Www.gknautomotive.com



| | |

|KİŞİSEL VERİLERİN KORUNMASI POLİTİKASI |PERSONAL DATA PROTECTION POLICY |

| | |

|KİŞİSEL VERİLERİN KORUNMASI | |

| |PROTECTION OF PERSONAL DATA |

|6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”)| |

|uyarınca, kişisel verilerinizi KVKK’da belirlenen çerçeveye uygun |With regard to Law No. 6698 regarding Protection of Personal Data |

|olarak kaydedebilmekte, saklayabilmekte, üçüncü kişilerle |(“PDPL” or “Law”) we may save, storage, share and process your |

|paylaşabilmekte ve Kanun’un izin verdiği diğer şekillerde |personal data based upon the legal methods in line with the Law. The|

|işleyebilmekteyiz. Bu metnin amacı, Kanun ve ilgili mevzuat |purpose of this policy is to inform you regarding your rights under |

|kapsamındaki haklarınıza ilişkin olarak sizi bilgilendirmektir. |the Law and relevant legislation. |

| | |

|Mevzuat Hakkında Genel Bilgilendirme | |

| | |

|6698 Sayılı KVKK Kişisel verilerin işlenmesinde başta özel hayatın |Legislation |

|gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak | |

|ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri|Personal Data Protection Law (Law No. 6698) is enacted to protect |

|ile uyacakları usul ve esasları düzenlemek amacıyla 7 Nisan 2016 |privacy of personal life and data and set forth obligations of data |

|tarihli Resmi Gazete’de ve Kanun’un ikincil düzenlemesini teşkil |processor regarding rules of data process and published in the |

|eden Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale |Official Gazette dated April 7 2016 and secondary legislation of |

|Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) 28 Ekim 2017 tarihli |Regulation regarding Erasure, Destruction and Anonymizing Personal |

|Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. |Data was also published (“Regulation”) in the Official Gazette dated|

| |October , 2017. |

|Veri Sorumlusu Bilgilendirmesi | |

| | |

|Veri Sorumlusu sıfatıyla kişisel verilerinizi ilgili mevzuata uygun | |

|olarak kullanacağız. |Data Controller Disclosure |

| | |

|Kişisel Verileriniz ne şekilde işlenebilecektir? |We, as Data controller, will use your personal data strictly in |

| |accordance with the relevant legislation. |

|Veri Sorumlusu sıfatıyla, şirketimizle paylaştığınız kişisel | |

|verilerinizin tamamen veya kısmen otomatik olan ya da herhangi bir |How we process your Personal Data |

|veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan | |

|yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza |We, as Data Controller, may process your personal data with the |

|edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, |series of operations that are carried out on personal data such as |

|aktarılması, devralınması, elde edilebilir hâle getirilmesi, |collection, recording, storage, retention, alteration, |

|sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler |re-organization, disclosure, transferring, taking over, making |

|üzerinde gerçekleştirilen her türlü işlem tarafımızdan |retrievable, classification or preventing the use thereof, fully or |

|yapılabilecektir. |partially through automatic means or through non-automatic means |

| |only for the process which is a part of any data registry system. |

|Kişisel verilerinizin işlenme amaçları ve hukuki sebepleri nelerdir?| |

| | |

| | |

|Verdiğimiz hizmetleri sözleşmenin ve teknolojinin gereklerine uygun |What are the purposes and legal grounds for processing your personal|

|şekilde yapabilmek, sizlere sunduğumuz ürün ve hizmetlerimizi |data? |

|geliştirebilmek için bizimle paylaştığınız kişisel verileri KVKK ve | |

|ilgili mevzuata uygun olarak işleyeceğiz. |We will process the personal data that you share with us in |

| |accordance with the Law on Protection of Personal Data and |

|Kişisel verilerinizi aktarabileceğimiz kişi veya kuruluşlar hakkında|applicable legislation to provide our services pursuant to the |

|bilgilendirme |requirements of the agreement and technology, and to improve |

| |products and services that we offer. |

|Yukarıda belirtilen amaçlarla, bizimle paylaştığınız kişisel | |

|verilerinizin aktarılabileceği kişi / kuruluşlar ve iştirakleri |Information on entities and organizations to which we can transfer |

|olmak üzere ana hissedarımız, doğrudan / dolaylı yurt içi / yurt |your personal data |

|dışı iştiraklerimiz; faaliyetlerimizi yürütmek üzere hizmet | |

|aldığımız, iş birliği yaptığımız, program ortağı kuruluşları, |These are the entities / organizations and their subsidiaries, to |

|yurtiçi / yurtdışı kuruluşlar ve diğer 3. kişilerdir. |which your personal data that you share with us for abovementioned |

| |purposes can be transferred; particularly, our principal |

|Kişisel verileriniz nasıl toplanmaktadır? |shareholder, our direct/indirect local/foreign subsidiaries, as well|

| |as program partners, local/foreign organizations and other 3rd |

|Şirket ziyaretleri, Şirket ile yapılan görüşmeler ve toplantılar, |parties from which we receive services and with which we cooperate. |

|internet sitesi, satış ve pazarlama departmanı ve satın alma | |

|departmanı çalışanlarımız, müşteri ziyaretlerinde toplanan formlar, |How are your personal data collected? |

|e-posta yazışmaları, özlük dosyası verileri, dijital kanallar | |

|aracılığıyla kişisel verileriniz sözlü, yazılı veya elektronik |Your personal data can be collected verbally, in writing or online |

|ortamda toplanabilmektedir. |through company visits, interviews and meetings with the Company, |

| |website, our sales and marketing department and purchasing |

|KVKK uyarınca haklarınız nelerdir? |department employees, forms collected during customer visits, e-mail|

|Kanunun haklarınızı düzenleyen 11.maddesi uyarınca haklarınız |correspondences, personnel file data, digital channels. |

|aşağıdaki gibidir: | |

| |Rights of Data Subject under the Law |

|Herkes, veri sorumlusuna başvurarak kendisiyle ilgili: |Pursuant to Article 11 of the Law, by applying to the data |

|Kişisel veri işlenip işlenmediğini öğrenme, |controller data subject is entitled to: |

|Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, | |

|Kişisel verilerin işlenme amacını ve bunların amacına uygun |Learn whether or not personal data is being processed: |

|kullanılıp kullanılmadığını öğrenme, |Request further information about processing if personal data |

|ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı |relating to him is being processed, |

|üçüncü kişileri bilme, |Learn the purpose of processing of personal data and whether |

|Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların|personal data is being used consistently with the purpose, |

|düzeltilmesini isteme, |Know the third parties in the country or abroad to whom personal |

|7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin |data is transferred, |

|silinmesini veya yok edilmesini isteme, |Request rectification of personal data if processed incompletely or |

|(d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin |inaccurately, |

|aktarıldığı üçüncü kişilere bildirilmesini isteme, |Request erasure or destruction of personal data, |

|İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz |Request notification of the rectification, erasure or destruction to|

|edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya |the third parties to whom personal data has been transferred as per |

|çıkmasına itiraz etme, |Article 7, |

|ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara|Object to the processing, exclusively by automatic means of his |

|uğraması hâlinde zararın giderilmesini talep etme, |personal data, which leads to an unfavourable consequence for the |

|haklarına sahiptir. |data subject, |

| |Request compensation for the damage arising from the unlawful |

|KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI |processing of his personal data. |

| | |

|Giriş ve Politika’nın Hazırlanma Amacı |PERSONAL DATA STORAGE AND DESTRUCTION POLICY |

| | |

|İşbu Kişisel Veri Saklama ve İmha Politikası, KVKK ve Yönetmelik |Introduction and Purpose of this Policy |

|uyarınca yükümlülüklerimizi yerine getirmek ve veri sahiplerini | |

|kişisel verilerinizin işlendikleri amaç için gerekli olan azami |The purpose of this Personal Data Storage and Destruction Policy is |

