Kişisel Verilerin Korunması

Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. GİRİŞ

İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) çerçevesinde ASC HUKUK (Bundan böyle kısaca “ASC” olarak anılacaktır) tarafından gerçekleştirilen kişisel veri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeler ve ASC veri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) yer alan düzenlemelere uyumu bakımından benimsenen temel prensipler açıklanmakta ve Şirketimizin, benimsediği kanun hükümleri ve genel esaslar hakkında kişisel veri sahiplerini bilgilendirmektedir.

Bu kapsamdaki sorumluluğumuzun tam bilinci ile kişisel verileriniz işbu Politika kapsamında işlenmekte ve makul düzeyde korunmaktadır.

2. POLİTİKANIN AMACI

Bu Politikanın temel amacı, ASC tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik esasları ortaya koymak, bu kapsamda kişisel verileri şirketimiz tarafından işlenen kişileri aydınlatarak ve bilgilendirilerek şeffaflığı sağlamaktır.

3. POLİTİKANIN KAPSAMI

Bu Politika; ASC nezdinde işlenen kişisel verileriniz ile ilgili; kişisel verilerin ve kişisel sağlık verilerinin işlenmesi ilkeleri, işbu verilerin işleme amaç ve şartları ile yurt içinde ve yurt dışına aktarımı, imhası ve işlenen veriler üzerindeki haklarınıza dair uygulama ve esaslar aşağıda sizlere bildirilmektedir.

4. ERİŞİM VE GÜNCELLEME

Politika Şirketimizin internet sitesinde yayımlanır ve kişisel veri sahiplerinin talebi üzerine ilgili kişilerin erişimine sunulur ve gerektiğinde güncellenir. (Topladığımız ve işlediğimiz kişisel verilerinizin 6698 sayılı Kişisel Verilerin İşlenmesi Kanunu 4. Maddesi gereğince doğru ve gerektiğinde güncel olması gerekmektedir. Bu nedenle, kişisel verilerinizde herhangi bir değişiklik meydana gelmesi halinde, güncel ve doğru kişisel bilgilerinizi internet sitemizde yer alan Aydınlatma Metninde açıklanan yöntemler ile bildirebilirsiniz.)

Şirketimiz, yasal düzenlemelere paralel olarak Politika’da değişiklik yapma hakkını saklı tutar.

Başta Kanun olmak üzere yürürlükteki mevzuat ile bu Politika’da yer verilen düzenlemelerin çelişmesi halinde mevzuat hükümleri uygulanır.

5. TANIMLAR

İşbu Politika'da kullanılan tanımlar aşağıda yer almaktadır:

6. KİŞİSEL VERİ ENVANTERİ VE KİŞİSEL VERİLERİN SINIFLANDIRILMASI

ASC nezdinde; ASC’nin meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda, KVK Kanunu’nun 5. maddesinde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve bunlarla sınırlı olarak, başta kişisel verilerin işlenmesine ilişkin 4. maddede belirtilen ilkeler olmak üzere, KVK Kanunu’nda belirtilen genel ilkelere ve KVK Kanunu’nda düzenlenen tüm yükümlülüklere uyularak ve işbu Politika kapsamındaki kişisel veri sahipleri (Ürün ve Hizmet Alan Kişi, Potansiyel Ürün ve Hizmet Alıcısı, Çalışanlar, Çalışan Adayları, Stajyer, Ziyaretçiler, Tedarikçi Çalışanları, Tedarikçi Yetkilileri, Hissedar/Ortak, Çalışan Yakını, Bakmakla Yükümlü Olunan Kişi, Acil Durumda Aranacak Kişiler, Danışman, Eğitmen ve Referans Kişisi) ile sınırlı olmaksızın;

Şirketimiz tarafından doğrudan ürün veya hizmet alıcımız veya ürün veya hizmet alıcımız çalışanları veya kendilerini temsil ve ilzama yetkili kişilerinin kişisel verileri, iletişim Faaliyetlerinin Yürütülmesi, İş Faaliyetlerinin Yürütülmesi / Denetimi, Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi, Reklam / Kampanya / Promosyon Süreçlerinin Yürütülmesi, Sosyal Sorumluluk Ve Sivil Toplum Aktivitelerinin Yürütülmesi, Sözleşme Süreçlerinin Yürütülmesi, Sponsorluk Faaliyetlerinin Yürütülmesi, Talep / Şikayetlerin Takibi, Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi, Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi, Organizasyon Ve Etkinlik Yönetimi, Stratejik Planlama Faaliyetlerinin Yürütülmesi, Faaliyetlerin Mevzuata Uygun Yürütülmesi, Hukuk İşlerinin Takibi Ve Yürütülmesi, İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi, Finans Ve Muhasebe İşlerinin Yürütülmesi, Firma / Ürün / Hizmetlere Bağlılık Süreçlerinin Yürütülmesi, Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi, Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi, Mal / Hizmet Satış Süreçlerinin Yürütülmesi, Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi, Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi, Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi, Yatırım Süreçlerinin Yürütülmesi, Fiziksel Mekan Güvenliğinin Temini, Ziyaretçi Kayıtlarının Oluşturulması amaçlarıyla 6698 sayılı Kanun’un 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları ve amaçları dahilinde işlenecektir.

ASC, Kişisel Verileri Koruma Kurumu tarafından çıkarılan Veri Sorumluları Sicili Yönetmeliği uyarınca kişisel veri envanteri oluşturmuştur. Bu veri envanterinde veri kategorileri, verinin kaynağı, veri işleme amaçları, veri işleme süreci, verilerin aktarıldığı alıcı grupları ve saklama süreleri yer almaktadır.

Bu kapsamda ASC içerisinde aşağıdaki türlerde veri kategorileri bu türlerle sınırlı olmamakla beraber bulunmaktadır ;

7. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN GENEL İLKELER

7.1. Hukuka Uygunluk

Şirketimiz, Anayasa başta olmak üzere, KVK Kanunu ve ilgili mevzuata uygun olarak, kişisel verileri işleme faaliyetlerini hukuka ve dürüstlük kurallarına uygun olarak yürütür. Bu kapsamda Şirketimiz, kişisel verilerin işlenmesini gerektirecek hukuksal dayanakları tespit ederek işlem yapmakta, ölçülülük gerekliliklerini dikkate almakta, kişisel verileri amacın gerektirdiği dışında kullanmamakta, kişilerin bilgisi dışında işleme faaliyeti yapmamaktadır.

7.2. Verilerin Doğru ve Gerektiğinde Güncel Olması

Şirketimiz; kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamakta, bu doğrultuda gerekli tedbirleri almaktadır. Bu kapsamda tüm kişi kategorilerine ilişkin veriler güncel tutulmaya çalışılmakta, doğruluğu ve güncelliğini sağlamaya yönelik her türlü idari ve teknik tedbirler alınmaktadır.

7.3. Belirli, Meşru ve Açık Amaç

Şirketimiz; yalnızca açık ve kesin olarak belirlenen meşru amaçlarla kişisel veri işlemekte olup, bu amaçlar dışında veri işleme faaliyetinde bulunmamaktadır. Şirketimiz tarafından kişisel verilerin işleneceği amaç işleme faaliyeti öncesi belirlenmekte ve “Kişisel Veri Envanteri” ne de işlenmektedir.

7.4. Verilerin İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olması

Şirketimiz tarafından kişisel veriler, belirlenen amaçların gerçekleştirilebilmesi için gerektiği ölçüde işlenmektedir. Sonradan kullanılabileceği varsayımı ile veri işleme faaliyeti yürütülmemektedir. Bu kapsamda süreçler sürekli gözden geçirilmekte, kişisel verilerin azaltılması ilkesi hayata geçirilmeye çalışılmaktadır.

7.5. Kişisel Verilerin Gerektiği Kadar Muhafaza Edilmesi ve Sonrasında Silinmesi

Şirketimiz, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bu kapsamda hukuk ve ceza zamanaşımı sürelerini dikkate almakta ve kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Şirketimizin “Veri İmha Politikası”na göre silinmekte, yok edilmekte veya anonim hale getirilmektedir.

8. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel veriler yalnızca aşağıda belirtilen yasal dayanaklar kapsamında toplanabilir, işlenebilir veya kullanılabilir.

Kanun’un 3. maddesinde açık rıza; “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklinde tanımlanmıştır. Ayrıca Anayasa’nın 20. maddesinin 3. fıkrasında, kişisel verilerin, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebileceği hüküm altına alınmıştır. Açık rıza, 6698 sayılı Kanun’da hem özel nitelikli kişisel veriler, hem de özel nitelikli olmayan kişisel veriler bakımından temel hukuka uygunluk sebebi olarak öngörülmüştür.

Kanun’un 5. 6. 8. ve 9. maddelerinde veri işleme şartlarının karşılanmadığı ve rıza gereken haller yer almakta olup, şirketimizce bu doğrultuda özgür irade ile beyan edilen ve ispatlanabilir şekilde alınmış (yazılı, elektronik yada kayıt altına alınmış sözlü olarak) açık rızalar alınmak suretiyle kişisel veriler işlenmektedir. Özel nitelikli kişisel verilerin işlenmesi halinde gerekli durumlarda açık rızalar yazılı olarak alınacaktır.

Kişisel veri işleyen süreç yöneticileri, işledikleri kişisel veriler toplanırken ilgili veri sahibinin açık rızasının varlığının ve geçerliliğinin kontrolünü sağlamakla yükümlüdür. Açık rıza olmadığının tespit edilmesi durumunda (aşağıdaki istisnalar hariç) veri işleme faaliyeti yapılmayacaktır.

8.1. Kişisel Verilerin Açık Rıza Alınmaksızın İşlenmesi

Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür:

8.2.1 Kanunlarda açıkça öngörülmesi,

8.2.2 Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

8.2.3 Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

8.2.4 Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

8.2.5 Veri sahibinin kendisi tarafından alenileştirilmiş olması,

8.2.6 Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

8.2.7 Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması,

gibi durumlarda açık rıza olmaksızın işlenebilmektedir.

8.2. Özel Nitelikli Kişisel Verilerin İşlenmesi

Veri sahipleri açısından korunmasının çeşitli açılardan daha kritik önem teşkil eden özel nitelikli kişisel verilerin işlenmesinde şirketimiz tarafından özel hassasiyet gösterilmektedir. Bu kapsamda, Kurul tarafından belirlenen yeterli önlemlerin alınması şartıyla bu tür veriler, veri sahiplerinin açık rızası olmaksızın işlenmemektedir. Ancak, yeterli önlemlerin alınması şartıyla ve aşağıda sayılan sebeplerin varlığı halinde açık rızası alınmaksızın işlenebilmektedir:

8.2.1. Kanunlarda açıkça öngörülmesi,

8.2.2. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

8.2.3. İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

8.2.4. Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

8.2.5. Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

8.2.6. İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

8.2.7. Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

Özel nitelikli kişisel verilerin işlenmesi gereken her durumda KVKK Komitesi bilgilendirilecektir.

9. KİŞİSEL VERİLERİN AKTARILMASI

Kişisel verileriniz, şirketimiz tarafından hukuka ve dürüstlük kurallarına uygun olarak, doğru ve gerektiğinde güncel, belirli, net ve meşru amaçlar için, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü, ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme ilkelerine uygun bir şekilde işlenir.

Kişisel verileriniz; şirketimiz faaliyetlerini ve iş süreçlerini devam ettirmek için yurtiçi ve/veya yurtdışında bulunan proje yürüttüğümüz ve işbirliği yaptığımız iş ortaklarımıza, şirketimiz hissedarlarına, tedarikçilerimize, sigorta şirketlerimize, noter, banka ve finans kuruluşlarına, hukuk, mali müşavirlik, vergi vb. benzeri alanlarda destek aldığımız danışmanlık firmalarımıza, kanunen yetkili kamu kurumlarına ve özel kişilere, şirketimiz adına kişisel veri işleyen yurt içi ve/veya yurt dışında depolama, arşivleme, bilişim teknolojileri desteği (sunucu, hosting, CRM yazılım, bulut bilişim gibi) vs. alanlarında destek aldığımız hizmet sağlayıcılarımıza, 6698 sayılı Kanun’un 8. ve 9. Maddelerinde belirtilen kişisel veri işleme şartları ve yukarda belirtilen amaçlar çerçevesinde aktarılabilecektir.

10. İLGİLİ KİŞİLERİN HAKLARI

ASC kişisel verisini işlediği ilgili kişilerin aşağıda belirtilen haklar kapsamındaki taleplerine 30 gün içinde cevap verecektir:

(1) Kişisel veri işlenip işlenmediğini öğrenme,

(2) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

(3) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

(4) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

(5) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

(6) KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

(7) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

(8) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Veri sahipleri, kimliklerini tespit edecek bilgi ve belgelerle ve aşağıda belirtilen yöntemlerle veya Kişisel Verileri Koruma Kurulu’nun belirlediği diğer yöntemlerle internet sitesinde yer alan KVKK başvuru formu ile yukarda belirtilen haklar kapsamında başvuruda bulunabilirler.

11. GİZLİLİK ve VERİ GÜVENLİĞİ TEDBİRLERİ ;

ASC içerisinde işlenen kişisel verilerin tamamı gizli olup, Kanunun 12. Maddesinde belirtilen;

a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,

c) Kişisel verilerin muhafazasını sağlamak,

amacına uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır.

11.1. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişimi Engellemek İçin Alınan Teknik Tedbirler

ASC kişisel verilerinizi korumak amacıyla her türlü teknik, teknolojik güvenlik önlemlerini almış ve olası risklere karşı kişisel verilerinizi korumaktadır. Örneğin;

11.1.1. Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

11.1.2. Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

11.1.3. Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

11.1.4. Güncel anti-virüs sistemleri kullanılmaktadır.

11.1.5. Güvenlik duvarları kullanılmaktadır.

11.1.6. Kişisel veri güvenliğinin takibi yapılmaktadır.

11.1.7. Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

11.1.8. Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

11.1.9. Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

11.1.10. Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

11.1.11. Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

11.1.12. Şifreleme yapılmaktadır.

11.2. Kişisel Verilerin Hukuka Uygun İşlenmesini Sağlamak ve Kişisel Verilere Hukuka Aykırı Erişimi Engellemek İçin Alınan İdari Tedbirler

11.2.1. Kuruluş içerisinde bilgi güvenliği operasyonu ve uygulamasının başlatılması ve kontrol edilmesi amacıyla bir yönetim çerçevesi kurulmuştur.

a. KVKK Komitesi ve İrtibat kişisi atanmış ve görev tanımları belirlenmiştir.

b. KVKK Başvuru kanalları belirlenmiştir.

c. İhlal, talep/şikayet yönetim iş akışları belirlenmiştir.

11.2.2. Kişisel verilerin işlenmesi ve korunmasına ilişkin Ana Esaslar, politika ve prosedürler belirlenmiştir.

a. Veri İşleme ve Saklama Politikası Oluşturulmuştur.

b. Kişisel Verilerin İşlenmesi ve Korunması Politikası Oluşturulmuştur.

c. Özel Nitelikli Kişisel Veri Güvenliğine Yönelik Politika Oluşturulmuştur.

11.2.3. İşlenen kişisel veriler kapsamında mevcut risk ve tehditler belirlenmiştir.

11.2.4. Çalışanlar için kişisel veri güvenliği konusunda eğitim ve farkındalık çalışmaları yapılmaktadır.

11.2.5. Çalışanların ve yüklenicilerin bilgi güvenliği sorumluluklarının farkında olmaları ve yerine getirmelerini temin etmek üzere veri güvenliğine ilişkin rol ve sorumluluklar ile görev tanımları belirlenmiştir.

11.2.6. Gizlilik taahhütnameleri yapılmaktadır.

11.2.7. Çalışan, müşteri, tedarikçi vs. için aydınlatma metni yayımlanmıştır.

11.2.8. Açık rıza alınması gereken süreçler belirlenmiş ve uygulanmaktadır.

11.2.9. Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır. Denetimler sonucunda ortaya çıkan gizlilik ve güvenlik zafiyetlerini gidermektedir.

11.2.10. İşleme amacı bakımından anılan kişisel verilere ihtiyaç olup olmadığı değerlendirilmekte, kişisel veriler mümkün olduğunca azaltılmaktadır.

11.2.11. Verilerin hukuka aykırı yollarla başkaları tarafından elde edilmesi halinde, durumu en kısa sürede ilgili kişiye ve Kurul’a bildirmek üzere çalışanlar tarafında gerekli önlemler alınmaktadır.

11.3. Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, Şirketimiz bu durumu en kısa sürede (Maksimum 72 saatte) ilgili veri sahibine ve Kurul'a bildirecektir.

