Kişisel Verilerin Korunması ve İşlenmesi Hakkında Genel Aydınlatma Metni

Türkiye Cumhuriyeti Anayasası’nın 20’nci maddesinin 3’üncü fıkrasına göre, “Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsar. Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir…”

Kişisel Verilerin Korunması hakkı temel insan hakkı olarak Avrupa Birliği Temel Haklar Bildirgesi’nin 8’inci ve Avrupa Birliği’nin İşleyişi Hakkında Antlaşma’nın 16’ncı maddelerinde de yerini almıştır.

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) madde 4, kişisel verilerin işlenmesi için uyulması gereken temel ilkeleri listelemektedir. Söz konusu ilkeler, MEFA Endüstri Anonim Şirketi (“Şirket”) tarafından gerçekleştirilen tüm kişisel veri işleme faaliyetleri kapsamında dikkate alınmakta ve titizlikle uygulanmaktadır. Şirket’in veri işleme süreçlerinde takip ettiği temel ilkeler şu şekildedir:

Hukuka ve Dürüstlük Kuralına Uygun İşleme: Şirket, kişisel verilerin işlenmesi ve korunması yükümlülüğünü yerine getirirken, hukukun genel ilkelerine, dürüstlük kuralına uygun hareket etmektedir.

Kişisel Verileri Doğru ve Güncel İşleme: Şirket kişisel verilerin bireyler hakkında doğru ve güncel bilgileri sağlamasının, bireylerin haklarının korunması için büyük önem taşıdığının bilincindedir. İşlenmekte olan kişisel verilerin doğru ve güncel olmasını sağlamak adına kendisinden beklenecek azami özeni göstermektedir.

Belirli, Açık ve Meşru Amaçlarla Kişisel Veri İşleme: KVKK veri işleme faaliyetlerinin belirli, açık ve meşru amaçlarla işlenmesini gerektirmektedir. Şirket de bu ilke çerçevesinde faaliyetlerinin gerektirdiği belirli, açık ve meşru amaçlarla kişisel veri işleme faaliyetleri yürütmektedir.

İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü İşleme: Şirket, kişisel verileri yürüttüğü faaliyetler kapsamında belirlenen amaçları gerçekleştirmesine yetecek sınırlar dahilinde işlemektedir. Şirket ihtiyaç olmayan kişisel verileri işlemekten kaçınarak sınırlı ve ölçülü olmak prensibine uygun hareket etmektedir.

İlgili Mevzuatta Öngörülen veya İşlendiği Amaç için Gerekli Olan Süre Kadar Muhafaza Etme: Şirket tarafından işlenmekte olan kişisel veriler, kişisel veri işleme şartlarının ortadan kalkmasına kadar geçecek süre boyunca muhafaza edilmektedir. Söz konusu amaçlar ortadan kalktığında, Şirket tarafından ilgili kişisel verilerin muhafaza edilmesi işlemleri sonlandırılacaktır. Şirket bütün veri işleme süreçlerine ilişkin şeffaf biçimde tüm ilgili tarafları gerekli dokümanlarla bilgilendirmektedir.

GİRİŞ

6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” veya “Kanun”) gerçek kişilere ait kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyulması gerekli usul ve esasları düzenlemek maksadıyla 7 Nisan 2016 tarihli Resmî Gazete’de yayımlanmıştır.

1. POLİTİKANIN AMACI

MEFA Endüstri Kişisel Verilerin İşlenmesi ve Korunması Politikası (“Politika”), yürütülen faaliyetler esnasında işlenecek kişisel verilerin mevzuata uygun olarak işlenmesinin disiplin altına alınması ve Anayasa’da öngörülen başta özel hayatın gizliliği olmak üzere temel hak ve özgürlüklerin korunması amaçlanarak hazırlanmıştır.

Politika hazırlanırken öncelikle Şirket organizasyonu içinde çalışma birimlerinin hangi verileri, neden topladıkları ve bu verileri neden üçüncü kişilere aktardıklarını belirlemek ve Şirket’in kişisel veri işleme usulünü anlamak temel ilke olarak belirlenmiştir. Ayrıca, bu Politika ile Şirket organizasyonu içinde ve organizasyon dışında veri gizliliğinin korunması için alınacak idari ve teknik tedbirlerin neler olduğunu belirlemek, bu tedbirleri açıklamak ve verileri işlenen bireyleri bilgilendirmek, aydınlatmak hedeflenmektedir.

2. POLİTİKANIN KAPSAMI

Politika kapsamına Şirket faaliyetleri sebebiyle doğrudan veya dolaylı olarak verileri işlenen tüm gerçek kişiler girmektedir.

İşbu Politika kapsamında Şirket organizasyonunda yer alan işlem ve faaliyetler çerçevesinde işlenen veriler, verilerin kategorizasyonu, veri alıcı grupları, veri toplama hukuki sebebi ve yöntemi, verilerin aktarıldığı üçüncü kişi grupları, verilerin işleme süreleri, verilerin imha süreleri hakkında özelleştirilmiş bilgilere yer verilmiştir.

Bu Politika kapsamında yürütülen kişisel veri işleme faaliyetleri, Şirket tarafından hazırlanan ve güncel tutulan Kişisel Veri İşleme Envanteri ile uyumlu olarak yürütülür. Politika hükümleri ile Kişisel Veri İşleme Envanteri arasında farklılık bulunması hâlinde, yürürlükteki mevzuata aykırı olmamak kaydıyla güncel Kişisel Veri İşleme Envanteri esas alınır.

Kişisel Veri İşleme Envanteri’nde meydana gelen değişikliklerin bu Politika’ya etkisi periyodik olarak değerlendirilir ve gerekli olması hâlinde Politika güncellenir.

Şirket tarafından kişisel verilerin korunmasına ilişkin olarak hazırlanan politika, prosedür, talimat, rehber ve benzeri ikincil düzenlemeler işbu Politika’nın tamamlayıcı dokümanları niteliğindedir. Bu dokümanlar, işbu Politika ile birlikte uygulanır ve Politika hükümlerine aykırı yorumlanamaz.

3. TANIMLAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı ifade eder.

Çerez (Cookie): Kullanıcıların bilgisayarlarına yahut mobil cihazlarına kaydedilen ve ziyaret ettikleri web sayfalarındaki tercihleri ve diğer bilgileri depolamaya yardımcı olan küçük dosyalardır.

İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

İrtibat Kişisi: Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kişisel Verileri Koruma Kurumu (“Kurum”) ile kurulacak iletişim için veri sorumlusu tarafından Sicile kayıt esnasında bildirilen gerçek kişi.

(İrtibat kişisi Veri Sorumlusunu temsile yetkili değildir. Adından anlaşılacağı üzere yalnızca veri sorumlusu ile ilgili kişilerin ve Kurum’un iletişimini “irtibatı” sağlamak üzere görevlendirilen kişidir.)

KVKK: 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete ’de yayımlanan, 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu.

Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Kişisel Verilerin Silinmesi: Kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.

Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.

