ARAS TEKSTİL SANAYİ VE TİCARET LİMİTED ŞİRKETİ

KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI POLİTİKASI

GİRİŞ

ARAS TEKSTİL SANAYİ VE TİCARET LİMİTED ŞİRKETİ (bu metinde kısaca “ARAS TEKSTİL” veya “Şirket” olarak anılacaktır), www.arasmoda.com.tr e-ticaret sitesinin işletmecisidir. Şirket merkezi: Meşrutiyet Mahallesi, Hacımansur Sokak No: 40, İç Kapı No: C, Şişli/İstanbul. Vergi dairesi: Mecidiyeköy Vergi Dairesi; vergi kimlik numarası: 0720039432; ticaret sicili: İstanbul / 322548. İletişim e-posta adresi: [email protected].

ARAS TEKSTİL, www.arasmoda.com.tr e-ticaret sitesindeki üyelik, sipariş, ödeme, faturalandırma, kargo, teslimat ve iade süreçleri dahil kişisel verilerin işlenmesini 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat hükümleri çerçevesinde yürütür.

Bu politika, KVKK ile kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi ve Veri Sorumluları Sicili düzenlemeleri uyarınca uygulanacak esasları belirler. Politika tek başına uyumun sağlandığını veya bütün teknik kontrollerin kurulduğunu göstermez; aşağıdaki yükümlülükler gerçek süreç, envanter ve uygulama kayıtlarıyla yerine getirilir.

POLİTİKANIN HAZIRLANMA AMACI VE KAPSAMI

Bu politika müşteriler, üyeler ve site ziyaretçilerine ilişkin e-ticaret işlemlerini kapsar; şirket yetkilisi, hissedar, tedarikçi ve varsa çalışan, çalışan adayı veya fiziksel ziyaretçi işlemleri için genel esasları da belirler. Her ilgili kişi grubu, veri elde edilirken kendi faaliyetine özgü aydınlatma ile bilgilendirilir. Çalışan veya kamera verileri müşteri hesabı verileriyle amaç dışı birleştirilmez.

1. Politika ile öngörülen temel düzenlemeler doğrultusunda ARAS TEKSTİL işleyişi içerisinde kişisel verilerin işlenmesi ve korunması bakımından her türlü idari ve teknik tedbir alınacak, gerekli iç prosedürler oluşturulacak, farkındalığın yükseltilmesi için gerekli tüm eğitimler yapılacak, ARAS TEKSTİL hissedarları, yetkilileri, çalışanları ve iş ortaklarının KVKK süreçlerine uyumları için gerekli tüm tedbirler alınarak uygun ve etkin denetim mekanizmaları kurulacaktır.

2. Politika, tüm bu süreçlerde gözetilecek temel ilkeleri ve KVK Kanunu ile getirilen düzenlemeler uyarınca iç işleyişin yönlendirilmesi için ARAS TEKSTİL’in yükümlü olduğu hususları düzenlenmektedir. KVK Kanunu ve ilgili mevzuat çerçevesinde oluşturulacak iç prosedürler ile ARAS TEKSTİL’in kişisel verilerin korunması hususunda gerçekleştireceği uyum faaliyetleri düzenlenecektir. ARAS TEKSTİL, tüm çalışanları görevlerini yerine getirirken işbu Politika ile getirilen düzenlemeler ile KVK Kanunu ve ilgili tüm diğer mevzuat hükümlerine uygun hareket etmekte yükümlüdür.

3. Politika’ya ve ilgili mevzuat hükümlerine uyulmaması halinde, mevzuat hükümleri ile öngörülen cezai ve hukuki sorumluluğun yanında, ARAS TEKSTİL içerisinde, olayın mahiyetine göre, iş hayatını düzenleyen mevzuat çerçevesinde akdin haklı nedenle feshine kadar gidebilecek olan yaptırımlar uygulanacaktır.

TANIMLAR

Bu Politika’da yer alan aşağıdaki terimler;

Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,
Anonim hale getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini,
Başkan: Kişisel Verileri Koruma Kurumu Başkanını,
İlgili kişi: Kişisel verisi işlenen gerçek kişiyi,
Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,
Kişisel Verilerin Silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilmez ve tekrar kullanılamaz hale getirilmesi işlemini,
Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini,
Kurul: Kişisel Verileri Koruma Kurulunu,
Kurum: Kişisel Verileri Koruma Kurumunu,
Özel Nitelikte Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri,
Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,
Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,
Yönetmelik : Veri Sorumluları Sicili Hakkında Yönetmelik,

ifade eder.