|saklama süresinin belirlenmesi esasları ile silme, yok etme ve |to follow our responsibilities to inform you in accordance with the |

|anonim hale getirme süreçleri hakkında bilgilendirmek amacıyla veri |Law and the Regulation regarding retention period of keeping your |

|sorumlusu sıfatıyla GKN Eskişehir Otomotive Ürünleri Üretim ve Satış|data for the purpose of Company needs and erasure, destruction and |

|A.Ş. (“GKN Eskişehir” ya da “Şirket”) tarafından hazırlanmıştır. |anonymizing of such data by us as a data collector and it is |

| |prepared by GKN (“GKN” or “Company”). |

|Tanımlar | |

| |Definitions |

|Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve | |

|özgür iradeyle açıklanan rıza. |Explicit consent has been defined as consent that relates to a |

|Başvuru Formu: Veri Sahibi’nin Kişisel Verilerin Korunması Hakkında |specified issue, declared by free will and based on information. |

|Kanun’un 11. Maddesi uyarınca sahip olduğu hakları kullanması ve bu |Application/Request Form means the form to be used by data subject |

|amaçla Şirket’e başvurabilmesi için hazırlanmış Ekte sunulan başvuru|in order to apply to the Company for the purpose of its right under |

|formunu ifade eder. |Article 11 of the Personal Data Protection Law and provided |

|Denetim Firması: Şirket’in finansal tablo ve diğer finansal |attached. |

|bilgilerinin, finansal raporlama standartlarına uygunluğu ve |Auditing Firm: Firms authorized from sworn certified accountants or |

|doğruluğu hususunda, makul güvence sağlayacak yeterli ve uygun |certified accountants by Public Observation, Accounting and |

|bağımsız denetim kanıtlarının elde edilmesi amacıyla, denetim |Standards Agency in order to engage with independent audit of books,|

|standartlarında öngörülen gerekli bağımsız denetim tekniklerini |records and documents upon independent auditing technics set forth |

|uygulayarak defter, kayıt ve belgeler üzerinden denetleyerek ve |independent auditing standards and preparation of the audit reports |

|değerlendirilerek rapora bağlayan; bağımsız denetim yapmak üzere, |which provides reasonable evidences to trust on financials and |

|yeminli mali müşavirlik ya da serbest muhasebeci mali müşavirlik |compliance with financial reporting standards of the Company. |

|ruhsatına sahip meslek mensupları arasından Kamu Gözetimi, Muhasebe |Processor: the natural or legal person who processes personal data |

|ve Denetim Standartları Kurumu tarafından yetkilendirilen kişileri |on behalf of the controller upon his authorization |

|ifade eder. |Destruction: Erasure of personal data, destruction or anonymizing. |

|İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve |Data Recording Medium is medium recording fully or partially through|

|yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere |automatic means or provided that the process is a part of any data |

|veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan |registry system, through non-automatic means. |

|aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen |Related company: Companies that owns directly or indirectly the |

|kişilerdir. |Company or sits on the management board of the Company. |

|İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale |Personal Data is any information relating to an identified or |

|getirilmesi. |identifiable natural person. |

|Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir |Processing of personal data is the series of operations that are |

|veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan |carried out on personal data such as collection, recording, storage,|

|yollarla işlenen kişisel verilerin bulunduğu her türlü ortam. |retention, alteration, re-organization, disclosure, transferring, |

|İlişkili Şirket: Şirket hissedarlarının, şirketi kontrol etmeye |taking over, making retrievable, classification or preventing the |

|yetecek oranda doğrudan veya dolaylı hissedarı bulunduğu veya |use thereof, fully or partially through automatic means or through |

|yönetiminde yer aldığı diğer şirketler. |non-automatic means only for the process which is a part of any data|

|Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye |registry system |

|ilişkin her türlü bilgi. |Anonymizing: rendering personal data impossible to link with an |

|Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen |identified or identifiable natural person, even through matching |

|otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak|them with other data |

|kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, |Erasure of personal data: data cannot be reachable or reused after |

|depolanması, muhafaza edilmesi, değiştirilmesi, yeniden |erasure by Related processors. |

|düzenlenmesi, açıklanması, aktarılması, devralınması, elde |Board: Personal Data Protection Board. |

|edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının|Sensitive data is personal data relating to the race, ethnic origin,|

|engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.|political opinion, philosophical belief, religion, sect or other |

| |belief, clothing, membership of associations, foundations or |

|Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin, başka |trade-unions, information relating to health, sexual life, |

|verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya |convictions and security measures, the biometric and genetic data. |

|belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle |Periodical Erasure: erasure, destruction or anonymizing of personal |

|getirilmesi. |data within certain periods set forth by the Law periodically in |

|Kişisel Verilerin Silinmesi: Kişisel verilerin silinmesi; kişisel |case data process conditions are expired. |

|verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve |Data Subject/Related Person: real person whose personal data is |

|tekrar kullanılamaz hale getirilmesi. |processed. |

|Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse |Data Controller is the natural or legal person who determines the |

|tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar |purposes for which and means by which personal data is processed and|

|kullanılamaz hale getirilmesi işlemi. |is responsible for establishing and managing the data registry |

|Kurul: Kişisel Verileri Koruma Kurulu. |system. |

|Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi |Personal Data Processing Inventory: personal data inventory |

|düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık|regarding data controller process steps including details of purpose|

|ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel |of process of data, legal ground, data categories, transferring |

|hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri |parties, retention period of data and security measures taken to |

|ile biyometrik ve genetik verileri. |protect the data. |

|Periyodik İmha: Kanun’da yer alan kişisel verilerin işlenme | |

|şartlarının tamamının ortadan kalkması durumunda kişisel verileri |Scope and Amendment of the Policy |

|saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla |This policy contains information pursuant to the Law and other |

|re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme |legislation concerning personal data, and it shall take effect on |

|işlemi. |the date of its issuance. The policy may be updated from time to |

|Veri Sahibi/İlgili Kişi: Kişisel verisi işlenen gerçek kişi. |time due to legal changes, changes in Personal Data processing |

|Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtaların |procedures of the Company, or other reasons. Updates shall take |

|belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden |effect as of their issuance dates, and current policy can be |

|sorumlu olan gerçek veya tüzel kişi. |obtained at all times physically from the addresses of the company |

|Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine |specified on the application form, or online by means of e-mail. |

|bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme | |

|faaliyetlerini; kişisel verileri işleme amaçları ve hukuki sebebi, |Processing of Personal Data |

|veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla |Personal Data cannot be processed without explicit consent of the |

|ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri |data subject in accordance with Article 5 of the Personal Data |

|amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı |Protection Law and such Article also regulates the exemptions of |

|ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine |such rule as follows; |

|ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter. | |

| |The data subject has given his explicit consent, |

|Politikanın Kapsamı ve Değiştirilmesi |It is explicitly provided for by the laws, |

|Bu politika Kanun ve kişisel verilere ilişkin sair mevzuat uyarınca |It is mandatory for the protection of life or to prevent the |

|bilgileri içermekte olup yayınlandığı tarihte yürürlüğe girecektir. |physical injury of a person, in cases where that person cannot |

|Politika, yasal değişiklikler ve Şirket’in Kişisel Verileri işleme |express consent or whose consent is legally invalid due to physical |

|süreçlerinde meydana gelecek değişiklikler veya sair sebeplerle |disability, |

|zaman zaman güncellenebilir. Güncellemeler yayın tarihi itibari ile |Processing of personal data belonging to the parties of a contract |

|geçerli olur ve güncel politikayı her zaman Şirket’in başvuru |is necessary provided that it is directly related to the conclusion |

|formunda bildirilen adreslerinden fiziken ya da e-posta ile ulaşarak|or fulfilment of that contract. |

