İyilik İletişim Yazılım ve Ticaret Limited Şirketi Kişisel Verilerin Toplanma, İşlenme, Saklanma ve İmhası Politika Belgesi

i) Kişisel Veriler

GOOD4TRUST TÜRETİCİ ve ÜRETİCİ’lerden EK 2a’de yer alan kişisel verilerini toplayabilir.

ii) Özel Nitelikli Kişisel Veriler

GOOD4TRUST TÜRETİCİ’lerden EK 2b’de yer alan özel nitelikli kişisel verilerini toplayabilir. Bunun dışındaki hiçbir Özel Nitelikli Kişisel Veri talep etmez.

i) Doğrudan TÜRETİCİ ve ÜRETİCİ’lerin verdiği veriler

GOOD4TRUST EK 2a ve EK 2b’de sayılan kişisel verilerden lokasyon ve gezinim bilgisi dışındaki verileri TÜRETİCİ veya ÜRETİCİ tarafından kayıt esnasında açık rızaları ile doğrudan sistemde belirlenen alanlara girilir.

ii) İşlemler Sırasında Toplanan Veriler

GOOD4TRUST satış, iade, abonelik tesisi, destek, ödeme, fatura düzenleme vb işlemleri yürütmek için TÜRETİCİ ve ÜRETİCİ’ler tarafından daha önce verilmemiş olabilecek bilgiler de açık rızaları ile doğrudan sistemde belirlenen alanlara girilir.

iii) Çerezler ile Toplanan Veriler

GOOD4TRUST ayrıca TÜRETİCİ ve ÜRETİCİ’lerinin SİTE üzerindeki gezinim bilgilerini çerezler aracılığı ile dolaylı olarak toplar. Bu gezinim bilgileri TÜRETİCİ ve ÜRETİCİ’nin kullandığı cihaz, ziyaret ayrıntıları ve SİTE’yi kullanması hakkında bilgiler (bunlara IP adresi, coğrafi konum, kullanılan tarayıcı tipi ve sürümü, işletim sistemi, SİTE’ye ulaşılan kaynak sayfa, ziyaret uzunluğu, ziyaret edilen sayfalar, ziyaret sırasındaki gezinme sırası dâhildir) kapsar.

Bu toplama işleminde kullanılan çerezler ile ilgili ayrıntı için Gizlilik Belgesi’ne bakabilirsiniz.

GOOD4TRUST topladığı kişisel verileri Gizlilik Belgesi’nde belirtilen amaçlar doğrultusunda kullanır. Bunu yaparken aşağıdaki ilkeler doğrultusunda hareket eder.

i) Hukuka ve dürüstlük kurallarına uygun olma,

ii) Doğru ve gerektiğinde güncel olma,

iii) Belirli, açık ve meşru amaçlar için işlenme,

iv) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,

v) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

GOOD4TRUST bu politika belgesi kapsamındaki tüm işlem ve eylemlerde Veri Sorumlusu sıfatı ile hareket eder. Bu sorumluluk ile ilgili temsilci bilgileri EK 4’te gösterilmiştir.

GOOD4TRUST sayısal ortamda sunucularda sakladığı verilerin güvenliğini sağlamak için KANUN, ilgili diğer mevzuat ve uluslararası standartlar çerçevesinde gerekli makul tüm tedbirleri alır. Bu konudaki ayrıntılar Gizlilik Belgesi’nde yer almaktadır.

Kişisel Veriler ancak KANUN’un izin verdiği çerçevede üçüncü şahıslarla paylaşılır. Bunlarda ilki ve temel şart açık rızadır. Kişisel Verilerin yurtdışındaki sunucularda barındırılması da veri aktarımı olduğundan bu konuyla ilgili açık rıza aranır. Ayrıntılar için Gizlilik Belgesi’nde yer almaktadır.

Açık rızanın olmaması halinde ancak aşağıdaki hallerde aktarım ve paylaşım yapılabilir.

i) Kanunlarda açıkça öngörülmesi,

ii) Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

iii) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması (TÜRETİCİ’nin verdiği siparişlerde iletişim bilgilerinin ÜRETİCİ’ye aktarılması, ödeme yapılabilmesi için ÜRETİCİ’nin banka bilgilerinin gerekmesi gibi),

iv) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

v) İlgili kişinin kendisi tarafından alenileştirilmiş olması,

vi) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

vii) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kişisel Veriler ve Özel Nitelikli Kişisel Veriler EK1’de belirtilen koşulların herhangi birisinin gerçekleşmesi halinde KANUN’da gösterilen süreler içinde imha edilir. Bu imha işlemi kişisel verilerin paylaşıldığı ve aktarıldığı durumlarda paylaşılan ve aktarılan kişi ve kuruluşlar tarafından da uygulanması için Veri Sorumlusu tarafından gerekli hukuki ve idari tedbirler alınır.

