Retention & Destruction Policy

NORA ELEKTRONİK SANAYİ VE DIŞ TİCARET LİMİTED ŞİRKETİ KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. AMAÇ VE KAPSAM

Kişisel Verileri Saklama ve İmha Politikası (“Politika”) Nora Elektronik Sanayi ve Dış Ticaret Limited Şirketi (“Şirket”) gerçekleştirilmekte olan saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır.

Şirket; çalışanlar, mal/hizmet sağlayıcıları, müşteri temsilcileri ve diğer üçüncü kişilere ait kişisel verilerin T.C. Anayasası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.

Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Şirket tarafından bu doğrultuda hazırlanmış olan Politika’ya uygun olarak gerçekleştirilir.

Veri Sorumlusu çalışanları, çalışan adayları, mal/hizmet sağlayıcıları, müşteriler ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup veri sorumlusunun işlediği kişisel verilerin tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

2. TANIMLAR

• 2.1. Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.
• 2.2. Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
• 2.3. Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
• 2.4. Çalışan: Şirkette iş görme faaliyetini gerçekleştiren gerçek kişileri ifade eder.
• 2.5. Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
• 2.6. Elektronik Olmayan Ortam: Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel ve benzeri ortamlar.
• 2.7. Hizmet Sağlayıcı: Kişisel Verileri Koruma Kurumu ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi.
• 2.8. İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
• 2.9. İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.
• 2.10. İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
• 2.11. Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
• 2.12. Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
• 2.13. Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
• 2.14. Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
• 2.15. Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• 2.16. Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
• 2.17. Periyodik İmha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
• 2.18. Politika: Kişisel Verileri Saklama ve İmha Politikası.
• 2.19. Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.
• 2.20. Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
• 2.21. Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.
• 2.22. VERBİS: Veri Sorumluları Sicil Bilgi Sistemi
• 2.23. Yönetmelik: 28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

3. KİŞİSEL VERİLERİN SAKLANDIĞI KAYIT ORTAMLARI

Kişisel veriler, Şirket tarafından aşağıda belirtilen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.

• 3.1. Elektronik Ortamlar: Bulut sistemleri, merkezi sunucu, hard-disk, optik diskler, mobil cihazlar, taşınabilir medya, veri tabanları, bilgi güvenliği cihazları, ofis portal ve yazılımları, yazıcı, tarayıcı, fotokopi makinesi vb.
• 3.2. Elektronik Olmayan Ortamlar: Kağıt, özlük dosyası, fatura, fiş, irsaliye, formlar, manuel evrak kayıt sistemleri vb.

4. KİŞİSEL VERİLERİN SAKLANMA VE İMHA SÜREÇLERİNDE ROL ALANLAR

Tüm Şirket çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

Tablo 1: Saklama ve imha süreçleri görev dağılımı

UNVAN	BİRİM	GÖREV
İnsan Kaynakları Müdürü	İnsan Kaynakları	Çalışanların politikaya uygun hareket etmesinden sorumludur. Politika’nın hazırlanması, geliştirilmesi, yürütülmesi, ilgili ortamlarda yayınlanması ve güncellenmesinden sorumludur.
Muhasebe Müdürü	Muhasebe	Görevlerine uygun olarak Politikanın yürütülmesinden sorumludur.
Bilişim Uzmanı	Bilişim	Politika’nın uygulanmasında ihtiyaç duyulan teknik çözümlerin sunulmasından sorumludur.

5. KİŞİSEL VERİ SAKLAMA VE İMHA SÜREÇLERİNE İLİŞKİN AÇIKLAMALAR

Şirket tarafından; çalışanlar, çalışan adayları, mal ve hizmet sağlayıcı olarak ilişkide bulunulan üçüncü kişilerin, kurumların veya kuruluşların çalışanlarına ait kişisel veriler Kanuna uygun olarak saklanır ve imha edilir.

5.1. KİŞİSEL VERİ SAKLAMAYA İLİŞKİN AÇIKLAMALAR

Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6. maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

5.1.1 Saklamayı Gerektiren Hukuki Sebepler

Şirket faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen ve işleme amaçlarımıza uygun süre kadar saklanır. Bu kapsamda kişisel veriler; Kanun, Türk Borçlar Kanunu, Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu, İnternet Ortamında Yapılan Yayınların Düzenlenmesi Hakkında Kanun, İş Sağlığı ve Güvenliği Kanunu, İş Kanunu, Türk Ticaret Kanunu, Vergi Usul Kanunu, İcra İflas Kanunu ve sair mevzuat uyarınca yürürlükte olan düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

5.1.2 Saklamayı Gerektiren İşleme Amaçları

Şirket, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri; Hukuk İşlerinin Takibi ve Yürütülmesi, Çalışanlar İçin Sözleşmesel/Mevzuatsal Yükümlülüklerin Yerine Getirilmesi, Finans ve Muhasebe İşlerinin Yürütülmesi, İnsan Kaynakları Süreçleri, Bilgi Güvenliği, Fiziksel Mekan Güvenliği, Yetkili Kurumlara Bilgi Verilmesi gibi amaçlarla saklar.

