MOON DENIZCILIK ULUSLARASI TAS. VE TIC. LTD. STİ.
KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
BÖLÜM 1 – POLİTİKANIN AMACI
Kişisel Verilerin Korunması hakkı, Türkiye Cumhuriyeti Anayasası MADDE 20’ de
aşağıdaki şekilde yer almaktadır.
“Herkes, özel hayatına ve aile hayatına saygı gösterilmesini isteme hakkına sahiptir.
Özel hayatın ve aile hayatının gizliliğine dokunulamaz. (Ek fıkra: 12/9/2010-5982/2
md.)
Herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu hak;
kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme,
bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda
kullanılıp kullanılmadığını öğrenmeyi de kapsar.
Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla
işlenebilir.
Kişisel verilerin korunmasına ilişkin esas ve usuller kanunla düzenlenir.”
Bireyin temel hak ve özgürlüklerini kişisel verilerin işlenmesi sırasında korumayı
amaçlayan, 6698 sayılı Kişisel Verilerin Korunması Kanunu, önceki metinler üzerinde
yapılan çeşitli değişikliklerle 18 Ocak 2016 tarihinde TBMM Başkanlığı’na sevk
edilmiş ve 24 Mart 2016 tarihinde TBMM Genel Kurulu tarafından kabul edilerek
kanunlaşmış, 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete’de yayımlanarak
yürürlüğe girmiştir.
6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 12.nci maddesinin (1)
numaralı fıkrasında, Veri Sorumlusunun;
• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
• Kişisel verilerin muhafazasını sağlamak;
amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve
idari tedbirleri almak zorunda olduğu,
(5) numaralı fıkrasında ise, işlenen kişisel verilerin kanuni olmayan yollarla başkaları
tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede
ilgilisine ve Kişisel Verileri Koruma Kuruluna (Kurul) bildireceği, Kurulun, gerekmesi
hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle
ilan edebileceği hükme bağlanmıştır.
Şirket, bu politika ile bir anayasal hak olan kişisel verilerinin korunmasını, şirket
politikası haline getirmekte ve hukuki ve sosyal sorumluluğu kapsamında Kişisel Veri
Koruma Kanunu ve mevzuat ve düzenlemelerine uymayı taahhüt etmektedir.
Kişisel Verilerinin Korunması Politikası ile Şirket bünyesinde kişisel verilerin hukuka
uygun olarak işlenmesi ve korunması konusunda farkındalığın oluşması ve tüm
süreçlerde mevzuata uyumu temin etmek için sürdürülebilir ve denetlenebilir sistemin
kurulması amaçlanmaktadır
Politika da şirket tarafından gerçekleştirilen kişisel veri işleme faaliyetlerinin
yürütülmesinde benimsenen ilkeler ve veri işleme faaliyetlerinin, 6698 sayılı Kişisel
Verilerin Korunması Kanunu’nda (“Kanun”) yer alan düzenlemelere uyumu
bakımından temel prensipler açıklanmakta ve böylelikle Şirket kişisel veri sahiplerini
bilgilendirerek gerekli şeffaflığı sağlamaktadır.
BÖLÜM 2- TANIMLAR
Kişisel Verileri Koruma Kanunu ve Şirketin Kişisel Verilerin Korunması ve İşlenmesi
Politikasında yer alan bazı tanımların açıklamalarına aşağıda yer verilmiştir.
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya
da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla
elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden
düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi,
sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde
gerçekleştirilen her türlü işlem.
Kişisel Veri Sahibi: Kişisel verisi işlenen gerçek kişi müşteriler, çalışanlar, çalışan
adayları, tedarikçiler ve çalışanları, ortaklar, Şirketle yapılmış sözleşme
kapsamındaki diğer üçüncü şahıs gerçek kişiler.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Örneğin; adı-soyadı, T.C. Kimlik No, e-posta, adres, iş adresi, doğum tarihi, doğum
yeri, kredi kartı numarası, ehliyet numarası, banka hesap numarası, pasaport
numarası, ruhsat numarası, diploma vb.
Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep
veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel
hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik
veriler özel nitelikli verilerdir.
Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen,
verilerin sistematik bir şekilde işlendiği ve saklandığı veri kayıt sistemini kuran ve
yöneten kişi veri sorumlusudur.
