Kişisel Verilerin İşlenmesi ve Korunması Politikası

1. AMAÇ

Bu Politikanın amacı, TETRA A.Ş. tarafından gerçekleştirilen kişisel veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve ilgili mevzuata uygun şekilde yürütülmesine ilişkin temel esasları belirlemektir.

TETRA A.Ş.; kişisel verilerin hukuka uygun olarak işlenmesini, güvenli şekilde korunmasını, yalnızca gerekli süre boyunca saklanmasını ve işlenmesini gerektiren sebepler ortadan kalktığında mevzuata uygun şekilde imha edilmesini esas alır.

2. KAPSAM

Bu Politika; TETRA A.Ş. tarafından tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verileri kapsar.

Politika; çalışanlar, çalışan adayları, müşteriler, tedarikçiler, iş ortakları, ziyaretçiler ve Şirket faaliyetleri kapsamında kişisel verisi işlenen diğer gerçek kişiler bakımından uygulanır.

3. DAYANAK

Bu Politika, başta 6698 sayılı Kişisel Verilerin Korunması Kanunu olmak üzere kişisel verilerin korunmasına ilişkin yürürlükteki mevzuat esas alınarak hazırlanmıştır.

Mevzuat ile bu Politika arasında farklılık bulunması halinde yürürlükteki mevzuat hükümleri uygulanır.

4. TANIMLAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır.

İlgili Kişi: Kişisel verisi işlenen gerçek kişidir.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

Kişisel Verilerin İşlenmesi: Kişisel verilerin elde edilmesi, kaydedilmesi, saklanması, değiştirilmesi, açıklanması, aktarılması, sınıflandırılması, kullanılmasının engellenmesi veya veriler üzerinde gerçekleştirilen diğer işlemlerdir.

Özel Nitelikli Kişisel Veri: Kanunun 6 ncı maddesinde özel nitelikli olarak belirlenen kişisel verilerdir.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesidir.

5. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN TEMEL İLKELER

TETRA A.Ş. kişisel verileri;

• hukuka ve dürüstlük kurallarına uygun,
• doğru ve gerektiğinde güncel,
• belirli, açık ve meşru amaçlar için,
• işlendikleri amaçla bağlantılı, sınırlı ve ölçülü,
• ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar

işler ve muhafaza eder.

Şirket faaliyetleri için gerekli olmayan kişisel veriler toplanmaz ve mevcut kişisel veriler amaç dışı kullanılmaz.

6. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel veriler, Kanunun 5. maddesinde belirtilen kişisel veri işleme şartlarından en az birinin bulunması halinde işlenir.

Her veri işleme faaliyeti bakımından uygun hukuki sebep belirlenir.

Açık rıza, kişisel veri işlemenin genel veya zorunlu yöntemi olarak kullanılmaz. Kanunda öngörülen diğer veri işleme şartlarından birinin bulunmadığı ve açık rızanın uygun hukuki sebep olduğu durumlarda ilgili kişinin açık rızası alınır.

Kişisel veri işleme faaliyetleri PR.10-LS.01 Kişisel Veri İşleme Envanterinde amaç, veri kategorisi, ilgili kişi grubu, hukuki sebep, saklama süresi ve aktarım bilgileriyle birlikte takip edilir.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLER

Özel nitelikli kişisel veriler, Kanunun 6. maddesinde belirtilen işleme şartlarından birinin bulunması halinde ve gerekli idari ve teknik tedbirler alınarak işlenir.

Özel nitelikli kişisel verilerin işlenmesinde verinin niteliği, işleme amacı, erişim yetkileri ve güvenlik riski ayrıca dikkate alınır.

Açık rıza dışındaki kanuni işleme şartlarından birinin bulunması halinde ayrıca açık rıza alınmaz.

8. AYDINLATMA YÜKÜMLÜLÜĞÜ

TETRA A.Ş., kişisel verilerin elde edilmesi sırasında ilgili kişileri mevzuata uygun olarak bilgilendirir.