Silinme ve anonimleştirme işlemleri süreleri EK1’de gösterildiği gibidir. Burada yer alan imha koşullarının oluşup oluşmadığını saptamak üzere Veri Sorumlusu tarafından 6 ayda bir veri taraması yapılır. Ancak, ilk yapılacak veri taraması ivedilikle yerine getirilir ve gerekli kişisel veriler bu politika belgesine uygun olarak imha edilir.

İmha etme işleminde silinme ve anonimleştirme yöntemleri arasından Veri Sorumlusu tarafından uygun olan seçilir. Bu işlemler Veri Sorumlusu tarafından kayıt altına alınır. Bu kayıtlar Veri Sorumlusu tarafından 3 yıl saklanır.

i) Silinme İşlemleri

Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemi olan kişisel verilerin silinmesi işlemi sayısal ortamda tutulmakta olan verilerin veri tabanı komutları ile ilişkilendirilmiş tüm tablolardan, veri tabanlarından ve alınmış veri tabanı yedeklerinden kalıcı olarak silinmesi şeklinde uygulanır. Veri Sorumlusu bu işlemin amacına uygun şekilde yapılması için gerekli tedbirleri alır.

ii) Anonimleştirme İşlemleri

Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi olan kişisel verilerin anonim hale getirilmesi işlemi o kişiyi açıkça niteleyen tüm veri alanlarının silinerek, kişiye ait kayıtların sadece bir sıra numarası ile betimlenerek artık bu verilerin ilgili kişi ile ilişkilendirilemeyecek hale getirilmesi şeklinde uygulanır. Bu uygulamanın ayrıntıları EK 3’de yer almaktadır. Bir kişi ile eşleştirmede kullanılabilecek veri alanları Kritik Alan olarak saptanmış ve bunların anonimleştirilme yöntemleri belirlenmiştir. Veri Sorumlusu bu işlemin amacına uygun şekilde yapılması için gerekli tedbirleri alır.

i) Kişisel veri işlenip işlenmediğini öğrenme,

ii) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

iii) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

iv) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

v) Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini ve bu talebin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

vi) KANUN’un 7 nci maddesinde ¹ öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini ve bu talebin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

vii) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

viii) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme hakkı vardır.

i) Veri sorumlusunun ve varsa temsilcisinin kimliği,

ii) Kişisel verilerin hangi amaçla işleneceği,

iii) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

iv) Kişisel veri toplamanın yöntemi ve hukuki sebebi,

v) 6a maddesinde de sayılan diğer hakları hakkında bilgi verme yükümlülüğü vardır.

i) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,

ii) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, görevleri gereği kurum çalışanlarının edindiği bu tür bilgileri başkaları ile paylaşmalarını önlemek için çalışan ile ilişkinin kesilmesinden sonrasını da kapsayacak şekilde gerekli tedbirleri almak,

iii) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak ve denetimleri yapmak,

iv) Kişisel verilere hukuk dışı yollardan erişildiğinin saptanması halinde durumu ilgili kişi ve Kişisel Verileri Koruma Kurulu’na bildirmekle yükümlüdür.

¹ MADDE 7- (1) Bu Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. (2) Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklıdır. (3) Kişisel verilerin silinmesine, yok edilmesine veya anonim hâle getirilmesine ilişkin usul ve esaslar yönetmelikle düzenlenir.

² MADDE 5- (1) Kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez. (2) Aşağıdaki şartlardan birinin varlığı hâlinde, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi mümkündür: a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

MADDE 6- (1) Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. (2) Özel nitelikli kişisel verilerin, ilgilinin açık rızası olmaksızın işlenmesi yasaktır. (3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir. (4) Özel nitelikli kişisel verilerin işlenmesinde, ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması şarttır.

³ MADDE 11- (1) Herkes, veri sorumlusuna başvurarak kendisiyle ilgili; a) Kişisel veri işlenip işlenmediğini öğrenme, b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme, c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme, d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme, f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme, ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme, haklarına sahiptir.