1. Giriş

Türkiye Cumhuriyeti Anayasası’nın 20. Maddesine göre, herkes kendisi ile ilgili kişisel verilerin korunmasını talep etme hakkına sahiptir. Bu hak; kişinin kendisiyle ilgili kişisel veriler hakkında bilgilendirilme, bu verilere erişme, bunların düzeltilmesini veya silinmesini talep etme ve amaçları doğrultusunda kullanılıp kullanılmadığını öğrenmeyi de kapsamaktadır.

Söz konusu anayasal hakkın kullanılması kapsamında, kişisel verilerin işlenmesinde kişilerin temel hak ve özgürlüklerinin korunması ve kişisel verileri işleyen gerçek ve tüzel kişilerin yükümlülükleri ile uyacakları usul ve esasları düzenleyen 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) yayımlanmış ve yürürlüğe girmiştir. ÇAĞ PLASTİK SAN. VE TİC. LTD. ŞTİ. (“ÇAĞ”) KVKK uyarınca belirlenen uyum konusunda gerekli özeni göstermekte ve bunu işbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) ile bir şirket politikası haline getirmektedir.

Politika’nın konusunu; Çalışan Adaylarına, Çalışanlara, Bayilere, Tedarikçilere, Yüklenicilere, Ziyaretçilere, İşbirliği İçinde Olduğumuz Kurumların Çalışanlarına, Müşterilere ve Üçüncü Kişilere (Kefil, Mağdur/Hak Sahibi) ait kişisel verilerin ÇAĞ tarafından korunması oluşturmaktadır.

2. Amaç

Bu Politika’nın amacı, ÇAĞ PLASTİK SAN. VE TİC. LTD. ŞTİ. tarafından KVKK’ya uygun olarak yürütülen kişisel veri işleme faaliyetleri ve kişisel verilerin korunmasına yönelik olarak benimsenen ilkeler konusunda açıklamalarda bulunulması ve bu kapsamda kişisel verileri ÇAĞ tarafından işlenen kişilerin bilgilendirilerek şeffaflığın sağlanmasıdır.

3. Kapsam

İşbu Politika’nın kapsamı dahilinde kişisel verileri işlenen veri sahipleri aşağıdaki şekilde kategorize edilmiştir:

4. Tanımlar

İşbu Politika’da kullanılan tanımlar aşağıda yer almaktadır:

5. Kişisel Verilerin İşlenmesine İlişkin Genel İlkeler

KVKK’nın 3. maddesi uyarınca, kişisel verilerin tamamen veya kısmen otomatik olmayan ve/veya otomatik yollarla elde edilmesi, kaydedilmesi, depolanması gibi veriler üzerinde gerçekleştirilen her türlü işlem kişisel verilerin işlenmesi kapsamına girmektedir. Kişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:

5.1. Hukuka ve Dürüstlük Kurallarına Uygun Olma

ÇAĞ, kişisel verileri işleme faaliyetlerini T.C. Anayasası, KVKK ve ilgili mevzuata ve dürüstlük kurallarına uygun olarak yürütür.

5.2. Doğru ve Gerektiğinde Güncel Olma

Kişisel verilerin doğruluğu ve güncelliğinin sağlanmasına yönelik her türlü idari ve teknik tedbir ÇAĞ tarafından alınmaktadır.

5.3. Belirli, Açık ve Meşru Amaçlar İçin İşlenme

ÇAĞ, kişisel verilerin işlenmesi faaliyetine başlamadan önce kişisel veri işleme amacını açık ve kesin olarak belirlemektedir.

5.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Kişisel veriler, ÇAĞ tarafından belirli, açık ve meşru amaçlar için ilgili amaç ile bağlantılı olarak gerektiği kadar işlenmektedir.

5.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme

ÇAĞ, kişisel verileri KVK Kanunu ve ilgili mevzuatta öngörülen veya veri işleme amacının gerektirdiği süre ile sınırlı olarak saklamaktadır.

6. Kişisel Verilerin İşlenmesi

ÇAĞ, kişisel verileri ve özel nitelikli kişisel verileri işleme faaliyetlerini KVKK’nın 5. ve 6. maddelerinde ortaya konulan veri işleme şartlarına uygun olarak yürütmektedir.