Şirket yönetimi veri koruma yükümlülüklerinin yerine getirilmesi için görev, yetki, raporlama ve yedek sorumlu belirler. Bu görevlendirme ARAS TEKSTİL’in veri sorumlusu sıfatından kaynaklanan sorumluluğunu kaldırmaz.

KİŞİSEL VERİLERİN İŞLENMESİNDE GENEL İLKELER

ARAS TEKSTİL, KVK Kanunu’nun 4. maddesi doğrultusunda işbu Politika kapsamında kalan kişisel verileri aşağıdaki ilkelere uygun işleyeceğini kabul etmektedir:

Hukuka ve dürüstlük kuralına uygunluk; ARAS TEKSTİL, veri sorumlusu sıfatı ile ve basiretli bir tacir olarak Anayasa ve KVK Kanunu başta olmak üzere yürürlükte olan ve yürürlüğe girecek olan tüm mevzuat hükümlerine uygun olarak ve Medeni Kanun’un 2. maddesi ile öngörülen dürüstlük kuralına uygun bir biçimde kişisel veri işleme faaliyetlerini yürüteceğini kabul etmektedir.

Doğruluk ve Güncellik; ARAS TEKSTİL, kişisel verilerin işlenmesi faaliyetlerinde, tekniğin elverdiği ölçüde kişisel verilerin doğruluk ve güncelliğinin sağlanması için gerekli tüm tedbirleri almaktadır. İlgili kişinin veri sorumlusu sıfatı ile ARAS TEKSTİL’e bildireceği talepler ve ARAS TEKSTİL’in bizzat gerekli göreceği durumlar doğrultusunda, hatalı veya güncel olmayan kişisel verilerin düzeltilmesi ve doğruluğunun denetlenmesi için ARAS TEKSTİL tarafından kurulan idari ve teknik mekanizmalar işletilecektir.

Belirli, Açık ve Meşru Amaçlarla İşleme; ARAS TEKSTİL tarafından kişisel veriler, ilgili mevzuat hükümlerinin gereklilikleri ile sunulan veya sunulacak olan hizmetlerle sınırlı olarak hukuka uygun biçimde işlenmekte olup kişisel verilerin işlenme amacı verilerin işlenmeye başlanmasından önce açık ve kesin olarak belirlenmektedir.

Verileri İşlendikleri Amaç İle Bağlantılı, Sınırlı ve Ölçülü Olarak İşleme; ARAS TEKSTİL tarafından kişisel veriler işlenme amaçları ile bağlantılı ve sınırlı olarak ve bu amacın gerçekleşmesi için gerektiği ölçüde işlenmektedir. Bu kapsamda verilerin işlenme amacı ile ilgili olmayan ve ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınılması temel esastır.

Mevzuat Hükümleri İle Öngörülen veya İşlenme Amacının Gerektirdiği Süre İle Sınırlı Olarak İşleme ; Kişisel veriler, ilgili mevzuat hükümleri ile öngörülen süreler doğrultusunda veya verilerin işlenme amacının gerektirdiği süre boyunca muhafaza edilmektedir. Mevzuat hükümleri ile öngörülen sürenin sonunda veya verilerin işlenme amacının gerektirdiği sürenin sonunda kişisel veriler ARAS TEKSTİL tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir. Verilerin gerekli sürenin sonunda muhafaza edilmesinin önlenmesi için gerekli idari ve teknik tedbirler alınacaktır.

KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

KVK Kanunu ile kişisel verilerin işlenme koşulları düzenlenmiş olup, ARAS TEKSTİL tarafından kişisel veriler aşağıda belirtilen söz konusu koşullara uygun olarak işlenmektedir.

