KLASS JEOTERMAL Gizlilik ve Kişisel Verilerin Korunması Politikası

KLASS JEOTERMAL ZİRAAT SERACILIK ENERJİ MADEN SAN.VE TİC.LTD.ŞTİ.

 GİZLİLİK VE KİŞİSEL VERİLERİN KORUNMASI POLİTİKASI

KLASS JEOTERMAL ENERJİ ÜRETİM A.Ş (“KLASS JEOTERMAL”) olarak, 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (bundan böyle “Kanun” olarak anılacaktır) öngördüğü ilkeler kapsamında, kişisel verilerin işlenmesi, silinmesi, yok edilmesi, anonim hale getirilmesi, aktarılması, ilgili kişinin aydınlatılması ve veri güvenliğinin sağlanmasıyla ilgili Kanun’dan kaynaklı yükümlülüklerini yerine getirmektedir.

Kanun’a uygun bir şekilde düzenlenmiş olan işbu Gizlilik ve Kişisel Verilerin Korunması Politikası kişisel verisi işlenen gerçek kişilerin (“veri sahibi”) erişimine sunulmaktadır.

1.       GİZLİLİK VE KİŞİSEL VERİLERİN KORUNMASI POLİTİKASININ KAPSAM VE AMACI

İşbu Gizlilik ve Kişisel Verilerin Korunması Politikası, KLASS JEOTERMAL’ın;

·         Kişisel verilerin toplandığı yöntemler ve hukuki sebepleri,

·         Hangi kişi gruplarının kişisel verilerinin işlendiğini (Veri Sahibi Kategorizasyonu),

·         Veri sahiplerinin hangi kategoride kişisel verilerinin işlendiği (Veri Kategorileri) ve örnek veri türleri,

·         İlgili kişisel verilerin hangi amaçlarla kullanıldığı,

·         Kişisel verilerin güvenliğini sağlamak amacıyla alınan teknik ve idari tedbirleri,

·         Kişisel verilerin kimlere hangi amaçlarla aktarılabileceği,

·         Kamu kurum ve kuruluşları ile resmi makamlar ile gerçekleştirilen kişisel veri paylaşımı,

·         Kişisel verilerin saklanma süreleri,

·         Profilleme ve segmentasyon

·         Veri sahiplerinin kendi kişisel verileri üzerindeki haklarının neler olduğunu ve bu hakları nasıl kullanabileceklerini

ayrıntılı olarak belirtmektedir.

a.      KİŞİSEL VERİLERİ TOPLAMA YÖNTEMLERİ VE HUKUKİ SEBEPLERİ

KLASS JEOTERMAL, kişisel verileri işyerleri, Web Siteleri, e-posta, posta, call center, CCTV, çerezler, fax, idari ve adli makamlardan gelen tebligatlar ve sair iletişim kanalları aracılığıyla işitsel, elektronik veya yazılı olarak, Kanun’da belirtilen kişisel veri işleme şartlarına uygun olarak ve işbu Gizlilik ve Kişisel Verilerin Korunması olitikası’nda belirtilen hukuki sebepler doğrultusunda toplamaktadır.

b.      VERİ SAHİBİ KATEGORİZASYONU

KLASS JEOTERMAL, kişisel verilerini işlediği veri sahiplerini aşağıdaki şekilde gruplamakta olup, bu kişi gruplarının işbu politikada belirtilen süreç ve hukuki nedenler ışığında genişlemesi söz konusu olabilecektir.

