SP DANIŞMANLIK A.Ş
KİŞİSEL VERİLERİN SAKLANMASI VE İMHA POLİTİKASI

İÇİNDEKİLER

1.GİRİŞ
1.1.Politikanın Amacı
1.2.Politikanın Kapsamı
1.3 Tanımlar

2. SORUMLULUK VE GÖREVLER

3. KAYIT ORTAMLARI

4. KİŞİSEL VERİLERİSAKLANMASI VE İMHASINA İLİŞKİN AÇIKLAMALAR
4.1. Saklamayı Gerektiren Hukuki Sebepler
4.2. Saklamayı Gerektiren İşleme Amaçları
4.3. İmhayı Gerektiren Hukuki Sebepler

5.TEKNİK VE İDARİ TEDBİRLER

6.KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

7.SAKLAMA VE İMHA SÜRELERİ

8. PERİYODİK İMHA SÜRESİ

9.POLİTİKANIN YAYIMLANMASI, SAKLANMASI VE GÜNCELLENMESİ DİĞER POLİTİKALAR İLE BAĞLANTISI

10. YÜRÜRLÜK

1.GİRİŞ
1.1. Politikanın Amacı
Kişisel verileri saklama ve imha politikası 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e uygun olarak, Sürmeli&Partners tarafından işlenen kişisel verilerin, saklanması ve imhasına yönelik iş ve işlemler konusundaki usulleri ve esasları belirlemek amacıyla hazırlanmıştır.

1.2. Politikanın Kapsamı
Kişisel verileri saklama ve imha politikası, Sürmeli&Partners işlemekte olduğu Kişisel Verileriler ile Özel Nitelikli Kişisel Verilere yönelik tüm faaliyetleri kapsar ve söz konusu faaliyetlere uygulanmaktadır. Kişisel Verilerin saklanmasıyla ve imhasıyla ilgili olarak bu politika tarafından düzenlenen kurallar katılımcı, potansiyel katılımcı, çalışan adayı, çalışan veya diğer gerçek şahıslarla ilgili basılı, elektronik veya diğer ortamlardaki tüm kişisel verileri kapsar.

1.3 Tanımlar
İşbu Politikada geçen tanımlar aşağıdaki anlamları ihtiva eder.



2. SORUMLULUK VE GÖREVLER

Şirketin tüm çalışanları ve birimleri; kişisel verilerin hukuka uygun olarak elde edilmesi, işlenmesi ve saklanması konusunda sorumlu birimlere tam ve aktif destek verir. Politika kapsamında alınan idari ve teknik tedbirlerin uygulanmasında, birim çalışanlarının eğitilmesinde, çalışanların farkındalığının sağlanmasında, artırılmasında ve izlenmesinde, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesinde ve kişisel verilerin hukuka uygun olarak muhafazasında tüm çalışanlar ve birimler, sorumlu birimlere destek olur.

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım şu şekildedir.

Saklama ve imha süreçleri görev dağılımı



3. KAYIT ORTAMLARI

Veri Sahiplerine ait kişisel veriler,

• Sürmeli&Partners tarafından sunulan test/envanter ve değerlendirme merkezi gibi ürün ve hizmetlerden ilgili kişilerin faydalanması,
• Uygulanan psikometrik testlerin sonuçlarını listeleme, raporlama, doğrulama, analiz ve değerlendirmeler yapabilmek, istatistiki ve bilimsel bilgiler üretilmesi,
• Sürmeli&Partners ile iş ilişkisi içerisinde olan üçüncü gerçek veya tüzel kişiler ile yapılan sözleşmeler veya yürütülen faaliyetler çerçevesinde; hukuki ve ticari yükümlülüklerin gerçekleştirilmesi için, Sürmeli&Partners tarafından iş ortağı/müşteri/tedarikçiler ile (yetkili veya çalışanlar) yapılan sözleşmelerden kaynaklanan yükümlülüklerin ifası, hak tesisi, hakların korunması, ticari ve hukuki değerlendirme süreçleri, hukuki ve ticari risk analizleri, hukuki uyum süreci,
• çalışan haklarının ve yan haklarının planlanması ve yönetilebilmesi amacıyla elektronik ortamlarda veya elektronik olmayan ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta belirtilen sınırlar çerçevesinde saklanmaktadır. Saklama / Kayıt ortamlarına ilişkin tablo aşağıdaki gibidir.

Kişisel veri saklama ortamları



4. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASINA İLİŞKİN AÇIKLAMALAR

KVKK’nın 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4. maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesigerektiği belirtilmiş, 5. ve 6. maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, ticari faaliyetlerimiz olan değerlendirme merkezi uygulamaları ve diğer sayılan çerçevede kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanmaktadır. Kullanım amacı sonlanan ve yasal saklama süresi/zamanaşımı sona eren Kişisel Veriler ise, KVKK’nın 7’nci maddesi uyarınca silinmekte, yok edilmekte veya anonim hale getirilmektedir.

4.1. Saklamayı Gerektiren Hukuki Sebepler

Sürmeli&Partners tarafından klinik faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar ve kanun ile ilgili mevzuat kapsamında muhafaza edilir. Bu kapsamda saklamayı gerektiren sebepler şunlardır:

· Kişisel verilerin Değerlendirme Merkezine giren Katılımcıların , sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,
· Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,
· Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla
Sürmeli&Partners’ın verdiği iş çıktılarının kanıtlarına yönelik meşru menfaatleri için saklanmasının zorunlu olması,
· Kişisel verilerin Sürmeli&Partners’ın herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,
· Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
· Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması.

