Müşteri ve iş ortağı kişisel verilerinin işlenmesi yönergesi

Veri sorumlusu: Veri sorumlusu unvanı veya adı​ Belge no: Belge numarası​ — Tarih: Belge tarihi

Bu yönerge gerçek kişi müşteriler, iş ortakları ve karşı taraf temsilcilerine ilişkin kurum içi işlemleri düzenler. Tüzel kişiye ait bilgi tek başına kişisel veri sayılmaz; kimliği belirli veya belirlenebilir gerçek kişiyle ilişkili bilgiler KVKK kapsamında değerlendirilir. Koordinatör, yetki sınırları ve vekili: Koordinatör, yetkileri ve vekili​. Birimler amaç ve hukuki şartları belgelemek, erişimleri sınırlamak ve değişiklikleri bildirmekle görevlidir. Koordinatör atanması veri sorumlusunun yükümlülüklerini kaldırmaz.

İşleme envanteri: Amaçlara göre işleme envanteri​. Sözleşmenin kurulması ve ifası, kanuni kayıt yükümlülüğü, hakların korunması ve diğer amaçlar ayrı satırlarda gösterilir. Her amaç için veri ve ilgili kişi grupları, m.5 veya m.6 kapsamındaki işleme şartı, yöntem, alıcılar, süre ve sorumlu belirlenir. Sözleşme şartı yalnız sözleşmenin taraflarına ait ve sözleşme için doğrudan gerekli veriler bakımından değerlendirilir; şirketle sözleşme yapılması, çalışanlarına ait her verinin serbestçe kullanılmasını sağlamaz. Meşru menfaat gerekçesinde gereklilik ve kişinin hakları arasında denge değerlendirmesi kayıt altına alınır. Veriler belirli, açık ve meşru amaçlarla, bağlantılı, sınırlı ve ölçülü işlenir; doğruluk ve güncellik sağlanır. Yeni amaç, sistem veya alıcı kullanılmadan önce hukuki şart, aydınlatma, güvenlik, saklama ve varsa VERBİS güncelleme gereği değerlendirilir. Önce veri toplayıp sonra gerekçe bulma yöntemi uygulanmaz.

Veri elde edilirken m.10 uyarınca veri sorumlusunun ve varsa temsilcisinin kimliği, amaçlar, alıcılar ve aktarım amaçları, toplama yöntemi ve hukuki sebebi ile m.11 hakları anlaşılır şekilde açıklanır. İnternet politikasına genel atıf, kişiye uygun zamanda ve içerikle aydınlatma yapılmasının yerine geçmez. Aydınlatmanın sunulduğuna ilişkin sürüm ve yöntem kanıtı saklanır. Açık rıza yalnız gerekli olduğu işlemler için, belirli konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle alınır; aydınlatma ile birbirine karıştırılmaz. Sessizlik, önceden işaretli kutu veya zorunlu olmayan işleme karşı çıkmama rıza kabul edilmez. Rıza metni, kapsamı, tarihi ve geri alma kanalı izlenir. Geri alma sonrasında yalnız rızaya dayanan işleme durdurulur; başka hukuki şartla süren işlemin kapsamı ayrıca açıklanır.

Form, görüşme ve diğer onaylı kanallarda kişiye uygun aydınlatma sağlanır. Gerekli açık rıza ayrı ve ispatlanabilir olarak alınır. Basılı formun boş bırakılması veya iş ilişkisinin sürmesi rıza yerine geçmez.

Yalnız amaç için gereken kimlik, iletişim, sözleşme ve ödeme bilgileri alınır. Kimlik kopyası otomatik olarak istenmez; doğrulama daha az veriyle yapılabiliyorsa o yöntem kullanılır. Özel nitelikli veriler ve biyometri varsayılan kapsam değildir; güncel m.6 şartları ve Kurulun yeterli önlemleri ayrıca incelenir. Üçüncü kişiden gelen veride kaynağın ve aktarımın hukuka uygunluğu incelenir, gereken zamanda aydınlatma yapılır. Bir verinin internette bulunması her amaçla kullanım hakkı vermez; alenileştirme iradesi ve amacı dikkate alınır. Güncelliği tartışmalı veri doğrulanır; uyuşmayan amaçların kayıtları gereksiz biçimde birleştirilmez.

