Uni Direct Limited Gizlilik Standardı

1. Yorumlama

- Tanımlar:

Otomatik Karar Verme (ADM): yalnızca Otomatik İşlemeye (profil oluşturma dahil) dayanan ve yasal etkiler doğuran veya bir bireyi önemli ölçüde etkileyen bir karar verildiğinde. GDPR, Otomatik Karar Almayı (belirli koşullar karşılanmadığı sürece) yasaklar ancak Otomatik İşlemeyi yasaklamaz.
Otomatik İşleme: Kişisel Verilerin bir bireyle ilgili belirli kişisel hususları değerlendirmek, özellikle de söz konusu bireyin işteki performansı, ekonomik durumu, sağlığı, kişisel tercihleri, ilgi alanları, güvenilirliği, davranışları, konumu veya hareketleriyle ilgili hususları analiz etmek veya tahmin etmek için kullanılmasından oluşan Kişisel Verilerin her türlü otomatik işleme biçimi. Profil Oluşturma, Otomatik İşleme’ye bir örnektir.
Şirket adı: Uni Direct Limited
Şirket Personeli: tüm çalışanlar, işçiler [yükleniciler, taşeron işçileri, danışmanlar,] yöneticiler, üyeler ve diğerleri.
Rıza: özgürce verilmiş, belirli, bilgilendirilmiş ve Veri Sahibinin isteklerinin açık bir göstergesi olması gereken ve Veri Sahibinin bir beyanla veya açık bir olumlu eylemle kendisiyle ilgili Kişisel Verilerin İşlenmesini kabul ettiğini belirttiği anlaşma.
Veri Kontrolörü: Kişisel Verilerin ne zaman, neden ve nasıl işleneceğini belirleyen kişi veya kuruluştur. GDPR ile uyumlu uygulamalar ve politikalar oluşturmaktan sorumludur. Şirket Personelimizle ilgili tüm Kişisel Verilerin ve işimizde kendi ticari amaçlarımız için kullanılan Kişisel Verilerin Veri Denetleyicisiyiz.
Veri Sahibi: Hakkında Kişisel Verilere sahip olduğumuz yaşayan, tanımlanmış veya tanımlanabilir bir birey. Veri Sahipleri herhangi bir ülkenin vatandaşı veya mukimi olabilir ve Kişisel Verileri ile ilgili yasal haklara sahip olabilir.
Veri Gizliliği Etki Değerlendirmesi (DPIA): bir veri işleme faaliyetinin risklerini belirlemek ve azaltmak için kullanılan araçlar ve değerlendirmeler. DPIA, Privacy by Design’ın bir parçası olarak gerçekleştirilebilir ve Kişisel Verilerin İşlenmesini içeren tüm büyük sistem veya iş değişikliği programları için yapılmalıdır.
Veri Koruma Görevlisi (DPO): GDPR kapsamında belirli durumlarda atanması gereken kişi. Zorunlu bir DPO atanmadığı durumlarda, bu terim bir veri koruma yöneticisi veya bir DPO’nun diğer gönüllü ataması anlamına gelir veya veri koruma uyumluluğundan sorumlu Şirket veri gizliliği ekibini ifade eder.
EEA: AB’deki 28 ülke ile İzlanda, Lihtenştayn ve Norveç.
Açık Rıza: Çok açık ve spesifik bir beyan (yani sadece eylem değil) gerektiren rıza.
Genel Veri Koruma Yönetmeliği (GDPR): Genel Veri Koruma Yönetmeliği ((AB) 2016/679). Kişisel Veriler GDPR’de belirtilen yasal güvencelere tabidir.
Kişisel Veriler: bir Veri Sahibini tanımlayan veya bir Veri Sahibiyle ilgili olan ve bu verilerden tek başına veya sahip olduğumuz veya makul olarak erişebildiğimiz diğer tanımlayıcılarla birlikte (doğrudan veya dolaylı olarak) tanımlayabileceğimiz her türlü bilgi. Kişisel Veriler, Hassas Kişisel Verileri ve Takma Adlı Kişisel Verileri içerir ancak anonim verileri veya bir bireyin kimliği kalıcı olarak kaldırılmış verileri içermez. Kişisel veriler gerçeklere dayalı olabileceği gibi (örneğin bir isim, e-posta adresi, konum veya doğum tarihi) söz konusu kişinin eylemleri veya davranışları hakkında bir görüş de olabilir.
Kişisel Veri İhlali: Kişisel Verilerin güvenliğini, gizliliğini, bütünlüğünü veya kullanılabilirliğini ya da bizim veya üçüncü taraf hizmet sağlayıcılarımızın bunları korumak için uyguladığı fiziksel, teknik, idari veya organizasyonel önlemleri tehlikeye atan herhangi bir eylem veya ihmal. Kişisel Verilerin kaybı veya yetkisiz erişimi, ifşası veya ele geçirilmesi Kişisel Veri İhlalidir.
Tasarım Yoluyla Gizlilik: GDPR ile uyumluluğu sağlamak için uygun teknik ve organizasyonel önlemlerin etkili bir şekilde uygulanması.
Gizlilik Bildirimleri (Adil İşleme Bildirimleri olarak da anılır) veya Gizlilik Politikaları: Şirket, Veri Sahipleri hakkında bilgi topladığında onlara sağlanabilecek bilgileri belirleyen ayrı bildirimler. Bu bildirimler, belirli bir grup birey için geçerli olan genel gizlilik bildirimleri (örneğin, çalışan gizlilik bildirimleri veya web sitesi gizlilik politikası) şeklinde olabileceği gibi, belirli bir amaçla ilgili İşlemeyi kapsayan bağımsız, tek seferlik gizlilik bildirimleri de olabilir.
İşleme veya Süreç: Kişisel Verilerin kullanımını içeren herhangi bir faaliyet. Verilerin elde edilmesi, kaydedilmesi veya tutulması ya da düzenlenmesi, değiştirilmesi, geri alınması, kullanılması, ifşa edilmesi, silinmesi veya imha edilmesi de dahil olmak üzere veriler üzerinde herhangi bir işlemin veya bir dizi işlemin gerçekleştirilmesini içerir. İşleme ayrıca Kişisel Verilerin üçüncü taraflara iletilmesini veya aktarılmasını da içerir.
Takma adlandırma veya takma adlandırma: bir bireyi doğrudan veya dolaylı olarak tanımlayan bilgilerin bir veya daha fazla yapay tanımlayıcı veya takma ad ile değiştirilmesi, böylece verilerin ilgili olduğu kişinin ayrı ve güvenli tutulması gereken ek bilgiler kullanılmadan tanımlanamaması.
İlgili Politikalar: Şirketin bu Gizlilik Standardı ile ilgili olan ve Kişisel Verileri korumak için tasarlanmış, zaman zaman yürürlükte olabilecek ve talep üzerine temin edilebilecek politikaları, işletim prosedürleri veya süreçleri.
Hassas Kişisel Veriler: ırk veya etnik köken, siyasi görüşler, dini veya benzer inançlar, sendika üyeliği, fiziksel veya zihinsel sağlık koşulları, cinsel yaşam, cinsel yönelim, biyometrik veya genetik veriler ve cezai suçlar ve mahkumiyetlere ilişkin Kişisel Verileri ortaya koyan bilgiler.