1- Genel Kişisel Verilerin İşlenmesi Şartları

Genel nitelikli veriler için her amaç bakımından KVKK m.5/2 şartlarının uygulanabilirliği belirlenir. Uygun şart bulunmuyorsa işlem için gerekli açık rıza, belirli amaçla ve ayrı aydınlatmadan sonra alınır. Sözleşmenin ifası veya hukuki yükümlülük için gereken işlem, pazarlama rızasıyla ilişkilendirilmez; rıza geri alınınca yalnızca ona dayanan faaliyet durdurulur. Meşru menfaatte zorunluluk, ölçülülük ve ilgili kişinin temel haklarına etkisi belgelenir.

Kanunlarda açıkça öngörülmesi,
Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
Veri sahibinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

2- Özel Nitelikli Kişisel Verilerin İşlenmesi Şartları

Özel nitelikli kişisel veriler, 1 Haziran 2024 tarihinde yürürlüğe giren güncel KVKK m.6/3 şartlarından biri mevcutsa işlenebilir. Eski sağlık ve diğer özel nitelikli veri ayrımına dayanan işleme rejimi kullanılmaz. Kurulun belirlediği yeterli önlemler her durumda alınır.

M.6/3 kapsamındaki şartlar: belirli ve özgür açık rıza; kanunda açık düzenleme; rızanın açıklanamadığı durumlarda hayat veya beden bütünlüğünün korunması zorunluluğu; ilgili kişinin alenileştirme amacıyla uyumlu kullanım; bir hakkın tesisi, kullanılması veya korunması zorunluluğu; sır saklama yükümlüsü kişiler veya yetkili kuruluşlarca kanunda belirtilen sağlık hizmeti amaçları; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmet veya sosyal yardım yükümlülükleri için zorunluluk; kanunda belirtilen kar amacı gütmeyen kuruluşların faaliyetleriyle sınırlı ve üçüncü kişilere açıklanmayan ilgili kişi işlemleridir.

ARAS TEKSTİL, bir şartın Kanunda yer almasını bütün özel nitelikli verileri toplama yetkisi saymaz. Her faaliyet için ilgili bent, gereklilik ve yeterli önlemler belgelenir. Normal üyelik ve tekstil ürünü alışverişi için özel nitelikli veri talep edilmez. Gerektiğinde çalışan veya iş sağlığı verileri ayrı süreçte ve yetkilerle yönetilir.

KİŞİSEL VERİLERİN ELDE EDİLMESİ VE İŞLENMESİ YÖNTEMLERİ

E-ticaret verileri www.arasmoda.com.tr üzerindeki üyelik, sipariş, teslimat, ödeme, iade ve iletişim ekranları, e-posta, ilgili hizmet sağlayıcısı bildirimleri ve yazılı başvurular yoluyla elde edilir. Çerez veya benzer takip teknolojisi varsa ilgili envanter ve tercihler uygulanır. Diğer kişi grupları için yalnızca gerçek ve gerekli sözleşme, insan kaynakları veya kanuni bildirim kanalları kullanılır; varsayımsal bayi, çağrı merkezi veya farklı platform akışları bulunduğu kabul edilmez.

Üyelik ve satış ifası m.5/2(c); fatura ve kanuni kayıtlar m.5/2(a) ve m.5/2(ç); uyuşmazlık ve hakkın korunması m.5/2(e); ölçülü güvenlik m.5/2(f); gereken isteğe bağlı pazarlama m.5/1 kapsamında amaç bazında değerlendirilir. Özel nitelikli veriler için güncel m.6/3 şartı ayrıca belirlenir. Alenileştirilmiş bilgi yalnızca ilgili kişinin alenileştirme iradesi ve amacıyla uyumlu kapsamda kullanılabilir.

1- Kişisel Veri Konusu Kişi Grupları

İlgili kişi grubu	Kapsam
Müşteri, üye ve potansiyel müşteri	Site üyeliği, sipariş, satış sonrası işlemler veya ürün hakkında iletişim kuran gerçek kişiler.
İnternet sitesi ziyaretçisi	Siteyi ziyaret eden veya çerez/erişim kaydı süreçleriyle verisi işlenen kişiler.
Şirket yetkilisi ve hissedarı	Şirket yönetimi ve kanuni kurumsal kayıtlarla bağlantılı gerçek kişiler
Tedarikçi ve iş ortağı irtibat kişileri	Gerçek hizmet ve sözleşme ilişkisi için gerekli yetkili ve çalışan bilgileri.
Çalışan, stajyer ve aday; varsa fiziksel ziyaretçi	Yalnızca gerçek istihdam, aday veya ziyaret faaliyeti ve bu faaliyete özgü ayrı aydınlatma kapsamında.

