6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU UYARINCA AYDINLATMA METNİ
Şirketimiz; Pallet Grid Uluslararası Ticaret A.Ş. tarafından, 5237 Sayılı Türk Ceza Kanunu ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere, ilgili mevzuattan kaynaklanan yasal yükümlülüklerini yerine getirmek ve tahsilat, fatura tanzim etme, sipariş teslim ve/veya üyelik kaydı süreçlerini yürütebilmek adına bazı kişisel verilerinizi (ad soyad, hesap şifreniz e-posta adresi, teslimat adresi, fatura adresi, kredi kartı veya banka kartı bilgileri, cep telefonu numarası) talep etmektedir. Söz konusu kişisel verileriniz açık rızanıza istinaden işbu kişisel verilerin korunması aydınlatma metninde belirtilen amaçlar ve kapsam dışında kullanılmamak kaydıyla halka açık olmayan bir ortamda işlenecek ve bu ortamda muhafaza edilecektir.
PALLET GRID olarak, kişisel verilerinizin güvenliğine ve mahremiyetine oldukça önem veriyor ve bu verilerinizi işlemek ve muhafaza etmek için mümkün olan en üst seviyede güvenlik tedbirlerini almaya çalışıyoruz. Kişisel verilerinizi, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili yasal mevzuat kapsamında ve “veri sorumlusu” sıfatımızla aşağıda açıklanan kapsamda işlemekteyiz.
PALLET GRID Kişisel Verilerin İşlenmesi Hakkında Aydınlatma Metni, (“Aydınlatma Metni”) KVKK’nın 10. maddesinde yer alan “Veri Sorumlusu’nun Aydınlatma Yükümlülüğü” başlıklı maddesi uyarınca; veri sorumlusunun kimliği, kişisel verilerinizin toplanma yöntemi ve hukuki sebebi, bu verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, veri işleme süresi ve KVKK’ nın 11. maddesinde sayılan haklarınızın neler olduğu ile ilgili sizi en şeffaf şekilde bilgilendirme amacıyla hazırlanmıştır. Aydınlatma Metni’nde “Kişisel Verileriniz” için yapılan açıklamalar, “Özel Nitelikli Kişisel Veriler”inizi de kapsamaktadır.
6698 Sayılı Kişisel Verilerin Korunması Kanunu 24 Mart 2016 tarihinde kabul edilmiş olup, 7 Nisan 2016 tarihinde Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Bununla birlikte, Kanun’un Yürürlük başlıklı 32.maddesine göre, bu Kanunun; 8 inci, 9 uncu, 11 inci, 13 üncü, 14 üncü, 15 inci, 16 ncı, 17 nci ve 18 inci maddeleri 7 Ekim 2016 tarihi itibari ile yürürlük kazanmıştır.
Kanun; Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenlemek amacıyla kabul edilmiştir. İşbu metin ile PALLET GRID tarafından ziyaretçiler bilgilendirilmekte ve aydınlatılmakla birlikte “Kişisel Verilerin Korunması ve Kişisel Veri Paylaşım İzni" ziyaretçilerin bilgi ve incelemesine sunulmaktadır.
PALLET GRID, ziyaretçiler tarafından bu sitedeki formlar aracılığıyla sunulan isminiz, elektronik posta adresiniz, iş ve ev adresiniz, telefon numaranız ve sair kişisel verilerinizi açık rıza beyanınız olmaksızın üçüncü kişilere satmayacağını, kiralamayacağını veya hiçbir şekilde kullandırmayacağını kabul, beyan ve taahhüt eder.
Kişisel Verilerinizin Toplanma Yöntemi ve Hukuki Sebebi:
Kişisel verileriniz, PALLET GRID ile aranızdaki ilişkiye bağlı olarak değişkenlik gösterebilmekle birlikte; otomatik ya da otomatik olmayan yöntemlerle, PALLET GRIDe bağlı birimleri, internet sitesi, sosyal medya mecraları, çağrı merkezi, mobil uygulamalar ve benzeri vasıtalarla sözlü, yazılı ya da elektronik olarak toplanabilecektir. Kişisel verileriniz,Şirketimiz ile ilişkiniz devam ettiği müddetçe oluşturularak ve güncellenerek işlenebilecek ve hem dijital hem de fiziki ortamda muhafaza altında tutulabilecektir.
Kişisel verileriniz, aşağıda yer alan amaçlar doğrultusunda ve 6698 sayılı Kanun’un 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları ve amaçları kapsamında işlenebilmekte ve aktarılabilmektedir.
Kişisel verileriniz PALLET GRID tarafından e-mail, ilgili internet siteleri ve mobil uygulama gibi kanallardan, PALLET GRID’in erişimine imkan verdiğiniz sosyal medya hesapları üzerinden elektronik ortamda ve çağrı merkezi kanalı ile veya fiziki olarak posta/kargo yolu ile toplanmaktadır.
