Kişisel Verileri Saklama ve İmha Politikası

6698 SAYILI KİŞİSEL VERİLERİN KORUNMASI KANUNU ( KVKK )

KİŞİSEL VERİLERİ SAKLAMA VE İMHA POLİTİKASI

1.GİRİŞ

Özel Nilüfer Çamlıca Eğitim Yayıncılık Taşımacılık İnşaat Sanayi Ve Ticaret Anonim Şirketi (“Gümüştepe Koleji”) olarak, okulumuzun faaliyet alanı ile sınırlı olmak üzere, hukuki ilişki içerisinde olduğumuz; veliler, öğrenciler, çalışanlar, çalışan adayları, ziyaretçiler, tedarikçiler, hizmet sağlayan üçüncü kişiler, kurum veya kuruluşların çalışanlarına ait kişisel veriler 6698 sayılı Kişisel Verilerin Korunması Kanununa (“KVKK”) ve ilgili mevzuata uygun olarak saklanmakta ve imha edilmektedir. Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalar bu politika ile belirlenmiştir.

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”)’na uygun olarak işlenmesine, korunmasına büyük önem vermekteyiz. Bu amaçla, okulumuz yasal düzenleme ve alınan kararlar uyarınca, gerekli idari ve teknik tedbirleri almaktadır.

Avrupa Konseyi’nin, 28 Ocak 1981 tarihinde Strazburg’da imzaya açılan ve 1 Ekim 1985 tarihinde yürürlüğe giren 108 sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi, ülkemiz tarafından 28 Ocak 1981 yılında imzalanmıştır. Bu sözleşeme, 17 Mart 2016 tarih ve 29656 sayılı Resmi Gazete’ de yayımlanarak iç hukukumuza dâhil edilmiştir. Buna bağlı olarak Kişisel Verilerin Korunması Kanunu (“KVKK”) 07.04.2016 tarihli Resmî Gazetede yayımlanarak yürürlüğe girmiştir. Avrupa Birliği (AB)’nin kişisel verilerin korunmasına ilişkin mevzuatı kapsamında Genel Veri Koruma Tüzüğü/ Regülasyonu (GDPR) ile düzenlenmiştir.

6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat kapsamında hazırlanan Kişisel Veri Koruma ve İşleme ile Saklama ve İmha Politikası ve ekleri; 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik kapsamında, veri sorumlusu sıfatıyla (“Gümüştepe Koleji”) tarafından hazırlanmıştır.

2.AMAÇ

Kişisel Verileri Saklama ve İmha Politikası (“Politika”), okulumuzca gerçekleştirilmekte olan saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda izlenmesi gereken usul ve esasları belirlemek amacıyla hazırlanmıştır.

“Gümüştepe Koleji” tarafından hazırlanmış olan bu Politika Metni ile Kişisel Verileri Koruma Kanununa uyum sürecinin tamamlanması bakımından aşağıda yazılı temel ilkeler doğrultusunda; yukarıda belirtilen ilgili kişilere ait kişisel verilerin; KVK Kurumu’nun yayınladığı kararlar, belirlediği ilkeler ile T.C. Anayasası, Uluslararası Sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanması amaçlanmıştır. Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, işbu Politikaya uygun olarak gerçekleştirilmektedir.

 3.KAPSAM

Okulumuzun faaliyetleri kapsamında, velilerimiz, öğrencilerimiz, veli ve öğrenci adayları, ürün veya hizmet sağlayan tedarikçiler, iş ortakları, şirket ortakları, şirket çalışanları, çalışan adayları, ziyaretçiler, yetkili kamu kurum ve kuruluşları ile özel hukuk tüzel kişilerinin temsilcileri ve çalışanları, ilgili üçüncü kişilere ait kişisel veriler; hazırlanmış olan bu Politika kapsamında olup, okulumuz nezdinde otomatik yöntemlerle veya otomatik olmayan yollarla işlenen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik okulumuz faaliyetlerinde işbu Politika uygulanmaktadır.