2- Veri Kategorizasyonu

Veri kategorisi	Süreçle sınırlı içerik
Kimlik ve iletişim	Ad, soyad, e-posta, telefon ve gerekli teslimat/fatura adresi. T.C. kimlik, vergi veya yabancı kimlik bilgisi yalnızca ilgili işlem ve mevzuat gerektiriyorsa.
Müşteri işlemi ve finans	Sipariş, teslimat, iade, fatura, tutar, ödeme sonucu/referansı ve gerekli iade hesap bilgisi. Kart verisine erişim varsa gerçek ödeme akışı ayrıca aydınlatılır.
Hukuki işlem ve başvuru	Talep, şikayet, KVKK başvurusu, uyuşmazlık ve yetkili makam yazışmalarında gerekli bilgi.
İşlem güvenliği ve çerez	Gerekli IP, oturum, erişim ve güvenlik kaydı; gerçek envanterde belirlenen çerez tanımlayıcıları. Parolalar düz metin saklanmaz; güvenli kimlik doğrulama tasarlanır.
Pazarlama tercihi	Ayrı amaçla işlenen sınırlı iletişim bilgisi, kanal tercihi, onay/ret kaydı; alışveriş geçmişiyle profil çıkarma ayrıca değerlendirilir.
Varsa çalışan, aday ve özel nitelikli veri	İş ilişkisi için gerekli özlük, mesleki deneyim ve yasal iş sağlığı bilgileri ayrı işlenir. Müşteriden sağlık, adli sicil, biyometrik veya aile bilgileri rutin olarak istenmez.
Varsa fiziksel güvenlik	Gerçek güvenlik ihtiyacıyla sınırlı ziyaret veya kamera kaydı; ayrı aydınlatma ve ölçülü süre. Ses kaydı olağan kamera işlevi sayılmaz.

3- Kişisel Veri Konusu Kişi Gruplarında Yer Alan Kişisel Veri Sahiplerinin Kişisel Verilerinin Toplanması Ve İşlenmesinin Amaçları

Şirketin e-ticaret işlemlerinde amaçlar; üyelik ve hesap yönetimi, sipariş, ödeme, fatura, kargo, teslimat, iade ve satış sonrası destek, talep/şikayet çözümü, güvenlik, kanuni kayıtlar ve hakların korunmasıdır. Gereken izinlerle pazarlama ve tercih yönetimi ayrıca yürütülür. Her amacın veri, hukuki sebep ve alıcısı site aydınlatma metninde eşleştirilir.

Diğer faaliyetlerde şirket yönetimi, gerçek tedarik ve sözleşme ilişkileri ile varsa istihdam/aday/iş sağlığı işlemleri amaç ve gereklilikle sınırlı yürütülür. Şirketle ilgisiz istihbarat, haber, okul, bağışçı veya koordinatör kategorileri kullanılmaz. İşleme envanteri genel bir amaç listesi değil, fiilen yürütülen faaliyeti gösterir.

4- Veri Konusu Kişi Grupları İle Bu Kişilere Ait Veri Kategorilerinin İlişkilendirilmesi

İlgili kişi ve süreç	İlişkili veri kategorileri
Müşteri/üye: üyelik ve satış	Gerekli kimlik ve iletişim; müşteri işlemi/finans; işlem güvenliği; gerektiğinde hukuki işlem. Pazarlama ancak ayrıca geçerli amaç ve şartla.
Site ziyaretçisi	İşlem güvenliği ve gerçek çerez envanteri; iletişim kurarsa gerekli iletişim ve talep verisi.
Tedarikçi/iş ortağı irtibat kişisi	Sözleşmeyle gerekli kimlik, iletişim, finans ve hukuki işlem.
Şirket yetkilisi/hissedarı	Kurumsal kayıt için gerekli kimlik, iletişim, finans ve hukuki işlem.
Varsa çalışan, stajyer ve aday	İlgili sürece gerekli kimlik, iletişim, özlük/deneyim ve finans; zorunlu özel nitelikli veriler yalnızca güncel m.6 şartıyla.
Varsa fiziksel ziyaretçi	İlgili ziyaret ve güvenlik faaliyetiyle sınırlı kimlik/ziyaret veya kamera kaydı.