Veri İşleyen: Veri sorumlusunun verdiği yetki kapsamında onun adına veri işleyen
gerçek veya tüzel kişi.
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle
açıklanan rıza.
Kişisel Verilerin Silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilmez
ve tekrar kullanılamaz hale getirilmesi işlemidir.
Kişisel Verilerin Yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde
erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir
Anonim Hale Getirme: Kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette
kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesidir.
KVKK: 7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazete de yayımlanan Kişisel
Verilerin Korunması Kanunu
KVK Kurulu: Kişisel Verileri Koruma Kurulu
Kişisel Veri Saklama ve İmha Politikası: Kişisel Verilerin Silinmesi, Yok Edilmesi,
Anonim Hale Getirilmesi Hakkında Yönetmelik gereğince, Şirket tarafından kişisel
verilerin işlendikleri amaç için gerekli olan azami süreyi belirleme işlemi ile silme, yok
etme ve anonim hale getirme işlemi için dayanak yapılmış olan Şirket “Kişisel Veri
Saklama ve İmha Politikası”.
Veri Sorumluları Sicili: KVK Kurulu gözetiminde, Kişisel Verileri Koruma Kurumu
Başkanlığı gözetiminde tutulan ve kamuya açık olan Veri Sorumluları Sicili.
Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ: 10 Mart 2018 tarihli ve
30356 sayılı Resmî Gazete ’de yayımlanarak yürürlüğe giren Veri Sorumlusuna
Başvuru Usul ve Esasları Hakkında Tebliğ.
BÖLÜM 3 – KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN GENEL İLKELER
Kişisel Verilerin Korunması Kanunu ‘Genel İlkelerde’( KANUN MADDE 4)
(1) Kişisel veriler, ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara
uygun olarak işlenebilir.
(2) Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
1. a) Hukuka ve dürüstlük kurallarına uygun olma.
2. b) Doğru ve gerektiğinde güncel olma.
3. c) Belirli, açık ve meşru amaçlar için işlenme.
ç) İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma.
1. d) İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar
muhafaza
edilme” , hükümleri yer almaktadır.
Şirketimiz uygulamalarında; Kişisel verilerin işlenme amaçları açıkça ortaya
konulmakta, amaçlara veri envanterinde ve aydınlatma metinlerin de yer
verilmektedir. Veriler iş faaliyetleriyle bağlantılı amaçlar kapsamında sınırlı olarak
işlenmektedir.
Kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemler
alınmaktadır.
Şirketimiz kişisel verileri işlendikleri amaç için gerekli olan süre ve faaliyetle ilgili yasal
mevzuatta öngörülen süre kadar muhafaza etmektedir.
Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre
kadar saklanmaktadır
BÖLÜM 4- İŞLENEN KİŞİSEL VERİLER VE İŞLENME AMAÇLARI
İlgili kişilere iletilen Aydınlatma Metinlerinde, işlenen kişisel verilerinize, işleme amacı
ve hukuki sebepleriyle eşleştirilerek her veri kategorisi bazında ayrı ayrı yer
verilmektedir.
İlgili tüm kişilere bilgi verilmesi amacıyla şirket müşterilerine, çalışan ve çalışan
adaylarına, danışman, hizmet sağlayıcı ve tedarikçilere, çözüm ortaklarına,
ziyaretçilere yönelik ayrı aydınlatma metinleri hazırlanmış ve uygulamaya alınmıştır.
Aydınlatma metinlerinde yer alan Veri Kategori başlıklarına aşağıda yer verilmiştir.
Kategorilerde işlenen bilgiler iş süreçlerine, sektörlere göre değişiklik göstermekte ve
elde edilen değişik bilgiler kategori alanlarına işlenmektedir.
İşlenen Veri kategorileri:
Kimlik Bilgisi; Kişinin kimliğine dair bilgiler; Adı– Soyadı, T.C. kimlik numarası, TC
Kimlik bilgileri, vergi numarası, SGK numarası, imza bilgisi, taşıt plakası, ehliyet,
nüfus cüzdanı ve pasaport gibi belgelerin bilgileri.
