JYSK ev ürünleri perakende ticaret anonim şirketi
Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi prosedürü

İçindekiler

1. Giriş

2. Amaç ve kapsam                                                                                               

3. Tanimlar ve kisaltmalar

4. Kişisel verilerin saklandiği veri kayit ortamlari

5. Uygulama yöntemleri                                                                

5.1. İmha                                                                                                                                      

5.1.1. Resmen İmha                                                                                                                       

5.1.2. Talep Üzerine İmha                                                                                                           

5.2. Kişisel Verilerin Silinmesine ve Yok Edilmesine Yönelik Yöntemler                                

5.2.1. Kişisel Verilerin Silinmesine Dair Yöntemler                                                                  

5.2.1.1. Basılı Ortamda Tutulan Verilere Yönelik Yöntemler                                                    

5.2.1.2. Elektronik Ortamda Tutulan Verilere Yönelik Yöntemler                                             

5.2.2. Kişisel Verilerin Yok Edilmesine Dair Yöntemler                                                           

5.2.2.1. Basılı Ortamda Tutulan Verilere Yönelik Yöntemler                                                    

5.2.2.2. Elektronik Ortamda Tutulan Verilere Yönelik Yöntemler                                             

5.3. Kişisel Verilerin Anonim Hale Getirilmesine Yönelik Yöntemler                                      

5.3.1. Maskeleme                                                                                                                         

5.3.2. Değişkenleri Çıkartma                                                                                                       

5.3.3. Kayıtları Çıkartma                                                                                                             

5.3.4. Rastgeleleştirme                                                                                                                

5.3.4.1. Veri Karması                                                                                                                  

5.3.4.2. Gürültü Eklenmesi                                                                                                        

5.4. Kişisel Verilerin Hukuka Uygun Silinmesi, Yok Edilmesi ve 

Anonim Hale Getirilmesi İçin Alınan Tedbirler                                                                       

6. Kişisel verilerin güvenliğine yönelik teknik ve idari tedbirler  11

6.1. Kişisel Verilerin Güvenliğine Yönelik Teknik Tedbirler                                                   

6.2. Kişisel Verilerin Güvenliğine Yönelik İdari Tedbirler                                                      

7. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale 

Getirilmesi süreçlerinde yer alan kişiler ve sorumluluklari

8. Güncelleme periyodu

9. Yürürlük

10. Prosedür’ün yürürlükten kaldirilmasi 

1. Giriş

JYSK Ev Ürünleri Perakende Ticaret Anonim Şirketi (“Veri Sorumlusu” veya “Şirket”) olarak, gerçek kişilerin kişisel verilerinin Türkiye Cumhuriyeti Anayasası, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve 28.10.2017 tarih ve 30224 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) başta olmak üzere ilgili mevzuata uygun olarak saklanmasına ve gerektiği şekilde ve sürede imha edilmesine dikkat etmekteyiz.

Bu sebeple, yürütmekte olduğumuz iş süreçleri esnasında elde edilen tüm kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi ile ilgili işlemler işbu Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Prosedürü’ne (“Prosedür”) göre belirlenmekte ve gerçekleştirilmektedir.

2. Amaç ve kapsam 

Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi süreçlerinde, bu verilerin hukuka aykırı olarak silinmesi, yok edilmesi ve anonim hale getirilmesini önlemek amacıyla teknik ve idari tedbirler alınmaktadır. 

Bu bağlamda, tarafımızca kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi süreçleri sırasında özel hayatın gizliliğinin korunması, veri güvenliği ve etkili kanun yollarını kullanma hakları, hukuki yükümlülüklerimiz ile birlikte sürekli olarak gözetilmektedir

Prosedür, tüm kişisel verilerin elektronik ve basılı her türlü ortamda silinmesi, yok edilmesi ve anonim hale getirilmesine yönelik faaliyetlerde uygulanmakta olup KVKK ve kişisel verilere ilişkin ilgili diğer mevzuat ve bu alandaki uluslararası düzenlemeler ve yol gösterici belgeler gözetilerek ele alınıp hazırlanmıştır. Çalışanlar, çalışan adayları, ziyaretçiler, iş bağlantıları, müşteriler ve platform kullanıcıları dahil olmak üzere Şirket tarafından işlenen tüm ilgili kişilerin kişisel verileri işbu Prosedür’ün kapsamındadır.