                                 i.            Çalışan Adayı,

                               ii.            Çalışan,

                             iii.            Aile Bireyleri ve Yakınları,

                             iv.            Müşteri,

                               v.            Ziyaretçi,

                             vi.            Çevrimiçi Ziyaretçi

                           vii.            İş Çözüm Ortağı / Tedarikçi,

                         viii.            Şirket Yetkilisi,

c.      VERİ KATEGORİLERİ VE ÖRNEK VERİ TÜRLERİ

No	Veri Sahibi	Veri Kategorisi	Veri Türleri
1.	Müşteri	Kimlik Bilgisi	Ad-Soyad, Cinsiyet, TC Kimlik Numarası, Pasaport Numarası
		İletişim Bilgisi	Adres (ev/iş), E-posta, Telefon / Cep Telefonu
		Finansal Bilgi	Banka Hesap Bilgileri, Finansal Hareket Bilgileri, IBAN Numarası, Ödeme Bilgileri
		Müşteri Bilgisi	Müşteri Numarası, Müşteri Ticari İlişki Başlangıç / Bitiş Tarihi ve Nedeni, Müşteri Talepleri, Müşteri Memnuniyet Bilgileri, Ürüne İlişkin Şikayet ve Talep Bilgileri
		Özlük ve Meslek Bilgisi	Emeklilik Bilgisi, Sigorta Bilgisi, Öğrenim Durumu, Mezuniyet Bilgisi, Bağlı Bulunduğu Organizasyon
		Hukuki İşlem ve Uyum Bilgisi	Resmi Tutanaklar (Polis vb.), Vekaletname
		İşlem Güvenliği Bilgisi	Call Center Kayıtları, Kredi Kart Numarası, Kredi Kartı Son Kullanma Tarihi
		Diğer	Çağrı Merkezi Kayıtları, CCTV
2.	Ziyaretçi	Kimlik Bilgisi	Ad-Soyad, TC Kimlik Numarası, Pasaport Numarası
		İletişim Bilgisi	E-posta, Telefon / Cep Telefonu
		İşlem Güvenliği Bilgisi	5651 Logları
		Diğer	Araç Plakası, CCTV
3.	Çevrimiçi Ziyaretçi	İşlem Güvenliği Bilgisi	Şifre, Üye Numarası, Cep Telefonu
		Hukuki İşlem Bilgisi	IP Adresi
4.	İş Çözüm Ortağı / Tedarikçi	Kimlik Bilgisi	Ad-Soyad, Cinsiyet, TC Kimlik Numarası, Meslek Kimlikleri
		İletişim Bilgisi	Adres, E-posta, Telefon / Cep Telefonu
		Finansal Bilgi	Banka Hesap Bilgileri, Finansal Hareket Bilgileri, IBAN Numarası, Ödeme Bilgileri, Teminat Mektubu Nüshaları/Fotokopileri
		CV ve Meslek Bilgisi	Öğrenim Durumu, Askerlik Durumu, Sektör Bilgisi , Bağlı Olduğu Organizasyon, İşe Başlama/Bitiş Tarihi, Unvan, Sigorta Bilgileri
		Hukuki İşlem ve Uyum Bilgisi	İmza Sirküleri, Faaliyet Bilgisi, Vekaletname
		Özel Nitelikli Kişisel Veri	Sabıka Kaydı, İmza, Sağlık Bilgisi
		Diğer	Araç Plakası, CCTV, Fotoğraf

 

d.      KİŞİSEL VERİLERİN HANGİ AMAÇLARLA KULLANILDIĞI

Kişisel veri sahibinin açık rıza vermesi haricinde kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabileceği gibi birden fazla şart da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir. İşlenen verilerin özel nitelikli kişisel veri olması halinde, işbu Politika’nın 1/e maddesi (“Özel Nitelikli Kişisel Verilerin İşlenmesi”) içerisinde yer alan şartlar uygulanacaktır.

·         Kişisel Veri Sahibinin Açık Rızasının Bulunması: Kişisel verilerin işlenme şartlarından biri veri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır. Aşağıda yer alan kişisel veri işleme şartlarının varlığı durumunda veri sahibinin açık rızasına gerek kalmaksızın kişisel veriler işlenebilecektir.

·         Kanunlarda Açıkça Öngörülmesi: Veri sahibinin kişisel verileri, kanunda açıkça öngörülmekte ise diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde işbu veri işleme şartının varlığından söz edilebilecektir.

·         Fiili İmkansızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması: Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

·         Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması: Veri sahibinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde işbu şart yerine getirilmiş sayılabilecektir.

·         Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi: Şirketimizin hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

·         Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi: Veri sahibinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.