12. KİŞİSEL VERİLERİN İMHASI (SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ) ŞARTLARI

Türk Ceza Kanunu’nun 138. Maddesinde, KVK Kanunu’nun 7. Maddesinde ve Kurum tarafından çıkarılan “Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi hakkında yönetmelik” uyarınca; ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde ASC’nin kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir. ASC bu konuda yönetmelik hükümlerine göre bir Politika oluşturmuş ve bu Politika uyarınca verinin niteliğine göre imha yapılmaktadır. Bu yönetmelik uyarınca ASC tarafından periyodik imha tarihleri belirlenmiş olup, yükümlülüğün başlaması ile beraber çeşitli aralıklarla periyodik imhanın yapılacağına göre takvim oluşturulmuştur.

13. YÜRÜTME

İşbu Politika’nın yürütülmesinden ASC tarafından KVK Kanunu düzenlemelerine uygun hareket edilmesini sağlamak için yönetim yapısı kurulmuştur.

14. POLİTİKA’NIN YÜRÜRLÜK TARİHİ

İşbu Politika 19.03.2025 tarihinde yürürlüğe girmiştir.

Aksu Çalışkan Beygo Avukatlık Ortaklığı

Çalışan/Stajyer Adayı Kişisel Verilerinin Korunması Hakkında

Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni hazırlanmıştır.

Sizlerden özel olarak talep edilmedikçe, tarafımıza iletmiş olduğunuz özgeçmişinizde/iş başvurunuzda aşağıda sıralanan özel nitelikli kişisel verilerinizin yer almadığından emin olmanızı rica ederiz:

• Irk,
• Etnik Köken,
• Siyasi Düşünce,
• Din, Mezhep veya Diğer İnançlar,
• Sağlık Verisi,
• Ceza Mahkumiyeti ve Güvenlik Tedbirleriyle İlgili Veriler,
• Biyometrik ve Genetik Veriler
• Kılık ve Kıyafet, Dernek, Vakıf ya da Sendika Üyeliği,
• Felsefi İnanç.

Aksu Çalışkan Beygo Avukatlık Ortaklığı olarak (“Veri Sorumlusu” veya “ASC Hukuk”) kişisel verilerinizin korunması ve işlenmesi ile güvenliğinin sağlanması konularına önem gösterilmektedir. Bu kapsamda, toplanan her türlü kişisel verinin KVKK ve ikincil düzenlemelerine uygun olarak işlenmesi ve muhafaza edilmesi konusunda hassasiyet gösterilmektedir.

KVKK’da belirtildiği üzere Veri Sorumlusu tarafından veya Veri Sorumlusu’nun talimatı ile işlenmekte olan kişisel veriler bakımından “Veri Sorumlusu” sıfatıyla sorumlu olunduğunun bilincinde olarak, kişisel verileriniz aşağıda açıklandığı şekilde ve mevzuat tarafından izin verilen sınırlamalar çerçevesinde işlenmektedir.

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verileriniz, Aksu Çalışkan Beygo Avukatlık Ortaklığı tarafından “Veri Sorumlusu” olarak aşağıda açıklananlar kapsamında işlenebilecektir.

ASC Hukuk tarafından işlenen kişisel verilerinizin işlenmesine ilişkin detaylı bilgilere https://www.aschukuk.com internet adresinde yer alan ilgili politikalar aracılığıyla ulaşabilirsiniz.

2. Kişisel Veri Toplama ve İşleme Faaliyeti, İşleme Amaçları, Hukuki Sebebi

Toplanan kişisel verileriniz, ASC Hukuk tarafından yalnızca aşağıda belirtilen amaçlar kapsamında toplanacak ve işlenecek olup bu amaçlarda bir değişiklik meydana gelmesi hâlinde söz konusu yeni işleme faaliyetine ilişkin olarak tarafınız ayrıca bilgilendirilecektir.

Kişisel verileriniz; hukuka ve dürüstlük ilkelerine uygun, doğru ve gerektiğinde güncel şekilde, belirli, açık ve meşru amaçlar doğrultusunda, bu amaçlarla bağlantılı ve bunlarla sınırlı olarak işlenir ve ilgili mevzuatta öngörülen süreler veya işleme amacı için gerekli süre kadar muhafaza edilir.

ASC Hukuk olarak, değerlendirme süreçleri olumlu geçen ve işe alımı kesinleşen çalışan adaylarının işe alım süreçlerinin yürütülmesi kapsamında kişisel verileri yalnızca aşağıda belirtilen amaçlar kapsamında toplanacak ve işlenecek olup bu amaçlarda bir değişiklik meydana gelmesi hâlinde söz konusu yeni işleme faaliyetine ilişkin olarak ayrıca bilgilendirme yapılacaktır.

3. Kişisel Verilerin Aktarımı ve Aktarım Amaçları

II. maddede belirtilen amaçlarla sınırlı olarak, hukuka uygunluk sebebinin bulunduğu hallerde, gerekli olması halinde toplanan kişisel verileriniz yetkili kamu kurum ve kuruluşlarına aktarılabilecektir.

Toplanan kişisel verilerinizi yukarıda belirtilen amaçlar doğrultusunda ve gerekli güvenlik tedbirlerini uygulamak suretiyle ASC Hukuk, Türkiye’de bulunan sunucularında veya diğer elektronik ortamlarda işleyebilir ve muhafaza edebilir.

4. İlgili Kişi Haklarınız

İlgili kişi olarak, haklarınıza ilişkin taleplerinizi aşağıda belirtilen yöntemlerle Veri Sorumlusu’na iletmeniz durumunda Veri Sorumlusu talebinizi niteliğine göre en kısa sürede ve en geç otuz gün içinde herhangi bir ücret talep etmeksizin sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca öngörülmesi durumunda ücret talep edilebilecektir.

KVKK’nın 11. maddesine göre ilgili kişi olarak haklarınız şunlardır:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK’ya ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Veri Sorumlusu, KVKK’da olabilecek değişiklikler ve Kişisel Verileri Koruma Kurulu tarafından belirlenecek yöntemler ile verilecek kararlar sebebi ile bu Aydınlatma Metni kapsamında değişiklik yapma hakkını saklı tutmaktadır.

KVKK’nın 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak için ilgili talebinizi www.aschukuk.com internet adresi üzerinden ulaşabileceğiniz “İlgili Kişi Başvuru Formu”nu doldurarak ASC Hukuk’a iletebilirsiniz.

Aksu Çalışkan Beygo Avukatlık Ortaklığı

Potansiyel Hizmet Alıcısı (Müvekkil Adayı) ve Hizmet Alıcısı (Müvekkil)

 Kişisel Verilerinin Korunması Hakkında

Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni hazırlanmıştır.

Aksu Çalışkan Beygo Avukatlık Ortaklığı olarak (“Veri Sorumlusu” veya “ASC Hukuk”) kişisel verilerinizin korunması ve işlenmesi ile güvenliğinin sağlanması konularına önem gösterilmektedir. Bu kapsamda, toplanan her türlü kişisel verinin KVKK ve ikincil düzenlemelerine uygun olarak işlenmesi ve muhafaza edilmesi konusunda hassasiyet gösterilmektedir.

KVKK’da belirtildiği üzere Veri Sorumlusu tarafından veya Veri Sorumlusu’nun talimatı ile işlenmekte olan kişisel veriler bakımından “Veri Sorumlusu” sıfatıyla sorumlu olunduğunun bilincinde olarak, kişisel verileriniz aşağıda açıklandığı şekilde ve mevzuat tarafından izin verilen sınırlamalar çerçevesinde işlenmektedir.

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verileriniz, Aksu Çalışkan Beygo Avukatlık Ortaklığı tarafından “Veri Sorumlusu” olarak aşağıda açıklananlar kapsamında işlenebilecektir.

ASC Hukuk tarafından işlenen kişisel verilerinizin işlenmesine ilişkin detaylı bilgilere https://www.aschukuk.com internet adresinde yer alan ilgili politikalar aracılığıyla ulaşabilirsiniz.

2. Kişisel Veri Toplama ve İşleme Faaliyeti, İşleme Amaçları, Hukuki Sebebi

Toplanan kişisel verileriniz, ASC Hukuk tarafından yalnızca aşağıda belirtilen amaçlar kapsamında toplanacak ve işlenecek olup bu amaçlarda bir değişiklik meydana gelmesi hâlinde söz konusu yeni işleme faaliyetine ilişkin olarak tarafınız ayrıca bilgilendirilecektir.

Kişisel verileriniz; hukuka ve dürüstlük ilkelerine uygun, doğru ve gerektiğinde güncel şekilde, belirli, açık ve meşru amaçlar doğrultusunda, bu amaçlarla bağlantılı ve bunlarla sınırlı olarak işlenir ve ilgili mevzuatta öngörülen süreler veya işleme amacı için gerekli süre kadar muhafaza edilir.

3. Kişisel Verilerin Aktarımı ve Aktarım Amaçları

II. maddede belirtilen amaçlarla sınırlı olarak, hukuka uygunluk sebebinin bulunduğu hallerde, gerekli olması halinde toplanan kişisel verileriniz gerçek kişiler veya özel hukuk tüzel kişilerine, yetkili kamu kurum ve kuruluşlarına ve iş ortaklarına aktarılabilecektir.

Toplanan kişisel verilerinizi yukarıda belirtilen amaçlar doğrultusunda ve gerekli güvenlik tedbirlerini uygulamak suretiyle ASC Hukuk, Türkiye’de bulunan sunucularında veya diğer elektronik ortamlarda işleyebilir ve muhafaza edebilir.

4. İlgili Kişi Haklarınız

İlgili kişi olarak, haklarınıza ilişkin taleplerinizi aşağıda belirtilen yöntemlerle Veri Sorumlusu’na iletmeniz durumunda Veri Sorumlusu talebinizi niteliğine göre en kısa sürede ve en geç otuz gün içinde herhangi bir ücret talep etmeksizin sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca öngörülmesi durumunda ücret talep edilebilecektir.

KVKK’nın 11. maddesine göre ilgili kişi olarak haklarınız şunlardır:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK’ya ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Veri Sorumlusu, KVKK’da olabilecek değişiklikler ve Kişisel Verileri Koruma Kurulu tarafından belirlenecek yöntemler ile verilecek kararlar sebebi ile bu Aydınlatma Metni kapsamında değişiklik yapma hakkını saklı tutmaktadır.

KVKK’nın 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak için ilgili talebinizi www.aschukuk.com internet adresi üzerinden ulaşabileceğiniz “İlgili Kişi Başvuru Formu”nu doldurarak ASC Hukuk’a iletebilirsiniz.

Aksu Çalışkan Beygo Avukatlık Ortaklığı

İletişim Süreci Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni hazırlanmıştır.

Aksu Çalışkan Beygo Avukatlık Ortaklığı olarak (“Veri Sorumlusu” veya “ASC Hukuk”) kişisel verilerinizin korunması ve işlenmesi ile güvenliğinin sağlanması konularına önem gösterilmektedir. Bu kapsamda, toplanan her türlü kişisel verinin KVKK ve ikincil düzenlemelerine uygun olarak işlenmesi ve muhafaza edilmesi konusunda hassasiyet gösterilmektedir.

KVKK’da belirtildiği üzere Veri Sorumlusu tarafından veya Veri Sorumlusu’nun talimatı ile işlenmekte olan kişisel veriler bakımından “Veri Sorumlusu” sıfatıyla sorumlu olunduğunun bilincinde olarak, kişisel verileriniz aşağıda açıklandığı şekilde ve mevzuat tarafından izin verilen sınırlamalar çerçevesinde işlenmektedir.

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verileriniz, Aksu Çalışkan Beygo Avukatlık Ortaklığı tarafından “Veri Sorumlusu” olarak aşağıda açıklananlar kapsamında işlenebilecektir.

ASC Hukuk tarafından işlenen kişisel verilerinizin işlenmesine ilişkin detaylı bilgilere https://www.aschukuk.com internet adresinde yer alan ilgili politikalar aracılığıyla ulaşabilirsiniz.

2. Kişisel Verilerin Toplanması, İşlenmesi ve İşleme Amaçları

Toplanan kişisel verileriniz, ASC Hukuk tarafından yalnızca aşağıda belirtilen amaçlar kapsamında toplanacak ve işlenecek olup bu amaçlarda bir değişiklik meydana gelmesi hâlinde söz konusu yeni işleme faaliyetine ilişkin olarak tarafınız ayrıca bilgilendirilecektir.

Kişisel verileriniz; hukuka ve dürüstlük ilkelerine uygun, doğru ve gerektiğinde güncel şekilde, belirli, açık ve meşru amaçlar doğrultusunda, bu amaçlarla bağlantılı ve bunlarla sınırlı olarak işlenir ve ilgili mevzuatta öngörülen süreler veya işleme amacı için gerekli süre kadar muhafaza edilir.

3. Kişisel Verilerin 3. Taraflara Aktarımı ve Aktarım Amaçları

II. maddede belirtilen amaçlarla sınırlı olarak, hukuka uygunluk sebebinin bulunduğu hallerde, gerekli olması halinde toplanan kişisel verileriniz gerçek kişiler veya özel hukuk tüzel kişilerine, yetkili kamu kurum ve kuruluşlarına ve iş ortaklarına aktarılabilecektir.

Toplanan kişisel verilerinizi yukarıda belirtilen amaçlar doğrultusunda ve gerekli güvenlik tedbirlerini uygulamak suretiyle ASC Hukuk, Türkiye’de bulunan sunucularında veya diğer elektronik ortamlarda işleyebilir ve muhafaza edebilir.

4. İlgili Kişi Haklarınız

İlgili kişi olarak, haklarınıza ilişkin taleplerinizi, aşağıda belirtilen yöntemlerle Veri Sorumlusu’na iletmeniz durumunda, Veri Sorumlusu talebinizi niteliğine göre en kısa sürede ve en geç otuz gün içinde herhangi bir ücret talep etmeksizin sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca öngörülmesi durumunda ücret talep edilebilecektir.

KVKK’nın 11. maddesine göre ilgili kişi olarak haklarınız şunlardır:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK’ya ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Veri Sorumlusu, KVKK’da olabilecek değişiklikler ve Kişisel Verileri Koruma Kurulu tarafından belirlenecek yöntemler ile verilecek kararlar sebebi ile bu Aydınlatma Metni kapsamında değişiklik yapma hakkını saklı tutmaktadır.

KVKK’nın 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak için ilgili talebinizi www.aschukuk.com internet adresi üzerinden ulaşabileceğiniz “İlgili Kişi Başvuru Formu”nu doldurarak ASC Hukuk’a iletebilirsiniz.

Aksu Çalışkan Beygo Avukatlık Ortaklığı

İlgili Kişi Başvuruları Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni hazırlanmıştır.

Aksu Çalışkan Beygo Avukatlık Ortaklığı olarak (“Veri Sorumlusu” veya “ASC Hukuk”) kişisel verilerinizin korunması ve işlenmesi ile güvenliğinin sağlanması konularına önem gösterilmektedir. Bu kapsamda, toplanan her türlü kişisel verinin KVKK ve ikincil düzenlemelerine uygun olarak işlenmesi ve muhafaza edilmesi konusunda hassasiyet gösterilmektedir.

KVKK’da belirtildiği üzere Veri Sorumlusu tarafından veya Veri Sorumlusu’nun talimatı ile işlenmekte olan kişisel veriler bakımından “Veri Sorumlusu” sıfatıyla sorumlu olunduğunun bilincinde olarak, kişisel verileriniz aşağıda açıklandığı şekilde ve mevzuat tarafından izin verilen sınırlamalar çerçevesinde işlenmektedir.

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verileriniz, Aksu Çalışkan Beygo Avukatlık Ortaklığı tarafından “Veri Sorumlusu” olarak aşağıda açıklananlar kapsamında işlenebilecektir.

ASC Hukuk tarafından işlenen kişisel verilerinizin işlenmesine ilişkin detaylı bilgilere https://www.aschukuk.com internet adresinde yer alan ilgili politikalar aracılığıyla ulaşabilirsiniz.

2. Kişisel Verilerin Toplanması, İşlenmesi ve İşleme Amaçları

Toplanan kişisel verileriniz, ASC Hukuk tarafından yalnızca aşağıda belirtilen amaçlar kapsamında toplanacak ve işlenecek olup bu amaçlarda bir değişiklik meydana gelmesi hâlinde söz konusu yeni işleme faaliyetine ilişkin olarak tarafınız ayrıca bilgilendirilecektir.

Kişisel verileriniz; hukuka ve dürüstlük ilkelerine uygun, doğru ve gerektiğinde güncel şekilde, belirli, açık ve meşru amaçlar doğrultusunda, bu amaçlarla bağlantılı ve bunlarla sınırlı olarak işlenir ve ilgili mevzuatta öngörülen süreler veya işleme amacı için gerekli süre kadar muhafaza edilir.