Kurul: Kişisel Verileri Koruma Kurulu.

Kurum: Kişisel Verileri Koruma Kurumu.

Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.

Periyodik İmha: Kişisel verilerin işlenmesi için aranan şartların tamamının ortadan kalkması durumunda Kişisel Verileri Saklama ve İmha Politikası’nda belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Politika: Veri Sorumlusu tarafından oluşturulan Kişisel Verilerin İşlenmesi ve Korunması Politikası.

VERBİS: Kişisel verileri işleyen gerçek ve tüzel kişilerin, kişisel veri işlemeye başlamadan önce kaydolmaları gereken ve işlemekte oldukları kişisel verilerle ilgili kategorik bazda bilgi girişi yapacakları bir kayıt sistemidir.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.

Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

Veri Sahibi/İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

4. ŞİRKET KİŞİSEL VERİLERİN KORUNMASI YAPISI

Bu Politika kapsamına giren kişisel veri işleme faaliyetleri bakımından veri sorumlusu, MEFA Endüstri Anonim Şirketi’dir.

Şirket, KVKK uyum programı çerçevesinde, KVKK’ya uyumun sürekliliğini garanti edebilmek adına kişisel verilerin korunması süreçleri ile ilgili ayrı bir organizasyon tertip ederek, buna uygun iş ve işlemleri gerçekleştirmiş, gerekli teçhizatı sağlamıştır. Bu çerçevede, Şirket bünyesinde bir “Kişisel Verileri Koruma Komisyonu” (“KVK Komisyonu”) kurulmuş ve İrtibat Kişisi görevlendirilmiştir.

4.1. Kişisel Verileri Koruma Komisyonu

Kişisel verileri koruma mevzuatına sürdürülebilir uyumu sağlama yönündeki kararlılığı göstermek ve kişisel verilerin korunması sisteminin etkinliğini temin etmek amaçlarıyla Şirket bünyesinde bir KVK Komisyonu kurulmuştur. KVK Komisyonu başkanı ve KVK Komisyonu üyeleri yönetim kurulu tarafından belirlenir ve görevlerini yürütür.

4.2. Hukuk Birimi

Hukuk Birimi, Şirket’in kişisel verilerin korunmasına ilişkin mevzuata uyum faaliyetlerinin hukuki açıdan koordinasyonunu sağlar. Bu kapsamda Hukuk Birimi; kişisel verilerin korunmasına ilişkin politika ve prosedürlerin hazırlanması ve güncellenmesi, Kişisel Veri İşleme Envanteri’nin ilgili süreç sahibi birimlerle koordineli olarak güncel tutulması, kişisel veri işleme ve aktarım faaliyetlerinin hukuki açıdan değerlendirilmesi, ilgili kişi başvurularının hukuki değerlendirmesinin yapılması, kişisel veri ihlallerinde gerekli hukuki süreçlerin koordine edilmesi ve KVK Komisyonu’na hukuki destek sağlanması görevlerini yürütür.

Hukuk Birimi, kişisel veri işleme faaliyetlerinin istisnai durumlar dışında operasyonel sahibi olmayıp, ilgili iş birimleri tarafından yürütülen kişisel veri işleme süreçlerinin mevzuata uyumunun sağlanmasına yönelik hukuki danışmanlık ve koordinasyon fonksiyonunu yerine getirir.

4.3. İrtibat Kişisi

Mevzuatın öngördüğü irtibat kişisi tayin etme yükümlülüğünü yerine getirebilmek adına Şirket, gerekli eğitimleri almış ve kişisel verilerin korunması konusunda aranan yetkinliği haiz bir irtibat kişisi görevlendirilmiştir. İrtibat kişisinin başlıca sorumluluğu, mevzuatın öngördüğü üzere Kurul ve ilgili kişilerle veri sorumlusunun iletişimini sağlamak olup, irtibat kişisinin veri sorumlusunu temsil yetkisi bulunmamaktadır.

İrtibat Kişisi, mevzuattan kaynaklanan görevlerinin yanı sıra, görev alanıyla sınırlı olmak üzere KVK Komisyonu’nun çalışmalarına destek sağlar.

İrtibat Kişisi, KVK Komisyonu’nun doğal üyesi olup, ihtiyaç halinde KVK Komisyonu’nu toplantıya çağırır.

4.4. Süreç Sahibi Birimler

Şirket bünyesindeki her birim, kendi görev ve faaliyet alanında gerçekleştirilen kişisel veri işleme faaliyetlerinin operasyonel süreç sahibidir. Süreç sahibi birimler; kişisel verilerin yalnızca belirlenen amaçlar ve hukuki sebepler doğrultusunda işlenmesi, veri minimizasyonu ilkesine uygun hareket edilmesi, kişisel verilerin güncelliğinin sağlanması, belirlenen saklama sürelerine uyulması ve kişisel veri işleme faaliyetlerinde meydana gelen değişikliklerin gecikmeksizin Hukuk Birimi’ne bildirilmesinden sorumludur.

Süreç sahibi birimler, yeni bir kişisel veri işleme faaliyetine başlanması, mevcut işleme amaçlarının veya yöntemlerinin değiştirilmesi, yeni bir yazılım veya bilgi sistemi kullanılması, kişisel verilerin üçüncü kişilere veya yurt dışına aktarılmasının planlanması hâllerinde, gerekli hukuki değerlendirmenin yapılabilmesi amacıyla Hukuk Birimi ile koordinasyon sağlar.

4.5. Bilişim Teknolojileri Grup Müdürlüğü

Bilişim Teknolojileri Grup Müdürlüğü; elektronik ortamlarda işlenen kişisel verilerin güvenliğinin sağlanması, erişim yetkilerinin yönetilmesi, bilgi sistemlerinin güvenliğinin temin edilmesi, gerekli teknik tedbirlerin uygulanması, elektronik kayıt ortamlarında gerçekleştirilecek silme ve yok etme işlemlerinin teknik olarak yürütülmesi ve kişisel veri güvenliği ihlallerinin tespit edilmesi hâlinde ilgili birimlerin gecikmeksizin bilgilendirilmesinden sorumludur.

Bilişim Teknolojileri Grup Müdürlüğü, kişisel veri güvenliğine ilişkin teknik tedbirlerin belirlenmesi ve uygulanmasında KVK Komisyonu ve ilgili birimlerle koordinasyon içerisinde hareket eder.

4.6. Tüm Çalışanların Sorumlulukları

Şirket çalışanları, görevleri kapsamında eriştikleri veya işledikleri kişisel verileri yalnızca kendilerine verilen yetki ve işin gerektirdiği amaçlarla işlemekle; kişisel verilerin gizliliğini ve güvenliğini korumakla, Şirket tarafından yayımlanan politika, prosedür ve talimatlara uymakla yükümlüdür.

Çalışanlar, kişisel verilerin hukuka aykırı olarak işlendiğini, yetkisiz kişiler tarafından erişildiğini, kaybolduğunu, ifşa edildiğini veya herhangi bir kişisel veri güvenliği ihlali meydana geldiğini öğrenmeleri hâlinde durumu gecikmeksizin ilgili yöneticilerine ve belirlenen yetkili birimlere bildirmekle yükümlüdür.

5. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI, İŞLENEN KİŞİSEL VERİLER, TOPLANMA YÖNTEMLERİ VE HUKUKİ SEBEPLERİ

5.1. İşlenme Amaçları

Kişisel veriler KVKK’da öngörülen sınırlara riayet edilerek ve Şirket ile ilgili mevzuatta gösterilen amaçları gerçekleştirmek için kullanılmaktadır. İşleme amaçları şunlardır:

Kanunlar tarafından öngörülen faaliyetlere ve denetime ilişkin yükümlülüklerin karşılanması,
İlgili mevzuat kapsamında hakların tesis edilmesi,
Şirket tarafından sunulan hizmetlerden yararlanması için gereken çalışmaların ilgili birimlerce yapılması,
Paylaşılan iletişim kanalları üzerinden Şirket ve faaliyetlerinin tanıtımı amacıyla iletişime geçilmesi,
Şirket’in ihtiyaç duyduğu alanlarda personel temini, 4857 sayılı İş Kanunu, 6331 sayılı İş Sağlığı ve Güvenliği Kanunu ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu başta gelmek üzere iş hayatını düzenleyen mevzuat kapsamında hak ve yükümlülüklerin yerine getirilmesi,
Personele ilişkin maaş ödeme, harcırah temini, döner sermaye ödemelerinin gerçekleştirilebilmesi vb. faaliyetlerin yürütülmesi,
Şirket içi yazışmaların yapılması,
Yetkili kamu kurum ve kuruluşları ile yargı makamlarına kanunlarda gösterilen haller dahilinde bilgi-belge temini,
Şirket’teki organizasyon ve etkinlik (seminer, konferans, toplantı, eğitim, sempozyum vb.) yönetimi süreçlerinin işlerliğinin sağlanarak kamuoyuna duyurulması,
Şirket’in kamuoyunda bilinirliğinin sağlanması ve güncelliğinin korunabilmesi için internet sayfası ve sosyal medya hesaplarının güncel verilerle sürekliliğinin sağlanması, tanıtım ve reklam süreçlerinin yönetilmesi,
Saklama ve arşiv faaliyetlerinin yürütülebilmesi ve yıllık birim faaliyet raporlarının oluşturulabilmesi amacıyla mevzuatta gösterilen usullerle arşiv tutulması,
Ziyaretçi kayıtlarının oluşturulması ve takibi,
Bina, personel ve ziyaretçi güvenliğinin temini,
Verilerin anonim hale getirilerek araştırma amacıyla istatistiki faaliyetlerde kullanılabilmesi,
KVKK kapsamında yapılacak ilgili kişi başvurularının alınması ve yanıtlanabilmesi.

Şirket, işleme amacı bakımından gerekli olmayan kişisel verileri talep edemez, toplayamaz ve işlememeye özen gösterir.

5.2. İşlenen Kişisel Veriler

Kimlik Bilgileri: İsim, Soy İsim, T.C. Kimlik Numarası, Anne Adı, Baba Adı, Doğum Yeri ve Tarihi, Personel Sicil Numarası, Uyruk Bilgisi ve Şirket’ce ilgili kişi tarafından açık rıza dahilinde temin edilen sair bilgiler.

İletişim Bilgileri: İkamet Adresi, İşyeri Adresi, Telefon Numarası ve e-Posta Adresi, KEP Adresi ile var ise Şirket’e ilgili kişi tarafından iletişim kurulması için tercih edilen Cep Telefonu Numarası, Faks Numarası veya ilgili kişiye ulaşabilmesi için rıza ile temin etmiş olunan diğer iletişim kanallarına ilişkin bilgiler.

Çalışma ve Eğitim Bilgileri: Şirket’e başvuru (iş başvurusu, etkinliklere katılma başvurusu) için doldurulmuş olunan başvuru formu, kayıt evrakı kapsamında ve/veya Şirket resmi e-posta adresi olan info@mefaendustri.com adresine gönderilen iş başvuru formlarında yahut Şirket tarafından sağlanan çevrimiçi ya da fiziki başka başvuru usulleri kullanılmak suretiyle kimlik bilgileri, iş durumuna ait bilgiler, iletişim bilgileri ile eğitim durumuna ait (“Üniversite mezunu, yüksek lisans mezunu, fizik bölümü mezunu” gibi) bilgiler ve geçmiş mezuniyet bilgileri, katılınan kurs/seminer bilgileri, sertifika bilgileri ile ulusal yahut uluslararası sınav sonuçları.

Finansal/Mali Bilgiler: Maaş ve yan hakların ödenmesi, fazla ve yersiz alınan ödemelerin iadesi, Şirket dışı görevlendirmelerde ödemelerin yapılabilmesi amacıyla edinilen; banka isim ve şube bilgisi, banka hesap no bilgisi, IBAN no bilgisi.

Görsel/İşitsel Bilgiler: Şirket’in düzenlediği konferans, seminer, tiyatro gösterisi, sergi, münazara ve benzeri etkinliklerde etkinlikle ilgili olarak; etkinliği tanıtmak, duyurmak, yaygınlaşmasını sağlamak gibi amaçlar için etkinliğin gerçekleştiği yerin ve katılanların durağan veya akan görüntüleri ve/veya sesleri ile Şirket merkez, şube ve temsilciliklerinde güvenliği sağlamak için kurulmuş olan kameraların sağladığı görsel/işitsel bilgiler. Söz konusu etkinliklerde elde edilen görsel/işitsel bilgiler Şirket faaliyetlerini aşmayacak ve etkinliğin amacı ile sınırlı olacak şekilde Şirket’in internet sitesinde, Şirket tarafından kullanılan sosyal paylaşım platformlarında, Şirket tarafından basılan eserlerde kullanılabilecektir. Yahut Şirket’in izniyle ve kontrolü altında basılmak/yayınlanmak üzere üçüncü kişilere (basımevi, yayıncı, kurum, kuruluş vb.) gönderilebilecektir. Bu kullanım usulü güvenlik kamera görüntülerini kapsamayacak olup, ilgili görsel/işitsel kişisel veriler kullanılmadan önce katılımcılara ayrıca bilgilendirme yapılacak ve açık rızaları alınacaktır.

Özel Nitelikli Kişisel Veriler: Şirket bünyesinde mevzuat kaynaklı çalıştırma yükümlülüklerini yerine getirebilmek amacıyla çalıştırılan kişi, engelli ve hakkında mahkûmiyet kararı verilmiş ve/veya güvenlik tedbiri uygulanmış kişilere ilişkin sağlık, ceza mahkumiyeti ve güvenlik tedbirlerine ilişkin özel nitelikli kişisel veriler işlenmektedir.