·         Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması: Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

·         Şirketimizin Meşru Menfaati için Veri İşlemenin Zorunlu Olması: Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

Kişisel veriler, KLASS JEOTERMAL tarafından aşağıdaki amaçlar ile kullanılmaktadır;

·         Şirket tarafından yürütülen ticari faaliyetlerin gerçekleştirilmesi için ilgili iş birimleri tarafından gerekli çalışmaların yapılması ve buna bağlı iş süreçlerinin yürütülmesi

·         İş Faaliyetlerinin Etkinlik/Verimlilik ve/veya Yerindelik Analizlerinin Gerçekleştirilmesi Faaliyetlerinin Planlanması ve/veya İcrası

·         İş Sürekliğinin Sağlanması Faaliyetlerinin Planlanması ve/veya İcrası

·         Lojistik Faaliyetlerinin Planlanması ve İcrası

·         Kurumsal İletişim Faaliyetlerinin Planlanması ve İcrası

·         Tedarik Zinciri Yönetimi Süreçlerinin Planlanması ve İcrası

·         Bilgi Güvenliği Süreçlerinin Planlanması, Denetimi ve İcrası

·         Şirket Finans ve Muhasebe İşlerinin Takibi

·         Şirket Operasyon Süreçlerinin Planlanması ve İcrası

·         Şirket Dışı ve İçi Eğitim Faaliyetlerinin Planlanması ve İcrası

·         İş Ortakları ve/veya Tedarikçilerle Olan İlişkilerin Yönetimi

·         Ürün ve/veya Hizmetlerin Satış Süreçlerinin Planlanması ve İcrası

·         Satış Sonrası Destek Hizmetleri Aktivitelerinin Planlanması ve/veya İcrası

·         Müşteri İlişkileri Yönetimi Süreçlerinin Planlanması ve İcrası

·         Müşteri Talep ve/veya Şikayetlerinin Takibi

·         Ürün ve Hizmetlerin Satış ve Pazarlaması İçin Pazar Araştırması Faaliyetlerinin Planlanması ve İcrası

·         Ürün ve/veya Hizmetlerin Pazarlama Süreçlerinin Planlanması ve İcrası

·         Müşteri Memnuniyeti Aktivitelerinin Planlanması ve/veya İcrası

·         Hukuk İşlerinin Takibi ve Hukuki Sorumlulukların Yerine Getirilmesi

·         Şirket Faaliyetlerinin Şirket Prosedürleri ve/veya İlgili Mevzuata Uygun Olarak Yürütülmesinin Temini İçin Gerekli Operasyonel Faaliyetlerinin Planlanması ve İcrası

·         Yetkili Kuruluşlara Mevzuattan Kaynaklı Bilgi Verilmesi

·         Şirket Denetim Faaliyetlerinin Planlanması ve İcrası

·         Şirket Yerleşkeleri ve/veya Tesislerinin Güvenliğinin Temini

·         Şirket Operasyonlarının Güvenliğinin Temini

·         Şirket Yerleşkelerinin ve Taşınırlarının Temini

·         Şirket Demirbaşlarının ve/veya Kaynaklarının Güvenliğinin Temini

·         Ziyaretçi Kayıtlarının Oluşturulması

 

e.      ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

Özel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde işlenmektedir:

        i.            Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili faaliyetin tabi olduğu kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde veri sahibinin açık rızası aranmaksızın işlenebilecektir. Aksi durumda söz konusu özel nitelikli kişisel verilerin işlenebilmesi için veri sahibinin açık rızası alınacaktır.

      ii.            Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi durumda söz konusu özel nitelikli kişisel verilerin işlenebilmesi için veri sahibinin açık rızası alınacaktır.

f.        KİŞİSEL VERİLERİN GÜVENLİĞİNİ SAĞLAMAK AMACIYLA ALINAN TEKNİK VE İDARİ TEDBİRLER

KLASS JEOTERMAL, kişisel verilerinizin gizliliği, bütünlüğü ve güvenliğinin sağlanması için gerekli teknik ve idari her türlü tedbiri almayı ve gerekli özeni göstermeyi taahhüt etmektedir. Bu kapsamda, kişisel verilerin hatalı kullanımını, hukuka aykırı olarak işlenmesini, verilere yetkisiz erişimi, verilerin ifşa edilmesini, değiştirilmesini veya imha edilmesini engellemek için gerekli önlemleri alır.

KLASS JEOTERMAL işlediği kişisel verilere hukuka aykırı erişimin engellenmesi, bu verilerin hukuka aykırı işlenmesinin önlenmesi ve kişisel verilerin muhafazasının sağlanmasına ilişkin olarak aşağıdaki teknik ve idari tedbirleri almaktadır:

·         Anti-Virüs

KLASS JEOTERMAL’un bilgi teknolojileri altyapısında bulunan tüm PC ve Sunucularda periyodik olarak güncellenen anti-virüs uygulaması yüklüdür.

