Kişisel Veri Saklama ve İmha Politikası

1. Politikanın amacı

Adil Onur Karahan Şahıs Şirketi (“Şirket”) tarafından Race Of Words mobil uygulaması ve internet sitesi (“Platform”) kapsamında işlenen kişisel verilere ilişkin bu Kişisel Veri Saklama ve İmha Politikası (“Saklama ve İmha Politikası”), kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu’na (“Kanun”) uygun olarak teknik ve idari korunmasını ve işlenme şartlarının ortadan kalkması hâlinde 28.10.2017 tarihli Resmî Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) hükümlerinin uygulanmasını düzenlemek amacıyla çıkarılmıştır.

2. Kişisel verilerin saklandığı kayıt ortamları

Kişisel veriler, başta Kanun hükümleri olmak üzere ilgili mevzuata uygun olarak aşağıdaki ortamlarda güvenli bir şekilde saklanır:

• Elektronik ortamlar: Platform sunucularındaki MySQL veritabanı, sunucu erişim kayıtları, yedekleme ortamları, e-posta kutusu, kullanıcının kendi cihazındaki güvenli depolama ve yerel veritabanı.
• Fiziki ortamlar: ıslak imzalı veri sahibi başvuruları ve bunlara ilişkin yazışmalar.

3. Saklamayı ve imhayı gerektiren sebepler

Kişisel veriler özellikle Platform faaliyetlerinin sürdürülebilmesi, hukuki yükümlülüklerin yerine getirilebilmesi ve kullanıcılarla ilişkilerin yönetilebilmesi amacıyla saklanır. Saklamayı gerektiren sebepler şunlardır:

• Kişisel verilerin sözleşmenin kurulması ve ifası ile doğrudan ilgili olması,
• Bir hakkın tesisi, kullanılması veya korunması,
• Kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket’in meşru menfaatinin bulunması,
• Şirket’in hukuki yükümlülüklerini yerine getirmesi,
• Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,
• Açık rıza gerektiren saklama faaliyetleri bakımından veri sahibinin açık rızasının bulunması.

Yönetmelik uyarınca aşağıdaki hâllerde kişisel veriler re’sen veya talep üzerine silinir, yok edilir veya anonim hâle getirilir:

• İşlemeye veya saklamaya esas teşkil eden mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlemeyi veya saklamayı gerektiren amacın ortadan kalkması,
• Kanun’un 5. ve 6. maddelerindeki işleme şartlarının ortadan kalkması,
• İşlemenin yalnızca açık rızaya dayandığı hâllerde ilgili kişinin rızasını geri alması,
• İlgili kişinin Kanun’un 11. maddesinin 2 (e) ve (f) bentleri kapsamındaki silme, yok etme veya anonimleştirme başvurusunun kabul edilmesi,
• Şirket’in bu yöndeki başvuruyu reddetmesi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi üzerine Kurul’a yapılan şikâyetin Kurul tarafından uygun bulunması,
• Azami saklama süresinin geçmesine rağmen daha uzun süre saklamayı haklı kılacak bir şartın bulunmaması.

4. Kişisel verilerin korunmasına ilişkin alınan tedbirler

Şirket, Kanun’un 12. maddesine uygun olarak kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için uygun güvenlik düzeyini sağlayan teknik ve idari tedbirleri alır. Tüm tedbirlere rağmen verilerin kanuni olmayan yollarla üçüncü kişilerce ele geçirilmesi hâlinde bu durum en kısa sürede ilgili kişiye ve Kurul’a bildirilir.

4.1. Teknik tedbirler

• Ağ ve uygulama güvenliği sağlanmakta, veri iletimi SSL/TLS ile şifrelenmektedir.
• Şifreler geri döndürülemez biçimde (özetlenerek) saklanmaktadır; kart bilgileri Şirket’te tutulmamaktadır.
• Sunucu ve veritabanı erişimi yetkiyle sınırlandırılmış, kullanıcı hesap yönetimi ve yetki kontrolü uygulanmaktadır.
• Erişim kayıtları düzenli olarak tutulmaktadır.
• Güvenlik duvarı ve saldırı önleme tedbirleri kullanılmakta, yazılımlar güncel tutulmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklerin güvenliği sağlanmaktadır.
• Bulutta ve sunucularda tutulan kişisel verilerin güvenliği sağlanmaktadır.
• Mevcut risk ve tehditler belirlenmiş, güvenlik açıklarına yönelik düzenli kontroller yapılmaktadır.