3. Kişisel Verilerin 3. Taraflara Aktarımı ve Aktarım Amaçları

II. maddede belirtilen amaçlarla sınırlı olarak, hukuka uygunluk sebebinin bulunduğu hallerde, gerekli olması halinde toplanan kişisel verileriniz gerçek kişiler veya özel hukuk tüzel kişilerine, yetkili kamu kurum ve kuruluşlarına ve iş ortaklarına aktarılabilecektir.

Toplanan kişisel verilerinizi yukarıda belirtilen amaçlar doğrultusunda ve gerekli güvenlik tedbirlerini uygulamak suretiyle ASC Hukuk, Türkiye’de bulunan sunucularında veya diğer elektronik ortamlarda işleyebilir ve muhafaza edebilir.

4. İlgili Kişi Haklarınız

İlgili kişi olarak, haklarınıza ilişkin taleplerinizi, aşağıda belirtilen yöntemlerle Veri Sorumlusu’na iletmeniz durumunda, Veri Sorumlusu talebinizi niteliğine göre en kısa sürede ve en geç otuz gün içinde herhangi bir ücret talep etmeksizin sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca öngörülmesi durumunda ücret talep edilebilecektir.

KVKK’nın 11. maddesine göre ilgili kişi olarak haklarınız şunlardır:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK’ya ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Veri Sorumlusu, KVKK’da olabilecek değişiklikler ve Kişisel Verileri Koruma Kurulu tarafından belirlenecek yöntemler ile verilecek kararlar sebebi ile bu Aydınlatma Metni kapsamında değişiklik yapma hakkını saklı tutmaktadır.

KVKK’nın 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak için ilgili talebinizi www.aschukuk.com internet adresi üzerinden ulaşabileceğiniz “İlgili Kişi Başvuru Formu”nu doldurarak ASC Hukuk’a iletebilirsiniz.

AKSU ÇALIŞKAN BEYGO AVUKATLIK ORTAKLIĞI

İLGİLİ KİŞİ BAŞVURU FORMU

1. Başvuru Yöntemi

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 11. maddesinde sayılan haklarınız kapsamındaki taleplerinizi, Kanun’un 13. maddesi ile Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ’in 5. maddesi gereğince, işbu form ile aşağıda açıklanan yöntemlerden biriyle başvurunuzu ASC Hukuk’a iletebilirsiniz.

2. Kimlik ve İletişim Bilgileriniz

Lütfen sizinle iletişime geçebilmemiz ve kimliğinizi doğrulayabilmemiz adına aşağıdaki alanları doldurunuz.

3. ASC Hukuk ile İlişkiniz

4. Talep Konusu

5. Yanıtın Tarafınıza Bildirilme Yöntemini Seçiniz

Yanıtın 2’nci bölümünde sağlamış olduğum posta adresime gönderilmesini istiyorum.

Yanıtın 2’nci bölümünde sağlamış olduğum elektronik posta adresime gönderilmesini istiyorum.

Yanıtın 2’nci bölümünde sağlamış olduğum faks numarama gönderilmesini istiyorum.

Yukarıda belirttiğim talepler doğrultusunda, ASC Hukuk’a yapmış olduğum başvurumun Kanun’un 13. maddesi uyarınca değerlendirilerek tarafıma bilgi verilmesini rica ederim.

İşbu başvuruda tarafınıza sağlamış olduğum bilgi ve belgelerimin doğru ve güncel olduğunu, ASC Hukuk’un başvurumu sonuçlandırabilmek adına ilave bilgi talep edebileceğini ve ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenen ücreti ödemem gerekebileceği hususunda aydınlatıldığımı beyan ve taahhüt ederim.

Başvuruda Bulunan İlgili Kişi

Adı Soyadı                  :

Başvuru Tarihi            :

İmza                            :

Aksu Çalışkan Beygo Avukatlık Ortaklığı

Kişisel Verilerin Korunması Hakkında

Çerezlere Dair Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni hazırlanmıştır.

Aksu Çalışkan Beygo Avukatlık Ortaklığı olarak (“Veri Sorumlusu” veya “ASC Hukuk”) kişisel verilerinizin korunması ve işlenmesi ile güvenliğinin sağlanması konularına önem gösterilmektedir. Bu kapsamda, toplanan her türlü kişisel verinin KVKK ve ikincil düzenlemelerine uygun olarak işlenmesi ve muhafaza edilmesi konusunda hassasiyet gösterilmektedir.

KVKK’da belirtildiği üzere Veri Sorumlusu tarafından veya Veri Sorumlusu’nun talimatı ile işlenmekte olan kişisel veriler bakımından “Veri Sorumlusu” sıfatıyla sorumlu olunduğunun bilincinde olarak, kişisel verileriniz aşağıda açıklandığı şekilde ve mevzuat tarafından izin verilen sınırlamalar çerçevesinde işlenmektedir.

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verileriniz, Aksu Çalışkan Beygo Avukatlık Ortaklığı tarafından “Veri Sorumlusu” olarak aşağıda açıklananlar kapsamında işlenebilecektir.

ASC Hukuk tarafından işlenen kişisel verilerinizin işlenmesine ilişkin detaylı bilgilere https://www.aschukuk.com internet adresinde yer alan ilgili politikalar aracılığıyla ulaşabilirsiniz.

2. Amaç ve Kapsam

İşbu Çerez Aydınlatma Metni (“Aydınlatma Metni”), çerez (cookie) kullanım hususlarına ilişkin olarak Aksu Çalışkan Beygo Avukatlık Ortaklığı’na ait https://www.aschukuk.com/ uzantılı internet sitesi ziyaretçilerini bilgilendirmek amacıyla hazırlanmıştır.

ASC Hukuk olarak sitemizde kullandığımız çerezlerin türlerini veya fonksiyonlarını değiştirebileceğimizi veya yeni çerezler ya da işleme faaliyetleri ekleyebileceğimizi belirtmek isteriz. Bu sebeple işbu politika hükümlerini dilediğimiz zaman değiştirme hakkını saklı tutarız. İlaveten bu politikayı güncellemeksizin de uygulanabilir mevzuat bağlamında yeni veya değişen kişisel veri işleme faaliyetleri veya çerezlere ilişkin sizin onayınızı isteyebiliriz.

3. Çerezin (“Cookie”) Tanımı

Çerezler, ziyaret ettiğiniz internet siteleri tarafından tarayıcılar aracılığıyla cihazınıza veya ağ sunucusuna depolanan küçük metin dosyalarıdır. İnternet sitelerinin cihazlarınıza kaydettiği küçük boyutlu ve kullanıcıları tanımlamaya yarayan veri dosyalarıdır. Çerezler internet siteleri tarafından kullanıcıların tanımlanması ve onlara özel hizmet sunulması amacıyla kullanılır.

4. www.aschukuk.com Sitesinde Kullanılan Çerezler

İnternet sitemizde zorunlu çerezler, analitik çerezler ve ziyaretçilerin internet sitesini nasıl kullandıkları hakkında bilgi toplayan diğer çerezler kullanılmaktadır.

Zorunlu çerezler her zaman aktif olarak kullanılmakta olup web sitesini dolaşımınız, web sitesinin güvenli alanlarına erişimin sağlanması ve izinlerin ortaya konulması için önemlidir. 

Analitik çerezler, internet sitesini nasıl kullandığınızı (örn; hangi sayfaları ziyaret ettiğiniz, ziyaret süresi vb.) anlamamızı sağlar. Böylelikle sunduğumuz içerikleri geliştirebilir ya da web sitesi tasarımını değiştirebiliriz.

Diğer çerezler ise ziyaretçilerimizin internet sitesini nasıl kullandıkları hakkında bilgi toplamaktadır. Örneğin, ziyaretçilerin en sık gittikleri sayfaları ve web sayfalarından hata mesajları alıp almadıklarını bilmemizi sağlar. Bu çerezler, bir ziyaretçiyi tanımlayan bilgileri içermezler, anonim olarak bilgi toplama işlemi yaparlar.

Zorunlu çerezler dışında kalan çerezler yalnızca açık rızanızın bulunması halinde aktif hale gelecektir. 

5. Çerezlerin Toplanma Yöntemi, Kullanma Amaçları ve Hukuki Sebepleri

İnternet sitemizde kullanılan zorunlu çerezler dışında kalan çerezler, çerez kullanımına onay vermeniz halinde internet tarayıcılarına erişim sağladığınız cihazlarınız aracılığıyla verilerinizi otomatik olarak toplamaktadır. Çerezler; internet sitemizin kullanımını kolaylaştırmak, kullanıcı deneyiminizi geliştirebilmek, site verimini ve işlevselliğini artırmak, sitenin kullanımına ilişkin bilgi sahibi olmak, internet sitesi üzerinde güncellemeler yapabilmek, site özelliklerini kullanıcı tercihlerine göre geliştirmek ve kişiselleştirmek, ziyaretçilerin ve şirketin hukuki ve ticari güvenliğinin teminini sağlamak gibi internet sitesinin kolay ve kaliteli kullanımının sağlanması amacıyla kullanılmaktadır. Çerezler kullanıcı tarafından istenildiği zaman silinebilmekte veya çerez kullanımı engellenebilmektedir.  Ziyaretçinin temel hak ve özgürlüklerine zarar vermemek kaydıyla ASC Hukuk’un meşru menfaatleri için veri işlemenin zorunlu olması (örn; internet sitesinin işletilmesine yönelik güvenlik gereklilikleri, internet sitesinin performansına yönelik analizler, internet sitesinin, ürünlerin ve hizmetlerin geliştirilmesi) ve bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması şartlarından birinin varlığı halinde kişisel verileriniz rızanız olmaksızın işlenebilecektir.

6. Çerez Kullanımının İlgili Kişiler Tarafından Durdurulması, Engellenmesi ve Silinmesi

Bilgisayarınızda halihazırda bulunan çerezleri silebilir ve internet tarayıcınıza çerez kaydedilmesini/yerleştirilmesini engelleyebilir veya daha önceki engeli kaldırarak çerez toplanmasına izin verebilirsiniz. Ancak; çerezleri tamamen engellemeyi tercih ederseniz internet sitemizin kolay ve rahat kullanımının bundan etkilenebileceğini belirtmek isteriz.

Çerezlerin kullanılmasını engellemek için kullandığınız internet tarayıcınızın ayarlarınızı değiştirmeniz gerekmektedir. Bu değişiklikler kullandığınız cihaz ve internet tarayıcısına göre değişiklik göstermektedir. Aşağıda farklı internet tarayıcıları üzerinden çerezlerin kullanılmasını engellemek için ilgili bağlantılara yer verilmiştir.

7. İlgili Kişi Haklarınız

İlgili kişi olarak, haklarınıza ilişkin taleplerinizi aşağıda belirtilen yöntemlerle Veri Sorumlusu’na iletmeniz durumunda Veri Sorumlusu talebinizi niteliğine göre en kısa sürede ve en geç otuz gün içinde herhangi bir ücret talep etmeksizin sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca öngörülmesi durumunda ücret talep edilebilecektir.

KVKK’nın 11. maddesine göre ilgili kişi olarak haklarınız şunlardır:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK’ya ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Veri Sorumlusu, KVKK’da olabilecek değişiklikler ve Kişisel Verileri Koruma Kurulu tarafından belirlenecek yöntemler ile verilecek kararlar sebebi ile bu Aydınlatma Metni kapsamında değişiklik yapma hakkını saklı tutmaktadır.

KVKK’nın 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak için ilgili talebinizi www.aschukuk.com internet adresi üzerinden ulaşabileceğiniz “İlgili Kişi Başvuru Formu”nu doldurarak ASC Hukuk’a iletebilirsiniz.

Aksu Çalışkan Beygo Avukatlık Ortaklığı

Kişisel Verilerin Korunması Hakkında

CCTV 2. Katman Aydınlatma Metni

6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK” veya “Kanun”) 10. maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca işbu Aydınlatma Metni hazırlanmıştır.

Aksu Çalışkan Beygo Avukatlık Ortaklığı olarak (“Veri Sorumlusu” veya “ASC Hukuk”) kişisel verilerinizin korunması ve işlenmesi ile güvenliğinin sağlanması konularına önem gösterilmektedir. Bu kapsamda, toplanan her türlü kişisel verinin KVKK ve ikincil düzenlemelerine uygun olarak işlenmesi ve muhafaza edilmesi konusunda hassasiyet gösterilmektedir.

KVKK’da belirtildiği üzere Veri Sorumlusu tarafından veya Veri Sorumlusu’nun talimatı ile işlenmekte olan kişisel veriler bakımından “Veri Sorumlusu” sıfatıyla sorumlu olunduğunun bilincinde olarak, kişisel verileriniz aşağıda açıklandığı şekilde ve mevzuat tarafından izin verilen sınırlamalar çerçevesinde işlenmektedir.

1. Veri Sorumlusu

6698 sayılı KVKK uyarınca kişisel verileriniz, Aksu Çalışkan Beygo Avukatlık Ortaklığı tarafından “Veri Sorumlusu” olarak aşağıda açıklananlar kapsamında işlenebilecektir.

ASC Hukuk tarafından işlenen kişisel verilerinizin işlenmesine ilişkin detaylı bilgilere https://www.aschukuk.com internet adresinde yer alan ilgili politikalar aracılığıyla ulaşabilirsiniz.

2. Kişisel Veri Toplama ve İşleme Faaliyeti, İşleme Amaçları, Hukuki Sebebi

Toplanan kişisel verileriniz, ASC Hukuk tarafından yalnızca aşağıda belirtilen amaçlar kapsamında toplanacak ve işlenecek olup bu amaçlarda bir değişiklik meydana gelmesi hâlinde söz konusu yeni işleme faaliyetine ilişkin olarak tarafınız ayrıca bilgilendirilecektir.

Kişisel verileriniz; hukuka ve dürüstlük ilkelerine uygun, doğru ve gerektiğinde güncel şekilde, belirli, açık ve meşru amaçlar doğrultusunda, bu amaçlarla bağlantılı ve bunlarla sınırlı olarak işlenir ve ilgili mevzuatta öngörülen süreler veya işleme amacı için gerekli süre kadar muhafaza edilir.

3. Kişisel Verilerin Aktarımı ve Aktarım Amaçları

II. maddede belirtilen amaçlarla sınırlı olarak, hukuka uygunluk sebebinin bulunduğu hallerde, gerekli olması halinde toplanan kişisel verileriniz yetkili kamu kurum ve kuruluşlarına aktarılabilecektir.

Toplanan kişisel verilerinizi yukarıda belirtilen amaçlar doğrultusunda ve gerekli güvenlik tedbirlerini uygulamak suretiyle ASC Hukuk, Türkiye’de bulunan sunucularında veya diğer elektronik ortamlarda işleyebilir ve muhafaza edebilir.

4. İlgili Kişi Haklarınız

İlgili kişi olarak, haklarınıza ilişkin taleplerinizi aşağıda belirtilen yöntemlerle Veri Sorumlusu’na iletmeniz durumunda Veri Sorumlusu talebinizi niteliğine göre en kısa sürede ve en geç otuz gün içinde herhangi bir ücret talep etmeksizin sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca öngörülmesi durumunda ücret talep edilebilecektir.

KVKK’nın 11. maddesine göre ilgili kişi olarak haklarınız şunlardır:

1. Kişisel verilerinizin işlenip işlenmediğini öğrenme,
2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerinizin işlenme amacını ve verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVKK’ya ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Veri Sorumlusu, KVKK’da olabilecek değişiklikler ve Kişisel Verileri Koruma Kurulu tarafından belirlenecek yöntemler ile verilecek kararlar sebebi ile bu Aydınlatma Metni kapsamında değişiklik yapma hakkını saklı tutmaktadır.

KVKK’nın 13. maddesinin 1. fıkrası gereğince, yukarıda belirtilen haklarınızı kullanmak için ilgili talebinizi www.aschukuk.com internet adresi üzerinden ulaşabileceğiniz “İlgili Kişi Başvuru Formu”nu doldurarak ASC Hukuk’a iletebilirsiniz.

