FİRST MİNİNG MADENCİLİK SANAYİ VE TİCARET ANONİM ŞİRKETİ

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

 

1. GİRİŞ

First Mining Madencilik A.Ş. için kişisel verilerin korunması büyük öneme sahiptir. Ortaklarımızın, müşterilerimizin, çalışanlarımızın, çalışan adaylarımızın, şirket yetkililerinin, iştirak şirketleri çalışanlarının, birlikte çalıştığımız şirket çalışanlarının, hissedarlarının, yetkililerinin, ziyaretçilerimizin ve üçüncü kişilerin T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir.

2. POLİTİKA’NIN AMACI

Kişisel Veri Saklama Ve İmha Politikası ,Şirketimiz nezdinde işlenecek kişisel verilere ilişkin olarak, kişisel verilerin güvenliğine ve silinmesi, yok edilmesi ve anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.

3. POLİTİKA’NIN KAPSAMI

İşbu İmha Politikası, ortaklarımızın, müşterilerimizin, çalışanlarımızın, çalışan adaylarımızın, ortak girişim şirketlerimiz ve çalışanları ,şirket yetkililerinin, iştirak şirketleri çalışanlarının, birlikte çalıştığımız şirket çalışanlarının, hissedarlarının, yetkililerinin, ziyaretçilerimizin ve üçüncü kişilere ait kişisel veriler bu politika kapsamında olup şirketin sahip olduğu ya da Kurumca yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

4. TANIMLAR

Bu politikada geçen,

1. Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

1. Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

1. İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,

1. İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,

1. İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

1. Kanun: 24/3/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması Kanununu,
2. Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,

1. Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

1. Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

1. Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,

1. Kişisel veri saklama ve imha politikası: Veri sorumlularının, kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok etme ve anonim hale getirme işlemi için dayanak yaptıkları politikayı, l. Kurul: Kişisel Verileri Koruma Kurulunu

1. Kurum: Kişisel Verileri Koruma Kurumunu,

1. Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,

1. Sicil: Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan veri sorumluları sicilini,

1. Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi

1. Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,

1. Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade eder. Bu Politika’da yer almayan tanımlar için Kanun ve Yönetmeliklerde yer alan tanımlar geçerlidir.

5. KAYIT ORTAMLARI

 

Kişisel veriler, şirket tarafından Tablo 1’de listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.

Şirket tarafından kişisel verilerin bulundurulduğu kayıt ortamları; Şirket adına kullanılan bilgisayarlar, Personel Programları gibi programlar, Bulut Sistemleri, ağ üzerinde veri saklaması için kullanılan paylaşımlı /paylaşımsız disk sürücüleri, kağıt, birim dolapları, arşivdir. Şirket, sayılan kayıt ortamlarına ek olarak kullanabileceği diğer kayıt ortamlarını da İmha Politikası’na dahil edecektir.

Tablo 1: Kişisel veri saklama ortamları

Elektronik Ortamlar		Elektronik Olmayan Ortamlar
Sunucular (Etki alanı, yedekleme, e-posta,		ü Kağıt
veritabanı, web, dosya paylaşım, vb.)		ü Manuel veri kayıt sistemleri (anket formları,
ü Yazılımlar   (ofis	yazılımları,   portal,	ziyaretçi giriş defteri)
EBYS, VERBİS.)		ü Yazılı, basılı, görsel ortamlar
ü Bilgi   güvenliği	cihazları   (güvenlik
duvarı, saldırı tespit ve engelleme, günlük
kayıt dosyası, antivirüs vb. )
ü Kişisel bilgisayarlar (Masaüstü, dizüstü)
ü Mobil cihazlar (telefon, tablet vb.)
ü Optik diskler (CD, DVD  vb.)
ü Çıkartılabilir  bellekler  (USB,  Hafıza
Kart vb.)
ü Yazıcı, tarayıcı, fotokopi makinesi

 

6. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

Kanunun 3 üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6 ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, Kurumumuz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

Şirket,

 -Kurumsal iletişimi sağlamak

 -insan kaynakları sürecini yürütmek

 -Şirket güvenliğini sağlamak

 -İstatistiksel çalışmalar yapabilmek

• Kişisel Veri Sahibinin Açık Rızasının Bulunması,
• Kanunlarda Açıkça Öngörülmesi, Fiili İmkânsızlık Nedeniyle Açık Rızanın Alınamaması,
• İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek,
• Sözleşmenin Kurulması Veya İfası ile Doğrudan İlgili Olması,

-Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine    getirilmesini sağlamak.