4.2. Saklamayı Gerektiren İşleme Amaçları Sürmeli&Partners aşağıdakiler dahil olmak ancak bununla sınırlı olmamak üzere, ilgili kişinin veya ilgili kişi tarafından belirtilen üçüncü tarafların kişisel verilerini çeşitli amaçlarla işleyebilmektedir:

· Çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi
· Hukuk işlerinin takibi ve yürütülmesi
· Faaliyetlerin mevzuata uygun yürütülmesi
· Verilen hizmet sonrası destek hizmetlerinin yürütülmesi
· İletişim faaliyetlerinin yürütülmesi
· Çalışanlar için yan haklar ve menfaatleri süreçlerinin yürütülmesi
· Danışmanlık Hizmeti talebinde bulunan müşteri temsilcilerinin kayıtlarının oluşturulması
· Yetkili kişi kurum ve kuruluşlara bilgi verilmesi
· Hizmetin ifası
4.3. İmhayı Gerektiren Hukuki Sebepler

Kişisel veriler, aşağıdaki durumların varlığı halinde ilgili kişinin talebi üzerine veya re’sen Sürmeli&Partners’ın yetki verdiği kişiler tarafından silinir ya da yok edilir:

· Kişisel verinin işlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya kaldırılması
· Kişisel verinin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması · Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması
· Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi Kanunun 11 inci maddesi gereği ilgili kişinin kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile yaptığı başvurunun veri sorumlusu tarafından reddedilmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurulaş ikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
· Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması

5. TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun olarak imha edilmesi amacıyla Sürmeli&Partners tarafından alınmış olan tüm idari ve teknik tedbirler aşağıda sayılmıştır:

Sürmeli&Partners teknik olarak almış olduğu ve almakta olduğu tedbirler aşağıda yazılı olanlarla sınırlı olmamak üzere şu şekildedir:

· Verilerin şirket dışına sızmasını engelleyecek veyahut gözlemleyecek teknik altyapının temin edilmesini sağlar.
· Kişisel verilerin saklandığı her türlü dijital ortam, bilgi güvenliği gereksinimlerini sağlayacak şekilde şifreli yöntemler ile korur.
· Ağ güvenliği ve uygulama güvenliği sağlar.
· Çalışanlar için yetki matrisi oluşturulmasını sağlar.
· Görev değişikliği olan ya da işten ayrılan çalışanların yetkilerini kaldırılır.
· Güncel anti-virüs sistemleri kullanır.
· Şifreleme yapılır
· Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim izi bırakmayacak şekilde sağlanır.
· Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır
· Saklanan kişisel verilere şirket içi erişimi iş tanımı gereği erişmesi gerekli personel ile sınırlandırır.
· Kişisel veri içeren fiziksel ortamlara (kilitli dolaplar vb gibi) erişim ile ilgili gerekli güvenlik önlemleri alınır ve fiziksel ortamların dış risklere karşı güvenliğini sağlar.
· Çalışan Özlük Dosyaları, gibi gizli belgeler kilitlenebilir bir dolapta saklanmaktadır.
· Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri bulunur.
· Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkilerinin iptali yapılır.
· Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin paylaşıldığı kişiler ile kişisel verilerin korunması ve veri güvenliğine ilişkin çerçeve sözleşme imzalar yahut mevcut sözleşmesine eklenen hükümler ile veri güvenliğini sağlar. Gizlilik taahhütnameleri yapar.
· İşlenen kişisel verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi hâlinde, bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kurulu’na bildirir.

6. KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

Kullanım amacı sonlanan ve yasal saklama süresi/zamanaşımı sona eren Kişisel Veriler ise, KVKK’nın 7’nci maddesi uyarınca Şirket tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

6.1. Kişisel Verilerin Silinmesi

Sürmeli&Partners tarafından işlenen kişisel veriler aşağıdaki tabloda belirtilen yöntemlerle silinir.



6.2. Kişisel Verilerin İmha Edilmesi/Yok Edilmesi

Sürmeli&Partners tarafından işlenen kişisel veriler aşağıdaki tabloda belirtilen yöntemlerle imha edilir/yok edilir.



6.3. Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir. 7.SAKLAMA VE İMHA SÜRELERİ

Sürmeli&Partners tarafından şayet kişisel verilerinizin işlenmesi halinde kişisel verilerin saklama süresi belirlenirken; öncelikle yasal mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir süre öngörülmüş ise bu süreye riayet edilir. Bunun haricinde aşağıdaki tabloda yer alan saklama ve imha süreleri esas alınır.



8. PERİYODİK İMHA SÜRESİ

28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğin 11 inci maddesi gereğince Sürmeli&Parrtners, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Sürmeli&Partners’a ait sunucularda her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

9.POLİTİKANIN YAYIMLANMASI, SAKLANMASI VE GÜNCELLENMESİ, DİĞER POLİTİKALAR İLE BAĞLANTISI

Politika, şirketin internet sitesinde (www.sürmelipartners.com) yayımlanır. Sürmeli&Partners, yasal düzenlemelere paralel olarak Politika’ da değişiklik yapma hakkına sahip olup bu doğrultuda Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli bölümler güncellenir.

Sürmeli&Partners, kişisel verilerin korunması için belirlediği uygulama esaslarını politikalarda belirtmekte, ilgili olduğu ölçüde söz konusu politikaları kamuoyuna açık ortamlarda yayımlamaktadır. Bu hususlarda Sürmeli&Partners tarafından hazırlanan tüm politikalar, bir bütündür ve düzenlemeleri birbirini tamamlamaktadır.

10. YÜRÜRLÜK

Politika, şirket internet sitemizde yayımlanmasının ardından yürürlüğe girmiş kabul edilir.