BİLGİ GÜVENLİĞİ POLİTİKAMIZ

ASC HUKUK; Bilgi Güvenliği Yönetim Sistemi ve Kişisel Veri Yönetim Sistemi Standardı doğrultusunda; verisini işlediğimiz kişilerin bilgi varlıklarına güvenli bir şekilde erişimini sağlamayı,

• Kendisi ve paydaşlarının bilgi varlıklarına güvenli bir şekilde erişim sağlamayı,
• Firmamıza, çalışanlarımıza, müşterilerimize, tedarikçi ve iş ortaklarımıza ait her türlü kişisel veri ve bilgi varlığının gizlilik, erişilebilirlik ve bütünlükleri üzerindeki risklerin farkında olmak ve bu riskleri yönetmeyi,
• Kurumun güvenilirliğini ve marka imajını korumayı,
• Bilgi güvenliği ve kişisel veri ihlali durumunda gerekli görülen yaptırımları uygulamayı,
• Sahip olduğu süreçlerde kişisel veri ve bilgi güvenliği olgusuna firma genelinde tam katılım ve bilgi güvenliğinde yüksek farkındalık yaratmayı,
• Kişisel veri ve bilgi güvenliğini sistematik olarak ele alarak sürekli iyileşen, gelişen ve yeni risklerin oluşmasına imkân vermeyen bir yapı haline getirmeyi,
• Süreçlerimizde en yüksek performansa ulaşma hedefi ile entegre yönetim sistemini oluşturmayı, uygulamayı ve yürütmeyi; performans kriterlerini ve süreç faaliyetlerini sürekli denetleyerek gerekli görülen iyileştirmeleri tespit ederek, faaliyetlerin uygulanabilirlik şartlarını sağlayarak gerçekleştirmeyi,
• Kurumumuzda katılımcı ve çoğulcu yönetim anlayışı ile tüm proseslerimiz de liderliği ve çalışan katılımını teşvik etmeyi bu sayede iş süreçlerimizi sürekli geliştirmeyi,
• İç ve dış müşterilerinin, tedarikçilerinin ve ilgili diğer tüm bağlamlarımızın, toplumun ve hissedarlarının beklentilerini kurumsal iletişimde teknolojik imkânları kullanarak zamanında, hızlı ve etkin çalışan bir sistem ile tespit etmeyi, dengeli biçimde karşılamayı, sürekli iyileştirmeyi, öğrenme ve yenilikçiliği desteklemeyi, mükemmellik yaklaşımını benimsemeyi ve benimsettirmeyi,
• Tüm müşteri şartlarına, ulusal ve uluslararası yasal yükümlülüklere ve ilgili standartlara uyum sağlamayı,
• Süreçlerinin performansının ölçümünün sağlıklı veriler, doğru metot ve sistemlerle ölçülmesi ve sürekli iyileştirmeler için girdi sağlamayı,

Taahhüt eder.

Genel Müdür

1. AMAÇ:

Bilgi Güvenliği Yönetim Sistemi (BGYS) ve Kişisel Veri Yönetim Sistemi (KVYS) Politikalarının amacı; ASC HUKUK çalışanlarının, sistemlerinin, bilgi ve varlıklarının; gizlilik, bütünlük ve erişilebilirlik bakımından yapılması, uyulması gereken iş kurallarını hedeflemek ve bu hedefler kapsamında iş sürekliliğini sağlamaktır.

Kurumun amacı herhangi kimse üzerinde kısıtlayıcı politikalar üretmek değil aksine açıklık, güven ve bütünlüğe yönelik kültürü yerleştirmektir. Kurum bilerek veya bilmeyerek yapılan yasadışı veya zararlı eylemlere karşı çalışanın ve kurumun haklarını koruma altına almaktadır. Bilgi teknolojileri ile alakalı sistemler kurumun sahip olduğu değerlerdir. Güçlü bir bilgi güvenliği tüm çalışanların dâhil olduğu takım çalışmasıyla gerçekleştirilir. Bilgi güvenliğini sağlayabilmesi için tüm personelin bilgi güvenliği politikalarını iyi bilmeli ve uygulamanın sorumluluğunu taşımalıdırlar.

2. KAPSAM:

Bilgi Güvenliği ve Kişisel Veri Yönetim Sistemi dahilinde yapılan işlemler.

3. YAPTIRIM:

Bu politikalara uygun olarak hareket etmeyen tüm personeller hakkında Disiplin Yönetmeliğinin ilgili hükümleri uygulanacak olup yine bu konularda hüküm bulunmayan hallerde de ilgili mevzuat hükümleri uygulanacaktır. Müşteriler, tedarikçi ve ziyaretçiler için ise ilgili mevzuat hükümleri uygulanarak yasal süreç başlatılacaktır.

4. SORUMLULAR:

BGYS politikalarının, gözden geçirilmesi ve güncellenmesinden Bilgi Güvenliği Ekibi sorumludur. Bu politikalara uyulmasından tüm çalışanlar, tedarikçiler ve ziyaretçiler sorumludur.

5. POLİTİKA LİSTESİ

• P01 İnternet Erişim Politikası
• P02 E-Posta Politikası
• P03 Anti-Virüs Politikası
• P04 Şifre Politikası
• P05 Fiziksel Güvenlik Politikası
• P06 Sunucu Güvenlik Politikası
• P07 Ağ Yönetimi Politikası
• P08 Uzak Bağlantı Politikası
• P9 3. Taraf Güvenlik Politikası
• P10 Kabul Edilebilir Kullanım Politikası
• P11 Temiz Masa Temiz Ekran Politikası
• P12 Mobil Cihaz Politikası
• P13 Veritabanı Güvenlik Politikası
• P14 Değişim Yönetimi Politikası
• P15 Olay Yönetim Politikası
• P16 Kriptografik Kontroller Politikası
• P17 Güvenli Yazılım Geliştirme Politikası
• P18 Erişim Kontrol Politikası
• P19 Kimlik Doğrulama ve Yetkilendirme Politikası
• P20 Bilgi Güvenliği Rehberi Politikası
• P.21 İmha Politikası
• P.22 Log Yönetim Politikası
• P.23 Bulut Hizmeti Yönetim Politikası
• P.24 Uç Nokta Çihazların Kontrolü Politikası

6. BİLGİ GÜVENLİĞİ UYGULAMA POLİTİKALARI

P01 İNTERNET ERİŞİM POLİTİKASI

1. Amaç

Kurum içinde güvenli internet erişimi için sahip olması gereken standartların uygulanmasını amaçlamaktadır. İnternetin uygun olmayan kullanımı; kurumun yasal yükümlülükleri, kapasite kullanımı ve kurumsal imajı açısından istenmeyen sonuçlara neden olabilir. Bilerek ya da bilmeyerek bu türden olumsuzluklara neden olunmaması ve internetin kurallarına, etiğe ve yasalara uygun kullanılmasını belirlemektedir.

2. Kapsam

Bu politika kurum internetini kullanan tüm çalışanları ve ziyaretçileri kapsamaktadır.

3. Politika

a) Kurum ağlarına bağlı tüm bilgisayarlar içerik denetimi yapan bir uygulama üzerinden internete çıkacaktır. Kurum kültürüne ve yasalara uygun olmayan siteler yasaklıdır. Ancak yetkilendirilmiş sistem yöneticileri ve kişiler internete çıkarken bütün servisleri kullanma hakkına sahiptir.

b) Bilgisayarlar üzerinden yasalara aykırı internet sitelerine girmek ve dosya (film, müzik, program vb.) indirmek yasaktır.

c) Tunnel platformları, proxy ve dns değişiklikleri yapılarak internete bağlanılması yasaktır.

d) Başkalarının fikri haklarını ihlal edici mahiyette (copyright) materyalin (yazı, makale, kitap, film, müzik eserleri vb.) dağıtımı yasaktır.

e) Sistem ve ağ güvenliğinin ihlal edilmesi yasaktır, cezai ve hukuki mesuliyetle sonuçlanabilir. Kurum bu tür ihlallerin söz konusu olduğu durumları inceler ve eğer bir suç oluştuğundan şüphe duyulursa disiplin yönetmeliğini uygulayabilir veya yasa uygulayıcısı ile iş birliği yapabilir.

f) İnternet üzerinden kullanım amaçlarına uygunsuz, müstehcen, rahatsız edici materyaller ile kuruma ve kurumun çalışanlarına, bunların aile fertlerine veya Türkiye Cumhuriyeti devletine, ulusuna, yasama, yürütme ve yargı organlarına, askeri ve emniyet teşkilatına, vatandaşlarına yönelik iftira, karalama mahiyetinde mesajlar yayınlamak ve paylaşmak yasaktır.

g) Kullanıcıların internet üzerinden görevleri ile ilgisi bulunmayan, internet trafiğini kısıtlayabilecek veya zarar verebilecek online olarak yayın yapan televizyon, radyo, film, oyun vb. içerikli yayınların kullanılması yasaktır.

h) Çalışanların kurumsal e-posta adresleri ile forum, alışveriş vb. sitelere üye olması yasaktır.

i) Çalışanların kurum hesaplarına ait kullanıcı adı ve şifreleri internet üzerinden paylaşması yasaktır.

j) Çalışanların kurum internet ağı üzerinden yaptığı kişisel işlemlerde (banka, alışveriş, e-posta vb.) oluşacak olumsuzluklardan kurum sorumlu değildir, bu tür sebebler ile kurum veya kişisel hesabının bir başkasının eline geçmesine sebep olunması ve bu durumda gerçekleştirilebilecek muhtemel suçlardan kişi mesuldür.

k) İnternette gezinirken reklam veya bilgi çalmak amaçlı (tebrikler, ödül kazandınız, ödülünüzü almak için tıklayın vb.) aldatıcı resim ve yazılara karşı dikkatli olunmalı ve tıklanmamalıdır.

P02 E-POSTA POLİTİKASI

1. Amaç

Kurumsal e-postaların standartlara uygun, kesintisiz kullanım ve güvenliğinin sağlanması amaçlanmaktadır.

2. Kapsam

Bu politika kurum e-postasını kullanan tüm çalışanları kapsamaktadır.

3. Politika

a) Çalışanların kurum e-postalarından gönderdikleri, aldıkları veya sakladıkları e-postalar ASC HUKUK ’un bilgi varlığıdır. Bu nedenle kurumsal e-postaları yetkili kişiler gerekli durumlarda önceden haber vermeksizin denetleyebilir ve yasa uygulayıcıları ile paylaşabilir.

b) Kurumsal E-postalar bulut üzerinde saklanmaktadır.

c) Kişisel amaçlar için kurumsal e-posta kullanımı yasaktır. ASC HUKUK iş akdinin sona ermesi durumunda çalışanların kurumsal e-postalarına erişimini engeller ve çalışan ile e-posta yedeklerini paylaşma zorunluluğu yoktur.

d) İşten ayrılan çalışanların e-posta hesapları devre dışı bırakılır, e-postalarına erişimleri engellenir veya şifresi değiştirildikten sonra gerekli görülmesi halinde bu e-posta adresi ilgili kurum çalışanına yönlendirilebilir.

e) Çalışanların kişisel kullanım için kurumsal e-posta adresleri ile forum, alışveriş vb. sitelere üye olması yasaktır.

f) ASC HUKUK ’un e-posta gruplarına, kişisel kullanım amaçlı e-posta gönderilmesi yasaktır.

g) Kurumsal e-posta, yasadışı, taciz, suistimal veya herhangi bir şekilde alıcının haklarına zarar vermeye yönelik, spam, sahte, zincir e-posta ve bu e-postalara iliştirilmiş her türlü çalıştırılabilir dosya içeren e-postaların gönderilmesi için kesinlikle kullanılamaz. Bu tür özelliklere sahip bir e-posta alındığında hemen Bilgi İşlem Birimine haber verilmesi ve yetkili kişiler müdahale edene kadar e-postanın silinmemesi, yanıtlanmaması, iletilmemesi ve içeriğine tıklanmaması gerekmektedir.

h) E-posta gönderen çalışan, e-posta içeriğini dikkate alarak, sadece ilgili kişilere göndermelidir. E-posta gönderilmeden önce “kime” ve “bilgi” bölümlerine eklenen kişi listesi kontrol edilmelidir.

i) Çalışanlar, e-posta içeriğine kullanıcı adı ve şifre yazmamalıdır. Kullanıcı adı ve şifre talep edilen e-postalar alındığında hemen Bilgi İşlem Birimine haber verilmesi ve yetkili kişiler müdahale edene kadar e-postanın silinmemesi, yanıtlanmaması, iletilmemesi ve içeriğine tıklanmaması gerekmektedir.

j) Çalışanların; kurumsal e-posta ile uygun olmayan içeriklere sahip e-posta (pornografi, ırkçılık, siyasi propaganda, fikri mülkiyeti ihlal eden ve hakaret içeren vb.) göndermeleri yasaktır.

k) Kurum çalışanları, kurumsal e-postalarının herhangi bir kişi tarafından okunmamasını sağlamakla yükümlüdür.

l) Her bir gönderilen/alınan e-posta içeriğinin ve eklentilerinin toplam boyutu 50 MB ile sınırlıdır.

Çok gizli ya da kişisel veri barındıran dosyaların e-posta ile gönderilmesi durumunda, ilgili dosyalar şifrelenmelidir. Şifre farklı metodlar (sms, fotoğraf, sözlü beyan vb.) ile e-posta sahibine iletilmelidir.

P03 ANTİ-VİRÜS POLİTİKASI

1. Amaç

Bilgisayar ve sunucuların zararlı yazılımlardan korunması amaçlanmaktadır.

2. Kapsam

Bu politika tüm bilgisayarları ve sunucuları kapsamaktadır.

3. Politika

a) Kurumun bütün bilgisayarları ve sunucuları Anti-virüs yazılımına sahip olacaktır.

b) Hiçbir kullanıcı herhangi bir sebepten dolayı Anti-virüs programını sistemden kaldıramaz veya durduramaz.

c) Anti-virüs yazılımı düzenli aralıklar ile otomatik veya manuel olarak güncellenecektir.

d) Anti-virüs yazılımı anlık olarak bilgisayar ve sunucularda virüs taraması yapacaktır.

e) Virüs bulaşan makineler tam olarak temizleninceye kadar ağa bağlanmayacaktır.

f) İnternet üzerinden bilinmeyen ve şüpheli kaynaklardan indirilen dosyaların içerisinde virüs olabilir, bu tür kaynaklardan dosya indirilmesi yasaktır.

g) Bilgisayarlarda kullanılacak CD, DVD, USB gibi harici depolama aygıtlarını ve internet üzerinden indirilen dosyaları virüs taraması yapmadan kullanmak yasaktır.

P04 ŞİFRE POLİTİKASI

1. Amaç

Bilgi Güvenliğinin arttırılması için güçlü bir şifreleme oluşturulması ve şifrelerin güvenliğinin sağlanması amaçlanmaktadır.

2. Kapsam

Bilgisayar, sunucu ve uygulamaları kullanan tüm kullanıcı hesaplarını kapsamaktadır.

3. Politika

a) Bilgisayar kullanıcı hesaplarının şifreleri en az 10 karakter ve karmaşık şekilde büyük harf, küçük harf, rakam veya özel karakter (\ * ? - = / _ + % & vb.) kullanılması zorunludur.

b) Şifreleme bilgisayar güvenliği için önemli bir özelliktir. Kolay tahmin edilen (Aa123456, Ab123456, Qaz12345, Asd12345, memleket, çocuk, çalışanın kendi ismi, doğum tarihi, ardışık rakam ve harfler, İstanbul, Ankara vb.) şifreler kullanılması yasaktır.

c) Kurum içerisinde kullanılan tüm bilgisayarlar ve sunucuların şifreleri 180 günde bir değiştirilmesi zorunludur.

d) Bilgisayarlarda işlem yapılmadığı sürece otomatik olarak 10 dakika sonrasında şifreli ekran koruması devreye girecektir.

e) Kurumsal hesaplara ait şifrelerin herhangi bir kimseyle (iş arkadaşları, aile bireyleri vb.) paylaşılması yasaktır.

f) Kurumsal hesaplara ait şifreleri kâğıt veya elektronik ortamlara (e-posta, word, excel, forum siteleri vb.) yazılması ve paylaşılması yasaktır.

g) Çalışanların kurumda olmadığı ve bilgisayarına acil bağlanılması gerektiği durumlarda şifre çalışanlardan talep edilebilir, şifrenin paylaşılması durumunda iş bittikten sonra çalışan şifresi değiştirmek zorundadır.

h) Sistem yöneticileri kendi kullanıcı adı ve şifreleri ile sunuculara bağlanmalıdır, yerel yönetici (local admin) hesaplarının kullanılması yasaktır.

i) Kurum içinde kullanılan diğer uygulamaların (Firewall, Mail Gateway, Ortam Denetleme vb.) şifreleri de Şifre Politikasına uygun olarak tanımlanacaktır.

j) Kurum çalışanı olmayan harici kişiler için açılan kullanıcı hesaplarının şifreleri de Şifre Politikasına uygun olarak hazırlanacaktır.

P05 FİZİKSEL GÜVENLİK POLİTİKASI

1. Amaç

Kurumun bilgi varlıkları, ekipmanları ve alt yapı cihazlarının fiziksel güvenliği ve yetkisiz erişimlerinin önlenmesi amaçlanmaktadır.

2. Kapsam

Kurumun bilgi varlıkları, ekipmanları ve alt yapı cihazlarını kullananları kapsamaktadır.