-Şirket ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlamak.

• Şirketin Hukuki Sorumluluğunun Yerine Getirilmesi İçin Zorunlu Olması,

• İlgili Kişinin Kendisi Tarafından Alenileştirilmiş Olması,
• Bir Hakkın Tesisi, Kullanılması veya Korunması İçin Zorunlu Olması

-Şirketin Meşru Menfaatleri İçin Zorunlu Olması hallerinden biri veya bir kaçının bulunması halinde kişisel verilerinizi işleyebilecektir. Şirketin faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir.

 

7. KİŞİSEL VERİLERİN GÜVENLİĞİ

Şirket, kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini sağlamaya yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır. Bu kapsamda öncelikle Şirketimiz tarafından işlenen kişisel verilerin neler olduğunun tespitine dair bir çalışma gerçekleştirilmiş, işlenen kişisel verilerin özel nitelikli kişisel veri olup olmadığı da gözetilerek, bu verilerin korunmasına ilişkin ortaya çıkabilecek riskler belirlenerek, risklerin azaltılması veya ortadan kaldırılmasına yönelik gerekli teknik ve idari tedbirler uygulamaya konmuştur.

Yönetmelik uyarınca, işbu Politika’nın asgari olarak; Kişisel Verilerin hukuka uygun olarak imha edilmesi için alınmış teknik ve idari tedbirlere ilişkin bilgileri kapsaması gerekmektedir. Bu doğrultuda, First Mining Madencilik A.Ş. tarafından Kişisel Verilerin, Kişisel Veri İşlenmesi ilkelerine uygun olarak işlenmesinin temin edilmesi için gerekli teknik ve idari tedbirler aşağıda belirtilmektedir. Ayrıca yeni gereklilikler ortaya çıktıkça yeni idari ve teknik tedbirler de alınacaktır.

- Personel ve yöneticilere düzenli olarak eğitim verilmektedir

-Kişisel veri işleme süreçlerinde ,sürece dahil olan çalışanlardan gizlilik anlaşması imzalanması istenmekte

 -Bilgi Güvenliği Politikası’nın hazırlanması,

- İç Denetim birimi tarafından KVKK yükümlülüklerine uyumun periyodik olarak denetlenmesi,

- Erişim yetki kısıtlamalarının öngörülmesi,

-Veri minimizasyonunun sağlanması,

- Veri saklama sürelerinin tespit edilmesi,

- Çalışanlara yönelik Kanun’a uyumun süreçlerinde dikkat edilmesi gereken hususlara yönelik eğitim verilmesi,

- Veri envanteri ile veri işleme şartlarının hangi durumlarda gerçekleştiğinin tespiti,

- Tüm üçüncü taraf ve çalışanlarla yapılan sözleşmelere Kişisel Verilerin Korunması’na İlişkin hükümlerin eklenmesi.

 – First Mining Madencilik A.Ş. internet sitesinde, ilgili kişilerin kişisel verileri ile ilgili başvurularının alınması amacıyla gerekli yönlendirmelerin yapılması,

 - Sistem güvenliğine yönelik süreçlerin geliştirilmesi vb.

8. KİŞİSEL VERİLERİN İMHASI

8.1. Kişisel Verilerin İmhasını Gerektiren Sebepler

 

Kişisel veriler KVKK’nın 7. Maddesi gereğince;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,

• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,durumlarında, Şirket tarafından ilgili kişinin talebi üzerine silinir,yok edilir ya da resen silinir,yok edilir veya anonim hale getirilir.Şirket, kişisel verilerin imhasında, silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanı seçmekte ve kişisel verilerin hukuka uygun olarak silinmesi, yok edilmesi ve anonim hale getirilmesi için gerekli tüm teknik ve idari tedbirleri alır.

 

8.2 Kişisel Verilerin Silinmesi

 

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirket, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli her türlü teknik ve idari tedbiri almaktadır.Kişisel veriler Tablo 2’de verilen yöntemlerle silinir.

Tablo 2 : Kişisel Verilerin Silinmesi

	Veri Kayıt Ortamı				Açıklama
Sunucularda		Yer	Alan	Sunucularda  yer  alan  kişisel  verilerden  saklanmasını
Kişisel Veriler					gerektiren   süre   sona   erenler   için   sistem   yöneticisi
					tarafından  ilgili  kullanıcıların  erişim  yetkisi  kaldırılarak
					silme işlemi yapılır.

