KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. VERİ SORUMLUSUNUN KİMLİĞİ VE POLİTİKA KAPSAMI

ATC Kişisel Veri Saklama ve İmha Politikası (kısaca “POLİTİKA” olarak anılacaktır), Veri sorumlusu sıfatını taşıyan ATC Genomics A.Ş. tarafından gerçekleştirilmekte olan veri saklama ve imha faaliyetlerine ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır.

ATC, şirket çalışanları, çalışan adayları, hizmet sağlayıcıları, ziyaretçiler ve diğer üçüncü kişilere ait kişisel verilerin T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu. (kısaca “KVKK” olarak anılacaktır) ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarının etkin bir şekilde kullanımının sağlanmasını öncelik olarak belirlemiştir.

2. TANIMLAR

3. VERİ İŞLEME FAALİYETLERİNİN HUKUKİ GEREKÇELERİ

ATC işletme faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

• 6698 sayılı Kişisel Verilerin Korunması Kanunu
• 6098 sayılı Türk Borçlar Kanunu
• 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yuluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
• 6331 sayılı İş Sağlığı ve Güvenliği Kanunu
• 4857 sayılı İş Kanunu
• 4734 Kamu İhale Kanunu
• 8529 Kamu İhale Sözleşmeleri Kanunu
• 6102 sayılı Türk Ticaret Kanunu
• Genetik Hastalıklar Değerlendirme Merkezleri Yönetmeliği
• İşyeri Bina ve Eklentilerinde Alınacak Sağlık ve Güvenlik Önlemlerine İlişkin Yönetmelik ve
• İş süreçleriyle ilgili diğer kanun ve yönetmelik hükümleri çerçevesinde işlenmektedir.

4. SORUMLULUK

ATC’nun tüm birimleri ve çalışanları, Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, kişisel verilerin hukuka aykırı olarak işlenmesinin ve erişilmesinin önlenmesi, kişisel verilerin hukuka uygun şekilde saklanmasının sağlanması amacıyla veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

5. VERİ İŞLEME AMAÇLARI

ATC, iş faaliyetleri çerçevesinde kişisel verileri aşağıdaki amaçlar doğrultusunda işler.

• Acil Durum Yönetimi Süreçlerinin Yürütülmesi
• Bilgi Güvenliği Süreçlerinin Yürütülmesi
• Çalışan Adayı / Stajyer / Öğrenci Seçme Ve Yerleştirme Süreçlerinin Yürütülmesi
• Çalışan Adaylarının Başvuru Süreçlerinin Yürütülmesi
• Çalışan Memnuniyeti Ve Bağlılığı Süreçlerinin Yürütülmesi
• Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi
• Çalışanlar İçin Yan Haklar Ve Menfaatleri Süreçlerinin Yürütülmesi
• Eğitim Faaliyetlerinin Yürütülmesi
• Erişim Yetkilerinin Yürütülmesi
• Faaliyetlerin Mevzuata Uygun Yürütülmesi
• Finans Ve Muhasebe İşlerinin Yürütülmesi
• Fiziksel Mekan Güvenliğinin Temini
• Görevlendirme Süreçlerinin Yürütülmesi
• Görevlendirme Süreçlerinin Yürütülmesi
• Hukuk İşlerinin Takibi Ve Yürütülmesi
• İletişim Faaliyetlerinin Yürütülmesi
• İnsan Kaynakları Süreçlerinin Planlanması
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İş Faaliyetlerinin Yürütülmesi / Denetimi
• İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
• İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
• Lojistik Faaliyetlerinin Yürütülmesi
• Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
• Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
• Mal / Hizmet Satış Süreçlerinin Yürütülmesi
• Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi
• Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi
• Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
• Organizasyon Ve Etkinlik Yönetimi
• Pazarlama Analiz Çalışmalarının Yürütülmesi
• Performans Değerlendirme Süreçlerinin Yürütülmesi
• Reklam / Kampanya / Promosyon Süreçlerinin Yürütülmesi
• Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi
• Sözleşme Süreçlerinin Yürütülmesi
• Sponsorluk Faaliyetlerinin Yürütülmesi
• Talep / Şikayetlerin Takibi
• Taşınır Mal Ve Kaynakların Güvenliğinin Temini
• Veri Sorumlusu Operasyonlarının Güvenliğinin Temini
• Yetkili Kişi, Kurum Ve Kuruluşlara Bilgi Verilmesi
• Ziyaretçi Kayıtlarının Oluşturulması Ve Takibi

6. KAYIT ORTAMLARI

ATC tarafından işlenen kişisel veriler aşağıdaki fiziksel ortamlarda muhafaza edilmektedir.

