26.2.2021
Politika, Kapsam ve Amaç
Tanımlar
Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,
Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,
İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
Özel nitelikli (hassas) kişisel veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerini,
Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,
KVKK: 6698 sayılı Kişisel Verilerin Korunması Kanununu,
KVKK Kurulu: Kişisel Verileri Koruma Kurulunu,
KVKK Kurumu: Kişisel Verileri Koruma Kurumunu,
Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,
Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi
ifade eder.
Görev ve Sorumluluklar
KVK Komitesi
KVK Komitesi üyeleri yönetim kurulu tarafından kişisel verilerin korunması mevzuatı ve uygulamaları konularında tecrübe sahibi olmaları dikkate alınarak atanır ve doğrudan Müdürler Kurulu’na rapor sunar.
KVK Komitesi, her ayda bir düzenli olarak veya gerek görülmesi halinde toplanır.
KVK Komitesi Görev ve Sorumlulukları
Veri Koruma İlkeleri
Tüm kişisel veri işleme faaliyetleri aşağıdaki veri koruma ilkeleriyle uyumlu olarak yapılmalıdır. Kromaş’ın politika ve prosedürleri bu ilkelerle uyumluluğu sağlamayı amaçlamaktadır:
Kişisel veriler hukuka ve dürüstlük kuralına uygun ve şeffaf bir şekilde işlenir.
Bu doğrultuda Kromaş, gerçekleştirdiği kişisel veri işleme faaliyetlerine ilişkin, veri toplama kanallarında ve ilgili alanlarda aydınlatma metni/gizlilik bildirimlerine yer verir. Kromaş tarafından kimlere ilişkin hangi verilerin hangi amaçlarla işlendiğine ilişkin açık ve anlaşılabilir bilgilerin yer aldığı bu bildirimlerin yer alacağı ve ilan edileceği alanlar KVK Komitesi tarafından belirlenir. Bu bildirimlerde şu hususlara yer verilir:
Kişisel veriler yalnızca belirli, açık ve meşru amaçlarla işlenebilir.
Kişisel veriler uygun ve ilgili olmalı, amaçla sınırlı ölçüde işlenmelidir.
Kişisel veriler doğru ve güncel olmalıdır.
Kişisel veriler, yalnızca veri işleme amacı bakımından gerekliyse işlenmelidir.
Veri Sahiplerinin Hakları
Veri sahipleri haklarındaki Kromaş nezdindeki veri işleme faaliyetleri ve kayıtlara ilişkin olarak aşağıdaki haklara sahiptir:
Veri sahipleri, kişisel verilerine erişme ve yukarıda sayılan haklarını kullanma talebinde bulunabilirler. Bu talepler Kromaş’a iletilir ve Kromaş tarafından 30 gün içerisinde cevap verme işlemi yerine getirilir. Taleplerin alınması, iletilmesi ve sonuçlandırılmasına ilişkin süreçler talep yönetim prosedürü uyarınca gerçekleştirilir.
Veri sahipleri taleplerini KVKK Başvuru Formu’nu doldurmak suretiyle “Yenidoğan Mahallesi Rami Kışla Cadde No: 67/4 Bayrampaşa/İstanbul” adresine noter vasıtasıyla veya iadeli taahhütlü mektup vasıtasıyla kimlik teyidi yapmak suretiyle veya “roslerkromasmakine@hs01.kep.tr” adresine kayıtlı e-posta adresi üzerinden iletebilirler.
Kromaş’ın tüm personeli, görev tanımı ne olursa olsun kendisine yönelmiş veri sahibi erişim taleplerine yönelik olarak doğru başvuru yöntemi konusunda veri sahiplerini yönlendirmekle yükümlüdür. Kromaş personeli, veri sahiplerinden gelecek talepler konusunda nasıl hareket etmeleri konusunda düzenli olarak bilgilendirilmekte ve eğitilmektedir.