Kişisel verileriniz, mağazalarımız, internet sitemiz ve mobil uygulamamız, çağrı merkezlerimiz, sosyal medya hesaplarımız gibi mecralardan sözlü, yazılı veya elektronik ortamda veya ilerde kurulacak/oluşabilecek diğer kanallar başta olmak üzere; Şirketimiz tarafından yasal mevzuat çerçevesinde yukarıda belirtilen amaçlarla ve sözleşmenin ifa edilmesi, kanundaki açıkça öngörülmüş olması, kişisel verilerinizin tarafınızca alenileştirilmiş olması, tarafınıza tanınacak olan hakkın tesisi, kullanılması veya korunması için zorunlu olması; sizin temel hak ve özgürlüklerinize zarar vermeyecek şekilde, PALLET GRID’in meşru menfaatleri ve hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması şeklindeki hukuki sebeplerin varlığıyla sınırlı olarak toplanmaktadır.
KİŞİSEL VERİLERİN İŞLENME AMACI
Kişisel verilerinizin işlenmesi ile kişisel verilerinizin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem kastedilmektedir. Şirketimiz nezdinde kişisel veriler; ticari faaliyetlerin planlanması ve icrası, yetkili kurum ve kuruluşlara mevzuattan kaynaklı bilgi verilmesi, tarafımızca doğrudan sağlanmayan ve uzmanlık alanımıza girmeyen konularda ödeme hizmet alınması, siparişlerin teslim edilmesi, tahsilatların gerçekleştirilmesi, üyelik kaydınızın oluşturulması, fatura tanzim edilmesi, tüketici şikayetlerinin çözümlenmesi, açık rıza vermeniz halinde ticari elektronik ileti gönderilmesi, faaliyetlerin Şirketimiz prosedürleri ve ilgili mevzuata uygun olarak yürütülmesinin sağlanması için gerekli denetim faaliyetlerinin planlanması ve icrası, kurumsal sürdürülebilirlik faaliyetlerinin planlanması ve icrası, şirketimizin itibarının korunmasına yönelik çalışmaların gerçekleştirilmesi, talep ve şikayet süreçlerinin yönetimi, kurumsal yönetim ve iletişim faaliyetlerinin planlanması ve icrası amacıyla hukuka ve dürüstlük kurallarına ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun olarak işlenecektir.
Müşterilerimizin ve toplu yaşam alanı sakinlerinin kişisel verileri, Türkiye Cumhuriyeti Anayasası başta olmak üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun, Türk Ceza Kanunu ve ilgili mevzuatta yer alan hükümlere uygun şekilde işlenmektedir.
PALLET GRID’in sunduğu hizmetler kapsamında kişisel verileriniz;
• Hukuka ve dürüstlük kuralının öngördüğü biçimde
• Doğru ve güncel olarak,
• Belirli, açık ve meşru amaçlar için ve de
• İşlenme amaçları ile bağlantılı, sınırlı ve ölçülü olarak işlenecektir.
Kişisel verileriniz tamamen veya kısmen, otomatik olan veya olmayan yollarla elde etme, kaydetme, depolanma, muhafaza etme, değiştirme, yeniden düzenleme vb. işlemler aracılığıyla işlenebilir. Toplanılan bilgiler, haberiniz ya da aksi bir talimatınız olmaksızın, üçüncü şahıslarla kesinlikle paylaşılmamakta, faaliyet dışı hiçbir nedenle ticari amaçla kullanılmamakta ve de satılmamaktadır.
Kişisel Verilerin İşlenmesinde Dikkate Alınan Genel İlkeler
Şirket tarafından Kişisel Veriler, Kanunda ve bu Politikada öngörülen usul ve esaslara uygun olarak işlenir. Şirket, Kişisel Verileri işlerken aşağıdaki ilkelerle hareket eder:
1) Kişisel verilerin hukuka ve dürüstlük kurallarına uygun olarak işlenmesi; Şirket, kişisel verilerinizin işlenmesinde kanunlara, ikincil düzenlemelere ve hukukun genel ilkelerine uygun olarak hareket eder; kişisel verileri işlenme amacı ile sınırlı olarak işlemeye ve veri sahiplerinin makul beklentilerini dikkate almaya önem verir.
2) Kişisel verilerin doğru ve güncel olması; Şirket tarafından işlenen kişisel verilerinizin güncel olup olmadığına, buna ilişkin kontrollerin yapılmasına dikkat edilir. Veri sahiplerine bu kapsamda doğru ve güncel olmayan verilerinin düzeltilmesini veya silinmesini isteme hakkı tanınır.
3) Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi; Şirket, her bir kişisel veri işleme faaliyetinden önce veri işleme amaçlarını tespit eder ve bu amaçların hukuka aykırı olmamasına dikkat eder.
4) Kişisel verilerin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olması; Şirket tarafından veri işleme faaliyeti toplama amacını gerçekleştirme için gerekli olan kişisel verilerle sınırlandırılmakta ve bu amaçla ilişkili olmayan kişisel verilerin işlenmemesi için gerekli adımlar atılmaktadır.
5) Kişisel verilerin mevzuatın ya da işleme amaçlarının gerektirdiği süre kadar saklanması; Şirket tarafından kişisel veri işleme amacının ortadan kalkmasından sonra ya da mevzuatta öngörülen sürenin dolması ile birlikte kişisel veriler silinmekte, yok edilmekte veya anonimleştirilmektedir.