3. Politika

a) Kurumsal bilgi varlıklarının dağılımı ve bulundurulan bilgilerin kritiklik seviyelerine göre binada ve çalışma alanlarında farklı güvenlik bölgeleri tanımlanacak ve erişim izinleri bu doğrultuda belirlenerek gerekli kontrol altyapıları teşkil edilecektir.

b) Resepsiyon personeli ASC HUKUK ’a gelen ziyaretçileri karşılayacak ve ilgili kişiye yönlendirilecektir.

c) ASC HUKUK ’a girişler ve ofis içi güvenlik açısından kamera ile kayıt altına alınarak izlenmektedir. Kamera kayıtları en az 1 ay saklanmaktadır.

d) Açık ofislerde ve odalarda bulunan gizli bilgi varlıklarının olduğu dolaplar ve çekmeceler kilitli ve kontrol altında tutulacaktır.

e) Kritik bilgi varlıkları ve altyapı cihazları kilitli odalarda ve kabinetlerde muhafaza edilecektir.

f) Bilgisayar ve çevre birimlerinin (harici diskler, yazıcı, monitör, projeksiyon vb.) kullanımı zimmetlenen kişiye aittir, bu ekipmanların fiziki güvenliğinin sağlanması kişinin sorumluluğundadır.

g) Kayıt, sözleşme, evrak vb. kişisel veri barındıran dokümanlar KVKK ya da diğer mevzuatlardan kaynaklı oluşabilecek sorunlara karşı güvenli ortam ya da önlemleri alınmış arşivlerde saklanmalıdır. İlgili dokümanların saklanması sırasında KVKK kapsamında beyan edilen saklama süreleri dikkate alınmalıdır.

h) Resepsiyon görevlisi gelen kişinin kaydını alarak görüşmek istediği kişiden teyit almak suretiyle yönlendirme yapılacaktır.

P06 SUNUCU GÜVENLİK POLİTİKASI

1. Amaç

Kurumun sahip olduğu sunucuların temel güvenlik kurallarını oluşturmayı amaçlamaktadır.

2. Kapsam

Bu politika kurumun sahip olduğu bütün sunucuları kapsamaktadır.

3. Politika

a) Kurum bünyesindeki bütün sunucuların yönetiminden sadece yetkilendirilmiş sistem yöneticileri sorumludur.

b) Tüm sunuculara BT Biriminin yetkilendirdiği kişiler dışında erişim yapılması yasaktır.

c) Sunucu işletim sistemleri üzerindeki kullanılmayan servisler ve uygulamalar kapatılmalıdır.

d) Kullanılmayan sunucular güvenlik, performans ve elektrik tasarrufu açısından kapalı tutulacaktır.

e) Sunucular üzerinde yapılan işlemlerin log kayıtları en az 2 ay saklanacaktır.

f) Sunucuların kaynakları (cpu, ram, disk, ağ trafiği vb.) düzenli olarak kontrol edilecektir.

g) Sunucuların yönetimi için her kullanıcı kendi hesabı ile bağlantı yapacaktır. Sunuculara dışarıdan yapılan bağlantılar Uzak Bağlantı Politikasının belirlediği kurallara göre gerçekleştirilecektir.

h) Sunucular fiziksel olarak güvenlik önlemi alınmış sistem odalarında bulundurulacaktır.

i) Sistem odaları sıcaklık, nem değerleri ve su basmasına karşı denetlenecektir.

j) Sistem odası sıcaklık derecesi tavsiye edilen (18-24) seviyede tutulacak şekilde soğutulacaktır.

k) Sistem odalarındaki ekipmanların bakımları düzenli olarak yapılacak ve bakım kayıtları tutulacaktır.

l) Sistem odaları elektrik kesintilerine ve voltaj değişkenliklerine karşı korunacaktır, yangın ve benzer felaketlere karşı koruma altına alınacaktır.

m) Kişisel verilerin bulunduğu sunucu ve sistemlere erişim log kayıtları yetkisiz değişiklikleri engelleyecek şekilde saklanmalı ve korunmalıdır.

P07 AĞ YÖNETİMİ POLİTİKASI

1. Amaç

Kurumun bilgi teknolojileri ağında yer alan bilgilerin, ağ alt yapısının ve ekipmanların güvenliğini ve sürekliliğini sağlamayı amaçlamaktadır.

2. Kapsam

Kurum bünyesindeki ağ altyapısı, ekipman ve kullanıcıları kapsamaktadır.

3. Politika

a) Ağ ekipmanları Bilgi İşlem Biriminin yetkilendirdiği kişiler tarafından erişilebilecek ve yönetilebilecektir. Kurum ağına ve ağ ekipmanlarına yetkisiz erişim yasaktır.

b) Bilgi teknolojileri ağlarının ve bağlı sistemlerin iş sürekliliğini sağlamak için yedek ağ ekipmanları bulundurulacaktır.

c) Ağ cihazlarının konfigürasyonları her değişiklikten sonra yedeklenecektir.

d) Uzaktan bağlantı için kullanılacak portların güvenliği sağlanacaktır.

e) Ağ cihazları yılda en az 1 defa açıklık (sızma) tarama testlerinden geçirilerek zafiyetler tespit edilecek ve gerekli tedbirler alınarak güvenli hale getirilecektir.

f) Kurumun bilgi teknolojileri ağı detaylı olarak takip (monitoring) ve analiz edilecektir.

P08 UZAK BAĞLANTI POLİTİKASI

1. Amaç

Kurumun bilgi teknolojileri sistemlerine dışarıdan yapılacak olan uzak bağlantıların güvenliğinin sağlanması amaçlanmaktadır.

2. Kapsam

Bu politika bilgi teknolojileri sistemlerine dışarıdan bağlantı yapacak tüm kurum çalışanlarını ve paydaşlarını kapsamaktadır.

3. Politika

a) Uzaktan bağlantı sadece VPN ile yapılmaktadır.

b) Uzaktan erişim için yetkilendirilmiş kurum çalışanları veya tedarikçiler yerel ağdaki kullanıcılar ile eşit sorumluluklara sahip olacaktır.

c) VPN kullanım hakkı verilen kişiler listelenecek ve en az yılda 1 kez düzenli olarak kontrol edilecektir.

d) VPN kullanım hakkı verilen kişilerin kullanıcı hesap bilgilerini başkalarıyla paylaşması yasaktır.

e) Kurum bilgisayarları haricinde VPN bağlantısı yapılacak cihazlarda anti-virüs yazılımları kurulu ve güncel olmak zorundadır.

f) Kurum gerekli gördüğü durumlarda herhangi bir uyarıda bulunmadan VPN bağlantı erişimlerini kesme hakkına sahiptir.

P09 3. TARAF GÜVENLİK POLİTİKASI

1. Amaç

Kurumun bilgi teknolojilerine ve bilgi varlıklarına üçüncü taraflar tarafından ulaşılması durumunda güvenliğinin sağlanması amaçlanmaktadır.

2. Kapsam

Bu politika tüm çalışanları ve paydaşları (tedarikçiler, müşteriler, ziyaretçiler, bakım firmaları vb.) kapsamaktadır.

3. Politika

a) Kurum paydaşları ile bilgi teknolojileri sistemlerimize veya bilgi varlıklarına müdahale, test, bakım onarım vb. amaç ile geldiklerinde Gizlilik Sözleşmesi yapılacaktır ve bulundukları sürece kurum politikalarına uygun hareket etmekle yükümlüdürler.

b) Kurum paydaşları bilgi teknolojileri sistemlerimize veya bilgi varlıklarımız üzerinde yapacakları çalışmaları Bilgi İşlem Birimine bildirmek zorundadır.

c) Kurum paydaşları bilgi teknolojileri sistemlerimize veya bilgi varlıklarına, kendilerine verilen yetki kapsamında erişim sağlayacaktır.

d) Kurum paydaşları bilgi teknolojileri sistemlerimize veya bilgi varlıklarına erişim yetkileri, çalışma alanlarını kapsayacak şekilde kısıtlı yetki verilecektir. İşlem logları saklı tutulacak ve çalışma bittikten sonra verilen yetkiler hemen geri alınacaktır.

e) Kurum paydaşlarına bilgi teknolojileri sistemlerimize eriştikleri süre boyunca Bilgi İşlem Biriminin belirlediği yetkili personel tarafından refakat edilecektir.

f) Kurum paydaşlarına bilgi teknolojileri sistemlerimize veya bilgi varlıklarına erişim izni verilecek bilgisayarlar/mobil cihazlar için UZAK BAĞLANTI POLİTİKASI uygulanacaktır. Kurum gerekli gördüğü durumlarda herhangi bir uyarıda bulunmadan VPN bağlantı erişimlerini kesme hakkına sahiptir.

g) Firmamızın sorumlu olduğu kişisel verilerin güvenliğinin sağlanabilmesi için tedarikçiler ile “Kişisel Verilerin Korunmasına İlişkin Taahhütname” imzalatılmalıdır. Taahhütnameyi imzalamayan tedarikçiler ile çalışılmamalıdır.

h) Tedarikçilerin Kişisel Veri Güvenlik Politikası kurallarına uygun hareket etmesi istenmelidir.

i) Kişisel veriler 3.taraf kişi/kurumlara aktarılırken teknik ve idari tedbirleri alınmalıdır. 3. Taraflara kişisel veri aktarımında, kişisel veriler şifreli gönderilmelidir.

j) Kişisel verilerin kullanılmasını gerektiren sebeplerin ortadan kalkması hâlinde verilerin aktarıldığı 3.taraf kişi/kurumlar bilgilendirilmelidir.

P10 KABUL EDİLEBİLİR KULLANIM POLİTİKASI

1. Amaç

Bilgi teknolojileri sistemlerine ve bilgi varlıklarına Gizlilik, Bütünlük ve Erişilebilirlik sınıfları açısından yapılması ve uyulması gereken iş kurallarını çalışanlara bildirmeyi amaçlamaktadır.

2. Kapsam

Bu politika tüm müdürlükler/çalışanları ve paydaşları (tedarikçiler, müşteriler, ziyaretçiler vb.) kapsamaktadır.

3. Politika

a) Çalışanlar, kurumun kendilerine tahsis etmiş olduğu bilgisayarlar veya cihazlar üzerinde kişisel veri bulunduramaz. Bu cihazlar kuruma aittir ve iş amaçlı kullanım için verilmiştir. Kurum gerekli gördüğünde çalışana herhangi bir uyarıda bulunmadan bu cihazları geri alma hakkına sahiptir.

b) Kurum bilgisayarının veya cihazlarının, çalışandan alınması durumunda; çalışanın cihazlar üzerindeki kişisel verileri için erişim yetkisi istemesi halinde kurum bilgisayar veya cihazlara erişim izni vermeme hakkına sahiptir.

c) Bilgi İşlem Biriminin Gizli olarak belirlediği tüm bilgilerin gizliliğine uyulması zorunludur. Bu bilgilerin izinsiz olarak kopyalanması, çoğaltılması, paylaşılması ve iletilmesi yasaktır.

d) Tüm çalışanlar, kendilerine tahsis edilmiş bilgisayar / cihazların erişim bilgilerini ve güvenliğini korumakla sorumludur ve paylaşması yasaktır.

e) Çalışanların, bilgisayarından anti-virüs koruma yazılımını devre dışı bırakması yasaktır.

f) Çalışanların kuruma ait bilgisayar ve cihazlarda kaynağı belli olmayan ve üretici firması tarafından kopya edilmesi yasaklanmış bir yazılımı kullanması veya kopyalaması yasaktır.

g) Kuruma ait bilgisayarlara ve cihazlara lisanssız program yüklenmesi yasaktır.

h) Kullanıcıların kurumun kendilerine tahsis etmiş olduğu bilgisayar, cihaz ve kurum dosya sunucusu üzerinde kuruma ait bilgi, belge ve programlar haricinde (müzik, film vb.) dosya bulundurması veya paylaşması yasaktır.

i) Kullanıcıların kurumun kendilerine tahsis etmiş olduğu bilgisayar veya cihazlar üzerinde iş amacı haricindeki programları (oyun, eğlence vb.) kullanması yasaktır.

j) Kritik dokümanlara erişim yetkisi bulunan kullanıcı, içeriğindeki bilginin uygun bir şekilde korunmasından sorumludur.

k) Çalışanlar, “Gizli” belgeleri kilitli dolaplarda muhafaza edecektir.

l) Sunucu ve bilgisayarların saatleri kullanıcılar tarafından değiştirilemez. Saatler sistem tarafından otomatik olarak yönetilmektedir.

m) Çalışan, taşınabilir cihazları (laptop, tablet, cep telefonu, harici disk vb) güvenlik açıklarına karşı daha dikkatle korumak zorundadır. Sadece gerekli olan bilgiler bu cihazlar üzerinde saklanmalıdır. Cihazların çalınması veya kaybolması durumunda en kısa zamanda Bilgi Güvenliği Ekibine haber verilmesi gerekmektedir.

n) Çalışanların kurumun tahsis ettiği bilgisayar ve cihazları kendisi dışında herhangi bir kimseye (iş arkadaşları, aile bireyleri vb.) kullandırması ve paylaşması yasaktır.

o) Tüm iş süreçlerine ilişkin bilgiler ortak dosya sunucusunda saklanacaktır, kişisel bilgisayarlarda tutulmayacaktır.

p) Çalışanlar, kişisel veri güvenliği ile ilgili sorunların önüne geçebilmesi için Kişisel Veri Güvenlik Politikası kurallarına uymaları gerekmektedir.

q) Ortak kullanılan cihazların (yazıcı, fax, fotokobi vb.) üzerinde kişisel veri barındıran belgeler bırakılmamalıdır.

r) Kişisel veri barındıran donanımlar kesinlikle parola güvenliği ile korunmalıdır.

s) 3. Taraf olan alakasız kişiler ile personel, müşteri, tedarikçi, yönetici kişisel bilgileri paylaşılmamalıdır.

P11 TEMİZ MASA TEMİZ EKRAN POLİTİKASI

1. Amaç

Çalışanların mesai saatleri içi veya dışında görevleri gereği kullandığı bilgilerin (yazılı doküman, belgeler, formlar, bilgisayarlar vb.) yetkisiz erişim veya uygunsuz kullanımı sonucunda oluşabilecek riskleri ortadan kaldırmayı amaçlamaktadır.

2. Kapsam

Bu politika kurumun tüm çalışanlarını kapsamaktadır.

3. Politika

a) Çalışma masasından ayrıldığında basılı doküman ya da taşınabilir depolama aygıtları üzerinde tutulan bilgiler güvenlikli ortamlarda (çelik kasa, kilitli dolap ve çekmeceler vb.) saklanacaktır.

b) Her türlü faks, fotokopi, yazıcı vb. cihazlar üzerinde yetkisiz erişimlere karşı belge, doküman vb. bırakılmayacak ve sürekli kontrol edilecektir.

c) Bilginin kullanıldığı sistemler (sunucular, kamera DVR cihazları, bilgisayar, cep telefonları vb.) şifresiz kullanılmayacak ve korumasız bir şekilde bırakılmayacaktır.

d) Bilgi teknolojileri sistemlerinde kullanılan kullanıcı adı ve şifreler bilgisayar veya masa üzerinde yazılı olarak bulundurulmayacaktır.

e) İhtiyaç duyulmadığına karar verilen dokümanlar ve içinde bilgi bulundurulabilecek elektronik cihazlar uygun metotlarla (kâğıt öğütücü, disk/disket kıyıcı, yakma vb.) imha edilecektir.

f) Gizli olarak tanımlanan (sözleşme, fatura, kişisel veri içeren, şartnameler, veri dokümanları vb.) dokümanlar ve kopyaları, müsvedde olarak kullanılmayacak ve kağıt öğütücü ile imha edilecektir.

g) Çalışanların kullandığı kurum bilgisayarları 10 dakika boyunca herhangi bir işlem yapılmadığında otomatik olarak kilitlenecektir. Ayrıca bu işlem Windows + L tuşuna basılarak anlık olarak yapılabilecektir.

h) Kullanıcılar bilgisayarlarının masaüstlerindeki dosyalarını, düzenli olması için klasörler içerisinde muhafaza edeceklerdir.

i) Gizli olarak tanımlanan (sözleşme, fatura, kişisel veri içeren, şartnameler, veri dokümanları vb.) dokümanlar ve kopyaları, müsvedde olarak kullanılmamalı ve kâğıt öğütücü ile imha edilmelidir.

j) Kişisel verilerin çıktıları alınırken ihtiyaç duyulan (ölçülü) kadar çıktı alınmalıdır. Çıktısı alınan veriler Bilgi Sınıfları Planında belirtilen saklama, etiketleme vb. hususlar dikkate alınarak işlenmeli ve depolanmalıdır.

P12 MOBİL CİHAZ POLİTİKASI

1. Amaç

Kuruma ait bilgi içeren mobil cihazların güvenli kullanım ve yönetimini amaçlamaktadır.

2. Kapsam

Kuruma ait bilgi içeren tüm mobil ve taşınabilir cihazları kapsar.

