Kişisel Veri Saklama, Silme ve İmha Politikası

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

• AMAÇ

Kişisel Verileri Saklama ve İmha Politikası, OKULBOX BİLİŞİM TEKNOLOJİLERİ LİMİTED ŞİRKETİ (“OKULBOX”) gerçekleştirilmekte olan saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır.

OKULBOX BİLİŞİM TEKNOLOJİLERİ LİMİTED ŞİRKETİ; öğrenci, veli, şirket çalışanları, çalışan adayları, mal veya ürün alıcısı, tedarikçi çalışanı, tedarikçi yetkilisi, cari hesap müşterileri ve diğer üçüncü kişilere ait kişisel verilerin T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.

Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, veri sorumlusu tarafından bu doğrultuda hazırlanmış olan Politikaya uygun olarak gerçekleştirilir.

İşbu Politika’nın kapsamı; veri sorumlusunun çalışanları, çalışan adayları, tedarikçi çalışanı, tedarikçi yetkilisi, mal veya ürün alıcısı, cari hesap müşterileri, öğrenci, veli ve diğer üçüncü kişilere ait kişisel veriler olup, veri sorumlusunun sahip olduğu ya da kendisine yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

• TANIMLAR VE KISALTMALAR

Açık Rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,
Alıcı Grubu	Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi
Anonim Hale Getirme	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
Elektronik Ortam	Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
Elektronik Olmayan Ortam	Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar
İlgili Kişi / Kişisel Veri Sahibi	Kişisel verisi işlenen gerçek kişi.
İmha	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
Kanun	6698 Sayılı Kişisel Verilerin Korunması Kanunu.
Kayıt Ortamı	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,
Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyad, TCKN, e-posta, adresi, doğum tarihi, kredi kartı numarası, banka hesap numarası… Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir),
Kişisel Veri İşleme Envanteri	Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem,
Kurul	Kişisel Verileri Koruma Kurulu,
Özel Nitelikli Kişisel Veri	Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,
Periyodik İmha	Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda işbu Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,
Politika	Kişisel Verileri Saklama ve İmha Politikası
Veri İşleyen	Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
Veri Kayıt Sistemi	Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
Veri Sorumlusu	Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi
VERBİS	Veri Sorumluları Sicili
Yönetmelik	28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

• KİŞİSEL VERİLERİN KAYDEDİLDİĞİ YERLER

OKULBOX BİLİŞİM TEKNOLOJİLERİ LİMİTED ŞİRKETİ, Kanun’a uygun olarak gerçekleştirmekte olduğu veri işleme faaliyetleri kapsamında elde ettiği kişisel verileri, işleme amacının gerektirdiği ölçü ile sınırlı olmak kaydıyla muhafaza etmektedir. Bu kapsamda, elde edilen kişisel veriler fiziki veya elektronik ortamda saklanmaktadır.

• SORUMLULUK VE GÖREV DAĞILIMI

Veri sorumlusunun tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılımı ve imha süreçleri aşağıdaki gibidir;

UNVAN	BİRİM	GÖREV
Yönetim Departman Yetklisi	Yönetim	Politika’nın hazırlanması, geliştirilmesi, yürütülmesi, ilgili ortamlarda yayınlanması ve güncellenmesi ile Çalışanların Politika’ya uygun hareket etmesinden sorumludur.
Mali ve İdari İşler Yetkilisi	Muhasebe	Görevlerine uygun olarak Politikanın yürütülmesinden sorumludur.
İnsan Kaynakları Yetkilisi	İnsan Kaynakları	Görevlerine uygun olarak Politikanın yürütülmesinden sorumludur.

• KİŞİSEL VERİLERİN TUTULTUĞU ORTAMLAR

a. Elektronik Olarak Tutulan Ortamlar

Veri sorumlusunun kişisel verileri elektronik ortamda, geliştirmiş olduğu yazılımlar, sunucular (yedekleme, e-posta, veritabanı, web, dosya paylaşımı, vb.), şirketin kullanmış olduğu programlar (ofis yazılımları, portal, özel programlar.), bilgi güvenliği cihazları, yazıcılar, faks, kamera kayıt sistemi, kişisel bilgisayarlar, mobil cihazlar, çıkarılabilir bellekler, tarayıcı üzerinden tutulmaktadır.

b. Fiziksel Olarak Tutulan Ortamlar

Veri sorumlusunun kişisel verileri fiziksel ortamda, kağıt, cari hesap dökümleri, özlük dosyaları… gibi evraklar üzerinden tutulmaktadır.

6. SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

Veri sorumlusu tarafından; çalışanları, çalışan adayları, hissedar/ortak, tedarikçi çalışanı, tedarikçi yetkilisi, mal veya ürün alıcısı, cari hesap müşterileri ve diğer üçüncü kişilere ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.

Buna göre, veri sorumlusu faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

6.1. Saklamayı Gerektiren Hukuki Sebepler

Şirketimizde, faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

6698 sayılı Kişisel Verilerin Korunması Kanunu,

6098 sayılı Türk Borçlar Kanunu,

6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun,

5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,

5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,

6331 sayılı İş Sağlığı ve Güvenliği Kanunu,

4982 Sayılı Bilgi Edinme Kanunu,

4857 sayılı İş Kanunu,

213 Sayılı Vergi Usul Kanunu

İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik

Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

6.2.   Saklamayı Gerektiren Haller

Veri sorumlusunun, ticari faaliyetlerine ilişkin kişisel veri içeren bilgi ve belgeleri, 6102 Sayılı Türk Ticaret Kanunu, 6563 Sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanunu, 4857 Sayılı İş Kanunu, 6331 Sayılı İş Sağlığı ve Güvenliği Kanunu ve ilgili diğer mevzuattan doğan yükümlülüklerini yerine getirmek üzere veri işleme şartlarına uygun olarak kanunlarda yazılı zamanaşımı süreleri kadar saklamaktadır.

