Kişisel Verilerin Korunması ve Gizlilik Politikası
KoreanShop Kişisel Veri Saklama ve İmha Politikası

Not: Bu belge, paylaştığınız örnek üzerinden marka/site adı ve iletişim bilgileri değiştirilerek uyarlanmıştır. Örnek, fiziksel mağazası, çağrı merkezi ve ayrı departmanları (İK, Muhasebe, Satış vb.) olan bir şirkete aitti. KoreanShop’un yapısını bilmediğim için 5. bölümdeki rol/departman kısmını genel tutulacak şekilde sadeleştirdim; sizde fiilen hangi kişi/departmanların bu verilere eriştiğini biliyorsanız (ör. sadece siz veya belirli bir ekip), o kısmı gerçek yapınıza göre güncellemeniz gerekir. Aynı şekilde 7. bölümdeki süre tablosu da genel bir e-ticaret şirketi için tipik süreleri yansıtır; kendi saklama pratiğinize göre gözden geçirin.

Применение:
Amaç
Tanımlar
Kişisel Verilerinizin Saklandığı Kayıt Ortamları
Kişisel Verilerinizin Saklanmasını ve İmhasını Gerektiren Sebepler
Kişisel Verilerinizin Saklanması ve İmhası Süreçlerinde Rol Alanlar
Kişisel Verilerinizin Korunması İçin Alınan Tedbirler
Süreler
Kişisel Verilerinizin İmhasında Kullanılabilecek Yöntemler
Politika’nın Yayınlanması ve Saklanması
Politikanın Güncelleme Periyodu
Yürürlük
1. AMAÇ VE KAPSAM

İşbu Kişisel Verilerin Saklanması ve İmhası Politikasının (“Politika”) amacı; KoreanShop (“Şirket”) tarafından işlenen kişisel verilerin işlenme sürelerinin belirlenmesi ve işleme süresi ve/veya işleme amacı ortadan kalkan kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin kriter ve yöntemlerin ortaya konulmasıdır.

Şirketimizce yayımlanan “Aydınlatma” metnine ve 28.10.2017 tarihinde yürürlüğe giren “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi hakkındaki Yönetmeliğin” (“Yönetmelik”) 6’ncı maddesinde yer alan düzenlemelere paralel olarak; hukuka uygunluk, dürüstlük ve şeffaflık ilkeleri doğrultusunda; kişisel verilerinizin saklanmasını ve imhasını gerektiren sebeplerin, kişisel verilerinizin işlendikleri amaç için gerekli olan azami sürenin belirlenmesinin, kişisel verilerinizin tutulduğu kayıt ortamlarının, kişisel verilerinizin korunması ve imhası için alınan tedbirlerin, kişisel verilerinizin saklanması ve imhası sürecinde rol alan kişi ve birimlerin, kişisel veri saklama ve imha süre ve süreçlerinin açıklanması ile tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerinizin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve esasları belirlemektir.

İşbu Politika; 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 7. Maddesi uyarınca “veri sorumlusu” sıfatıyla KoreanShop’un tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollar ile işlediği, elektronik ortamda ve/veya kağıt ortamında yer alan ve işlenmesi ve saklanmasında hukuki ve/veya meşru bir menfaat kalmayan tüm kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin süreçleri kapsamaktadır.

2. TANIMLAR

2.1. Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.

2.2. Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

2.3. Özel nitelikli kişisel veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

2.4. Kişisel Veri İşleme Envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.

2.5. İlgili Kişi: Kişisel verisi işlenen gerçek kişidir.

2.6. İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.

2.7. Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

2.8. Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu ve 3’üncü maddede kapsamlı olarak açıklanan her türlü ortamdır.

2.9. Elektronik kayıt ortamı: Kişisel verilerin elektronik cihazlarla işlenebildiği yani saklandığı, okunduğu, değişikliğe uğradığı kayıt ortamı.

2.10. Elektronik olmayan kayıt ortamı: Verilerin elektronik ortamların haricinde basılı (matbu) fiziksel olarak saklandığı ve işlendiği kayıt ortamı.

2.11. Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.

2.12. Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.

2.13. Müşteri: Şirketin faaliyetleri kapsamında mevcut olan her türlü hizmet satın alan ve/veya bu hizmetlerden yararlanan kişileri ifade eder.

2.14. Aracı hizmet sağlayıcı: Hizmetlerin doğrudan şirket veya şirkete ait websitesi üzerinden değil Şirketin anlaşmalı olduğu platformlardan yapılabilmesini sağlayan aracı kişi, kurum veya web siteleri.

