KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

Amaç
Bu Politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlusu olan Roqu Mobility (“ŞİRKET”) tarafından, bu politikanın dayanağı yasal mevzuata uygun bir biçimde yürütülen kişisel verilerin işlenmesi ve korunması ile işlenen kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin usul ve esasların belirlenmesi amacıyla hazırlanmıştır.

Kapsam
Bu Politika, ŞİRKET’in hizmetlerini sunduğu sırada ilgili olduğu kullanıcılarını, ziyaretçilerini, yorumcularını başta olmak üzere, ŞİRKET çalışanlarını, çalışan adaylarını, yöneticilerini, ilgili kullanıcılarını, ŞİRKET’in işbirliği içerisinde olduğu üçüncü kişileri ve onların çalışanlarını, yöneticilerini ve diğer üçüncü kişileri; tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla ŞİRKET tarafından kişisel verilerinin işlenmesi hallerini kapsamaktadır.

Yukarda belirtilen kişisel veri sahiplerine, bu Politikanın tamamı uygulanabileceği gibi, sadece birtakım hükümleri de uygulanabilecektir.

Dayanak
Bu Politika 6698 sayılı Kişisel Verilerin Korunması Kanunu, 30286 sayılı Veri Sorumluları Sicili Hakkında Yönetmelik ve 30224 sayılı Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik dayanılarak hazırlanmıştır.

Kişisel verilerin işlenmesi, korunması ve imhası konusunda bu Politika ile yürürlükte bulunan mevzuat arasında farklılık bulunması halinde Mevzuat hükümleri öncelikle uygulanacaktır.

Tanımlar
Bu Politikanın uygulanmasında;

1. Alıcı grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisini,

2. Envanter: ŞİRKET tarafından Mevzuat gereği hazırlanmış olan Kişisel Veri Envanterini,

3. İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,

4. İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

5. Kanun: 24/3/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması Kanununu,

6. Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,

7. Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

8. Kişisel veri sahibi: Kişisel verisi işlenen gerçek kişiyi,

9. Kişisel veri işleme envanteri: ŞİRKET’in iş süreçlerine bağlı olarak gerçekleştirmekte olduğu kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturduğu ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdığı envanteri,

10. Kişisel verilerin anonim hale getirilmesi: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,

11. Kişisel verinin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

12. Kişisel verinin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini,

13. Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini,

14. Kurul: Kişisel Verileri Koruma Kurulunu,

15. Kurum: Kişisel Verileri Koruma Kurumunu,

16. Özel nitelikli kişisel veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri,

17. Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,

18. Politika: Kanun uyarınca veri sorumlusu olduğu kabul edilen ŞİRKET’in, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptığı bu Kişisel Veri Saklama ve İmha Politikasını,

19. Sicil: Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan veri sorumluları sicilini,

20. Şirket: Ticari unvanı Roqu Mobility olan tüzel kişi veri sorumlusunu,

21. Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişiyi,

22. Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,

23. Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade eder.

Bu Politika ’da yer almayan tanımlar için Kanundaki tanımlar geçerlidir.

Kişisel Veri Kayıt Ortamları
Veri sahiplerine ait kişisel veriler, ŞİRKET tarafından aşağıdaki tabloda listelenen ortamlarda, başta KVKK hükümleri olmak üzere, ilgili mevzuata uygun olarak ve uluslararası veri güvenliği prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır:

1. Teknik kayıt ortamları:

2. ŞİRKET adına kayıtlı bilgisayarlar ve sunucular,

3. Ağ üzerinden veri saklanması için kullanılan paylaşımlı/paylaşımsız disk sürücüleri,

4. Mobil telefonlar ve içerisindeki tüm saklama alanları,

5. Flaş bellekler,

6. Optik diskler

7. Yazıcılar,

Teknik olmayan veri kayıt ortamları:

1. Kâğıt,

2. Birim Dolapları,

3. ARŞİV

​

Kişisel Verilerin Saklanması ve İmhasında Genel İlkeler
ŞİRKET, Sicile kayıt yükümlülüğü olan bir Veri Sorumlusudur ve bünyesinde tutmakta olduğu kişisel verileri, Envantere uygun bir şekilde saklamak ve gerektiğinde silmek, yok etmek ya da anonim hale getirmek için bu Politika’ya uygun hareket etmek ile yükümlü olduğunu kabul, beyan ve taahhüt eder.