Yetkili kişiler ve roller: Yetkili kişiler ve roller​. Yetki asgari kapsamda onaylanır, gözden geçirilir ve gerekçe sona erince kaldırılır. Aktarım öncesi alıcının kimliği ve yetkisi doğrulanır; yanlış alıcı ve açık toplu e-posta riskleri önlenir. Yurt dışına aktarım öngörülmemektedir. Yabancı hizmet, alt işleyen veya yurt dışından erişim açılmadan önce fiilî durum incelenir ve bu bölüm güncellenir.

Başvuru kanalları ve ölçülü kimlik doğrulama: Başvuru kanalları ve kimlik doğrulama​. Başvuru; tarih, hak talebi, sorumlu ve son cevap tarihiyle kaydedilir. m.11 kapsamındaki bilgi edinme, düzeltme, silme veya yok etme, alıcılara bildirim ve diğer haklar talebin niteliğine göre değerlendirilir. Başvurular en kısa sürede, en geç otuz gün içinde yazılı veya elektronik sonuçlandırılır. Sadece telefonla bilgi verilmesi resmî cevabın yerine geçmez. Yanıtta üçüncü kişilerin verileri açıklanmaz; ret gerekçesi somut olarak belirtilir. Hatalı kayıtlar düzeltilir, gerekiyorsa alıcılara bildirilir. Geçerli saklama yükümlülüğü bulunması pazarlama gibi farklı amaçların sürdürülmesine izin vermez.

Veri türlerine göre dayanaklar, süreler, sorumlular ve imha yöntemi: Saklama ve imha süreleri​. Amaç ve tüm işleme şartları sona erdiğinde veriler resen veya talep üzerine silinir, yok edilir ya da anonimleştirilir. Kopya, arşiv, yedek ve veri işleyendeki kayıtlar birlikte değerlendirilir; imha sonucunun kanıtı tutulur. Politika hazırlama yükümlülüğü olanlarda periyodik imha aralığı altı ayı geçmez; böyle bir yükümlülüğü olmayanlarda imha yükümlülüğü doğduktan sonra üç ay içinde işlem yapılır. Başvuru üzerine uygulanacak süre ayrıca gözetilir. İmha işlemlerinin kaydı diğer yükümlülükler saklı kalmak üzere en az üç yıl korunur.

Şüpheli olay derhâl koordinatöre bildirilir; deliller ve öğrenilme zamanı korunur. m.12/5 kapsamındaki ihlal Kurula gecikmeksizin, öğrenilmesinden itibaren en geç 72 saatte; ilgili kişilere makul olan en kısa sürede bildirilir. Eksik bilgiler sonradan tamamlanır; soruşturmanın bitmesi beklenerek bildirim ertelenmez. Kayıtlar, kontroller ve düzeltici işlemler: Kayıtlar ve kontrol takvimi​. Envanterin fiilî işleyişe uygunluğu, süreler, alıcılar ve gerekli rıza kanıtları incelenir. Bulgu için sorumlu ve son tarih belirlenir, giderilme teyit edilir. Çalışan bilgilendirmesi ve eğitim: Çalışanların bilgilendirilmesi ve eğitimi​. Veriye erişmeden önce ve süreç değişikliklerinde kurallar anlatılır. Teknik güvenlik yönergesi ve kamuya sunulan aydınlatma metinleri ayrı tutulur. İmzalayanın görevi​ — İmzalayanın adı ve soyadı​ — İmza: __________ Yetki dayanağı: İmza yetkisinin dayanağı​