3. Politika

a) Kuruma ait mobil ve kişisel veri içeren cihazlar (cep telefonu, dizüstü bilgisayar, usb bellek, harddisk, tablet vb.) ilgili kişiye zimmetlenerek teslim edilmelidir.

b) Her çalışan kendisine zimmetlenen cihazın güvenliğinden ve amacına uygun kullanımından sorumludur.

c) Kuruma ait bilgi içeren mobil cihazlara yetkisiz müdahaleyi önlemek için kullanıcı tarafından şifre tanımlanması zorunludur.

d) Kuruluş telefon hatları ve mobil cihazlar üzerinden kullanım amaçlarına uygunsuz, müstehcen, rahatsız edici materyaller ve başkalarına iftira, karalama mahiyetinde iletişim kurmak, mesajlar yayınlamak ve paylaşmak yasaktır.

e) Kurumun tahsis ettiği mobil cihazların kendisi dışında herhangi bir kimseye (iş arkadaşları, aile bireyleri vb.) kullandırılması ve paylaşılması yasaktır.

f) Mobil cihazlarda ne tür bilgiler saklandığının farkında olunmalı ve kuruma ait bilgiler mümkün olduğunca mobil cihazlar üzerinde bulundurulmamalıdır.

g) Özel nitelikli kişisel verilerin kurum dışına taşınması gereken durumlarda ilgili medya kriptolanmalı ya da verinin olduğu dosya şifreli olacak şekilde sıkıştırılarak kurum dışına çıkarılmalıdır. Oluşturulan şifreler kompleks yapıda olmalıdır.

h) Usb aygıtlarında kişisel veri bulunuyorsa ve şifrelenemiyorsa, ilgili usb aygıtlarının içeriğinde kişisel veri olduğunun anlaşılması için beyaz etiket yapıştırılmalıdır.

i) İçeriğinde kişisel veri barındıran medya ve bilgisayarları, verileri işleyen firma personeli kullanmalı ve taşınmalıdır.

P13 VERİTABANI GÜVENLİK POLİTİKASI

1. Amaç

Kurumun veri tabanı sistemlerinin güvenli kullanım ve yönetimini amaçlamaktadır.

2. Kapsam

Tüm veri tabanı sistemlerini kapsar.

3. Politika

a) Veri tabanında kritik verilere her türlü erişim işlemlerinin (okuma, değiştirme, silme, ekleme) log kayıtları tutulacaktır. Log kayıtlarına, Bilgi İşlem Biriminin yetkilendirdiği kişiler dışında erişim yapılması yasaktır.

b) Veri tabanı sunucularına bağlanma yetkisine sahip kullanıcılar sadece kendi kullanıcı adı ve şifresi ile bağlantı yapacaktır.

c) Sunucularda bulunan veri tabanlarının kritiklik seviyelerine göre yedekleri alınacaktır.

d) Veri tabanı sunucuları fiziksel olarak güvenlik önlemi alınmış sistem odalarında bulundurulacaktır.

e) Veri tabanlarında yapılacak bakım onarım ve güncelleme çalışmalarından önce ilgili birimlere duyuru yapılacaktır.

f) Veri tabanı bulunan medyalar (harici disk, usb bellek vb.) kurum dışına çıkarılmayacaktır.

g) Veri tabanı sunucularının kaynakları (cpu, ram, disk, ağ trafiği vb.) düzenli olarak kontrol edilecektir.

h) Veri tabanlarına kurum dışından erişim sağlayan firmalar ile GİZLİLİK SÖZLEŞMESİ yapılacaktır.

P14 DEĞİŞİM YÖNETİMİ POLİTİKASI

1. Amaç

Kurumun bilgi teknolojileri sisteminde yapılması gereken yazılımsal ve donanımsal değişikliklerde süreklilik ve güvenliği sağlamayı amaçlamaktadır.

2. Kapsam

Bu politika kurumun tüm çalışanlarını kapsamaktadır.

3. Politika

a) Yazılımsal ve donanımsal değişiklikler yapılmadan önce, bu değişiklikten etkilenecek tüm sistem ve uygulamalar belirlenerek ilgili kişilere bilgi verilecektir.

b) Yazılımsal ve donanımsal değişikler gerçekleştirilmeden önce değişikliğin yapılacağı sistemlerin yedekleri alınacaktır.

c) Sistemlerde yapılacak değişikliklerde ilgili üretici tarafından onaylanmış güncellemeler kullanılacaktır.

d) Yazılımsal ve donanımsal değişiklikler sisteme alınmadan önce Bilgi İşlem Birimi tarafından onaylanacaktır.

P15 OLAY YÖNETİM POLİTİKASI

1. Amaç

Bilgi güvenliği olaylarının kayıt altına alınması ve yönetilmesini amaçlamaktadır.

2. Sorumlular

Bu politikanın uygulanmasından tüm personel sorumludur.

3. Politika

a) Bilginin gizlilik, bütünlük ve erişilebilirlik açısından zarar görmesi, bilginin son kullanıcıya ulaşana kadar bozulması, değişikliğe uğraması ve başkaları tarafından ele geçirilmesi, yetkisiz erişim gibi güvenlik ihlali durumları düzenli olarak kayıt altına alınacaktır. Yaşanan olaylar Bilgi Güvenliği Olay Yönetimi Politikasına göre yönetilecektir.

b) Bilgi Güvenliği olayının kaynağı Bilgi Güvenliği Ekibi tarafından araştırılacak ve olayın önemlilik seviyesine göre müdahale edilecektir.

c) Bilgi güvenliği olayı kanıtları (log, fotoğraf, video vb) Bilgi Güvenliği Ekibi tarafından saklanacaktır.

d) Yaşanan Bilgi Güvenliği olayları cezai ve hukuki mesuliyetle sonuçlanabilir. Kurum bu tür ihlallerin söz konusu olduğu durumları inceler ve eğer bir suç oluştuğundan şüphe duyulursa disiplin yönetmeliğini uygulayabilir veya yasa uygulayıcısı ile iş birliği yapabilir.

e) Bilgi Güvenliği olayları analiz edilerek tekrarlanmaması için gerekli önlemler alınacaktır.

f) Kişisel veriler ile ilgili bir ihlal gerçekleşmesi durumunda aynı gün Veri Sorumlusu İrtibat Kişisi bilgilendirilmelidir. İhlal Veri Sorumlusu İrtibat Kişisi tarafından 3 gün içerisinde KVKK ‘ya https://ihlalbildirim.kvkk.gov.tr adresinden bildirilmelidir.

g) Kişisel veri ihlalleri yaşanması durumunda KVKK Yönetim Prosedürü ‘nde belirtilen adımlara göre ihlaller yönetilmelidir.

P16 KRİPTOGRAFİK KONTROLLER POLİTİKASI

1. Amaç

Bilgi varlıklarının saklandığı sistemlerin ve bilgi varlıklarının transferinin gizliliğini veya bütünlüğünün şifreleme yöntemleri ile korunması amaçlanmaktadır.

2. Kapsam

Bu politikanın uygulanmasından tüm personel sorumludur.

3. Politika

a) Gizli olarak ifade edilen bilgi varlıklarının paylaşımında güçlü şifreleme algoritması kullanılacaktır. Bu bilgi varlıklarının paylaşımı sırasında Winrar vb. programlar ile sıkıştırılarak şifrelenecektir.

b) Mobil cihazlardaki verilerin korunmasında şifre kullanılmalıdır.

c) E-posta hesabı kurulu akıllı telefonlarda telefon kilidi kullanılması zorunludur.

d) Tanımlanan şifreler belirli aralıklarla değiştirilmelidir.

e) Bilgisayar hesap şifreleri kolay tahmin edilmeyen karmaşık şifreler olmalıdır.

f) Kurumun e-posta sistemi SSL sertifikası ile şifrelenmektedir.

g) Özel nitelikli kişisel verilerin kurum dışına taşınması gereken durumlarda ilgili medya kriptolanmalı ya da verinin olduğu dosya şifreli olacak şekilde sıkıştırılarak kurum dışına çıkarılmalıdır. Oluşturulan şifreler kompleks yapıda olmalıdır.

h) Özel nitelikli kişisel veriler, kurum içinde sadece sorumluluk verilen personel tarafından ulaşılabilir olmalı ve işlenmelidir. Verilerin kurum içinde farklı bir ortamda yer alması durumunda kriptolu ya da şifreli olmalıdır.

i) Kişisel verilerin veri sahipleri ya da müşteriler tarafından girişlerinin yapıldığı web ara yüzlerinde https kaynaklı internet siteleri kullanılarak ilgili kişisel verilerin şifre korumalı olarak elde edilmesi sağlanmalıdır.

j) Firmamıza ait sitelerin SSL sertifika süreleri belirli periyodlarda kontrol edilmelidir

P17 GÜVENLİ YAZILIM GELİŞTİRME POLİTİKASI

1.Amaç

Bu politikanın amacı ASC HUKUK bilgi güvenliği güvenli yazılım geliştirme süreçlerinin güvenlik ve sistem sürekliliğini aksatmayacak şekilde yürütülmesini amaçlamaktadır. Bilgi varlıklarının saklandığı sistemlerin ve bilgi varlıklarının transferinin gizliliğini veya bütünlüğünün şifreleme yöntemleri ile korunması amaçlanmaktadır.

2.Kapsam

Bu politikanın uygulanmasından tüm personel sorumludur.

3.Politika

a) Yönetim sadece uygun yazılım projelerinin başlatıldığından ve proje altyapısının uygun olduğundan emin olmalıdır.

b) Uygulama yazılımlarının kurum içerisinde mi hazırlanacağı yoksa satın mı alınacağının belirlenmesi, uygun bir şekilde tanımlanmalıdır.

c) Sistem geliştirmede, ihtiyaç analizi, fizibilite çalışması, tasarım, geliştirme, deneme ve onaylama safhalarını içeren sağlıklı bir iş planı kullanılmalıdır.

d) Kurum içinde geliştirilmiş yazılımlar ve seçilen paket sistemler, ihtiyaçları karşılamalıdır.

e) Yazılım geliştirme ve temin politikalarına uygun olmayan, ulusal ve uluslararası yazılım geliştirme standartları çerçevesinde geliştirilmemiş ve kurum talebi olmaksızın üretilmiş olan yazılımların kurumsal sistemler üzerine entegre edilmesine izin verilmemelidir.

f) Hazırlanan sistemler mevcut prosedürler dâhilinde, işin gerekliliklerini yerine getirdiklerinden ve iç kontrol yapıldığından emin olunması açısından test edilmeli, yapılan testler ve test sonuçları belgelenerek onaylanmalıdır.

g) Yeni alınmış veya revize edilmiş bütün yazılımlar test edilmeli ve onaylanmalıdır.

h) Yeni yazılımların dağıtımı ve uygulanması kontrol altında tutulmalıdır.

i) Yazılımlar sınıflandırılmalı/etiketlenmeli ve envanterleri çıkarılarak varlık envanterinde güncellenmelidir.

j) Kurumsal yazılım geliştirme esasları yayınlanmışsa ona uygun geliştirme talep edilmelidir. Fonksiyon isimlendirme, yorum kullanımı, kullanılan yazılım dili vb.

k) Kurumda kişisel olarak geliştirilmiş yazılımların kullanılması engellenmelidir.

l) Eski sistemlerdeki veriler tamamen, doğru olarak ve yetkisiz değişiklikler olmadan yeni sisteme aktarılmalıdır.

m) Yazılım danışmanı tarafından geliştirilen web sayfası önce test ortamında doğrulaması yapılmalı, sonrasında canlı ortama alınmalıdır.

n) Halka açık ağ ya da hizmetlerin (web sayfaları) https, katmanlı doğrulama, veritabanı güvenliği, DMZ vb. güvenlik önlemlerinin olmaması durumunda kişisel veri girişleri engellenmelidir. Yazılım geliştirmeleri yapılarak gerekli önlemler alındıktan sonra kişisel veri girişleri sağlanmalıdır.

o) Müşteriler ile yapılan sözleşme ve yasal mevzuat kaynaklı yükümlülükler dikkate alınarak yazılım geliştirme yapılmalıdır.

p) Yazılım geliştirme faaliyetleri için dışarıdan destek alınması durumunda, müşteri sözleşmesi ve yasal mevzuatlardan kaynaklı sorumluluklar ilgili destek firması ile yapılan sözleşmelere eklenmelidir. Kişisel ve gizli bilgi güvenliğine ilişkin sözleşme yapılmadan tedarikçi ile veri paylaşımı yapılmamalıdır.

q) Yazılım geliştirme faaliyetlerinde kabul görmüş uluslararası standart ve prensipler referans alınarak çalışmalar yürütülmelidir.

P18 ERİŞİM KONTROL POLİTİKASI

1.Amaç

Bu politika; yetkili kullanıcı erişimini sağlamak ve yetkisiz erişimi önlemek amacıyla oluşturulmuştur

2.Kapsam

ASC HUKUK ’un müşteriye, çalışanlarına ve tedarikçilerine sunduğu yazılım ve donanım sistemlerinde, yetkili ve yetkisiz kullanıcı erişimleri, yeni kullanıcıların kayıt başlangıçlarından, bilgi sistemlerine ve hizmetlerine erişim gereksinimi artık kalmamış kullanıcıların son kayıttan çıkışlarına kadar olan basamakları içermelidir.

3.Politika

a) Ofise giriş, Giriş sisteminde bulunan kameralar ile her personelin giriş çıkışları izlenmelidir.

b) Kullanıcı yetkilendirilmeleri birim bazında yapılmalıdır.

c) ISO Dokümanları için, ortak kullanıma açık dizinler oluşturulmuştur.

d) Paylaşımlar sistem yöneticisi tarafından belirlenmektedir.

e) Ağ bağlantıları için kullanıcı parolaları İşletim Prosedürüne göre verilmektedir.

f) Kurumda mümkün olduğunca SSL ya da benzeri güvenlik protokollerinin kullanılması benimsenmiştir.

g) Kişisel ve özel nitelikli kişisel verilere erişim talepleri üst yönetimin onayı ile verilmelidir.

h) Çok gizli ve kişisel veri bulunan sistemlere ayrıcalıklı erişim sağlayan personel ve üçüncü taraf kişi / kurumların log kayıtları ya da ekran hareketlerinin görüntüsü alınmalıdır.

P19 KİMLİK DOĞRULAMA VE YETKİLENDİRME POLİTİKASI

1.Amaç

Kurumun bilgi sistemlerine erişimde kimlik doğrulaması ve yetkilendirme politikalarını tanımlamaktır.

2.Kapsam

ASC HUKUK, bilgi sistemlerine erişen kurum personeli ile kurum dışı kullanıcılar bu politika kapsamı altındadır.

3.Politika

a) Kurum sistemlerine erişecek tüm kullanıcıların kurumsal kimlikleri doğrultusunda hangi sistemlere, hangi kimlik doğrulama yöntemi ile erişeceği belirlenecektir.

b) Kurum sistemlerine erişmesi gereken firma kullanıcılarına yönelik ilgili profiller ve kimlik doğrulama yöntemleri tanımlanacak.

c) Kurum bünyesinde kullanılan ve merkezi olarak erişilen tüm uygulama yazılımları, paket programlar, veri tabanları, işletim sistemleri ve log-on olarak erişilen tüm sistemler üzerindeki kullanıcı rolleri ve yetkiler belirlenmeli, denetim altında tutulmalıdır.

d) Erişim ve yetki seviyelerinin sürekli olarak güncelliği temin edilmelidir.

e) Kullanıcılar da kurum tarafından kullanımlarına tahsis edilen sistemlerin güvenliğinden sorumludur.

f) Sistemler başarılı ve başarısız erişim logları düzenli olarak tutulmalıdır.

g) Kullanıcılar kendilerine verilen erişim şifrelerini gizlemeli ve kimseyle paylaşmamalıdır.

h) Sistemlere log-on olan kullanıcıların yetki aşımına yönelik hareketleri izlenmeli ve kayıt alınmalıdır.

i) Kullanıcı hatalarını izleyebilmek üzere her kullanıcıya kendisine ait bir kullanıcı hesabı açılmalıdır.

j) İşten ayrılan eski personellerin hesapları kapatılır. Yeni işe başlayan personele, eski kullanıcı hesabından erişim sağlaması engellenir. Yeni işe başlayan her personel için ayrı hesap oluşturulur.

k) Firmamız, verilerini işleyen üçüncü taraf firmalar ile yapacağı sözleşmelerde; firmamızın verilerini işleyen personellerin işten ayrılması durumunda, veri güvenliği alınmadan zimmetli ürünün başka operasyon yürüten personellere teslim edilemeyeceğine ilişkin hükümler eklenmesine dikkat edilmelidir.

P.21 İMHA POLİTİKASI:

Amaç:

Bu politika; kullanıcıların firmamızın sorumlu olduğu kişisel ve kurumsal bilgilerin imhası sırasında dikkat edilmesi gereken hususların anlatılması amaçlanmaktadır.

