1. AMAÇ
Cyberport Bilişim Hizmetleri (“Cyberport” veya “Şirket”) olarak; çalışanlarımız, çalışan adaylarımız, stajyerlerimiz, stajyer adaylarımız, tedarikçi yetkilileri ve çalışanları, iş ortaklarımız, alt yüklenicilerimiz, hissedarlarımız, yönetim kurulu üyelerimiz, ziyaretçilerimiz, çevrimiçi ziyaretçilerimiz, ürün veya hizmet sunduğumuz ya da temin ettiğimiz kişiler ile diğer ilgili üçüncü kişilere ait kişisel ve özel nitelikli kişisel verilerin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”), ilgili ikincil mevzuat ve yürürlükteki diğer düzenlemelere uygun şekilde işlenmesini sağlamayı temel sorumluluklarımızdan biri olarak kabul ediyoruz.
Bu Politika’nın amacı; Cyberport tarafından yürütülen faaliyetler kapsamında elde edilen kişisel verilerin hangi ilkelere göre işlendiğini, hangi yöntemlerle korunduğunu, ne kadar süreyle saklandığını, kimlere ve hangi şartlarda aktarılabileceğini ve ilgili kişilerin haklarını açık, anlaşılır ve sistematik biçimde ortaya koymaktır.
Şirketimiz, kişisel verilerin korunmasını yalnızca yasal bir yükümlülük olarak değil; özel hayatın gizliliğine, haberleşme özgürlüğüne ve temel haklara saygının ayrılmaz bir parçası olarak değerlendirmektedir. Bu nedenle kişisel veri işleme süreçlerimizde güncel teknolojiye, risk seviyesine ve mevzuatın gerekliliklerine uygun idari ve teknik tedbirleri almakta, gerekli oldukça bu tedbirleri geliştirmekteyiz.
2. KAPSAM
İşbu Politika; Cyberport tarafından tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilere uygulanır.
Politika; başta çalışanlar, çalışan adayları, stajyerler, stajyer adayları, tedarikçiler, iş ortakları, ziyaretçiler, çevrimiçi ziyaretçiler, müşteriler, potansiyel müşteriler, hissedarlar, yönetim kurulu üyeleri ve diğer üçüncü kişiler olmak üzere, kişisel verileri işlenen tüm gerçek kişileri kapsar.
Cyberport bünyesindeki tüm iş birimleri, destek fonksiyonları, bilgi sistemleri, dijital platformlar, internet sitesi, fiziki lokasyonlar ve Şirket adına veri işleyen üçüncü taraflar, bu Politika’nın çizdiği çerçeveye uygun hareket etmekle yükümlüdür. Mevzuat hükümleri ile bu Politika arasında farklılık bulunması halinde yürürlükteki mevzuat esas alınır.
3. TANIMLAR
Bu Politika’da geçen bazı temel kavramlar aşağıdaki anlamları taşır:
• Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan onayı,
• Anonim hale getirme: Kişisel verinin başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,
• İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
• Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
• Özel nitelikli kişisel veri: Sağlık bilgileri, biyometrik veriler, sendika üyeliği, ceza mahkûmiyeti bilgileri ve mevzuatta özel koruma altına alınan diğer veri türlerini,
• Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişiyi,
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetiminden sorumlu gerçek veya tüzel kişiyi,
• Kurul: Kişisel Verileri Koruma Kurulu’nu,
• Kurum: Kişisel Verileri Koruma Kurumu’nu,
• KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanunu’nu ifade eder.
4. ROL VE SORUMLULUKLAR
Cyberport’ta kişisel verilerin korunmasına ilişkin yönetişim yapısı, ilgili birimler arasında görev paylaşımı esasına dayanır.
• Yönetim organı ve üst yönetim, Politika’nın onaylanmasından, uygulanmasının desteklenmesinden ve gerektiğinde güncellenmesinin sağlanmasından sorumludur.
• İnsan Kaynakları, idari işler, kalite, bilgi teknolojileri, hukuk ve ilgili operasyon ekipleri; kendi süreçleri bakımından kişisel veri işleme faaliyetlerinin mevzuata ve bu Politika’ya uygun yürütülmesini temin eder.