Veri sahiplerinin taleplerini yöneltebilmesi için aydınlatma metinleri/gizlilik bildirimlerinde ve Kromaş’ın web adresinde iletişim bilgilerine yer verilir.
Açık Rıza Alınması
Kromaş, veri sahibi tarafından belirli veri işleme faaliyetlerine ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle, hakkında veri işlenmesine ilişkin iradeyi ortaya koyan, yazılı/sözlü beyan veya açık doğrulayıcı eylemle açıklanan, rızayı açık rıza olarak kabul etmektedir. Hassas veriler bakımından açık rıza mutlaka yazılı olarak alınır. Açık rıza veri sahibi tarafından her zaman geri alınabilir.
Açık rıza, açık rıza formu şablonu veri sahibine imzalatılarak veya veri sahibiyle yapılacak sözleşme veya elektronik formda bu şablonda yer alan unsurlara yer verilmesi suretiyle alınabilir. Personeller, personel adayları ve müşterilere ilişkin rutin olarak işlenen kişisel veriler bakımından açık rıza, ilgili sözleşme veya formlar aracılığıyla alınır.
Açık rızaya dayanan veri işleme faaliyetinin süreklilik arz edecek veya tekrarlanacak olması halinde ilgili birimce tek bir liste halinde açık rızası alınmış kişilerin listesi tutulur. Bu listenin güncelliği ve doğrulu ilgili birimin sorumluluğundadır. Açık rızaya dayanan veri işleme faaliyetine ilişkin açık rıza formları veya diğer ilgili ispat araçları ilgili birimce saklanır.
Veri Güvenliği
Tüm personel, Kromaş tarafından işlenen ve kendi sorumluluklarında olan kişisel verilerin güvenli olarak tutulmasını sağlamakla yükümlüdür.
Kişisel verilere, yalnızca bunlara erişimi gerekli olanlar erişebilmelidir. Erişimler, Erişim Yönetimi Prosedürü uyarınca sağlanır.
Kişisel verilerin güvenliği, Kromaş’ın KVK Politikası ve buna bağlı dokümanlar uyarınca sağlanır.
Kişisel verilere ilişkin bilgi güvenliği olayları KVK Komitesince en kısa süre içerisinde KVK Kuruluna ve ilgili kişiye bildirilir.
Veri Paylaşımı
Kişisel veriler, ancak yukarıdaki koşulların sağlanması ve hedef ülkede yeterli korumanın bulunması ve veri sahibinin bu aktarım konusunda açık rızasının alınması koşuluyla yurtdışına aktarılabilir.
Kişisel verilerin yurtdışına aktarılmasında KVK Kurulu tarafından belirlenen yeterli korumanın bulunduğu ülkeler listesi dikkate alınır.
Kişisel verilerin yurtdışına aktarılması söz konusu olduğunda KVKK ve ilgili mevzuat uyarınca KVK Komitesi KVK Kurulu nezdinde gerekli izin ve bildirimleri sağlar.
