Veri Saklama, Anonimleştirme ve İmha Politikası

1. Amaç

Bu prosedürün amacı, Neves Baharat Gıda Unlu Mamulleri Otomotiv Elektrik İnşaat Sanayi ve Ticaret Limited Şirketi bünyesinde bilginin elde edilmesi, işlenmesi ve saklanmasında kullanılan tüm basılı ve dijital içerik, bilgi teknolojileri varlıkları ve çevre birimlerinin gerekli durumlarda güvenli ve 6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun’a uygun şekilde imha edilmesini sağlamaktır.

2. Kapsam

Prosedür, Neves bünyesindeki tüm kişisel ve ticari veri kayıtlarını, e-ticaret ve satış süreçlerini kapsar.

3. Tanımlar

• Kanun: 6698 sayılı “Kişisel Verilerin Korunması” Kanunu.

• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

• Karartma: Kişisel verilerin kimliği belirli veya belirlenebilir kişiyle ilişkilendirilemeyecek şekilde üstlerinin çizilmesi, boyanması veya buzlanması işlemi.

• Kayıt Ortamı: Otomatik veya manuel yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

• Kişisel Veri Saklama ve İmha Politikası: Kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme ve silme, yok etme, anonim hale getirme işlemleri.

• Maskeleme: Kişisel verilerin belli alanlarının, kimliği belirli veya belirlenebilir kişiyle ilişkilendirilemeyecek şekilde silinmesi veya üstlerinin kapatılması işlemi.

• Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi görüş, dini inanç, sağlık, cinsel hayat, ceza mahkûmiyeti ve biyometrik/genetik veriler.

• Periyodik İmha: Kişisel verilerin saklama süresinin dolması veya işlenme şartlarının ortadan kalkması durumunda belirli aralıklarla silinmesi, yok edilmesi veya anonim hâle getirilmesi işlemi.

4. Referanslar

• 6698 Sayılı Kişisel Verilerin Korunması Kanunu

• 28.10.2018 tarihli ve 30224 sayılı “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik”

5. Uygulama

5.1. Varlıkların İmhası

Kişisel verilerin işlenme amaçlarının ortadan kalkması, rızanın geri alınması veya Kanun’un 5. ve 6. maddelerinde belirtilen şartların sona ermesi durumunda, veriler ilgili birim tarafından Yönetmelik kapsamında silinir, yok edilir veya anonim hâle getirilir. Kesinleşmiş mahkeme kararları varsa, söz konusu imha yöntemi uygulanır.

Bilgi kayıt özelliğine sahip cihazlar üzerindeki veriler yetkisiz erişime karşı silinir ve cihazlar fiziksel olarak tahrip edilir. İmha işlemleri, Ortam/Cihaz İmha Tutanağı ile kayıt altına alınır.

Verilerin Silinmesi Yöntemleri

• Kağıt Ortamı: Öğütücü ile imha veya karartma.

• Merkezi Sunucu / Ofis Dosyaları: İşletim sistemi silme komutu.

• Taşınabilir Medya: İşletim sistemi silme komutu.

• Veritabanları: İlgili satırlar veri tabanı komutları ile silinir.

Varlıkların Yok Edilmesi Yöntemleri

• Yerel Sistemler: De-manyetize etme, fiziksel yok etme veya üzerine yazma yöntemleri.

• Ağ ve Flash Tabanlı Cihazlar: Üretici önerileri veya yerel yok etme yöntemleri.

• Manyetik Bant, Optik Disk, Sim Kart, Sabit Hafıza Kartları ve Diğer Veri Kayıt Ortamları: Yakma, parçalara ayırma, eritme veya de-manyetize etme gibi yöntemler.

Kişisel Verilerin Anonim Hale Getirilmesi

Anonimleştirme işlemlerinde Kişisel Verileri Koruma Kurumu rehberinde belirtilen yöntemler kullanılır. Periyodik gözden geçirme veya veri sahibinin talebi ile veri silinir, yok edilir veya anonim hâle getirilir.

Devlet Arşivleri Genel Müdürlüğü’nün belirlediği saklama süreleri dikkate alınır; süre dolduktan sonra veriler imha edilir.

5.1.1. Çok Paydaşlı Verilerin İmhası

Merkezi sistemlerde birden fazla veri sahibine ait verilerin imhası için Veri Sorumlusu Temsilcisi görüşü alınır.

5.1.2. Veri Sahibi Talebi Üzerine İmha

Veri sahibi, Kanun’un 13. maddesi kapsamında başvuru yaparak kişisel verilerin silinmesini, yok edilmesini veya anonim hâle getirilmesini talep edebilir. Başvurular en geç 30 gün içinde sonuçlandırılır ve veri sahibine bilgilendirme yapılır.

5.2. Kişisel Verilerin Periyodik Gözden Geçirilmesi

Tüm veri işleyen birimler, veri kayıt ortamlarını altı aylık periyotlarla gözden geçirir. Mahkeme veya veri sahibinin talebi üzerine periyodik denetleme süresi beklenmeden işlem yapılır. Tüm imha ve anonimleştirme işlemleri en az üç yıl saklanır.

5.3. Kişisel Verilerin Saklanması

Veriler, “Kişisel Veri İşleme Envanteri”nde belirtilen sürelerde saklanır. Saklama süresi, yasal zorunluluk bulunmadıkça veri sahibinin talebiyle değiştirilebilir.

Kâğıt, CD, DVD ve USB gibi ortamlardaki veriler kullanılmadığında kilit altında tutulur, dijital ortam verileri güvenli sunucularda saklanır. Giriş-çıkışlar ve erişimler kamera ile izlenir.

İdari ve teknik tedbirler, Kişisel Verilerin Korunması ve İşlenmesi Politikasında detaylı olarak yer almaktadır.

6. Kontrol

Dokümanlar ihtiyaç halinde revize edilir ve yılda bir kez periyodik olarak kontrol edilir.