İletişim bilgileri; Telefon numarası, açık adres bilgisi, e-posta adresi, şirket içi
iletişim bilgileri (dâhili telefon numarası, kurumsal e-posta adresi) faks bilgileri, kayıtlı
elektronik posta adresi (KEP),
Aile Bireyleri ve Yakını Bilgisi; Kişisel veri sahibinin aile bireyleri (eş, anne, baba,
çocuk) ve yakınları hakkındaki kişisel veriler.
Hukuki İşlem Bilgisi; Şirketin hukuki alacak ve haklarının tespiti, takibi ve
borçlarının ifası ile kanuni yükümlülükler kapsamında işlenen kişisel veriler.
Özel Nitelikli Kişisel Veri; KVK Kanunu’nun 6. maddesinde belirtilen veriler (kan
grubu da dahil çalışanlara ait sağlık verileri, biyometrik veriler, engellilik durumu,
kullanılan cihaz ve protez bilgileri).
Finansal Bilgiler; IBAN, kart bilgisi, banka adı, finansal profil, mail order formu, kredi
notu, sözleşme bilgileri, vergi dairesi no.
Çalışan Özlük Bilgileri; Özgeçmişi (cv), sosyal güvenlik no, sicil no, pozisyon adı,
departmanı ve birimi, unvanı, işe giriş çıkış tarihleri, sigorta giriş/emeklilik tahsis no,
savunma ve ihtar belgeleri/tutanaklar, aile yakını verileri; evlilik cüzdanı; eş ve
çocuklarının adı, soyadı, AGİ belgesi, performans değerlendirme notları, acil
durumda aranacak yakınlarının adı, soyadı ve telefon numarası,
Ceza Mahkumiyetine İlişkin Bilgiler; Güvenlik tedbirlerine ilişkin bilgiler, Sabıka
kaydı,
Hukuki belgeler; Adli makamlarla yazışmalardaki bilgiler, dava dosyasındaki bilgiler.
Mesleki deneyim bilgisi; Diploma bilgileri, kurs bilgileri, meslek içi eğitim bilgileri,
sertifikalar, tecrübe belgesi, lisans belgesi.
Finansal Veriler; Banka hesap ve İban no, vergi numarası, banka adı, şubesi
Görsel Veriler; Kamera kayıtlarından elde edilen görüntüler.
Kişisel Verilerin Korunması mevzuatına uyumlu olarak elde edilen ve işlenen kişisel
verileriniz, Şirketimize ait fiziki arşivler ve/veya bilişim sistemlerine nakledilerek, hem
dijital ortamda hem de fiziki ortamda muhafaza edilecek, güvenlik tedbirleri alınarak
kontrolü şirketimizde olmak üzere şirket dışındaki teknolojik ortamlarda
yedeklenebilecektir.
BÖLÜM 5- KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ
Kanunun veri sorumlularına ilişkin getirdiği en önemli yükümlülüklerden biri de
Aydınlatma Yükümlülüğüdür.
Bu yükümlülük, ilgili kişilerin kişisel verileri üzerinde kontrol ve denetim yetkisinin
sahip olduğunun en önemli göstergesidir.
10.maddesi ile getirilen aydınlatma yükümlülüğü, veri sorumluları için bir
yükümlülük olmakla birlikte aynı zamanda kişisel verisi işlenen gerçek kişiler
için de bir haktır.
Şirketimiz, Kişisel Verilerin Korunması Kanunu 10. maddesine uygun olarak, kişisel
verilerin elde edilmesi sırasında kişisel veri sahiplerini aydınlatmaktadır.
Bu kapsamda, veri sorumlusunun kimliği, varsa temsilcisinin kimliği, kişisel verilerin
hangi amaçla işleneceği, işlenen kişisel verilerin kimlere ve hangi amaçla
aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile kişisel veri
sahibinin sahip olduğu haklar konusunda ilgili kişilere bilgilendirme yapmaktadır.
Kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti
başlamadan ortaya konulmaktadır.
Tebliğin 5. maddesi birinci fıkrasına göre; aydınlatma yükümlülüğü yerine getirilirken
işleme amacının belirli, açık ve meşru olması gerekir
Bilgilendirmede; genel nitelikte, muğlak ve gündeme gelmesi muhtemel başka
amaçlar için işlenebileceği kanaatini uyandıran ifadelerden kaçınılmaktadır.
Şirket, kişisel verileri amacın gerektirdiği faaliyetler dışında kullanmamaktadır.
Amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin
işlenmesinden kaçınılmaktadır.