Kişisel Verilerin İşlenme Şartları
Şirket Kişisel Veriler’i veri sahibinin açık rızası olmaksızın işlemez. Aşağıdaki şartlardan birinin varlığı hâlinde, veri sahibinin açık rızası aranmaksızın Kişisel Veriler işlenebilecektir.
1) Kişisel veri sahibinin açık rızasının olması diğer veri işleme şartlarının var olmadığı durumlarda genel ilkelere uygun olarak, Şirket tarafından veri sahibinin kişisel verileri, veri sahibinin özgür iradesi ile kişisel veri işleme faaliyetine ilişkin yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak şekilde ve sadece o işlemle sınırlı olarak onay vermesi halinde işlenebilmektedir.
2) Kişisel veri işleme faaliyetinin kanunlarda açıkça öngörülmesi halinde Şirket tarafından kişisel veriler, veri sahibinin açık rızası olmadan işlenebilecektir. Bu durumda Şirket, ilgili hukuki düzenleme çerçevesinde kişisel verileri işleyecektir.
3) Fiili imkânsızlık nedeniyle veri sahibinin açık rızasının elde edilememesi ve kişisel veri işlemenin zorunlu olması halinde, Şirket tarafından rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan veri sahibine ait kişisel veriler, veri sahibinin veya üçüncü bir kişinin hayatı veya beden bütünlüğünü korumak adına kişisel veri işlemenin zorunlu olması durumunda işlenecektir.
4) Kişisel veri işleme faaliyetinin bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması durumunda, veri sahibi ile Şirket arasında kurulan veya halihazırda imzalanmış olan sözleşmenin taraflarına ait kişisel verilerin işlenmesi gerekli ise kişisel veri işleme faaliyeti gerçekleştirilecektir.
5) Veri sorumlusu hukuki yükümlülüğünü yerine getirme için kişisel veri işleme faaliyeti yürütülmesinin zorunlu olması durumunda Şirket, yürürlükteki mevzuat kapsamında öngörülen hukuki yükümlülüklerini yerine getirme amacıyla kişisel verileri işlemektedir.
6) Veri sahibinin kişisel verilerini alenileştirmiş olması, veri sahibi tarafından herhangi bir şekilde kamuoyuna açıklanmış, alenileştirilme sonucu herkesin bilgisine açılmış olan kişisel veriler alenileştirme amacı ile sınırlı olarak Şirket tarafından veri sahiplerinin açık rızası olmasa da işlenebilecektir.
7) Bir hakkın tesisi, kullanılması veya korunması için kişisel veri işlemenin zorunlu olması durumunda, Şirket zorunluluk kapsamında veri sahiplerinin açık rızası olmaksızın veri sahibinin kişisel verilerini işleyebilecektir.
8) Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlemenin zorunlu olması halinde, Şirket ile veri sahibinin menfaat dengesinin gözetilmesi şartıyla Şirket tarafından kişisel veriler işlenebilecektir. Bu kapsamda, meşru menfaate dayanarak verilerin işlenmesinde Şirket öncelikle işleme faaliyeti sonucunda elde edeceği meşru menfaati belirler.
Kişisel verilerin işlenmesinin veri sahibinin hak ve özgürlükleri üzerindeki olası etkisini değerlendirir ve dengenin bozulmadığı kanaatindeyse işleme faaliyetini gerçekleştirir.
Özel Nitelikli Kişisel Verilerin İşlenme Şartları
Özel nitelikli kişisel veriler, öğrenilmesi halinde ilgili kişi hakkında ayrımcılık yapılmasına veya mağduriyete neden olabilecek nitelikteki verilerdir. Bu nedenle diğer kişisel verilere göre çok daha sıkı şekilde korunmaları gerekmektedir. Kanun, bu verilere özel bir önem atfetmekte ve bu verilerle ilgili farklı bir düzenleme getirmektedir. Kanun bunları özel nitelikli kişisel veri ya da hassas veriler olarak kabul etmektedir. Özel nitelikli kişisel veriler ilgili kişinin açık rızası ile ya da Kanunda sayılan sınırlı hallerde işlenebilir. Kanun, özel nitelikli kişisel veriler arasında da bir ayrım yapmıştır. Buna göre sağlık ve cinsel hayata ilişkin kişisel veriler ile bunlar dışındaki özel nitelikli kişisel verilerin, açık rıza olmaksızın işlenebileceği halleri farklı düzenlemiştir. Kanunda özel nitelikli kişisel veriler, sınırlı sayma yoluyla belirlenmiştir. Bunlar; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileridir. Özel nitelikli kişisel verilerin kıyas yoluyla genişletilmesi mümkün değildir. Belirtmek gerekir ki tüm temel hak ve özgürlüklerde olduğu gibi, özel nitelikli kişisel verilere ilişkin koruma mutlak değildir, diğer hak ve özgürlüklerde olduğu gibi sınırlanabilir. Bu sınırlamanın Anayasanın 13. maddesinde belirtilen esaslara uygun olarak gerçekleştirilmesi gerekmektedir. Bu nedenle, özel nitelikli kişisel verilerin işlenmesinin tam olarak hangi durum ve şartlara uyularak gerçekleştirilebileceği Kanunda öngörülmüştür. Nitekim yaşam hakkı, ifade özgürlüğü, haberleşme özgürlüğü gibi birçok temel hak ve özgürlüğün kullanılması, özel nitelikli kişisel verilerin işlenmesini zorunlu kılmaktadır. Bu bakımdan, özel nitelikli kişisel verilerin işlenmesinin mutlak bir yasak olarak kabul edilmesi mümkün değildir. Kanuna göre açık rıza halinde özel nitelikli kişisel veriler işlenebilir. Ayrıca Kanuna göre, özel nitelikli kişisel verilerin işlenmesi, ilgili kişinin açık rızası dışında aşağıdaki hallerde de mümkündür:
• Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, ancak kanunlarda öngörülen hallerde,
• Sağlık ve cinsel hayata ilişkin kişisel veriler, ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilir. Ayrıca Kanunda, özel nitelikli kişisel verilerin işlenmesi bakımından, Kurul tarafından belirlenen yeterli önlemlerin alınması şartı getirilmiştir.