KİŞİSEL VERİLERİN AKTARILMASI İLKELERİ

ARAS TEKSTİL, veri sahiplerinin kişisel verilerini, 6698 sayılı KVK Kanunu’nun 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları kapsamında ve işbu Politika’da belirtilmiş amaçlarla sınırlı olarak, KVK Kanunu’nun 8. ve 9. maddelerine uygun olmak suretiyle 3. kişi ve kurumlara aktarabilecektir.

Alıcı grupları aşağıdaki gerçek hizmetlerle sınırlı belirlenir. Şirket ortakları, halefleri veya bunların belirleyeceği belirsiz üçüncü kişilere genel erişim hakkı tanınmaz. Şirket içi erişim de görev ve ihtiyaçla sınırlanır.

Yurt içi aktarımda KVKK m.8 ve ilgili m.5 işleme şartı; özel nitelikli verilerde güncel m.6/3 şartı ile yeterli önlemlersağlanır. Veri minimizasyonu, alıcının gerçek rolü ve güvenlik yükümlülükleri değerlendirilir; sözleşme yapılması tek başına hukuki dayanak değildir.

Alıcı grubu	İlgili veri ve amaç	Aktarım sınırı
Kargo ve teslimat	Gerekli ad, teslimat adresi, iletişim ve gönderi bilgisi; teslimat/iade.	Satışın ifası için gereken kapsam; m.8 ve m.5/2(c).
Banka ve ödeme kuruluşu	Gerekli ödeme/iade işlem bilgileri; tahsilat ve iade.	Gerçek ödeme akışı ve taraf rolü; m.5/2(c), kanuni yükümlülük varsa ilgili şart.
E-ticaret, barındırma ve teknik destek	Gerçek hizmet için gerekli hesap, işlem ve teknik kayıtlar.	Talimat/amaç sınırı, görev erişimi ve m.12 güvenliği; yabancı erişimde m.9 ayrıca.
Muhasebe/e-fatura ve hukuk hizmetleri	Gerekli fatura, kanuni kayıt, uyuşmazlık ve başvuru bilgileri.	Kanuni yükümlülük veya hakkın korunmasıyla sınırlı; m.5/2(ç), m.5/2(e).
Kullanılıyorsa ileti veya çerez sağlayıcısı	Geçerli amaç ve tercihle sınırlı iletişim veya çerez verisi.	Pazarlama için gereken ayrı açık rıza; ileti onayı ve çerez tercihi; varsa m.9.
İYS ve yetkili makamlar	Onay/ret kaydı veya hukuken gerekli bilgi ve belge.	Kanuni kayıt ve yetki sınırı; gereksiz veri açıklanmaz.

Yurt dışına aktarımda KVKK m.9 kapsamında öncelikle m.5 veya m.6 işleme şartı ve ilgili ülke, sektör veya uluslararası kuruluş için yeterlilik kararı değerlendirilir. Yeterlilik kararı yoksa ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi sağlanarak uygun güvence tesis edilir. Uygun güvence için Kurulun standart sözleşmeleri, onaylı bağlayıcı şirket kuralları veya Kanunda düzenlenen diğer mekanizmalar kullanılabilir. Standart sözleşme tercih edildiğinde imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yapılır. Yeterlilik kararı ve uygun güvence bulunmayan istisnai aktarımlar ancak m.9 kapsamındaki arızi aktarım şartlarıyla sınırlıdır. Sürekli kullanılan yabancı hizmetler için genel bir açık rıza beyanı bu güvencelerin yerine geçirilmez.

KİŞİSEL VERİLERİN SAKLANMASI

Elde ettiğimiz kişisel veriler, ARAS TEKSTİL’in faaliyetlerinin devam edebilmesi amacıyla, uygun sürede fiziksel veya elektronik ortamda güvenli bir şekilde muhafaza edilmektedir. Söz konusu faaliyetler kapsamında, ARAS TEKSTİL tarafından kişisel verilerin korunmasına ilişkin olarak KVK Kanunu başta olmak üzere, ilgili tüm mevzuatta öngörülen yükümlülüklere uygun hareket edilmektedir. Kişisel verilerin daha uzun süre saklanmasına müsaade edilen veya zorunlu olan haller dışında, elde edilen kişisel verilerin işlenme amaçlarının sona ermesi durumunda, ARAS TEKSTİL tarafından re’sen yahut sahiplerinin talebi üzerine veriler silinecek, yok edilecek yahut anonim hale getirilecektir.

KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN ALINAN TEDBİRLER

ARAS TEKSTİL, KVKK m.12 uyarınca hukuka aykırı işleme ve erişimi önlemek, verilerin muhafazasını sağlamak için uygun güvenlik düzeyine yönelik gerekli tedbirleri almakla ve denetim yapmak/yaptırmakla yükümlüdür. Kontroller veri türü, erişim, hizmet sağlayıcı ve risk seviyesine göre belirlenir; uygulanma ve denetim kayıtları tutulur.

Teknik tedbirler

Asgari uygulama planında görevle sınırlı erişim, güçlü kimlik doğrulama ve parola güvenliği, güvenli iletişim/aktarım, gerekli şifreleme, güncel sistem ve zararlı yazılım önlemleri, güvenli yedekleme, olay/erişim kaydı, zafiyet yönetimi, saklama süresi kontrolü ve güvenli imha yer alır. Her tedbir için sorumlu, kapsam, doğrulama ve izleme yöntemi belirlenir. Kişisel veri yok edilirken geri getirilebilir içerik bırakılmaz; imha işleminin denetim kaydı korunur.

İdari tedbirler

Veri envanteri, süreç bazlı hukuki sebep, aydınlatma/izin yönetimi, gizlilik ve görev kuralları, eğitim, hizmet sağlayıcı değerlendirmesi, gerekli sözleşmeler, başvuru yönetimi ve olay müdahale prosedürü uygulanır. ARAS TEKSTİL adına veri işleyenlerde KVKK m.12/2 kapsamındaki müşterek sorumluluk gözetilir. Bağımsız veri sorumlularının kendi yükümlülükleri ve ARAS TEKSTİL’in aktarım sorumluluğu ayrıca değerlendirilir.

Özel nitelikli veriler

Gerçek işleme varsa özel nitelikli veri için ayrı politika, görevle sınırlı yetki, güvenli saklama/aktarım, eğitim ve Kurulun 2018/10 sayılı kararındaki yeterli önlemler sağlanır. İhtiyaç yoksa bu veriler alınmaz; genel müşteri sistemlerine taşınmaz.

İhlal ve denetim

Kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiği öğrenildiğinde olay derhal şirket yönetimine ve görevlendirilen KVKK sorumlusuna bildirilir; erişim sınırlandırılır, deliller korunur ve ihlalin kapsamı ile etkilenen kişiler tespit edilir. Kurula bildirim, öğrenme anından itibaren gecikmeksizin ve en geç 72 saat içinde yapılır. Bilgiler henüz tamamlanmamışsa ilk bildirim yapılarak eksikler gecikmeksizin tamamlanır; süre aşımının nedeni açıklanır. Etkilenen ilgili kişiler belirlendikten sonra makul olan en kısa sürede doğrudan bilgilendirilir; doğrudan ulaşılamıyorsa uygun diğer yöntemler kullanılır. Alınan tedbirler ve bildirim zamanları kayıt altına alınır.

Risk ve işlem değişikliğinde kontroller gözden geçirilir; denetim bulguları, düzeltme sorumlusu ve tamamlanma tarihi kayıt altına alınır. Verinin imhasına ilişkin işlemler en az üç yıl kayıtlı tutulur; daha uzun kanuni yükümlülük varsa uygulanır.

VERİ SORUMLUSUNUN DİĞER YÜKÜMLÜLÜKLERİ

Aydınlatma Yükümlülüğü: Veri elde edilirken verisorumlusu, amaç, alıcı, yöntem ve hukuki sebep ile ilgili kişinin hakları açıkça bildirilir. Aydınlatmanın sunulması ve gerekli açık rızanın alınması ayrı işlemlerdir; genel politikaya yönlendirme tek başına işlem bazlı aydınlatmayı karşılamaz.