6.1. Kişisel Verilerin İşlenme Şartları

ÇAĞ, kişisel veri sahibinin açık rızası ile veya KVK Kanunu’nun 5. maddesinde öngörülen hallerde açık rıza olmaksızın kişisel verileri işleyebilmektedir:

• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması kaydıyla sözleşme taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• ÇAĞ’ın hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• Kişisel veri sahibinin kendisi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla ÇAĞ’ın meşru menfaatleri için veri işlenmesinin zorunlu olması

6.2. Özel Nitelikli Kişisel Verilerin İşlenmesi

ÇAĞ, hukuka aykırı olarak işlendiklerinde ayrımcılık yaratma riski taşıyan özel nitelikli kişisel verilerin işlenmesini KVK Kanunu’nun 6. maddesinde ortaya konulan veri işleme şartlarına uygun olarak gerçekleştirmektedir. Özel nitelikli kişisel verilerin kişisel veri sahibinin açık rızası olmaksızın işlenmesi yasaktır.

6.3. İşlenen Kişisel Verilere İlişkin Kategorizasyon

7. Kişisel Verilerin Güvenliğinin ve Gizliliğinin Sağlanması

ÇAĞ, KVK Kanunu’nun 12. maddesine uygun olarak işlemekte olduğu kişisel verilerin hukuka uygun olarak işlenmesi ve muhafazasını sağlamak ve hukuka aykırı biçimde erişilmesini önlemek için gerekli olan her türlü teknik ve idari tedbirleri almaktadır.

7.1. Alınan Teknik Tedbirler

• Kişisel verilere erişim imkânı sağlayan sistemler üzerinde periyodik olarak yetki ve erişim kontrolleri uygulanmaktadır.
• Alınan teknik önlemler risk yönetimi, iç kontrol ve iç denetim süreçleri kapsamında gözetilmektedir.
• Yeterli uzmanlık düzeyinde personel istihdam edilmektedir.

7.2. Alınan İdari Tedbirler

• ÇAĞ çalışanları KVKK’ya uyum konusunda eğitilmekte ve bilinçlendirilmektedir.
• Kişisel veri aktarımı yapılan taraflar ile güvenlik yükümlülüklerini içeren genel şartlar oluşturulmakta ve imza edilmesi sağlanmaktadır.
• İş birimleri bazında uygulama kuralları belirlenmekte, şirket içi prosedürler ve eğitimler yoluyla süreklilik sağlanmaktadır.

7.3. Kişisel Verilerin Kanuni Olmayan Yollarla İfşası Durumunda Alınacak Tedbirler

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde, bu durumun en kısa sürede ilgili veri sahibine ve KVK Kurulu’na bildirilmesini sağlayan bir iç prosedür geliştirilmiştir.

8. Kişisel Verilerin İşlenme Amaçları ve Saklama Süreleri

8.1. Kişisel Verilerin İşlenme Amaçları

ÇAĞ nezdinde kişisel veriler aşağıda sayılan amaçlar çerçevesinde işlenmektedir:

• Mal/hizmet satış sonrası destek süreçlerinin yönetilmesi
• Müşteri ilişkileri yönetimi ve müşteri memnuniyetine yönelik aktiviteler
• Ürün/hizmetlerin pazarlama süreçlerinin yürütülmesi
• Reklam/kampanya/promosyon süreçlerinin yürütülmesi
• Şirketimizin ticari ve/veya iş stratejilerinin planlanması ve icrası
• Finans ve muhasebe işlerinin yürütülmesi
• Hukuk işlerinin takibi ve yürütülmesi
• Lojistik faaliyetlerinin yürütülmesi
• Mal/hizmet satın alım ve satış süreçlerinin yürütülmesi
• Mal/hizmet üretim ve operasyon süreçlerinin yürütülmesi
• Sözleşme süreçlerinin yürütülmesi
• Stratejik planlama ve pazarlama analiz çalışmalarının yürütülmesi
• Ücret politikasının yürütülmesi

8.2. Kişisel Verilerin Saklama Süreleri

ÇAĞ, kişisel verilerin saklanması için ilgili mevzuatta belli bir süre öngörülüp öngörülmediğini tespit etmekte, TCK’nın 138. maddesine ve KVKK’nın 4. ve 7. maddelerine uygun olarak kişisel verilerin yalnızca ilgili mevzuatta öngörülmüş süre boyunca veya veri işleme amacının gerektirdiği süre kadar muhafaza edilmesini sağlamaktadır.