 4.KISALTMA VE TANIMLAR

 Açık Rıza:

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza

Alıcı Grubu:

Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi

Anonim Hale Getirme:

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi

Çalışan:

Şirketimiz çalışanlarını kapsamaktadır

Çalışan Adayı:

İnternet sayfasını kullanarak veya işyerine bizzat gelerek iş başvuru formunu doldurup, iş başvurusu yapanlar

Elektronik Ortam:

Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar

Elektronik Olmayan Ortam:

Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar

Hizmet Sağlayıcısı:

Şirket ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi

İlgili Kullanıcı:

Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir

İlgili Kişi/Kişisel Veri Sahibi:

Kişisel verisi işlenen gerçek kişiyi ifade etmektedir

İmha:

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi

Kişisel Veri İşleme Envanteri:

Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini, kişisel verileri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları belge

Kayıt Ortamı:

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam

 Kişisel Veri:

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi

Kişisel Verilerin İşlenmesi:

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem

Kişisel Verilerin Anonim Hale Getirilmesi:

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi

Kişisel Verilerin Silinmesi:

Kişisel verilerin silinmesi; kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi

Kişisel Verilerin Yok Edilmesi:

Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi

Kanun:

6698 sayılı Kişisel Verilerin Korunması Kanunu

Kurul:

Kişisel Verileri Koruma Kurulu

Kurum:

Kişisel Verileri Koruma Kurumu

Kişisel Veri İrtibat Kişisi:

Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından, Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile iletişimi sağlamak amacıyla Sicile kayıt esnasında bildirilen gerçek kişiyi

Özel Nitelikli Kişisel Veri:

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri

Periyodik İmha:

Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi

Politika:

Kişisel Veri İşleme, Saklama ve İmha Genel Politikasını

Şirket:

Özel Nilüfer Çamlıca Eğitim Yayıncılık Taşımacılık İnşaat Sanayi Ve Ticaret Anonim Şirketi

Veri İşleyen:

Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi

Veri Kayıt Sistemi:

Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi

Veri Sorumlusu:

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi

Veri Sorumluları Sicil Bilgi Sistemi:

Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemi.

VERBİS:

Veri Sorumluları Sicil Bilgi Sistemi

Yönetmelik:

28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

5.SORUMLULUK VE GÖREV DAĞILIMI

6698 sayılı KVK Kanunu ve ilgili mevzuat uyarınca, kişisel verilerin korunması mevzuatına uygunluğun sağlanması, muhafazası ve sürdürülmesi kapsamında, şirket bünyesinde gerekli koordinasyonu sağlamak amacıyla şirket Veri İrtibat Kişisi belirlenmiş, görev ve sorumlulukları tanımlanarak gerekli kararlar alınarak, ilgililere tebliğ edilmiştir.

İşbu Politika kapsamında alınan teknik ve idari tedbirlerin gerektiği şekilde uygulanması, ilgili birim çalışanlarının eğitimi ve farkındalığının arttırılması, denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin, erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla, kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirler veri irtibat kişisi ve sorumlu birimlerce yerine getirilmektedir.

6.KİŞİSEL VERİLERİN KAYDEDİLDİĞİ ORTAMLAR

Şirketimizce tutulan kişisel veriler, sunucular-server, kullanılan yazılımlar, kişisel bilgisayarlar, telefon, tablet gibi mobil cihazlar, optik diskler, çıkarılabilir bellekler gibi elektronik ortamlarda ve kağıt olarak tutulan kişisel veriler, iş başvuru formları, şirket ile üçüncü kişiler arasında yapılan sözleşmeler, manuel veri kayıt sistemleri (anket formları, veli, öğrenci formları, yazılı, basılı, görsel ortamlarda tutulan kişisel veriler, birim dolapları, arşiv odaları) gibi elektronik olmayan fiziksel ortamlarda kaydedilmektedir.

6698 Sayılı KVK Kanunu ve ilgili mevzuata, uluslararası veri güvenliği prensiplerine uygun olarak güvenli bir şekilde saklanmaktadır. Kişisel verileriniz, tamamen veya kısmen, otomatik olarak veyahut herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilerek, kaydedilerek, depolanarak, değiştirilerek, yeniden düzenlenerek, kişisel verileriniz üzerinde gerçekleştirilen her türlü işleme konu olarak şirketimiz tarafından işlenmektedir.

