Kişisel Verilerin İşlenmesi

CG BİLGİ YAZILIM VE DANIŞMANLIK A.Ş. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ POLİTİKASI

1. AMAÇ

İşbu Politika, “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili Kişisel Verileri Koruma Kurulu’nun 31/01/2018 tarihli ve 2018/10 sayılı kararı uyarınca, özel nitelikli kişisel verilerin işlenmesine yönelik önlem alınması amacı ile hazırlanmıştır.

Özel nitelikli kişisel veri işlenme, saklanma ve aktarılma işlemlerinde işbu Politikaya uygun olarak hareket edilecektir.

2. KAPSAM

İşbu Politika, aşağıda yer alan kişi gruplarını kapsamaktadır:

• Şirket çalışanları, çalışan adayları, eski çalışanları ve stajyerleri

• Şirket temsilcileri, vekilleri ve hissedarları

• İş ortaklarının çalışanları, temsilcileri ve vekilleri

• Müşteriler ve potansiyel müşteriler

• Hukuken yetkili kişiler,

• Ziyaretçiler,

• Özel nitelikli kişisel verilerle ilişkili olan üçüncü kişiler.

3. YETKİ VE SORUMLULUKLAR

CG BİLGİ YAZILIM VE DANIŞMANLIK A.Ş. (Bundan sonra “Şirket” olarak anılacaktır.), çalışanlarının kişisel verilerini Kanun’a ve ilgili yasal mevzuata uygun olarak toplamak, işlemek ve güvenli bir şekilde muhafaza etmekle yükümlüdür.

4. TANIMLAR VE KISALTMALAR

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ait her türlü bilgi.

Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.

İlgili Kişi: Verisi işlenen gerçek kişi.

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinden gerçekleştirilen her türlü işlem.

Açık Rıza: Belirli bir konuya ilişkin bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.

Kişisel Verilerin Korunması Kanunu: 7 Nisan 2016 tarihinde 29677 sayılı Resmi Gazete’de yayınlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu

Kurum: Kişisel Verileri Koruma Kurumu

Kurul: Kişisel Verileri Koruma Kurulu

Kurul Kararı: Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler ile ilgili Kişisel Verileri Koruma Kurulunun 31.01.2018 tarihli, 2018/10 sayılı kararıdır.

Politika: Özel Nitelikli Kişisel Verilerin İşlenmesi Politikası

Güvenlik Politikaları: Kişisel Veri Güvenliği Politika ve Prosedürleri

Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri yöneten kişidir.

Veri İşleyen: Veri Sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir.

Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçlarını, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve detaylandıkları envanteridir.

5. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

5.1 ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN GENEL İLKELER

Özel nitelikli kişisel verilerin işlenmesinde KVKK’da yer alan genel ilkelere uyulması gerekmektedir. Bu kapsamda, özel nitelikli kişisel veriler işlenirken aşağıdaki ilkelere uygun olarak hareket edilecektir:

• Hukuka ve dürüstlük kuralına uygun olarak kişisel verileri işleme,

• Kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama,

• Kişisel verileri belirli, açık ve meşru amaçlarla işleme,

• Kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olarak işleme,

• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme.

5.2 ÖZEL NİTELİKLİ KİŞİSEL VERİLERİ İŞLEME ŞARTLARI

Özel nitelikli kişisel veriler işlenmesinde genel ilkelerle birlikte, KVKK 6. Maddesinde belirtilen şartlara uygun hareket etmek gerekmektedir. Bu kapsamda, aşağıdaki şartlardan birine dayalı olarak özel nitelikli kişisel verileri işleme faaliyeti yürütülebilir:

• Özel nitelikli kişisel verilerin işlenmesine yönelik ilgili kişinin açık rızasının alınması,

• Özel nitelikli kişisel verilerin işlenmesinin kanunda öngörülmesi (Sağlık ve cinsel hayata ilişkin veriler hariç olmak üzere),

• Sağlık ve cinsel hayata ilişkin kişisel verilerin açık rıza aranmaksızın, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilmektedir.

5.3 ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN AKTARILMASI

KVKK uyarınca özel nitelikli kişisel veriler KVKK’nın 8. Ve 9. Maddelerinde belirtilen kişisel veri işleme şartlarına uygun olarak üçüncü kişiler ile paylaşılabilecektir. Özel nitelikli kişisel verilerin aktarılmasında Kurul Kararında belirtilen güvenlik tedbirleri alınacaktır. Bu kapsamda özel nitelikli kişisel veriler aktarılırken;

• E-posta ile aktarıldığı durumlarda şifreli olarak kurumsal e-posta adresi veya KEP hesabı kullanılarak,

• Farklı fiziksel ortamlardaki sunucular arasında aktarılan durumlarda, sunucular arasında VPN kurularak ya da sFTP yöntemi ile,

• Kağıt üzerinden fiziki olarak aktarılan durumlarda ise belgenin çalınması, kaybolması veya yetkisiz üçüncü kişilerin erişiminin önlenmesi amacı ile gizlilik dereceli belgeler formatında gönderilmesi gerekmektedir.

5.4 ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN MUHAFAZASI

Özel nitelikli kişisel verilerin muhafaza edildiği ortamlara ilişkin Kurul Kararında belirtilen önlemler alınmaktadır. Bu kapsamda;

• Özel nitelikli kişisel veriler kriptografik yöntemlerle muhafaza edilir,

• Özel nitelikli kişisel veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtlarının güvenli bir şekilde loglanır,

• Özel nitelikli kişisel verilerin bulunduğu ortamlara ait güvenlik güncellemeleri takip edilerek, düzenli olarak teste tabi tutulur ve test sonuçları kayıt altına alınır,

• Özel nitelikli kişisel verilere bir yazılım aracılığı ile ulaşılıyorsa şirketteki yetki matrisi uyarınca kullanıcı yetkilendirmesi yapılır,

• Özel nitelikli kişisel verilere uzaktan erişim sağlanıyor ise en az iki kademeli kimlik doğrulama sistemi sağlanmalıdır,

• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise, elektrik kaçağı, yangın, su baskını, hırsızlık vs. durumlara karşı önlemler alınmaktadır. Bu ortamların fiziksel güvenliği ayrıca sağlanarak şirketin oluşturmuş olduğu yetki matrisi uyarınca yetkisiz giriş çıkışlar engellenmektedir.

6. PERSONELLERİN ÖZEL NİTELİKLİ KİŞİSEL VERİLERİ İŞLEMESİ

Personellerin özel nitelikli kişisel verileri işlemesinde alınan önlemler:

• Personellere kişisel verilerin güvenliğinin sağlanması, hukuka aykırı olarak açıklanmaması ve paylaşılmamasına ilişkin gerekli eğitim ve farkındalık çalışmaları yapılır.

• Personellerle gizlilik sözleşmeleri akdedilir.

• Personeller, çalıştığı departmana ve iş rolüne göre kişisel verilerin bulunduğu sunuculara erişim için yetkilendirilir. Bu yetkilerin kapsamı ve süreleri net olarak belirlenir.

• Dönemsel olarak yetki kontrolleri yapılır.

• Personellerin görev değiştirmesi veya işten ayrılması halinde verilere erişim yetkileri kaldırılır.

7. REFERANS VE DAYANAK

“Özel Nitelikli Kişisel Verilerin. İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” ile ilgili Kişisel Verileri Koruma Kurulunun 31.01.2018 tarihli ve 2018/10 Sayılı Kararı

8. YÜRÜRLÜK

İşbu Politika yayın tarihi itibari ile yürürlüğe girer.