Kapsam:

Firmamızın sorumlu olduğu tüm kişisel ve kurumsal bilgiler ile bilgilerin bulunduğu ortamları kapsamaktadır.

Uygulama

a) Kişisel verilerin imhası gerçekleştirileceği zaman Kişisel Veri Saklama ve İmha Politikası dikkate alınarak imhalar gerçekleştirilmeli ve gerçekleştirilen imhalar kayıt altına alınmalıdır.

b) Kişisel verilerden saklama süreleri dolan veri olup olmadığı en geç 6 ayda bir kontrol edilmelidir.

c) Elektronik cihazların imhasına karar verilmesi durumunda depolama alanları (harddisk) çıkartılarak bilgi işlem personeline teslim edilmelidir. Çıkartılan depolama alanları bilgi işlem personeli kontrolünde saklanmalıdır.

d) Saklanan yada ihtiyaç duyulmayan donanımların ihması aşamasında İmha Tutanağı Formu kullanılmalıdır.

e) Gerek duyulması halinde atık hale gelen elektronik cihazlar Çevre ve Şehircilik Bakanlığı’ndan atık elektrikli ve elektronik eşya işleme konusunda lisansa sahip firmalar ile sözleşme yapılarak, imha işlemleri yapılabilir. Bu tarz durumlarda teslim edilen imha edilecek ürün bilgisi İmha Tutanağı Formu ile kayıt altına alınmalıdır.

f) İhtiyaç duyulmadığına karar verilen dokümanlar uygun metotlarla (kâğıt öğütücü, yakma vb.) imha edilmelidir. İmha yöntemleri Kişisel Veri Saklama ve İmha Politikası ‘nda detaylandırılmıştır.

g) Gizli olarak tanımlanan (sözleşme, fatura, kişisel veri içeren, şartnameler, veri dokümanları vb.) dokümanlar ve kopyaları, müsvedde olarak kullanılmamalı ve kâğıt öğütücü ile imha edilmelidir.

h) Kişisel veri barındırılan medyaların yeniden kullanılması gereken durumlarda, eski verilere tekrar erişimin engellenebilmesi için özel wipe (silme) uygulamaları kullanılmalıdır.

P.22 LOG YÖNETİM POLİTİKASI

Amaç:

Firmamızın sahibi ve sorumlusu olduğu kullanıcı, sistem ve müşteri log kayıtlarının korunmasına ilişkin kuralların belirlenmesi amaçlanmaktadır.

Kapsam:

Logların olduğu sistem ve lokasyonları kapsamaktadır.

Uygulama:

a) Logların yönetimi, log alınacak sistemlerin belirlenmesi ile başlar. Firmamızın kullandığı uygulama, sistem ve erişim log kayıtları alınması KVKK açısından önem arz etmektedir. Yasal ve operasyonel gereksinimler öncelikli olarak göz önünde bulundurulmalıdır. Bu amaçla loglama yapılacağı belirlenen altyapı kaynağında ne tür vakalar için hangi logların üretileceğine ve loglar üzerinde ne tür korelasyon kuralları uygulanacağına Yazılım Birimi ve varsa anlaşmalı firma ile birlikte karar verilir.

b) Yavaşlama veya sistem kesintisine sebep olmayacak ölçüde log üretilmelidir.

c) Karar verilen log bilgilerinin haricinde, yüksek miktarda loglama yapılmamalıdır.

d) Logların yedekleri kayıtları üreten uygulama, donanım ya da sistem haricinde farklı bir ortama alınması tercih edilmelidir.

e) Log kaynağına ait sistem zamanının tutarsız veya anlamsız olmaması için log kaynaklarına ilişkin saat bilgisi temel bir zaman kaynağı ile uyumlu hale getirilmelidir.

f) Log analizine yardımcı olmak amacıyla, değişik log yapılarını tek bir standart ve tutarlı log yapısına dönüştürme yöntemleri kullanılmalıdır.

g) Loglar, 5651 sayılı kanun uyarınca iki yıl saklanmalıdır.

h) Loglar sistem ve ağ güvenliği ile ilgili bilgileri de içerebildiğinden, gizlilik ve bütünlük ihlallerine karşı korunmalıdır.

i) Logların güvenliği, sadece depolandıkları yerlerde değil, iletim esnasında da kasıtlı veya kasıtlı olmayan değişiklik ve tahribata karşı farklı ortamlarda da depolanması tercih edilmelidir.

j) Arşivlenen logların da gizlilik ve bütünlüğünün korunması sağlanmalıdır.

k) Log kaynak sistemlerinde, yetkili personeller haricinde, hiçbir personele okuma, yazma veya değişiklik amaçlı erişim izni verilmemelidir.

l) Log kayıtlarının üçüncü taraf kişi / kurumlar tarafından talep edilmesi durumunda, adli mercilerin verdiği karar doğrusunda log kayıtları ilgili kişi ya da adli mercilere teslim edilmelidir.

m) Sistemlerde tespit edilen anormallikler için Olay İhlal Prosedürü ‘nde belirtilen yöntemlere göre aksiyon alınmalıdır.

n) Logların alınmaması durumları için otomatik uyarı sistemleri kurulmalıdır. Uyarı sisteminin kurulamadığı durumlarda belirli periyodlarda (en geç 2 haftada bir öngörülmektedir) loglar manuel kontrol edilmelidir.

o) Çok gizli ve özel nitelikli kişisel veri bulunan ortamlarda yapılan erişim, silme, kaydetme durumlarının log kayıtları alınmalıdır.

p) Firma adına veri işleyen tedarikçi ya da alt taşeron olması durumunda; kişisel veri talepleri geldiği zaman sadece ilgili talebe ilişkin log kayıtlarını yetkili makamlarla paylaşmalıdır. Ölçülü veri paylaşımı esas alınmalıdır.

q) Log kayıtları üzerinde yetkisiz kişiler tarafından değişiklik yapmasının önüne geçilmesi ve kanıt niteliğinde olması için log kayıtlarına zaman damga vurulması tercih edilmelidir.

r) Çok gizli ve kişisel veri bulunan sistemlere ayrıcalıklı erişim sağlayan personel ve üçüncü taraf kişi / kurumların log kayıtları ya da ekran hareketlerinin görüntüsü alınmalıdır.

P.23 BULUT HİZMETİ YÖNETİM POLİTİKASI

Kritik verilerin yurt içinde depolandığı ve yurt dışında barındırılmayacağı garanti altına alınmalıdır.

ASC ’ye ait özel bulut sistemleri haricinde, bulut servis sağlayıcılardan yer, sunucu veya servis tabanlı bulut hizmeti kullanılacaksa,

• Erişen personel, yetki ve yetkinlik düzeyleri
• Erişim, işlem ve ağ trafiği iz kayıtlarının izlenmesi
• Güncelleme durum alarmları
• Siber olay alarmları
• Performans ve kapasite göstergeleri kurum tarafından kontrol edilmelidir

Bulut bilişim kapsamında çalışan tüm sistemler arasındaki veri trafiği zafiyet içermeyen güvenli ve güncel iletişim protokolleriyle gerçekleştirilmelidir. Bulut ortamına doğru veri iletimi sağlanırken iletimin tek yönlü olması sağlanmalı, kurumsal ağ bulut ortamından gelecek tehditlere karşı izole olmalıdır.

Bulut hizmeti alınacak tedarikçilere bildirilecek önlemler ;

• Servis sağlayıcılar kendi kaynaklarını DDoS saldırılarına karşı koruyabilmeli ve kapasitesinin üzerinde gelen yüksek boyutlu DDoS saldırılarına karşı iş ve hizmet sürekliliğini sağlayabilmelidir.
• Hizmet alan taraf ile imzalanan sözleşme ve taahhütlerde bu husus yer almalıdır.
• Servis sağlayıcılar, servis verdikleri herhangi bir hizmet alanına gelen bir siber saldırıdan (servis dışı bırakma, zararlı yazılım vb.) veya saldırının sistemlerde oluşturabileceği performans problemlerinden diğer hizmet alanlarının etkilenmemesi için güvenlik duvarı, saldırı tespit sistemi gibi güvenlik önlemlerini almalıdır.
• Servis sağlayıcıların verdikleri hizmetler ile ilgili hizmet seviye taahhüt koşulları belirlenmeli, ölçülmeli ve raporlanabilmelidir.
• Kurumlar, varlık gruplarının kritiklik derecesine uygun güvenlik tedbirlerini uygulayan ve periyodik güvenlik denetimlerini gerçekleştiren bulut hizmeti sağlayıcılarından hizmet almalıdır.
• Operatörler tarafından sunuculara erişimde trafiğin yurt içinde kalmasına yönelik tedbirler uygulanmalıdır.
• Bulut hizmeti kullanımında kuruma ait şifreleme anahtarları hizmeti alan kurum tarafından yönetilmelidir. Bulut yönetim arayüzü üzerinden işlem yapmak için IPSec veya SSL VPN geçidi kullanılmalı ve bulut yönetim arayüzüne erişim sadece bu kanallardan yapılmalıdır.

P.24 UÇ NOKTA ÇİHAZLARIN KONTROLÜ POLİTİKASI

1. AMAÇ

Uç nokta cihazların güvenliğini sağlamak.

2. KAPSAM

Şirket içerisinde kullanılan tüm uç nokta(bilgisayarlar,cep telefonları,IOT cihazları vb) cihazları kapsar.

3. SORUMLULAR

Uç nokta cihaz kullanan personeller

4. TANIMLAR

IOT: Nesnelerin interneti

5. UYGULAMA

Aşağıda, uç nokta cihazlarının kontrolü politikasında yer alması gereken bazı önemli hususlar verilmiştir:

• Uç nokta cihazlarına erişim, sadece yetkili personel tarafından yapılmalıdır. Bu kişilerin kimlikleri doğrulanmalı ve cihaza erişimleri, güvenli bir şekilde sağlanmalıdır.
• Uç nokta cihazlarının yazılımları düzenli olarak güncellenmelidir. Bu güncellemeler, cihazların güvenliğini sağlamak ve potansiyel güvenlik açıklarını kapatmak için yapılmalıdır.
• Uç nokta cihazlarına yüklenen yazılımlar ve uygulamalar, yetkili personel tarafından kontrol edilmeli ve onaylanmalıdır. Bu, kötü amaçlı yazılımların veya zararlı uygulamaların cihaza yüklenmesini önler.
• Uç nokta cihazlarının depolama birimleri, düzenli olarak taranmalı ve kötü amaçlı yazılımların veya zararlı dosyaların tespit edilmesi için kullanılmalıdır.
• Uç nokta cihazları, ağda bir güvenlik duvarı veya diğer güvenlik önlemleri tarafından korunmalıdır. Bu, cihazların ağdaki diğer cihazlara veya bilgilere erişimini sınırlandırır ve potansiyel saldırıları önler.
• Uç nokta cihazlarının yedekleri, düzenli olarak alınmalıdır. Bu yedekler, cihazların veri kaybı veya hasar durumunda yeniden kurulmasını sağlar.
• Uç nokta cihazların kullanımı, kullanıcıların güvenlik politikalarına uygun olmalıdır. Bu, cihazların güvenli bir şekilde kullanılmasını ve kötüye kullanılmasını önler.

6. YAPTIRIM

• Bu politikaya uygun olarak çalışmayan tüm personel hakkında Disiplin Prosedürü hükümleri uygulanır.

YÖNETİM SİSTEMLERİ UYGULAMA POLİTİKALARI KABUL FORMU

ASC HUKUK Yönetim Sistemleri Politikalarında ifade edilen tüm kurallara uymayı, iş bu güvenlik politikalarının ve revizyonlarının Kurum Ortak Klasörü ve internet sitesinde yayınlandığını bildiğinizi ve güncellemeleri takip ederek iş bu değişikliklere uygun davranacağınızı aksi takdirde hakkınızda disiplin ve yasal her türlü işlemin başlatılacağını bildiğinizi Kabul ve Taahhüt etmektesiniz.

Çalışanın;

Adı Soyadı:

TC. No:

Tarih:

İmza:

Bu form ASC HUKUK Yönetim Sistemleri Politikalarının okunduğu, anlaşıldığı ve kabul edildiğinin onaylandığı bir dokümandır.

Kurum çalışanı tarafından imzalanacak ve İnsan Kaynakları Birimi’ne teslim edilecektir.

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. POLİTİKANIN AMACI

Bu politikanın amacı; 6698 sayılı Kişisel Verilerin Korunması Hakkında Kanun’a (Kanun) dayalı olarak çıkarılmış olan ve 30224 sayılı Resmi Gazete’de 28.10.2017 tarihinde yayınlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in (Yönetmelik) 5. ve 6. maddeleri gereği kişisel verilerin saklanması ve imhasına ilişkin yükümlülüklerin ve Yönetmelik’te belirtilen sair yükümlülüklerin yerine getirilmesi için ASC HUKUK (Bundan böyle kısaca “ASC” olarak anılacaktır) genelinde uygulanacak kurallar ile rol ve sorumlulukları belirlemektir.

ASC; bünyesinde bulundurduğu, tamamen veya kısmen otomatik olan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi sırasında işbu Politika’ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını taahhüt eder.

2. POLİTİKA’NIN KAPSAMI

İşbu Politika; ASC çalışanları, çalışan adayları, hizmet sağlayıcıları, tedarikçiler, ziyaretçiler, müşteriler ve diğer üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup, ASC’nin sahip olduğu ya da ASC tarafından yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

3. POLİTİKA İLE DÜZENLEME ALTINA ALINAN KAYIT ORTAMLARI

ASC, işbu politika ile kişisel veri bulunan aşağıda belirtilen ortamlardaki ve belirtilen ortamlara ek ortaya çıkabilecek tüm ortamlardaki kişisel verileri kapsamayı kabul eder;

3.1 Elektronik Ortamlar ;

a. ASC adına kullanılan sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım, vb.)

b. Yazılımlar (Ofis Yazılımları, ERP, CRM vb.)

c. Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb. )

d. Kişisel bilgisayarlar (Masaüstü, dizüstü)

e. Optik diskler (CD, DVD vb.)

f. Mobil cihazlar (telefon, tablet vb.)

g. Çıkartılabilir bellekler (USB, Hafıza Kart vb.)

h. Yazıcı, tarayıcı, fotokopi makinesi

i. Bulut sistemleri,

3.2 Elektronik Olmayan Ortamlar ;

a. Kâğıt,

b. Manuel veri kayıt sistemleri (anket formları, ziyaretçi giriş defteri)

c. Yazılı, basılı, görsel ortamlar

4. TANIMLAR

İşbu Politika'da kullanılan tanımlar aşağıda yer almaktadır:

5. SAKLAMAYA İLİŞKİN AÇIKLAMALAR

Kanunun 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6 ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, şirketimizin faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

5.1. Saklamayı Gerektiren Hukuki Sebepler

ASC’nin faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir.

Bu kapsamda kişisel veriler;

a. 6698 sayılı Kişisel Verilerin Korunması Kanunu,

b. 4857 sayılı İş Kanunu,

c. 6098 sayılı Türk Borçlar Kanunu,

d. 6102 sayılı Türk Ticaret Kanunu

e. 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu,

f. 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,

g. 6331 sayılı İş Sağlığı ve Güvenliği Kanunu,

h. Bu ve sayılmayan diğer kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

5.2. Saklamayı Gerektiren İşleme Amaçları

ASC, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar.

a. Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi,

b. Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan doğruya ilgili olması nedeniyle saklanması,

c. Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması amacıyla saklanması,

d. Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar vermemek kaydıyla ASC’nin meşru menfaatleri için saklanmasının zorunlu olması,

e. Kişisel verilerin ASC ’nin herhangi bir hukuki yükümlülüğünü yerine getirmesi amacıyla saklanması,

f. Veri sahiplerinin açık rızasının alınmasını gerektiren saklama faaliyetleri açısından veri sahiplerinin açık rızasının bulunması

6. İMHAYI GEREKTIREN SEBEPLER

Kişisel veriler;

a. İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

b. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,

c. Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,

d. Kurumun, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,

e. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

durumlarında, ASC tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

7. TEKNİK VE İDARİ TEDBİRLER

Kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için Kanunun 12 nci maddesiyle Kanunun 6 ncı maddesi dördüncü fıkrası gereği özel nitelikli kişisel veriler için Kurul tarafından belirlenerek ilan edilen yeterli önlemler çerçevesinde ASC tarafından teknik ve idari tedbirler alınır.

7.1 Teknik Tedbirler

ASC tarafından, işlediği kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:

7.1.1 Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

7.1.2 Bilgi teknolojileri sistemleri tedarik, gelistirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

7.1.3 Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

7.1.4 Güncel anti-virüs sistemleri kullanılmaktadır.

7.1.5 Güvenlik duvarları kullanılmaktadır.

7.1.6 Kişisel veri güvenliğinin takibi yapılmaktadır.

7.1.7 Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

7.1.8 Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

7.1.9 Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

7.1.10 Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

7.1.11 Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

7.1.12 Şifreleme yapılmaktadır.