Şirket’in bu amaçlar haricinde başka herhangi bir doğrudan özel nitelikli kişisel veri işleme amacı olmamakla birlikte Şirket’e sunulmuş olan kimlik belgesi, fotoğraflar yahut etkinlikler kapsamında durağan/akan görüntülerden elde edilen veriler kapsamında dolaylı olarak edinilme ihtimali olan din, kılık-kıyafet, felsefi inanç, siyasi düşünce ve sağlık verileri (örneğin fotoğraftan anlaşılan kıyafet, cihaz ve protezler) ile Şirket tarafından sağlanan bir evrakta ihtiyari olarak belirtilen özel nitelikli sair bilgiler.

5.3. Kişisel Verilerin Toplanma Yöntemleri

Kişisel veriler üye kayıt formu, internet üzerinden doldurulan kayıt/başvuru formları, alındı ve harcama belgeleri, etkinliklerde kullanılan görüntü ve ses kayıt cihazları, güvenlik kamera kayıtları ve Şirket resmi e-mail adresi olan info@mefaendustri.com adresine yahut “@mefaendustri.com” uzantısını kullanan Şirket’e ait herhangi bir mail adresine veya mefaendustri@hs03.kep.tr KEP adresine kişisel veri gönderilmesi durumunda söz konusu iletişim kanalları vasıtasıyla toplanmaktadır.

Kişisel veriler, fiziken evrak gönderilmesi, Şirket’in sağladığı bir evrakın fiziken doldurulması, +90 312 267 54 00 numaralı hatların veya Şirket’e ait diğer dahili numaraların aranması suretiyle de toplanmaktadır.

Kişisel veriler ayrıca otomatik yollarla https://mefaendustri.com/tr/ adresi ve uzantılarında kullanılan çerezler (cookie) vasıtasıyla da toplanmaktadır. Söz konusu çerezler, yalnızca ziyaretçinin siteyi tam verimlilikte kullanabilmesi için gerekli çerezler olup ziyaretçinin tercihlerini hatırlamak amacıyla kullanılmakta ve başka bir kişisel veri temin etmemektedir. Çerez politikamıza https://mefaendustri.com/tr/cerez-bilgilendirme-metni-ve-gizlilik/ adresinden ulaşabilir.

5.4. Kişisel Veri İşlemenin Hukuki Sebepleri

KVKK, kişisel verilerin işlenme şartlarını 5’inci maddesinin 2’nci fıkrasında listelemektedir. Eğer bir veri sorumlusu tarafından kişisel verilerin işlenme amaçları, KVKK’da listelenmiş olan kişisel veri işleme şartları çerçevesinde değerlendirilebiliyorsa, o veri sorumlusu kişisel verileri hukuka uygun olarak işleyebilmektedir. Bu kapsamda Şirket faaliyetinin KVKK’da düzenlenen kişisel veri işleme şartları kapsamında değerlendirilebildiği durumlarda Şirket tarafından kişisel veri işleme faaliyetleri gerçekleştirilmektedir. Şirket kişisel veri işleme şartları kapsamına girmeyen herhangi bir kişisel veri işleme faaliyetinde bulunmamaktadır.

KVKK’da yer alan kişisel veri işleme şartları şunlardır;

İlgili kişinin açık rızasının bulunması,
Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
Veri sahibinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Özel nitelikli kişisel veriler için de Şirket, kural olarak veri işleme amacı gütmemekte olup, faaliyetlerinin gereği olarak işlenmesi gereken özel nitelikli kişisel verileri yalnızca işleme amacıyla bağlantılı, sınırlı ve ölçülü olmak kaydıyla ve Kanun’un 6’ncı maddesinde öngörülen işleme şartlarından birinin bulunması hâlinde, ilgili mevzuata uygun olarak işlemektedir.

KVKK’da özel nitelikli kişisel verilerin işlenebilmesi için sayılan şartlar şunlardır;

İlgili kişinin açık rızasının olması,
Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

6. KİŞİSEL VERİLERİN AKTARIMI

Yurtiçi aktarım: KVKK 8/2-a ve b maddesi gereğince kişisel verilerin KVKK 5/2 ve 6/3 maddesi kapsamında işlenmesi halinde açık rıza alınmaksızın yurtiçinde aktarılması mümkündür. Şirket tarafından ilgili hükümler gözetilerek üçüncü kişilere aktarım yapılmakta olup, söz konusu hükümler kapsamına girilmemesi halinde ise ilgili kişilerin açık rızasına başvurulmaktadır.

Yurtdışına aktarım: Şirket tarafından yurtdışına aktarım yapılmaktadır. Şirket tarafından işlenen veri ve belgelerin Şirket dışında bulunan bilgisayarlarda tutulması, e-mail gönderilmesi ve kayıtlara söz konusu bilgisayarlardan erişilmesi, bu verilerin tutulduğu, aktarıldığı sistemlerin ve/veya e-mail sağlayıcılarının veri tabanlarının yurtdışında konumlandırılmış olması mümkün olabilmektedir. İlaveten özellikle yurtdışı organizasyon, etkinlik düzenlemelerinde, otel konaklamaları, vizelerin alınması, uçak biletlerinin alınması, yurtdışı etkinliğin yürütülmesi, yurt dışı müşteri/tedarikçi ile uluslararası ticarete konu yazışmalar, gümrük müşavirlerine ait bilgiler, sevkiyat belgeleri tasnif edenler, taşıyıcı ve acente işlemlerinde taraflar, uluslararası ödeme, sigorta ve teslim süreçlerinde ilgili taraflar ve planlanmasında kişisel verilerin yurtdışına aktarılması zarureti bulunabilmektedir. Ayrıca yurtdışındaki iştiraklerde görev yapacak personelin bilgileri için de kişisel verilerin yurtdışına aktarılması mümkündür. Bu halde ise KVKK’nın 9’uncu maddesi hükümlerine riayet edilmek suretiyle aktarım yapılmaktadır.

Kişisel veriler bu Politika’da gösterilen amaçlar için ve buradaki vasıtalarla, yetkili kamu kurum ve kuruluşları, yargı mercileri, infaz mercileri, emniyet birimleri ile sözleşmeli ürün ve veya hizmet alınan tedarikçiler, iş ortakları ve hissedarlar ile paylaşılmaktadır. Paylaşım yapılan tarafları gösteren tablo aşağıdadır:

Veri Aktarımı Yapılabilecek Kişiler	Tanım	Amaç
İş Ortağı ve Tedarikçiler	Şirket’in ticari faaliyetlerini yürütürken iş ortaklığı kurduğu taraflar	İş ortaklığının kurulma amaçlarının yerine getirilmesini temin etmek amacıyla sınırlı olarak kişisel verilerin paylaşımı
Hissedarlar	İlgili mevzuat hükümlerine göre Şirket’in ticari faaliyetlerine ilişkin stratejilerinin ve denetim faaliyetlerinin tasarlanması konusunda yetkili olan hissedarlar	Şirket’in ticari faaliyetlerine ilişkin stratejilerin tasarlanması ve denetim amaçlarıyla sınırlı olarak kişisel verilerin paylaşımı
Şirket Yetkilileri	Yönetim kurulu üyeleri ve diğer yetkilendirilen kişiler	Şirket’in ticari faaliyetlerine ilişkin stratejilerin tasarlanması, en üst düzeyde yönetiminin sağlanması ve denetim amaçlarıyla sınırlı olarak kişisel verilerin paylaşımı
Hukuken Yetkili Özel Hukuk Kişileri	Hukuken Şirket’ten bilgi ve belge almaya yetkili özel hukuk kişileri	İlgili özel hukuk kişilerinin hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak verilerin paylaşımı
Hukuken Yetkili Kamu Kurum ve Kuruluşları	Hukuken Şirket’ten bilgi ve belge almaya yetkili kamu kurum ve kuruluşları	İlgili kamu kurum ve kuruluşlarının bilgi talep etme amacıyla sınırlı olarak kişisel veri paylaşımı

Şirket amaçlarını ilgilendirmeyen hiçbir veri aktarımı yapılmamaktadır. Örneğin; rıza doğrultusunda elde etmiş olsa dahi IP adresi bilgisi veya araç plakasına ait bilgiler yukarıda gösterilen kişi ve kurumlar da dahil olmak üzere hiçbir üçüncü kişi ile paylaşılmamaktadır. Bu belirlemenin istisnası, söz konusu veriye ilişkin aktarımın mevzuat ile zorunlu kılınması yahut bir suç soruşturması için mecburi olması veya resmî bir makamca mevzuata dayalı olarak ve gerekçesi gösterilerek talep edilmesidir.

Şirket tarafından kişisel verilerin yurt dışına aktarılması, yalnızca iş süreçlerinin gerektirdiği hâllerde ve Kanun’un 9’uncu maddesi ile ilgili ikincil mevzuata uygun olarak gerçekleştirilir.

Bu çerçevede Şirket; bulut hizmetleri, elektronik posta altyapıları, insan kaynakları sistemleri, seyahat ve konaklama organizasyonları, uluslararası ticari faaliyetler, taşıyıcılar, acenteler, ödeme hizmeti sağlayıcıları ve yurt dışındaki iştirak veya iş ortakları aracılığıyla kişisel verilerin yurt dışına aktarılmasının söz konusu olabileceğini dikkate alır.

Yurt dışına kişisel veri aktarım süreçlerinin yürütülmesine, uygulanacak aktarım yönteminin belirlenmesine, gerekli uygun güvencelerin sağlanmasına ve aktarım süreçlerinin kayıt altına alınmasına ilişkin usul ve esaslar, MEFA Yurt Dışına Kişisel Veri Aktarım Prosedürü kapsamında düzenlenir.

Şirket tarafından gerçekleştirilen yurt dışına kişisel veri aktarım faaliyetleri, Kişisel Veri İşleme Envanteri’nden ayrı olarak tutulan Yurt Dışına Kişisel Veri Aktarım Envanteri’nde de kayıt altına alınır. Söz konusu envanterde; aktarımın amacı, aktarılan veri kategorileri, ilgili kişi grupları, alıcının kimliği ve statüsü, aktarım yapılan ülke, uygulanan aktarım mekanizması ile alınan teknik ve idari tedbirlere ilişkin bilgiler yer alır. Bu envanter, Hukuk Birimi’nin koordinasyonunda ilgili süreç sahibi birimlerle birlikte güncel tutulur ve MEFA Yurt Dışına Kişisel Veri Aktarım Prosedürü hükümleri çerçevesinde yönetilir.

7. İLGİLİ KİŞİNİN HAKLARI

KVKK kapsamında ilgili kişi;

Kişisel Verilerinin işlenip işlenmediğini öğrenme,
Kişisel Verileri işlenmişse buna ilişkin bilgi talep etme,
Kişisel Verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurtiçinde veya yurtdışında Kişisel Verilerin aktarıldığı üçüncü kişileri bilme,
Kişisel Verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,
Kişisel Verilerin Korunması mevzuatında öngörülen şartlar çerçevesinde Kişisel Verilerinin silinmesini veya yok edilmesini isteme,
Kişisel Verilerinin imhası veya düzeltilmesine ilişkin işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme,
Kişisel Verilerinin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde bu zararın giderilmesini talep etme haklarına sahiptir.

İlgili Kişi Haklarını Nasıl Kullanabilir?

Veri sahipleri, yukarıda sayılan haklarını https://mefaendustri.com/tr/ adresinde yayınlanan ya da Şirket merkezinden temin edebilecekleri başvuru formunu doldurarak aşağıdaki yöntemlerle Şirket’e iletebilirler.

Başvuru usulünde Şirket, Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ kapsamında işlemlerini yürütmektedir. Bu kapsamda başvurunun adı geçen tebliğin 5’inci maddesine uygun yapılması gerekmektedir.

Form eksiksiz bir şekilde doldurulup;

Kimlik tespitini sağlayacak bir belge ile birlikte Başvuru Formu’nun ıslak imzalı bir kopyasını Kızılırmak Mahallesi 1450. Sokak No: 5/1 Mekik Plaza Çankaya/Ankara adresine şahsen ibraz etmek suretiyle,
Kimlik tespitini sağlayacak bir belge ile birlikte eksiksiz olarak doldurulmuş Başvuru Formu’nun ıslak imzalı bir kopyasını Kızılırmak Mahallesi 1450. Sokak No: 5/1 Mekik Plaza Çankaya/Ankara adresine noter vasıtasıyla göndermek suretiyle,
Başvuru Formu’nu 5070 sayılı Elektronik İmza Kanunu’nda tanımlı olan “güvenli elektronik imza” ile imzalayarak kvkkiletisim@mefaendustri.com adresine göndermek suretiyle,
Kayıtlı Elektronik Posta (KEP) hesabından mefaendustri@hs03.kep.tr adresine KEP ile göndererek,
Ayrıca başvuru formunu doldurup imzalamak ve ıslak imzalı formu taratarak bilgisayara yüklemek suretiyle kvkkiletisim@mefaendustri.com adresine mail atarak, (bu usulün tercih edilmesi durumunda maile kimlik tespitini sağlayacak bir evrakın da eklenmesi gerekmektedir)
Veya Kurul tarafından belirlenecek diğer yöntemler kullanılarak Şirket’e iletilmelidir.

Başvuruda;

Ad, soyad ve imza,
Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,
Tebligata esas yerleşim yeri veya iş yeri adresi,
Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,
Talep konusu bulunması

zorunludur.

Başvuruda;

Konuya ilişkin bilgi ve belgeler başvuruya eklenir.
Yazılı başvurularda, veri sorumlusuna veya temsilcisine evrakın tebliğ edildiği tarih, başvuru tarihidir.
Diğer yöntemlerle yapılan başvurularda; başvurunun veri sorumlusuna ulaştığı tarih, başvuru tarihidir.