• Bilgi teknolojileri ekipleri, veri güvenliğine ilişkin teknik önlemlerin uygulanması, gözden geçirilmesi ve geliştirilmesi konusunda görev alır.
• Şirket çalışanları ile Şirket adına hizmet sunan üçüncü kişiler, görevleri kapsamında eriştikleri kişisel verileri yalnızca yetkileri dahilinde ve belirlenen amaçlarla kullanmakla yükümlüdür.
5. HUKUKİ YÜKÜMLÜLÜKLERİMİZ
Cyberport, veri sorumlusu sıfatıyla KVKK kapsamında başta aydınlatma yükümlülüğü ve veri güvenliğini sağlama yükümlülüğü olmak üzere tüm temel yükümlülüklerini yerine getirmeyi taahhüt eder.
Kişisel veri toplama süreçlerinde ilgili kişilere; veri sorumlusunun kimliği, verilerin hangi amaçlarla işlendiği, hangi hukuki sebeplere dayandığı, kimlere ve hangi amaçlarla aktarılabileceği, hangi yöntemlerle toplandığı ve KVKK kapsamındaki hakları hakkında bilgi verilir.
Ayrıca Şirketimiz, kişisel verilere hukuka aykırı erişimi, verilerin kaybını, ifşasını, değiştirilmesini veya kötüye kullanılmasını önlemek amacıyla gerekli teknik ve idari tedbirleri almakta; denetim, iyileştirme ve farkındalık süreçlerini sürekli olarak sürdürmektedir.
6. KİŞİSEL VERİLERİN SINIFLANDIRILMASI
Cyberport tarafından işlenen veriler, niteliğine göre kişisel veriler ve özel nitelikli kişisel veriler olarak sınıflandırılır.
Kişisel veriler; kimlik, iletişim, mesleki deneyim, işlem güvenliği, hukuki işlem, finans, müşteri işlem, lokasyon, görsel-işitsel kayıtlar, fiziksel mekan güvenliği ve benzeri veri kategorilerini kapsayabilir.
Özel nitelikli kişisel veriler ise mevzuatta daha yüksek korumaya tabi tutulan sağlık bilgileri, biyometrik veriler, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler ile ilgili diğer hassas verileri içerir.
Cyberport, veri işleme faaliyetlerini ilgili kişi grupları bazında değerlendirir; çalışanlar, adaylar, ziyaretçiler, çevrimiçi ziyaretçiler, tedarikçiler, iş ortakları, müşteriler ve diğer üçüncü kişilere ilişkin süreçleri, ihtiyaç duyulan ölçüde ve amaçla sınırlı olarak yürütür.
7. KİŞİSEL VERİLERİN İŞLENMESİ
Cyberport, kişisel verileri aşağıdaki temel ilkeler çerçevesinde işler:
• Hukuka ve dürüstlük kurallarına uygun hareket etme,
• Verilerin doğru ve gerektiğinde güncel olmasını sağlama,
• Belirli, açık ve meşru amaçlarla işleme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
• İlgili mevzuatta öngörülen veya işleme amacı için gerekli olan süre kadar saklama.
Kişisel veriler; iş başvuru formları, özgeçmişler, sözleşmeler, insan kaynakları belgeleri, iletişim formları, internet sitesi, çerezler, kamera sistemleri, erişim kontrol sistemleri, elektronik posta, telefon, bilgi sistemleri, mobil uygulamalar, çevrimiçi platformlar, resmi kurum yazışmaları ve ilgili kişinin beyan ettiği diğer belgeler vasıtasıyla toplanabilir.
Veri işleme faaliyetleri; açık rıza bulunması, kanunlarda açıkça öngörülmesi, sözleşmenin kurulması veya ifası için zorunlu olması, hukuki yükümlülüğün yerine getirilmesi, bir hakkın tesisi, kullanılması veya korunması ya da veri sorumlusunun meşru menfaatlerinin korunması gibi KVKK’da yer alan hukuki sebeplere dayanılarak yürütülür.