• Kişisel bilgisayarlar
• Mobil cihazlar
• Manyetik ve optik kayıt ortamları
• Taşınabilir bellekler
• Sunucular
• Yazılımlar
• Bilgi güvenliği cihaz ve yazılımları
• Ses ve görüntü kaydedici cihaz ve yazılımlar
• Belge üretim, kopyalama cihazları
• Yazılı, basılı, görsel materyaller

7. KİŞİSEL VERİLERİN SAKLANMA VE İMHA SÜRELERİ

ATC tarafından elde edilen kişisel veriler, aşağıdaki tabloda belirtilen yasal süreler çerçevesinde saklanmakta ve muhafaza edilmektedir.

8. PERİYODİK İMHA SÜRESİ

ATC Yönetmeliğin 11 inci maddesi gereğince periyodik imha süresini 6 ay olarak belirlemiştir. Buna göre, her yıl Haziran ve Aralık aylarında periyodik imha işlemi gerçekleştirilir.

9. KİŞİSEL VERİLERİN SİLİNMESİ

ATC tarafından işlenen kişisel veriler;

• İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
• İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
• Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
• Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun şirket tarafından kabul edilmesi,
• Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

Koşulları gerçekleştiğinde, ATC tarafından silinir, yok edilir veya anonim hale getirilir.

10. VERİ GÜVENLİĞİ İÇİN ALINAN ÖNLEMLER

ATC kişisel verilerin korunması için aşağıda belirtilen teknik ve idari önlemleri almaktadır.

Teknik ve idari önlemler periyodik olarak denetlenmekte ve sorunlar ilgili birimlere acil olarak bildirilmektedir.

ATC tarafından işlenen kişisel verilerle ilgili olarak alınan idari önlemler aşağıda sıralanmıştır.

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Çalışanlar için yetki matrisi oluşturulmuştur.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

ATC tarafından işlenen kişisel verilerle ilgili olarak alınan teknik önlemler aşağıda sıralanmıştır.

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
• Anahtar yönetimi uygulanmaktadır.
• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
• Erişim logları düzenli olarak tutulmaktadır.
• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
• Güncel anti-virüs sistemleri kullanılmaktadır.
• Güvenlik duvarları kullanılmaktadır.
• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
• Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.
• Saldırı tespit ve önleme sistemleri kullanılmaktadır.
• Sızma testi uygulanmaktadır.
• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
• Şifreleme yapılmaktadır.
• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
• Veri kaybı önleme yazılımları kullanılmaktadır.

11. KİŞİSEL VERİLERİN SİLİNMESİ VE İMHASI

Elektronik ortamda kayıtlı olan kişisel veriler, saklanmasını gerektiren süre sona erdiğinde ilgili kullanıcılar için hiç bir suretle erişilemez ve kullanılamaz hale getirilir.

Fiziksel ortamlarda kayıtlı olan kişisel veriler, saklanmasını gerektiren süre sona erdiğinde kâğıt kırpma makinelerinde geri döndürülemeyecek şekilde yok edilir.

12. DİĞER HUSUSLAR

• KVKK ve ilgili mevzuat hükümleri ile işbu Politika arasında uyumsuzluk olması halinde, öncelikle KVKK ve ilgili mevzuat hükümleri uygulanacaktır.
• Politika, ATC kurumsal İnternet sitesinde yayınlanarak ilgili kişilere duyurulur.
• Politikada güncelleme yapılması durumunda, yeni politika belgesi aynı yöntemle ilan edilerek ve yayınlanarak yürürlüğe girer.