Ayrıca, veri sorumlusu elde ettiği kişisel verileri, ilgili mevzuatında öngörülen saklama sürelerinin bitiminden itibaren, Kanun’un 5. Ve 6. Maddelerinde yer alan işleme şartlarını sağlamak ve gerekçelendirmek kaydıyla, belirleyeceği süre kadar da saklayabilecektir.

Kişisel verilerin işlenme şartlarının tamamen ortadan kalkması ve kanunlardan kaynaklanan yükümlülüklerin yerine getirilmesi bakımından öngörülen zamanaşımı sürelerinin sonunda işlenen kişisel veriler imha edilmektedir.

Veri sahibinin açık rızasına dayalı olarak yürütülen saklama faaliyetleri, rızanın veri sahibi tarafından geri alınması halinde de derhal sonlandırılmakta ve ilgili kişisel veriler silinmelidir. Veri sahibinin Kanun’un 11. Maddesinde yer alan hakları kapsamında verilerinin silinmesi talebini veri sorumlusuna iletmiş olduğu durumlarda, veri sorumlusu tarafından yetkilendirilmiş kişilerce talep değerlendirilmekte ve Kanun’da belirtilen veri işleme şartlarının tamamının ortadan kalkması halinde kişisel veriler imha edilmektedir.

6.3. İmhayı Gerektiren Sebepler

Kişisel veriler;

İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,

Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,

Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,

Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

durumlarında, veri sorumlusu tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

7.  TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12. maddesiyle Kanunun 6. maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde veri sorumlusu tarafından teknik ve idari tedbirler alınmaktadır.

7.1.   Teknik Tedbirler

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği sağlanmaktadır.
• Saldırı tespit ve önleme yazılımları kullanılmaktadır.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmektedir.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulamaya konulmuştur.
• Kişisel veri içeren fiziksel ortamların dış risklere karşı güvenliği sağlanmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

7.2.   İdari Tedbirler

• Veri sorumlusuna KVKK kapsamında farkındalık oluşturulmuştur.
• KVKK kapsamında gerekli kurumsal politikalar oluşturulmuştur.
• Gizlilik taahhütnameleri oluşturulmuştur.
• İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kurul’a bildirecektir.

8. KİŞİSEL VERİLERİ İMHASININ GERÇEKLEŞTİRİLMESİ

Kişisel verilerin imhası kapsamında gerçekleştirilen tüm işlemler tutanak ve kayıt altına alınmakta ve bu kayıt ve tutanaklar kanunlardan kaynaklanan yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanmaktadır. Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını teknolojik imkanlar ve uygulama maliyetine göre seçmekte olup, kişisel veri sahibinin talebi halinde uygun yöntemin gerekçesini açıklamaktadır.

8.1.   Kişisel Verilerin Silinme Yöntemleri

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

8.2. Kişisel Verilerin Yok Edilme Yöntemleri

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Kişisel verilerin yok edilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, yakılmak suretiyle geri döndürülemeyecek şekilde yok edilir.

Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır.

8.3. Kişisel Verilerin Anonim Hale Getirilme Yöntemleri

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekmektedir. Kişisel verilerin anonim hale getirilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Şirketimiz, anonim hale getirme için verilerdeki bazı harf veya rakamları karartma yöntemini kullanmaktadır.

9. SAKLAMA VE İMHA SÜRELERİ

Kişisel verileri ancak ilgili uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir.

Bu kapsamda kişisel veriler aşağıdaki EK-1 Saklama ve İmha Süreleri Tablosu’nda belirtilen azami süreler boyunca saklamakta ve imha edilmektedir.

Kişisel veri sahibinin, veri sorumlusuna başvurarak kendisine ait kişisel verilerin imha edilmesini talep etmesi halinde veri sorumlusu, kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa, kişisel veri sahibinin talebini en geç otuz gün içinde sonuçlandırır ve kişisel veri sahibine bilgi verir ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa, bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.

Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, kişisel veri sahibinin talebini Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesini açıklayarak reddedilebilir ve ret cevabını kişisel veri sahibine en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

10. PERİYODİK İMHA SÜRELERİ

Yönetmeliğin 11. maddesi gereğince Şirket, periyodik imha süresini 1 yıl olarak belirlemiştir.

11.  POLİTİKANIN YAYIMLANMASI

İşbu Politika yayınlandığı tarihinde yürürlüğe girmiştir.

Politika değişen şartlara ve mevzuata uyum sağlamak amacıyla zaman zaman güncellenebilecektir.

SAKLAMA ve İMHA SÜRELERİ TABLOSU

Veri	Saklama Süresi	İmha Süresi
Kimlik	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
İletişim	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Görsel ve İşitsel Kayıtlar	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Özlük	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Hukuki İşlem	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Müşteri İşlem	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Fiziksel Mekan Güvenliği	1 Ay	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Ceza Mahkumiyeti ve Güvenlik Tedbirleri	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Felsefi İnanç, Din, Mezhep Ve Diğer İnaçlar	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Pazarlama	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Mesleki Deneyim	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Irk ve Etnik Köken	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde
Sağlık Bilgileri	11 Yıl	Saklama süresinin bitimini takip eden ilk periyodik imha süresinde

Finans 11 Yıl Saklama süresinin bitimini

takip eden ilk periyodik

imha süresinde