Özel nitelikli kişisel veriler ise yalnızca kanunda öngörülen şartların varlığı halinde ve artırılmış güvenlik önlemleri uygulanarak işlenir.
8. ÖZEL DURUMLARDA VERİ İŞLEME
8.1. İnternet sitesi ve çerezler
Cyberport, internet sitesi üzerinden kullanıcı deneyimini geliştirmek, sitenin güvenliğini sağlamak, performansı ölçmek ve teknik işleyişi sürdürebilmek amacıyla çerezler ve benzeri teknolojiler kullanabilir. Çerezler aracılığıyla yürütülen veri işleme faaliyetlerine ilişkin ayrıntılar ayrıca yayımlanan Çerez Politikası’nda yer alır.
8.2. Kablosuz ağ ve erişim kayıtları
Şirketimiz tarafından sunulan kablosuz ağ hizmetlerinin kullanılması halinde, yürürlükteki mevzuat kapsamında tutulması zorunlu olan trafik ve erişim kayıtları işlenebilir. Bu kayıtlar yalnızca mevzuattan doğan yükümlülüklerin yerine getirilmesi, bilgi güvenliğinin sağlanması ve gerektiğinde yetkili mercilere bilgi sunulması amacıyla tutulur.
8.3. İnsan kaynakları süreçleri
İşe alım, değerlendirme, referans kontrolü, teklif, bordrolama, özlük, performans yönetimi, yan haklar, eğitim ve işten ayrılış süreçleri kapsamında gerekli kişisel veriler işlenir. Adaylara ve çalışanlara yönelik ayrıntılı aydınlatma metinleri ilgili süreçlerde ayrıca sunulur.
8.4. Fiziksel mekan güvenliği
Şirket binaları, ofisler ve tesislerde fiziksel güvenliğin sağlanması amacıyla kamera kayıtları alınabilir, ziyaretçi giriş-çıkış bilgileri tutulabilir ve erişim kontrol sistemleri kullanılabilir. Bu veriler güvenlik, denetim ve yasal yükümlülüklerin yerine getirilmesi amaçlarıyla sınırlı olarak işlenir.
9. KİŞİSEL VERİLERİN AKTARILMASI
Cyberport, kişisel verileri yalnızca KVKK ve ilgili mevzuatta öngörülen şartlar çerçevesinde aktarır. Kişisel veriler, açık rıza gerektiren durumlarda ilgili kişinin rızası alınarak; diğer hallerde ise kanuni işleme ve aktarım şartlarına dayanılarak paylaşılır.
Veriler; tedarikçiler, iş ortakları, danışmanlar, grup veya bağlı şirketler, denetim firmaları, hizmet sağlayıcılar, bankalar, yetkili kamu kurum ve kuruluşları ile hukuken yetkili özel hukuk kişilerine, ihtiyaçla sınırlı ve amaca uygun şekilde aktarılabilir.
Yurt dışına veri aktarımı ise yalnızca yürürlükteki mevzuatın izin verdiği hallerde; yeterlilik kararı, uygun güvenceler veya kanunda sayılan istisnai şartlar çerçevesinde gerçekleştirilir. Cyberport, aktarım süreçlerinde veri güvenliğini sağlamak için gerekli sözleşmesel, teknik ve idari önlemleri uygular.
10. KİŞİSEL VERİLERİN SAKLANMASI
Kişisel veriler, ilgili mevzuatta öngörülen saklama süreleri boyunca veya işlendikleri amaç için gerekli olan makul süre kadar muhafaza edilir. Saklama süresi belirlenirken; hukuki yükümlülükler, sözleşmesel ilişkiler, zamanaşımı süreleri, denetim gereklilikleri, iş sürekliliği ihtiyaçları ve veri kategorisinin niteliği birlikte değerlendirilir.
