Kişisel Veri Saklama ve İmha Politikası

HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ KİŞİSEL VERİ SAKLAMA ve İMHA POLİTİKASI

1. AMAÇ
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin mevcut ve potansiyel müşterileri, tüketicileri, iş ortakları, ziyaretçileri, vakıf çalışanları, çalışan adayları, işbirliği içinde bulunan kurum çalışanları ile ilgili üçüncü kişilere ait kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi prensipleri ve veri imhası standartlarının Anayasa’nın 20’nci maddesi, 6698 sayılı Kişisel Verilerin Korunması Kanunu 30224 sayılı ve 28.10.2017 tarihli Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik ile bu Kanun’un ikinci düzenlemeleri başta olmak üzere ilgili mevzuatın belirttiği usul ve esasa göre belirlenmiştir.

2. KAPSAM
Politika’daki hüküm ve prensipler, kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebilecek nitelikte olan ve fiziksel ve dijital ortamlarda bulunan her türlü bilgi ve belgeyi ve bunlarla ilgili alınan silinmesi, yok edilmesi veya anonim hale getirilmesi işlemini kapsar.

3. HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ KAYIT ORTAMLARI
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, Kişisel Verileri fiziksel evrak, dijital evrak ve veri tabanı ortamlarında kayıt altına almaktadır.

4. HUKUKİ VE TEKNİK TERİMLER
Aydınlatma Beyanı: 6698 Sayılı KVK Kanununun 10’uncu maddesine göre; kişisel verilerin elde edilmesi sırasında veri sorumluları veya yetkilendirildiği kişilerce, ilgili kişilerin bilgilendirilmesi gerekmektedir. Bu bilgilendirme faaliyetleri ve/veya dokümanları.

İlgili Kişi Grubu: Kişisel Verileri işlenen kişi türü (çalışan, müşteri, ziyaretçi vb)
İlgili Kişi: Kişisel verileri işlenen veri sahibi gerçek kişi, Kişisel Veri Öznesi
İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim haric olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusunun aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,
Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,
Kişisel Veri İşleme: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem
Kişisel veri saklama ve imha politikası: Veri sorumlularının, kişisel verilerinin işlenirken amaç için gerekli olan azami süreyi belirlemeleri işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politikayı,
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
KV: Kişisel Veri
KV Envanteri: Kurumda işlenen (tutulan) Kişisel Verileri ve ilgili bilgilerin tasnif edildiği liste
KVK: Kişisel Veri Koruma
KVK ihlali: İlgili kişilerin mağduriyet olsun veya olmasın, HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ insanı yardım Vakfı’nın Veri Sorumlusu olduğu, içinde kişisel veri bulunan bilgi varlıklarının, HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ insanı yardım Vakf’ı’nın Kontrolü dışında çıkması ile 6698 Sayılı KVK Kanunu ve/veya HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ insanı yardım Vakfı Prosedürlerine aykırı hususlar.
KVİS: Kişisel Veri İşleme Sözleşmesi; veri işleyen, veri sorumlusunun talimatlarına, menfaatine ve iradesine uygun şekilde kişisel verileri işlemeyi taahhüt ettiği; bu iş görme borcu karşılığında veri sorumlusunun bedel ödemeyi üstlendiği sözleşme
KVKK: Kişisel Verilerin Korunması Kanunu
KVKS: Kişisel Verilerin Korunması Sistemi
ÖNKV: Özel Nitelikli Kişisel Veri

5. KİŞİSEL VERİLERİN İMHASI
Kişisel Verilerin İmhası, verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi şeklinde üç farklı şekilde sağlanabilir. İmha işlemindeki amaç, kalan veriler ile gerçek kişiye ulaşabilmenin mümkün olmamasıdır. HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, kişisel verilerin hukuka uygun olarak silinmesi, yok edilmesi ve anonim hale getirilmesi ile ilgili gerekli her türlü teknik ve idari tedbiri alır.

a. Kişisel Verilerin Silinmesi
Tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin silinmesi; söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılabilir hale getirilemez işlemdir. HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, kişisel verileri sildiği durumlarda, ilgili kullanıcılar için verileri hiçbir şekilde erişilemez veya tekrar kullanılamaz hale getirir.

b. Kişisel Verilerin Yok Edilmesi
Yok etme işlemi, HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin verileri fiziksel kayıt ortamlarında işlediği durumlarda yapılabilecektir. HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, bu durumda ilgili kişisel verilerin hiç kimse için erişilememesini, tekrar kullanılmamasını ve geri getirilememesini sağlayacaktır.

c. Kişisel Verilerin Anonimleştirilmesi
Anonim hale getirme işlemi, HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin kişisel verileri tamamen veya otomatik yollarla işlediği durumlarda, bu verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmesi KVKS Komisyonu’nun görevidir. KVKS Komisyonu gerekli durumlarda veri sahibi ilgili birimden destek alabilir fakat her halükarda ilgili birimi bilgilendirme yükümlülüğü vardır. Kişisel verilerin anonim hale getirilmesi sırasında HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, işbu Politika kapsamında belirtilen yöntemleri kullanabilir. Uygulanan yöntemin doğruluğundan emin olunmadığı durumlarda KVKS Komisyonu’na danışılmaktadır.

