Lostar Bilgi Güvenliği A.Ş. Kişisel Veri Saklama ve İmha Politikası

1. Giriş:

Kişisel verilerin korunması, Lostar Bilgi Güvenliği A.Ş. (“Şirket”) için büyük önem arz etmekte olup, bu konuda azami hassasiyet gösterilmektedir. Bu doğrultuda, kişisel verilerin kişilerin beklentileri ile tutarlı bir şekilde ve yasalara uygun olarak işlenmesi, Şirketimizin temel yapı taşlarından biridir.

Bu bakımdan Şirketimiz, faaliyetleri sırasında elde etmiş olduğu kişisel verileri başta Anayasa olmak üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”), Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) ve diğer ilgili mevzuata uygun şekilde hazırlanan işbu Kişisel Veri Saklama ve İmha Politikası’nda (“Politika”) belirtilen genel prensipler ve düzenlemelere uygun şekilde saklamakta ve imha etmektedir.

2. Politika’nın Amacı ve Kapsamı

İşbu Politika ile Şirketimiz, Kanun kapsamındaki kişisel veri işleme faaliyetlerine konu gerçek kişi verilerinin saklanması ve imha edilmesine ilişkin Şirket’in genel ilke ve prensiplerinin ortaya konulması ve bu hususlarla ilgili mevzuatla belirlenen yükümlülüklerin yerine getirilmesi hedeflemiştir.   İşbu Politika, Şirketimizin Kanun kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri kapsamaktadır. Ayrıca, işbu Politika’da aksi belirtilmedikçe, Politika ile atıf yapılan dokümanlar hem basılı hem de elektronik kopyaları kapsamaktadır.

3. Tanımlar

İşbu Politika’da içerik aksini gerektirmedikçe:   “Açık Rıza” Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,   “Alıcı Grubu” Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi,   “Anayasa” Türkiye Cumhuriyeti Anayasası,   “İlgili Kullanıcı” Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler,   “İmha” Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi,   “Kayıt Ortamı” Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam,   “Kişisel Veri” Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyad, TCKN, e-posta, adresi, doğum tarihi, kredi kartı numarası, banka hesap numarası – Dolayısıyla tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir),   “Kişisel Veri Sahibi” Kişisel verisi işlenen gerçek kişi,   “Kişisel Verilerin İşlenmesi” Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem,   “Kurul” Kişisel Verileri Koruma Kurulu,   “Özel Nitelikli Kişisel Veri” Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler,   “Periyodik İmha” Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda işbu Politika’da belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi,   “Veri Sorumlusu” Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi   anlamına gelmektedir.

4. Politika ile Düzenlenen Kayıt Ortamları

Şirketimiz, Kanun kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu ve aşağıda belirtilen ortamlarda saklamaktadır:

5. Kişisel Verilerin Saklanmasını ve İmhasını Gerektiren Sebepler

Şirketimiz, kişisel veri işleme faaliyetlerinde aşağıdaki ilkeleri esas almaktadır:

1. Hukuka ve dürüstlük kuralına uygun olunması,
2. Kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlama,
3. Belirli, açık ve meşru amaçlarla işleme,
4. İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma, ve
5. İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme.

Şirketimiz, kişisel verileri, yukarıda bahsi geçen ilkelerle uyumlu şekilde, Lostar Bilgi Güvenliği A.Ş.  Kişisel Verilerin Korunması ve İşlenmesi Politikası’nın ilgili maddelerinde yer alan kişisel veri işleme amaçlarıyla ve aşağıda belirtilen Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarına istinaden kişisel verileri saklamakta ve kullanmakta olup, söz konusu şartların tamamının ortadan kalkması halinde, kişisel verileri re’sen veya kişisel veri sahibinin talebi üzerine imha etmektedir.

6. Kişisel Verilerin İmha Edilmesi İşlemi ile İlgili Uygulanan Yöntemler ve Kişisel Verilerin Hukuka Uygun Olarak İmha Edilmesi İçin Alınmış Teknik ve İdari Tedbirler

Şirketimiz, Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel verileri aşağıdaki yöntemlerle silmekte, yok etmekte veya anonim hale getirmektedir. Şirketimiz, kişisel verilerin imhasında azami dikkat ve özeni göstermektedir. Bu kapsamda Şirketimiz, Kanun’un 12’nci maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kurul kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır. İmha kapsamında gerçekleştirilen tüm işlemler Şirketimiz tarafından kayıt altına alınmakta ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl süreyle saklanmaktadır. Şirketimiz, Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını teknolojik imkanlar ve uygulama maliyetine göre seçmekte olup, kişisel veri sahibinin talebi halinde uygun yöntemin gerekçesini açıklamaktadır.