Bir verinin işlenmesini gerektiren amaç ortadan kalktığında ve ilgili mevzuat uyarınca saklanmasını gerektiren başka bir sebep bulunmadığında, söz konusu veri silinir, yok edilir veya anonim hale getirilir. Bu işlemler Şirket içi saklama ve imha süreçlerine uygun biçimde kayıt altına alınır.
11. KİŞİSEL VERİLERİN GÜVENLİĞİ
Cyberport, kişisel verilerin güvenliğini sağlamak amacıyla risk bazlı bir yaklaşım benimser. Bu kapsamda aşağıdaki tedbirler başta olmak üzere uygun güvenlik önlemleri uygulanır:
• Ağ ve uygulama güvenliği,
• Yetki matrisi ve erişim kontrolü,
• Güçlü parola ve kimlik doğrulama yöntemleri,
• Güncel antivirüs, güvenlik duvarı ve saldırı tespit sistemleri,
• Yedekleme, loglama ve izleme mekanizmaları,
• Fiziksel ortam güvenliği,
• Personel eğitimleri ve farkındalık çalışmaları,
• Gizlilik taahhütleri ve sözleşmesel güvence mekanizmaları,
• Tedarikçi ve veri işleyen denetimleri,
• İş sürekliliği ve olay yönetimi planları.
Herhangi bir veri ihlali şüphesi veya hukuka aykırı ifşa durumunda gerekli incelemeler ivedilikle yürütülür; mevzuatın gerektirdiği ölçüde ilgili kişilere ve yetkili otoritelere bildirim yapılır.
12. İLGİLİ KİŞİNİN HAKLARI
KVKK’nın 11. maddesi kapsamında ilgili kişiler;
• Kişisel verilerinin işlenip işlenmediğini öğrenme,
• İşlenmişse buna ilişkin bilgi talep etme,
• İşlenme amacını ve amaca uygun kullanılıp kullanılmadığını öğrenme,
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme,
• Eksik veya yanlış işlenen verilerin düzeltilmesini isteme,
• Şartları oluşmuşsa verilerin silinmesini veya yok edilmesini talep etme,
• Düzeltme ve silme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi sonucu aleyhe bir durum ortaya çıkmasına itiraz etme,
• Kişisel verilerin kanuna aykırı işlenmesi nedeniyle zarara uğranması halinde zararın giderilmesini talep etme haklarına sahiptir.
Başvurular, KVKK ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’e uygun şekilde Cyberport’a iletilebilir. Şirketimiz, usulüne uygun başvuruları en kısa sürede ve en geç yasal süre içinde sonuçlandırır.
13. BAŞVURU USULÜ
İlgili kişiler, kişisel verilerine ilişkin taleplerini yazılı olarak, kayıtlı elektronik posta (KEP), güvenli elektronik imza, mobil imza veya Cyberport sistemlerinde kayıtlı bulunan elektronik posta adresi üzerinden iletebilir.
Başvurularda; ad-soyad, başvuruya esas iletişim bilgileri, talep konusu ve kimlik doğrulamaya ilişkin yeterli bilginin yer alması gerekir. Cyberport, başvurunun başvuru sahibine ait olup olmadığını teyit etmek amacıyla ek bilgi veya belge talep edebilir.
Başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hallerinde ilgili kişi, kanunda öngörülen süreler içinde Kişisel Verileri Koruma Kurulu’na şikâyette bulunabilir.
14. POLİTİKANIN YAYIMLANMASI, GÜNCELLENMESİ VE YÜRÜRLÜK
Bu Politika, Cyberport tarafından elektronik ve/veya fiziki ortamlarda yayımlanabilir ve gerekli görülen hallerde güncellenebilir. Mevzuattaki değişiklikler, şirket uygulamalarındaki gelişmeler veya veri işleme süreçlerindeki ihtiyaçlar doğrultusunda Politika’nın tamamı veya belirli bölümleri revize edilebilir.
Güncel metin Cyberport’un ilgili kurumsal mecralarında yayımlandığı tarihten itibaren yürürlüğe girer. Şirketimiz, Politika’yı periyodik olarak gözden geçirme ve gerekli gördüğü değişiklikleri yapma hakkını saklı tutar.