Veri Güvenliği Yükümlülüğü: ARAS TEKSTİL uygun güvenlik düzeyine yönelik gerekli teknik ve idari tedbirleri almakla yükümlüdür; uygulanan kontroller ve eksikler kayıtla takip edilir. Politika metni bütün yükümlülüklerin yerine getirildiğine ilişkin mutlak bir garanti değildir.

Denetim Yükümlülüğü: Kanunun uygulanmasını sağlamak için gerekli denetimler yapılır veya yaptırılır; tespit edilen eksikler sorumlu ve süre belirlenerek giderilir.

Sır Saklama Yükümlülüğü: Kişisel veriler KVKK m.5, m.6, m.8 ve m.9 şartları dışında açıklanamaz, kullanılamaz veya kullandırılamaz. Açık rıza, hukuka aykırı işlemi veya diğer yükümlülüklerin ihlalini kendiliğinden hukuka uygun hale getirmez. Görevli çalışan ve veri işleyenlerin gizlilik yükümlülüğü görev sona erdikten sonra da devam eder.

İhlal Bildirim Yükümlülüğü: Yukarıdaki olay müdahale prosedürü uygulanır; Kurula öğrenmeden itibaren gecikmeksizin ve en geç 72 saat içinde, etkilenen ilgili kişilere ise belirlendikten sonra makul olan en kısa sürede bildirim yapılır.

Başvuruları Cevaplama Yükümlülüğü: Başvurular en kısa sürede ve en geç otuz gün içinde kural olarak ücretsiz sonuçlandırılır; gerekçeli cevap yazılı veya elektronik ortamda iletilir. Telefon görüşmesi yalnızca talebi netleştirmek için kullanılabilir ve yazılı veya elektronik cevabın yerine geçmez. Ancak işlem ayrıca bir maliyet gerektiriyorsa Kurul tarafından belirlenen tarifedeki ücret alınabilir. Başvurunun Şirketin hatasından kaynaklanması halinde alınan ücret iade edilir.

VERİ SAHİBİNİN HAKLARI VE BU HAKLARINI KULLANMASI

1- Veri Sahibinin Hakları

Veri sahibi olarak Kanun’un 11. maddesi uyarınca aşağıdaki haklara sahip olduğunuzu belirtmek isteriz:

Kişisel verilerinizin işlenip işlenmediğini öğrenme,
Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,
Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,
Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
Kanun’a ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkması durumunda buna itiraz etme,
Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme.

Yukarıda sıralanan haklarınıza yönelik şirketimize başvuruda bulunmanız halinde, talebinizin niteliğine göre en kısa sürede ve en geç otuz gün içinde başvurularınız ücretsiz olarak sonuçlandırılacaktır; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenecek tarifeye göre tarafınızdan ücret talep edilebilecektir. Gerek görülen durumlarda talebin daha iyi anlaşılabilmesi için detaylı ve ek bilgi istenebilmektedir. Başvurunun usul ve esasları aşağıda açıklanmıştır.

KVKK m.28 istisnaları yalnızca somut işleme faaliyetinin bütün yasal şartları karşılaması halinde, gerekli kapsamla sınırlı uygulanır. Kamu kurumlarına veya yargı mercilerine özgü istisnalar, ARAS TEKSTİL faaliyetleri için kendiliğinden ret nedeni oluşturmaz. M.28/2 uygulanıyorsa zararın giderilmesini isteme hakkı saklıdır. Verinin internette bulunması veya başvurunun emek gerektirmesi tek başına ret gerekçesi değildir; ilgili kişinin kendi alenileştirme iradesi ve amacı ayrıca değerlendirilir.

2- Kişisel Veri Sahibinin Haklarını Kullanması

Haklarınıza ilişkin başvurunuzu Meşrutiyet Mahallesi, Hacımansur Sokak No: 40, İç Kapı No: C, Şişli/İstanbul adresine elden veya posta yoluyla yazılı olarak; Şirketimize daha önce bildirilen ve sistemimizde kayıtlı e-posta adresinizi kullanarak ya da güvenli elektronik imza veya mobil imza ile [email protected] adresine iletebilirsiniz. Kurulun belirlediği diğer yöntemler de kullanılabilir. Başvuru formu kolaylık sağlamak içindir; Tebliğdeki zorunlu bilgileri taşıyan başvurular form kullanılmadan da yapılabilir. Noter aracılığıyla başvuru zorunlu değildir.