Elektronik	Ortamda	Yer	Elektronik ortamda yer alan kişisel verilerden saklanmasını
Alan Kişisel Veriler			gerektiren  süre  sona  erenler,  veritabanı  yöneticisi  hariç
			diğer  çalışanlar  (ilgili  kullanıcılar)  için  hiçbir  şekilde
			erişilemez ve tekrar kullanılamaz hale getirilir.Verilerin bulunduğu ilgili satırların veri tabanı komutları ile (delete vb)
Fiziksel Ortamda Yer Alan			Fiziksel  ortamda  tutulan  kişisel  veriler üzeri okunamayacak şekilde karartma işlemi uygulanarak erişilemez ve kullanılamaz hale getirilir.
Kişisel Veriler
Taşınabilir	Medyada		Flash	tabanlı   saklama   ortamlarında   tutulan   kişisel
Bulunan Kişisel Veriler			Veriler, şifreleme anahtarları ile  güvenli ortamda saklanır.
			yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece
			sistem   yöneticisine   verilerek   şifreleme   anahtarlarıyla
			güvenli ortamlarda saklanır.

8.3 Kişisel Verilerin Yok Edilmesi

 

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde

erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirket, kişisel verilerin yok edilmesiyle ilgili gerekli her türlü teknik ve idari tedbirleri almaktadır

Kişisel veriler, şirket tarafından Tablo 3’de verilen yöntemlerle yok edilir.

Tablo 3: Kişisel Verilerin Yok Edilmesi

Veri Kayıt Ortamı	Açıklama
Fiziksel Ortamda Yer Alan	Kâğıt ortamında  yer alan kişisel verilerden  saklanmasını
Kişisel Veriler	gerektiren süre sona erenler, kâğıt kırpma makinelerinde
	geri döndürülemeyecek şekilde yok edilir.
Optik / Manyetik Medyada	Optik  medya  ve  manyetik  medyada  yer  alan  kişisel
Yer Alan Kişisel Veriler	verilerden  saklanmasını  gerektiren  süre  sona  eren veriler için,demanyetize etme , eritme ,yakma,  toz haline getirilmesi ya da metal öğütücüden geçirilmesi yolu ile fiziksel olarka yok edilmesi işlemi uygulanır.

 

8.4 Kişisel Verilerin Anonim Hale Getirilmesi

 

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Anonim hale getirilmedeki amaç, veri ile bu verinin tanımlandığı kişi arasındaki bağın kopartılmasıdır.

 

8.5 Kişisel Veri Saklama ve İmha Süreçlerinde Yer Alan Sorumlu Personel

Ünvan	Görev	Sorumluluk
Kişisel Verilerin	Kişisel Verilerin Korunması	Şirket genelinde, Kişisel Verilerin
Korunması	Kanunu’na Uyum, Kişisel	Korunması Kanunu’na, ikincil mevzuata,
Sorumlusu	Veri Saklama ve İmha	Kurul kararlarına uyumun sağlanması ve
	Politikasını uygulama	denetlenmesi, Kişisel Veri Saklama ve İmha
	sorumlusu	Politikasına uygunluğun sağlanması ile
		periyodik imha sürelerine uygun olarak
		kişisel veri imha süreçlerini yönetmek.

 

8.6. Saklama Ve İmha Süreleri

İş Süreci	Kişi Grubu	Kişisel Veri	Saklama	İmha Süresi
		Kategorisi	Süresi
Özlük	Şirket Çalışanları	Özlük Bilgisi	İş sözleşmesinin	Saklama süresinin sona
Prosedürü			Sona	ermesini takiben
			ermesinden	180 gün içinde
			itibaren 15 yıl
İşe Alım	Şirket Çalışan	Çalışan Aday	2 yıl	Saklama süresinin sona
Süreci	Adayı	Bilgisi		ermesini takiben
				180 gün içinde