·         Firewall

KLASS JEOTERMAL sunucularını barındıran Data Center ve Felaket Kurtarma Merkezleri periyodik olarak güncellenen yazılım yüklü firewalllarca korunmakta olup, ilgili yeni nesil firewalllar tüm personellerin internet bağlantılarını kontrol etmekte ve bu kontrol sırasında virüs ve benzeri tehditlere karşı koruma sağlamaktadır.

·         VPN

·         Fabrika sunucu sistemlerine IP-SEC VPN ile bağlanmakta olup, 2 nokta arasındaki trafik şifreli bir şekilde iletilmektedir.

·         Tedarikçiler de KLASS JEOTERMAL sunucu ya da sistemlerine Firewalllar üzerinde tanımlı bulunan SSL-VPN aracılığı ile erişim sağlayabilmektedirler. Her bir tedarikçi için ayrı SSL-VPN tanımı yapılmış olup, yapılan tanımlama ile tedarikçi sadece kullanması gereken ya da yetkilendirmesi yapılan sistemlere erişim sağlamaktadır.

·         Kullanıcı Tanımlamaları ve Need to Know

KLASS JEOTERMAL ve fabrika çalışanlarının KLASS JEOTERMAL sistemlerine olan yetkileri sadece iş tanımları ile gerekli olduğu ölçüde sınırlandırılmış olup, herhangi bir yetki ve görev değişikliği söz konusu olması durumunda sistemsel yetkileri de ivedi olarak güncellenmektedir.

·         Bilgi güvenliği Tehdit ve Olay Yönetimi

KLASS JEOTERMAL sunucularında ve Firewallarında oluşan olaylar “Bilgi Güvenliği Tehdit ve Olay Yönetimi” sistemine aktarılmaktadır. Bu sistem güvenlik tehdidi oluştuğunda sorumlu personelleri uyarmakta ve ivedi bir şekilde tehdide cevap verilmesi imkanı sağlamaktadır.

·         Sızma Testi

Periyodik olarak KLASS JEOTERMAL sistemindeki sunuculara, bilgisayarlarına ve örnek bir tesislere sızma testi manuel olarak tedarikçi bir firma tarafından yapılmaktadır. Bu test sonucunda oluşan güvenlik açıkları kapatılarak, ilgili güvenlik açıklarının kapatıldığına dair doğrulama testi yapılmaktadır. Ayrıca Bilgi Güvenliği Tehdit ve Olay Yönetimi sistemi tarafından da otomatik olarak sızma testi yapılmaktadır.

 

 

BYGS

KLASS JEOTERMAL bünyesinde oluşturulan BGYS toplantılarında kontrol forumda yer alan başlıklar aylık olarak Bilgi Teknolojileri Direktörü ve CFO tarafından denetlenmektedir. [*yıl ekleyiniz*] yılından bu yana Cobit standartlarında ve GV’nin denetim standartlarına uyumlu olarak oluşturulan denetim listesi periyodik olarak kontrol edilmektedir.

Fishing Email Testler

KLASS JEOTERMAL sistem kullanıcılarının farkındalığını artırmak için düzenli olarak kullanıcılara Fishing e-mailleri gönderilmektedir. Çıkan sonuçlara göre kullanıcılara KLASS JEOTERMAL Kullanıcı Portalı üzerinden eğitim tanımlanmaktadır.

Eğitim Portalı

KLASS JEOTERMAL çalışanlarının çeşitli bilgi güvenliği ihlallerine karşı farkındalıklarını artırmak ve bilgi ihlali olaylarında insan faktörünün etkisini en aza indirmek için Eğitim Portalı aktif olarak kullanılmaktadır. Tüm çalışanlar Siber Güvenlik ve Bilgi Güvenliği eğitimini online olarak almışlardır.

Clean Table & Clean Desk

KLASS JEOTERMAL iç kuralları uyarınca Fabrika ve Tesis çalışanları “clean table & clean desk” prensibine uymakla yükümlüdür.

Diğer

Kişisel verilerin alındığı web sitesindeki tüm alanlar SSL ile korur.

Birincil işleme amacı dışında kalan tüm ikincil veri işlemeler bakımından, Pseudonymization (takma adlı veri) yöntemini kullanır (Örnek: Ahmet Yılmaz à “A… Y…”).