Şirket, Özel Nitelikli Kişisel Veriler’i, ilgilinin açık rızası olmaksızın işlemez. Ancak sağlık ve cinsel hayat dışındaki Kişisel Veriler, kanunlarda öngörülen hallerde ilgili kişinin açık rıza aranmaksızın işlenebilecektir. Sağlık ve cinsel hayata ilişkin Kişisel Veriler, Şirket tarafından ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbı teşhis ve tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunduğumuz koşullarda ilgili kişinin açık rızası aranmaksızın işlenir. Şirket Özel Nitelikteki Kişisel Veriler’in işlenmesinde Kurul tarafından belirlenen yeterli önlemlerin alınması konusunda gerekli işlemleri yürütmektedir.
KİŞİSEL VERİLEN AKTARILMASI
Tarafınızdan edinilmiş olan kişisel veriler yukarıda anılan amaçların ifa edilebilmesi için hukuka ve dürüstlük kurallarına ve işlendikleri amaçla bağlantılı, sınırlı ve ölçülü, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun olarak Ticaret Bakanlığı, şirketimizce hizmet, destek, danışmanlık alınan ya da işbirliği yapılan yurtiçi, yurtdışı, uluslararası, kamu, özel kurum ve kuruluşlar, şirketler ve şirketimizin danışmanları ya da çözüm ortakları diğer grup şirketlerine, diğer yetkili kurum ve kuruluşlara, tedarikçilerine veya alt yüklenicilerine, Türk Ticaret Kanunu, ilgili diğer mevzuat hükümlerinin izin verdiği kişi veya kuruluşlara, hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak hukuken yetkili kamu ve/veya özel hukuk tüzel kişilerine ve diğer mevzuat hükümlerinin izin verdiği ya da zorunlu tuttuğu kişi veya kuruluşlarla, resmi mercilerin talepleri üzerine resmi mercilerle paylaşılabilecektir.
PALLET GRID tarafından toplanan kişisel verileriniz yukarıda detayları verilen amaçlarla ve belirtilen hukuki sebeplere dayanılarak Kanun'un 5 ve 8. maddesi uyarınca yurt içindeki iştiraklerimiz, hissedarlarımız, iş ortaklarımız, kanunen yetkili kamu kurumları ve özel kişiler ile paylaşılabilecektir. Aynı amaçlar doğrultusunda ve bunlarla sınırlı olarak kişisel verileriniz açık rızanız ile Kanun’un 9. maddesi uyarınca yurtdışındaki iştiraklerimiz, hissedarlarımız ve iş ortaklarıyla paylaşılabilecektir.
Toplanan kişisel verileriniz; Şirketimiz ve Şirketimizle iş ilişkisi içerisinde olan kişilerin hukuki ve ticari güvenliğinin temini; Şirketimiz tarafından sunulan ürün ve hizmetlerden sizleri faydalandırmak için gerekli çalışmaların iş birimlerimiz tarafından yapılması; Şirketimiz tarafından sunulan ürün ve hizmetlerin sizlerin beğeni, kullanım alışkanlıkları ve ihtiyaçlarına göre özelleştirilerek sizlere önerilmesi Şirketimizin ticari ve iş stratejilerinin belirlenmesi ve uygulanması ile Şirketimizin insan kaynakları politikalarının yürütülmesinin temini amaçlarıyla iş ortaklarımıza, tedarikçilerimize, hissedarlarımıza, kanunen yetkili kamu kurumları ve özel kişilere, KVK Kanunu’nun 8. ve 9. maddelerinde belirtilen kişisel veri işleme şartları ve amaçları çerçevesinde aktarılabilecektir.
KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HALE GETİRİLMESİ
6698 sayılı ve 7 Nisan 2016 gün ve 29677 sayılı Resmî Gazete yayımlanmış olan Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 7. maddesinde kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini düzenlemektedir. Kanun’un yürürlüğe girdiği tarihten 28 Ekim 2017 tarihine kadar kişisel verileri işleyenler ve veri sorumluları açısından oldukça önemli olan bu konunun nasıl uygulanacağı belirsizdi. Zira Kanun’un 7. maddesi veri sorumlusunun kişisel verileri, silme, yok etme ve anonim hale getirme yükümlülüğünün olduğunu düzenlemekle birlikte bu yükümlülüğünü nasıl gerçekleştireceği konusuna kanun metninde yer vermeyerek bu konuda düzenlenecek yönetmeliğe yönlendirmekteydi. Bu yönetmeliğe ilişkin ilk çalışma olan “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik Taslağı” (“Taslak”), 29 Mayıs 2017 tarihinde kamuoyu görüşüne sunuldu. Kamuoyundan gelen görüşler ve uluslararası mevzuat dikkate alınarak nihai hale getirilen “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik” (“Yönetmelik”), 28 Ekim 2017 tarihli Resmî Gazete’de yayımlanmıştır ve 1 Ocak 2018 tarihinde yürürlüğe girecektir.
Yönetmelik ile birlikte veri sorumlusuna birtakım yükümlülükler getirildi.
YÖNETMELİK KAPSAMINDA VERİ SORUMLUSUNUN YAPMASI GEREKENLER NELERDİR?
1. Kişisel veri ve imha politikası hazırlamak,
2. Kişisel veri ve imha politikasında belirttikleri, Yönetmelik kapsamındaki şartlara uygun sürelerde kişisel verileri silmek, yok etmek veya anonim hale getirmek ve
3. Kendisine ait kişisel verinin imha edilmesini isteyen ilgili kişinin talebini sonuçlandırmak ve ilgili eylemi gerçekleştirmektir.
KİŞİSEL VERİ İMHA VE SAKLAMA POLİTİKASI
Yönetmelik’in 5. maddesi, Kanunun 16. maddesi uyarınca veri sorumluları siciline (“Sicil”) kayıt olmakla yükümlü olan veri sorumlularını, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlü tutmaktadır.
Kişisel veri işleme envanterinde yer alması gereken unsurları, Yönetmelik’in 4. maddesinin (e) bendinde yer alan tanımdan yola çıkarak aşağıdaki şekilde sıralayabiliriz:
1. Kişisel veri işleme faaliyetleri
2. Kişisel verileri işleme amaçları
3. Veri kategorisi
4. Aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturulan ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süre
5. Yabancı ülkelere aktarımı öngörülen kişisel veriler
6. Veri güvenliğine ilişkin alınan tedbirlerin detaylı açıklaması
Her ne kadar Veri Sorumluları Sicili Hakkında Yönetmelik Taslağı’nda da kişisel veri işleme envanteri tanımına yer verilse de söz konusu yönetmelik henüz yürürlükte olmadığından halihazırda yürürlükte olan Yönetmelik’te yer alan tanımına itibar edilmesi gerekecektir.
Sicil henüz kurulmamıştır. Sicil’in kuruluşu ve kayıtların başlangıcı Kişisel Verileri Koruma Kurumu tarafından ilan edilecektir.
Yönetmelik’in 6. maddesi uyarınca, düzenlenecek kişisel veri saklama ve imha politikasının aşağıdaki unsurları içermesi gerekmektedir:
1. Kişisel veri saklama ve imha politikasının hazırlanma amacı
2. Kişisel veri saklama ve imha politikası ile düzenlenen kayıt ortamları
3. Kişisel veri saklama ve imha politikasında yer verilen hukuki ve teknik terimlerin tanımı
4. Kişisel verilerin saklanmasını ve imhasını gerektiren hukuki, teknik ya da diğer sebeplere ilişkin açıklama
5. Kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi için alınmış teknik ve idari tedbirler
6. Kişisel verileri saklama ve imha süreçlerinde yer alanların unvanları, birimleri ve görev tanımları
7. Saklama ve imha sürelerini gösteren tablo
8. Periyodik imha süreleri (Kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde politikada belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme ve anonim hale getirme işlemine ilişkin süreler)
9. Mevcut kişisel veri saklama ve imha politikasında güncelleme yapılmış ise söz konusu değişiklik.
Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından belirlenecek olan kriterler uyarınca Sicil’e kayıt yükümlülüğü olmayan veri sorumlularının, her ne kadar bir politika hazırlama yükümlülükleri olmasa da, işledikleri verileri kanuna uygun şekilde saklama, silme, yok etme veya anonim hale getirme yükümlülükleri vardır.
SİLME, YOK ETME VEYA ANONİM HALE GETİRME (İMHA)
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi eylemleri genel olarak “imha” olarak adlandırılmıştır.
Bu sorumluluk, Sicil’e kayıt yükümlülüğü olmayanlar ve kayıt yükümlülüğü olup Kişisel Veri Saklama ve İmha Politikası hazırlamış olanlar dahil bütün veri sorumlularını kapsamaktadır.
İmhaya ilişkin bütün işlemler kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere, üç yıl boyunca saklanır. Daha önce Taslak’ta yer almayan bu düzenleme Yönetmelik’e eklenmiştir.
Veri sorumlusu, ayrıca, imha işlemiyle ilgili uyguladığı yöntemleri ilgili politika ve prosedürlerinde açıklamakla yükümlüdür.
