Kişisel veri saklama ve koruma yönergesi

Veri sorumlusu: Veri sorumlusu unvanı veya adı​ Belge no: Belge numarası​ — Tarih: Belge tarihi Onay dayanağı: Onay kararının bilgileri​

Kapsam: Kapsam ve veri grupları​. Bu yönerge, KVKK m.4, 7 ve 12 uyarınca kayıtların gerekli süre boyunca korunmasını ve hukuki işleme şartları sona erdiğinde uygun şekilde imhasını düzenler. Belirsiz süreyle veya gelecekte gerekebilir düşüncesiyle veri saklanmaz. Koordinasyon ve vekâlet: Koordinatör ve vekili​. Her süreç sahibi kayıtlarının doğruluğunu, erişimini ve süresini takip eder; yönetim gerekli kaynakları sağlar. Görev dağılımı veri sorumlusunun yükümlülüklerini ortadan kaldırmaz. Amaç ve süre envanteri: Amaç, hukuki sebep ve saklama envanteri​. Envanterde veri ve ilgili kişi grupları, işleme amacı ve şartı, alıcı grupları, ortam, saklama süresi veya sona erme ölçütü, sorumlu birim ve imha yöntemi bulunur. Kanuni saklama süresi ile iş gereği önerilen süre birbirinden ayrılır; dayanağı kaydedilir.

Yetkili roller: Erişim rolleri​. Erişim gerekçeli başvuru ve onayla, yalnız görev süresi ve gereksinimi kadar verilir. Aktarma, kopyalama, indirme ve silme yetkileri ayrı değerlendirilir. İş değişikliğinde yetkiler yeniden tanımlanır; ayrılışta erişim kapatılır ve ortamlar teslim alınır. Belge kopyaları, arşivler ve yedekler aynı envanterle ilişkilendirilir. Kimlik ve yetki doğrulanmadan dışarıya bilgi verilmez. Hatalı veriler düzeltilir; değişikliğin gerekli alıcılara bildirilmesi değerlendirilir.

Sistemler, veri konumları ve yedekler: Elektronik sistemler ve veri yerleri​. Teknik tedbirler: Teknik tedbirler​. Kişisel hesaplar, onaysız bulut hizmetleri ve ortak parolalar kullanılmaz. Rol bazlı erişim, uygun kimlik doğrulama, güncellemeler ve güvenlik kayıtları uygulanır; kayıtların kendisi de sınırlı erişimle korunur. Yedekler ve kurtarma ortamları aynı güvenlik ve süre yönetimine tabidir. Geri yükleme denenir; daha önce hukuka uygun silinen kayıtların yeniden normal işleme dönmemesi için silme listeleri uygulanır.

Saklama yerleri ve yetkilileri: Fiziksel saklama yerleri​. Dosyalar kilitli ve kontrollü alanlarda tutulur; teslim ve iade izlenir. Kopya sayısı görevle sınırlanır; açık masada veya ortak yazıcıda veri bırakılmaz. Elektronik ve fiziksel kopyaların süreleri birlikte izlenir. Yeni hizmet veya alıcı eklenmeden önce hukuki sebep, aydınlatma ve aktarım şartları yeniden incelenir; salt gizlilik sözleşmesi aktarım şartlarını karşılamaz.

Kanallar, kimlik doğrulama ve sorumlular: Başvuru kanalları ve cevap süreci​. Başvurular alınma tarihiyle kaydedilir ve en kısa sürede, en geç otuz gün içinde yazılı veya elektronik cevaplanır. Gereksiz kimlik kopyası istenmez; başka kişilerin verileri cevapta açıklanmaz. Ret varsa gerekçesi belirtilir; hakların kullanılması zorlaştırılmaz.

Süreler, gözden geçirme, sorumlular, yöntemler ve kanıtlar: Saklama ve imha takvimi​. Silme, veriyi ilgili kullanıcılar için erişilemez ve yeniden kullanılamaz kılma; yok etme, hiç kimse için erişilemez, geri getirilemez ve yeniden kullanılamaz kılma; anonimleştirme ise başka verilerle eşleştirilse dahi kişiyle ilişkilendirilememesidir. Yöntem ortam ve risklere göre seçilir; yalnız dosyayı çöp kutusuna taşımak yeterli sayılmaz. İşleme şartlarının tamamı ortadan kalktığında resen veya geçerli talep üzerine imha süreci işletilir. Rızanın geri alınması kaydedilir; başka geçerli şartla tutulması gereken kayıtlar, ilgili amaçla sınırlı kalır ve pazarlama için kullanılmaz. Saklama ve imha politikası hazırlamakla yükümlü veri sorumlularında periyodik imha aralığı altı ayı aşamaz. Böyle bir politika hazırlama yükümlülüğü bulunmayanlarda imha yükümlülüğünün doğmasını izleyen üç ay içinde işlem yapılır. İlgili kişi başvurusunun cevap ve uygulama süresi ayrıca izlenir; periyodik takvim başvuruyu erteleme gerekçesi değildir. İşlemler kayda alınır ve diğer yükümlülükler saklı kalmak üzere en az üç yıl saklanır. İmha kaydı veri grubunu, dayanağı, ortamı, yöntemi, tarihi, uygulayanı ve kontrolü içerir; gereksiz biçimde imha edilen verilerin kendisini yeniden üretmez. Hizmet sağlayıcıdaki kopyalar için de teyit alınır.

İhlal müdahalesi: İhlal müdahale düzeni​. Çalışan olayı derhâl bildirir; öğrenilme zamanı, etkilenen kayıtlar, önlemler ve deliller korunur. KVKK m.12/5 kapsamındaki ihlal Kurula gecikmeksizin ve öğrenilmesinden itibaren en geç 72 saatte bildirilir. Etkilenen kişilere makul olan en kısa sürede bildirim yapılır; soruşturma ve ek bildirimler kayıtla sürdürülür. Denetim, eğitim ve düzeltici işler: Denetim ve eğitim planı​. Envanter ile fiilî durum, erişimler, yedekler, süreler, aktarımlar ve tamamlanan imhalar örneklenir; eksiklere sorumlu ve tarih atanır, giderilme kanıtı kontrol edilir.

Onaylayan: Onaylayanın görevi​ — Onaylayanın adı ve soyadı​ — İmza: __________