7.2 İdari Tedbirler

ASC tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:

7.2.1 Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

7.2.2 Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.

7.2.3 Gizlilik taahhütnameleri yapılmaktadır.

7.2.4 Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

7.2.5 İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

7.2.6 Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.

7.2.7 Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

7.2.8 Kişisel veri güvenliğinin takibi yapılmaktadır.

7.2.9 Kişisel veriler mümkün olduğunca azaltılmaktadır.

7.2.10 Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

7.2.11 Mevcut risk ve tehditler belirlenmiştir.

7.2.12 Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.

8. KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜREÇLERİNDE YER ALACAK KİŞİLER VE SORUMLULUKLARI

8.1. ASC içerisinde Kanun, Yönetmelik ve Politika ile belirtilen verinin imhasına dair gereklerin yerine getirilmesinde tüm çalışanlar, danışmanlar, dış hizmet sağlayıcıları ve sair surette ASC nezdinde kişisel veri saklayan ve işleyen herkes bu gerekleri yerine getirmekten sorumludur.

8.2. Her iş birimi kendi iş süreçlerinde ürettiği veriyi saklamak ve korumakla yükümlüdür; ancak üretilen verinin iş biriminin kontrolü ve yetkisi dışında sadece bilgi sistemlerinde bulunması durumunda, söz konusu veri bilgi sistemlerinden sorumlu birimler tarafından saklanacaktır.

8.3. İş süreçlerini etkileyecek ve veri bütünlüğünün bozulmasına, veri kaybına ve yasal düzenlemelere aykırı sonuçlar doğmasına neden olacak periyodik imhalar, ilgili kişisel verinin türü, içinde yer aldığı sistemler ve veri sahibi iş birimi dikkate alınarak ilgili bilgi sistemleri bölümlerince yapılacaktır.

8.4. ASC kendi bünyesinde, işbu Politika ve bu Politika ile ilişkili diğer politikaları yönetmek üzere Yönetim Kurulu kararı gereğince “ASC KVKK Komitesi” kurmuştur. Bu komitenin görevleri aşağıda belirtilmektedir;

8.4.1. Kişisel Verilerin Korunması ve İşlenmesi ile ilgili temel politikaları hazırlamak ve yürürlüğe koymak üzere Yönetim Kurulu’nun onayına sunmak.

8.4.2. Kişisel Verilerin Korunması ve İşlenmesine ilişkin politikaların uygulanması ve denetiminin ne şekilde yerine getirileceğine karar vermek ve bu çerçevede ASC’de şirket içi görevlendirmede bulunmak ve koordinasyonu sağlamak hususlarını Yönetim Kurulu’nun onayına sunmak.

8.4.3. Kanun ve ilgili mevzuata uyumun sağlanması için yapılması gereken hususları tespit etmek ve yapılması gerekenleri Yönetim Kurulu’nun onayına sunmak; uygulanmasını gözetmek ve koordinasyonunu sağlamak.

8.4.4. Kişisel Verilerin Korunması ve İşlenmesi konusunda ASC içerisinde ve ASC’nin işbirliği içerisinde olduğu kurumlar nezdinde farkındalığı arttırmak.

8.4.5. ASC’nin Kişisel Veri işleme faaliyetlerinde oluşabilecek riskleri tespit ederek gerekli önlemlerin alınmasını temin etmek; iyileştirme önerilerini Yönetim Kurulu’nun onayını sunmak.

8.4.6. Kişisel Verilerin korunması ve politikaların uygulanması konusunda eğitimler tasarlamak ve icra edilmesini sağlamak.

8.4.7. Kişisel Veri sahiplerinin başvurularını en üst düzeyde karara bağlamak.

8.4.8. Kişisel Veri sahiplerinin; Kişisel Veri işleme faaliyetleri ve kanuni hakları konusunda bilgilenmelerini temin etmek üzere bilgilendirme ve eğitim faaliyetlerinin icrasını koordine etmek.

8.4.9. Kişisel Verilerin Korunması ve İşlenmesi ile ilgili temel politikalardaki değişiklikleri hazırlamak ve yürürlüğe koymak üzere Yönetim Kurulu’nun onayına sunmak.

8.4.10. Kişisel Verilerin Korunması konusundaki gelişmeleri ve düzenlemeleri takip etmek; bu gelişmelere ve düzenlemelere uygun olarak ASC içinde yapılması gerekenler konusunda Yönetim Kurulu’na tavsiyelerde bulunmak.

8.4.11. Kişisel Verilerin Korunması Kurulu ve Kurumu ile olan ilişkileri koordine etmek.

8.4.12. Yönetim Kurulu’nun Kişisel Verilerin korunması konusunda vereceği diğer görevleri icra etmek.

9. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ

Kişisel verilerin imhası, verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi şeklinde üç farklı şekilde sağlanabilir. İmha işlemindeki amaç, kalan veriler ile gerçek kişiye ulaşabilmenin mümkün olmamasıdır.

9.1 Kişisel Verilerin Silinmesi

Silme işlemi, ASC’nin verileri tamamen veya otomatik yollarla işlediği durumlarda yapılacaktır ve ASC, kişisel verileri sildiği durumlarda, verileri ilgili kullanıcılar için hiçbir şekilde erişilemez veya tekrar kullanılamaz hale getirmelidir. ASC, bu işlemi yaparken verilerin hiçbir kullanıcı tarafından erişilemez veya tekrar kullanılamaz olduğunu garanti etmelidir. Bu garanti, veri sorumlusunun sorumluluğu altındadır.

Silme sırasında, silinmemesi gereken kişisel veriler de yapılan silmeden etkileniyorsa ve erişilemeyecek ve/veya kullanılamayacak hale geliyorsa aşağıdaki yöntemlerin bir arada sağlanması da silme olarak değerlendirilecektir:

a) Kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek şekilde arşivlenmesi

b) Her bir kişisel veri için ilgili kullanıcıların erişim, geri getirme, tekrar kullanma gibi yetkilerinin ve yöntemlerinin kapatılması ve ortadan kaldırılması

c) Kişisel verilere yalnızca gerekli durumlarda yalnızca yetkili kişiler tarafından erişilmesini sağlayacak şekilde gerekli her türlü teknik ve idari tedbirlerin alınması

Belirtilen silme yöntemleri, Yönetmelik’e bağlı olup, ilgili durumlarda güncellenmesi Veri Sorumlusu’nun sorumluluğundadır.

Kişisel veriler aşağıdaki yöntemlerle silinir.

9.2 Kişisel Verilerin Yok Edilmesi

Yok etme işlemi, ASC’nin verileri fiziksel kayıt ortamlarında işlediği durumlarda yapılacaktır ve ASC bu verileri tekrar geri getirilmesi ve tekrar kullanılması mümkün olmayacak hale getirmekle yükümlüdür. Bu işlemler sırasında ASC çalışanları ve ilgili departmanlar Veri Sorumlusu’na yok edilecek ilgili verileri bildirmekle yükümlüdür, sonrasında ise Veri Sorumlusu gerekli her türlü teknik ve idari tedbiri alacaktır.

9.3 Kişisel Verilerin Anonimleştirilmesi

Anonim hale getirme işlemi, ASC kişisel verileri tamamen veya otomatik yollarla işlediği durumlarda, bu verilerin doğrudan ve/veya dolaylı tanımlayıcılarının çıkartılarak ya da değiştirilerek, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Verilerin anonimleştirilmesi sırasında ASC geri dönülemez şekilde maskeleme, tek yönlü fonksiyonlar ile şifreleme gibi yöntemler kullanılabilir. Uygulanacak yöntemin doğruluğu, Veri Sorumlusu tarafından onaylanamıyorsa kurula danışılmalıdır.

Kişisel Verilerin Anonim Hale Getirilmesi Yöntemleri ;

10. SAKLAMA VE İMHA SÜRELERİ

10.1 Periyodik İmha ve Yasal Saklama Süreleri

Yasal saklama ve imha sürelerini dolduran fiziksel ve dijital veriler, periyodik olarak imha edilir. ASC, Kişisel Verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, Kişisel Verileri siler, yok eder veya anonim hale getirir. Periyodik imha, tüm Kişisel Veriler için 6 aylık zaman aralıklarında gerçekleştirilir. Periyodik imha sırasında baz alınacak yasal saklama ve imha süreleri, ASC Kişisel Veri İşleme Envanteri’nde belirlenmiştir. ASC, Yönetmelik madde 11(4) kapsamında Kurul’un süreleri kısaltması durumunda, yeni sürelere uyum sağlayacağını taahhüt eder.

Silinen, yok edilen ve anonim hale getirilen verilere ilişkin işlemlerin diğer hukuki yükümlülükler hariç olmak üzere en az 3 yıl süre ile saklanır. ASC’nin diğer hukuki yükümlülüklerden kaynaklanan Kişisel Veri saklama hakları saklıdır.

10.2 Veri Sahiplerinin Talep Etmesi Durumunda Silme ve Yok Etme Süreci

Veri sahiplerinin ASC’ye başvurarak kendisine ait Kişisel Verilerin silinmesini veya yok edilmesini talep ettiği durumlarda Kişisel Verileri işleme şartlarının mevcut durumunu kontrol eder ve buna bağlı ilgili aksiyonları alır.

Kişisel Verileri işleme şartlarının tamamı ortadan kalkmışsa talebe konu Kişisel Verileri siler, yok eder veya anonim hale getirir. ASC, ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir. Kişisel Verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan Kişisel Veriler üçüncü kişilere aktarılmışsa veri sorumlusu bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder. Kişisel Verileri işleme şartlarının tamamı ortadan kalkmamışsa, ASC ilgili veri sahibine gerekçesini açıklayarak talebi reddedebilir ve ret cevabını ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

10.3 Süreç bazında saklama ve imha süreleri ;

11. POLİTİKA’NIN YÜRÜRLÜK TARİHİ

İşbu Politika 19.03.2025 tarihinde yürürlüğe girmiştir.

Özel Nitelikli Verilerin İşlenmesi Politikası

1. AMAÇ

Bu Politika, 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda(Kanun) belirtilen Özel Nitelikli Kişisel verilerin işlenmesine ve güvenliğine ilişkin süreçleri belirlemek üzere oluşturulmuştur.

2. KAPSAM

Kanunun 6 ncı maddesinin 4 üncü fıkrası ile veri sorumlularına “Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması yükümlülüğü getirilmiştir.

Bu Politika, 07.03.2018 tarihli ve 30353 sayılı Resmi Gazete’de yayınlanan “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler”e ilişkin Kişisel Verileri Koruma Kurulu kararı gereği özel nitelikli kişisel verilerin işlenmesi ve güvenliğine yönelik süreçleri kapsamaktadır.

3. ÖZEL NİTELİKLİ VERİLERİN İŞLENMESİ UYGULAMA ESASLARI

Kanun’un 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veriler “özel nitelikli kişisel veri” olarak belirlenmiştir.

Kanun’da “özel nitelikli kişisel veriler” kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri olarak belirlenmiştir.

3.1. ÖZEL NITELIKLI KIŞISEL VERILERIN IŞLENMESI

Kanun ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, Şirketimiz tarafından, Kanunda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır.

Bu kapsamda, Kurul tarafından belirlenen yeterli önlemlerin alınması şartıyla bu tür veriler, veri sahiplerinin açık rızası olmaksızın işlenmemektedir. Ancak, yeterli önlemlerin alınması şartıyla ve aşağıda sayılan sebeplerin varlığı halinde açık rızası alınmaksızın işlenebilmektedir:

• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

Özel nitelikli kişisel verilerin işlenmesi gereken her durumda KVKK Komitesi bilgilendirilecektir.

Şirketimizde, çalışanlarımızın Özel Nitelikli Kişisel verileri İnsan Kaynakları hizmetini yürüten birim tarafından, Şirketimizin sözleşmesel veya ticari ilişki kurduğu kişilere veya bunların çalışanlarına/temsilcilerine ait kimlik belgelerinde yer alan özel nitelikli kişisel veriler, işlenmektedir. Bu veriler ;

• Sağlık raporunun elde edilmesine bağlı süreçlerin yürütülmesi,
• Tespit edilen sağlık durumuna göre pozisyon değişikliklerinin yapılması ve bu yolla çalışanların sağlığına uygun olan iş pozisyonlarının sağlanması,
• Diğer çalışanların sağlığını etkileyebilecek durumların varlığı halinde gecikmeksizin müdahale edilebilmesi.
• Mevzuat, ilgili düzenleyici kurumlar ve diğer otoritelerce öngörülen diğer bilgi saklama, raporlama, bilgilendirme yükümlülüklerine uymak,
• Personel özlük dosyasının oluşturulması,

Amaçlarına uygun olarak işlenmekte ve saklanmaktadır.

Bu veriler:

• Kimlik belgelerinde yer alan özel nitelikli kişisel veriler,
• Laboratuar Tahlil Raporları,
• Doğum raporu,
• İstirahat ve iş göremezlik raporları,
• Psikoteknik rapor,
• Özürlülük raporu
• SGK Raporu
• SGK İzin Belgeleri
• Kan Grubu Belgesi
• İşe Giriş için Sağlık Raporu
• Sivil Toplum Kuruluşu Üye Belgesi
• Ek Sağlık Tarama Test Raporları (Laboratuvar Bulguları, Fiziki Muayene Sonuçları, Tıbbi Anamnez vs.)
• Kişisel Sağlık Bilgisi
• Biyometrik Veri (Parmak İzi Bilgisi)
• Ceza Mahkumiyeti Verisi (Sabıka Kaydı)

Olarak kaydedilmekte İnsan Kaynakları faaliyetini yürüten tarafından saklanmaktadır.

3.2. ÖZEL NITELIKLI KIŞISEL VERILERIN GÜVENLIĞININ SAĞLANMASI

Şirketimizin özel nitelikli kişisel verilere ilişkin olarak veri sorumlusu sıfatıyla aşağıda belirtilen önlemleri alması esastır ;

A. Özel nitelikli kişisel verilerin güvenliğine işbu Politika belirlenmiştir.

B. Özel nitelikli kişisel verilerin işlenmesi süreçlerinde yer alan Çalışan’lara yönelik,

• Kanun ve buna bağlı yönetmelikler ile Özel Nitelikli Kişisel Veri güvenliği konularında düzenli olarak eğitimler verilir,
• Gizlilik sözleşmeleri yapılır,
• Verilere erişim yetkisine sahip kullanıcıların, yetki kapsamları ve süreleri tanımlanır,
• Periyodik olarak yetki kontrolleri gerçekleştirilir,
• Görev değişikliği olan ya da işten ayrılan Çalışanlar’ın bu alandaki yetkileri derhal kaldırılır.

C. Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, elektronik ortam ise,

• Kişisel Veriler, kriptografik yöntemler kullanılarak muhafaza edilir,
• Kriptografik anahtarlar güvenli ve farklı ortamlarda tutulur,
• Kişisel Veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları güvenli olarak loglanır,
• Kişisel Veriler’in bulunduğu ortamlara ait güvenlik güncellemeleri sürekli takip edilir, gerekli güvenlik testleri düzenli olarak yapılır, test sonuçları kayıt altına alınır,
• Kişisel Veriler’e bir yazılım aracılığı ile erişiliyorsa bu yazılıma ait kullanıcı yetkilendirmeleri yapılır, bu yazılımların güvenlik testleri düzenli olarak yapılır, test sonuçları kayıt altına alınır,
• Kişisel Veriler’e uzaktan erişim gerekiyorsa en az iki kademeli kimlik doğrulama sistemi sağlanır.

D. Özel Nitelikli Kişisel Verilerin işlendiği, muhafaza edildiği ve/veya erişildiği ortamlar, fiziksel ortam ise;

• Özel Nitelikli Kişisel Veriler’in bulunduğu ortamın niteliğine göre yeterli güvenlik önlemleri (Elektrik kaçağı, yangın, su baskını, hırsızlık vb. durumlara karşı) alınır,
• Bu ortamların fiziksel güvenliğinin sağlanarak yetkisiz giriş çıkışlar engellenir.

E. Özel Nitelikli Kişisel Veriler aktarılacaksa

• Kişisel Verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle aktarılır,
• Taşınabilir Bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenir ve kriptografik anahtar farklı ortamda tutulur,
• Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştiriliyorsa, sunucular arasında VPN kurularak veya FTP yöntemiyle veri aktarımı gerçekleştirilir,
• Kişisel Veriler’in kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınır ve evrak "Gizli ” formatta gönderilir.

F. Yukarıda belirtilen önlemlerin yanı sıra Kişisel Verilerin Korunmasına Yönelik genel politikamızda belirtilen teknik ve idari tedbirler de uygulanmaktadır.

5. Politika’nin Yürürlük Tarihi

İşbu Politika 19.03.2025 tarihinde yürürlüğe girmiştir.