6. UYUM

6.1. Kişisel Veri İşleme Envanteri
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, iş süreçlerine bağlı olarak gerçekleştirmekte olduğu kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçlarını, kullandığı veri kategorilerini, verileri aktardığı alıcı grubunu ve veri konusu kişi grubunu ilişkilendirmiş ve detaylandırmıştır. HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, Politika içerisindeki prensipler dâhilinde bu envanteri güncel tutacağını taahhüt eder.

6.2. Azami Saklama Süreleri ve Kişisel Veri Saklama Süre Tablosu
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, bu tablo içerisinde, iş süreçlerine bağlı olarak işlemekte olduğu kişisel verileri kategorilerini ve veri kategorilerinin yasal gereksinimler ve iş amaçları doğrultusunda ne kadar süre saklanması gerektiğini ilişkilendirmiş ve detaylandırmıştır. HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, Politika içerisindeki prensipler dâhilinde bu tabloyu güncel tutacağını ve belirtilen ilgili kişisel veri saklama sürelerine uygun verileri işleyeceğini taahhüt eder.

HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, tabloda yer alan kişisel verilerin işlendiği amaç için gerekli olan azami süreleri belirlerken Veri Sorumluları Sicili Hakkında Yönetmelik ve Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi Hakkında Yönetmeliği ile ilgili yönetmeliklerin sağladığı esasları dikkate alarak belirler.

a) İlgili veri kategorisiyle alakalı olarak işleme amacıyla HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ'nin faaliyet gösterdiği, savaş ve savaşın etkisini sürdüğü bölgelerde, afet bölgelerinde, yoksulluk olan ülke ve bölgelerde insani yardım faaliyetleri yürütme dâhil, HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin dahil olduğu tüm faaliyet alanlarında genel teamül olarak ne kadar süre gerekli olduğu,
b) İlgili veri kategorisinde yer alan kişisel verinin işlenmesi gerektiği kılan ilgili kişiyle tesis edilen hukuki ilişkinin ne kadar süre devam edeceği,
c) İlgili veri kategorisinin işleme amacına bağlı olarak HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin elde edeceği meşru menfaatin hukuka ve dürüstlük kurallarına uygun olarak ne kadar süre geçerli olacağı,
ç) İlgili veri kategorisinin işlenme amacına bağlı olarak saklanmasının yaratacağı risk, maliyet ve sorumlulukların hukuken ne kadar süre devam edeceği,
d) Belirlenecek azami sürenin ilgili veri kategorisinin doğru ve güncel tutulmasına elverişli olup olmadığı,
e) HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması ve kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
f) HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin ilgili kişisel veri kategorisinde yer alan kişisel veriye bağlı bir hakkın ileri sürülmesi için belirlenen zaman aşımı süresinin ne kadar olduğu, dikkate alınır.

HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, kişisel verilerin işlendiği amaç için gerekli olan azami süreleri belirlerken ve uygularken, söz konusu sürelerin Kişisel Veri İşleme Envanteri ve diğer alan bilgilerle uyumunun ve azami sürelerin aşıp aşmadığını takip eder. Aşağıdaki hallerin mevcut olması durumunda veya HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ tarafından öğrenilmiş üzerine, azami sürelerle bakılmaksızın kişisel verilerin işlenme şartlarının ortadan kalktığı kabul edilerek; ilgili kişinin başvuru üzerine HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ tarafından söz konusu kişisel veriler silinir, yok edilir veya anonim hale getirilir:

a) Kişisel verileri işlemeğe esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
b) Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,
c) Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
ç) Kişisel verilerin işlenmeye hukuka veya dürüstlük kuralına aykırı olması,
d) Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasının geri alınması,
e) İlgili kişinin, kanunun 11 inci maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,
f) HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ’nin, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması ve kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,
g) Kişisel veri saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
ğ) Kanunun 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması.

6.3. Kişisel Verilerin Güvenli Saklanmasına ve İmhasına İlişkin Alınan Önlemler
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı işlenmesi ve erişilmesinin önlenmesi, kişisel verilerin hukuka uygun imha edilmesi için teknik ve idari tedbirleri almakla yükümlü olmakla birlikte bu tedbirleri ilgili kişilere duyurur ve uygular. Alınan teknik ve idari tedbirler:

Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
Anahtar yönetimi uygulanmaktadır.
Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakım kapsamındaki güvenlik önlemleri alınmaktadır.
Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
Çalışanlar için yetki matrisi oluşturulmuştur.
Erişim logları düzenli olarak tutulmaktadır.
Erişim bilgi güvenliği kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
Gizlilik taahhütnameleri yapılmaktadır.
Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
Güncel anti virüs sistemleri kullanılmaktadır.
Güvenlik duvarları kullanılmaktadır.
İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
Kağıt yolu ile aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
Kişisel veri güvenliği politikası ve prosedürleri belirlenmiştir.
Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
Kişisel veri güvenliğinin takibi yapılmaktadır.
Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili güvenlik önlemleri alınmaktadır.
Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
Kişisel veriler mümkün olduğunca azaltılmaktadır.
Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
Kurum içi periyodik ve / veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
Mevcut risk ve tehditler belirlenmiştir.
Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
Özel nitelikli kişisel veriler elektronik posta yoluyla gönderileceksе mutlaka şifreli olarak ve KEP veya kurumsal posta hesapları kullanılarak gönderilmektedir.

6.4. Periyodik İmha
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ, Kişisel Veri Saklama Süre Tablosu ve Kişisel Veri İşleme Envanteri ile paralel olarak, dijital ve fiziksel ortamlarda tuttuğu kişisel verileri, periyodik olarak altı (6) ayda bir kontrol edeceğini ve işlendiği amaç sona erdiğinde söz konusu verileri tekrar eden aralıklarla resen sileceğini, yok edeceğini veya anonim hale getireceğini taahhüt eder.

7. KİŞİSEL VERİLERİN SAKLANMASINI GEREKTİREN HUKUKİ, TEKNİK YA DA DİĞER SEBEPLER
HAYIRLI YOL EĞİTİM KÜLTÜR SOSYAL YARDIMLAŞMA VE DAYANIŞMA DERNEĞİ aşağıdaki ihtiyaçlarını temin için kişisel verileri kanuna uygun olarak işlemektedir;

Ana istihdam alanı olan insani yardım faaliyetlerinin yürütülmesi
Acil durum yönetimi süreçlerinin yürütülmesi
Bilgi güvenliği süreçlerinin yürütülmesi
Çalışan adayı / Stajyer / Öğrenci seçme ve yerleştirme süreçlerinin yürütülmesi
Çalışan adayları başvuru süreçlerinin yürütülmesi
Çalışan memnuniyeti ve bağlılığı süreçlerinin yürütülmesi
Çalışanlar için iş akdi ve mevzuat kaynaklı yükümlülüklerin yerine getirilmesi
Çalışanlar için yasal haklar ve menfaatleri süreçlerinin yürütülmesi
Denetim / Etik faaliyetlerinin yürütülmesi
Eğitim faaliyetlerinin yürütülmesi
Erişim yetkilerinin yürütülmesi
Faaliyetlerin mevzuata uygun yürütülmesi
Finans ve muhasebe işlerinin yürütülmesi
Fiziksel mekan güvenliği temini
Görevlendirme süreçlerinin yürütülmesi
Hukuk işlerinin takibi ve yürütülmesi
İç denetim, soruşturma, istihbarat faaliyetlerinin yürütülmesi
İletişim faaliyetlerinin yürütülmesi
Mal, hizmet, üretim ve operasyon süreçlerinin yürütülmesi
Organizasyon ve etkinlik yönetimi
Performans değerlendirme süreçlerinin yürütülmesi
Risk yönetimi süreçlerinin yürütülmesi
Saklama ve arşiv faaliyetlerinin yürütülmesi
Sosyal sorumluluk ve sivil toplum aktivitelerinin yürütülmesi
Sözleşme süreçlerinin yürütülmesi
Talep ve şikâyetlerin takibi
Taşınır mal ve kaynakların güvenliğinin temini
Tedarik zinciri yönetim süreçlerinin yürütülmesi
Ücret politikasının yürütülmesi
Veri sorumlusu operasyonlarının güvenliğinin temini
Yabancı personel çalışma ve oturma izni işlemleri
Yetenek, kariyer gelişimi faaliyetlerinin yürütülmesi
Yetkili kişi, kurum ve kuruluşlara bilgi verilmesi
Yönetim faaliyetlerinin yürütülmesi
Ziyaretçi kayıtlarının oluşturulması ve takibi

8. KV İMHA ORGANİZASYONU (UNVANLAR, BİRİMLER VE GÖREV TANIMLARI)
KV imha süreçlerinin yönetimi KVKS Komisyonu’ndadır. KVKS Komisyonu ve diğer tüm organizasyonu belirleyen müstakil bir prosedür bulunmaktadır. Genel organizasyonda, özellikle de veri imha konusunda rol ve sorumluluklar prosedürler ile belirlenmektedir.

9. SAKLAMA VE İMHA SÜRELERİNİ GÖSTEREN TABLO
Saklama süreleri KV envanteri ile belirlenmiştir.

10. POLİTİKA REVİZYONLARI
Bu Politika’nın revizyonları bağlı bulunan KVKS-P 2_KİŞİSEL_VERİ_İMHA_PROSEDÜRÜ ile birlikte yönetilmekte ve kurum sistemlerinde canlı tutulmaktadır.