Veri kategorisi bazında amaçlar belirlenmekte ve her kategori için Kanunun 5. Ve 6.
maddelerinde yer alan hukuki şartlardan hangisine dayalı olarak veri işlendiğine ve
verilerin kimlere aktarılabileceğine ve aktarma amaçlarına, aydınlatma metninde yer
verilmektedir.
Şirket, Kişisel Verilerin Korunması Kanunu 11. maddesine uygun olarak, Kişisel veri
sahibinin bilgi talep etmesi durumunda, ilgili kişiye gerekli bilgilendirmeleri süresi
içinde yapmaktadır.
Başvuru cevaplanmasının zamanında ve hukuka uygun yapılması için ‘Başvuru
Cevaplama Prosedürü’ düzenlenerek şirket içinde sorumlu kişiler belirlenmiş ve
görevlendirilmiştir.
BÖLÜM 6- KİŞİSEL VERİLERİN TOPLANMA YÖNTEMİ VE HUKUKİ SEBEBİ
Kişisel veriler, faaliyet konularımıza uygun düşecek şekilde; sözlü, yazılı, kağıt ya da
elektronik ortamda işlenen bilgiler, çağrı merkezi ve kamera kayıtlarıyla elde edilen
görsel ve işitsel veriler, web sitesi başvuruları, e-posta ve KEP yoluyla iletilen bilgiler,
paylaşılan finansal veriler, sözleşme bilgileri, dilekçeler, hukuki tebligatlar, yapılan
yazışmalar yoluyla ve tarafınızdan alenileştirilen bilgiler vasıtasıyla fiziksel ve
elektronik ortamlardan toplanmaktadır.
Kişisel verileriniz,
Kişisel Verilerin Korunması Kanunu Madde. 5/2-a: ‘’Kanunlarda öngörülmesi’’,
Kişisel Verilerin Korunması Kanunu Madde. 5/2-c: “ Bir sözleşmenin kurulması veya
ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel
verilerin işlenmesinin gerekli olması”,
Kişisel Verilerin Korunması Kanunu Madde.5/2-ç: “Veri sorumlusunun hukuki
yükümlülüğünü yerine getirebilmesi için zorunlu olması”,
Kişisel Verilerin Korunması Kanunu Madde. 5/2-d: “İlgili kişinin kendisi tarafından
alenileştirilmiş olması”
Kişisel Verilerin Korunması Kanunu Madde. 5/2-e: “Bir hakkın tesisi, kullanılması
veya korunması için veri işlemenin zorunlu olması”
Kişisel Verilerin Korunması Kanunu Madde. 5/2-f: “İlgili kişinin temel hak ve
özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için
zorunlu olması”,
hukuki sebeplerinden en az birine ve gerektiğinde açık rıza hükmüne dayanarak
toplanmakta ve işlenmektedir.
Şirketimiz geçerli bir amaç ve geçerli bir hukuki sebebe veya açık rıza uygulamasına
dayanmadan veri toplamamaktadır
BÖLÜM 7– ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI
Kişisel Verilerin Korunması Kanunu 6.maddesinde, hukuka aykırı olarak işlendiğinde
kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri
“özel nitelikli” olarak belirlenmiş olup bu verilerin işlenmesinde özel dikkat
gösterilmesi gerekmektedir.
Bu veriler; ‘ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer
inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat,
ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik’
verilerdir.
Özel Nitelikli veri kapsamında, şirket bünyesinde sağlık verileri ve bazı durumlarda
adli sicil belgesi kayıtları açık rıza alınarak tutulmaktadır.
Bu özel nitelikli kişisel verilere erişebilen personele gizlilik eğitimleri verilmekte, erişim
yetkisi kapsam ve süreleri belirlenmekte ve periyodik olarak denetimler yapılmakta ve
gizlilik sözleşmeleri imzalanmaktadır.
İlgili personelin işten ayrılması durumunda erişim yetkisi derhal iptal edilmektedir.
Çalışanların sağlık dosyalarında fiziki olarak saklanan kişisel sağlık verilerinin
bulunduğu fiziki dosyalar kilitli ve sadece işyeri hekiminin erişebildiği alanlarda
saklanmaktadır.