2.15. İmha: Kişisel verilerinizin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemidir.

2.16. Periyodik imha: Kişisel Verilerin Korunması Kanunu’nda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemidir.

2.17. Kişisel verilerin anonim hale getirilmesi: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

2.18. Kişisel verilerin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

2.19. Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

2.20. Web site: www.koreanshop.com.tr ve yönlendirme yapılmış diğer alan adlı e-ticaret portallarını ifade eder.

2.21. Politika: Kişisel Verileri Saklama ve İmha Politikası.

2.22. Komite: İşbu Politika’nın uygulanmasından, kişisel veri işleme faaliyetlerinin Şirket içi denetiminden, veri koruma yükümlülükleri hususunda bilgilendirme ve tavsiyede bulunmaktan, personellerin veri işleme faaliyetlerinde işbu Politika ve Prosedürlere uygunluğunu izlemekten, Yönetime veri işleme süreçleri ile veri işleme süreçlerinin Kanun’a ve Politika’ya uygunluğu noktasında raporlama yapmaktan sorumlu personel veya personellerden teşekkül komiteyi ifade eder.

2.23. Personel: Şirketimizde çalışan gerçek kişileri ifade eder.

2.24. Personel Adayları: Şirketimize Cv göndermek, e-posta atmak, telefonla aramak ve sair yöntemlerle iş başvurusu yapan gerçek kişileri ifade eder.

2.25. Ziyaretçiler: Şirketimize ait web sitesi ve yönlendirici aracı web siteleri gibi ortamları ziyaret eden gerçek kişileri ifade eder.

2.26. İş/Çözüm Ortağı, Tedarikçi: Şirketimizin faaliyetini gerçekleştirmek ve tarafınıza hizmeti sunabilmek amacıyla dış hizmet aldığı üçüncü kişi ve kişiler.

2.27. Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

2.28. Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

2.29. Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

2.30. Veri Sorumluları Sicil Bilgi Sistemi: Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemi.

2.31. VERBİS: Veri Sorumluları Sicil Bilgi Sistemi.

2.32. Kurul: Kişisel Verileri Koruma Kurulu’nu ifade eder.

2.33. Rehber: Kurul tarafından www.kvkk.gov.tr adresinde yayımlanan “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi”ni ifade eder.

2.34. Yönetmelik: 28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’i ifade etmektedir.

3. KİŞİSEL VERİLERİNİZİN SAKLANDIĞI KAYIT ORTAMLARI

3.1. Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verileriniz, toplanma ve işlenme amacına göre;

3.1.1. Elektronik Kayıt Ortamı: Bulut sistemleri, merkezi sunucu, hard-disk, taşınabilir medya, veri tabanları, bilgi güvenliği cihazları, bilgisayarlar, mobil cihazlar, optik diskler, ofis portal ve yazılımları, yazıcı, tarayıcı, fotokopi makinesi gibi dijital ortam ve materyal üzerindeki ortamlar.

3.1.2. Elektronik Olmayan Kayıt Ortamı: Kağıt, fatura, fiş, irsaliye, manuel evrak kayıt sistemleri gibi yazılı, basılı görsel ortamlar.

4. KİŞİSEL VERİLERİNİZİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

4.1. Kişisel verilerinizi kanunlarda öngörülen asgari ve azami saklama süreleri saklı kalmak kaydıyla, Şirketimizin ilan ettiği “Kişisel Verilerinizin Korunması Hakkında Bilgilendirme” metninde belirtilen kişisel verilerin işleme amacının gerektirdiği süre boyunca ve Kanun’un 5’inci ve 6’ncı maddelerinde belirtilen veri işleme şartlarına riayet ederek saklamaktayız. Şirketimizce öngörülen azami saklama süreleri 7’nci maddede açıklanmıştır.

4.2. Bu doğrultuda, kişisel verileriniz, Kişisel Verilerinizin Korunması Hakkında Bilgilendirme metni uyarınca; kural olarak açık rızanız ile kanunda öngörülen istisnai hallerde ise açık rızanıza başvurulmaksızın Şirketimiz tarafından işlenebilecektir.

4.3. Kanunda açıkça öngörülen hallerde, ilgili kişinin rızasının alınması hususunda fiili imkânsızlık bulunması ya da rızasının hukuken geçerli olmadığı durumda ilgili kişinin kendisinin veya başkasının hayatı ve beden bütünlüğü için veri işlemenin zaruri olması hallerinde; ilgili kişi ile doğrudan veya dolaylı olarak yapılan sözleşmelerin kurulması ve ifası için veri işlenmesi gerekli ise, veri sorumlusu olan Şirketimizin hukuktan ve kanundan doğan yükümlülüklerini ifa için veri işlemenin zorunlu olduğu durumlarda; ilgili kişinin kişisel verilerini aleni hale getirmesi yahut bir hakkın kurulumu ya da korunması için veri işlenecek ise ve son olarak ilgili kişinin temel hak ve özgürlüklerine dokunulmaksızın Şirketin meşru menfaatleri uyarınca kişisel verileriniz işlenebilmektedir.

4.4. Politika’nın 4.3. maddesi uyarınca kişisel verilerinizin saklanmasını gerektiren başlıca sebepler;

4.4.1. Kanun’un 5’inci maddesinde belirtilen veri işleme şartlarının (hukuki sebeplerin) yerine getirilmesi (sözleşmenin ifa edilebilmesi, hakkın tesis edilebilmesi, Şirketimizin meşru menfaatleri uyarınca veri işlemenin zorunlu olması, hukuki yükümlülüğün yerine getirilebilmesi vb.)

4.4.2. Şirketimizin personel temini ve işe alım süreçlerinin yürütülmesi (varsa),

4.4.3. Finansal raporlama, risk planlaması, risk yönetimi, finansal planlama gibi finansal işlemlerin yürütülmesi,

4.4.4. Mal veya hizmet memnuniyet anketlerinin düzenlenmesi,

4.4.5. Mal veya hizmet üretimi, geliştirilmesi ve sunulması; mal ve hizmet gamının genişletilmesi, geri bildirimlerin raporlanması,

4.4.6. Müşteri talep ve şikayetlerinin yönetilmesi, raporlanması ve sonuçlandırılması,

4.4.7. Kurumsal iletişimin yürütülmesi, planlanması ve raporlanması,

4.4.8. Ziyaretçi/müşteri kayıtlarının oluşturulması, takibi ve raporlanması,

4.4.9. Şirketimizin hukuki süreçlerinin yönetilmesi, raporlanması, alacak ve borçların takibi ile resmi makamlar nezdinden gelen diğer hukuki bilgi taleplerinin yanıtlanması,

4.4.10. Resmi kurum ve kuruluşlar ile bilgi talep etmeye yetkili özel kurum ve kuruluşların meşru ve hukuka uygun taleplerinin yanıtlanması, bilgi ve belge sunulması,

4.4.11. Şirketimizin dönemlik (haftalık, aylık, yıllık vb.) faaliyet ve bütçe planlamalarının yapılması,

4.4.12. Şirketimizin reklam, tanıtım ve pazarlama çalışmalarının yürütülmesi, hizmet kalitesinin artırılması, promosyonlar yapılması, kampanyalar düzenlenmesi, sipariş alınması, sipariş süreçlerinin yönetimi, sipariş geri bildirimlerinin yapılması, memnuniyet anketlerinin düzenlenmesi,

4.4.13. Şirketimizin iş yeri, depo vb. mekânlarının fiziki güvenliğinin sağlanması (varsa),

4.4.14. Müşterilerimizden gelen ek ürün veya hizmet taleplerinin yerine getirilmesi, müşterilerimize ek ürün veya hizmet sunulması, müşteri beğenilerinin tasnifi, raporlanması ve artırılması ile

4.4.15. Şirketimiz tarafından her bir iş sürecinde 6698 s. Kanun’un 10’uncu maddesi uyarınca yapılacak aydınlatma bildirimi kapsamında belirtilen amaçları yerine getirmektir.

4.5. İmhayı gerektiren sebepler;

4.5.1. İşbu Politika’nın 4.3. maddesinde öngörülen durumların sona ermesi; özellikle kişisel verilerin işlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası yahut kişisel verilerin işlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,

4.5.2. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,

4.5.3. Kanunun 11’inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Şirket veya olumsuz cevap halinde Kurum’ca kabul edilmesi,

4.5.4. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

hâlinde Şirketimize başvurmanız ihtimalinde en geç 30 gün içinde veya Şirketimize herhangi bir başvurunuz bulunmasa dahi Şirketimizce benimsenen periyodik imha tarihlerimizde tarafımızca işlenen kişisel verileriniz silinecek, yok edilecek veya anonim hale getirilecektir.

5. KİŞİSEL VERİLERİNİZİN SAKLANMASI VE İMHASI SÜREÇLERİNDE ROL ALANLAR

Not: Aşağıdaki paragraf, KoreanShop’un kişisel verileri kimin/hangi ekibin yönettiğine göre uyarlanması gereken genel bir çerçevedir. Şirketiniz büyüdükçe departmanlara ayırabilirsiniz; şu an için tek elden yürütülen bir yapı varsayılarak yazılmıştır.

5.1. Web sitesi üzerinden yapılan her türlü satın alma ve diğer kullanımlarınız kapsamında işlenen kişisel verileriniz dijital ortamda saklanmakta olup kişisel verilerinizin saklama ve imha süreçlerinde Şirketimizin yetkilendirdiği personel ve/veya bilgi teknolojileri sürecinden sorumlu kişi(ler) görev almaktadır. Bu kişi(ler), şirketimize ait web sitesi ile burada yürütülen tüm faaliyetlerin hukuka ve şirket politikasına uygun olarak yürütülmesi, yönetilmesi ve organizasyonundan görevlidir.

5.2. Hizmet veya mal satın aldığımız kişi veya kurumlar ile çözüm ortakları ve iş geliştirme kapsamında çalıştığımız diğer gerçek veya tüzel kişilerin iletişim bilgileri başta olmak üzere sözleşme veya faaliyetler kapsamında işlenen kişisel verileriniz dijital ortamda saklanmakta olup kişisel verilerinizin saklama ve imha süreçlerinde Şirketimizin yetkilendirdiği personel görev almaktadır.

5.3. Çalışanlarımıza ilişkin kişisel veriler işleniyorsa (varsa), bu veriler dijital ve/veya fiziksel ortamda saklanmakta olup saklama ve imha süreçlerinde bu alandan sorumlu personel görev almaktadır.

5.4. Finansal nitelikteki kişisel veriler (fatura, iade, banka hesap bilgileri vb.) dijital ortamda saklanmakta olup bu verilerin saklama ve imha süreçlerinde muhasebe/finans süreçlerinden sorumlu personel ve/veya bu alanda hizmet aldığımız mali müşavirlik büroları görev almaktadır.

6. KİŞİSEL VERİLERİNİZİN KORUNMASI İÇİN ALINAN TEDBİRLER

6.1. Şirketimiz, kişisel verilerinizin güvenli bir şekilde saklanması, kişisel verilerinize hukuka aykırı olarak erişilmesinin ve kişisel verilerinizin işlenirken hukuka ve dürüstlük kuralına uygun hareket etmek, kişisel verilerinizin doğru ve gerektiğinde güncel olmasını temin etmek, kişisel verilerinizi belirli, açık ve meşru amaçlar için işlemek, kişisel verilerinizi işlendikleri amaçla bağlantılı, sınırlı ve ölçülü işlemek ve kişisel verilerinizi ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmek suretiyle kişisel verilerinizin hukuka aykırı olarak işlenmesinin önlenmesi ve kişisel verilerinizin hukuka uygun olarak imha edilmesi amacıyla aşağıdaki teknik, hukuki ve idari tedbirleri almıştır:

Özel Teknik Tedbirlerin Amacı ve Açıklaması

Şirketimiz kişisel verilerinizin güvenliğini sağlamak amacıyla periyodik aralıklarla elektronik ortamda işlenen verileriniz yönünden herhangi bir sızma olup olmadığını tespit etmeye yönelik güvenlik testleri yaptırmaktadır.
Tarafımızca işlenen kişisel verilerin sadece yetkili kişilerce işlenmesi, yetkisiz kişilerin ise işbu kişisel verilerinize hiçbir şekilde erişim sağlamaması ve veriler üzerinde işleme faaliyeti gerçekleştirmemesi adına Şirketimizde erişim ve yetki matrisi belirlenmektedir.
Dışarıdan Şirket veri tabanına ve kullanılan yazılımlara yönelik gelebilecek her türlü siber saldırı için önleme sistemleri kurulmuş, bunun yanı sıra herhangi bir saldırı mevcut ise saldırının derhal tespiti için gerekli teknik önlemler alınmıştır.
Sistemdeki her bir veri için gerek çalışanların gerek ise müşteriler ile Web Sitesi ziyaretçilerinin log kaydı tutulmaktadır.
Şirketimizin kullanmakta olduğu (ve ileride kullanabileceği) sunucu ağlarının güvenliğinin sağlanması amaçlanmaktadır.
Şirketimiz veri kaybını önlemek adına teknik açıdan sağlam bir veri yedekleme sistemi ile veri kurtarma işlemine olanak sağlayan yazılımlar kullanmaktadır.
Şirketimizde dışarıdan gelebilecek saldırılara vb. durumlara hazırlıklı olmak ile sistem ve veri güvenliğini sağlama amacıyla güncel ve güvenilir antivirüs ve antispam sistemleri kullanılmaktadır.
Şirketimizde özel nitelikli kişisel verilerde, işbu verilerin yetki matrisinde yetkili olmayan kişilerle veya üçüncü kişilerle paylaşımı sırasında veri güvenliğini sağlama adına veri maskeleme veya şifreleme yöntemi kullanılmaktadır.
Fiziksel ortamda tutulan kişisel veriler varsa, bunların çalınması veya yetkisiz kişi tarafından alınması/görülmesine karşı gerekli fiziksel güvenlik önlemleri (kilitli dolap, kontrollü erişim vb.) alınır.

6.2. Kişisel verilerinizin güvenli bir şekilde saklanması, kişisel verilerinize hukuka aykırı olarak erişilmesinin ve kişisel verilerinizin hukuka aykırı olarak işlenmesinin önlenmesi ve kişisel verilerinizin hukuka uygun olarak imha edilmesi amacıyla gerekli teknik altyapı kurulmuş, teknik altyapının sıhhatli işleyişi için gerekli teknik ve idari denetim mekanizmaları oluşturulmuştur.

6.3. Kişisel verilerinizin güvenli bir şekilde saklanması, kişisel verilerinize hukuka aykırı olarak erişilmesinin ve kişisel verilerinizin hukuka aykırı olarak işlenmesinin önlenmesi ve kişisel verilerinizin hukuka uygun olarak imha edilmesi amacıyla teknik uzmanlığı olan personel istihdam edilmiş ve/veya hizmet alımı yoluyla desteklenmiştir.

6.4. Çalışanlarımıza, iş ortaklarımıza ve iş ilişkisinde olduğumuz diğer üçüncü kişilere hukuki, teknik ve idari riskler hakkında bilgilendirme yapılmakta, kişisel verilerin işlenmesine, saklanmasına, imhasına ve veri güvenliğine ilişkin genel ve olay bazlı farkındalık sağlanmaktadır. Verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmış olup periyodik olarak yetki kontrolleri gerçekleştirilmekte, görev değişikliği olan ya da işten ayrılan personelin bu alandaki yetkileri derhal kaldırılmaktadır.

6.5. Kişisel verilerinizin aktarıldığı üçüncü taraflardan, kişisel verilerinizin güvenli bir şekilde saklanması ile hukuka aykırı erişim ve işlemenin önlenmesi amacıyla gerekli güvenlik tedbirlerini aldığına ve/veya alacağına ilişkin taahhütler alınmaktadır.

6.6. Kişisel verilerinizin imhası ile ilgili yapılan bütün işlemlerin kayıt altına alınmasını ve söz konusu kayıtların asgari 3 yıl saklanmasını teminen teknik ve idari altyapı kurulmuştur.

6.7. Silinen kişisel verilerinizin, ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli teknik ve idari tedbirler alınmıştır.

6.8. Kişisel verilerinizin güvenli bir şekilde saklanmasına ve hukuka uygun olarak imha edilmesine ilişkin almış olduğumuz hukuki, idari ve teknik tedbirleri periyodik olarak güncellemekteyiz.

6.9. Özel nitelikli kişisel verilerin işlendiği durumlarda güvenli şifreleme/kriptografik anahtarlar kullanılmakta, veriler üzerinde gerçekleştirilen hareketlerin işlem kayıtları güvenli olarak loglanmakta, verilerin bulunduğu ortamlara ait güvenlik güncellemeleri takip edilmekte, gerekli güvenlik testleri düzenli olarak yapılmaktadır. Verilere uzaktan erişim sağlanması halinde çok kademeli kimlik doğrulama kullanılmaktadır.

7. SÜRELER

7.1. Kanunlarda öngörülen asgari saklama süreleri saklı kalmak kaydıyla kişisel verileriniz; “Kişisel Verilerinizin İşlenmesine İlişkin Aydınlatma Metni” kapsamında ilan edilen ‘kişisel verilerinizi işleme amacı’nın tümüyle ortadan kalkması veya Kanun’un 5’inci ve 6’ncı maddelerinde yer alan veri işleme şartlarının tamamının ortadan kalkması veyahut bunların hiçbirisi olmasa dahi Şirketimiz açısından kişisel verilerinizi işlemenin teknik, idari veya mali olarak imkânsız hale gelmesi durumunda kişisel verileriniz, bu durumun ortaya çıkışını takiben ilk periyodik imha işleminde re’sen veya talebiniz üzerine Şirketimizce silinir, yok edilir veya anonim hale getirilir.

7.2. Şirketimizce benimsenen imha periyotları her yılın 4. ayının sonu ve 10. ayının sonunda olmak üzere yılda iki seferdir.

7.3. Kanun’un 13’üncü maddesine istinaden Şirketimize yazılı olarak veya Kurul’un belirleyeceği sair yöntemlerle yapacağınız başvuru ile kişisel verilerinizin silinmesini, yok edilmesini veya anonim hale getirilmesini talep ettiğinizde aşağıdaki usul ve esaslar geçerli olacaktır:

7.3.1. Kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa; talebinize konu kişisel verileriniz silinir, yok edilir veya anonim hale getirilir. Talebiniz en geç otuz gün içinde sonuçlandırılır ve tarafınıza bilgi verilir.

7.3.2. Kişisel verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan kişisel verileriniz üçüncü kişilere aktarılmışsa, Şirketimiz bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde bu Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder.

7.3.3. Kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, talebiniz Şirketimizce Kanun’un 13’üncü maddesinin üçüncü fıkrası uyarınca gerekçesi açıklanarak reddedilebilir. Bu halde ret cevabı tarafınıza en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirilir.

7.3.4. Talebiniz kural olarak ücretsiz olarak sonuçlandırılır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir.

7.4. Kişisel verilerinize ilişkin -kanunlarda öngörülen azami ve asgari saklama süreleri saklı kalmak kaydıyla- veri kategorilerine göre saklama süreleri ile imha ve periyodik imha süreleri aşağıdaki tabloda belirtilmiştir:

Kişisel Veri Kategorisi Saklama Süresi İmha Süresi
İnternet Ortamında Mal veya Hizmet Satın Alan Müşterilerden Elde Edilen Kişisel Veriler Hukuki ilişkinin sona ermesinden itibaren 10 yıl İmha yükümlülüğünün doğmasını takiben ilk periyodik imha işleminde veya kişisel verileri işleme şartlarının tamamının ortadan kalkmış olması şartıyla Kanun’un 13’üncü maddesine istinaden yapacağınız başvuru üzerine en geç 30 gün içinde
İş Çözüm Ortağı / Tedarikçilere İlişkin Kişisel Veriler Hukuki ilişkinin sona ermesinden itibaren 10 yıl İmha yükümlülüğünün doğmasını takiben ilk periyodik imha işleminde veya başvurunuz üzerine en geç 30 gün içinde
İş Başvurusu Sırasında Aday Personele İlişkin Kişisel Veriler (varsa) 2 yıl İmha yükümlülüğünün doğmasını takiben ilk periyodik imha işleminde veya başvurunuz üzerine en geç 30 gün içinde
Personele Ait Kişisel Veriler (varsa) Hukuki ilişkinin sona ermesinden itibaren 10 yıl İmha yükümlülüğünün doğmasını takiben ilk periyodik imha işleminde veya başvurunuz üzerine en geç 30 gün içinde
Çevrimiçi Ziyaretçilere İlişkin Kişisel Veriler (Çerez vb.) Hukuki ilişkinin sona ermesinden itibaren 10 yıl (veya çerez politikasında belirtilen süre) İmha yükümlülüğünün doğmasını takiben ilk periyodik imha işleminde veya başvurunuz üzerine en geç 30 gün içinde
Şirket Ortak ve Yetkilileri ile TTK Kapsamında Tutulan Ticari Defter ve Kayıtlara İlişkin Kişisel Veriler Kanunlarda öngörülen süre boyunca (genellikle 10 yıl) İmha yükümlülüğünün doğmasını takiben ilk periyodik imha işleminde veya başvurunuz üzerine en geç 30 gün içinde

Not: Bu tablo, örnekteki fiziksel mağaza/kamera/çağrı merkezi satırlarını (KoreanShop’ta bulunmadığı varsayımıyla) çıkararak sadeleştirilmiştir. Fiilen fiziksel mağazanız, çağrı merkeziniz veya kamera sisteminiz varsa bu satırları ekleyip ilgili yasal süreleri (KVKK Rehberi ve ilgili mevzuat) kontrol ederek tabloya dahil etmeniz gerekir.