|sanal ortamda temin edebilirsiniz. |It is mandatory for the controller to fulfil its legal obligations. |

| |The data is made manifestly public by the data subject. |

|Kişisel Verileri İşleme Faaliyetinin Şartları |Data processing is mandatory for the establishment, exercise or |

|Kişisel Veriler, Kanun’un 5. maddesi uyarınca Veri Sahibinin açık |protection of any right. |

|rızası olmaksızın işlenemez; fakat bu durumun istisnası aynı maddede|It is mandatory for the legitimate interests of the controller, |

|düzenlenmiştir. Buna göre aşağıdaki hallerde Veri Sahibinin açık |provided that such processing shall not violate the fundamental |

|rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: |rights and freedoms of the data subjects. |

| | |

|Kanunlarda açıkça öngörülmesi |Sensitive Personal Data Processing |

|Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan| |

|veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da |Article 6 of the Law regulates that sensitive data cannot be |

|bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu|processed without explict consent. However, sensitive data those |

|olması |relating to health and sexual life can be processed without consent |

|Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili |in the cases listed by the Law. |

|olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin | |

|işlenmesinin gerekli olması |Personal data relating to health and sexual life can be processed |

|Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için |without consent by persons under an obligation of confidentiality or|

|zorunlu olması |by authorised institutions and establishments for the purposes of |

|Veri Sahibinin kendisi tarafından alenileştirilmiş olması. |protection of public health, protective medicine, medical diagnosis,|

|Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin |treatment and nursing services, planning and management of |

|zorunlu olması |health-care services as well as their financing, |

|Veri Sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, | |

|veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu |In processing of sensitive personal data, adequate measures set |

|olması. |forth by the Board must be taken. |

| | |

|Özel Nitelikli Kişisel Verilerin İşlenmesi | |

| |Purposes for Processing of Personal Data |

|Kanun’un 6. maddesi uyarınca Özel Nitelikli Kişisel Verilerin, |Negotiation, execution and performance of agreements, |

|ilgilinin açık rızası olmaksızın işlenmesi yasaktır. Ancak sağlık ve|Ability to offer products and services, |

|cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen |Customization of offered products and services according to demands;|

|hâllerde Veri Sahibinin açık rızası aranmaksızın işlenebilir. |updating and improvements due to customer requirements, legal and |

| |technical developments, |

|Sağlık ve cinsel hayata ilişkin Kişisel Veriler ise ancak kamu |Making user definitions, specific to offered products and services, |

|sağlığının korunması, koruyucu hekimlik, tıbbı teşhis, tedavi ve |on systems, |

|bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının|Announcing new or existing products, services and campaigns, |

|planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında |conducting sales and marketing activities, |

|bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından |Conducting market researches, |

|ilgilinin açık rızası aranmaksızın işlenebilir. |Generation of statistics and analysis of uses, |

| |Payment and collection of product, service and handling fees, and |

|Özel nitelikli Kişisel Verilerin işlenmesinde, ayrıca Kurul |selection of collection method, |

|tarafından belirlenen yeterli önlemlerin alınması şarttır. |Ensuring contact/communication, |

| |Conducting business relationships with cooperating companies, |

|Kişisel Verilerin İşlenme Amaçları |suppliers, resellers and service provider companies, |

|Sözleşmelerin müzakeresi, akdedilmesi ve ifası, |Reporting within the scope of cooperation, |

|Ürün ve hizmetlerin sunulabilmesi, |Development of business strategies and making plans for the Company |

|Sunulan ürün ve hizmetlerin taleplere uygun olarak özelleştirilmesi;|and the Group, |

|müşteri ihtiyaçları, yasal ve teknik gelişmeler sebebiyle |Contacting for satisfaction measurement surveys of the Company and |

|güncellenmesi, geliştirilmesi, |the Group, |

|Sunulan ürün ve hizmetler özelinde, sistemlere kullanıcı |Management of judicial/administrative processes, responding to |

|tanımlamalarının yapılması, |demands received from public institutions and organizations, |

|Yeni veya mevcut ürün, hizmet ve kampanyaların duyurulması, satış ve|performance of legal obligations based on legal regulations, |

|pazarlama faaliyetlerinin yürütülmesi, |resolution of legal disputes, |

|Pazar araştırması yapılması, |Conducting investor relations, |

|İstatistik oluşturulması ve kullanımların analiz edilmesi, |Conducting job interviews, evaluating job applications, |

|Ürün, hizmet ve servis bedellerinin ödenmesi, tahsil edilmesi, |Entering into, conducting and terminating employment |

|tahsilat yönteminin seçilmesi, |relationship/contract, |

|•İrtibat/iletişim sağlanması, |Making principal rights and benefits arising from employment |

|İşbirliği yapılan firmalar, tedarikçiler, yeniden satıcılar ve |contracts available to employees, evaluation of their performances |

|hizmet alınan firmalarla olan ticari ilişkilerin yürütülmesi, |and works, |

|İşbirliği çerçevesinde raporlama yapılması, |Creating user accounts for employees, providing factory entry-exit |

|Şirket’in ve Grup’un ticari stratejilerinin geliştirilmesi ve |and meal services via intra-company credentials, fingerprint reader,|

|planlarının yapılması, |biometric data generation and issuance of meal cards, |

|Şirket’in ve Grup’un memnuniyet ölçümü anketleri için iletişim |Follow-up of company pool vehicles, |

|kurulması, |In case of participation in an organization on behalf of the |

|Adli/idari süreçlerin yönetimi, kamu kurum kuruşlarından gelen |company, creation of a participant record, |

|taleplere cevap verilmesi, yasal düzenlemelere bağlı olarak hukuki |Generation of training participation and certificate records of |

|yükümlülüklerin yerine getirilmesi, hukuki uyuşmazlıkların |employees, |

|çözümlenmesi, |Generation and follow-up of visitor records, |

|Yatırımcı ilişkilerinin yürütülmesi, |Ensuring safety of interior and perimeter security of the company, |

|İş görüşmelerinin yürütülmesi, iş başvurularının değerlendirilmesi, |as well as occupational safety practices, |

|İş ilişkisinin/sözleşmesinin kurulması, yürütülmesi ve |Generation of personal data inventory, |

|sonlandırılması, |Evaluating and responding to all inquiries, requests, |

|Çalışanların iş sözleşmelerinden doğan asıl ve yan haklardan |recommendations, complaints and applications submitted in writing, |

|yararlandırılması, performansının ve çalışmalarının |verbally or by electronic means, including those related to personal|

|değerlendirilmesi, |data. |

|Çalışanlara kullanıcı hesabı açılması, şirket içi kimlik, parmak izi| |

|okuyucu, biyometrik veri oluşturulması yöntemi ile fabrika |Principles |

|giriş-çıkışı ve yemek hizmeti temin edilmesi ve yemek kartı | |

|verilmesi, |Processed lawfully and fairly. Personal data cannot be processed |

|Şirket havuz araçlarının takibi, |without consent of data subject. |

|Şirket adına bir organizasyona katılım olması durumunda, katılımcı | |

|kaydının oluşturulması, |Accurate and where necessary, kept up-to-date. Company tries to keep|

|Çalışanların eğitimlere katılım, eğitim değerlendirme ve sertifika |accurate data and keep it up-to-date. It also keeps open all |

|kayıtlarının oluşturulması, |channels to ensure the accurancy of personal data and upon |

|Ziyaretçi kayıtlarının oluşturulması ve takibi, |application of Data Subject or determination of the false staement, |

|Şirketin içi ve çevre güvenliği ile iş güvenliği uygulamalarının |it ensures the correction of the personal data. |

|güvenliğinin sağlanması, | |

|Kişisel veri envanterinin oluşturulması, |Processed for specified, explicit and legitimate purposes. As a part|

|Kişisel verilere ilişkin olanlar dahil, yazılı, sözlü veya |of our Disclosure obligation, we have informed our purpose to |