Özel nitelikli veriler üzerinde gerçekleştirilen tüm hareketlerin işlem kayıtları
izlenmekte, verilerin bulunduğu ortamlara ait güvenlik güncellemelerinin sürekli takip
edilmekte, gerekli güvenlik testleri düzenli olarak yapılmaktadır.
BÖLÜM 8- KİŞİSEL VERİLERİN AKTARILMASI
Kişisel verilerin aktarılmasına ilişkin Kişisel Verilerin Korunması Kanunu 8. Madde
hükümlerine aşağıda yer verilmiştir.
(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz.
2) Kişisel veriler; a) 5 inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak
kaydıyla, 6 ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması
hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir.
(3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
İlgili kişi açık rızası olmaksızın yurtdışına veri aktarılmamaktadır
MADDE 5– 2) fıkrası kapsamında aşağıdaki şartlardan birinin varlığı hâlinde, ilgili
kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesi ve aktarılması mümkün
olacaktır.
1. a) Kanunlarda açıkça öngörülmesi.
2. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya
rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının
hayatı veya beden bütünlüğünün korunması için zorunlu olması.
3. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması
kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli
olması.
ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
1. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması.
2. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu
olması.
3. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri
sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Özel nitelikteki verilerin aktarılabilmesi için Kanunun 6. Maddesine istinaden aşağıda
yer verilen istisnalar dışında veri sahibinin açık rızasının alınması zorunludur. ‘Kişisel
veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak
kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım
hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi
şeklinde olup; sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve
kuruluşlar tarafından açık rıza almadan’ aktarılabilmektedir
Kişisel verileriniz, Kişisel Verilerin Korunması Kanunu 8.madde hükümleri ve 9.
maddede yer alan açık rıza alınması hükmüne ve madde 5–2) fıkrası kapsamına
uygun olarak aydınlatma metinlerinde yer verilen sınırlı amaçlarla;
Şirket, Kanunun 5. Maddesinde yer alan hükümlere, 6. maddesinde yer alan Özel
Nitelikli Kişisel verilerin işlenmesine ilişkin ve 8. ve 9. maddeler de yer alan kişisel
verilerin aktarılması konusunda öngörülen düzenlemelere ve Kişisel Verileri Koruma
Kurulu tarafından yayımlanan kararlara uygun davranmaktadır.
Özel nitelikli veriler veri sahibinin açık rızası alınmadan işlenmemekte ve
aktarılmamaktadır.
Kişisel verileriniz, Kanun ve sair mevzuat kapsamında mevzuattan kaynaklanan
yükümlülükleri yerine getirmek amacıyla yetkili ve görevli kamu kurum ve
kuruluşlarına, Emniyet Genel Müdürlüğüne, Mevzuata uygun bilgi verilmesi amacıyla
denetleyici ve düzenleyici kurumlara, aramızda doğabilecek hukuki uyuşmazlıklarda
delil olarak kullanılmak amacıyla, her türlü yargı makamına, yetki vermiş olduğunuz
temsilcileriniz ve avukatlarınıza, finansman ve ödeme işlemleri için bankalara ve
finans kuruluşlarına, iş faaliyetlerimizin yürütülmesi amacıyla iş ortaklarımıza ve grup
şirketlerine, şirket ortaklarına. Mal / hizmet ve operasyon süreçlerinin yürütülmesi
amacıyla mal ve hizmet tedarikçilerine, finans ve muhasebe İşlerinin yürütülmesi
amacıyla vergi ve finans danışmanları da dâhil olmak üzere danışmanlık aldığımız
üçüncü kişilere, aktarılabilir.
Yurt dışına veri aktarımında ilgili kişinin açık rızası alınmadan veri aktarımı
yapılmamaktadır.
BÖLÜM 9-KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI
Kişisel Verilerin Hukuka Aykırı Erişiminin Engellenmesi ve Kişisel Verilerin Güvenli
Ortamlarda Saklanması İçin Alınan İdari ve Teknik Tedbirler:
Şirket, bilginin bütünlüğünü koruyacak ve sürekli erişilebilirliğini garanti altına alacak
güvenli alt yapıyı ve güvenlik kontrollerini hayata geçirmiştir. Kişisel verilerin
tedbirsizlikle veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını veya başka
şekillerdeki hukuka aykırı erişimi önlemek için ve oluşabilecek diğer risk ve tehditler
karşısında aşağıda yer verilen teknik ve idari tedbirleri uygulamaya koymuştur.