Kişisel Verilerin Silinme ve Yok Edilmesi Yöntemleri

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirketimiz, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması veya yok edilmesi için teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri silme ve yok etme işlemi için aşağıdaki yöntemleri uygulamaktadır:

• Fiziksel Olarak Yok Etme

Kişisel veriler herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla da işlenebilmektedir. Bu tür veriler silinirken/yok edilirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır.

• Yazılımdan Güvenli Olarak Silme

Tamamen veya kısmen otomatik olan yollarla işlenen ve dijital ortamda muhafaza edilen veriler silinirken/ yok edilirken bir daha kurtarılamayacak/ erişilemeyecek biçimde verinin ilgili yazılımdan silinmesine ilişkin yöntemler uygulanır.

• Uzman Tarafından Güvenli Olarak Silme

Şirket bazı durumlarda kendi adına kişisel verileri silmesi için bir uzman ile anlaşabilir. Bu durumda, kişisel veriler bu konuda uzman olan kişi tarafından bir daha kurtarılamayacak /erişilemeyecek biçimde güvenli olarak silinir / yok edilir.

Kişisel Verilerin Anonim Hale Getirilme Yöntemleri

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, Şirketimiz, alıcı veya alıcı grupları tarafından geri döndürme ve verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirebilir.

Şirketimiz, kişisel verilerin anonim hale getirilmesiyle ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri anonim hale getirme işlemi için aşağıdaki yöntemleri uygulamaktadır:

• Uzman Tarafı

Veri maskeleme ile kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir.

Örnek : Kişisel veri sahibinin tanımlanmasını sağlayan isim, TC Kimlik No vb. bilginin çıkartılması yoluyla kişisel veri sahibinin tanımlanmasının imkansız hale geldiği bir veri setine dönüştürülmesi.

• Maskeleme

Veri maskeleme ile kişisel verinin temel belirleyici bilgisini veri seti içerisinden çıkartılarak kişisel verinin anonim hale getirilmesi yöntemidir.

Örnek : Kişisel veri sahibinin tanımlanmasını sağlayan isim, TC Kimlik No vb. bilginin çıkartılması yoluyla kişisel veri sahibinin tanımlanmasının imkansız hale geldiği bir veri setine dönüştürülmesi.

• Toplulaştırma

Veri Toplulaştırma Yöntemi ile birçok veri toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmektedir.

Örnek: Çalışanların yaşlarını tek tek göstermeksizin X yaşında Z kadar çalışan bulunduğunun ortaya konulması.

• Veri Türetme

Veri türetme yöntemi ile kişisel verinin içeriğinden daha genel bir içerik oluşturulmakta ve kişisel verinin herhangi bir kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanmaktadır.

Örnek: Doğum tarihleri yerine yaşların belirtilmesi; açık adres yerine ikamet edilen bölgenin belirtilmesi.

7. Kişisel Verilerin Güvenli Bir Şekilde Saklanması ile Hukuka Aykırı Olarak İşlenmesi ve Erişilmesinin Önlenmesi İçin Alınmış Teknik ve İdari Tedbirler

Şirketimiz, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi konusunda azami dikkat ve özeni göstermekte olup, Kanun’un 12’nci maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kurul kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır.

8. Kişisel Verileri Saklama ve İmha Süreçlerinde Yer Alanların Unvanları, Birimleri ve Görev Tanımları

Şirketimiz, kişisel verilerin saklanması ve imha edilmesi süreçlerinde yer alan kişileri, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir. Bu kapsamda, Şirketimiz çalışanları ve/veya görevleri dolayısıyla kişisel verileri öğrenen kişiler, bahse konu bilgileri Kanun ve diğer ilgili mevzuat hükümlerine uyun olarak saklamakta ve imha etmektedir. Bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam etmektedir.

Bu kapsamda, Şirketimizin saklama ve imha süreçlerinde yer alan kişilere ilişkin detaylar aşağıda açıklanmaktadır:

Unvan	Departman	Görev
Genel Müdür	AR-GE Departmanı	CEO – Veri İmha Koordinatörü
Finans ve İdari İşler Direktörü	Finans ve İdari İşler Departmanı	Departman Veri İmha Sorumlusu
Kurumsal Projeler ve Pazarlama Direktörü	Kurumsal Projeler ve Pazarlama Departmanı	Departman Veri İmha Sorumlusu
Siber Güvenlik Müdürü	Siber Güvenlik Departmanı	Departman Veri İmha Sorumlusu ve Teknik Uzman
Satış Direktörü	Satış Departmanı	Departman Veri İmha Sorumlusu
Yönetişim, Risk ve Uyum Müdürü	Yönetişim, Risk ve Uyum Departmanı	Departman Veri İmha Sorumlusu ve Bilgi Güvenliği Yöneticisi

Yukarıda belirtilen Departman Veri İmha Sorumluları, ilgili imha işleminin gerçekleştirilmesi ve kayıt altına alınmasından sorumludur.