 7.KİŞİSEL VERİ SAKLAMA VE İMHASINA İLİŞKİN ESASLAR

 “Gümüştepe Koleji” tarafından oluşturulan bu politika ile işlenen kişisel veriler; ilgili mevzuata, usul ve yasaya uygun olarak saklanır ve imha edilir. Saklama ve imhaya ilişkin ayrıntılı açıklamalar aşağıda belirlenmiştir.

 7.1.Kişisel Verilerin Saklanması

6698 Sayılı Yasanın 3.maddesinde kişisel verilerin işlenmesi tanımlanmış, 4. madde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği düzenlenmiş olup, 6698 sayılı yasanın 5. ve 6. maddelerde kişisel verilerin işleme şartları sayılmıştır. Buna ilişkin ayrıntılı açıklamalar yukarıda işbu Politika metninde yazılı olup, şirket faaliyetleri kapsamında kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun olarak gerekli süre kadar idari ve teknik tedbirler alınmak suretiyle saklanmaktadır.

7.2.Kişisel Verileri Saklamayı Gerektiren Hukuki Sebepler

Okulumuzun faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilmektedir. Bu kapsamda kişisel veriler;

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 5580 sayılı Özel Öğretim Kurumları Kanunu
• 6098 sayılı Türk Borçlar Kanunu,
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• 6361 sayılı İş Sağlığı ve Güvenliği Kanunu,
• 4857 sayılı İş Kanunu,
• İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik,
• Arşiv Hizmetleri Hakkında Yönetmelik

İşbu Politika ile şirketimiz faaliyetleri kapsamında işlenen kişisel veriler, ilgili mevzuatlarda yazılı süre kadar muhafaza edilerek saklanmaktadır. Yukarıda sayılan ve şirket faaliyetleri kapsamında kişilerin tabi oldukları kanunlarda öngörülen süreler ve ikincil düzenlemeler çerçevesinde yazılı saklama süreleri ve kanunlarda öngörülen suçların tabi olduğu zamanaşımı süreleri kadar kişisel veriler saklanmaktadır.

İşlenen kişisel verinin tabi olduğu yasal mevzuatta öngörülen zamanaşımı süreleri ile şirketin hukuki irtibat içerisinde olduğu üçüncü kişiler ile olan veya oluşabilecek uyuşmazlıklar, okulumuz kurumsal hafızası, iş faaliyetleri dikkate alınarak, kanunlarda öngörülen süreler dışında, şirketin meşru menfaati ve ilgili veri sahipleri ile yapmış olduğu veya yapacağı sözleşmelerin kurulması ve ifa süreçleri dikkate alınarak, kişisel verilerin saklama ve imha süreleri kurumsal karar olarak işbu Politika ile belirlenmiştir.

7.3.Kişisel Verileri Saklamayı Gerektiren İşleme Amaçları

Okulumuz faaliyetleri çerçevesinde işlenmekte olan kişisel veriler; aşağıdaki amaçlar doğrultusunda saklanmaktadır.

 Okulumuzun, eğitim ve öğretim faaliyetlerinin sürdürülmesi,

• Çalışanlara yönelik insan kaynakları süreçlerini yürütmek.
• Kurumsal iletişim faaliyetlerini sağlamak.
• Okulumuzun, işlem güvenliğini ve fiziksel mekan güvenliğini sağlamak,
• Okulumuz ile üçüncü kişi ve kuruluşlar arasında yapılan sözleşmeler ve protokoller kapsamındaki faaliyet ve işlemleri ifa edebilmek.
• Mevzuat ve ikincil düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak.
• Okulumuz ile iş ilişkisi içerisinde bulunan gerçek veya tüzel kişilerle irtibatın sağlanması.
• Yasal bildirimlerde bulunmak.
• Çağrı hizmetleri süreçlerini yerine getirmek.
• İlgili kişi ve kuruluşlarla ileride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü.

7.4.Kişisel Verilerin İmhasını Gerektiren Sebepler

Kişisel veriler; aşağıda belirtilen sebeplerle ilgili kişinin talebi üzerine, başvuru formunu doldurmak suretiyle, şirket tarafından politika, yasa ve yönetmelikte öngörülen usul ve esaslara uygun olarak silinir, yok edilir veya anonim hale getirilir. Buna göre;

Şirket tarafından kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması halinde.

Kişisel verilerin işlenmesine esas olan ilgili mevzuat hükümlerinin değiştirilmesi veya yürürlükten kalkması.

Şirket tarafından kişisel verileri işlemenin sadece açık rıza şartına bağlı olarak yapıldığı hallerde, ilgili kişinin açık rızasını geri alması.

6698 sayılı KVK Kanununun 11. maddesi uyarınca ilgili kişinin şirkete başvuru hakları kapsamında kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun KVK Kurumunca kabul edilmesi.

KVK Kurumunun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya 6698 sayılı Kanunda öngörülen süre içinde cevap vermemesi hallerinde; KVK Kuruluna şikâyette bulunması ve bu talebin KVK Kurulunca uygun bulunması halinde.

İlgili yasal düzenleme uyarınca, kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri saklamayı gerektirecek herhangi bir sebebin bulunmaması.

 8.TEKNİK VE İDARİ TEDBİRLER

İşbu Politika ile belirlenen düzenlemeler kapsamında, kişisel verilerin güvenli ve usulüne uygun bir şekilde saklanması, hukuka aykırı olarak işlenmesinin, erişilmesinin önlenmesi ve veri sızıntılarının önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için, 6698 sayılı Kişisel Verilerin Korunması Kanununun 6/4. maddesine göre “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.” hükmü ile aynı yasanın 12. maddesinde belirtilen Kişisel Verilerin güvenliğini sağlamak amacıyla KVK Kurulu tarafından belirlenen ve ilan edilen gerekli yeterli önlemler çerçevesinde veri sorumlusu olarak okulumuz tarafından aşağıda yazılı teknik ve idari tedbirler alınmaktadır.

8.1.Teknik Tedbirler

Kişisel Verileri Koruma Kurumu tarafından https://www.kvkk.gov.tr adresinden duyurulmuş olup,  KVK Kurumunca ilan edilen teknik tedbirler ile ilgili, veri sorumlusu olarak okulumuz tarafından gerekli tedbirler alınmaktadır. “Bilgi İşlem Birimi” tarafından KVKK Teknik Tedbirler Analiz Raporu hazırlanmış olup, gerekli teknik tedbirler ve alınması gereken önlemlere ilişkin tespitler belirlenmiştir. Bilgi güvenliği ile ilgili yerinde ve gerçek zamanlı olarak yapılan analizler sonucunda, bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler tespit edilmiş olup, sürekli olarak izlenmektedir. Okulumuzun bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır. Buna göre, alınan teknik tedbirler aşağıda yazılı olduğu şekilde belirtilmiştir.

Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.

Güncel anti-virüs sistemleri kullanılmaktadır.

Güvenlik duvarları kullanılmaktadır.

Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

Mevcut risk ve tehditler belirlenmiştir.

Saldırı tespit ve önleme sistemleri kullanılmaktadır.

Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.

Şifreleme yapılmaktadır.

8.2.İdari Tedbirler

Kişisel Verileri Koruma Kurulu tarafından ilan edilen idari tedbirler ile ilgili, veri sorumlusu olarak şirket tarafından gerekli idari tedbirler alınmıştır. Şirket tarafından, 6698 sayılı Kişisel Verilerin Korunması Kanununa uyum kapsamında kurumsal olarak gerekli kararları almış, yasa kapsamındaki yükümlülüklerin yerine getirilmesine başlanmış, yayımlanması gereken politikaları oluşturarak ilan etmiştir. Buna göre;

Yönetmeliğin 5/1. maddesinde belirtilen ve düzenlenmesi zorunlu olan, ilgili mevzuatta sayılan hususları, bilgileri içermesi zorunlu olduğu belirtilen Kişisel Veri İşleme Envanterine dayalı olarak kişisel veriler işlenmektedir.