Kişisel verilerin saklanması ve imhasında aşağıdaki ilkeler geçerli olacaktır:

1. ŞİRKET, Kanun’un 4’üncü maddesinde yer alan genel ilkelere uyulacağını,

2. ŞİRKET, bu Politikayı hazırlamış olmanın tek başına kişisel verilerin mevzuata uygun olarak silindiği, yok edildiği veya anonim hale getirildiği anlamına gelmeyeceğini,

3. ŞİRKET, kişisel verileri saklarken, silerken, yok ederken veya anonim hale getirirken, Kanun’un 12’inci maddesinde yer alan güvenlik tedbirlerine, ilgili Mevzuat ’ta yer alan hükümlere, Kurul kararlarına ve Politika ‘ya uygun hareket edeceğini,

4. ŞİRKET, bünyesinde bulundurduğu kişisel verilerin amacı tamamen veya kısmen otomatik olan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi sırasında bu Politika ’ya ve Politika ‘ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını,

5. ŞİRKET, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemleri kayıt altına alacağını ve söz konusu kayıtları, diğer hukuki yükümlülükler hariç olmak üzere en az 3 (üç) yıl süreyle saklayacağını,

kabul, beyan ve taahhüt eder.

Saklamayı Gerektiren İşleme Amaçları
Kişisel verileriniz, Anayasa’nın 20. maddesine ve Kişisel Verilerin Korunması Kanunu’nun (KVKK) 4. maddesine uygun olarak, veri sorumlusu ŞİRKET’in ilgili birimleri tarafından kişisel veri envanterinde yer aldığı şekilde ve amaçlarla işlenmektedir.

Kişisel Verilerin İmhasını Gerektiren Hukuki, Teknik ve Diğer Sebepler
ŞİRKET tarafından veri sahiplerine ait kişisel veriler;

1. Kanun’un 4’üncü maddesinde yer alan genel ilkeler,

2. Veri sahibi ilgili kişinin talebi,

3. Yasal yükümlülüklerin sona ermesi,

Hukuki, teknik ve diğer sebepleri için; ancak bunlarla sınırlı olmamakla birlikte benzer amaç ve sebeplerle imha edilmektedir.

Kişisel Verilerin Güvenli Bir Şekilde Saklanması ile Hukuka Aykırı Olarak İşlenmesi ve Erişilmesinin Önlenmesi İçin Alınmış Teknik Ve İdari Tedbirler
Veri sahibi ilgili kişilere ait kişisel verilerin güvenli bir şekilde saklanması ve hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için ŞİRKET tarafından alınmış teknik ve idari tedbirler aşağıda sıralanmıştır:

• ŞİRKET, kişisel verilerin hukuka uygun işlenmesini sağlamak için, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır. Çalışanlar, öğrendikleri kişisel verileri KVKK hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.

• ŞİRKET, veri sorumlusu olarak kişisel verileri işlerken uymak zorunda olduğu yükümlülükler ve bu konuda geliştirdiği hukuksal, idari ve teknik tedbirlere uyma zorunluluğu ŞİRKET’in tedarikçi, iş ortağı gibi çeşitli sıfatlarla ilişkide olduğu veri işleyen kurumlara veri işleme konusunda gerçekleştirdikleri faaliyetin niteliğiyle uyumlu bir şekilde sözleşmelerde yapılan güncellemelerle hukuki olarak yükletilmektedir.

• ŞİRKET, KVKK m. 12’ye uygun olarak, kendi bünyesinde gerekli denetimleri yapmakta veya yaptırmaktadır. Bu denetim sonuçları Şirket’in iç işleyişi kapsamında konu ile ilgili bölüme raporlanmakta ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir.