Şirket, ilgili kişilerin yukarıda sıralanan haklarına ilişkin yazılı olarak ya da Kurul tarafından belirlenecek diğer yöntemlerle iletecekleri taleplerini, iletim tarihinden sonra en kısa sürede ve en geç 30 (otuz) günde sonuçlandıracaktır. Kurul tarafından yayınlanan tarifeler çerçevesinde veri sahiplerinin başvuruları ücretlendirilebilecektir. İlgili Tebliğ’in 7’nci maddesi gereğince, ilgili kişinin başvurusuna yazılı olarak cevap verilecekse, on sayfaya kadar ücret alınmaz. On sayfanın üzerindeki her sayfa için 1 (bir) Türk lirası işlem ücreti alınabilir. Başvuruya cevabın CD, flash bellek gibi bir kayıt ortamında verilmesi halinde veri sorumlusu tarafından talep edilebilecek ücret kayıt ortamının maliyetini geçemez.

Veri sahipleri tarafından yapılan başvuruların yanıtlanması amacıyla Şirket tarafından başvurucunun kimliğinin doğrulanması, ilgisiz kişilere bir başka kişinin kişisel verilerinin hukuka aykırı olarak iletilmesinin önüne geçilmesi ile başvurucu talebinin netleştirilmesi amacıyla ek bilgi ve belge talep edilebilecektir. Söz konusu bilgi ve belgelerin paylaşılmaması halinde veri sahibinin başvurusu cevaplanamayabilecektir.

Başvurunun “kimlik sahibi” ve/veya yetkili kişi tarafından yapılmış olduğunun teyit edilmesi ciddi önem taşımaktadır. Keza amaç kişisel verilerin korunması iken, kimlik doğrulamasının yapılamamasından ötürü üçüncü kişilere kişisel verilerin verilmesi ve KVKK’nın 11’inci maddesinde izah edilen haklar dahilinde işlem yapılması ilgili kişinin korunması gereken menfaatini zedeleyecektir.

Şirket, talepleri en kısa sürede ve en geç 30 (otuz) gün içinde sonuçlandırır. Değerlendirme sonucu yazılı olarak veya elektronik ortamda ilgiliye bildirilir ve talebin kabulü halinde KVKK’ya uygun şekilde gereği yapılır.

İlgili kişilerin başvurularının reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde ilgili kişi cevabı öğrendiği tarihten itibaren 30 (otuz) gün içinde Kişisel Verilerin Korunması Kurulu’na KVKK madde 14 uyarınca şikâyette bulunabilir.

8. KİŞİSEL VERİLERİN VE ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNDE KANUNİ İSTİSNALAR VE AÇIK RIZA AÇIKLAMASI

Şirket tarafından ilke olarak ilgili kişilerin “açık rızalarına” başvurma yönteminin benimsenmesi arzu edilmektedir. İşbu Politika’da belirtilen işleme amaç ve şartları dikkate alındığında kanuni istisnalar kapsamına giren veri işleme şartları bakımından ilgili kişilerin rızalarının alınması gereği bulunmamaktadır.

Ancak bu hal hiçbir koşulda Şirket’in istisna hükümlerden yararlanmayacağı ve/veya her durumda açık rıza alma yolunu seçeceği şeklinde yorumlanmamalıdır.

9. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN BİLGİLER

9.1. Kişisel Verilerin Elde Edildiği Kanallar

Şirket kişisel verileri temelde aşağıdaki kanallardan elde etmektedir:

Organizasyon, Etkinlik, Konferans Katılımcı- Davetli
Çalışanların Özlük Dosyası Belgeleri
Kamera Kayıtları,
SMS/E-Posta, Telefon
İnternet Sitesi, Uygulamalar, Çerezler (Cookies) ve Benzer Takip Teknolojileri,
Faks,
Posta, Kargo ya da Kurye Hizmetleri,
Konum Takip Cihazı,
Diğer Fiziki ve Elektronik Ortamlar.

Teknolojik gelişmelere bağlı olarak Şirket tarafından yukarıdaki kişisel veri elde etme kanallarına yeni eklemeler yapılabilecek ya da mevcut kanallardan bazılarının kullanılmasından vazgeçilebilecektir. Böyle durumlarda da şeffaflığı ve hesap verilebilirliği korumak adına Politika’nın güncellenmesi yoluyla kullanılan kanalların doğru bir şekilde ifade edilmesi sağlanacaktır.

9.2. Kişisel Verilerin Sınıflandırılması

Mevzuata uyum sağlanması için kişisel verilerin kategorize edilmesi son derece önemlidir. Mevzuatımız kişisel verileri temel olarak kişisel veriler ve özel nitelikli kişisel veriler olarak iki kategori altında toplamaktadır. Söz konusu kategoriler altında veri tiplerine göre Şirket tarafından kategorize edilmiştir.

Şirket’in kişisel verilere ve özel nitelikli kişisel verilere ilişkin kategoriler aşağıdaki tabloda paylaşılmaktadır:

Kişisel Veri Kategorisi	Açıklama
Kimlik Verileri	Kişilerin temel kimlik verileri bu kategori altındadır (Ad Soyad, Anne-Baba Adı, Anne Kızlık Soyadı, Doğum Tarihi, Doğum Yeri, Medeni Hali, Kimlik Seri No, T.C. Kimlik No).
İletişim Verileri	Kişilerle iletişim amacıyla kullanılabilecek her türlü kişisel veri bu kategori altında değerlendirilecektir (Adres No, e-Posta Adresi, İletişim Adresi, Kayıtlı Elektronik Posta Adresi (KEP), Telefon No).
Lokasyon	Çalışanın bulunduğu yerin konum bilgileri vb.
Özlük	Çalışanın; Bordro Bilgileri, Disiplin Soruşturması, İşe Giriş Belgesi Kayıtları, Özgeçmiş Bilgileri, Performans Değerlendirme Raporları vb.
Hukuki İşlem	Kişilerin hukuki uyuşmazlık durumunda kullanılabilecek her türlü kişisel veri bu kategori altında değerlendirilecektir.
Müşteri İşlemi	Çağrı Merkezi Kayıtları, Fatura, Senet, Çek Bilgileri, Sipariş Bilgisi, Talep Bilgisi vb.
Fiziksel Mekân Güvenliği	Çalışan ve Ziyaretçilerin Giriş Çıkış Kayıt Bilgileri, Kamera Kayıtları vb.
İşlem Güvenliği	IP Adres Bilgileri, İnternet Sitesi Giriş-Çıkış Bilgileri, Şifre ve Parola Bilgileri vb.
Risk Yönetimi	Ticari, Teknik, İdari Risklerin Yönetilmesi İçin İşlenen Bilgiler vb.
Finans	Bilanço Bilgileri, Finansal Performans Bilgileri, Kredi ve Risk Bilgileri vb.
Mesleki Deneyim	Çalışanın veya Çalışan Adayının; Diploma Bilgileri, Gidilen Kurslar, Meslek İçi Eğitim Bilgileri, Sertifikalar, Transkript Bilgileri vb.
Özel Nitelikli Kişisel Veriler	Sağlık, Ceza Mahkumiyeti-Güvenlik Tedbirleri

9.3. İlgili Kişi Sınıflandırması

Şirket’in ilgili kişilere ilişkin sınıflandırması aşağıdaki tabloda gösterilmektedir:

İlgili Kişi Sınıfları	Açıklama
Çalışan Adayı	Şirket’e özgeçmiş göndererek veya başka yöntemlerle iş başvurusu yapan gerçek kişileri ifade eder.
Çalışan	Şirket’in mevcut tüm personelini ifade etmektedir.
Müşteri ve Tedarikçi	Şirket’in sunduğu ürün ve hizmetlerden yararlanan gerçek kişileri ifade eder.
Ziyaretçi	Şirket’te “ziyaret” amacıyla geçici süre bulunan gerçek kişileri ifade eder.
Üçüncü Kişiler	Yukarıda yer verilen veri sahibi kategorileri ile Şirket’in çalışanları hariç gerçek kişileri ifade etmektedir.

10. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Şirket kişisel verilerini işlemekte olduğu veri sahiplerinin kişisel verilerini elektronik ve fiziki ortamlarda gerekli teknik ve idari güvenlik tedbirlerini alarak saklamaktadır.

Şirket’in kişisel verileri saklama süresi ilgili mevzuatta belirlenen süreler dikkate alınarak hesaplanmaktadır.

KVKK’da yer alan kişisel veri işleme şartlarının varlığını ortadan kaldıracak kişisel veri işleme amaçlarının sona ermesi halinde, Şirket tarafından kişisel veriler imha edilecektir. Söz konusu imha işlemleri ilgili mevzuatın hükümlerine uygun olarak 6 (altı) aylık periyotlarla re’sen gerçekleştirilmekte veya veri sahiplerinden gelen taleplerin yerinde bulunması halinde neticeye bağlanmaktadır. Mevzuat gereğince, ilgili kişinin silme ve/veya yok etme taleplerini Şirket mevzuatta başkaca bir süre öngörülmediği takdirde en geç 30 (otuz) gün içinde yerine getirerek ilgili kişiyi bilgilendirecektir.

Kişisel Verilerin imhası ile ilgili tutanaklar ise Şirket tarafından en az 3 (üç) yıl süre ile saklanacaktır. Özel mevzuatlarda öngörülen süreler saklı olup, KVKK ve ilgili mevzuatta yapılan değişiklikler sebebiyle buradaki sürelerin değişmesi durumunda söz konusu güncel süreler uygulanacaktır.

Şirket tarafından silme, anonimleştirme ya da yok etme imha teknikleri kullanılmaktadır.

Kişisel verilerin saklanması, silinmesi, yok edilmesi ve anonim hâle getirilmesine ilişkin usul ve esaslar Şirket Kişisel Veri Saklama ve İmha Politikası kapsamında yürütülür.

Kişisel verilerin saklanması ve imhasına ilişkin süreçler, Şirket Kişisel Veri Saklama ve İmha Politikası’nda belirlenen görev ve sorumluluk dağılımı çerçevesinde yürütülür. KVK Komisyonu, saklama ve imha süreçlerinin genel gözetimini sağlar ve gerekli hâllerde ilgili kararları alır.

Kişisel verilerin saklanma süreleri şu şekildedir:

Veri Kategorisi	Veri Saklama Süresi
Kimlik	10 YIL
İletişim	10 YIL
Lokasyon	3 AY
Özlük	10 YIL
Hukuki İşlem	10 YIL
Müşteri İşlem	5 YIL
Fiziksel Mekân Güvenliği	6 AY
İşlem Güvenliği	2 YIL
Risk Yönetimi	2 YIL
Finans	10 YIL
Mesleki Deneyim	10 YIL
Pazarlama	5 YIL
Görsel ve İşitsel Kayıtlar	2 YIL
Sağlık Bilgileri	15 YIL
Ceza Mahkûmiyeti ve Güvenlik Tedbirleri	5 YIL

11. AYDINLATMA YÜKÜMLÜLÜĞÜ

KVKK’nın 10’uncu maddesi uyarınca Şirket; kişisel verilerin elde edilmesi sırasında aşağıdaki bilgileri ilgili veri sahiplerine sunarak KVKK’da bahsedilen aydınlatma yükümlülüğünü yerine getirecektir:

Veri sorumlusunun ve varsa temsilcisinin kimliği,
Kişisel verilerin hangi amaçla işleneceği,
İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
Kişisel veri toplamanın yöntemi ve hukuki sebebi,
11’inci maddede sayılan diğer hakları.

Şirket faaliyetlerini yürütürken aydınlatma yükümlülüğünü yerine getirmek amacıyla, uygun aydınlatma metinleri hazırlamakta ve bunları ilgili kişilere sunmaktadır.

12. KİŞİSEL VERİLERİN GÜVENLİĞİNE İLİŞKİN TEDBİRLER

Şirket, işlemekte olduğu kişisel verilerin gizliliğinin ve güvenliğinin sağlanması konusunda, köklü bir Şirket olmanın da verdiği sorumluluk bilinciyle, gereken her türlü makul dikkat ve özeni göstermektedir. Şirket, ilgili mevzuatının gereklilikleri yanında KVKK’nın 12’nci maddesi çerçevesinde veri gizliliğinin ve güvenliğinin sağlanması için de gereken teknik ve idari tedbirleri makul düzeyde almaktadır. Söz konusu idari ve teknik güvenlik tedbirleriyle birlikte kişisel verilerin hukuka aykırı işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ile kişisel verilerin uygun güvenlik düzeyinde muhafaza edilmesi hedeflenmektedir.

Şirket, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, belirtilen tedbirlerin ilgili veri işleyenler tarafından da alınması için gerekli tedbirleri alacaktır.

Kişisel verilerin üçüncü kişiler tarafından hukuka aykırı olarak ele geçirilmesi halinde, ilgili mevzuat hükümleri uyarınca veri sahiplerine, Kurul’a ve diğer ilgili kamu kurum ve kuruluşlarına bildirimde bulunacaktır.

Kişisel verilerin güvenliğine ilişkin tedbirler alınırken Kurul tarafından yayınlanmış olan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) ve Kurul kararları göz önünde bulundurulmaktadır.

Şirket tarafından kullanılan bulut bilişim hizmetleri bakımından, kişisel verilerin işlenmesine ilişkin riskler değerlendirilir; hizmet sağlayıcılarla veri işleme ilişkisini düzenleyen gerekli sözleşmeler akdedilir ve kişisel verilerin güvenliğini sağlamak amacıyla uygun teknik ve idari tedbirler uygulanır.