Teknik Tedbirler
Güvenlik sistemi kişisel verilerin kişilere ait bilgi sistemlerinde bulunduğu esnada tüm
tehditlere karşı korunmasıdır.
Bilgi güvenliği tehditleri arasında, organizasyon bünyesinde çalışan kişilerin
oluşturabileceği bilinçli veya bilinçsiz tehditler olarak tanımlayabileceğimiz iç tehditler
çok önemli bir yer tutmaktadır.
Organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz
tehditler dikkate alınarak bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek
için ilgili tüm alanlarda gerekli güvenlik kontrollerini hayata geçirilmiştir. Çalışanların
günlük faaliyetlerinin yetki profillerine uyum sağlayıp sağlamadığı şirket tarafından
düzenli olarak kontrol edilmektedir.
Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi
üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
Kişisel veri kaynaklarına erişim için personel veya üçüncü şahıslar tarafından
kullanılan şifreler, ilgili sistemler için tanımlanmış olan şifre belirleme kurallarına
uyumlu olarak düzenlenmektedir. Rakam, büyük harf, küçük harf, noktalama işareti
kombinasyonların dan oluşan, akılda kalıcı, eski şifrelere benzemeyen karmaşık
şifreler kullanılmaktadır
Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim
sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu
risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik
teknik kontroller yapılmaktadır.
Şirkette dış ağlardan gelebilecek tehditlere karşı katmanlı ağ güvenlik tedbirleri tesis
edilmiştir. Kurum Bilgisayar sistemlerinde sunucular üzerine dış ağlardan gelebilecek
tehditlere karşı katmanlı ağ güvenlik tedbirleri tesis edilmiştir. Şirket bilgi
sistemlerinde anti virüs yazılımları, güvenlik duvarları, merkezi yönetim ve kontrol
yazılımları kullanılmaktadır
Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu
durumu engellemek ve ilgili kişiye ve Kurula bildirmek için Veri İhlali Müdahale Planı
hazırlanmış, uygun bir sistem ve altyapı oluşturulmuştur.
Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel
ortamlarda yeterli güvenlik önlemleri alınmakta, yetkisiz giriş çıkışlar
engellenmektedir.
Yedekleme için kritik sistemlerin yedekleri periyodik olarak alınmakta, yedekler belirli
aralıklarla dış ortama taşınmaktadır.
Şirket silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz
olması için gerekli tedbirleri almaktadır
İdari Tedbirler:
Çalışanlara Kişisel Verilerin Korunması Kanunu ve ilgili diğer mevzuat hakkında ve
veri güvenlik tedbirlerinin alınması konusunda eğitimler verilmekte ve gizlilik
sözleşmeleri imzalatılmaktadır. Güvenlik politika ve prosedürlerine uymayan
çalışanlara yönelik uygulanacak cezai maddeleri içeren disiplin prosedürü
uygulanmaktadır
Kişisel Verilerin Korunması Kanununa uyumun ve veri gizliliğinin sağlanması ve
güvenlik tedbirlerine uyulması konusunda veri işleyenlerden, mal ve hizmet
tedarikçilerinden taahhütname alınması zorunlu kılınmıştır.
Kişisel veri işlemeye başlamadan önce şirket ilgili kişileri aydınlatma ve açık rıza
alma yükümlülüğünü yerine getirmektedir
Organizasyon bünyesinde çalışan kişilerin oluşturabileceği bilinçli veya bilinçsiz
tehditler ve dış ağlardan gelebilecek tehlikelerin işlendiği ‘Risk ve Tehditler Tablosu’
Veri Koruma Görevlisi tarafından periyodik incelenmekte ve tedbirler
güncellenmektedir
Uygulamalar üzerinde teknik kontrol sistemleri kurulmuştur. Veri sorumlusu olarak
kurum içi sistematik periyodik denetimleri Veri Koruma Görevlisi kanalıyla
yapmaktadır.
Denetimler gerek görüldüğünde uzman şirketlere veya bağımsız denetim şirketlerine
yaptırılacaktır.
Bilgiye erişimi kontrol etmek ve yetkisiz erişimleri önlemek, veri güvenliğini sağlamak,
hukuka uygun saklama ve imha işlemleri için ‘Erişim ve Yetkilendirme Prosedürü’ ve
‘Kişisel Veri Saklama ve İmha Politikası hazırlanmış ve uygulamaya alınmıştır.