Kağıt ortamdaki kişisel verilerin mutlaka kilitli dolaplarda muhafaza edilmesini ve sadece yetkili kişiler tarafından erişilmesini sağlar.

Hizmet alınan üçüncü taraflara ait çerezler aracılığıyla işlenen kişisel veriler, üyelik sona erdiği takdirde üçüncü taraflara ait sistemlerden silinmektedir.

KLASS JEOTERMAL ’un gerekli bilgi güvenliği önlemlerini almasına karşın, KLASS JEOTERMAL  tarafından işletilen platformlara veya KLASS JEOTERMAL sistemine yapılan saldırılar sonucunda kişisel verilerin zarar görmesi veya yetkisiz üçüncü kişilerin eline geçmesi durumunda, KLASS JEOTERMAL bu durumu derhal sizlere ve Kişisel Verileri Koruma Kurulu’na bildirir ve gerekli önlemleri alır.

g.      KİŞİSEL VERİLERİN KİMLERE VE HANGİ AMAÇLA AKTARILABİLECEĞİ

KLASS JEOTERMAL kişisel verileri yalnızca işbu Gizlilik ve Kişisel Verilerin Korunması Politikası’nda belirtilen amaçlar doğrultusunda ve Kanun’un 8. ve 9. Maddelerine uygun olarak üçüncü kişilere aktarmaktadır.

Bu kapsamda gerçekleştirilen kişisel veri aktarımları, ilgili üçüncü tarafın sunduğu güvenli ortam ve kanallar aracılığıyla gerçekleşmektedir. Üçüncü taraflardan alınan hizmetin içeriği ve kapsamına bağlı olarak; veri sahibi kişisel verilerinin aktarımına gerek olmayan tüm hallerde Pseudonymous data (takma adlı veri) kullanılarak aktarım yapılmaktadır.

Kişisel veri sahibinin açık rızası olmasa dahi aşağıda belirtilen şartlardan bir ya da birkaçının mevcut olması halinde Şirketimiz tarafından gerekli özen gösterilerek ve Kurul tarafından öngörülen yöntemler de dahil gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir.

·         Kişisel verilerin aktarılmasına ilişkin ilgili faaliyetlerin kanunlarda açıkça öngörülmesi,

·         Kişisel verilerin Şirket tarafından aktarılmasının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,

·         kişisel verilerin aktarılmasının Şirketimizin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

·         Kişisel verilerin veri sahibi tarafından alenileştirilmiş olması şartıyla, alenileştirme amacıyla sınırlı bir şekilde Şirketimiz tarafından aktarılması,

·         Kişisel verilerin Şirket tarafından aktarılmasının Şirket’in veya veri sahibinin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması,

·         Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için kişisel veri aktarımı faaliyetinde bulunulmasının zorunlu olması,

·         Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü koruması için zorunlu olması.

Yukarıdakilere ek olarak kişisel veriler, Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere (“Yeterli Korumaya Sahip Yabancı Ülke”) yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilecektir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelere (“Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke”) aktarılabilecektir.

Özel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde aktarılabilecektir:

         i.            Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde veri sahibinin açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık rızası alınacaktır.

       ii.            Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık rızası alınacaktır.

Yukarıdakilere ek olarak kişisel veriler, Yeterli Korumaya Sahip Yabancı Ülkelere yukarıdaki şartlardan herhangi birinin varlığı halinde aktarılabilecektir. Yeterli korumanın bulunmaması durumunda ise mevzuatta öngörülen veri aktarım şartları doğrultusunda Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülkelere aktarılabilecektir

Yukarıda belirttiğimiz yurt içi ve yurt dışı aktarıma konu kişisel veriler, güvenliklerini sağlayacak teknik tedbirlerin yanısıra; hukuki ilişkinin karşı tarafının veri sorumlusu veya veri işleyen olması dikkate alınarak sözleşmelerimizde yer verilen Kanun uyumlu hükümler sayesinde hukuksal olarak da korunmaktadır.