KİŞİSEL VERİLERİN SİLİNMESİ NEDİR?
Kişisel verilerin silinmesi, Yönetmelik’te, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi olarak tanımlanmıştır. Buradaki “ilgili kullanıcı” tabiri, kişisel verilerin silinmesini yok edilmesinden ayırmaktadır. İlgili kullanıcı, Yönetmelik’te, verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler olarak tanımlanmıştır. Dolayısıyla kişisel verilerin silinmesi durumunda, kişisel veri tamamen ortadan kaldırılmamaktadır.
Silinme durumunda verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birimlerin veriler üzerinde sahip olacağı yetkiler açıkça düzenlenmemiştir. Ancak Kurul’un yayınlayacağı kılavuzlar ile bu konuya da açıklık getireceğini umuyoruz.
Taslak’ın “Kişisel verilerin silinmesi” başlıklı 8. maddesinin 3. fıkrasında kişisel verilerin silinmiş sayılacağı durumlar düzenlenmişti. Yönetmelikte bu fıkra kaldırılmıştır.
KİŞİSEL VERİLERİN YOK EDİLMESİ NEDİR?
Kişisel verilerin yok edilmesi, Yönetmelik’te, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi olarak tanımlanmıştır.
Taslak’ta yok etme, “bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesi” olarak tanımlanmışken, Yönetmelik’in nihai halinde kapsam genişletilmiş ve yalnızca fiziksel kayıt ortamı ile sınırlı kalmayarak kişisel verilere her türlü erişimin ve verilerin herhangi bir şekilde kullanılmasının engellenmesi gerekliliği düzenlenmiştir.
KİŞİSEL VERİLERİN ANONİM HALE GETİRİLMESİ NEDİR?
Kişisel verilerin anonim hale getirilmesi, kişisel verilerin “başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi” olarak tanımlanmıştır. Yönetmelik, buna ek olarak, kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesinin gerektiğini düzenlemiştir.
2016/679 sayılı Avrupa Birliği Kişisel Veri Yönetmelik’i (General Data Protection Regulation) (“GDPR”), anonim verileri, kişilerle hiçbir şekilde ilişkilendirilemeyecek veriler olduğu için kişisel veri olarak değerlendirmemekte ve kapsamından çıkarmaktadır. GDPR yeni bir kavram olarak “pseudonymisation” tanımını kullanmakta ve özetle “ek bilgiler kullanılmadan bir kişiyle ilişkilendirilemeyecek hale getirilmesi” yöntemini düzenlemektedir. Ancak “pseudoynmisation”ın tam olarak yerine getirilmesi için kişilerle ilişkilendirmeye yol açacak ek bilgilerin ayrı tutulması gerektiği ve ilişkilendirilmeye sonuç vermemek için tüm teknik ve organizasyonel önlemlerin alınması gerektiğini belirtmektedir.
Yönetmelik, verinin kişiyle hiçbir şekilde ilişkilendirilemeyecek hale getirilmesine ve kişisel verileri elde eden alıcı grupların, geri döndürme yoluyla veya verileri başka verilerle eşleştirerek ilişkilendirme yapamaması kıstasına yer vererek, anonim hale getirmeyi ancak muhtemel bütün ilişkilendirmelerin ortadan kalktığı durumda mümkün kılmıştır.
Mevcut teknolojik gelişmeler, makul eylemler ve veri sorumlusunun imkanları gibi durumlar, bir kişisel verinin o kişiyle hiçbir şekilde ilişkilendirilememesi durumunu yaratamayabilir. Böyle bir durumda, anonimleştirme yapılamaması suretiyle bilgi dolaşımı engellenerek, kamu yararı güden araştırmaların önü kesilebilecektir.
Bu sebeple, Kurul’un, anonimleştirme durumlarında kamu yararı ile veri sahiplerinin menfaat dengesini gözeterek yayınlayacağı kılavuzlarda bu konuya da netlik getirmesi yararlı olacaktır.
KİŞİSEL VERİLERİN RESEN İMHASI NE ZAMAN YAPILIR?
Kişisel verilerin resen imhası, kişisel veri saklama ve imha politikası hazırlamış olan veri sorumluları için, imha yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde gerçekleştirilir.
Kişisel veri imha yükümlülüğü, kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde ortaya çıkar. Bu durumun ortaya çıktığını takip eden kişisel veri saklama ve imha politikasında belirlenecek olan ilk periyodik imha tarihinde, imha işleminin gerçekleşmesi gereklidir. Periyodik imhanın gerçekleştirileceği zaman aralığı en fazla altı ayda bir olabilir.
Sicil’e kaydolma ve dolayısıyla kişisel veri saklama ve imha politikası hazırlama yükümlülükleri olmayan veri sorumlusu ise imha işlemini, yükümlülüğün ortaya çıkığı tarihi takip eden üç ay içinde yerine getirmelidir.
Ancak Kurul, telafisi güç veya imkânsız zararların doğması ve açıkça hukuka aykırılık olması halinde süreleri kısaltabilmektedir.