Elektronik başvuru adresi: [email protected]. Doğrulanmış KEP veya özel başvuru yazılımı kullanılması halinde ilgili yöntem ayrıca duyurulur.

Yazılı başvuru adresi: Meşrutiyet Mahallesi, Hacımansur Sokak No: 40, İç Kapı No: C, Şişli/İstanbul. Elden, posta veya isteğe bağlı noter aracılığıyla başvuru yapılabilir.

Temsilci aracılığıyla başvuruda, başvuruya uygun kimlik ve temsil yetkisi doğrulanır. Her başvuru için özel noter vekaletnamesi zorunluluğu aranmaz; avukat veya diğer temsilcinin yetkisi ilgili mevzuata uygun belgeyle değerlendirilir. Ek belge yalnızca somut doğrulama gereksinimi ölçüsünde istenir.

3- Kişisel Veri Sahibinin KVK Kurulu’na Şikayette Bulunma Hakkı

Kişisel veri sahibi KVK Kanunu’nun 14. maddesi gereğince başvurunun reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde başvuruya cevap verilmemesi hallerinde; ARAS TEKSTİL’in cevabını öğrendiği tarihten itibaren otuz ve herhalde başvuru tarihinden itibaren altmış gün içinde KVK Kurulu’na şikayette bulunabilir.

ARAS TEKSTİL’İN BAŞVURULARA CEVAP VERMESİ

1- ARAS TEKSTİL’in Başvurulara Cevap Verme Usulü ve Süresi

Başvurular en kısa sürede ve en geç otuz gün içinde kural olarak ücretsiz sonuçlandırılır; gerekçeli cevap yazılı veya elektronik ortamda iletilir. Telefon görüşmesi yalnızca talebi netleştirmek için kullanılabilir ve yazılı veya elektronik cevabın yerine geçmez. Ancak işlem ayrıca bir maliyet gerektiriyorsa Kurul tarafından belirlenen tarifedeki ücret alınabilir. Başvurunun Şirketin hatasından kaynaklanması halinde alınan ücret iade edilir.

2- ARAS TEKSTİL’in Başvuruda Bulunan Kişisel Veri Sahibinden Talep Edebileceği Bilgiler

Kimlik ve temsil yetkisi doğrulaması gerekli ve ölçülü bilgiyle yapılır. Tam kimlik belgesi sureti otomatik olarak istenmez; gereksiz alanlar kapatılır ve daha az veriyle doğrulama tercih edilir. Talebi netleştirmek için ek bilgi istenebilir; bu işlem kanuni cevap süresini kendiliğinden uzatmaz.

3- ARAS TEKSTİL’in Kişisel Veri Sahibinin Başvurusunu Reddetme Hakkı

Talep, yalnızca somut ve açıklanabilir bir hukuki engel bulunduğunda, örneğin işleme ve saklama şartlarının devam etmesi nedeniyle imhanın mümkün olmaması veya uygulanabilir bir kanuni istisna bulunması halinde gerekli kapsamla sınırlı reddedilebilir. Başka kişilerin verilerini korumak için mümkünse maskeleme veya kısmi cevap yöntemi uygulanır. Ret cevabında gerekçe, ilgili mevzuat, devam eden işleme amacı ve başvuru yolları açıklanır; cevap en geç otuz gün içinde yazılı veya elektronik olarak bildirilir.

REVİZYON VE YÜRÜRLÜKTEN KALDIRMA

İşbu Politika’nın revizyon edilmesi veya yürürlükten kaldırılması halinde Politika’nın revizyon edilmiş hali veya yeni politika örneği ilgili yerlerde ilan edilecektir.

YÜRÜTME

Politikanın yürütülmesinden şirket yönetimi ile yazılı olarak görevlendirilen süreç sorumluları sorumludur. Envanter, başvuru, saklama/imha ve ihlal bildirim görevleri ayrı belirlenir; görevlendirilen kişi ve yedeklerine erişilebilir iletişim kanalı sağlanır. İhtiyaca göre dış teknik veya hukuki hizmet alınması veri sorumlusunun sorumluluğunu kaldırmaz.