2. Giriş

Bu Gizlilik Standardı, Uni Direct Limited’in (“biz”, “bizim”, “bize”, “Şirket”) müşterilerimizin, tedarikçilerimizin, çalışanlarımızın, işçilerimizin ve diğer üçüncü tarafların Kişisel Verilerini nasıl ele aldığını belirler.

Bu Gizlilik Standardı, verilerin depolandığı ortamdan veya geçmiş veya mevcut çalışanlar, işçiler, müşteriler, müşteriler veya tedarikçi bağlantıları, hissedarlar, web sitesi kullanıcıları veya başka herhangi bir Veri Sahibi ile ilgili olup olmadığından bağımsız olarak İşlediğimiz tüm Kişisel Veriler için geçerlidir.

Bu Gizlilik Standardı tüm Şirket Personeli (“siz”, “sizin”) için geçerlidir. Bizim adımıza Kişisel Verileri İşlerken bu Gizlilik Standardını okumalı, anlamalı ve uymalı ve gereklilikleri hakkında eğitime katılmalısınız. Bu Gizlilik Standardı, Şirketin yürürlükteki yasalara uyması için sizden neler beklediğimizi ortaya koymaktadır. Bu Gizlilik Standardına uymanız zorunludur. Bu Gizlilik Standardını yorumlamanıza ve buna uygun hareket etmenize yardımcı olmak için İlgili Politikalar mevcuttur. Ayrıca tüm bu İlgili Politikalara da uymanız gerekmektedir. Bu Gizlilik Standardının herhangi bir şekilde ihlali disiplin cezasıyla sonuçlanabilir.

Bu Gizlilik Standardı (İlgili Politikalarla birlikte) şirket içi bir belgedir ve DPO’nun önceden izni olmadan üçüncü taraflarla, müşterilerle veya düzenleyicilerle paylaşılamaz.

3. Kapsam

Kişisel Verilerin doğru ve yasalara uygun şekilde işlenmesinin kuruma olan güveni koruyacağının ve başarılı iş operasyonları sağlayacağının farkındayız. Kişisel Verilerin gizliliğini ve bütünlüğünü korumak, her zaman ciddiye aldığımız kritik bir sorumluluktur. Şirket, GDPR hükümlerine uyulmaması halinde, hangisi daha yüksekse ve ihlale bağlı olarak, 20 milyon Euro’ya (yaklaşık 18 milyon £) veya dünya çapındaki toplam yıllık cironun %4’üne kadar potansiyel para cezalarına maruz kalabilir.

Tüm direktörler ve yöneticiler, tüm Şirket Personelinin bu Gizlilik Standardına uymasını sağlamaktan sorumludur ve bu uyumu sağlamak için uygun uygulamaları, süreçleri, kontrolleri ve eğitimi hayata geçirmeleri gerekir.

DPO, bu Gizlilik Standardını denetlemekten ve uygun olduğu durumlarda İlgili Politikaları geliştirmekten sorumludur.