Kurul kararı olmadıkça, veri sorumlusu tarafından uygun görülen imha işlemi seçilir. Taslak’ta imha işlemlerinden hangisinin uygulanacağı konusundaki seçimlik hakkın kime ait olduğu belirsizdi. Yönetmelik ile bu duruma açıklık getirilmiştir.
BİR KİŞİNİN KENDİSİNE AİT KİŞİSEL VERİLERİN İMHASINI TALEP ETMESİ DURUMUNDA NE YAPILACAKTIR?
Kişisel verilerin, ilgili kişinin talebi üzerine imhası, Google Spain v AEPD and Mario Costeja González davası sonrası ortaya çıkan “unutulma hakkı”nın (right to be forgotten) yansımasıdır. Bu konuda yıllardır süregelen tartışmalar sonucu bu hak “sildirme hakkı” (right to erasure) olarak GDPR’a geçmiştir. Bu hakka Yönetmelik’in 12. maddesinde “ilgili kişinin talep etmesi durumunda silme ve yok etme” olarak yer verilmektedir.
Buna göre ilgili kişi, kendisine ait kişisel verilerin silinmesi veya yok edilmesini talep ettiğinde;
1. Kişisel verileri işleme şartlarının tamamının ortadan kalktığı durumda veri sorumlusu en geç otuz gün içinde sonuçlandırarak ilgili kişiye bilgi verir.
Yönetmelik’in 7. maddesi uyarınca, veri sorumlusu ilgili kişinin istediği imha yöntemini uygulamak zorunda değildir; ancak seçtiği yöntemin gerekçesini açıklamak zorundadır.
2. Kişisel verileri işleme şartlarının tamamının ortadan kalktığı ve talebe konu kişisel verilerin üçüncü kişilere aktarıldığı durumda, veri sorumlusu üçüncü kişiye bu durumu bildirerek Yönetmelik kapsamındaki işlemlerin üçüncü kişi nezdinde yapılmasını temin eder.
Bu durumda da verilerin aktarıldığı üçüncü kişinin talebinin, şartların ortadan kalktığı durumdan itibaren en geç 30 gün içinde sonuçlandırılması gerekir. Ancak Yönetmelik, veri sorumlusuna “temin etme” yükümlülüğü getirmektedir. Yönetmelik’te yalnızca “temin etme” olarak belirtilen yükümlülüğün kapsamı belirtilmemiştir ve belirsiz kalmaktadır. Bu belirsizliğin Kurul tarafından giderilmesi gerektiği kanaatindeyiz. Ancak mevcut durumda veri sorumlusunun üçüncü kişinin söz konusu imhayı gerçekleştirmesini sağlaması şeklinde ilerlenmesini tavsiye ederiz; sadece bilgilendirmek yeterli olmayacaktır. Yine de birden çok üçüncü kişiye aktarılmış olan verilerin (arama motoru verisi, haber gibi) bütün üçüncü kişiler tarafından imha edilmesini sağlama yükümlülüğü veri sorumlusu için ciddi külfet yaratabilecektir. Bu sebeple “temin etme” yükümlülüğünün Kurul tarafından ilgili olayın koşullarına göre, hakkaniyete uygun olarak yorumlanması gerekmektedir.
Oysa ki, GDPR, veri sorumlusunun kamuya açtığı verileri işleyen üçüncü kişilere, işlem maliyetini ve mevcut teknolojiyi göz önüne almak suretiyle makul adımlar atarak ve teknik önlemler alarak, üçüncü kişileri, ilgili kişisel veriyi, tüm kopyalarını ve linklerini imha etmeleri konusunda bilgilendirme yükümlülüğü getirmektedir. Buradaki yükümlülük temin etme yükümlülüğünden ziyade makul adımları ve mevcut teknolojiyi göz önünde bulundurarak yapılan bir bilgilendirme yükümlülüğüdür.
3. Kişisel verileri işleme şartlarının tamamının ortadan kalkmadığı durumlarda ise, talep, veri sorumlusu tarafından gerekçesi açıklanarak reddedilebilir. Ret cevabının ise ilgili kişiye en geç 30 gün içinde yazılı olarak veya elektronik ortamda bildirilmesi gerekir.
Başvurusu red edilen ilgili kişinin, Kanun’un 14. Maddesi uyarınca red cevabını öğrendiği tarihten itibaren 30 gün veya başvuru tarihinden itibaren 60 gün içinde Kurul’a şikâyet hakkı saklıdır. Eğer Kurul bir ihlalin varlığını tespit ederse, veri sorumlusunun Kurul’un kararının tebliğinden itibaren en geç 30 gün içinde kararı yerine getirmesi gereklidir.
BELİRSİZ DURUMLAR NASIL ÇÖZÜLECEK?
Yönetmelik’in Tereddütlerin giderilmesi” başlıklı 13. Maddesi çerçevesinde, Yönetmelik’in uygulanması sırasında doğacak tereddütler ve uygulamaya ilişkin aksaklıkların Kurul tarafından giderilmesi düzenlenmiştir. Bu sebeple kişisel verilerin imhasına ilişkin veri sorumlularının doğru yönlendirilmesi ve uyum projelerinin sağlıklı bir şekilde tamamlanabilmesi için Kurul’un en kısa zamanda yayınlayacağı kılavuzlar ve ikincil mevzuat ile uygulamayı şekillendirmesi beklenmektedir.