• ŞİRKET, KVKK m. 12’ye uygun olarak uygun olarak işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede ilgili kişisel veri sahibine ve KVK Kurulu’na bildirilmesini sağlayan sistemi yürütmektedir.

Kişisel Verilerin Hukuka Uygun Olarak İmha Edilmesi İçin Alınmış Teknik ve İdari Tedbirler
Veri sahibi ilgili kişilere ait kişisel verilerin hukuka uygun olarak imha edilmesi için ŞİRKET tarafından alınmış teknik tedbirler,

1. İlgili Kullanıcıların kişisel veriler kapsamındaki erişim, geri getirme, tekrar kullanma yetki ve yöntemlerinin kapatılması, ortadan kaldırılması ve silinmiş verileri geri getirme yetkisinin kaldırılması,

2. Teknik olan kayıt ortamlarının uygun olanlar için yok edilmesi (fiziksel de-manyetize etme, üzerine yazma),

3. Teknik olmayan kayıt ortamlarında bulunan kişisel verilerin imhası için silme, yok etme (fiziksel yok etme) yöntemlerinin uygulanması,

olarak belirlenmiştir.

Veri sahibi ilgili kişilere ait kişisel verilerin hukuka uygun olarak imha edilmesi için ŞİRKET tarafından alınmış idari tedbirler,

1. Kişisel verilerin imhası hakkında gerekli uygulama çalışmasının düzenli olarak yapılması ve eğitimlerin verilmesi,

2. ŞİRKET’e ait işyeri dahilinde özellikle teknik olmayan veri kayıt ortamlarının fiziksel imhasına ilişkin gerekli ekipmanın bulundurulması,

olarak belirlenmiştir.

Kişisel Verilerin Saklanma ve İmha Süreçlerinde Görevli Birimler Ve Bilgileri
ŞİRKET’in kişisel verileri saklama ve imha süreçlerinde yer alan görevli personel İdari İşler ve Personel Sorumlusu unvanlı olup idari işler ve işe alım uzmanlığı gibi görev tanımı ile Şirket Nezdinde çalışmaktadır.

Saklama ve İmha Süreleri
Veri sahibi ilgili kişilere ait kişisel verilerin kategorilerine göre saklama ve imha süreleri şu şekildedir:

1. Kişisel veriler, KVKK m. 6 uyarınca kişisel veriler ve özel nitelikli kişisel veriler olarak ikiye ayrılmaktadır. Bu kapsamda özel nitelikli tüm kişisel veriler imha edilir.

2. Kişisel verilerin imha edilmesiyle ilgili yapılan işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer yükümlülükler hariç 2 (iki) yıl süre ile saklanır.

Periyodik İmha Süreleri
ŞİRKET tarafından işlenen kişisel verilerin kategorilerine göre bu politikanın ekinde bulunan saklama ve imha sürelerini gösteren tabloda belirtilen süreler haricinde periyodik imha süreleri 6 (altı) aydır.

Kişisel Verileri İlgili Kişinin Talep Etmesi Durumunda Silme ve Yok Etme Süreleri
İlgili kişi, Kanun’un 13’üncü maddesine istinaden ŞİRKET’e başvurarak kendisine ait kişisel verilerin silinmesini veya yok edilmesini talep ettiğinde;

1. Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; ŞİRKET talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. ŞİRKET, ilgili kişinin talebini en geç 30 (otuz) gün içinde sonuçlandırır ve ilgili kişiye bilgi verir.

2. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa ŞİRKET bu durumu üçüncü kişiye en geç 10 (on) gün içinde bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.

3. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep ŞİRKET tarafından Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç 30 (otuz) gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

Yürürlük
ŞİRKET tarafından hazırlanan bu Politika ŞİRKET’e ait İnternet Sitesi’nde yayınlandığı tarih itibariyle yürürlüğe girmiştir. KVKK ve ilgili diğer Mevzuat hükümleri ile bu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer Mevzuat hükümleri uygulanacaktır.