5.2. KİŞİSEL VERİLERİN İMHASINA İLİŞKİN AÇIKLAMALAR

Kişisel verilerin imhasını gerektiren başlıca sebepler şunlardır:

• İşlenmesine esas teşkil eden mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Açık rızanın geri alınması,
• İlgili kişinin silme talebinin kabul edilmesi,
• Maksimum saklama süresinin dolması ve başka bir haklı gerekçe bulunmaması.

5.2.1. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

Tablo-2: Kişisel Verilerin Silinmesi Yöntemleri

Veri Kayıt Ortamı	Açıklama
Sunucularda Yer Alan Kişisel Veriler	Sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
Elektronik Ortamda Yer Alan Kişisel Veriler	Çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.
Fiziksel Ortamda Yer Alan Kişisel Veriler	Birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez hale getirilir. Ayrıca karartma işlemi uygulanır.
Taşınabilir Medyadaki Kişisel Veriler	Şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek güvenli ortamlarda saklanır.

Tablo-3: Kişisel Verilerin Yok Edilmesi Yöntemleri

Veri Kayıt Ortamı	Açıklama
Fiziksel Ortamda Yer Alan Kişisel Veriler	Kağıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.
Optik / Manyetik Medyadaki Kişisel Veriler	Eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel imha yöntemleri uygulanır.

6. KİŞİSEL VERİLERİN SAKLANMA VE İMHA SÜRELERİ

Süreçlere bağlı olarak belirlenen saklama ve imha süreleri envantere ve politikalara uygun olarak yürütülür.

Tablo-5: Süreç bazında saklama ve imha süreleri tablosu

SÜREÇ	SAKLAMA SÜRESİ	İMHA SÜRESİ
Özlük	Sözleşmenin sona ermesinden itibaren 120 ay	İlk periyodik imha döneminde
Özlük Dosyası ve Gelen Evrak	Sözleşmenin sona ermesinden itibaren 120 ay	İlk periyodik imha döneminde
Finansal Faaliyetler	İfadan veya sözleşmenin sona ermesinden itibaren 10 yıl	İlk periyodik imha döneminde
Tüzel Kişiliğin Temsili	Temsil ilişkisinin sona ermesinden itibaren 120 ay	İlk periyodik imha döneminde
Yönetim / Genel Kurul / İlan	Karar tarihinden itibaren 120 ay	İlk periyodik imha döneminde
Sözleşmesel Yükümlülüğün Yerine Getirilmesi	Fesih tarihinden itibaren 10 yıl	İlk periyodik imha döneminde
Hukuk İşlerinin Takibi	İlgili sözleşmenin sona ermesinden itibaren 10 yıl	İlk periyodik imha döneminde
Operasyonel Süreçler	Teslimden itibaren 10 yıl	İlk periyodik imha döneminde
Veri Güvenliği Süreci	İmhadan itibaren 10 yıl	İlk periyodik imha döneminde

7. KİŞİSEL VERİLERİN SAKLANMA VE İMHASI İÇİN ALINAN TEKNİK VE İDARİ TEDBİRLER

Şirket tarafından kişisel verilerin güvenliği için her türlü teknik ve idari tedbirler alınmaktadır.

7.1 Teknik Tedbirler

Sızma testleri, erişim ve yetki matrisleri, fiziksel güvenlik önlemleri, şifrelenmiş e-posta aktarımları, yedekleme programları ve güçlü parolalar gibi teknik koruma önlemleri uygulanmaktadır.

7.2 İdari Tedbirler

Çalışanlara yönelik veri güvenliği ve KVKK eğitimleri verilmekte, gizlilik sözleşmeleri imzalatılmakta ve periyodik iç denetimler gerçekleştirilmektedir.

8. PERİYODİK SÜRELER

Yönetmeliğin 11 inci maddesi gereğince Şirket, periyodik imha süresini bir yıl olarak belirlemiştir. Buna göre, Şirket’te her yıl Temmuz ayında periyodik imha işlemi gerçekleştirilir.

9. POLİTİKA’NIN YAYIMLANMASI VE GÜNCELLENMESİ

Politika, basılı kağıt ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır, internet sayfasında kamuya açıklanır. İhtiyaç duyuldukça gözden geçirilir ve güncellenir.