9. Kişisel Verilerin Silinmesi, İmha Edilmesi ve Anonim Hale Getirilmesi

Kişisel verilerin işlenme amacı sona ermiş ve saklama sürelerinin sonuna gelinmişse, kişisel veriler veri sahibinin talebi veya re’sen ÇAĞ tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

9.1. Silinme ve İmha Teknikleri

9.1.1. Fiziksel Olarak İmha Etme

Otomatik olmayan yollarla işlenen veriler silinirken kişisel verinin sonradan kullanılamayacak biçimde fiziksel olarak yok edilmesi sistemi uygulanmaktadır.

9.1.2. Yazılımdan Güvenli Olarak Silme/İmha Etme

Dijital ortamlarda muhafaza edilen veriler bir daha kurtarılamayacak şekilde ilgili yazılımdan silinmektedir.

9.1.3. Uzman Tarafından Güvenli Olarak Silme/İmha Etme

ÇAĞ bazı durumlarda kişisel verileri silmesi/imha etmesi için bir uzman ile anlaşabilir.

9.2. Anonim Hale Getirme Teknikleri

Kişisel verilerin anonim hale getirilmesi, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade eder. ÇAĞ tarafından kullanılan başlıca teknikler:

• Maskeleme: Temel belirleyici bilginin veri setinden çıkartılması
• Toplulaştırma: Birçok verinin toplulaştırılarak kişiyle ilişkilendirilemez hale getirilmesi
• Veri Türetme: İçerikten daha genel bir içerik oluşturulması
• Veri Karma: Veri seti içindeki değerlerin karıştırılarak kişi bağının kopartılması

10. Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarım Amaçları

Kişisel veri aktarımlarında uygulanacak usul ve esaslar KVKK’nın 8. ve 9. maddelerinde düzenlenmiştir. Kişisel verilerin, KVKK’da belirtilen istisna haller hariç olmak üzere kişisel veri sahibinin açık rızası olmaksızın aktarılması mümkün değildir.

10.1. Yurt İçinde Aktarım

KVK Kanunu’nun 8. maddesine uygun olarak, Politika’nın 6.1. bölümünde belirtilen koşullardan birinin sağlanması kaydıyla mümkündür.

10.2. Yurt Dışına Aktarım

KVKK’nın 9. maddesine uygun olarak yurt içi koşulların yanı sıra: aktarım yapılacak ülkenin yeterli korumaya sahip olması veya veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmeleri ve KVK Kurulu izninin bulunması gerekmektedir.

10.3. Aktarıldığı Kişi Grupları

11. Şirketimizin Aydınlatma Yükümlülüğü

ÇAĞ, KVKK’nın 10. maddesine uygun olarak kişisel verilerin toplanması sırasında kişisel veri sahiplerini bilgilendirmektedir:

• Veri sorumlusu sıfatıyla ÇAĞ’ın unvanı
• Kişisel verilerin hangi amaçla işleneceği
• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği
• Kişisel veri toplamanın yöntemi ve hukuki sebebi
• Kişisel veri sahibinin hakları

12. Kişisel Veri Sahiplerinin Hakları ve Bu Hakların Kullanılması

Kişisel veri sahipleri KVK Kanunu’nun 13. maddesine uygun olarak taleplerini aşağıdaki yöntemlerle ÇAĞ’a iletebilir:

12.1. Başvuru Hakkı

Kişisel veri sahipleri KVKK’nın 11. maddesi uyarınca:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri öğrenme
• Eksik veya yanlış işlenmiş olması halinde düzeltilmesini isteme
• İşlenmesini gerektiren sebeplerin ortadan kalkması halinde silinmesini, yok edilmesini veya anonim hale getirilmesini isteme
• Otomatik sistemler vasıtasıyla aleyhine bir sonuç ortaya çıkmasına itiraz etme
• Kanuna aykırı işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme

12.2. Başvuru Hakkının Kapsamı Dışında Kalan Durumlar

KVKK’nın 28. maddesi uyarınca; resmi istatistik amaçlı anonim işleme ve sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işleme halleri Kanun kapsamı dışındadır.

12.3. Cevap Verme Usulü

ÇAĞ, başvuru taleplerini en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırmaktadır. Kişisel veri sahibi, başvurusunun reddedilmesi veya yetersiz bulması halinde 30 gün içinde KVK Kurulu’na şikâyette bulunma hakkına sahiptir.

