Kişisel Veri Saklama ve İmha Politikası

1. Amaç

Bu Politika, VekilOl Bilişim Teknolojileri Anonim Şirketi tarafından işlenen kişisel verilerin saklanmasına, silinmesine, yok edilmesine ve anonim hale getirilmesine ilişkin usul ve esasları belirler.

Bu Politika'nın hazırlanmış olması; kişisel verilerin 6698 sayılı Kanun'a ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik'e uygun biçimde saklandığı, silindiği, yok edildiği veya anonim hale getirildiği anlamına gelmez. Uygunluk, bu Politika'nın varlığıyla değil, fiilen uygulanmasıyla sağlanır.

2. Kapsam ve Kayıt Ortamları

2.1. Bu Politika; VekilOl çalışanlarının, kullanıcıların, avukat kullanıcıların, kurumsal program kapsamındaki kişilerin, ziyaretçilerin ve tedarikçi çalışanlarının kişisel verilerini kapsar.

2.2. Politika aşağıdaki kayıt ortamlarında tutulan verilere uygulanır:

• Uygulama veritabanı ve yedekleri;
• Nesne depolama alanında tutulan belge ve dosyalar;
• Sunucu, uygulama ve güvenlik kayıtları;
• Elektronik posta hesapları ve ekleri;
• Bulut ofis ve doküman paylaşım alanları;
• Destek ve bilet sistemi kayıtları;
• Muhasebe ve fatura sistemleri;
• Fiziksel evrak ve arşiv dolapları;
• Çalışanlara tahsis edilen bilgisayarlar ve taşınabilir bellekler.

3. Tanımlar

Kayıt ortamı: Kişisel verilerin bulunduğu her türlü ortamdır.

İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birim dışında kalan ve veri sorumlusunun organizasyonu içinde ya da aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.

Silme: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesidir.

Yok etme: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesidir.

Anonim hale getirme: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Periyodik imha: Saklamayı gerektiren sebeplerin tamamı ortadan kalkmış kişisel verilerin, bu Politika'da belirtilen ve tekrar eden aralıklarla resen silinmesi, yok edilmesi veya anonim hale getirilmesi işlemidir.

İmha: Silme, yok etme ve anonim hale getirmenin tamamıdır.

4. Saklamayı ve İmhayı Gerektiren Sebepler

4.1. Saklamayı gerektiren hukuki sebepler:

• 6098 sayılı Türk Borçlar Kanunu'ndan doğan zamanaşımı süreleri;
• 6102 sayılı Türk Ticaret Kanunu ve 213 sayılı Vergi Usul Kanunu'nun defter, kayıt ve belge saklama yükümlülükleri;
• 6563 sayılı Kanun ve ikincil mevzuatının onay kayıtlarına ilişkin saklama yükümlülüğü;
• Mesafeli Sözleşmeler Yönetmeliği'nin aracı hizmet sağlayıcıya yüklediği işlem kaydı saklama yükümlülüğü;
• 5651 sayılı Kanun ve ikincil mevzuatından doğan yükümlülükler;
• 6698 sayılı Kanun'un imha işlemlerinin kayda geçirilmesine ilişkin yükümlülüğü.

4.2. Saklamayı gerektiren teknik ve diğer sebepler: hizmetin sunulması, hesap güvenliğinin sağlanması, uyuşmazlık halinde ispat, sistem yedeklerinin bütünlüğü ve denetim izinin korunması.

4.3. İmhayı gerektiren sebepler: işlemenin dayanağı hukuki sebebin ortadan kalkması, açık rızanın geri alınması, ilgili kişinin talebinin kabul edilmesi, saklama süresinin dolması ve işleme amacının gerçekleşmiş olması.

5. Saklama ve İmha Süreleri

5.1. Aşağıdaki tabloda yer alan süreler, saklamayı gerektiren sebebin ortadan kalktığı tarihten itibaren işler.

5.2. Tabloda yer almayan bir veri kategorisi için saklama süresi, işleme amacının gerektirdiği süre ile mevzuatın öngördüğü sürenin uzun olanıdır. Süresi belirlenmemiş bir kategori tespit edildiğinde bu tablo güncellenir.

5.3. Paylaşılan belgeler bakımından saklama süresinin dolmasından yedi gün önce belgenin sahibine bildirim yapılır; sahibine belgeyi indirme ve süreyi uzatma imkanı tanınır. Süre dolduğunda dosya depolama alanından silinir ve kayıt imha edilmiş olarak işaretlenir.

5.4. Kurumsal program üyelik doğrulamasında oluşturulan geçici kayıtlar, doğrulama kodunun geçerlilik süresinin dolmasından itibaren 24 (yirmi dört) saat içinde silinir. Doğrulama kodunun açık hali hiçbir aşamada saklanmaz.