No	Veri Sahibi	Kişisel Veriler Kiminle ve Hangi Amaçla Paylaşılıyor?
1.	Müşteri	ETK izinleri olan müşterilere ticari veya şirkete ilişkin organizasyonel konuların bildirilmesi için e-posta gönderilmesi amacıyla e-posta Tedarikçisi ile iletişim bilgilerinin paylaşılması; Müşteriye e-faturasının elektronik olarak gönderilmesi için e-fatura tedarikçisi ile fatura bilgilerinin paylaşılması; ürünlerin tedarik edilebilmesi amacıyla kişisel verilerin tedarikçi ile anonim olarak paylaşılması; Raporlama ve istatistiki çalışmalar kapsamında Müşteri kişisel verilerinin  KLASS JEOTERMAL  hissedarları ile paylaşılması; Fiziki ve elektronik müşteri verilerinin saklanması amacıyla tedarikçiler ile paylaşılması; ve Web sitesi kullanım tercihleri ve gezinti geçmişi, segmentasyon yapılması gibi süreçler söz konusudur.
2.	İş Çözüm Ortağı / Tedarikçi	İş ortaklığının kurulma amaçlarının yerine getirilmesini temin etmek amacıyla ve  KLASS JEOTERMAL ’un tedarikçiden dış kaynaklı olarak temin ettiği ve  KLASS JEOTERMAL’in ticari faaliyetlerini yerine getirmek için gerekli hizmetlerin  KLASS JEOTERMAL’a sunulmasını sağlamak amacıyla sınırlı olarak fiziki ve elektronik iş çözüm ortağı / tedarikçi verilerinin saklanması amacıyla tedarikçiler ile paylaşılması gibi süreçler söz konusudur.

 

h.      KAMU KURUM VE KURULUŞLARI İLE RESMİ MAKAMLAR İLE GERÇEKLEŞTİRİLEN KİŞİSEL VERİ PAYLAŞIMI

No	Veri Sahibi	Kişisel Veriler Kiminle ve Hangi Amaçla Paylaşılıyor?
1.	Müşteri	SGK ve Sağlık Bakanlığı denetimi sırasında müşteri kişisel verilerinin SGK ile paylaşılması; İşyerinde gerçekleştirilen hukuka aykırı durumların savcılık gibi ilgili resmî kurumlara bildirilmesi; ve Vergi denetimleri sırasında fatura ve tahsilat makbuzlarının Maliye Bakanlığı temsilcileri ile paylaşılması gibi süreçler söz konusudur.
	Ziyaretçi	KLASS JEOTERMAL, işyerine yapılan ziyarete ilişkin kişisel verileri; hukuki yükümlülükler kapsamında (suçla mücadele, devlet ve kamu güvenliğinin tehdidi ve benzeri ancak bununla sınırlı olmamak üzere KLASS JEOTERMAL’ın yasal veya idari olarak bildirim veya bilgi verme yükümlülüğünün mevcut olduğu durumlarda) yasal olarak bu bilgileri talep etmeye yetkili olan kamu kurum ve kuruluşları ile paylaşılması; ve kamera kayıtlarının talep edilmesi durumunda savcılık ve mahkeme gibi resmi kurumlar ile paylaşılması gibi süreçler söz konusudur.
3.	İş Çözüm Ortağı / Tedarikçi	İş Çözüm Ortağı / Tedarikçiler ile gerçekleştirilen ilişkiler kapsamında açılan cari kartların Ticaret Sicil Müdürlükleri ve noter ile paylaşılması; Muhasebe tarafından yapılması gereken yasal bildirimlerin gerçekleştirilmesi amacıyla ilgili kamu kurumları ve noterler ile kişisel verilerin paylaşılması; Vergi denetimleri sırasında fatura ve tahsilat makbuzlarının Maliye Bakanlığı temsilcileri ile paylaşılması; ve Mevcut ticari ilişkiden kaynaklı ödeme yükümlülüğünün yerine getirilebilmesi amacıyla finansal verilerin banka ile paylaşılması gibi süreçler söz konusudur.

 

i.        KİŞİSEL VERİLERİN SAKLANMA SÜRELERİKLASS JEOTERMAL işlediği kişisel verileri ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süreler boyunca Kanun ile uyumlu olarak muhafaza eder. Kişisel Verilerin Saklanması ve İmhası Politikası’nda (www.klass.com.tr) bu süreler yaklaşık olarak aşağıdaki gibidir:

