel verilerin saklaması, maskelenmesi ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır.
İşbu Politika; Şirket çalışanları, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler, hissedarlar, stajyerler, tedarikçi çalışanı ve yetkilileri, potansiyel ürün veya hizmet alıcı ile ürün veya hizmet alan kişileri kapsamaktadır.
SORUMLULUK
Bu politikanın hazırlanmasından ve revize edilmesinden Bilgi Güvenliği ve Siber Güvenlik Yöneticisi; uygulamadan ise Bilgi Teknolojileri sorumluları başta olmak üzere tüm ETSUN çalışanları sorumludur.
SORUMLULUK DİYAGRAMI:
(Şirket içi sorumluluk diyagramı yer alacaktır.)
TANIMLAR ve KISALTMALAR
(Bu bölümde yer alan tanımlar Politika metninde açıklandığı şekliyle geçerlidir.)
KAYIT ORTAMLARI
| Elektronik Ortamlar | Elektronik Olmayan Ortamlar |
|---|---|
|
|
KİŞİSEL VERİLERİN SAKLANMASINA İLİŞKİN USUL ve ESASLAR
ETSUN tarafından toplanan ve işlenen kişisel veriler KVKK’ya uygun olarak saklanır.
Saklama İlkeleri:
- Hukuka ve dürüstlük kurallarına uygun olma
- Doğru ve güncel olma
- Belirli, açık ve meşru amaçlar için işlenme
- Amaçla bağlantılı, sınırlı ve ölçülü olma
- Yasal veya amaca uygun süre kadar muhafaza edilme
Saklamayı Gerektiren Hukuki Sebepler:
Kişisel veriler, KVKK, Borçlar Kanunu, Sosyal Sigortalar Kanunu, 5651 sayılı Kanun, İş Sağlığı ve Güvenliği Kanunu, İş Kanunu, Emekli Sağlığı Kanunu, Sosyal Hizmetler Kanunu, Ticaret Kanunu, Vergi Usul Kanunu ve ilgili yönetmelikler uyarınca öngörülen süreler kadar saklanır.
Saklamayı Gerektiren İşleme Amaçları:
Ticari faaliyetlerin devamı, insan kaynakları süreçleri, iletişim, BT ve fiziksel güvenlik, sözleşme ifası, yasal yükümlülüklerin yerine getirilmesi, ticari iş ilişkilerinin sürdürülmesi.
Veri Maskeleme
Maskeleme süreci dört aşamada gerçekleştirilir:
- Keşif: Hassas veriler tespit edilir.
- Sınıflandırma: Veriler gizli, çok gizli vb. olarak sınıflandırılır.
- Maskeleme: Hassasiyet derecesine uygun yöntem seçilir.
- Yönetim: Maskelenmiş verinin yaşam döngüsü boyunca paylaşımı ve yönetimi sağlanır.
Teknikler: Karıştırma, Değiştirme, Sıfırlama, Rastgele Atama.
Uygulama katmanları: Veri tabanı katmanı ve ETL katmanı.
KİŞİSEL VERİLERİN İMHASINA İLİŞKİN USUL ve ESASLAR
İmha Sebepleri:
- Mevzuat hükümlerinin değiştirilmesi veya yürürlükten kaldırılması
- Sözleşmenin sona ermesi
- İşleme amacının ortadan kalkması
- Hukuka veya dürüstlük kuralına aykırılık
- Açık rıza esaslı işleme şartında rızanın geri alınması
- Veri sahibinin imha talebi ve ilgili süreç
- Yasal saklama süresinin dolması
Kişisel Verilerin Silinmesi;
- Sunucularda: Sistem yöneticisi tarafından erişilemez ve tekrar kullanılamaz hâle getirilerek silinir.
- Elektronik ortamda: Veritabanı yöneticisi tarafından erişilemez ve tekrar kullanılamaz hâle getirilerek silinir.
- Fiziksel ortamda: İlgili çalışanlar tarafından çizilerek/boyanarak/silinerek karartma işlemi uygulanır.
- Taşınabilir medyada: Sistem yöneticisi tarafından verinin silinmesi ve anahtarlarının güvenli ortamda saklanması sağlanır.
Kişisel Verilerin Yok Edilmesi;
- Fiziksel veriler: Kağıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
- Optik/manyetik medya: Eritilerek, yakılarak, mıknatıs etkili ortamlarda yok edilerek veriler okunamaz hâle getirilir.
- Bulut sistemler: İmha bildirimiyle anahtarların tüm kopyaları imha edilerek veriler yok edilir.
- Çevresel sistemler: Yazıcı, parmak izi vb. verilerin bakım/yenileme öncesi imha edilmesi zorunludur.
Kişisel verileri işleme şartlarının tamamının ortadan kalktığı anda, veriler en geç otuz gün içinde imha edilir ve ilgili kişiye bilgi verilir.
Kişisel verileri işleme şartlarının ortadan kalktığı ve talebe konu olduğu durumlarda, Yönetmelik kapsamında gerekli işlemler yapılır.
Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, ilgili kişiye en geç otuz gün içinde yazılı veya elektronik ortamda gerekçe bildirilir.
KİŞİSEL VERİLERİN SAKLANMASINA ve İMHASINA İLİŞKİN ALINAN TEDBİRLER
ETSUN, Kişisel Verilerin Korunması Politikası ve Veri Envanterinde açıklanan tedbirler doğrultusunda, KVKK’nın 12. maddesi ve 6/4. fıkrası gereği gerekli teknik ve idari önlemleri alır.
YÜRÜRLÜK ve GÜNCELLEMELER
Politika, ETSUN Yönetim Kurulu onayıyla yürürlüğe girer; değişiklikler onay sonrası yürürlüğe alınır. Yılda bir kez gözden geçirilerek güncellenir; mevzuat veya Kurul kararları doğrultusunda gerekirse yeni bir Politika oluşturulur.