BÖLÜM 10–İŞLENEN KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ
Kanun’un 4. maddesi uyarınca kişisel veriler ilgili mevzuatta öngörülen veya
işlendikleri amaç için gerekli olan süre kadar muhafaza edilir ve Kanunun 5. ve 6.
maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan
kalkması halinde resen veya veri sahibi talebi üzerine silinir, yok edilir veya anonim
hale getirilir.
Şirket, ilgili kanunlarda ve mevzuatta öngörülmesi durumunda kişisel verileri ilgili
kanun ve mevzuatta belirtilen süre boyunca saklamaktadır.
Kişisel verilerin ne kadar süre boyunca saklanması gerektiğine ilişkin mevzuatta bir
süre düzenlenmemişse, kişisel veriler şirketin o veriyi işlerken sunduğu hizmetlerle
bağlı olarak amaca uygun işlenmesini gerektiren süre kadar işlenmekte, daha sonra
silinmekte, yok edilmekte veya anonim hale getirilmektedir.
Kişisel verilerin işlenme amacı sona ermiş; ilgili mevzuat ve şirketin belirlediği
saklama sürelerinin de sonuna gelinmişse, kişisel veriler yalnızca olası hukuki
uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri
sürülebilmesi veya savunmanın tesis edilmesi amacıyla kanuni süreler göz önüne
alınarak saklanabilmektedir. Gelecekte kullanma ihtimali ile şirket tarafından kişisel
veriler saklanmamaktadır.
28 Ekim 2017 tarihinde yürürlüğe giren ‘Kişisel Verilerin Silinmesi, Yok Edilmesi veya
Anonim Hale Getirilmesi Hakkındaki Yönetmelik’te’ işleme nedenleri ortadan kalkan
kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesine ilişkin usul ve
esasları belirlenmektedir.
Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle
ilgili kişisel veri bazında hukuki saklama süreleri şirket ’Kişisel Veri Saklama ve İmha
Politikasında’ yer almaktadır.
BÖLÜM 11- VERİLERİ SİLME YOK ETME VE ANONİMLEŞTİRME
YÜKÜMLÜLÜĞÜ
Kanunun 7. Maddesin de, kişisel verilerin silinmesi, yok edilmesi ve anonim hale
getirilmesi esaslarına yer verilmiştir. Buna göre, kişisel verilerin hukuka uygun olarak
işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması
hâlinde bu veriler, resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından
silinir, yok edilir veya anonim hâle getirilir
Özellikle aşağıda sayılan hallerde kişisel verilerin işlenme şartlarının ortadan kalktığı
kabul edilmektedir.
Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi
veya kaldırılması,
Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli
olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya
sözleşmeden dönülmesi,
Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili
kişinin rızasını geri alması,
İlgili kişinin, Kanunun 11. maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde
kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafından
kabul edilmesi,
Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi
talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması
veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikayette
bulunulması ve bu talebin Kurul tarafından uygun bulunması,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen,
kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut
olmaması,
Kişisel verilerin silinmesi işlemi; “söz konusu kişisel verilerin ilgili kullanıcılar
tarafından hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi” olarak
tanımlanmıştır.
Bu kapsamda, bir verinin işlenmesini gerektiren sebeplerin kalkması ve hukuki
sürenin sona ermesi halinde, söz konusu verinin yedeklemeler dahil tüm ortamlardan
geri dönülmez şekilde silinmesi sağlanmaktadır.
Kişisel verilerin silinmesi ve yok edilmesi teknikleri ve kişisel verilerin anonim hale
getirilmesi tekniklerinden hangisinin uygulanacağına dair karar Veri Sorumlusu
tarafından verilir.
Silme işlemine konu teşkil edecek kişisel veriler belirlenir. Silme işlemleri önceden
belirlenmiş personel vasıtasıyla yerine getirilir. Bu personelin yetkileri özel olarak
düzenlenir. Silme işlemi yapan personelin silinen datayı geri getirme, tekrar kullanma
erişim yetkileri kaldırılır.