7.5. Kişisel verileri saklama sürelerinin tayininde, olası hukuki uyuşmazlıkların doğması ihtimaline binaen gerek Şirketimiz gerekse ilgili kişilerin haklarını savunabilmek, delil ibraz edebilmek, def’i ve itirazlarda bulunabilmek adına; doğabilecek hukuki uyuşmazlığa konu hakkın ileri sürülebilmesine yönelik zamanaşımına uğrama süreleri ile kanuni yükümlülüklere ilişkin zorunlu süreler esas alınmıştır.

8. KİŞİSEL VERİLERİNİZİN İMHASINDA KULLANILABİLECEK YÖNTEMLER

İşleme amacı tamamen ortadan kalkan elektronik ortamdaki veya kağıt ortamındaki kişisel veriler Kişisel Verileri Koruma Kurumu tarafından yayımlanan “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi”ne uygun olarak silinir, yok edilir veya bu Rehber’de öngörülen yöntemlerle anonim hale getirilir. Gerçekleştirilen tüm silme, yok etme veya anonim hale getirme işlemleri elektronik ortamda zaman damgası ile loglanarak kayıt altına alınır. Kağıt ortamdaki kişisel veriler bakımından ise bu işlemlerin gerçekleştirildiğine ilişkin tutanak düzenlenir ve muhafaza edilir. Elektronik ve kağıt ortamdaki kişisel verilere ilişkin silme, yok etme veya anonim hale getirmeye ilişkin kayıtlar üç yıl süre ile saklanır. KoreanShop; kişisel verileri saklama süreleri boyunca sadece ilgili yetkili kişilerin bu verilere erişimini sağlayacak şekilde “silme” yöntemini kullanır. Saklama sürelerinin bitmesi ve kişisel verinin saklanmasını gerektirecek herhangi bir başka amacın mevcut olmaması halinde ise anonim hale getirme yöntemini kullanır.

Kişisel Verilerin Silinmesi

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Veri sorumlusu olarak silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli her türlü teknik ve idari tedbir alınmaktadır.

Kişisel Verilerin Silinmesi Süreci

Silme işlemine konu teşkil edecek kişisel verilerin belirlenmesi,
Erişim yetki ve kontrol matrisi ya da benzer bir sistem kullanarak her bir kişisel veri için ilgili kullanıcıların tespit edilmesi,
İlgili kullanıcıların erişim, geri getirme, tekrar kullanma gibi yetkilerinin ve yöntemlerinin tespit edilmesi,
İlgili kullanıcıların kişisel veriler kapsamında erişim, geri getirme, tekrar kullanma yetki ve yöntemlerinin kapatılması ve ortadan kaldırılması.

Kişisel Verilerin Silinmesi Yöntemleri

Hizmet Olarak Uygulama Türü Bulut Çözümleri (ör. Office 365, Google Workspace, Dropbox vb.): Bulut sisteminde veriler silme komutu verilerek silinmektedir. İlgili kullanıcının bulut sistemi üzerinde silinmiş verileri hiçbir şekilde geri getirme yetkisinin olmayacağı şekilde işlem yapılmaktadır.
Kağıt Ortamında Bulunan Kişisel Veriler (varsa): Karartma yöntemi kullanılarak silinmektedir; ilgili evrak üzerindeki kişisel veriler mümkün olan durumlarda kesilir, mümkün olmayan durumlarda geri döndürülemeyecek ve okunamayacak şekilde silinir veya sabit mürekkeple çizilerek görünmez hale getirilir.
Sunucuda Yer Alan Dosyalar: Dosyanın işletim sistemindeki silme komutu ile silinmesi veya dosya ya da dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması şeklinde yapılır.
Taşınabilir Medyada Bulunan Kişisel Veriler: Şifreleme anahtarlarıyla güvenli ortamlarda saklanır, uygun yazılımlar kullanılarak silme işlemi gerçekleştirilir.
Veri Tabanları: Kişisel verilerin bulunduğu ilgili satırların veri tabanı komutları ile (delete vb.) silinmesidir. Bu işlem gerçekleştirilirken ilgili kullanıcının aynı zamanda veri tabanı yöneticisi olmadığına dikkat edilir.