Şirketimiz tarafından Kişisel Veri İşleme Envanteri ayrıca oluşturulmuş, belirli periyotlarda güncellenmektedir.

Aydınlatma ve Bilgilendirme Metinleri oluşturulmuş, Başvuru Formu düzenlenerek internet sitesinde yayımlanmıştır. Gizlik ve Çerez Politikası oluşturulmuştur.

Kişisel veri işleme, saklama ve imha politikası belirlenmiş, şirket içerisinde veri irtibat kişisi tarafından uygulanması sağlanmaktadır.

Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması amacıyla gerekli farkındalık çalışmaları başlatılmıştır.

Kişisel verilere ilişkin saklama ve imha gereklerinin yerine getirilmesine ilişkin çalışmalar başlatılmıştır.

KVK Kanununa uyumun sağlanması amacıyla gerekli aksiyonlar alınmış, şirket sözleşmeleri ve kişisel veri barındıran metinler taranarak KVKK ve ilgili mevzuata uyumlu hale getirilmektedir.

Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.

Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.

Gizlilik taahhütnameleri yapılmaktadır.

Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.

Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

Kişisel veri güvenliğinin takibi yapılmaktadır.

Kişisel veriler mümkün olduğunca azaltılmaktadır.

9.KİŞİSEL VERİLERİN İMHA TEKNİKLERİNE DAİR AÇIKLAMALAR

Şirketimizce oluşturulan politika ve kişisel veri işleme envanterinde yazılı olduğu üzere, işlenmiş olan kişisel veri ile ilgili yasal mevzuatta öngörülen süre veya işlendikleri amaç için öngörülen gerekli saklama süresinin sonunda kişisel veriler; şirket yetkili birimlerince kendiliğinden veya ilgili kişisel veri sahibinin şirketimize başvurusu üzerine, 6698 sayılı KVK Kanunu ve ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen yöntem ve tekniklerle imha edilmektedir.

9.1.Kişisel Verilerin Silinmesi

 Veri Kayıt Ortamı Olan Sunucuda Yer Alan Kişisel Veriler: Sunucularda yer alan kişisel verilerden, saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik Ortamda Yer Alan Kişisel Veriler: Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veri tabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Fiziksel Ortamda Yer Alan Kişisel Veriler: Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu birim yöneticisi hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.

Taşınabilir Medyada Bulunan Kişisel Veriler: Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

9.2.Kişisel Verilerin Yok Edilmesi

 Fiziksel Ortamda Yer Alan Kişisel Veriler: Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

 Optik -Manyetik Medyada Yer Alan Kişisel Veriler: Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlerin eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilebilmektedir.

 9.3.Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka üçüncü kişilere ait verilerle eşleştirilmesinde dahi, ilgili kişinin kimliği belirli veya belirlenebilir olmaktan çıkarılarak,  gerçek bir kişiyle hiçbir surette irtibatlandırılamayacak hale getirilmesidir.

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle irtibatlandırılamayacak /ilişkilendirilemeyecek hale getirilmesi şeklinde olmaktadır.

 10.KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜRELERİ

“Gümüştepe Koleji” tarafından, şirket faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak; süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri “Kişisel Veri İşleme Envanterinde”, süreç bazında saklama süreleri ise “Kişisel Veri Saklama ve İmha Politikasında” belirlenmiştir.

Söz konusu saklama süreleri ile ilgili olarak gerektiğinde; Veri İrtibat Kişisi tarafından gerekli güncellemeler yapılmaktadır. Saklama süreleri sona eren kişisel veriler için re’sen (kendiliğinden) silme, yok etme veya anonim hale getirme işleminde, belirlenen yetki, görev ve sorumlulukları kapsamında aynı şekilde Veri İrtibat Kişisi tarafından yerine getirilmektedir.