İdari Tedbirler

Şirket bünyesinde bilgi güvenliği yönetim sisteminin kurulması ve işletilmesi,
Şirket personelleri ve ilgili taraflar ile taahhütnameler ve gizlilik sözleşmelerinin imzalanması,
İş süreçleri üzerinde risk analizlerinin gerçekleştirilmesi,
Kişisel veri envanterlerinin oluşturulması,
Bilgi güvenliği politika ve prosedürlerinin işletilmesi,
Bilgi güvenliği ve kişisel veri işleme faaliyetleri hakkında eğitimlerin düzenlenmesi ve değerlendirilmesi,
Çalışan bilgisayar vb. araç gereçlerine yetkisiz erişimlerin önüne geçmek adına söz konusu araç ve gereçleri yalnızca yetkili kişilerin kullanması,
Şirket içi ya da bağımsız denetimler ile faaliyetlerin gözden geçirilmesi.

Teknik Tedbirler

Sızma testleri ile Şirket bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
Sistemler üzerinde yazılımsal değişiklik ve/veya güncelleme yapılacağı zaman denemeler test ortamında yapılmakta, varsa güvenlik açıkları tespit edilerek gerekli tedbirler alınmakta ve yapılacak değişikliğe son hali bu işlemlerin ardından verilmektedir.
Şirket’in bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlerle ilgili teknik kontroller yapılmaktadır.
Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
Şirket, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kurula bildirmek için Şirket tarafından buna uygun hazırlık çalışmaları yapılmaktadır.
Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar kriptografik yöntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar güvenli ortamlarda tutulmakta, tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testlerinin düzenli olarak yapılması/yaptırılması ve test sonuçlarının kayıt altına alınması sağlanmaktadır.
Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
Özel nitelikli kişisel veriler e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır.
Kâğıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

13. ORTAK ALANDA SAĞLANAN İNTERNET HİZMETİNE İLİŞKİN KAYITLARIN SAKLANMASI

Şirket tarafından güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla; Şirket tarafından Şirket yerleşkesinde kaldığı süre boyunca talep eden ziyaretçilere internet erişimi sağlanabilmektedir. Bu erişimin sağlanabilmesi adına ziyaretçilerden Ad- Soyad ve T.C. Kimlik numarası bilgileri talep edilmektedir. Ayrıca internet erişimlerine ilişkin log kayıtları 5651 sayılı Kanun ve bu Kanun’a göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi veya Şirket içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğü yerine getirmek amacıyla işlenmektedir.

Bahsi geçen kayıtlara erişimi olan Şirket çalışanları bu kayıtlara yalnızca yetkili kamu kurum ve kuruluşlardan gelen talep veya denetim süreçlerinde kullanmak üzere erişmekte ve hukuken yetkili olan kişilere aktarmaktadır. İlgili işleme faaliyeti öncesinde aydınlatma yükümlülüğü yerine getirilmektedir.

14. ÇEREZLER ÜZERİNDEN TOPLANAN KİŞİSEL VERİLERİN İŞLENMESİ

Şirket; çerezleri, internet sayfaları veya mobil uygulamalarının işleyiş biçimini ve kullanımını geliştirmeye yönelik olarak kullanmakta ve dijital platformlarında ilgili kişinin geçirdiği vakti daha verimli ve keyifli hale getirmeye çalışmaktadır.

Ayrıca Şirket, internet siteleri ve mobil uygulamalarında ilgili kişinin yaptığı tercihleri hatırlamaya yönelik bazı çerezlerden yararlanmakta ve bu sayede ilgili kişiye özel geliştirilmiş ve tercihlerine yönelik kişiselleştirilmiş bir deneyim sağlamaktadır. Dijital platformlarda yer alan çerezler üzerinden kişisel veriler işlenmekte ve aktarılmaktadır.

Şirket tarafından KVKK madde 12’ye uygun olarak, çerezler üzerinden toplanan kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır.

Ayrıntılı bilgi için https://mefaendustri.com/tr/cerez-bilgilendirme-metni-ve-gizlilik/ bağlantısını kullanarak çerez politikasına erişilebilir.

15. ÇALIŞANLAR VE VERİ İŞLEYENLERİN KVKK KONUSUNDA EĞİTİLMESİ VE DENETİMİ

Şirket kişisel verilerin korunması hukuku kapsamında mevzuatın öngördüğü yükümlülükleri ifa edebilmek ve ilgili kişi haklarını koruyabilmek için çalışanlarına gerekli farkındalık eğitimlerini vermektedir. Şirket bünyesine yeni katılan çalışanların da bu eğitimleri alması temin edilmektedir. Hem iç hem dış eğitim ve denetim süreçlerinde profesyonel destek alınmaktadır.

Şirket ayrıca veri işleyenlerini dikkatli seçmekte, veri işleyenlerin KVKK uyumlarını yerine getirmesini iş süreçlerinin bir şartı olarak sunmakta ve belirli aralıklarla veri işleyenlerin KVKK uyum durumunu sorgulamaktadır. Bu kapsamda Şirket, veri işleyenlerle gerekli sözleşme ve taahhütnameleri imzalayarak uygulanmasını takip etmekte, şartları sağlamayan veri işleyenlerle akdi ilişkisini sonlandırmaktadır.

16. VERİ SORUMLUSU KİMLİĞİ

Bu Politika’nın kapsamına giren her türlü kişisel veri işleme faaliyeti için veri sorumlusunun kimliğine ilişkin bilgiler aşağıda verilmektedir.

Veri Sorumlusu	MEFA Endüstri Anonim Şirketi
Adres	Kızılırmak Mahallesi 1450. Sokak No: 5/1 Mekik Plaza Çankaya/Ankara
Telefon	+90 312 267 54 00
KEP	mefaendustri@hs03.kep.tr
İnternet Sitesi	https://mefaendustri.com/tr/

17. YÜRÜRLÜK

İşbu Politika, Yönetim Kurulu tarafından onaylandığı ve yayımlandığı tarihte yürürlüğe girer.

Bu Politika’nın revizyonu, Hukuk Birimi’nin önerisi üzerine Genel Müdür veya Yönetim Kurulu kararı ile gerçekleştirilir.

Politika’nın yürürlükten kaldırılmasına karar verilmesi hâlinde, önceki sürümlere ait ıslak imzalı nüshalar iptal şerhi düşülmek veya iptal kaşesi uygulanmak suretiyle geçersiz hâle getirilir. İptal edilen nüshalar, doküman geçmişinin izlenebilirliğinin sağlanması amacıyla Şirket tarafından en az 5 (beş) yıl süreyle muhafaza edilir.

Bu Politika; yılda en az bir kez ve ayrıca başta 6698 sayılı Kişisel Verilerin Korunması Kanunu ile ilgili diğer mevzuatta, Kişisel Verileri Koruma Kurulu kararlarında, Şirket’in kişisel veri işleme faaliyetlerinde veya organizasyon yapısında önemli değişiklik meydana gelmesi hâlinde Hukuk Birimi tarafından gözden geçirilir.

Bu Politika’nın güncel versiyonu Şirket tarafından kamuoyuna açık olarak yayımlanır ve https://mefaendustri.com/tr/ internet adresi üzerinden erişime sunulur.

Bu Politika hükümleri ile yürürlükteki mevzuat hükümleri arasında çelişki bulunması hâlinde ilgili mevzuat hükümleri uygulanır.

Son Güncelleme Tarihi: