Kişisel Verilerin İşlenmesi ve Korunması Politikası

1. Giriş

1.1 Amaç

“Kişisel Verileri Saklama Politikası” Saas Bridge Yazılım A.Ş. tarafından hazırlanmış olup saklama ve imha faaliyetlerine ilişkin usul ve esasları belirlemektedir.

Şirket, çalışanlar, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler ve diğer üçüncü kişilerin kişisel verilerini T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuata uygun olarak işlemeyi öncelik olarak belirlemiştir.

“Veri Sorumlusu da KVKK uyarınca, kişisel verilerin hukuka aykırı olarak işlenmesi ve erişilmesini önlemek ile muhafazasını sağlamakla yükümlü olduğundan gerekli her türlü teknik ve idari tedbiri almak zorundadır.”

1.2 Kapsam

Politika, Şirketin sahip olduğu ya da yönetilen tüm kişisel verileri kapsayan tüm kayıt ortamları ve işleme faaliyetlerine uygulanır.

1.3 Kısaltmalar ve Tanımlar

• Açık Rıza: Belirli konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza
• Elektronik Ortam: Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar
• Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi
• Kişisel Verilerin İşlenmesi: Verilerin tamamen veya kısmen otomatik ya da otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, açıklanması, aktarılması ve benzeri işlemler
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak adına kişisel verileri işleyen gerçek veya tüzel kişi
• Veri Sorumlusu: İşleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişi

2. Kayıt Ortamları

Kişisel veriler aşağıdaki ortamlarda saklanır:

Elektronik Ortamlar: Sunucular, yazılımlar, bilgi güvenliği cihazları, kişisel bilgisayarlar, mobil cihazlar, optik diskler, çıkartılabilir bellekler

Elektronik Olmayan Ortamlar: Kâğıt, manuel veri kayıt sistemleri, yazılı ve basılı ortamlar

3. Saklama ve İmhaya İlişkin Açıklamalar

3.1 Saklamaya İlişkin Açıklamalar

Kişisel veriler ilgili mevzuatta öngörülen veya işleme amaçlarına uygun süre kadar saklanır.

3.2 Saklamayı Gerektiren Hukuki Sebepler

Şirket kişisel verileri aşağıdaki kanunlara uygun olarak muhafaza eder:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6098 sayılı Türk Borçlar Kanunu
• 4734 sayılı Kamu İhale Kanunu
• 657 sayılı Devlet Memurları Kanunu
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 5651 sayılı İnternet Ortamında Yapılan Yayınlar Hakkında Kanun
• 5018 sayılı Kamu Mali Yönetimi Kanunu
• 6361 sayılı İş Sağlığı ve Güvenliği Kanunu
• 4982 Sayılı Bilgi Edinme Kanunu
• 3071 sayılı Dilekçe Hakkının Kullanılmasına Dair Kanun
• 4857 sayılı İş Kanunu
• 2547 sayılı Yükseköğretim Kanunu
• 5434 sayılı Emekli Sağlığı Kanunu
• 2828 sayılı Sosyal Hizmetler Kanunu

3.3 Saklamayı Gerektiren İşleme Amaçları

Şirket kişisel verileri aşağıdaki amaçlarla saklar:

1. İnsan kaynakları süreçlerini yürütmek
2. Kurumsal iletişimi sağlamak
3. Şirket güvenliğini sağlamak
4. İstatistiksel çalışmalar yapabilmek
5. Sözleşmelerden doğan iş ve işlemleri ifa edebilmek
6. Tercih ve ihtiyaçları tespit etmek, hizmetleri buna göre düzenlemek
7. Hukuki yükümlülüklerin yerine getirilmesini sağlamak
8. İş ilişkisinde bulunan kişilerle irtibat sağlamak
9. Yasal raporlamalar yapmak
10. Çağrı merkezi süreçlerini yönetmek
11. Hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü
12. Hizmet Satın Alım Süreçlerinin Yürütülmesi
13. Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
14. Hizmet Satış Süreçlerinin Yürütülmesi
15. Hizmet Üretim ve Operasyon Süreçlerinin Yürütülmesi
16. Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
17. Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
18. Organizasyon ve Etkinlik Yönetimi
19. Pazarlama Analiz Çalışmalarının Yürütülmesi
20. Performans Değerlendirme Süreçlerinin Yürütülmesi
21. Risk Yönetimi Süreçlerinin Yürütülmesi
22. Sözleşme Süreçlerinin Yürütülmesi
23. Sponsorluk Faaliyetlerinin Yürütülmesi
24. Stratejik Planlama Faaliyetlerinin Yürütülmesi
25. Talep / Şikayetlerin Takibi
26. Ücret Politikasının Yürütülmesi
27. Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi
28. Veri Sorumlusu Operasyonlarının Güvenliğinin Temini
29. Yabancı Personel Çalışma ve Oturma İzni İşlemleri
30. Yatırım Süreçlerinin Yürütülmesi
31. Yetenek / Kariyer Gelişimi Faaliyetlerinin Yürütülmesi
32. Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi
33. Yönetim Faaliyetlerinin Yürütülmesi
34. Ziyaretçi Kayıtlarının Oluşturulması ve Takibi

3.4 İmhayı Gerektiren Sebepler

Kişisel veriler aşağıdaki durumlarda imha edilir:

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası
• İşlenmesini gerektiren amacın ortadan kalkması
• Açık rıza şartına istinaden işleme yapılan verilerde ilgili kişinin rızasını geri alması
• Kanunun 11. maddesi gereği ilgili kişinin silinme ve yok edilme talebinin kabul edilmesi
• Talep reddedilmesi, yetersiz cevap verilmesi veya süre içinde cevap verilmemesi hallerinde Kurula şikâyette bulunulması ve Kurul tarafından uygun bulunması
• Saklama süresinin geçmesi ve daha uzun saklama koşulunun bulunmaması

4. Teknik ve İdari Tedbirler

4.1 Teknik Tedbirler

Şirket aşağıdaki teknik tedbirleri almaktadır:

• Sızma (Penetrasyon) testleri yapılarak risk ve tehditler ortaya çıkarılır
• Bilgi güvenliği olay yönetimi ile gerçek zamanlı analizler yapılır
• Bilişim sistemlerine erişim ve yetkilendirme, erişim matrisi üzerinden yapılır
• Bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği sağlanır
• Çevresel tehditlere karşı donanımsal ve yazılımsal önlemler alınır
• Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenir
• Erişim prosedürleri oluşturularak raporlama ve analiz çalışmaları yapılır
• Saklama alanlarına erişimler kayıt altına alınır
• Silinen verilerin erişilemez ve tekrar kullanılamaz olması sağlanır
• Hukuka aykırı veri elde edilmesi halinde bunu bildirmek için sistem oluşturulmuştur
• Güvenlik açıkları takip edilerek uygun yamalar yüklenir
• Güçlü parolalar kullanılır
• Güvenli kayıt tutma (loglama) sistemleri kullanılır
• Veri yedekleme programları kullanılır
• Erişim, erişim prensiplerine göre sınırlandırılır
• Özel nitelikli kişisel veriler için ayrı politika belirlenmiştir
• Özel nitelikli veriler işleyen çalışanlara eğitim verilir ve gizlilik sözleşmeleri yapılır
• Özel nitelikli verilerin işlendiği ortamlar kriptografik yöntemler ile korunur
• Fiziksel ortamlar yeterli güvenlik önlemleri ile korunur
• Özel nitelikli veriler e-posta ile şifreli kurumsal e-posta veya KEP hesabı kullanılarak aktarılır
• Taşınabilir bellek, CD, DVD kriptografik yöntemlerle şifrelenir
• Sunucular arası aktarımda VPN veya sFTP yöntemi kullanılır
• Kâğıt ortamı aktarımında “gizli” formatında gönderilir

4.2 İdari Tedbirler

Şirket aşağıdaki idari tedbirleri almaktadır:

• Çalışanlara kişisel verilerin korunması konusunda eğitimler verilir
• Çalışanlara gizlilik sözleşmeleri imzalatılır
• Güvenlik politikasına uymayan çalışanlara yönelik disiplin prosedürü hazırlanmıştır
• Kişisel veri işlemeye başlamadan önce ilgili kişiler aydınlatılır
• Kişisel veri işleme envanteri hazırlanmıştır
• Şirket içi periyodik ve rastgele denetimler yapılır
• Çalışanlara bilgi güvenliği eğitimleri verilir

5. Kişisel Verileri İmha Teknikleri

5.1 Kişisel Verilerin Silinmesi

Sunucularda Yer Alan Veriler: Sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik Ortamda Yer Alan Veriler: Veritabanı yöneticisi hariç diğer çalışanlar için erişilemez ve tekrar kullanılamaz hale getirilir.