Bu Gizlilik Standardının veya GDPR’nin işleyişi hakkında herhangi bir sorunuz varsa veya bu Gizlilik Standardına uyulmadığına veya uyulmadığına dair herhangi bir endişeniz varsa lütfen DPO ile iletişime geçin. Özellikle, aşağıdaki durumlarda her zaman DPO ile iletişime geçmelisiniz:

Kişisel Verileri işlemek için dayandığınız yasal dayanaktan emin değilseniz (Şirket tarafından kullanılan meşru menfaatler dahil) (bkz. aşağıdaki bölüm 5.1 );
Rızaya güvenmeniz ve/veya Açık Rıza almanız gerekiyorsa (bkz. aşağıdaki bölüm 5.2 );
Gizlilik Bildirimleri veya Adil İşleme Bildirimleri hazırlamanız gerekiyorsa (bkz. aşağıdaki bölüm 5.3 );
İşlenmekte olan Kişisel Veriler için saklama süresinden emin değilseniz (aşağıdaki 9. bölüme bakın);
Kişisel Verileri korumak için hangi güvenlik veya diğer önlemleri uygulamanız gerektiğinden emin değilseniz (aşağıdaki bölüm 10.1 ‘e bakın);
Kişisel Veri İhlali olması durumunda(a şağıdakibölüm 10.2 );
Kişisel Verilerin AEA dışına hangi temelde aktarılacağından emin değilseniz (aşağıdaki 11. bölüme bakın);
Bir Veri Sahibi tarafından başvurulan herhangi bir hakla ilgili yardıma ihtiyacınız olursa (bkz. bölüm 12);
DPIA (bkz. aşağıdaki bölüm 13.4 ) gerektirmesi muhtemel önemli bir yeni İşleme faaliyetinde bulunduğunuzda veya Kişisel Verileri toplanma amaçlarından başka amaçlar için kullanmayı planladığınızda;
Profil oluşturma veya Otomatik Karar Verme dahil olmak üzere Otomatik İşlemeyi içeren herhangi bir faaliyet gerçekleştirmeyi planlıyorsanız (bkz. aşağıdaki bölüm 13.5 );
Doğrudan pazarlama faaliyetlerini yürütürken yürürlükteki yasalara uymak için yardıma ihtiyacınız varsa (bkz. aşağıdaki bölüm 13.6 ); veya
Kişisel Verilerin üçüncü taraflarla (satıcılarımız dahil) paylaşılmasıyla ilgili herhangi bir sözleşme veya diğer alanlarda yardıma ihtiyacınız varsa (bkz. aşağıdaki bölüm 13.7 ).

4. Kişisel verilerin korunması ilkeleri

GDPR’de belirtilen ve Kişisel Verilerin işlenmesini gerektiren Kişisel Verilerin İşlenmesine ilişkin ilkelere bağlıyız:

Yasal, adil ve şeffaf bir şekilde işlenir (Yasallık, Adillik ve Şeffaflık).
Yalnızca belirli, açık ve meşru amaçlar için toplanır (Amaç Sınırlaması).
Yeterli, ilgili ve İşlenme amaçları ile ilgili olarak gerekli olanla sınırlıdır (Veri Minimizasyonu).
Doğru ve gerektiğinde güncel tutulur (Doğruluk).
Verilerin İşlenme amaçları için gerekli olandan daha uzun süre boyunca Veri Sahiplerinin tanımlanmasına izin veren bir biçimde tutulmaması (Saklama Sınırlaması).
Yetkisiz veya yasa dışı İşlemeye ve kazara kayıp, imha veya hasara karşı korumak için uygun teknik ve organizasyonel önlemler kullanılarak güvenliğini sağlayacak şekilde işlenir (Güvenlik, Bütünlük ve Gizlilik).
Uygun koruma önlemleri alınmadan başka bir ülkeye aktarılamaz (Aktarım Sınırlaması).
Veri Sahiplerinin kullanımına sunulur ve Veri Sahiplerinin Kişisel Verileri ile ilgili olarak belirli hakları kullanmalarına izin verilir (Veri Sahibinin Hakları ve Talepleri).

Yukarıda listelenen veri koruma ilkelerine (Hesap Verebilirlik) uygunluktan sorumluyuz ve bunu gösterebilmeliyiz.

5. Yasallık, adalet, şeffaflık

- Yasalara uygunluk ve adalet

Kişisel veriler, Veri Sahibi ile ilgili olarak yasalara uygun, adil ve şeffaf bir şekilde İşlenmelidir.

Kişisel Verileri yalnızca adil ve yasal olarak ve belirtilen amaçlar doğrultusunda toplayabilir, İşleyebilir ve paylaşabilirsiniz. GDPR, Kişisel Verilere ilişkin eylemlerimizi belirtilen yasal amaçlarla sınırlandırmaktadır. Bu kısıtlamalar İşlemeyi engellemeyi amaçlamaz, ancak Kişisel Verileri adil bir şekilde ve Veri Sahibini olumsuz etkilemeden İşlememizi sağlar.

GDPR, bazıları aşağıda belirtilen belirli amaçlar için İşleme faaliyetine izin vermektedir:

Veri Sahibinin İznini vermiş olması;
İşleme faaliyetinin Veri Sahibi ile bir sözleşmenin ifası için gerekli olması;
yasal uyumluluk yükümlülüklerimizi yerine getirmek için.;
Veri Sahibinin hayati çıkarlarını korumak için; veya
İşlemenin Veri Sahiplerinin menfaatlerine veya temel hak ve özgürlüklerine halel getirmesi nedeniyle bunların geçersiz kılınmadığı amaçlar doğrultusunda meşru menfaatlerimizi takip etmek. Kişisel Verileri meşru menfaatler için işleme amaçlarımızın geçerli Gizlilik Bildirimlerinde veya Adil İşleme Bildirimlerinde belirtilmesi gerekir.