13. Şirket İçi ve İnternet Sitesi Üzerinde Yapılan Veri İşleme Faaliyetleri

13.1. Kamera ile İzleme

ÇAĞ Genel Merkez ve bayilerin bulunduğu bina içlerinde kamera ile izleme gerçekleştirilmektedir. Kamera ile izlemenin yapıldığı alanların girişlerine bildirim yazısı asılmaktadır. Kişinin mahremiyetine müdahale sonucunu doğurabilecek alanlarda izleme yapılmamaktadır.

13.2. Şirketi Ziyaret Eden Müşteri Giriş-Çıkışları

ÇAĞ’ı ziyaret eden misafirlerin giriş çıkışlarının takibine yönelik kişisel veri işleme faaliyeti gerçekleştirilmektedir. Kimlik bilgileri yalnızca giriş çıkış takibi amacıyla elektronik ortamda kaydedilmektedir.

13.3. İnternet Sitesi Ziyaretçileri

ÇAĞ’a ait internet sitesini ziyaret eden kişilerin site içerisindeki hareketleri, özelleştirilmiş içerikler gösterilebilmesi ve çevrimiçi reklamcılık faaliyetleri için teknik vasıtalar (çerez/cookie) ile kaydedilmektedir.

14. Kişisel Veri Saklama ve İmha Politikası

14.1. Politikanın Amacı

6698 sayılı Kanun’a dayalı olarak çıkarılan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’in 5. ve 6. maddeleri gereği kişisel verilerin saklanması ve imhasına ilişkin yükümlülüklerin yerine getirilmesi amacıyla ÇAĞ genelinde uygulanacak kurallar ile rol ve sorumlulukları belirlemektir.

14.2. Kayıt Ortamları

14.3. Kişisel Verileri Koruma Komitesi

ÇAĞ bünyesinde bir Kişisel Verileri Koruma Komitesi kurulmuştur. Komite bir yönetici, bir idari uzman ve bir teknik uzman olmak üzere en az üç kişiden oluşur:

14.4. İmha Yöntemleri

Silme Yöntemleri:

İmha Etme Yöntemleri:

Anonimleştirme Yöntemleri:

14.5. Kişisel Veri Saklama Tablosu

14.6. İmha Süreleri

ÇAĞ, silme/yok etme/anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde kişisel verileri siler, yok eder veya anonim hale getirir. İlgili kişinin talebi halinde bu işlem başvuru tarihinden itibaren en geç 30 gün içinde sonuçlandırılır.

14.7. Periyodik İmha Süreleri

KVKK’da yer alan işlenme şartlarının tamamının ortadan kalkması durumunda ÇAĞ, kişisel verileri bu Politikada belirtilen tekrar eden aralıklarla re’sen siler, yok eder veya anonim hale getirir.

15. İmha İşleminin Hukuka Uygunluğunun Denetimi

ÇAĞ, imha işlemlerini Kanun’a, sair mevzuata ve bu Politikaya uygun olarak yapar.

15.1. Teknik Tedbirler

• İmha yöntemine uygun teknik araç ve ekipman temin edilir
• İmha işlemlerinin yapıldığı yerin güvenliği sağlanır
• İmha işlemini yapan kişilerin erişim kayıtları tutulur
• Yetkin elemanlar istihdam edilir veya üçüncü kişilerden hizmet alınır

15.2. İdari Tedbirler

• İmha yapacak çalışanların bilgi güvenliği farkındalığı artırılır
• Güvenli imha teknikleri alanında hukuki ve teknik danışmanlık hizmeti alınır
• Üçüncü kişilere yaptırılan imha işlemlerinde protokoller imzalanır
• İmha işlemleri düzenli olarak denetlenir

Tüm imha işlemleri kayıt altına alınır ve en az iki yıl süreyle saklanır.

16. Yürürlük

Politika yayınlanma tarihi itibarıyla yürürlüğe girecektir. Politikanın ÇAĞ genelinde duyurulması ve gerekli güncellemelerin yapılması Kişisel Verileri Koruma Komitesi’nin sorumluluğundadır.

17. Güncelleme ve Uyum

ÇAĞ, Kanun’da yapılan değişiklikler nedeniyle, Kurum kararları uyarınca ya da sektördeki veya bilişim alanındaki gelişmeler doğrultusunda bu Politikada değişiklik yapma hakkını saklı tutar. Yapılan değişiklikler zaman geçirmeden metne işlenir ve değişikliklere ilişkin açıklamalar politikanın sonunda açıklanır.