Kromaş Tarafından Yürütülen Kişisel Veri İşleme Faaliyetleri
Kişisel Veri İşleme Amaçları
Veri Sorumluları Sicil Bilgi Sistemi kapsamında Kromaş tarafından yürütülen kişisel veri işleme faaliyetleri kapsamında veri işleme amaçları aşağıdaki gibidir:
Kişisel Veri Sahipleri
AÇIKLAMA |
|
Çalışan Adayı |
Kromaş’a herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini Kromaş’ın incelemesine açmış olan gerçek kişiler. |
Çalışan |
Kromaş tarafından yürütülen etkinlik, çalışan memnuniyeti, insan kaynakları, denetim, bilgi teknolojileri güvenliği ve altyapısının sağlanması, hukuki uyum vb faaliyetler çerçevesinde kişisel verileri işlenen çalışanlar. |
Stajyer |
Kromaş tarafından yürütülen etkinlik, çalışan memnuniyeti, insan kaynakları, denetim, bilgi teknolojileri güvenliği ve altyapısının sağlanması, hukuki uyum vb faaliyetler çerçevesinde kişisel verileri işlenen stajyerler. |
Tedarikçi Çalışanı |
Kromaş ticari faaliyetlerini yürütürken Kromaş emir ve talimatlarına uygun olarak sözleşme temelli olarak Kromaş’a hizmet sunan taraf çalışanı. |
Tedarikçi Yetkilisi |
Kromaş’a ticari faaliyetlerini yürütürken Kromaş’ın emir ve talimatlarına uygun olarak sözleşme temelli olarak Kromaş’a hizmet sunan taraf yetkilisi. |
Müşteri (Ürün veya Hizmet Alan Kişi) |
Kromaş ile herhangi bir sözleşmesel ilişkisi olup olmadığına bakılmaksızın Kromaş iş birimlerinin yürüttüğü operasyonlar kapsamında iş ilişkileri üzerinden kişisel verileri elde edilen gerçek kişiler. |
Potansiyel Ürün veya Hizmet Alıcısı |
Kromaş herhangi bir sözleşmesel ilişkisi olmaksızın Kromaş iş birimlerinin yürüttüğü operasyonlar kapsamında iş ilişkileri üzerinden kişisel verileri elde edilen gerçek kişiler. |
Ziyaretçi |
Kromaş’ın sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan veya internet sitelerimizi ziyaret eden gerçek kişiler |
Kişisel Veri Kategorileri
KİŞİSEL VERİ KATEGORİLERİ |
AÇIKLAMA |
Kimlik Bilgisi |
Kişinin kimliğine dair bilgilerin bulunduğu verilerdir; ad-soyad, T.C. kimlik numarası, uyruk bilgisi, doğum yeri, doğum tarihi, cinsiyet, işyeri bilgisi, sicil no., vergi numarası, unvan, biyografi vb. bilgiler ile ehliyet, mesleki kimlik, nüfus cüzdanı ve pasaport gibi belgeler |
İletişim Bilgisi |
Telefon numarası, adres, e-mail adresi, faks numarası vb. bilgiler |
Lokasyon |
Bulunduğu yerin konum bilgileri v.b. |
İşlem Güvenliği Bilgisi |
Faaliyetlerimizin yürütülmesi sırasında teknik, idari, hukuki ve ticari güvenliğimizi sağlamamız için işlenen kişisel verileriniz (örneğin log kayıtları, IP bilgisi, kimlik doğrulama bilgileri) |
Müşteri İşlem Bilgisi |
Fatura, senet, çek bilgileri, gişe dekontlarındaki bilgiler, sipariş bilgisi, talep bilgisi gibi bilgiler |
Özlük Bilgisi |
Çalışanın bordro bilgileri, disiplin soruşturması, işe giriş-çıkış belgesi kayıtları, mal bildirimi bilgileri, özgeçmiş bilgileri, performans değerlendirme raporları gibi veriler |
Hukuki İşlem Bilgisi |
Bilgisi Hukuki alacak ve haklarımızın tespiti, takibi ve borçlarımızın ifası ile kanuni yükümlülüklerimiz ve Şirketimizin politikalarına uyum kapsamında işlenen kişisel veriler |
Finansal Bilgi |
Kromaş’ın kişisel veri sahibi ile kurmuş olduğu hukuki ilişkinin tipine göre yaratılan her türlü finansal sonucu gösteren bilgi, belge ve kayıtlara ilişkin işlenen kişisel veriler ile banka hesap numarası, IBAN numarası, gelir bilgisi, borç/alacak bilgisi gibi veriler |