Eğitim	Şirket çalışanı,	Kimlik Bilgisi,	Sözleşme	Saklama süresinin sona
Süreci		İletişim	ilişkisinin sona	ermesini takiben
		Bilgisi,	ermesinden	180 gün içinde
		Eğitim Bilgisi,	itibaren 10 yıl
		Finansal Bilgi
Fiziksel	Şirket Çalışanları,	Fiziksel	1 yıl	Saklama süresinin sona
Mekan	Şirket Çalışan	Mekan		ermesini takiben
Güvenlik	Adayı, Şirket	Güvenlik		180 gün içinde
Süreci	Ortakları, Şirket	Bilgisi
	Müşterileri, Şirket
	Müşteri Adayları,
	Ziyaretçi,
	Tedarikçi,
	İş Ortakları, Şirket
	Yetkilisi
Sistem	Şirket Çalışanları,	Kimlik bilgisi,	10 yıl	Saklama süresinin sona
hesabı	Danışmanlar	İletişim bilgisi		ermesini takiben
tanımlama				180 gün içinde
süreci
Satış Süreci	Şirket Müşterileri,	Kimlik bilgisi,	10 yıl	Saklama süresinin sona
	Satıcılar	İletişim bilgisi,		ermesini takiben
		Finansal bilgi		180 gün içinde
Sözleşme	Tedarikçiler,Danış	Kimlik Bilgisi,	Sözleşme	Saklama süresinin sona
Süreci	manlar, Yüklenici,	İletişim	ilişkisinin sona	ermesini takiben
	Şirket Müşterileri	Bilgisi,	ermesinden	180 gün içinde
		Finansal Bilgi,	itibaren 10 yıl
Santral	Şirket Çalışanları,	Kimlik Bilgisi,	İş sözleşmesinin	Saklama süresinin sona
Süreci	Şirket Yetkilileri	iletişim bilgisi	Sona	ermesini takiben
			ermesinden	180 gün içinde
			itibaren 10 yıl
Bilgi sistem	Şirket Çalışanları	Kimlik Bilgisi,	İş sözleşmesinin	Saklama süresinin sona
araçları		iletişim bilgisi	Sona	ermesini takiben
tahsis			ermesinden	180 gün içinde
süreci			itibaren 10 yıl
Araç Tahsisi	Şirket Çalışanları	Kimlik Bilgisi,	10 yıl	Saklama süresinin sona
ve Yönetimi		Konum Bilgisi		ermesini takiben
				180 gün içinde
Ziyaretçi	Ziyaretçiler	Kimlik Bilgisi,	2 yıl	Saklama süresinin sona
Kayıtları		iletişim bilgisi		ermesini takiben
				180 gün içinde

Hukuki	Şirket Çalışanları,	Kimlik bilgisi,	Hukuki sürecin	Saklama süresinin sona
Süreçler	Şirket Ortakları,	Hukuki İşlem	tamamlanması	ermesini takiben
	Şirket Yetkilisi	Bilgisi	/kesinleşmesin	180 gün içinde
			den itibaren 10
			yıl
İnternet	Şirket Çalışanları,	Kimlik Bilgisi	2 yıl	Saklama süresinin sona
Erişim	Ziyaretçiler			ermesini takiben
süreci				180 gün içinde
Sosyal	Şirket Çalışanları,	Kimlik Bilgisi	2 yıl	Saklama süresinin sona
Medya	Şirket Ortakları,			ermesini takiben
Süreci	Şirket Yetkilisi,			180 gün içinde
	Ziyaretçiler
Çalışanlara	Şirket Çalışanları	Kimlik Bilgisi	10 yıl	Saklama süresinin sona
zimmetlenen				ermesini takiben
ekipman				180 gün içinde
süreci
Tanıma,	Şirket Çalışanları	Kimlik Bilgisi	10 yıl	Saklama süresinin sona
takdir				ermesini takiben
onurlandırma				180 gün içinde
süreci
Muhaberat	Şirket Çalışanları	Kimlik Bilgisi	2 yıl	Saklama süresinin sona
Süreci				ermesini takiben
				180 gün içinde
Poliklinik	Şirket Çalışanları	Kimlik Bilgisi,	İş sözleşmesinin	Saklama süresinin sona
Kayıt			Sona	ermesini takiben
Defteri			ermesinden	180 gün içinde
			itibaren 15 yıl
Ziyaretçi	Ziyaretçiler	Kimlik Bilgisi,	2 yıl	Saklama süresinin sona
Araç Kaydı				ermesini takiben
Süreci				180 gün içinde
Servis	İş Ortakları	Kimlik Bilgisi,	10 yıl	Saklama süresinin sona
Araçları	Çalışanları			ermesini takiben
Süreci				180 gün içinde

8.7 Periyodik İmha Süreleri

KVKK’nın 7. Maddesi gereğince, yasal mevzuata uygun olarak kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda; First Mining Madencilik A.Ş. işleme şartları ortadan kalkmış olan kişisel verileri işbu Kişisel Verileri Saklama ve İmha Politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek bir işlemle siler, yok eder veya anonim hale getirir.Periyodik imha, tüm kişisel veriler için yılda iki kez olmak üzere 6 ay zaman aralıkları ile gerçekleştirilir.

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere üç yıl süreyle saklanı