PENEZOĞLU HUKUK BÜROSU KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

 A. AMAÇ

Penezoğlu Hukuk Bürosu’nun (“Penezoğlu Hukuk”) tarafından hukuka uygun olarak yürütülen kişisel veri işleme faaliyetleri kapsamında işlenen kişisel veriler, veri envanterinde belirlenen amacın ortadan kalkması ve azami saklama süresinin sonra ermesinin sonucunda imha edilecektir. Kişisel veriler, mevzuat hükümleri uyarınca silme, yok etme veya anonim hale getirme işlemlerinden biri veya birkaçı ile imha edilebilecektir. İşbu “Kişisel Verileri Saklama ve İmha Politikası” (“Politika”) ile kişisel verileri Penezoğlu Hukuk tarafından işlenen kişiler bilgilendirilerek şeffaflık sağlanacak; işlenmiş olan kişisel verilerin saklanması için geçerli sebeplerin varlığı düzenli olarak kontrol edilecek ve geçerli sebebin ortadan kalkmasıyla kişisel veriler imha edilecektir.

B. KAPSAM

 İşbu Politika; Penezoğlu Hukuk’un kişisel veri işlediği süreçlere dâhil olan tüm birim ve çalışanları ile üçüncü tarafları kapsamaktadır. Politika; Penezoğlu Hukuk’un kişisel veriler üzerinde uygulayacağı tüm saklama ve imha faaliyetlerini kapsamaktadır. Ayrıca, Politika sadece kişisel verilerin imha ve saklama işlemleri için uygulanacaktır. Kanun, Yönetmelik veya sair mevzuatın kısmen veya tamamen değiştirilmesi, tadil edilmesi, güncellenmesi veya yürürlükten kaldırılması durumunda Penezoğlu Hukuk, Politika’yı yeni Kanun, Yönetmelik veya mevzuata uyumlu olacak şekilde güncelleyerek değiştirecektir.

C. TANIMLAR

İşbu Politika’nın uygulanmasında kullanılan kavramlar aşağıda yer verilen anlamları ifade eder;

D. KAYIT ORTAMLARI

Veri sahiplerine ait kişisel veriler, Penezoğlu Hukuk tarafından aşağıdaki tabloda listelenen ortamlar ve bunlara ek olarak ortaya çıkabilecek diğer ortamlarda, başta KVKK hükümleri olmak üzere ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır.

1. Penezoğlu Hukuk adına kullanılan bilgisayarlar/sunucular
2. Ağ cihazları,
3. Ağ üzerinde veri saklanması için kullanılan paylaşımlı/paylaşımsız disk sürücüleri,
4. Bulut sistemleri,
5. Mobil telefonlar ve içerisindeki tüm saklama alanları,
6. Kağıt,
7. Mikrofiş,
8. Yazıcı, Parmak izi okuyucu gibi çevre birimler,
9. Manyetik bantlar,
10. Optik diskler,
11. Flash hafızalar,
12. Birim Dolapları,
13. Arşiv.

E. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

 Penezoğlu Hukuk tarafından faaliyetlerin sürdürülebilmesi, çalışanların haklarının tesis edilebilmesi ve hukuki yükümlülüklerin yerine getirilebilmesi amacıyla işlenmekte olan kişisel veriler, ilgili mevzuat hükümlerine uygun olarak güvenli bir ortamda saklanmaktadır. İşbu Politika ile hukuka aykırı olarak işlenen kişisel veriler ile veri işleme şartlarının ortadan kalkması sonucunda önceden işlenmiş olan kişisel veriler imha edilecektir.

Penezoğlu Hukuk, veri sahiplerinin kişisel verilerini açık rıza olmadıkça saklamaz. Kanunun 5. ve 6. maddelerindeki kişisel verilerin işlenmesi hususundaki istisnalar saklıdır. Buna bağlı olarak kişisel verilerin saklanmasını gerektiren sebepler aşağıda belirtilmiştir:

• Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması sebebiyle saklanması,
• Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla veya Penezoğlu Hukuk’un hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,
• Kişisel verilerin Penezoğlu Hukuk’un meşru menfaatleri doğrultusunda saklanması

Penezoğlu Hukuk veri işlenme şartlarının güncelliğinden sorumlu olmakla beraber, veri işlenme şartlarının ortadan kalkmasının akabinde Penezoğlu Hukuk bünyesinde veri işlenmeye devam edilmez. İşbu Politika uyarınca veri işlenme şartlarının ortadan kalktığı haller aşağıda belirtilmiş olup, Penezoğlu Hukuk tarafından re’sen veya talep üzerine silinir, yok edilir veya anonim hale getirilir:

• Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değişikliği veya yürürlükten kalkması,
• Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması
• Kanunun 5. ve 6. maddelerinde belirlenen kişisel verilerin işlenme şartlarının ortadan kalkması
• Kişisel verilerin işlenmesi için açık rızanın gerekli olduğu hallerde, ilgili kişi tarafından açık rızanın geri alınması
• İlgili kişinin Kanunun 11. maddesinin (e) ve (f) bentlerinde belirlenen hakları çerçevesinde kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine yönelik yaptığı başvurunun veri sorumlusu tarafından kabulü
• Veri sorumlusunun, ilgili kişi tarafından kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi talebiyle kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içerisinde cevap vermemesi hallerinde, Kurul’a şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması
• Kişisel verilerin saklanmasını gerektiren azami süre geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması
• Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması
• Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçersiz olması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi 

F. TEKNİK VE İDARİ TEDBİRLER

Penezoğlu Hukuk kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve hukuka aykırı olarak erişilmesinin önlenmesi için gerekli her türlü teknik ve idari tedbiri alacağını kabul ve taahhüt eder.

G. KİŞİSEL VERİLERİN İMHASI, İMHA YÖNTEMLERİ VE SÜRECİ

Penezoğlu Hukuk ek tarafından elde edilen kişisel veriler, veri işleme amaçlarının ortadan kalkması halinde veya veri sahibinin açık rızasını geri alması halinde, ilgili kişinin başvuru üzerine ya da resen mevzuat hükümlerine uygun olarak imha edilecektir

Kişisel verilerin imhası, aşağıda detaylıca açıklanan verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi şeklinde üç farklı şekilde yapılabilir.

Penezoğlu Hukuk bünyesinde ilgili iş birimleri, söz konusu kişisel verilerin bulunduğu bilgi sistemleri ve uygulama sahipleri, İç Kontrol ve konuyla ilgili olabilecek diğer kişi ya da bölümler kişisel verilerin imhası için uygulanacak yönteme bu imhanın nedenine bağlı olarak yazılı karar verir. Bu yazılı karar gereğince işbu Politika’nın g maddesindeki imha yöntemlerinden biri Kurul’un yayınladığı Kişisel Verilerin Silinmesi Yok Edilmesi ve Anonim Hale Getirilmesi Rehberi’ne bağlı olarak uygulanır.

Kişisel verilerin saklanması ve imhası için kullanılacak yöntemlerle ilgili Penezoğlu Hukuk ayrıca teknik kılavuzlar oluşturur ve bunların uygulanmasını sağlar. Kişisel verilerin imhası sırasında kullanılabilecek tüm yöntemler işbu Politika’da tanımlanarak teknolojik gelişmeler uyarınca yeni yöntemlerin ortaya çıkması halinde işbu Politika’ya eklenecektir.

Kişisel verilerin imhasının takibi Penezoğlu Hukuk içerisindeki ilgili veri sahibi iş biriminin sorumluluğundadır. Veri sahibi iş birimi, verilerin imhası için denetimi kendisi tarafından yapılmak kaydıyla Penezoğlu Hukuk ’un farklı birimlerinden destek alır.

• Kişisel Verilerin Silinmesi

Tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin silinmesi; söz konusu kişisel verilerin ilgili kullanıcılar tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Herhangi bir veri kayıt sisteminin parçasını teşkil eden ve otomatik olmayan yollarla işlenen kişisel verilerin silinmesi sürecinde, yasal saklama süreleri göz önünde bulundurularak silme işlemine konu olacak kişisel veriler belirlenir. Penezoğlu Hukuk kişisel verilere erişim ve yetkilendirme anlamında Penezoğlu Hukuk’un mevcut durumda bilgi sistemleri ve uygulamaları üzerinde yürütmekte olduğu rol ve yetki matrisleri dahilinde güncellemelerini yapar ve ilgili kullanıcıları tespit eder.  İlgili Kullanıcılar’ın erişim, geri getirme, tekrar kullanma gibi yetkileri ve yöntemleri bu kapsamda tespit edilir.

Penezoğlu Hukuk, kişisel verileri sildiği durumlarda, verileri hiçbir şekilde erişilemez veya tekrar kullanılamaz hale getirir. Penezoğlu Hukuk, bu işlemi yaparken verilerin hiçbir kullanıcı tarafından erişilemez veya tekrar kullanılamaz olduğunu garanti eder.