Kişisel Verilerin Yok Edilmesi

Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. KoreanShop, kişisel verilerin yok edilmesiyle ilgili gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür.

Kişisel Verilerin Yok Edilmesi Yöntemleri

Kişisel verilerin yok edilmesi için, verilerin bulunduğu tüm kopyaların tespit edilmesi ve verilerin bulunduğu sistemlerin türüne göre aşağıdaki yöntemlerden bir ya da birkaçının kullanılmasıyla tek tek yok edilmesi gerçekleştirilir.

De-manyetize Etme: Manyetik medyanın özel bir cihazdan geçirilerek yüksek değerde bir manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemidir.
Fiziksel Yok Etme: Optik ve manyetik medyanın eritilmesi, yakılması veya toz haline getirilmesi gibi fiziksel olarak yok edilmesi işlemidir. Katı hal disklerde üzerine yazma ya da de-manyetize etme başarılı olmazsa, fiziksel olarak yok edilir.
Üzerine Yazma: Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kez 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının önüne geçilmesi işlemidir; özel yazılımlar kullanılarak yapılır.
Ağ Cihazları (switch, router vb.): Uygun yöntemlerin bir ya da birkaçı kullanılmak suretiyle yok edilir.
Flash Tabanlı Ortamlar: Destekleniyorsa yok etme komutu, desteklenmiyorsa üreticinin önerdiği yöntem ya da yukarıdaki uygun yöntemlerden biri kullanılarak yok edilir.
Mobil Telefonlar (SIM kart ve sabit hafıza alanları): Uygun yöntemlerin bir ya da birkaçı kullanılmak suretiyle yok edilir.
Kağıt Ortamlar (varsa): Kağıt imha veya kırpma makineleri ile anlaşılmaz boyutta, geri birleştirilemeyecek şekilde küçük parçalara bölünerek ya da yakma yöntemiyle geri döndürülemez şekilde yok edilir.
Bulut Ortamı: Kişisel verilerin depolanması ve kullanımı sırasında kriptografik yöntemlerle şifrelenmesi ve mümkün olan yerlerde her bir bulut çözümü için ayrı şifreleme anahtarları kullanılması gerekmektedir. Bulut bilişim hizmet ilişkisi sona erdiğinde, kişisel verileri kullanılır hale getirmek için gerekli şifreleme anahtarlarının tüm kopyalarının yok edilmesi gerekir.

Arızalanan ya da bakıma gönderilen cihazlarda yer alan kişisel veriler, üretici/satıcı/servis gibi üçüncü kurumlara aktarılmadan önce yukarıdaki uygun yöntemlerden biriyle yok edilir; bu mümkün değilse veri saklama ortamı sökülerek saklanır ve dışarıdan bakım amacıyla gelen personelin verileri kopyalayarak dışarı çıkarmaması için gerekli önlemler alınır.

Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir. Anonim hale getirmedeki amaç, veri ile bu verinin tanımladığı kişi arasındaki bağın kopartılmasıdır.

Kişisel verilerin anonim hale getirilmiş olması için, kişisel verilerin, veri sorumlusu veya alıcı grupları tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

Veri sorumlusu olarak Şirket, kişisel verilerin anonim hale getirilmesi için gerekli her türlü teknik ve idari tedbiri almaktadır. Kişisel verilerin anonim hale getirilmesi, kişisel veri saklama ve imha politikasında belirtilen esaslara uygun olarak gerçekleştirilir.

9. POLİTİKA’NIN YAYINLANMASI VE SAKLANMASI

Politika, elektronik ortamda internet sitemizde yayımlanır; talep edilmesi halinde basılı (ıslak imzalı) nüsha da sunulabilir.

10. POLİTİKANIN GÜNCELLEME PERİYODU

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir.

11. YÜRÜRLÜK

11.1. İşbu Politika yayımı tarihinde yürürlüğe girer.

11.2. Politika’da değişiklik ve güncelleme yapılması halinde, ilgili değişikliğe ilişkin bilgileri de kapsayacak yeni sürüm yayımlanır.

İletişim Bilgileri Adres: Atakent Mh. 223. Cad. Orkide-2 C3-15 No: 1 İç Kapı No: 39 Küçükçekmece/İstanbul E-posta: bilgi@koreanshop.com.tr Telefon: +90 850 840 31 58