|elektronik olarak iletilen tüm soru, talep, öneri, şikayet ve |process Personal Data explicitly. Company will only process the |

|başvuruların değerlendirilmesi, bunlara cevap verilmesi. |Personal Data in accordance with the Law and for the legitimate |

| |business and services provided. |

|İlkeler | |

| |Relevant, limited and proportionate to the purposes for which they |

|Hukuka ve dürüstlük kurallarına uygun olma: Kişisel Veriler, Veri |are processed. Company ensures to gather the Personal Data upon Data|

|Sahibi’nin haberi olmaksızın toplamaz veya işlemez; Kişisel Veriler |Subject’s consent (Explicit Consent) or in line with this Policy and|

|hukuka, Kanun’a ve ilgili mevzuata uygun olarak işlenir. |for the legitimate reasons explained explicity and retain for the |

|Doğru ve gerektiğinde güncel olma: Şirket, Kişisel Verilerin doğru |legitimate period of time and does not process any Personal Data |

|ve güncel olmasını temin etmek için gereken çabayı göstermektedir. |that does not relate to the purpose of the Company or its needs. |

|Bu kapsamda verilerin doğruluğunun ve güncelliğinin sağlanması | |

|amacıyla bu durumu temin edecek kanalları açık tutar, Veri |Retained for the period of time determined by the relevant |

|Sahibi’nin başvurusu üzerine veya tespit halinde resen verilerin |legislation or the period deemed necessary for the purpose of the |

|düzeltilmesini temin eder. |processing. Legal periods are followed if regulated. Otherwise, |

|Belirli, açık ve meşru amaçlar için işlenme: Kişisel Verileri işleme|personal data is erased upon expiration of the purpose of keeping |

|amaçlarımız aydınlatma yükümlülüğünün bir gereği olarak açıkça |such data in accordance with the legislation. |

|belirlenmiştir. Şirket Kişisel Verileri, Kanun’a uygun olarak, | |

|yaptığı işler ve/veya sunduğu hizmetlerle bunlarla bağlantılı |Explanations on Reasons that Require Retention and Destruction |

|olarak, meşru amaçlar için işlemektedir. | |

|İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Şirket, |Personal data belonging to data subjects are securely retained on |

|Kişisel Verileri belirli, açık ve meşru amaçlar ile işler ve bu |abovementioned physical or electronic media, pursuant to limits |

|kapsamda verilerin bu Politika’da veya Veri Sahibi’nden alınacak |specified in the Law on Protection of Personal Data and other |

|izinde (Açık Rıza) belirtilen amaçlar için toplanmasını, amaç için |applicable legislation, particularly for (i) maintaining business |

|gerekli olan süre boyunca tutulmasını temin eder ve amacın |activities, (ii) fulfillment of legal obligations, (iii) planning |

|gerçekleştirilmesiyle ilgili olmayan ve/veya ihtiyaç duyulmayan |and performance of employee rights and benefits, and (iv) management|

|Kişisel Verilerin işlenmesinden kaçınır. |of customer relations by the Company. |

|İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan | |

|süre kadar muhafaza edilme: Kişisel Verilerin saklanması için |Reasons that require retention are as follows: |

|mevzuatta öngörülen belirli bir süre var ise bu süreye uyulur. Böyle|Retention of personal data as they are directly related to drawing |

|bir süre belirlenmemiş ise, Kişisel Veriler, ancak işlendikleri amaç|up and performance of agreements, |

|için gerekli olan süre boyunca muhafaza edilir. |Retention of personal data for the purpose of establishment, |

| |exercise or protection of a right, |

|Saklama Ve İmhayı Gerektiren Sebeplere İlişkin Açıklamalar |Obligation to retain personal data for our legitimate interests on |

| |the condition that essential rights and liberties of individuals are|

|Veri sahiplerine ait kişisel veriler, Şirket tarafından özellikle |not impaired, |

|(i) ticari faaliyetlerin sürdürülebilmesi, (ii) hukuki |Retention of personal data for the purpose of fulfilling a legal |

|yükümlülüklerin yerine getirilebilmesi, (iii) çalışan haklarının ve |obligation, |

|yan haklarının planlanması ve ifası ile (iv) müşteri ilişkilerinin |Explicit stipulation of retention of personal data in the |

|yönetilebilmesi amacıyla yukarıda sayılan fiziki veyahut elektronik |legislation, |

|ortamlarda güvenli bir biçimde KVKK ve diğer ilgili mevzuatta |Presence of express consent of data subjects to retention activities|

|belirtilen sınırlar çerçevesinde saklanmaktadır. |that require obtaining express consent of data subjects. |

|Saklamayı gerektiren sebepler aşağıdaki gibidir: | |

|Kişisel verilerin sözleşmelerin kurulması ve ifası ile doğrudan |In accordance with the regulation, personal data belonging to data |

|doğruya ilgili olması nedeniyle saklanması, |subjects are deleted, destroyed or anonymized automatically or upon |

|Kişisel verilerin bir hakkın tesisi, kullanılması veya korunması |request by the Company under the following circumstances: |

|amacıyla saklanması, |Amendment or cancellation of provisions of the applicable |

|Kişisel verilerin kişilerin temel hak ve özgürlüklerine zarar |legislation, which constitutes a basis for processing or retention |

|vermemek kaydıyla meşru menfaatlerimiz için saklanmasının zorunlu |of personal data, |

|olması, |Cessation of the purpose that requires processing or retention of |

|Kişisel verilerin herhangi bir hukuki yükümlülüğü yerine getirmesi |personal data, |

|amacıyla saklanması, |Cessation of circumstances that require processing of personal data |

|Mevzuatta kişisel verilerin saklanmasının açıkça öngörülmesi, |pursuant to articles 5 and 6 of the Law. |

|Veri sahiplerinin açık rızasının alınmasını gerektiren saklama |Where processing of personal data is performed only upon express |

|faaliyetleri açısından veri sahiplerinin açık rızasının bulunması. |consent, withdrawal of consent by the relevant person, |

| |Acceptance of an application by a related person, concerning |

|Yönetmelik uyarınca, aşağıda sayılan hallerde veri sahiplerine ait |deletion, destruction or anonymization of their personal data |

|kişisel veriler, Şirket tarafından re’sen yahut talep üzerine |pursuant to their rights in clauses (e) and (f) of article 11 of the|

|silinir, yok edilir veya anonim hale getirilir: |Law, by the data controller, |

|Kişisel verilerin işlenmesine veya saklanmasına esas teşkil eden |If the data controller rejects an application by a related person, |

|ilgili mevzuat hükümlerinin değiştirilmesi veya yürürlükten |concerning a request to have their personal data deleted, destroyed |

|kaldırılması, |or anonymized, if response of the data controller found to be |

|Kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın |unsatisfactory, or if the data controller fails to respond within |

|ortadan kalkması, |the period stipulated in the Law; submission of a complaint to the |

|Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini |Board and acceptance of such complaint by the Board, |

|gerektiren şartların ortadan kalkması. |Absence of any condition that justifies retention of personal data |

|Kişisel verileri işlemenin sadece açık rıza şartına istinaden |for a longer period despite the expiration of maximum period that |

|gerçekleştiği hallerde, ilgili kişinin rızasını geri alması, |requires retention of personal data. |

|İlgili kişinin, Kanun’un 11. maddesinin (e) ve (f) bentlerindeki | |

|hakları çerçevesinde kişisel verilerinin silinmesi, yok edilmesi |Retention and Destruction Periods |

|veya anonim hale getirilmesine ilişkin yaptığı başvurunun veri |The criteria, listed below, are used in determination of the periods|

|sorumlusu tarafından kabul edilmesi, |for retention and destruction of your personal data, obtained |

|Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin |pursuant to the provisions of the Law on Protection of Personal Data|

|silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile |and other applicable legislation: |

|kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz |If the legislation stipulates a period concerning retention of such |

|bulunması veya Kanun’da öngörülen süre içinde cevap vermemesi |personal data, such period shall be observed. Upon expiration of the|

|hallerinde; Kurul’a şikâyette bulunulması ve bu talebin Kurul |mentioned period, the provisions of clause 2 shall be applicable to |

|tarafından uygun bulunması, |the data. |

|Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş |If the period stipulated in the legislation concerning retention of |

|olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı |such personal data expires or if the applicable legislation does not|

|kılacak herhangi bir şartın mevcut olmaması, |stipulate any period for retention of such data, respectively; |

| |Personal data shall be categorized as personal data and private |

|Saklama Ve İmha Süreleri |personal data on the basis of the definition in article 6 of the Law|

|KVKK ve diğer ilgili mevzuat hükümlerine uygun olarak elde edilen |on Protection of Personal Data. All personal data determined to be |

|kişisel verilerinizin saklama ve imha sürelerinin tespitinde aşağıda|private shall be destroyed. |

|sırasıyla belirtilen ölçütlerden yararlanılmaktadır: |Conformity of data retention with the principles specified in |

|Mevzuatta söz konusu kişisel verinin saklanmasına ilişkin olarak bir|article 4 of the Law on Protection of Personal Data. For example, it|

|süre öngörülmüş ise bu süreye riayet edilir. Anılan sürenin sona |is questioned whether data retention has a legitimate purpose such |

|ermesi akabinde veri hakkında 2. bent kapsamında işlem yapılır. |as constituting evidence in a lawsuit. Data determined to be in |

|Söz konusu kişisel verinin saklanmasına ilişkin olarak mevzuatta |violation of the principles in article 4 of the Law on Protection of|

|öngörülen sürenin sona ermesi veya ilgili mevzuatta söz konusu |Personal Data shall be deleted, destroyed or anonymized. |

|verinin saklanmasına ilişkin olarak herhangi bir süre öngörülmemiş |It is determined which exception(s) stipulated in articles 5 and 6 |

|olması durumunda sırasıyla; |of the Law on Protection of Personal Data is/are applicable to data |

|Kişisel veriler, KVKK’nın 6. maddesinde yer alan tanımlama baz |retention. Reasonable periods, during which data should be retained |

|alınarak, kişisel veriler ve özel nitelikli kişisel veriler olarak |pursuant to identified exceptions, shall be determined. In case such|

|sınıflandırmaya tabi tutulur. Özel nitelikte olduğu tespit edilen |periods expire, data shall be deleted, destroyed or anonymized. |

|tüm kişisel veriler imha edilir. |Personal data, retention periods of which have expired, shall be |

|Verinin saklanmasının KVKK’nın 4. maddesinde belirtilen ilkelere |destroyed in 6-month periods pursuant to the procedures set forth in|

|uygunluğu örneğin; verinin saklanmasında davada delil olması gibi |this Policy. |

|meşru bir amacın olup olmadığı sorgulanır. Saklanmasının KVKK’nın 4.|All actions taken in respect of deletion, destruction and |

|maddesinde yer alan ilkelere aykırılık teşkil edebileceği tespit |anonymization of personal data shall be recorded and such records |

|edilen veriler silinir, yok edilir ya da anonim hale getirilir. |shall be kept for at least three years, with the exception of other |

|c. Verinin saklanmasının KVKK’nın 5. ve 6. maddelerinde öngörülmüş |legal obligations. |

|olan istisnalardan hangisi/hangileri kapsamında | |

|değerlendirilebileceği tespit edilir. Tespit edilen istisnalar | |

|çerçevesinde verilerin saklanması gereken makul süreler tespit |Procedures for Retention and Destruction of Personal Data |

|edilir. Söz konusu sürelerin sona ermesi halinde veriler silinir, | |

|yok edilir ya da anonim hale getirilir. |I. Recording Media |

|Saklama süresi dolan kişisel veriler, 6 aylık periyodlarla işbu |Personal data belonging to data subjects are securely retained by |

|Politika’da yer verilen usullere uygun olarak imha edilir. |the Company on media listed in the following table in conformity |

|Kişisel verilerin silinmesi, yok edilmesi ve anonim hale |with the applicable legislation, particularly provisions of the Law |

|getirilmesiyle ilgili yapılan bütün işlemler kayıt altına alınır ve |on Protection of Personal Data, and pursuant to international data |

|söz konusu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en|security principles. |

|az üç yıl süreyle saklanır. | |

| |Electronic media: |

|Kişisel Verilerin Saklanması Ve İmhası Usulleri | |

| |Physical media: |

|I. Kayıt Ortamları | |

|Veri sahiplerine ait kişisel veriler, Şirket tarafından aşağıdaki | |

|tabloda listelenen ortamlarda başta KVKK hükümleri olmak üzere |EXCHANGE SERVER (cloud), FILE SERVER, CRM SERVER |

|ilgili mevzuata uygun olarak ve uluslararası veri güvenliği |MyGKN, kolay İK, Meyer, |

|prensipleri çerçevesinde güvenli bir şekilde saklanmaktadır: |Servers |

|Elektronik ortamlar: |Software |

| |Printer, scanner, photocopying machine |

|Fiziksel ortamlar: |Personal computers |

| |Mobile devices |

| |Removable disks |

|EXCHANGE SERVER (cloud), FILE SERVER, CRM SERVER |Unit Cabinets |

|MyGKN, kolay İK, Meyer, Datassist (Dakika), iLobby |ARCHIVE |

|Sunucular | |

|Yazılımlar | |

|Yazıcı, tarayıcı, fotokopi makinesi | |

|Kişisel bilgisayarlar |II. Technical and Administrative Measures |

|Mobil cihazlar |All administrative and technical measures, taken by the Company |

|Çıkartılabilir bellekler |pursuant to the principles in article 12 of the Law on Protection of|

|Birim Dolapları |Personal Data for the purposes of secure retention, prevention of |

|ARŞİV |unlawful processing and access, and destruction of data pursuant to |

| |the law, are listed below: |

| | |

|II. Teknik ve İdari Tedbirler |a. Administrative Measures. |

|Kişisel verilerinizin güvenli bir şekilde saklanması, hukuka aykırı |Within the scope of administrative measures; |

|olarak işlenmesi, erişilmesinin önlenmesi ve verilerin hukuka uygun |Access to retained personal data within the Company shall be limited|

|olarak imha edilmesi amacıyla KVKK’nın 12. Maddesindeki ilkeler |to personnel that needs to access such data as required by their job|

|çerçevesinde, Şirket tarafından alınmış olan tüm idari ve teknik |descriptions. Private nature and degree of importance of the data |

|tedbirler aşağıda sayılmıştır: |shall also be considered in limitation of access. |

| |b. If processed personal data are unlawfully obtained by third |

|a. İdari Tedbirler: |parties, this situation shall be notified to the relevant person and|

|İdari tedbirler kapsamında; |the Board as soon as possible. |

|Saklanan kişisel verilere Şirket içi erişimi iş tanımı gereği |c. In respect of sharing personal data, a framework agreement |

|erişmesi gerekli personel ile sınırlandırır. Erişimin |regarding protection of personal data and data security shall be |

|sınırlandırılmasında verinin özel nitelikli olup olmadığı ve önem |signed with parties with which personal data are shared, or data |

|derecesi de dikkate alınır. |security is ensured by provisions added to existing agreements. |

|İşlenen kişisel verilerin hukuka aykırı yollarla başkaları |d. Personnel with information on and experience in respect of |

|tarafından elde edilmesi hâlinde, bu durumu en kısa sürede |processing personal data shall be employed, and such personnel shall|

|ilgilisine ve Kurul’a bildirir. |receive necessary trainings within the scope of the legislation on |