6. Güvenli Saklama Tedbirleri

6.1. Teknik tedbirler: aktarımda taşıma katmanı şifrelemesi; yazışmalarda uçtan uca şifreleme; belgelerde aktarımda ve depoda şifreleme; kimlik doğrulama ve yetkilendirme; yetki matrisi ve en az yetki ilkesi; değiştirilemez denetim izi; yedekleme ve yedeklerin şifrelenmesi; güvenlik kayıtlarının izlenmesi; sızma testi ve zafiyet taraması.

6.2. İdari tedbirler: gizlilik taahhütnameleri; erişim yetkisinin görev değişikliğinde gözden geçirilmesi; tedarikçilerle kişisel veri işleme sözleşmesi; farkındalık eğitimi; ihlal müdahale prosedürünün işletilmesi.

6.3. Kurumsal program kapsamındaki kimlik ve içerik alanlarına erişim kural olarak kapalıdır. İstisnai erişim, EAP İstisnai Erişim Yönergesi'ne tabidir. Kullanıcıların yüklediği belgelerin yönetim panelinden görüntülenmesi de aynı usule tabidir.

7. İmha Tedbirleri ve Yöntem Seçimi

7.1. Silme; ilgili kullanıcıların erişim yetkisinin kaldırılması, kaydın erişilemez hale getirilmesi veya ilgili alanların boşaltılması yoluyla yapılır. Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu birim ilgili kullanıcı sayılmadığından, yedek ortamdaki bir kopya silme tanımını tek başına bozmaz. Yedekler, yedekleme döngüsü içinde ayrıca imha edilir.

7.2. Yok etme; fiziksel ortamda kağıt öğütücü kullanılarak, elektronik ortamda ise verinin geri getirilemeyecek biçimde üzerine yazılması veya ortamın fiziksel olarak imha edilmesi yoluyla yapılır.

7.3. Anonim hale getirme; kimliği gösteren alanların çıkarılması, değerlerin gruplandırılması ve tekilliği ortadan kaldıran yöntemlerle yapılır. Anonimliğin, veriler başka verilerle eşleştirilse dahi bozulmaması esastır.

7.4. Uygulanacak yöntem, veri kategorisi ve kayıt ortamı esas alınarak resen belirlenir. İlgili kişinin talebi halinde seçilen yöntem gerekçesi açıklanarak bildirilir.

8. Periyodik İmha

8.1. Periyodik imha, altı ayı geçmemek üzere her yılın Haziran ve Aralık aylarında gerçekleştirilir.

8.2. Periyodik imha kapsamında; saklama süresi dolmuş kayıtlar taranır, imha edilir ve sonuç kayda geçirilir.

8.3. Periyodik imhanın yanı sıra, saklama süresi dolan belgeler günlük olarak çalışan otomatik bir iş ile imha edilir. Otomatik işin çalışması, periyodik imha yükümlülüğünü ortadan kaldırmaz.

8.4. Kişisel Verileri Koruma Kurulu'nun telafisi güç zarar ve açık hukuka aykırılık hallerinde süreleri kısaltma yetkisi saklıdır.

9. İlgili Kişinin Talebi Üzerine İmha

9.1. İlgili kişinin silme veya yok etme talebi, talebin ulaştığı tarihten itibaren en geç otuz gün içinde sonuçlandırılır ve sonuç kendisine bildirilir.

9.2. Talebe konu veriler üçüncü kişilere aktarılmışsa durum üçüncü kişiye bildirilir ve nezdinde gerekli işlemlerin yapılması temin edilir.

9.3. İşlemenin şartları ortadan kalkmamışsa talep gerekçesi açıklanarak reddedilebilir. Ret, en geç otuz gün içinde yazılı olarak veya elektronik ortamda bildirilir.

9.4. Avukatın 1136 sayılı Kanun'dan doğan saklama yükümlülüğüne tabi kayıtları bakımından silme talebi ileri sürülemez; bu sınır başvuru sahibine bildirilir.

10. Kayıt Altına Alma

10.1. Silme, yok etme ve anonim hale getirmeye ilişkin bütün işlemler kayıt altına alınır.

10.2. Bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak üzere işlem tarihinden itibaren en az üç yıl saklanır.

10.3. İmha kaydı; işlemin tarihini, kapsamını, uygulanan yöntemi ve işlemi gerçekleştiren kişiyi veya sistemi içerir. Kayıt imha edilen verinin içeriğini taşımaz.

11. Süreçte Yer Alanlar

Tablodaki alanlar, Politika yürürlüğe girmeden önce yazılı olarak doldurulur.

12. Güncelleme

Bu Politika yılda en az bir kez gözden geçirilir; mevzuat değişikliği veya yeni bir işleme faaliyeti halinde ayrıca güncellenir. Güncelleme sürüm numarası artırılarak yapılır.