3. Tanimlar ve kisaltmalar 

Bu bölümde Prosedür’de yer alan teknik ve hukuki kavramlar kısaca açıklanmaktadır. Buna göre;

• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi işlemini,
• İlgili Kişi: Kişisel verisi işlenen gerçek kişiyi,
• İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel veriyi işleyen kişiyi,
• Kanun: 07/04/2016 tarihli ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nu,
• Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı,
• Kişisel veri: Kimliği belli veya belirlenebilir her türlü kişiye ait bilgiyi,
• Kişisel Veri Saklama ve İmha Politikası: Şirket Kişisel Veri Saklama ve İmha Politikası’nı,
• Kişisel verilerin silinmesi: Tamamen veya kısmen otomatik yollarla işlenen kişisel verilerin ilgili kullanıcılar tarafından yapılan işlem sonucunda hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesini,
• Kişisel verilerin yok edilmesi: Yok etme, bilgilerin saklandığı veri saklamaya elverişli tüm fiziksel kayıt ortamlarının yapılan işlem sonucunda tekrar geri getirilemeyecek ve kullanılamayacak hale getirilmesini,
• Kişisel verilerin anonim hale getirilmesi: Kişisel verilerin yapılan işlem sonucunda başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir gerçek kişiler ile ilişkilendirilemeyecek hale getirilmesini,
• İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,
• Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemini,
• Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
• Karartma: Kişisel verilerin bütününün, kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilmeyecek şekilde üstlerinin çizilmesi, boyanması ve buzlanması gibi işlemleri,
• Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,
• Yönetmelik: 28.10.2017 tarih ve 30224 sayılı Resmi Gazete’ de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik’i ifade eder.

4. Kişisel verilerin saklandiği veri kayit ortamlari

Faaliyetlerimiz sırasında elde edilen tüm kişisel verileri saklamak amacıyla aşağıda yer alan kayıt ortamları kullanılmaktadır:

5. Uygulama yöntemleri  

5.1. İmha

İmha kavramı, kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi işlemlerinin tamamını ifade etmektedir. Bu işlemler gerçekleştirildikleri sürenin niteliği bakımından resen ve talep üzerine olmak üzere ikiye ayrılmaktadır.

5.1.1. Resen İmha

Kişisel verilerin mevzuatta yer alan işlenme şartlarının ortadan kalkması durumunda tekrar eden aralıklarla silinmesi, yok edilmesi ve anonim hale getirilmesi resen imha olarak tanımlanmaktadır. 

Tekrar aralıklarının süresinin ise imhası en uzun sürecek olan veri türüne göre belirlenmesi ve bu belirlenen sürenin ilgili mevzuat gereğince 6 aydan fazla olmaması gerekmektedir.

5.1.2. Talep Üzerine İmha

Talep üzerine imha, kişisel verilerin kanunda yer alan işlenme şartlarının ortadan kalkması durumunda, veri sorumlusu tarafından ilgili kişinin talebi doğrultusunda silinmesi, yok edilmesi ve anonim hale getirilmesi işlemidir. İşleme şartlarının ortadan kalkmadığı durumlarda ise ilgili kişinin başvurusu durumunda bu talep gerekçesi açıklanmak şartıyla veri sorumlusu tarafından reddedilebilir.

5.2. Kişisel Verilerin Silinmesine ve Yok Edilmesine Yönelik Yöntemler

5.2.1 Kişisel Verilerin Silinmesine Dair Yöntemler

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirket olarak, kişisel verilerin hukuka uygun olarak silinmesi işlemini gerçekleştirebilmek amacıyla tarafımızca kullanılan ve Kişisel Verileri Koruma Kurulu’nun yayınlarında da belirtilen tekniklerden bazıları şu şekildedir:

5.2.1.1. Basılı Ortamda Tutulan Verilere Yönelik Yöntemler

• Kâğıt üzerinde bulunan kişisel veriler karartma (maskeleme) yöntemi kullanılarak veya
• Belgenin ilgili kullanıcıların erişemeyeceği bir ortamda güvenli olarak saklanması sureti ile silinmektedir.

5.2.1.1. Elektronik Ortamda Tutulan Verilere Yönelik Yöntemler

Kişisel veriler, saklandıkları kayıt ortamlarına göre, aşağıda yer alan yöntemlerle silinmektedir:

5.2.2. Kişisel Verilerin Yok Edilmesine Dair Yöntemler

Kişisel verilerin yok edilmesi, kişisel verilerin hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirket olarak, kişisel verilerin hukuka uygun olarak yok edilmesini gerçekleştirebilmek amacıyla tarafımızca kullanılan ve Kişisel Verileri Koruma Kurulu’nun yayınlarında da belirtilen tekniklerden bazıları şu şekildedir:

5.2.2.1 Basılı Ortamda Tutulan Verilere Yönelik Yöntemler

Kişisel veri içeren belgeler;

• Kâğıt kesme makinesi ile öğütme,
• Yakma ve 
• Geri dönüşüm

gibi yöntemler ile yok edilmektedir.

5.2.2.2. Elektronik Ortamda Tutulan Verilere Yönelik Yöntemler

Kişisel veriler, bulunduğu sistemlerin türüne göre aşağıda yer alan yöntemlerden bir veya birkaçı kullanılarak yok edilmektedir

5.3. Kişisel Verilerin Anonim Hale Getirilmesine Yönelik Yöntemler

Kişisel veriler, hukuka uygun olarak işlenmesini gerektiren sebeplerin ortadan kalması halinde veri sorumlusu tarafından anonim hale getirilebilir. Bu kapsamda, Kişisel Verileri Koruma Kurulu yayınlarında ifade edilmiş ve aşağıda da belirtilmiş olanlarla sınırlı olmamak üzere çeşitli anonim hale getirme teknikleri kullanılmaktadır.

5.3.1. Maskeleme

Bu yöntem, kişisel veri niteliğindeki bir bilginin, belirli alanlarının kaldırılarak veya değiştirilerek ilgili kişi ile bağının kesilmesini ifade eder. Örneğin, isim ve soy isim bilginizdeki bazı kısımların yıldızlanması işlemi uygulanacaktır. (“**n* ****n”)

Şirket amaçlarını gerçekleştirebilmek amacıyla yürüttüğümüz faaliyetlerimiz esnasında hukuka uygun şekilde saklanan verilerin saklama sürelerinin dolması durumunda veri ile kişi arasındaki bağı koparmak amacıyla maskeleme yapılacaktır. Örneğin, kişinin kredi kartı numarasının bir kısmının yıldızlanması işlemi uygulanacaktır. (6698 **** **** 0006) 

5.3.2. Değişkenleri Çıkartma           

Bu anonim hale getirme yönteminde değişkenlerden bir veya birkaçı bir sütun halinde tablodan çıkartılmakta ve bu sayede ilgili kişinin tespit edilebilmesi güçleştirilmektedir. Bu yöntem; değişkenin kamuya ifşa edilmeyecek derecede hassas bir veri olması veya değişkenin yüksek dereceli bir tanımlayıcı olması durumlarında kullanılmaktadır.

5.3.3. Kayıtları Çıkartma

Bu yöntemde veri kümesinde yer alan ve tekillik teşkil eden bir satırın çıkartılması ile anonimlik kuvvetlendirilmektedir.

Örneğin, bir anket çalışmasına katılmış olan ve cinsiyeti kadın olan tek bir kişi bulunmaktadır. Bu kişiye ait satır veri kümesinden çıkartılarak veri kümesine dair üretilebilecek varsayım ihtimali düşürülmektedir. 

5.3.4. Rastgeleleştirme

Rastgeleleştirme, veri karması ve gürültü eklenmesi gibi, veri ile ilgili kişi arasındaki bağı tamamen ortadan kaldırmayan fakat verinin doğruluğunu azaltmak suretiyle bu bağı zayıflatan birtakım yöntemleri kapsamaktadır. 

5.3.4.1.Veri Karması

Bu yöntemde, belirli bir veri kümesindeki bazı bilgiler söz konusu küme üzerinde gerçekleştirilecek incelemeyi etkilemeyecek şekilde karıştırılmaktadır. 

Örneğin, çalışanların yaş ortalaması alınmak istenen bir departmanda çalışanların yaşlarını gösteren değerlerin birbiriyle değiştirilmesi durumunda veri karması yapılmıştır. 

Bu yöntem, Şirket tarafından kullanılan yazılımlar ve veri tabanları göz önüne alındığında veri tutarlılığını bozacağı gerekçesiyle uygulanmayacak olup uygun koşullar oluştuğunda uygulanabilecektir.

5.3.4.2. Gürültü Eklenmesi

Bu yöntem ile veri kümesinde yer alan değer, ekleme veya çıkarma işlemi ile belirlenen ölçüde değiştirilmektedir. 

Örneğin, yukarıda yer veri kümesinde yer alan her bir yaş değerine 5 eklenmesi sonucunda bu yaş değeri değiştirilmiş ve yeni değerler oluşturulmuştur.

5.4. Kişisel Verilerin Hukuka Uygun Olarak Silinmesi, Yok Edilmesi ve Anonim Hale Getirilmesi İçin Alınan Tedbirler

Prosedür kapsamında, işlenmekte olan tüm kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi hukuka uygun olarak daha önce belirtilen yöntemler çerçevesinde yerine getirilmektedir. 

Bu imha süreci öncesinde veya imha sürecinde herhangi bir suistimal veya sızıntının olmaması için, aşağıdakilerle sınırlı olmamak üzere, çeşitli idari ve teknik tedbirler almaktayız. Bu kapsamda;

• Kişisel verilerin bulunduğu veri tabanları ve sunuculara yapılan erişimlerde erişim kayıtlarının tutulmasını,
• Kişisel verilere erişme ve bu verilerin işlenmesinin gerektiği durumlarda bu işlemleri yapacak olan çalışanlara yetkinin verilebilmesi için gerekli onay sürecinin yönerge ile belirlenmesini,
• Veri kayıt ortamının fiziksel imhası işlemlerinin işlem tarihini içeren bir tutanak ile kayıt altına alınmasını,
• Güncel ve standartlara uygun veri silme yazılımlarının kullanılmasını,
• Kişisel verinin bulunduğu ortam göz önüne alınıp anonim hale getirme işlemi ile ilgili olarak en uygun yöntemin seçilip uygulanmasını,
• Kişisel verileri barındıran yedeklerin geri yüklenmesi sırasında kişisel verilerin tekrar anonim hale getirme işlemine tabi tutulabilmesi için yazılımlara gerekli düzenlemelerin yapılmasını,
• Yok etme, silme ve anonim hale getirme işlemlerini gerçekleştirecek olan çalışanların gerekli hukuki ve teknik eğitimlerinin gerçekleştirilmesini,
• Yapılacak işlemler ile ilgili yönergelerin hazırlanmasını, 
• Yok etme, silme ve anonim hale getirme işlemleri uygulanacak olan kişisel veriler ile ilgili olarak gerekli onay ve denetim mekanizmalarının gerçekleştirilmesini ve
• Gerek duyulduğunda uzman profesyonellerden destek alınmasını sağlamaktayız.

6. Kişisel verilerin güvenliğine yönelik teknik ve idari tedbirler

Kişisel verilerin hukuka uygun olarak silinmesi, yok edilmesi ve anonim hale getirilmesi süreçlerinde kullanılan mevcut teknolojiler göz önüne alınarak, aşağıdakilerle sınırlı olmamak üzere, her türlü teknik ve idari tedbir alınmaktadır.

6.1. Kişisel Verilerin Güvenliğine Yönelik Teknik Tedbirler

Bu kapsamda;

• Şirket’e ait cihazlarda kullanılmakta olan anti virüs programlarının güncel olmasını,
• Şirket cihazlarında yüklü işletim sistemlerinin güncellemelerinin ve yamalarının zamanında yapılmasını, 
• Şirket bilgisayarlarının güvenlik duvarının açık durumda olmasını,
• Sistem odalarının fiziksel ve çevresel güvenliğini,
• Kullanıcıların sistemlere giriş yaparken benzersiz kullanıcı adı ve parola kullanmalarını,
• Kullanılan sistemlere yönelik açıklık analizi ve sızma testlerinin yapılmasını ve yapılan analiz ve test sonuçlarına göre gerekli tedbirlerin teknik olanaklar çerçevesinde mümkün olan en kısa sürede alınmasını,
• Sanal platformlarda ödeme gerçekleştirilirken “3D secure” olarak sistemin kullanılmasını,
• Bir ağ üzerindeki bilgilerin gizliliğini sağlayan SSL şifreleme sisteminin kullanılmasını,
• Kullanıcıdan alınan ve veri tabanlarında saklanacak olan bilgilerin ilgili veri tabanlarında eğer mümkünse şifreli olarak saklanmasını,
• Yetkili kullanıcıların ve servis hesaplarının parolalarının parola yönetimi altyapısı veya sayısal kasa yazılımlarıyla yönetilmesinin sağlanmasını,
• Taşınabilir bilgisayarların ve taşınabilir veri kayıt ortamlarının mümkün olduğunda şifrelenmiş depolama alanlarına sahip olmasının sağlanmasını,
• Önem derecesine göre sınıflandırılmış olan verilerin belli zaman aralıklarında yedeklenmesini ve
• Kişisel verilerin Şirket yetkilileri de dahil olmak üzere, yetkisiz kişi veya kişilerle paylaşılmamasını sağlamaktayız.

6.2. Kişisel Verilerin Güvenliğine Yönelik İdari Tedbirler

Bu kapsamda;

• Çalışanlarımızın kişisel verilerin hukuka uygun işlenmesi konusunda eğitilmesini ve bilgilendirilmesini,
• Parola prosedürü gibi bilgi güvenliği ile ilgili prosedürlerin düzenlenmesini ve titizlikle uygulanmasını,
• Verilerinizin Şirket çalışanları tarafından hukuka aykırı olarak işlenmesi halinde alınacak tedbirlerin çeşitli politika ve prosedürlerle düzenlenmesini,
• İhtiyaç duyulmayan kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,
• Bilginin çalınmasını, kaybolmasını veya bozulmasını engellemek amacıyla tüm makul önlemlerin alınmasını,
• Ortaya çıkabilecek riskler ile risk kontrol ve önlem adımlarının belirlenmesini,
• Veriye erişim sürecinde onay ve denetim mekanizmalarının benimsenmesini ve
• 3. kişilerle veri paylaşımının kapsamını belirleyen gizlilik sözleşmelerinin ve diğer sözleşmelerdeki gizlilik hükümlerinin yürürlüğe konulmasını sağlamaktayız.

7. Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi süreçlerinde yer alan kişiler ve sorumluluklari

7.1. [.... İnsan Kaynakları Birimi
Setenay Özbaş , işbu Politika’ya, kural ve düzenlemelere uyulmaması durumunda bildirim, inceleme ve yaptırım mekanizmalarının belirlenmesi ve işletilmesinin üst gözetiminden sorumludur.  

7.2. İnsan Kaynakları Birimi
İşbu Politika, JYSK tarafından onaylanmış olup, Setenay Özbaş Politika’nın oluşturulmasının, uygulanmasının ve gerektiğinde güncellenmesinin sağlanması konusunda yetkili onay mekanizmasıdır. Setenay Özbaş, sorumlu oldukları faaliyetlerde, görev alan çalışanlarla beraber dış hizmet alınan firmaların Politika’ya uyumu için gerekli tedbirlerin alınması, Politika’ya aykırı hususların tespiti amacıyla konuların incelenmesi ve ’na bildirilmesinden sorumludur.  

7.3. İnsan Kaynakları Birimi
İşbu Politika’nın hazırlanması, geliştirilmesi, yürütülmesi ve güncellenmesinden Setenay Özbaş sorumludur. Setenay Özbaş bu Politika’yı gerektiğinde güncelliği ve geliştirme ihtiyaçları açısından değerlendirir.  

7.4. İnsan Kaynakları Birimi
Hazırlanan dokümanın kurum içi dağıtımının yapılması Setenay Özbaş’ın sorumluluğundadır.  

7.5.  İnsan Kaynakları Birimi

Setenay Özbaş bu Politika çerçevesinde, Şirket’in kamuyu bilgilendirme uygulamalarını, şeffaf bir şekilde tüm ilgililere eş zamanlı olarak yapmaktan sorumludur. Hazırlanan dokümanın internet sitesinde yayınlanması Setenay Özbaş sorumluluğundadır.

8. Güncelleme sikliği

İşbu Prosedür belirlenecek olan periyodik imha süre aralığı içerisinde güncellenecektir.

9. Yürürlük

İşbu Prosedür, Yönetim Kurulu onayı ile 01.01.2024 tarihinde yürürlüğe girecektir.

10. Prosedürün yürürlükten kaldirilmasi

İşbu Prosedür’ün yürürlükten kaldırılmasına karar verilmesi halinde, Prosedür’ün ıslak imzalı eski nüshaları Setenay Özbaş yazılı onayı ile [İnsan Kaynakları] tarafından iptal edilerek (iptal kaşesi vurularak veya iptal yazılarak) imzalanır ve 10 yıl süre ile [İnsan Kaynakları Departmanı] tarafından saklanır.

JYSK Ev Ürünleri Perakende Anonim Şirketi