Her İşleme faaliyeti için dayanılan yasal zemini tanımlamalı ve belgelemelisiniz.

Rıza

Bir Veri Denetleyicisi, Kişisel Verileri yalnızca GDPR’de belirtilen ve İzin de dahil olmak üzere yasal dayanaklardan bir veya daha fazlasına dayanarak işlemelidir.

Bir Veri Sahibi, Kişisel Verilerinin İşlenmesini kabul ettiğini ya bir beyanla ya da olumlu bir eylemle açıkça belirtirse, Kişisel Verilerinin İşlenmesine rıza göstermiş olur. Rıza olumlu bir eylem gerektirir, bu nedenle sessizlik, önceden işaretlenmiş kutular veya hareketsizlik yeterli olmayacaktır. Rızanın başka konularla ilgili bir belgede verilmesi halinde, Rızanın bu diğer konulardan ayrı tutulması gerekir.

Veri Sahipleri İşleme İznini istedikleri zaman kolayca geri çekebilmeli ve geri çekme işlemi derhal yerine getirilmelidir. Kişisel Verileri, Veri Sahibi ilk onay verdiğinde açıklanmamış olan farklı ve uyumsuz bir amaç için İşlemeyi planlıyorsanız, onayın yenilenmesi gerekebilir.

İşleme için başka bir yasal dayanağa dayanmadığımız sürece, Hassas Kişisel Verilerin İşlenmesi, Otomatik Karar Verme ve sınır ötesi veri aktarımları için genellikle Açık Rıza gereklidir. Çoğu Hassas Veri türünü İşlemek için genellikle başka bir yasal dayanağa dayanacağız (ve Açık Rıza gerektirmeyeceğiz). Açık Rızanın gerekli olduğu durumlarda, Açık Rızayı almak için Veri Sahibine bir Adil İşleme Bildirimi yayınlamanız gerekir.

Şirketin İzin gerekliliklerine uygunluğu gösterebilmesi için alınan İzinleri kanıtlamanız ve tüm İzinlerin kayıtlarını tutmanız gerekecektir.

Şeffaflık (veri sahiplerinin bilgilendirilmesi)

GDPR, bilgilerin doğrudan Veri Sahiplerinden mi yoksa başka bir yerden mi toplandığına bağlı olarak Veri Sorumlularının Veri Sahiplerine ayrıntılı, spesifik bilgiler sağlamasını gerektirmektedir. Bu tür bilgiler, Veri Sahibinin kolayca anlayabilmesi için kısa, şeffaf, anlaşılır, kolay erişilebilir ve açık ve sade bir dilde olması gereken uygun Gizlilik Bildirimleri veya Adil İşleme Bildirimleri aracılığıyla sağlanmalıdır.

İnsan kaynakları veya istihdam amaçları da dahil olmak üzere Kişisel Verileri doğrudan Veri Sahiplerinden topladığımızda, Veri Sahibine, Veri Denetleyicisinin ve DPO’nun kimliği, bu Kişisel Verileri nasıl ve neden kullanacağımız, işleyeceğimiz, ifşa edeceğimiz, koruyacağımız ve saklayacağımız da dahil olmak üzere GDPR’nin gerektirdiği tüm bilgileri, Veri Sahibi Kişisel Verileri ilk kez sağladığında sunulması gereken bir Adil İşleme Bildirimi aracılığıyla sağlamalıyız.

Kişisel Veriler dolaylı olarak toplandığında (örneğin, üçüncü bir taraftan veya kamuya açık bir kaynaktan), verileri topladıktan/aldıktan sonra mümkün olan en kısa sürede Veri Sahibine GDPR’nin gerektirdiği tüm bilgileri sağlamalısınız. Ayrıca, Kişisel Verilerin üçüncü tarafça GDPR’ye uygun olarak ve söz konusu Kişisel Verilerin tarafımızca İşlenmesini öngören bir temelde toplandığını kontrol etmelisiniz.

6. Amaç sınırlaması

Kişisel Veriler yalnızca belirli, açık ve meşru amaçlar için toplanmalıdır. Bu amaçlarla bağdaşmayan herhangi bir şekilde daha fazla İşlenmemelidir.

Kişisel Verileri, Veri Sahibini yeni amaçlar hakkında bilgilendirmediğiniz ve gerektiğinde Onayını almadığınız sürece, ilk elde edildiğinde ifşa edilenden yeni, farklı veya uyumsuz amaçlar için kullanamazsınız.

7. Veri minimizasyonu

Kişisel Veriler yeterli, ilgili ve İşlendikleri amaçlar için gerekli olanla sınırlı olmalıdır.

Kişisel Verileri yalnızca iş görevlerinizi yerine getirmeniz gerektiğinde İşleyebilirsiniz. Kişisel Verileri iş görevlerinizle ilgisi olmayan herhangi bir nedenle işleyemezsiniz.

Yalnızca iş görevleriniz için ihtiyaç duyduğunuz Kişisel Verileri toplayabilirsiniz: aşırı veri toplamayın. Toplanan Kişisel Verilerin amaçlanan amaçlar için yeterli ve ilgili olduğundan emin olun.

Kişisel Verilere belirtilen amaçlar için artık ihtiyaç duyulmadığında, Şirketin veri saklama yönergelerine uygun olarak silinmesini veya anonimleştirilmesini sağlamalısınız.