• Kişisel Verilerin Yok Edilmesi

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Yok etme işlemi, Penezoğlu Hukuk’un verileri fiziksel kayıt ortamlarında işlediği durumlarda yapılacaktır ve Penezoğlu Hukuk bu verileri tekrar geri getirilmesi mümkün olmayacak hale getirmekle yükümlüdür.

Kağıt ve mikrofiş ortamları için bu işlem gerçekleştirilirken ortamı kağıt imha veya kırpma makinaları ile anlaşılmaz boyutta geri birleştirilemeyecek şekilde küçük parçalara bölünerek yok edilecektir.  Ayrıca, Penezoğlu Hukuk bu kapsamda üçüncü taraflardan imha hizmeti alabilir.

• Kişisel Verilerin Anonimleştirilmesi

Anonim hale getirme işlemi, Penezoğlu Hukuk’un kişisel verileri tamamen veya kısmen otomatik yollarla işlediği durumlarda, bu verilerin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Penezoğlu Hukuk, ilgili veri kümesindeki tüm doğrudan ve/veya dolaylı tanımlayıcıları çıkartarak ya da değiştirilerek, ilgili kişinin kimliğinin saptanabilmesinin engelleyerek bir grup içinde ayırt edilebilir olma özelliğini, bir gerçek kişiyle ilişkilendirilemeyecek şekilde kaybetmesini sağlar.

Verilerin anonimleştirilmesi sırasında Penezoğlu Hukuk, tek yönlü fonksiyonlar ile şifreleme gibi yöntemler kullanabilir.

Kişisel Verilerin İmha Yöntemleri ve Süreci

Kişisel verilerin imhası için Penezoğlu Hukuk, imha sırasında kullanılabilecek tüm yöntemleri İşbu Politika ve eklerinde tanımlar. Veri sahibi iş birimi, işbu Politika içerisindeki uygun yöntemi uygun duruma göre belirleyerek uygulamakla yükümlüdür.

Kişisel verilerin imhası sırasında Penezoğlu Hukuk, vereceği yazılı karara göre aşağıdaki yöntemlerden uygun olanı seçerek imhayı gerçekleştirir:

1. Üzerine Yazma

Manyetik medya ve yeniden yazılabilir optik medya üzerine yazılımlarla en az 7 kez 0 ve 1’lerden oluşan rassal veriler yazılarak eski verinin okunamaz hale getirilmesi işlemidir.

2. Manyetize Etme

Manyetik medyanın yüksek değerde manyetik alanda fiziksel değişime sokularak üzerindeki verinin okunamaz hale getirilmesi işlemidir.

3. Fiziksel Yok Etme

Optik medya veya manyetik medyanın eritme, toz haline getirme, öğütme ve benzeri işlemlerle fiziksel olarak yok edilmesi işlemidir. Manyetize etme veya üzerine yazma metotlarının başarısız olduğu durumlarda uygulanabilir.

4. Bulut İmhası

Bulut sistemler üzerinde tutulan kişisel verilerin imha bildiriminin anlaşmalı servis sağlayıcıya yapılmasının ardından kişisel verilerin şifreleme anahtarlarının tüm kopyalarının imha edilmesi işlemidir.

5. Çevresel Sistemlerde Yer Alan Kişisel Verilerin İmhası

Yazıcı, parmak izi ünitesi, kapı giriş turnikesi gibi sistemler içerisinde yer alan kişisel verileri barındıran mevcut ise iç ünite, mevcut değil ise tüm cihaz üzerinde üzerine yazma, manyetize etme veya fiziksel yok etme uygulanarak yapılması gereken imha işlemidir. Bu tip imhaların, cihazların yedekleme, bakım ve benzeri işlemlere tabi olmasından önce uygulanması zorunludur.

H. SAKLAMA VE İMHA SÜRELERİ

1. Periyodik İmha ve Yasal Saklama Süreleri

Kişisel veriler, mevzuatta öngörülen saklama süreleri saklı kaymak kaydıyla, kişisel verilerin işleme amacının gerektirdiği süre boyunca Penezoğlu Hukuk bünyesinde gerekli güvenlik tedbirleri alınarak Kayıtların Yönetim Prosedürü uyarınca saklanır ve imha edilir. Penezoğlu Hukuk, saklama ve imha sürelerini dolduran kişisel verileri periyodik olarak imha eder. Saklama ve imha süreleri, Veri Envanterine esas alınarak belirlenir. Kişisel verilerin saklanması için mevzuatta süre öngörülen hallerde, kişisel veriler bu süreye riayet edilerek imha edilir.

Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş olması durumunda, Kanunun 4. maddesinde belirlenen ilkelere aykırılık teşkil edebilecek olan kişisel veriler silinir, yok edilir veya anonim hale getirilir.

Penezoğlu Hukuk tarafından; kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde kişisel veriler silinir, yok edilir veya anonim hale getirilir.

Periyodik imha, tüm kişisel veriler için 6 aylık zaman aralıklarında gerçekleştirilir. İmha işlemi, imha yükümlülüğünün doğmasını takiben ilk Periyodik imha sırasında uygulanır. İmha edilen kişisel verilere ilişkin tüm işlemler kayıt altına alınır ve bu kayıtlar 3 yıl süre ile saklanır.

2. Veri Sahiplerinin Talep Etmesi Durumunda İmha Süreci

 Veri sahiplerinin Penezoğlu Hukuk’a başvurarak kendisine ait kişisel verilerin imhasını talep ettiği durumlarda Penezoğlu Hukuk, kişisel verileri işleme şartlarının mevcut durumunu kontrol eder. Söz konusu kontrol sonucunda;

• Kişisel verileri işleme şartlarının tamamının ortadan kalktığı anlaşılırsa, talebe konu kişisel veriler işbu Politika’da belirtilen karar ve yöntemlere uygun olarak en geç otuz gün içinde imha edilir ve ilgili kişiye bilgi verilir.
• Kişisel verileri işleme şartlarının ortadan kalktığı ve talebe konu olan kişisel verilerin üçüncü kişilere aktarıldığı anlaşılmışsa Penezoğlu Hukuk bu durumu ilgili üçüncü kişiye bildirir ve üçüncü kişi nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder.
• Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, Penezoğlu Hukuk ilgili veri sahibine gerekçesini açıklayarak talebi reddedebilir ve ret cevabını ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

Veri sahiplerinden gelecek taleplerin karşılanması ve yanıtlanması amacıyla Penezoğlu Hukuk bünyesinde Kişisel Veri Sahiplerinden Gelen Talep ve Şikayetlerin Yönetimi Süreci oluşturulur.

İ. SAKLAMA VE İMHA SÜREÇLERİNDE YETKİLENDİRME

Penezoğlu Hukuk, kişisel verileri saklama ve imha süreçlerinde görev alanlar ve iş tanımları aşağıdaki gibidir;

• KVKK Çalışma Grubu: Kişisel verilerin saklanması ve imhası konusunda Penezoğlu Hukuk’un ilgili iş birimleriyle beraber çalışarak politika ve yöntemler hakkında karar verir, Politika ve eklerinin güncel tutulmasına sağlar, gerekli durumlarda Penezoğlu Hukuk’un ilgili birimleri ile yakın çalışarak Politika’nın Kanun ve Yönetmeliğe uygun ve doğru şekilde yürütülmesini temin eder.

• İç Kontrol, Uyum ve Hukuk: Kişisel verilerin saklanması ve imhası ile ilgili hukuki konularda danışmanlık yapar, Kanun, Yönetmelik ve ilgili mevzuat değişikliği halinde ilgili iş birimlerine gerekli bilgilendirmeyi yapar. Politika’nın Kanun ve Yönetmeliğe uygun olarak yürütülmesini temin eder.

• Bilgi teknolojileri: Politika’da belirtilen karar ve yöntemler ışığında ilgili imha ve saklama süreçlerinin Kanun ve Yönetmeliğe uygun şekilde gerçekleştirilmesini sağlar.

• Penezoğlu Hukuk’un ilgili iş birimleri: Kişisel verilerin saklanması ve imhası konusunda politika ve yöntemlerin belirlenmesi için görüş ve gerekçelerini belirtir ve bu Politika nezdinde yürütülmesi aksiyonların takibini yapar.

J. POLİTİKA’DA YAPILACAK DEĞİŞİKLİKLER

Kanun, Yönetmelik veya sair mevzuatın kısmen veya tamamen değiştirilmesi, tadil edilmesi, güncellenmesi veya yürürlükten kaldırılması durumunda, Penezoğlu Hukuk işbu Politika’yı yeni Kanun, Yönetmelik veya mevzuata uyumlu olacak şekilde güncelleyerek değiştirecektir.

Penezoğlu Hukuk, Politika üzerinde yaptığı değişiklikler incelenebilecek olacak şekilde güncellenen Politika’yı e-posta yolu ile çalışanlarıyla paylaşacak ve kurumsal intranet üzerinden çalışanlarının erişimine sunacaktır.