Okulumuz, faaliyetleri kapsamında 5580 sayılı Özel Öğretim Kurumları Kanununa tabi olup, saklama ve imha süreleri bakımından Milli Eğitim Bakanlığı mevzuatına tabidir. Milli Eğitim Bakanlığı Arşiv Hizmetleri Hakkında Yönetmelik 04.05.2005 tarih ve 25805 sayılı Resmi Gazete ile yürürlükten kaldırılmıştır. Milli Eğitim Bakanlığı Merkez, Taşra, Yurtdışı Teşkilatı ve bağlı kuruluşları, Devlet Arşiv Hizmetleri Hakkında Yönetmelik Hükümlerine tabi olup Arşiv malzemelerinin saklama süreleri ilgili yönetmelikte düzenlenmiştir. Yönetmelik linki aşağıda verilmiştir. Ayrıca, şirketimizin süreç bazındaki kişisel verileri saklama ve imha süreleri ekte tablo halinde belirtilmiştir.

11.KİŞİSEL VERİLERİN PERİYODİK İMHA VE DENETİM SÜRESİ

Kişisel verileri re’sen silme, yok etme veya anonim hale getirme süreleri Yönetmeliğin 11. maddesinde aşağıda yazılı olduğu şekilde düzenlenmiştir. Buna göre; Kişisel Veri Saklama ve İmha Politikası hazırlamış olan veri sorumlusu, kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri siler, yok eder veya anonim hale getirir.

Periyodik imhanın gerçekleştirileceği zaman aralığı, veri sorumlusu tarafından kişisel veri saklama ve imha politikasında belirlenir. Bu süre her halde altı ayı geçemez. Kişisel veri saklama ve imha politikası hazırlama yükümlülüğü olmayan veri sorumlusu, kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden 6 ay içinde, kişisel verileri siler, yok eder veya anonim hale getirir.

Okulumuz Kanunun 16 ncı maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları şartlarını taşımamaktadır. Okulumuz KVKK uyumu kapsamında işbu politikayı hazırlamıştır.

Kişisel veri saklama ve imha politikası hazırlama yükümlülüğü olmayan veri sorumlusu, kişisel verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden üç ay içinde, kişisel verileri siler, yok eder veya anonim hale getirir.

12.İLGİLİ KİŞİNİN BAŞVURUSU ÜZERİNE SİLME VE YOK ETME SÜRELERİ

İlgili kişinin başvurusu üzerine kişisel verinin silinmesi, yok edilmesi süreleri Yönetmeliğin 12. maddesinde aşağıda yazılı olduğu şekilde düzenlenmiştir. Buna göre; Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; veri sorumlusu talebe konu kişisel verileri siler, yok eder veya anonim hale getirir. Veri sorumlusu, ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa veri sorumlusu bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde bu Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder.  Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, bu talep veri sorumlusunca Kanunun 13 üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir ve ret cevabı ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

 13.POLİTİKANIN YAYINLANMASI, SAKLANMASI VE GÜNCELLENMESİ

“Gümüştepe Koleji” tarafından hazırlanan işbu politika, ıslak imzalı olarak (basılı kâğıt) ve elektronik ortamda olmak üzere okulumuzun www.gumustepekoleji.com internet sayfasında iki farklı ortamda yayımlanır. Politikanın internet sayfasında yayımlanması ile kamuya açıklanmış sayılacaktır. Basılı kâğıt nüshası Veri İrtibat Kişisi tarafından KVK dosyasında saklanır.

Oluşturulan bu politika, belirlenen veri irtibat kişisi tarafından yetki ve sorumlulukları kapsamında, yayınlandığı tarihten itibaren, her yılın sonunda yılda bir olmak üzere, ihtiyaç duyuldukça gözden geçirilir ve gerekli olduğu şekilde ilgili bölümler güncellenecektir.

14.POLİTİKANIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI

Yukarıda maddeler halinde yazılı işbu politika, okulumuzun www.gumustepekoleji.com internet sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilecektir.

Veri sorumlusunun onayı ve kişisel veri irtibat kişisinin kararı ile politikanın yürürlükten kaldırılmasına karar verilmesi halinde, politikanın ıslak imzalı eski nüshaları veri irtibat kişisi tarafından iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve en az 5 yıl süre ile kişisel veri irtibat kişisi tarafından ilgili birimde saklanır.

GÜMÜŞTEPE KOLEJİ

EK.1 Süreç Bazında Kişisel Verileri Saklama ve İmha Süreleri