Fiziksel Ortamda Yer Alan Veriler: Arşiv sorumlusu hariç diğer çalışanlar için erişilemez hale getirilir ve üzeri çizilerek/boyanarak karartma işlemi uygulanır.

Taşınabilir Medyada Bulunan Veriler: Sistem yöneticisi tarafından şifrelenerek erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

5.2 Kişisel Verilerin Yok Edilmesi

Fiziksel Ortamda Yer Alan Veriler: Kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

Optik/Manyetik Medyada Yer Alan Veriler: Eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilir. Manyetik medya özel cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılır.

5.3 Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

6. Saklama ve İmha Süreleri

Saklama süreleri Kişisel Veri İşleme Envanterinde belirtilmektedir. Saklama süreleri sona eren kişisel veriler için re'sen silme, yok etme veya anonim hale getirme işlemi yerine getirilir.

7. Periyodik İmha Süresi

Şirket, periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, Şirkette her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

8. Politikanın Yayınlanması ve Saklanması

Politika, ıslak imzalı (basılı kâğıt) ve elektronik ortamda olmak üzere iki farklı ortamda yayımlanır ve internet sayfasında kamuya açıklanır.

9. Politikanın Güncellenme Periyodu

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir.

10. Politikanın Yürürlüğü ve Yürürlükten Kaldırılması

Politika, Şirket'in internet sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilir.

Yürürlük Tarihi: 04/10/2024

Kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerinin korunmasını amaçlayan 7 Nisan 2016 tarihli ve 29677 Sayılı Resmî Gazete'de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”)'nun “Veri Sorumlusunun Aydınlatma Yükümlülüğü” başlıklı 10. maddesi ile 10 Mart 2018 tarih ve 30356 sayılı Resmi Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni ile Şirketimiz Saas Bridge Yazılım A.Ş. (“Saas Bridge Yazılım A.Ş.” veya “Şirket”) tarafından işlenen kişisel verileriniz hakkında sizleri bilgilendirmeyi hedeflemekteyiz.

Aşağıda Veri Sorumlusu sıfatıyla hareket eden Şirketimiz hakkında bilgi edinebilirsiniz.

Unvan: Saas Bridge Yazılım A.Ş.

Vergi Kimlik Numarası: 7352215109

Adres: Altınşehir Mahallesi, Kumru Caddesi No:53 Daire:3 Ümraniye/İstanbul

1. İşlenen Kişisel Veriler

2. Kişisel Verilerin İşlenme Amaçları

Kişisel verilerinizin işlenme amaçları ve hukuki dayanakları aşağıda belirtilmiştir. Kişisel verileriniz, Kişisel Verilerin Korunması Kanunu ve diğer sair mevzuatta öngörülen usul ve esaslara uygun olarak işlenecektir.

• Pazarlama ve satış faaliyetlerinin yönetimi
• Analiz ve raporlama çalışmalarının yapılması
• Müşteri, tedarikçi ve iş ortaklarımız ile ilişkilerimizin yönetilmesi
• Şirketimize iletilen öneri, talep ve şikayetlerin değerlendirilebilmesi, cevaplandırılabilmesi ve bildirimler uyarınca iyileştirme çalışmalarının yapılabilmesi
• Şirketimizin iş süreçlerinin geliştirilmesi ve çeşitlendirilmesi
• Kalite ve standart denetimlerimizin yapılabilmesi
• Finans ve muhasebe işlerinin takibi
• Sözleşme yönetimi, hukuki işlemlerin tesisi ve hukuki süreçlerin takibi
• Çalışan adayı olmanız halinde internet sitemiz üzerinden iş başvurusu yapılması halinde başvurunun değerlendirilmesi
• İletişim faaliyetlerinin yürütülmesi
• 5651 Sayılı Kanun'dan doğan yükümlülüklerin yerine getirilmesi
• İlgili mevzuat gereği saklanması gereken bilgilerinizin muhafazası; bilgi kayıplarının önlenebilmesi için kopyalanması, yedeklenmesi; bilgilerinizin tutarlılığının kontrolünün sağlanması
• Şebekelerimizin ve bilgilerinizin güvenliği için gerekli teknik ve idari tedbirlerin alınması
• Düzenleyici ve denetleyici kurumlarla, yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı hukuki yükümlülüklerin yerine getirilmesi
• Yasal takiplerin ve hukuki süreçlerin yürütülmesi