|Kişisel verilerin paylaşılması ile ilgili olarak, kişisel verilerin |protection of personal data and data security. |

|paylaşıldığı kişiler ile kişisel verilerin korunması ve veri |e. Necessary audits shall be internally performed and outsourced to |

|güvenliğine ilişkin çerçeve sözleşme imzalar veya mevcut |ensure implementation of provisions of the Law. Confidentiality and |

|sözleşmesine eklenen hükümler ile veri güvenliğini sağlar. |security flaws, found as a result of audits, shall be eliminated. |

|Kişisel verilerin işlenmesi hakkında bilgili ve deneyimli personel |f. If retention services are received from a party outside its legal|

|istihdam eder ve personeline kişisel verilerin korunması mevzuatı ve|entity, it shall be ensured by introducing contractual provisions |

|veri güvenliği kapsamında gerekli eğitimleri verir. |that retention and destruction service providers offer services |

|Kendi içinde Kanun hükümlerinin uygulanmasını sağlamak amacıyla |pursuant to both regulations in this Policy and all legislative |

|gerekli denetimleri yapar ve yaptırır. Denetimler sonucunda ortaya |provisions in general. |

|çıkan gizlilik ve güvenlik açıklarını giderir. | |

|Kendi tüzel kişiliği dışında saklama hizmeti alınması durumunda, |b. Technical Measures: |

|saklama ve imha hizmeti sunanların da gerek işbu Politikada |Within the scope of technical measures; |

|belirtilen düzenlemelere gerekse genel olarak tüm mevzuat |Necessary internal controls shall be carried out within the scope of|

|hükümlerine tabi olarak hizmet sunacağını sözleşmesel hükümler |established systems. |

|koymak yoluyla sağlar. |Information technologies risk assessment and business impact |

| |analysis performance procedures shall be conducted within the scope |

|b. Teknik Tedbirler: |of established systems. |

|Teknik tedbirler kapsamında; |Technical infrastructure to prevent or monitor data leakage outside |

|Kurulan sistemler kapsamında gerekli iç kontrolleri yapar. |the company shall be procured and relevant matrices shall be |

|Kurulan sistemler kapsamında bilgi teknolojileri risk |created. |

|değerlendirmesi ve iş etki analizinin gerçekleştirilmesi süreçlerini|System vulnerabilities shall be kept under control by receiving |

|yürütür. |penetration test services regularly and if needed. |

|Verilerin kurum dışına sızmasını engelleyecek veya gözlemleyecek |Authorizations of employees in information technologies units to |

|teknik altyapının temin edilmesini ve ilgili matrislerin |access personal data shall be kept under control. |

|oluşturulmasını sağlar. |Personal data shall be destroyed irrecoverably and without an audit |

|d. Düzenli olarak ve ihtiyaç oluştuğunda sızma testi hizmeti alarak |trail. |

|sistem zafiyetlerinin kontrolünü sağlar. |In accordance with article 12 of the Law, any digital media, on |

|e. Bilgi teknolojileri birimlerinde çalışanların kişisel verilere |which personal data are retained, shall be protected by encrypted or|

|erişim yetkilerinin kontrol altında tutulmasını sağlar. |cryptographic methods that fulfill information security |

|f. Kişisel verilerin yok edilmesi geri dönüştürülemeyecek ve denetim|requirements. |

|izi bırakmayacak şekilde sağlanır. | |

|g. Kanun’un 12. maddesi uyarınca, kişisel verilerin saklandığı her |III. Personnel |

|türlü dijital ortam, bilgi güvenliği gereksinimlerini sağlayacak |Titles, units and job descriptions of personnel involved in personal|

|şekilde şifreli veyahut kriptografik yöntemler ile korunur. |data retention and destruction process are available upon request by|

| |means of the Application Form. |

|III. Personel | |

|Kişisel veri saklama ve imha sürecinde yer alan personelin |IV. Destruction Methods for Personal Data |

|unvanlarına, birimlerine ve görev tanımlarına Başvuru Formu |In case personal data processing purposes specified in the Law and |

|aracılığı ile talep ederek ulaşabilirsiniz. |the Regulation cease to exist, personal data obtained in conformity |

| |with the Law On Protection of Personal Data and other applicable |

|IV. Kişisel Verilerin İmha Usulleri |legislation shall be destroyed automatically or upon application of |

|KVKK ve diğer ilgili mevzuata uygun olarak elde edilen kişisel |the Relevant Person with the following techniques pursuant to the |

|veriler Kanun ve Yönetmelik’te sayılan kişisel veri işleme |provisions of the Law and the applicable legislation. |

|amaçlarının ortadan kalkması halinde re’sen veya İlgili Kişinin | |

|başvurusu üzerine Kanun ve ilgili mevzuat hükümlerine uygun olarak |a. Personal Data Deletion and Destruction Techniques: |

|aşağıda belirtilen teknikler ile imha edilecektir. |Secure Deletion via Software: Data that are completely or partially |

| |processed by automated means and stored on digital media shall be |

|a. Kişisel Verilerin Silinmesi ve Yok Edilmesi Teknikleri: |deleted and access rights granted to Relevant Users shall be |

|Yazılımdan Güvenli Olarak Silme: Sistem yöneticisi ya da kişisel |withdrawn by the system administrator or by a specialist, if a |

|verilerin silinmesi için bir uzman ile anlaşılması durumunda söz |specialist is contracted for deletion of personal data. |

|konusu uzman tarafından tamamen veya kısmen otomatik olan yollarla |However, if deletion of personal data shall render other data |

|işlenen ve dijital ortamlarda muhafaza edilen veriler silinirken |inaccessible in the system or result in the inability to use such |

|İlgili Kullanıcılar için tanımlanan erişim hakkı da ortadan |data, personal data shall be deemed to have been deleted if they are|

|kaldırılır. |archived in a manner that cannot be associated with the relevant |

|Ancak, kişisel verilerin silinmesi işlemi, diğer verilere de sistem |person, provided that the following conditions are fulfilled. |

|içerisinde erişilememe ve bu verileri kullanamama sonucunu doğuracak|Being inaccessible by another institution, organization or real |

|ise, aşağıdaki koşulların sağlanması kaydıyla, kişisel verilerin |person, |

|ilgili kişiyle ilişkilendirilemeyecek duruma getirilerek |Taking any and all technical and administrative measures to ensure |

|arşivlenmesi halinde de kişisel veriler silinmiş sayılacaktır. |that only authorized people are able to access personal data. |

|Başka herhangi bir kurum, kuruluş ya da gerçek kişinin erişimine |Obfuscation of Personal Data on Paper Media: This is the method of |

|kapalı olması, |obfuscating data to prevent misuse of personal data or to delete |

|Kişisel verilere yalnızca yetkili kişiler tarafından erişilmesini |data that are requested to be deleted by physically cutting out and |

|sağlayacak şekilde gerekli her türlü teknik ve idari tedbirlerin |removing relevant personal data from the document, rendering data |

|alınması. |illegible by using indelible ink or by crossing out, painting over |

|Kağıt Ortamında Bulunan Kişisel Verilerin Karartılması: Kişisel |or deleting so that they cannot be recovered and read by |

|verileri amaca yönelik olmayan kullanımını önlemek veya silinmesi |technological solutions. |

|talep edilen verileri silmek için ilgili kişisel verilerin fiziksel | |

|olarak kesilerek belgeden çıkartılması veya geri döndürülemeyecek ve|Destruction of Personal Data: |

|teknolojik çözümlerle okunamayacak şekilde sabit mürekkep |Demagnetization: Treating magnetic media with special devices, where|

|kullanılarak görünemeyecek hale getirilmesi ya da üzeri çizilerek, |they will be exposed to highly magnetic fields, to corrupt data on |

|boyanarak, silinerek karartma yöntemidir. |the media, rendering them unreadable. It should be noted that if |