8. Doğruluk

Kişisel Veriler doğru olmalı ve gerektiğinde güncel tutulmalıdır. Yanlış olduğunda gecikmeden düzeltilmeli veya silinmelidir.

Kullandığımız ve tuttuğumuz Kişisel Verilerin doğru, eksiksiz, güncel ve toplama amacımızla ilgili olmasını sağlayacaksınız. Kişisel Verilerin doğruluğunu toplama noktasında ve sonrasında düzenli aralıklarla kontrol etmelisiniz. Yanlış veya güncel olmayan Kişisel Verileri yok etmek veya değiştirmek için tüm makul adımları atmalısınız.

9. Depolama sınırlaması

Kişisel Veriler, verilerin işlenme amaçları için gerekli olandan daha uzun süre tanımlanabilir bir biçimde tutulmamalıdır.

Kişisel Verileri, herhangi bir yasal, muhasebe veya raporlama gerekliliğini yerine getirme amacı da dahil olmak üzere başlangıçta topladığımız meşru iş amacı veya amaçları için gerekenden daha uzun süre Veri Sahibinin kimliğinin belirlenmesine izin veren bir biçimde saklamamalısınız.

Şirket, bir yasa söz konusu verilerin asgari bir süre boyunca saklanmasını gerektirmedikçe, Kişisel Verilerin tutulma amaçları için makul bir süre sonra silinmesini sağlamak için saklama politikaları ve prosedürleri sürdürecektir.

Şirketin geçerli tüm kayıt saklama programları ve politikalarına uygun olarak artık ihtiyaç duymadığımız tüm Kişisel Verileri imha etmek veya sistemlerimizden silmek için tüm makul adımları atacaksınız. Bu, uygun olduğu durumlarda üçüncü taraflardan bu tür verileri silmelerini talep etmeyi de içerir.

Veri Sahiplerinin verilerin saklanacağı süre ve bu sürenin nasıl belirlendiği konusunda ilgili Gizlilik Bildirimi veya Adil İşleme Bildiriminde bilgilendirilmesini sağlayacaksınız.

10. Güvenlik bütünlüğü ve gizlilik

- Kişisel Verilerin Korunması

Kişisel Veriler, yetkisiz veya yasa dışı İşleme ve kazara kayıp, imha veya hasara karşı uygun teknik ve organizasyonel önlemlerle güvence altına alınmalıdır.

Büyüklüğümüze, kapsamımıza ve işimize, mevcut kaynaklarımıza, başkaları adına sahip olduğumuz veya muhafaza ettiğimiz Kişisel Verilerin miktarına ve belirlenen risklere (uygulanabilir olduğunda şifreleme ve Takma Ad kullanımı dahil) uygun koruma önlemleri geliştirecek, uygulayacak ve sürdüreceğiz. Kişisel Verileri İşlememizin güvenliğini sağlamak için bu önlemlerin etkinliğini düzenli olarak değerlendirecek ve test edeceğiz. Elimizde bulunan Kişisel Verilerin korunmasından siz sorumlusunuz. Kişisel Verilerin yasa dışı veya yetkisiz İşlenmesine ve Kişisel Verilerin kazara kaybolmasına veya zarar görmesine karşı makul ve uygun güvenlik önlemlerini uygulamanız gerekir. Hassas Kişisel Verileri kayıptan ve yetkisiz erişim, kullanım veya ifşadan korumak için özel dikkat göstermelisiniz.

Toplama noktasından imha noktasına kadar tüm Kişisel Verilerin güvenliğini korumak için uyguladığımız tüm prosedürlere ve teknolojilere uymalısınız. Kişisel Verileri yalnızca gerekli politika ve prosedürlere uymayı kabul eden ve talep edildiği şekilde yeterli önlemleri almayı kabul eden üçüncü taraf hizmet sağlayıcılara aktarabilirsiniz.

Aşağıdaki şekilde tanımlanan Kişisel Verilerin gizliliğini, bütünlüğünü ve kullanılabilirliğini koruyarak veri güvenliğini sağlamalısınız:

Gizlilik, yalnızca bilmesi gereken ve Kişisel Verileri kullanma yetkisine sahip kişilerin bu verilere erişebileceği anlamına gelir.
Bütünlük, Kişisel Verilerin doğru ve işlendikleri amaca uygun olması anlamına gelir.
Kullanılabilirlik, yetkili kullanıcıların Kişisel Verilere yetkili amaçlar için ihtiyaç duyduklarında erişebilmeleri anlamına gelir.

Zaman zaman yürürlükte olan Bilgi Güvenliği Politikamızın ve GDPR Uyum Politikamızın geçerli tüm yönlerine uymalı ve Kişisel Verileri korumak için GDPR ve ilgili standartlara uygun olarak uyguladığımız ve sürdürdüğümüz idari, fiziksel ve teknik güvenlik önlemlerine uymalı ve bunları atlatmaya çalışmamalısınız.

Kişisel Veri İhlalinin Bildirilmesi

GDPR, Veri Kontrolörlerinin herhangi bir Kişisel Veri İhlalini ilgili düzenleyici kuruma ve belirli durumlarda Veri Sahibine bildirmesini gerektirir.

Şüpheli herhangi bir Kişisel Veri İhlali ile başa çıkmak için prosedürler oluşturduk ve yasal olarak bunu yapmamız gerektiğinde Veri Sahiplerini veya geçerli herhangi bir düzenleyiciyi bilgilendireceğiz.