KVK Kanunu’nun 7. maddesi uyarınca, kişisel verilerin ilgili mevzuata uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler re’sen veya kişisel veri sahibinin talebi üzerine Şirketimiz tarafından silinir, yok edilir veya anonim hale getirilir.
Bu hususa ilişkin usul ve esaslar KVK Kanunu ve 28.10.2017 tarihli ve 30224 sayılı Resmi Gazete’de yayınlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’e göre yerine getirilecektir.
Kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğümüzün ortaya çıktığı tarihi takip eden 3 (üç) ay içerisinde, kişisel veriler silinir, yok edilir veya anonim hale getirilir.
Şirketimize başvurarak kişisel verilerinizin silinmesini veya yok edilmesini talep ettiğinizde;
a) Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; talebe konu kişisel verilerinizi silinir, yok edilir veya anonim hale getirilir. Talebiniz en geç otuz gün içinde sonuçlandırılır ve tarafınıza bilgi verilir.
b) Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa bu durum üçüncü kişilere bildirir; Yönetmelik kapsamında gerekli işlemlerin yapılması temin edilir.
c) Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, talebiniz KVK Kanunun 13.maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı tarafınıza en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.
KİŞİSEL VERİLERİN KORUNMASI KANUNU’NDAN DOĞAN HAKLARINIZ
Kanun’un 11. Maddesine göre kişisel veri sahibi olarak müşteriler;
a) Kişisel veri işlenip işlenmediğini öğrenme,
b) Kişisel veriler işlenmişse buna ilişkin bilgi veya bilgileri talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanıp kullanılmadığını öğrenme,
d) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
e) Kişisel verilerin eksik ya da yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
f) Kişisel verilerin silinmesini, anonim hale getirilmesini veya yok edilmesini isteme,
g) Düzeltilme, silinme, anonim hale getirme veya yok edilmesi halinde bunun üçüncü kişilere bildirilmesini isteme,
h) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ı) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarar uğraması halinde zararın giderilmesini talep etme
haklarına sahiptir.
KVK Kanunu’nun 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak ile ilgili talebinizi, yazılı veya Kişisel Verileri Koruma Kurulu’nun belirlediği diğer yöntemlerle Şirketimize iletebilirsiniz. Kişisel Verileri Koruma Kurulu, şu aşamada herhangi bir yöntem belirlemediği için, başvurunuzu, KVK Kanunu gereğince, yazılı olarak Şirketimize iletmeniz gerekmektedir. Bu çerçevede Şirketimize KVK Kanunu’nun 11. maddesi kapsamında yapacağınız başvurularda yazılı olarak başvurunuzu ileteceğiniz kanallar ve usuller aşağıda açıklanmaktadır.
Yukarıda belirtilen haklarınızı kullanmak için kimliğinizi tespit edici gerekli bilgiler ile KVK Kanunu’nun 11. maddesinde belirtilen haklardan kullanmayı talep ettiğiniz hakkınıza yönelik açıklamalarınızı içeren talebinizi;
Koşuyolu Mah. Cenap Şahabettin Sok. No: 26 Kadıköy İstanbul 34718 Türkiye adresine kimliğinizi tespit edici belgeler ile bizzat elden iletebilir, noter kanalıyla veya KVK Kanunu’nda belirtilen diğer yöntemler ile gönderebilir veya ilgili formu support@palletgrid.com adresine güvenli elektronik imzalı olarak iletebilirsiniz.
Söz konusu haklar internet sitesindeki iletişim bilgileri (mail, çağrı merkezi vs.) kanalıyla kullanabilirsiniz.
E-posta: support@palletgrid.com
Çağrı Merkezi Telefon Numarası: 0 850 226 93 74
Kişisel olmayan bilgiler, şahsen tanımlanamayacağınız bilgilerdir. Bu bilgiler her türlü amaçla kullanılabilir ve üçüncü kişilerle de onay alınmaksızın paylaşılabilir.
ÇAĞRI MERKEZİ İLE ALINAN KİŞİSEL VERİLERİN İŞLENMESİ AYDINLATMA METNİ
Şirketimiz Pallet Grid Uluslararası Ticaret A.Ş. tarafından, 6698 Sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere ilgili mevzuatlardan kaynaklanan yasal yükümlülüklerimizi yerine getirmek, işbirliği süreçlerini yürütebilmek ve iletmiş olduğunuz taleplerinizi cevaplandırabilmek adına Çağrı Merkezimizi arayan veri sahiplerine ait isim, soyisim, teslimat adresi, fatura adresi, e-posta, telefon, fatura kesilmesi için gerekli bilgiler (firma ise firma adı, vergi kimlik no, vergi dairesi), ses kaydı, banka hesap bilgileri gibi bazı kişisel veriler talep edilmektedir. Söz konusu kişisel verileriniz açık rızanıza istinaden işbu kişisel verilerin korunması aydınlatma metninde belirtilen amaçlar ve kapsam dışında kullanılmamak kaydıyla halka açık olmayan bir ortamda işlenecek ve bu ortamda muhafaza edilecektir.