Aydınlatma kapsamında ilgili kişiye; veri sorumlusunun kimliği, kişisel verilerin hangi amaçlarla işlendiği, kimlere ve hangi amaçlarla aktarılabileceği, veri toplamanın yöntemi ve hukuki sebebi ile ilgili kişinin Kanundan doğan hakları hakkında bilgi verilir.

İlgili veri işleme faaliyetine uygun güncel aydınlatma metni kullanılır.

Aydınlatma yükümlülüğü ile açık rıza süreçleri birbirinden ayrı olarak değerlendirilir.

9. KİŞİSEL VERİLERİN AKTARILMASI

Kişisel veriler, Kanunun 8. maddesinde öngörülen şartların bulunması halinde ve aktarım amacıyla sınırlı olmak üzere üçüncü kişilere aktarılabilir.

Aktarım yapılmadan önce aktarımın amacı ve gerekliliği, aktarılacak veri kapsamı, alıcı kişi veya kuruluş, aktarımın hukuki sebebi ve gerekli güvenlik tedbirleri değerlendirilir.

Kişisel veriler yalnızca aktarım amacı için gerekli olan kapsamda paylaşılır.

10. KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI

Kişisel verilerin yurt dışına aktarılması halinde Kanunun 9 uncu maddesinde ve ilgili mevzuatta öngörülen şartlar uygulanır.

Yurt dışı aktarımının hukuka uygunluğu; yeterlilik kararı, uygun güvenceler veya mevzuatta öngörülen diğer aktarım şartları bakımından değerlendirilir.

Yeni bir yurt dışı veri aktarımı başlatılmadan önce KVKK Sorumlusunun değerlendirmesi alınır.

Standart sözleşme yönteminin kullanılması halinde mevzuatta öngörülen Kuruma bildirim yükümlülüğü süresinde yerine getirilir.

11. KİŞİSEL VERİLERİN GÜVENLİĞİ

TETRA A.Ş.; kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek, kişisel verilerin güvenli şekilde muhafazasını sağlamak amacıyla gerekli idari ve teknik tedbirleri alır.

Erişim yetkileri görev ve ihtiyaç esasına göre belirlenir. Kişisel verilere yalnızca görevleri gereği erişmesi gereken kişilerin erişmesi sağlanır.

Uygulanacak güvenlik tedbirleri PR.10-LS.03 Teknik ve İdari Tedbirler Listesinde takip edilir.

Çalışanlar görevleri nedeniyle eriştikleri kişisel verileri yetkileri ve işin amacı dışında kullanamaz ve yetkisiz kişilerle paylaşamaz.

12. KİŞİSEL VERİ İHLALLERİ

Kişisel verilerin yetkisiz kişiler tarafından elde edildiğinin veya bir veri güvenliği ihlalinin gerçekleştiğinin ya da gerçekleşmiş olabileceğinin öğrenilmesi halinde gerekli inceleme ve müdahale gecikmeksizin başlatılır.

İhlalin kapsamı, etkilenen kişiler ve veriler, oluşabilecek sonuçlar ve alınması gereken tedbirler değerlendirilir.

Mevzuat kapsamında bildirim yapılmasının gerektiği hallerde ilgili bildirimler süresinde gerçekleştirilir.

Veri ihlali süreci PR.10-TL.02 Kişisel Veri İhlali Müdahale Talimatına göre yürütülür ve PR.10-FR.02 Kişisel Veri İhlali Bildirim ve Takip Formu ile kayıt altına alınır.

13. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Kişisel veriler ilgili mevzuatta öngörülen süre veya işlendikleri amaç için gerekli olan süre boyunca saklanır.

Saklama sürelerinin sona ermesi ve kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması halinde kişisel veriler mevzuata uygun olarak silinir, yok edilir veya anonim hale getirilir.

Saklama ve imha süreçleri PR.10-PL.02 Kişisel Veri Saklama ve İmha Politikası ile PR.10-LS.02 Saklama ve İmha Süreleri Listesi esas alınarak yürütülür.