Fiziksel Mekan Güvenlik Bilgisi |
Fiziksel mekana girişte, fiziksel mekanın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler; kamera kayıtları, araç bilgisi kayıtları ve güvenlik noktasında alınan kayıtlar v.b. |
Mesleki Deneyim |
Diploma bilgileri, gidilen kurslar, meslek içi eğitim bilgileri, sertifikalar, transkript bilgileri gibi bilgiler |
Pazarlama |
Alışveriş geçmişi bilgileri, anket, çerez kayıtları, kampanya çalışmasıyla elde edilen bilgiler v.b. |
Görsel ve İşitsel Kayıtlar |
Fotoğraf, ses, görüntü vb. bilgiler |
Sağlık Bilgileri |
Engellilik durumuna ait bilgiler, kan grubu bilgisi, kişisel sağlık bilgileri, kullanılan cihaz ve protez bilgileri vs. |
Ceza Mahkumiyeti ve Güvenlik Tedbirleri |
Ceza mahkûmiyetine ilişkin bilgiler, güvenlik tedbirlerine ilişkin bilgiler |
Felsefi, Din, Mezhep ve Diğer İnançlar |
Diğer inançlarına ilişkin bilgiler, Dini aidiyetine ilişkin bilgiler, Felsefi inancına ilişkin bilgiler, Mezhep aidiyetine ilişkin bilgiler v.b. |
Paylaşılan Taraf Kategorileri
PAYLAŞILAN TARAF KATEGORİSİ |
TANIMI |
PAYLAŞMA AMACI |
Gerçek kişiler veya özel hukuk tüzel kişileri |
İlgili mevzuat hükümlerine göre Şirket’ten bilgi ve belge almaya yetkili özel hukuk kişileri |
İlgili özel hukuk kişilerinin hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak |
İştirakler Ve Bağlı Ortaklıklar |
Şirket’in hissedarı olduğu şirketler |
Şirket’in iştiraklerinin de katılımını gerektiren ticari faaliyetlerinin yürütülmesini temin etmekle sınırlı olarak |
İş Ortakları |
Kromaş’ın ticari faaliyetlerinin yürütülmesi gibi amaçlarla iş ortaklığı kurduğu taraflar |
İş ortaklığının kurulma amaçlarının yerine getirilmesini temin etmek amacıyla sınırlı olarak |
Yetkili Kamu Kurum ve Kuruluşları |
İlgili mevzuat hükümlerine göre Şirket’in bilgi ve belge almaya yetkili kamu kurum ve kuruluşları |
İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dahilinde talep ettiği amaçla sınırlı olarak |
Tedarikçiler |
Kromaş’ın ticari faaliyetlerinin yürütülmesi kapsamında, Kromaş’ın emir ve talimatlarına uygun ve sözleşme temelli olarak Kromaş’a hizmet sunan taraflar |
Şirket’in tedarikçiden dış kaynaklı olarak temin ettiği ve Şirket’in ticari faaliyetlerini yerine getirmek için gerekli hizmetlerin Şirket’e sunulmasını sağlamak amacıyla sınırlı olarak |
Kayıtların Yönetimi
Kişisel veriler, işlenme amaçları için gerekli süreden fazla tutulamaz. Kişisel veri içeren kayıtların sınıflandırılması ve bunlara ilişkin saklama süreleri Saklama ve İmha Politikası uyarınca belirlenir.
İşlenme amaçları için gerekli süresi dolan veya veri sahibinin haklı talebi üzerine kişisel veriler, veri sahibi gerçek kişi tespit edilemeyecek şekilde ve saklama ve imha prosedürü uyarınca anonimleştirilir veya silinir veya imha edilir.
Politikanın Güncel Tutulması
Bu dokümanın sahibi Kromaş’tır. KVK Komitesi bu politikanın yukarıda belirtilen gözden geçirme gereklilikleri uyarınca düzenli olarak gözden geçirilmesi için gerekli adımları atmaya özen gösterir.
Bu dokümanın güncel versiyonu ve https://www.kromas.com.tr/ üzerinden yayımlanmıştır.
Bu Politika 28.06.2021 tarihli ve 2021/01 numaralı Müdürler Kurulu kararı doğrultusunda kabul edilmiş yayımlanmıştır.
TR
EN