Bir Kişisel Veri İhlalinin gerçekleştiğini biliyorsanız veya bundan şüpheleniyorsanız, konuyu kendiniz araştırmaya çalışmayın. Derhal Kişisel Veri İhlalleri için kilit irtibat noktası olarak belirlenen kişi veya ekiple iletişime geçin ve güvenlik ihlali müdahale planını izleyin. Olası Kişisel Veri İhlali ile ilgili tüm kanıtları muhafaza etmelisiniz.

11.Transfer sınırlaması

GDPR, GDPR tarafından bireylere sağlanan veri koruma düzeyinin zayıflatılmamasını sağlamak için EEA dışındaki ülkelere veri aktarımlarını kısıtlamaktadır. Bir ülkeden kaynaklanan Kişisel Verileri, bu verileri farklı bir ülkeye ilettiğinizde, gönderdiğinizde, görüntülediğinizde veya bunlara eriştiğinizde sınır ötesine aktarırsınız.

Kişisel Verileri yalnızca aşağıdaki koşullardan birinin geçerli olması halinde EEA dışına aktarabilirsiniz:

Avrupa Komisyonu, Kişisel Verileri aktardığımız ülkenin Veri Sahiplerinin hakları ve özgürlükleri için yeterli düzeyde koruma sağladığını teyit eden bir karar yayınlamıştır;
Bağlayıcı kurumsal kurallar (BCR), Avrupa Komisyonu tarafından onaylanmış standart sözleşme maddeleri, onaylı bir davranış kuralları veya bir kopyası DPO’dan temin edilebilecek bir sertifikasyon mekanizması gibi uygun güvenceler mevcuttur;
Veri Sahibinin olası riskler hakkında bilgilendirildikten sonra önerilen aktarıma Açık Rıza göstermiş olması; veya
Veri Sahibi ile aramızdaki bir sözleşmenin ifası, kamu yararı nedenleri, yasal taleplerin oluşturulması, uygulanması veya savunulması ya da Veri Sahibinin fiziksel veya yasal olarak Rıza veremeyecek durumda olması halinde Veri Sahibinin hayati çıkarlarının korunması dahil olmak üzere GDPR’de belirtilen diğer nedenlerden biri için ve bazı sınırlı durumlarda meşru menfaatimiz için aktarımın gerekli olması.

Şirketin sınır ötesi veri aktarımlarına ilişkin yönergelerine uymalısınız.

12. Veri Sahibi’nin hakları ve talepleri

Veri Sahipleri, Kişisel Verilerini nasıl işlediğimiz konusunda haklara sahiptir. Bu haklar aşağıdakileri içerir:

İşleme İznini istediğiniz zaman geri çekebilirsiniz;
Veri Sorumlusunun İşleme faaliyetleri hakkında belirli bilgileri almak;
elimizde bulunan Kişisel Verilerine erişim talep edebilir;
Kişisel Verilerini doğrudan pazarlama amacıyla kullanmamızı engelleyebilir;
Toplandıkları veya İşlendikleri amaçlarla ilgili olarak artık gerekli değilse Kişisel Verileri silmemizi veya yanlış verileri düzeltmemizi veya eksik verileri tamamlamamızı isteyebilirsiniz;
Belirli durumlarda İşleme faaliyetini kısıtlamak;
Meşru menfaatlerimiz temelinde veya kamu yararına gerekçelendirilen İşleme faaliyetine meydan okuma;
Kişisel Verilerin AEA dışına aktarıldığı bir anlaşmanın kopyasını talep edebilir;
profil oluşturma (ADM) dahil olmak üzere yalnızca Otomatik İşlemeye dayalı kararlara itiraz etme;
Veri Sahibine veya başka birine zarar veya sıkıntı vermesi muhtemel İşleme faaliyetlerini önlemek;
hak ve özgürlükleri açısından yüksek risk oluşturması muhtemel bir Kişisel Veri İhlalinin kendilerine bildirilmesi;
denetim makamına şikayette bulunma; ve
sınırlı durumlarda, Kişisel Verilerinin yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta üçüncü bir tarafa aktarılmasını alabilir veya isteyebilir.

Yukarıda listelenen haklardan herhangi biri kapsamında veri talep eden bir bireyin kimliğini doğrulamalısınız (üçüncü tarafların sizi uygun yetki olmadan Kişisel Verileri ifşa etmeye ikna etmesine izin vermeyin).

Aldığınız her türlü Veri Sahibi talebini derhal amirinize iletmeli ve şirketin Veri Sahibi yanıt sürecine uymalısınız.

13. Hesap Verebilirlik

- Veri Sorumlusu, veri koruma ilkelerine uyumu sağlamak için uygun teknik ve organizasyonel önlemleri etkili bir şekilde uygulamalıdır. Veri Sorumlusu, veri koruma ilkelerine uygunluktan sorumludur ve bunu gösterebilmelidir.