Veri Tipi	Saklama Süresi	Hukuki Dayanağı
Müşterilere İlişkin Kişisel Veriler	Hukuki ilişki sona erdikten itibaren 10 yıl; 6563 Kanun ve ilgili ikincil mevzuat uyarınca 3 yıl	6563 Sayılı Kanun, 6102 Sayılı Kanun, 6098 Sayılı Kanun, 213 Sayılı Kanun, 6502 Sayılı Kanun,
İş Çözüm Ortağı / Tedarikçilere İlişkin Kişisel Veriler	Hukuki ilişki sona erdikten itibaren 10 yıl	6102 Sayılı Kanun, 6098 Sayılı Kanun ve 213 Sayılı Kanun
İş Başvurusu Sırasında Alınan CV ve Özlük Bilgileri	2 yıl	Geçmişte Başvuran Adaylar ile Yeni Pozisyonlar Hakkında İletişime Geçilmesi
Potansiyel Müşterilere İlişkin Kişisel Veriler	1 yıl	Geriye Dönük Olarak Analiz Yapılması
Ziyaretçilere İlişkin Kişisel Veriler (Kamera Kayıtları)	3 ay	Güvenliğin Sağlanması
Çevrimiçi Ziyaretçilere İlişkin Kişisel Veriler	2 yıl	5651 Sayılı Kanun
Muhasebe ve Finansal İşlemlere İlişkin Tüm Kayıtlar	10 yıl	6098 Sayılı Kanun

 

j.        VERİ SAHİPLERİNİN KİŞİSEL VERİLERİ ÜZERİNDEKİ HAKLARININ NELER OLDUĞUNU VE BU HAKLARI NASIL KULLANABİLECEKLERİ

Veri sahiplerinin Kanun Madde 11 uyarınca sahip olduğu haklar aşağıda belirtilmiştir:

(1) Kişisel veri işlenip işlenmediğini öğrenme,

(2) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

(3) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

(4) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

(5) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

(6) KVK Kanunu 7. maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

(7) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

(8) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

(9) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

Kişisel verileriniz üzerindeki haklarınızı kullanmak amacıyla; KLASS JEOTERMAL Web Sitesi’nden erişebileceğiniz “Veri Sahibi Başvuru Formu” (www.klass.com.tr), ve KLASS JEOTERMAL  resmi e-mail adresi info@klass.com.tr ve resmi telefon hattı olan “0(352) 321 13 77” numarası üzerinden gerekli değişiklik, güncelleme ve/veya silme gibi işlemleri ve ilgili talepleri gerçekleştirebilirsiniz.

2.      KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ ŞARTLARI

KLASS JEOTERMAL, iş süreçleri kapsamında fiziki, elektronik, Web Sitesi, E-mail gibi kanallardan toplayarak işlediği kişisel verileri, Kanun Madde 7, 17 ve Türk Ceza Kanunu Madde 138 uyarınca ilgili kanunların öngördüğü süreler ve/veya işleme amacının gerekli kıldığı süreler boyunca saklamaktadır. Bu sürelerin sona ermesi durumunda ise Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi uyarınca silecek, yok edecek veya anonim hale getirecektir.

KLASS JEOTERMAL tarafından kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir.

KLASS JEOTERMAL tarafından kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir.

KLASS JEOTERMAL tarafından kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir.

KLASS JEOTERMAL, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca hazırladığı Kişisel Verilerin Saklanması ve İmhası Politikası kapsamında silme, yok etme ve anonim hale getirmeye ilişkin yöntemleri ve aldığı teknik ve idari tedbirleri ayrıntılı olarak açıklamaktadır. Kişisel Verilerin Saklanması ve İmhası Politikası’na (www.klass.com.tr) linki üzerinden erişebilirsiniz. Bu Politika’da ayrıca Yönetmeliğin öngördüğü periyodik imhanın gerçekleştirileceği zaman aralığı 6 ay olarak belirlenmiştir.

3.      GİZLİLİK VE KİŞİSEL VERİLERİN KORUNMASI POLİTİKASI’NDA YAPILACAK DEĞİŞİKLİKLER

KLASS JEOTERMAL, işbu Gizlilik ve Kişisel Verilerin Korunması Politikası’nda her zaman değişiklik yapabilir. Bu değişiklikler, değiştirilmiş yeni Gizlilik ve Kişisel Verilerin Korunması Politikası’nın yayınlanmasıyla birlikte derhal geçerlilik kazanır. İşbu Gizlilik ve Kişisel Verilerin Korunması Politikası’ndaki değişikliklerden haberdar olmanız için, sizlere gerekli bilgilendirme yapılacaktır.