Gerçekleştirilen imha işlemleri PR.10-FR.03 Kişisel Veri İmha Kayıt Formu ile kayıt altına alınır.

14. İLGİLİ KİŞİLERİN HAKLARI VE BAŞVURULARI

İlgili kişiler Kanunun 11 inci maddesi kapsamında;

• kişisel veri işlenip işlenmediğini öğrenme,
• kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
• kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
• şartları oluştuğunda kişisel verilerin silinmesini veya yok edilmesini isteme,
• düzeltme ve imha işlemlerinin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• işlenen verilerin münhasıran otomatik sistemler aracılığıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
• kişisel verilerin Kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme

haklarına sahiptir.

İlgili kişi başvuruları PR.10-FR.01 İlgili Kişi Başvuru ve Takip Formu üzerinden kayıt ve takip altına alınır.

Başvurular Kanunda öngörülen süre içerisinde sonuçlandırılır.

15. KİŞİSEL VERİ İŞLEME ENVANTERİ VE VERBİS

TETRA A.Ş.'nin kişisel veri işleme faaliyetleri PR.10-LS.01 Kişisel Veri İşleme Envanterinde kayıt altına alınır ve güncel tutulur.

Yeni bir veri işleme faaliyeti başlaması veya mevcut faaliyetin amacı, veri kategorisi, ilgili kişi grubu, aktarım, saklama süresi, hukuki sebebi veya güvenlik tedbirlerinde önemli bir değişiklik olması halinde envanter gözden geçirilir.

VERBİS'e ilişkin kayıt ve güncelleme süreçleri PR.10-LS.04 VERBİS Kayıt ve Güncelleme Takip Listesi üzerinden takip edilir.

16. EĞİTİM VE FARKINDALIK

Kişisel verilerin korunmasına ilişkin çalışan farkındalığının sağlanması amacıyla gerekli eğitim ve bilgilendirme faaliyetleri yürütülür.

Eğitimler PR.10-PLN.01 KVKK Eğitim Planına göre planlanır ve katılım PR.10-FR.04 KVKK Eğitim Katılım Formu ile kayıt altına alınır.

17. SORUMLULUK VE UYGULAMA

Bu Politikanın uygulanmasının koordinasyonu ve takibi KVKK Sorumlusu tarafından yürütülür.

Tüm departmanlar, kendi faaliyet alanlarındaki kişisel veri işleme işlemlerinin bu Politika ve ilgili KVKK dokümanlarına uygun yürütülmesinden sorumludur.

Yeni veya değişen kişisel veri işleme faaliyetleri ilgili departman tarafından KVKK Sorumlusuna bildirilir.

Politikanın şirket içindeki uygulama esasları PR.10-TL.01 KVKK Uygulama Talimatında düzenlenir.

18. İLGİLİ DOKÜMANLAR

• PR.10 – Kişisel Verilerin Korunması Prosesi
• PR.10-PL.02 – Kişisel Veri Saklama ve İmha Politikası
• PR.10-TL.01 – KVKK Uygulama Talimatı
• PR.10-TL.02 – Kişisel Veri İhlali Müdahale Talimatı
• PR.10-LS.01 – Kişisel Veri İşleme Envanteri
• PR.10-LS.02 – Saklama ve İmha Süreleri Listesi
• PR.10-LS.03 – Teknik ve İdari Tedbirler Listesi
• PR.10-LS.04 – VERBİS Kayıt ve Güncelleme Takip Listesi
• PR.10-PLN.01 – KVKK Eğitim Planı
• PR.10-FR serisi ilgili aydınlatma, açık rıza, başvuru, ihlal, imha ve eğitim formları

19. YÜRÜRLÜK VE GÜNCELLEME

Bu Politika onay tarihinde yürürlüğe girer.

Mevzuatta, Şirket faaliyetlerinde veya kişisel veri işleme süreçlerinde önemli bir değişiklik meydana gelmesi halinde Politika gözden geçirilir ve gerekli güncellemeler yapılır.

Politikanın güncel hali Şirketin belirlediği kurumsal kanallarda ilgili kişilerin erişimine sunulur.