4.2. İdari tedbirler

• Kişisel verilere yalnızca görevi gereği ihtiyaç duyan kişilerin erişmesi sağlanmaktadır.
• Kişisel verilerin aktarıldığı hizmet sağlayıcılarla yapılan sözleşmelere veri güvenliği hükümleri eklenmekte, sağlayıcıların farkındalığı sağlanmaktadır.
• Kişisel verilere erişen kişilerle gizlilik taahhütleri yapılmaktadır.
• Veri güvenliği sorunları hızlı bir şekilde raporlanmakta ve hukuka aykırı elde etme hâlleri en kısa sürede ilgilisine ve Kurul’a bildirilmektedir.
• Kanun hükümlerinin uygulanmasına yönelik denetimler yapılmakta, tespit edilen zafiyetler giderilmektedir.

5. Kişisel verilerin imha yöntemleri

Şirket, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararıyla veya ilgili kişinin talebi üzerine kişisel verileri aşağıdaki yöntemlerden biri veya birkaçıyla imha eder. Süreç; silinecek verilerin tespiti, ilgili kişilerin tespiti, erişim yöntemlerinin tespiti ve verilerin imhası adımlarıyla yürütülür.

5.1. Silme

• Veritabanında kişisel verilerin bulunduğu satır veya sütunların silinmesi,
• Dosyalara ilişkin kullanıcı erişim haklarının kaldırılması,
• Kâğıt ortamındaki verilerin karartma yöntemiyle okunamaz hâle getirilmesi.

5.2. Yok etme

• Yedekleme ortamlarındaki verilerin yedek döngüsü sonunda geri getirilemeyecek şekilde üzerine yazılması,
• Kâğıt belgelerin kâğıt imha makinesiyle yok edilmesi,
• Manyetik medyanın de-manyetize edilmesi veya fiziksel olarak yok edilmesi.

5.3. Anonim hâle getirme

• Maskeleme: kişisel verinin temel belirleyici bilgisinin veri setinden çıkarılması.
• Kayıtları çıkarma: tekillik içeren veri satırlarının kayıtlar arasından çıkarılması.
• Bölgesel gizleme: tek başına belirleyici olabilen verilerin gizlenmesi.
• Genelleştirme (global kodlama): verinin daha genel bir içeriğe dönüştürülmesi (ör. kesin konum yerine ülke).
• Gürültü ekleme: sayısal verilere belirlenen oranda sapma eklenmesi.

Kanun’un 28. maddesi uyarınca anonim hâle getirilmiş veriler araştırma, planlama ve istatistik amacıyla işlenebilir; bu işlemler Kanun kapsamı dışındadır. Şirket, imha yöntemini verinin kaydedildiği ortama göre serbestçe belirler; Yönetmelik’in 13. maddesi kapsamında ilgili kişinin seçtiği imha kategorisinde kullanılacak yöntem de Şirket tarafından belirlenir.

6. Saklama ve imha süreleri

Mevzuatta bir süre öngörülmüşse bu süreye uyulur; öngörülmemişse kişisel veriler aşağıdaki süreler boyunca saklanır. Süreler belirlenirken Türk Borçlar Kanunu’ndaki genel zamanaşımı süresi (10 yıl) gözetilmiştir.

İlgili kişinin silme talepleri periyodik imha beklenmeden yerine getirilir. Diğer hâllerde süre sona erdiğinde kişisel veriler, bu tarihi izleyen ilk periyodik imhada silinir, yok edilir veya anonim hâle getirilir. İmha işlemleri kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler saklı kalmak kaydıyla en az üç yıl saklanır.

7. Periyodik imha süresi

Yönetmeliğin 11. maddesi uyarınca periyodik imha süresi 6 ay olarak belirlenmiştir. Buna göre her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

8. Revizyon ve yürürlükten kaldırma

Saklama ve İmha Politikası’nın değiştirilmesi veya yürürlükten kaldırılması hâlinde yeni düzenleme Platform’daki Politikalarımız sayfasında ilan edilir.

9. Yürürlük

Bu Saklama ve İmha Politikası yayımlandığı tarihte yürürlüğe girer.