| |destruction with this method is unsuccessful, destruction can be |

|Kişisel Verilerin Yok Edilmesi: |completed only upon physical destruction of the media. |

|De-manyetize Etme: Manyetik medyanın yüksek manyetik alanlara maruz |Physical Destruction: As personal data, processed by non-automated |

|kalacağı özel cihazlardan geçirilerek üzerindeki verilerin okunamaz |means as part of the data recording system, are destroyed, data are |

|bir biçimde bozulması yöntemidir. Dikkat edilmelidir ki bu yöntemle |physically destroyed so that they cannot be used later. |

|yok etme başarılı olmaz ise ancak medyanın fiziksel olarak yok |Overwriting: Overwriting method is a data destruction method that |

|edilmesi ile yok etme işlemi tamamlanmış olabilecektir. |makes it impossible to read and recover old data by writing random |

|Fiziksel Yok Etme: Veri kayıt sisteminin parçası olmak kaydıyla |data on magnetic media and rewritable optical media by means of |

|otomatik olmayan yollarla işlenmiş kişisel veriler yok edilirken |special software. |

|verinin sonradan kullanılamayacak biçimde fiziksel olarak yok | |

|edilmesi sistemi uygulanmaktadır. |b. Anonymization Techniques for Personal Data: |

|Üzerine Yazma: Üzerine yazma yöntemi, özel yazılımlar aracılığı ile |Anonymization of personal data is ensuring that personal data can by|

|manyetik medya ve yeniden yazılabilir optik medya üzerinden rastgele|no means be associated with a real person whose identity is known or|

|veriler yazılarak eski verinin okunabilmesi ve kurtarılabilmesini |identifiable, even if they are matched with other data. |

|imkânsızlaştıran veri yok etme yöntemidir. |For personal data to be anonymized, it should be ensured that |

| |personal data cannot be associated with a real person that is known |

|b. Kişisel Verilerin Anonim Hale Getirilmesi Teknikleri: |or can be identified, even by utilization of convenient techniques |

|Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka |in terms of recording media and relevant field of activity such as |

|verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya |recovery of personal data by the data controller or third parties |

|belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale |and/or matching data with other data. |

|getirilmesidir. |Anonymization methods that do not provide value irregularity: These |

|Kişisel verilerin anonim hale getirilmiş olması için; kişisel |are anonymization methods implemented by generalization, exchange or|

|verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri |subtraction of a certain data or sub-data set from any personal data|

|döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi |set, without any change or addition/subtraction on retained personal|

|kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin |data. |

|kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir |Anonymization methods that provide value irregularity |

|gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir. |Unlike anonymizations that do not provide value irregularity, those |

|Değer Düzensizliği Sağlamayan Anonim Hale Getirme Yöntemleri: |that provide value irregularity create corruption by changing |

|Saklanmakta olan kişisel verilerde bir değişiklik veya |certain data in personal data sets. Deviations should be implemented|

|ekleme/çıkarma yapılmaksızın; herhangi bir kişisel veri grubunun |carefully in line with expected/desired benefit when these methods |

|genelleme, birbiri ile yer değiştirme veya gruptan belirli bir veri |are used. It is possible to continue obtaining expected benefit from|

|veya alt veri grubunun çıkarılması ile uygulanan anonimleştirme |the data without corrupting total statistics. |

|yöntemleridir. |Variable Removal: Removal of descriptive data removes “highly |

|Değer Düzensizliği Sağlayan Anonim Hale Getirme Yöntemleri |descriptive” ones from the variables in the data set generated after|

|Değer düzensizliği sağlayan anonim hale getirme yöntemlerinde değer |accumulation of collected data, thus anonymizing the available data |

|düzensizliği sağlamayanların aksine kişisel veri gruplarında bazı |set. |

|verilerin değiştirilmesi ile bozulma yaratmaktadır. Bu yöntemler |Record Removal: Retained data are anonymized by removing data rows, |

|kullanılırken elde edilmesi beklenen/istenen fayda doğrultusunda |involving singularity among the data, from records. For example, if |

|sapmaların dikkatli uygulanması gerekecektir. Toplam istatistikler |there is a single senior manager in a company, remaining data can be|

|bozulmadan veriden beklenen fayda sağlanmaya devam edilebilir. |anonymized by removing data belonging to this person from records |

|Değişken Çıkartma: Betimleyici nitelikteki verilerin çıkartılması |where seniority, wage and gender data of the employees at the same |

|yöntemi ile toplanılan verilerin bir araya getirilmesinden sonra |level are retained. |

|oluşturulan veri setindeki değişkenlerden “yüksek dereceli |Partial Hiding: If a single data has an identifying characteristic |

|betimleyici” olanlar çıkarılarak mevcut veri seti anonim hale |as it creates a combination with very low visibility, hiding such |

|getirilmektedir. |data (for example, inserting “unknown”) ensures anonymization. |

|Kayıtları Çıkartma: Veriler arasında tekillik ihtiva eden veri |Lower and Upper Limit Coding: Values in a data set, which contains |

|satırı kayıtlar arasından çıkarılarak saklanan veriler anonim hale |previously determined categories, are anonymized by being combined |

|getirilmektedir. Örneğin, bir şirkette tek kıdemli müdür var ise bu |with a certain criteria. |

|kişiye ait verilerin birbirleri ile aynı kademede bulunan |Generalization: Multiple data are aggregated with data aggregation |

|çalışanların kıdem, maaş ve cinsiyet verilerinin tutulduğu |method and personal data are transformed so that they cannot be |

|kayıtlardan çıkarılması ile kalan veriler anonim hale |associated with any person. |

|getirilebilecektir. |Global Coding: A more general content is generated from the content |

|Bölgesel Gizleme: Tek bir verinin çok az görülebilir bir kombinasyon|of personal data by means of data derivation method, and personal |

|yaratması sebebi ile belirleyici niteliği mevcut ise ilgili verinin |data are transformed so that they cannot be associated with any |

|gizlenmesi (örneğin “bilinmiyor” yazılması) anonimleştirmeyi |person. |

|sağlamaktadır. |Adding Noise: In this method, data are anonymized by adding certain |

|Alt ve Üst Sınır Kodlama: Önceden tanımlanmış kategorilerin yer |positive or negative deviations at a determined rate to data |

|aldığı bir veri grubundaki değerlerin belirli bir ölçüt belirlenerek|available in a data set with particularly numeric data. For example,|

|birleştirilmesiyle anonim hale getirilmektedir. |in a data set involving weight values, viewing real values shall be |

|Genelleştirme: Veri toplulaştırma yöntemi ile birçok veri |prevented and data shall be anonymized by using (+/−) 3 kg |

|toplulaştırılmakta ve kişisel veriler herhangi bir kişiyle |deviation. Deviation is applied equally to each value. |

|ilişkilendirilemeyecek hale getirilmektedir. |Micro Combination: In micro combination method, all data are |

|Global Kodlama: Veri türetme yöntemi ile kişisel verinin içeriğinden|initially sorted in a meaningful order (such as high to low), |

|daha genel bir içerik oluşturulur ve kişisel veri herhangi bir |separated into groups, their arithmetic mean is calculated, and |

|kişiyle ilişkilendirilemeyecek hale getirilir. |obtained value is written in the place of relevant data in the |

|Gürültü Ekleme: Verilere gürültü ekleme yöntemi özellikle sayısal |existing group to ensure anonymization. |

|verilerin ağırlıklı olduğu bir veri setinde mevcut verilere |For example, in terms of wage information, if two groups are created|

|belirlenen oranda artı veya eksi yönde birtakım sapmalar eklenerek |for amounts below and above TL 10,000, the total of wages |

|veriler anonim hale getirilmektedir. Örneğin, kilo değerlerinin |individuals who earn TL 10,000 and below are divided to the number |