Gerek görülmesi halinde istenilen zamanda ve/veya periyodik olarak senede bir gerçekleştirilen imha işlemlerinin kayıtları Bilgi Güvenliği Yöneticisi tarafından kontrol edilerek, sonuçları Veri İmha Koordinatörü’ne iletilir. Ek aksiyon ihtiyacında nihai karar Veri İmha Koordinatörü’ndedir.

9. Saklama ve İmha Süreleri

Şirketimiz, kişisel verileri ancak ilgili uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri aşağıdaki EK-1 Saklama ve İmha Süreleri Tablosu’ndabelirtilen azami süreler boyunca saklamakta ve imha etmektedir:

Kişisel veri sahibinin, Şirketimize başvurarak kendisine ait kişisel verilerin imha edilmesini talep etmesi halinde Şirketimiz:

Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa:

• Kişisel veri sahibinin talebini en geç otuz gün içinde sonuçlandırır ve kişisel veri sahibine bilgi verir, ve

• Talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa, bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder

Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, kişisel veri sahibinin talebini Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesini açıklayarak reddedilebilir ve ret cevabını kişisel veri sahibine en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

10. Periyodik İmha Süreleri

Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıkması halinde kişisel verileri hemen, aksi durumda ihtiyaca yönelik olarak senede bir defa saklama süresi tamamlanan verileri imha işlemine tabi tutmaktadır. Anılan süre, her hal ve koşulda Yönetmelik’in 11’inci maddesinde belirtilen azami periyodik imha süresini aşmamaktadır.

Veri Tipi	Saklama Süresi	İmha Süresi
Potansiyel Müşterilerden Alınan Kimlik ve İletişim Bilgileri	İş İlişkisinin sona ermesine müteakip 5 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Mevcut Müşteri Kimlik ve İletişim Bilgileri	İş İlişkisinin sona ermesine müteakip 5 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Çalışan Adayı Kimlik ve İletişim Bilgileri	Başvuru değerlendirme sonuçlandıktan sonra 6 ay	Saklama süresinin bitimini takiben 60 gün içerisinde
Hizmetlerin ifa edilmesi için çalışılmakta olan iş ortakları/tedarikçi kimlik ve iletişim bilgileri	İş İlişkisinin sona ermesine müteakip 3 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Hizmet Raporlarına konu Müşteri Çalışanı/Çalışan Adayı Kimlik ve İletişim Bilgileri	İş İlişkisinin sona ermesine müteakip 3 yıl	Saklama süresinin bitimini takiben 60 gün içerisinde
Muhasebe ve Finansal İşlemlere İlişkin tüm Kayıtlar	İş İlişkisinin sona ermesine müteakip 10 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Çerezler ve Log Kayıtları	2 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Çevrim içi Ziyaretçilere İlişkin Trafik Bilgileri	2 yıl	Saklama süresinin bitimini takiben 60 gün içerisinde
Ziyaretçi ve Toplantı Kullanıcıların Kaydı	Etkinliğin Sona ermesinden İtibaren 3 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
İş Kanunu Kapsamında Saklanan Özlük Dosyasına İlişkin Veriler	İş İlişkisinin sona ermesine müteakip 10 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
İş Sağlığı ve Güvenliği Mevzuatı Kapsamında Toplanan Veriler (Örn: İşe giriş sağlık testleri, sağlık raporları, İSG Eğitimleri, İş Sağlığı ve Güvenliği faaliyetlerine ilişkin kayıtlar vb.)	İş İlişkisinin sona ermesinden itibaren 20 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
SGK Mevzuatı kapsamında tutulan veriler (Örn: İşe giriş bildirgeleri, pirim/hizmet belgeleri vb.)	İş İlişkisinin sona ermesinden itibaren 10 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Çalışan Memnuniyet Anketlerine İlişkin Veriler	Anketin doldurulduğu yılın sona ermesine müteakiben 5 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Genel Kurul İşlemleri Uyarınca İşlenen Veriler	20 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Sözleşmeden Kaynaklı İlişkilerde İşlenen Kişisel Veriler (Örn: Şirket Yetkilisi, Ad Soyad, imza sirküleri vb.)	Sözleşmenin Sona Ermesine Müteakip 10 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Çalışanların Kişisel Verilerinin Yer Aldığı Ortamlara İlişkin Yaptığı Erişimlerin Log Kayıtları	10 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Potansiyel Müşterilere İlişkin Veriler (Örn: cookies, çerezler, linkedin üzerinden profillemeye ilişkin veriler)	2 yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Fatura/Gider Pusulası/Makbuz gibi Vergi Usul Kanunu Uyarınca Tutulması gereken Belgelerle işlenen Kişisel Veriler	5 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde
Webinar, Seminar, Telekonferans Yolu ile İşlenen Kişisel Veriler	2 Yıl	Saklama süresinin bitimini takiben 180 gün içerisinde