Hukuki Dayanaklar:

• KVKK m.5/2-a: Kanunlarda açıkça öngörülmesi
• KVKK m.5/2-c: Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• KVKK m.5/2-ç: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması

Kişisel verilerinizi yazılı, sözlü ve görsel formatta elektronik ve fiziki yöntemlerle otomatik, kısmen otomatik veya otomatik olmayan yollarla toplamaktayız. Ayrıca kişisel verilerinizin üçüncü kişilerden elde edilmesi de gündeme gelebilmektedir.

3. Kişisel Verilerinizin Aktarılması

Kişisel verileriniz sayılan hukuki sebepler çerçevesinde sizlerin beyanları üzerine Şirketimize verdiğiniz bilgiler, destek hizmeti kuruluşları gibi işbirliği yaptığı/hizmet aldığı ve verdiği/iş ilişkisi içerisinde olduğu gerçek ve tüzel kişiler, yurt içindeki kanunen yetkili kamu resmi kurum ve kuruluşları, kolluk kuvvetleri, mahkemeler ve icra müdürlüklerine; yurt dışındaki üçüncü taraf gerçek ve tüzel kişilere, hizmet sağlayıcı firmalar ve yetkililerine, veri tabanı ve altyapı sağlayıcı firmalarına, sms ve mail gönderimi hizmeti veren firmalara, iş ortaklarına, tedarikçilere ve destek hizmeti sağlayıcılarıyla ile paylaşılabilecektir.

4. Kişisel Verilerin Yurt Dışına Aktarılması

Kişisel verileriniz; Şirketimiz faaliyetlerini yürütmek üzere tabi olduğumuz mevzuat hükümlerine ilişkin yükümlülüklerimiz gereği veri tabanı ve altyapı sağlayıcı firmalar, sms ve mail gönderimi hizmeti veren firmalara KVKK madde 8 ve 9. maddeleri uyarınca yurtdışına aktarılabilecektir. Faaliyetlerimizde kullanılan yazılımlarının sunucularının yurt dışında bulunması nedeniyle, kişisel verileriniz KVKK madde 8 ve 9. madde uyarınca açık rızanız bulunması halinde bu sistemlerin kullanımı sırasında yurt dışına aktarılacaktır.

5. Kişisel Veri Sahiplerinin Hakları ve Bu Hakların Kullanılması

Kişisel veri sahipleri olarak, haklarınıza ilişkin taleplerinizi internet adresinden kamuoyu ile paylaşılmış olan KVKK İlgili Kişi Başvuru Formunu Kişisel Verilerin Korunması ve İşlenmesi Politikasında düzenlenen yöntemlerle Şirketimize iletmeniz durumunda Şirket talebin niteliğine göre talebi en geç otuz gün içinde sonuçlandıracaktır.

Bu kapsamda kişisel veri sahipleri:

1. Kişisel veri işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. 6698 sayılı Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini, yok edilmesini veya anonim hale getirilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

6698 sayılı Kanunun 13. maddesinin 1. fıkrası gereğince yukarıda belirtilen haklarınıza yönelik başvurularınızı, KVKK İlgili Kişi Başvuru Formu aracılığıyla yazılı veya mail vasıtasıyla Şirketimize iletebilirsiniz.

Başvurunuz talebinizin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır. Başvurunuzun cevaplandırılması işleminin ayrıca bir maliyet gerektirmesi hâlinde, Tebliğ'in 7. maddesinde belirtilen ücret alınabilir.

Şirket işbu Aydınlatma Metni şartlarını değiştirme hakkını saklı tutar.