Şirket, GDPR uyumluluğunu sağlamak ve belgelemek için aşağıdakiler dahil olmak üzere yeterli kaynaklara ve kontrollere sahip olmalıdır:

Uygun niteliklere sahip bir DPO (gerekli olduğu durumlarda) ve veri gizliliğinden sorumlu bir yönetici atamak;
Kişisel Veriler İşlenirken Tasarım Yoluyla Gizliliğin uygulanması ve İşlemenin Veri Sahiplerinin hak ve özgürlükleri açısından yüksek risk teşkil ettiği durumlarda DPIA’ların tamamlanması;
veri korumayı bu Gizlilik Standardı, İlgili Politikalar, Gizlilik Bildirimleri veya Adil İşleme Bildirimleri gibi dahili belgelere entegre etmek;
Şirket Personelini GDPR, bu Gizlilik Standardı ve İlgili Politikalar ve örneğin Veri Sahibinin hakları, Rıza, yasal dayanak, DPIA ve Kişisel Veri İhlalleri dahil olmak üzere veri koruma konularında düzenli olarak eğitmek. Şirket, Şirket Personeli tarafından eğitime katılımın bir kaydını tutmalıdır; ve
uygulanan gizlilik önlemlerini düzenli olarak test etmek ve uyumluluğu değerlendirmek için periyodik inceleme ve denetimler yapmak, uyumluluğu geliştirme çabalarını göstermek için test sonuçlarını kullanmak da dahil.

Kayıt tutma

GDPR, tüm veri İşleme faaliyetlerimizin tam ve doğru kayıtlarını tutmamızı gerektirmektedir.

Veri Sahiplerinin İzinlerinin kayıtları ve İzinlerin alınmasına ilişkin prosedürler de dahil olmak üzere İşlemlerimizi yansıtan doğru kurumsal kayıtları tutmalı ve muhafaza etmelisiniz.

Bu kayıtlar asgari olarak Veri Sorumlusu ve DPO’nun isim ve iletişim bilgilerini, Kişisel Veri türlerinin açık tanımlarını, Veri Sahibi türlerini, İşleme faaliyetlerini, İşleme amaçlarını, Kişisel Verilerin üçüncü taraf alıcılarını, Kişisel Veri saklama konumlarını, Kişisel Veri aktarımlarını, Kişisel Verilerin saklama süresini ve yürürlükteki güvenlik önlemlerinin bir tanımını içermelidir. Bu tür kayıtları oluşturmak için, uygun veri akışları ile birlikte yukarıda belirtilen ayrıntıları içermesi gereken veri haritaları oluşturulmalıdır.

Eğitim ve denetim

Tüm Şirket Personelinin veri gizliliği yasalarına uymalarını sağlamak için yeterli eğitimden geçmelerini sağlamamız gerekmektedir. Ayrıca uyumluluğu değerlendirmek için sistemlerimizi ve süreçlerimizi düzenli olarak test etmeliyiz.

Veri gizliliği ile ilgili tüm zorunlu eğitimlerden geçmeli ve ekibinizin de benzer zorunlu eğitimlerden geçmesini sağlamalısınız.

Kontrolünüz altındaki tüm sistem ve süreçleri, bu Gizlilik Standardına uygun olduklarından emin olmak için düzenli olarak gözden geçirmeli ve Kişisel Verilerin uygun şekilde kullanılmasını ve korunmasını sağlamak için yeterli yönetişim kontrollerinin ve kaynaklarının mevcut olup olmadığını kontrol etmelisiniz.

Tasarıma Göre Gizlilik ve Veri Koruma Etki Değerlendirmesi (DPIA)

Kişisel Verileri İşlerken, veri gizliliği ilkelerine uyumu sağlamak için uygun teknik ve organizasyonel önlemleri (Takma Ad Verme gibi) etkili bir şekilde uygulayarak Tasarım Yoluyla Gizlilik önlemlerini uygulamamız gerekmektedir.

Kişisel Verileri İşleyen tüm programlarda/sistemlerde/süreçlerde hangi Tasarıma Göre Gizlilik önlemlerinin uygulanabileceğini aşağıdakileri dikkate alarak değerlendirmelisiniz:

son teknoloji;
uygulama maliyeti;
İşlemenin niteliği, kapsamı, bağlamı ve amaçları; ve
Veri Sahiplerinin hak ve özgürlüklerine yönelik olarak İşleme faaliyetinin ortaya çıkardığı değişen olasılık ve ciddiyetteki riskler.

Veri sorumluları ayrıca yüksek riskli İşleme faaliyetlerine ilişkin olarak da DPIA’lar yürütmelidir.

Aşağıdakiler de dahil olmak üzere Kişisel Verilerin İşlenmesini içeren büyük sistem veya iş değişikliği programlarını uygularken bir DPIA yürütmelisiniz (ve bulgularınızı DPO ile görüşmelisiniz):

Yeni teknolojilerin (programlar, sistemler veya süreçler) veya değişen teknolojilerin (programlar, sistemler veya süreçler) kullanılması;
Profil oluşturma ve ADM dahil olmak üzere Otomatik İşleme;
Hassas Verilerin büyük ölçekte İşlenmesi; ve
Kamuya açık bir alanın büyük ölçekli, sistematik olarak izlenmesi.

Bir DPIA şunları içermelidir:

İşleme faaliyetinin, amaçlarının ve uygun olması halinde Veri Kontrolörünün meşru menfaatlerinin bir açıklaması;
İşleme faaliyetinin amacına ilişkin olarak gerekliliği ve orantılılığının değerlendirilmesi;
bireylere yönelik riskin değerlendirilmesi; ve
risk azaltma önlemlerinin uygulanması ve uyumun gösterilmesi.