|olduğu bir veri grubunda (+/−) 3 kg sapması kullanılarak gerçek |of individuals, and this value is written to the wage field of |

|değerlerin görüntülenmesi engellenmiş ve veriler anonimleştirilmiş |everyone that earns less than TL 10,000. |

|olur. Sapma her değere eşit ölçüde uygulanır. |Data Exchange: In data exchange method, values of variables are |

|Mikro Birleştirme: Mikro birleştirme yönteminde tüm veriler ilk |exchanged between pairs selected from retained data. In this method,|

|olarak anlamlı bir sıraya dizilerek (büyükten küçüğe gibi) gruplara |which is used for generally classifiable data, the purpose is to |

|ayrılıp, grupların ortalaması alınarak elde edilen değer mevcut |transform the database by exchanging data belonging to data |

|gruptaki ilgili verilerin yerine yazılarak anonimleştirme sağlanmış |subjects. |

|olacaktır. |In accordance with article 28 of the Law on Protection of Personal |

|Örneğin, maaş bilgisi için; 10.000 TL altı ve üstü iki grup yapılır |Data, in case personal data are processed for official statistics |

|ise, 10.000 ve daha az maaş alan kişilerin maaşlarının toplamı kişi |and purposes such as research, planning and statistics by means of |

|sayısına bölünür ve 10.000TL altında maaş alan herkesin maaş |anonymization, this situation shall be excluded from the Law and it |

|kümesine elde edilen bu değer yazılır. |shall not be required to obtain express consent. |

|Veri Değiş Tokuşu: Veri değiş tokuşu yönteminde saklanan veriler | |

|içerisinden seçilen çiftler arasında bir değişkenin değerleri |Transfer of Personal Data |

|birbiri ile değiştirilir. Genel olarak kategorize edilebilen veriler| |

|için kullanılan bu yöntemde amaç veri sahiplerine ait verilerin |Transferring Personal Data inside Turkey |

|birbirleri ile değiştirilerek veri tabanının dönüştürülmesidir. |Article 8 of the Data Protection Law provides that personal data |

|KVKK’nın 28. maddesi uyarınca, kişisel verilerin resmi istatistik |which is obtained within the framework of the general principles |

|ile anonim hâle getirilmek suretiyle araştırma, planlama ve |specified in the Law can only be transferred with the explicit |

|istatistik gibi amaçlarla işlenmesi durumunda bu durum Kanun kapsamı|consent of the data subject. The Law stipulates the same conditions |

|dışında kalacak ve açık rıza temini gerekmeyecektir. |for processing data and transferring data inside Turkey. Article 8 |

| |also defines the conditions for transferring data to the third |

|Kişisel Verilerin Aktarılması |parties without explicit consent. |

| | |

|Kişisel Verilerin Yurt İçinde Aktarılması |International transfer of Personal Data |

|Kanun’un 8. maddesi uyarınca Kişisel Veriler kural olarak, Veri |As required under Article 9 of the Law, a cross-border transfer may |

|Sahibinin açık rızası olmaksızın üçüncü kişilere aktarılamaz. Ancak |take place in one of the following cases that; |

|Kanun’un aynı maddesinde yukarıda sayılan Veri Sahibinin açık rızası|The data subject has given his explicit consent, |

|aranmayacak hallerden birinin mevcut olması halinde Kişisel |The country is approved by Board as “Adequate Country” and existence|

|Verilerin, Veri Sahibinin açık rızası olmaksızın yurt içinde üçüncü |of the circumstances provided for in second paragraph of Article 5 |

|kişilere aktarımı mümkündür. |and third paragraph of Article 6 of the Law, |

| |If the country is not approved by Board as “Adequate Country”, then |

|Kişisel Verilerin Yurt Dışına Aktarılması |data controllers in Turkey and abroad commit in writing to provide |

|Kanun’un 9. maddesi uyarınca Kişisel Veriler kural olarak, Veri |an adequate level of protection and the Board has authorized this |

|Sahibinin açık rızası olmaksızın yurt dışına aktarılamaz. Ancak |transfer where existence of the circumstances referred to in second |

|aşağıda belirtilen hallerden birinin mevcut olması halinde Kişisel |paragraph of Article 5 and third paragraph of Article 6 of the Law),|

|Verilerin, Veri Sahibinin açık rızası aranmaksızın yurt dışında | |

|üçüncü kişilere aktarımı mümkündür: | |

| |The Law has the same conditions/requirements for processing personal|

|Bu Politika’da Veri Sahibinin rızasının aranmayacağının belirtildiği|data and transferring personal data abroad. |

|hallerde | |

|Kişisel Verilerin aktarılacağı yabancı ülkede yeterli korumanın |Third Parties where Personal Data may be transferred |

|bulunması, |Personal Data may be transferred to following third parties who may |

|Yeterli korumanın bulunmaması durumunda Türkiye'deki ve ilgili |be both real and legal entity in and out of Turkey for the purpose |

|yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı |of this Policy in line with Article 8 and 9 of the Law; |

|olarak taahhüt etmeleri ve Kurulun izninin bulunması. |Consultants, |

| |Auditors, |

|Yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan |Ventures and Partners |

|edilir. Kişisel Veriler, uluslararası sözleşme hükümleri saklı |Customers, |

|kalmak üzere, Türkiye'nin veya Veri Sahibinin menfaatinin ciddi bir |Shareholders, subsidiaries and affiliates |

|şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya |Service Providers, |

|kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına |Suppliers |

|aktarılabilir. |Banking and Finance Institutions |

| |Legal and Administrative Authorities |

|Kişisel Verilerin Aktarılabileceği Üçüncü Kişiler | |

|Kişisel Veriler, bu Politika’da yer alan amaçları gerçekleştirmek |Miscellanious |

|için, Kanun’un 8. ve 9. maddelerine uygun olarak, yurt içinde veya |In case of disperancy between the Law and related legislation and |

|yurtdışındaki, gerçek veya tüzel kişi olabilecek, aşağıda belirtilen|this Policy, legal provisions shall prevail. |

|üçüncü kişilere aktarabilmektedir: | |

|Danışmanlar |Any request regarding abovementioned issues that should be made to |

|Denetim Firmaları |the Company with the attached Request Application Form will be |

|Hizmet Alınan Firmalar |responded immediately and not later than 30 days with no cost. |

|İşbirliği Yapılan Firmalar |However, if request itself requires a transaction that triggers |

|Müşteriler |cost, it is possible to ask for payment based upon the tariff |

|Pay Sahipleri ve iştirakler ve bağlı ortaklıklar |regulated by the Board. If request is transferred to a third party, |

|Tedarikçiler |such transferred is also informed to data subject. |

|Bankalar ve Finans Kuruluşları | |

|Yargısal Merciler ve Kamu Otoriterleri | |

| | |

|Diğer Hususlar | |

|KVKK ve ilgili diğer mevzuat hükümleri ile işbu Politika arasında | |

|uyumsuzluk olması halinde, öncelikle KVKK ve ilgili diğer mevzuat | |

|hükümleri uygulanacaktır. | |

| | |

|Yukarıdaki konulara ilişkin Şirket’e Başvuru Formu ile gönderilen | |

|talepler, talebin niteliğine göre en kısa sürede ve en geç otuz gün | |

|içinde ücretsiz olarak cevaplandırılacaktır. Ancak, işlemin ayrıca | |

|bir maliyeti gerektirmesi hâlinde, Kurul tarafından belirlenen | |

|tarifedeki ücret alınabilir. Talebe konu verilerin üçüncü kişilere | |

|aktarılmış olması durumunda, bu durum verilerin aktarıldığı üçüncü | |

|kişiye bildirilmekte ve üçüncü kişiler nezdinde gerekli işlemlerin | |

|yapılması temin edilmektedir. | |

................
................

In order to avoid copyright disputes, this page is only a partial summary.

Google Online Preview   Download