Silinmesi gereken verilerin silme, yok etme veya anonimleştirilmesinin, kanun,
yönetmelik ve şirket politika ve prosedürlerine uygun olarak yapıldığının ve işlemlere
ilişkin oluşturulan bilgi kaydı doğruluğunun kontrolü Veri Koruma Görevlisi tarafından
yapılır.
BÖLÜM 12 – VERİ SAHİBİNİN HAKLARI VE BU HAKLARINI KULLANMASI
MOON DENIZCILIK ULUSLARASI TAS. VE TIC. LTD. STİ. (Şirket) Kişisel Verilerin
Korunması Kanununa 10. maddesine uygun olarak kişisel veri sahibinin haklarını
kendisine bildirmekte, bu hakların nasıl kullanılacağı konusunda kişisel veri sahibine
yol göstermektedir. Şirket kişisel veri sahiplerinin haklarının değerlendirilmesi ve
kişisel veri sahiplerine gereken bilgilendirmenin yapılması için iç işleyişe ait idari ve
teknik düzenlemeleri uygulamaya koymuştur.
Kişisel veri sahipleri, Kişisel Verilerin Korunması Kanunu 11. Madde gereğince
aşağıdaki haklara sahiptir;
1. a) Kişisel veri işlenip işlenmediğini öğrenme,
2. b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp
kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
1. d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların
düzeltilmesini isteme,
2. e) 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini
veya yok edilmesini isteme,
3. f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı
üçüncü kişilere bildirilmesini isteme,
4. g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi
suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
ğ) Kişisel verilerin Kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde
zararın giderilmesini talep etme.
Kişisel Veri Sahibinin Haklarını Kullanması;
Veri sahibi KVK Kanunu’nun 13. maddesinin 1. fıkrası gereğince yukarıda 11. madde
açıklamasında belirtilen hakları kullanabilir.
Kişisel veri sahipleri adına üçüncü kişiler tarafından talepte bulunulması mümkün
değildir.
Kişisel veri sahibinin kendisi dışında bir kişinin talepte bulunması için konuya ilişkin
olarak kişisel veri sahibi tarafından başvuruda bulunacak kişi adına düzenlenmiş özel
vekâletname bulunmalıdır.
Veri sorumlusuna başvuru Kanun 13. maddede aşağıda yer aldığı gibi
düzenlenmiştir.
MADDE 13– (1) İlgili kişi, bu Kanunun uygulanmasıyla ilgili taleplerini yazılı olarak
veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletir.
(2) Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede
ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır.
Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki
ücret alınabilir.
(3) Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder ve
cevabını ilgili kişiye yazılı olarak veya elektronik ortamda bildirir.
Başvuruda yer alan talebin kabul edilmesi hâlinde veri sorumlusunca gereği yerine
getirilir. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde alınan
ücret ilgiliye iade edilir.
Başvurunuzda yer alan talepleriniz, talebin niteliğine göre en geç otuz (30) gün içinde
ücretsiz olarak sonuçlandırılacaktır . Başvuruda bulunma yöntemleri ilgili kişilere
iletilen Aydınlatma Metinlerinde yer almaktadır.
Şirket başvuruda bulunan kişinin kişisel veri sahibi olup olmadığını tespit etmek adına
ilgili kişiden ek bilgi ve belge talep edebilir ve kişisel veri sahibine başvurusunda yer
alan hususlarla ilgili soru yöneltebilir.
Kişisel veri sahibi, KVK Kanunu’nun 14. Maddesi gereğince başvurusunun
reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap
verilmemesi hallerinde, Şirketin cevabını öğrendiği tarihten itibaren otuz ve her halde
başvuru tarihinden atmış gün içinde KVK Kuruluna şikayette bulunabilir.
BÖLÜM 13- POLİTİKA’NIN VE İLGİLİ MEVZUATIN UYGULANMASI
Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni
düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve
Şirket Politikası arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki
mevzuatın uygulama alanı bulacağını kabul etmektedir.
BÖLÜM 14- YÜRÜRLÜK
Veri sorumlusu tarafından düzenlenen bu Politika …../……/20… tarihlidir. Yönetim
tarafından imzalanan Politika Şirketin internet sitesinde yayınlanır, Politika her yıl en
az bir kez gözden geçirilir.
Bu politikanın gözden geçirme ve güncellenmesi Veri Koruma Görevlisi tarafından
yerine getirilir.