Otomatik İşleme (profil oluşturma dahil) ve Otomatik Karar Verme

Genel olarak, bir kararın bir birey üzerinde yasal veya benzeri önemli bir etkiye sahip olması halinde, aşağıdaki durumlar haricinde ADM yasaktır:

Veri Sahibinin Açık Rızası;
İşleme yasalarca yetkilendirilmiştir; veya
İşleme faaliyetinin bir sözleşmenin ifası veya sözleşmenin akdedilmesi için gerekli olması.

Belirli Hassas Veri türleri işleniyorsa, (b) veya (c) gerekçelerine izin verilmeyecektir, ancak bu tür Hassas Veriler, dolandırıcılığın önlenmesi gibi önemli kamu yararı için gerekli olduğunda (daha az müdahaleci araçlar kullanılamadığı sürece) İşlenebilir.

Bir karar yalnızca Otomatik İşlemeye (profil oluşturma dahil) dayandırılacaksa, Veri Sahipleri kendileriyle ilk iletişim kurduğunuzda itiraz etme hakları konusunda bilgilendirilmelidir. Bu hak açıkça dikkatlerine sunulmalı ve diğer bilgilerden ayrı ve net bir şekilde sunulmalıdır. Ayrıca, Veri Sahibinin hak ve özgürlüklerini ve meşru menfaatlerini korumak için uygun önlemler alınmalıdır.

Ayrıca, Veri Sahibini karar verme veya profil oluşturmaya dahil olan mantık, önem ve öngörülen sonuçlar hakkında bilgilendirmeli ve Veri Sahibine insan müdahalesi talep etme, bakış açısını ifade etme veya karara itiraz etme hakkı vermeliyiz.

Herhangi bir Otomatik İşleme (profil oluşturma dahil) veya ADM faaliyeti gerçekleştirilmeden önce bir DPIA gerçekleştirilmelidir.

Doğrudan pazarlama

Müşterilerimize pazarlama yaparken belirli kurallara ve gizlilik yasalarına tabiyiz.

Örneğin, elektronik doğrudan pazarlama için (örneğin, e-posta, metin veya otomatik aramalar yoluyla) Veri Sahibinin önceden onayı gereklidir. Mevcut müşteriler için “soft opt in” olarak bilinen sınırlı istisna, kuruluşların söz konusu kişiye yapılan bir satış sırasında iletişim bilgilerini elde etmeleri, benzer ürün veya hizmetleri pazarlıyor olmaları ve bilgileri ilk kez toplarken ve sonraki her mesajda kişiye pazarlamadan vazgeçme fırsatı vermeleri halinde pazarlama metinleri veya e-postaları göndermelerine izin verir.

Doğrudan pazarlamaya itiraz etme hakkı, diğer bilgilerden açıkça ayırt edilebilmesi için Veri Sahibine anlaşılır bir şekilde açıkça sunulmalıdır.

Bir Veri Sahibinin doğrudan pazarlamaya itirazı derhal yerine getirilmelidir. Bir müşteri herhangi bir zamanda vazgeçerse, bilgileri mümkün olan en kısa sürede bastırılmalıdır. Bastırma, pazarlama tercihlerine gelecekte saygı gösterilmesini sağlamak için yeterli bilginin saklanmasını içerir.

Kişisel Verilerin Paylaşılması

Genel olarak, belirli güvenlik önlemleri ve sözleşmeye dayalı düzenlemeler yapılmadığı sürece Kişisel Verileri üçüncü taraflarla paylaşmamıza izin verilmez.

Elimizdeki Kişisel Verileri yalnızca alıcının işle ilgili olarak bilgileri bilmesi gerekiyorsa ve aktarım yürürlükteki sınır ötesi aktarım kısıtlamalarına uygunsa grubumuzun (iştiraklerimizi ve iştirakleriyle birlikte nihai holding şirketimizi içerir) başka bir çalışanı, temsilcisi veya temsilcisi ile paylaşabilirsiniz.

Elimizde bulunan Kişisel Verileri, hizmet sağlayıcılarımız gibi üçüncü taraflarla yalnızca aşağıdaki durumlarda paylaşabilirsiniz:

sözleşmeli hizmetlerin sağlanması amacıyla bilgileri bilmeye ihtiyaçları vardır;
Kişisel Verilerin Veri Sahibine sağlanan Gizlilik Bildirimine uygun olduğunu ve gerekiyorsa Veri Sahibinin Onayının alındığını paylaşmak;
üçüncü taraf gerekli veri güvenliği standartlarına, politikalarına ve prosedürlerine uymayı ve yeterli güvenlik önlemlerini uygulamaya koymayı kabul etmiştir;
transferin yürürlükteki tüm sınır ötesi transfer kısıtlamalarına uygun olması; ve
GDPR onaylı üçüncü taraf maddelerini içeren tam olarak imzalanmış yazılı bir sözleşme elde edilmiştir.

Bu Gizlilik Standardındaki Değişiklikler

Bu Gizlilik Standardını size bildirimde bulunmaksızın dilediğimiz zaman değiştirme hakkımız saklıdır, bu nedenle lütfen bu Gizlilik Standardının en son kopyasını edinmek için düzenli olarak tekrar kontrol edin.

Bu Gizlilik Standardı, Şirketin faaliyet gösterdiği ülkelerde yürürlükte olan ulusal veri gizliliği yasa ve yönetmeliklerini geçersiz kılmaz.