Bu politika veri sorumlusu sıfatıyla TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından yürütülen her türlü faaliyette 6698 Sayılı Kişisel Verilerin Korunması Kanunu’na (Kanun) uygun olarak kişisel verilerin işlenmesi, korunması, saklanması ve imhasına yönelik benimsenen yöntemleri tarif etmeyi ve Kanun’un 10. Maddesinde belirtilen aydınlatma yükümlüğünü detaylandırmayı amaçlamaktadır. Bu politika, kişisel verilerin TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından toplanması, kullanılması, paylaşması, saklanması ve imhası süreçlerinde uygulanan prensipleri içerir. TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından işlenen; çalışan, çalışan yakını, çalışan adayı, ziyaretçi, referans ve müşterilere ait kişisel veriler ile ilgili kişileri bilgilendirmeyi amaçlanmaktadır.

2. Kapsam

Bu politika; TAFF Danışmanlık Sanayi ve Ticaret A.Ş. nin sahip olduğu ya da TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından yönetilen çalışan, çalışan yakını, çalışan adayı, ziyaretçi, referans ve müşterilere ait kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetleri kapsar.

3. Yetki ve Sorumluluklar

Kurum içerisinde Kanun, Yönetmelik ve Politika ile belirtilen kişisel verilerinin; saklanması ve imhasına dair gereklerin yerine getirilmesinde tüm çalışanlar, dış hizmet sağlayıcıları ve diğer surette kurum nezdinde kişisel veri saklayan ve işleyen herkes bu gerekleri yerine getirmekten sorumludur. Her iş birimi kendi iş süreçlerinde ürettiği veriyi saklamak ve korumakla yükümlüdür.

KVK Kurulu ile yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme ve sicile kayıt gibi işlemlerin sorumluluğu Veri Sorumlusu İrtibat Kişisindedir.

Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev tanımlarına ait dağılım aşağıda detaylandırılmıştır;

Veri Sorumlusu İrtibat Kişisi: Veri sorumlusu adına KVKK ‘da belirlenmiş usul ve esaslar çerçevesinde yapılması gereken iş ve işlemleri tasarlamak, planlamak, gerçekleştirmek ve ilgili aksiyonları organize etmek, denetimleri sağlamak.

4. Tanımlar ve Kısaltmalar

Tanım / Kısaltma	Açıklama
Açık Rıza	Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
İlgili Kullanıcı	Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.
Veri Sahibi/İlgili Kişi	Kişisel verisi işlenen gerçek kişi.
İmha	Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
Kanun	KVKK 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
Anonim Hale Getirme	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
Kayıt Ortamı	Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
Kişisel Veri	Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Kişisel Veri Envanteri	Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.
Kişisel Verilerin İşlenmesi	Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Kişisel Verilerin Anonim Hale Getirilmesi	Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
Kişisel Verilerin Silinmesi	Kişisel verilerin silinmesi; kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
Kişisel Verilerin Yok Edilmesi	Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
Kurul	Kişisel Verileri Koruma Kurulu.
Elektronik Ortam	Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.
Elektronik Olmayan Ortam	Elektronik ortamların dışında kalan tüm yazılı, basılı, görsel vb. diğer ortamlar.
Özel Nitelikli Kişisel Veri	Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
Periyodik İmha	Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda bu politikada belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
Veri Sahibi/İlgili Kişi	Kişisel verisi işlenen gerçek kişi.
Veri İşleyen	Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
Veri Sorumlusu	Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
Yönetmelik	28 Ekim 2017 tarihinde Resmi Gazete ’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.
Veri Kayıt Sistemi	Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
Çalışan	TAFF Personeli.
Hizmet Sağlayıcı	TAFF ile belirli bir sözleşme çerçevesinde hizmet sağlayan gerçek veya tüzel kişi.
Paydaş	TAFF’ın faaliyetlerinin yürütülmesi sırasında kişisel verileri işlediği ve transfer ettiği çalışan, çalışan yakını, çalışan adayı, ziyaretçi, referans ve müşterileri ifade etmektedir.

5. Kişisel Verilerin İşlenmesi ve Korunması Politikası

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. kişisel verileri korunması ve işlenmesi için gerekli tedbirleri ve uygulanan süreci işbu politika ile somut bir şekilde ortaya koymaktadır. İlgili kanunlar ve yönetmelikler ile bu politikanın uyumsuz olduğu durumlarda ya da güncellenen mevzuatlar doğrultusunda politikanın güncel olmaması halinde TAFF Danışmanlık Sanayi ve Ticaret A.Ş. yürürlükteki mevzuata uyacağını kabul etmektedir. Kanunun, yönetmelik ve mevzuatlarda olan değişikliklere göre bu politika güncellenip, TAFF Danışmanlık Sanayi ve Ticaret A.Ş.’nin yasal gereklikleri yerine getirmesi için revize edilir.

5.1. Kişisel Veri Sahipleri

Politika içerisinde, kişisel veri sahipleri ile ilgili faaliyetler ifade edilirken aşağıda belirtilen kategori bilgileri kullanılarak bilgilendirmeler yapılacaktır;

Veri Sahibi Kategorisi

Çalışanlar

Çalışan Yakını

Çalışan Adayı

Müşteri

Referans

Ziyaretçi

5.2. İşlenen Kişisel Veriler

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. aşağıda belirtilen kişisel verileri işlemektedir:

Veri Sahibi	Veri Kategorileri
Çalışanlar	Kimlik, İletişim, Sağlık Bilgileri, Özlük, Ceza Mahkumiyeti ve Güvenlik Tedbirleri, Görsel ve İşitsel Kayıtlar, Finans, Fiziksel Mekan Güvenliği
Çalışan Adayı	Kimlik, İletişim, Özlük, Görsel ve İşitsel Kayıtlar, Sağlık Bilgileri, Mesleki Deneyim, Fiziksel Mekan Güvenliği
Çalışan Yakını	Kimlik, Mesleki Deneyim
Referans	Kimlik, İletişim
Müşteri	Kimlik, İletişim, Mesleki Deneyim, Müşteri İşlem, Görsel ve İşitsel Kayıtlar, Finans
Ziyaretçi	Fiziksel Mekan Güvenliği

5.3. Kişisel Verilerin İşlenme Amaçları

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. kişisel verileri aşağıda belirtilen amaçlarda işlemektedir;

Veri İşleme Amacı	Veri Sahipleri
Finans ve Muhasebe İşlerinin Yürütülmesi (12)	Müşteri
İletişim Faaliyetlerinin Yürütülmesi (18)	Müşteri
TSE Belgelendirme Süreci	Müşteri
Tasarım Faaliytlerinin Gerçekleştirilmesi	Müşteri
Renault Mais Müşterilerinin Randevu Takibi	Müşteri
Bakım ve Onarım Faaliyetlerinin Yürütülmesi	Müşteri
Hasar Yönetim Dosyalarının Kayıt Altına Alınması	Müşteri
İnsan Kaynakları Süreçlerinin Planlanması (19)	Çalışan, Çalışan Yakını, Çalışan Adayı, Referans
Fiziksel Mekan Güvenliğinin Temini (14)	Ziyaretçi, Çalışan, Çalışan Adayı
Faaliyetlerin Mevzuata Uygun Yürütülmesi	Çalışan
İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi (21)	Çalışan, Çalışan Yakını

5.4. Kişisel veri toplama Yöntemleri ve Hukuki Sebepleri

5.4.1. Veri Toplama Yöntemleri

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. kişisel verileri elde etme yöntemleri aşağıda belirtilmiştir:

Veri Kategorileri	Elde Edilme Yöntemi
KİMLİK	Whatsapp, Telefon, Elden, E-Mail
İLETİŞİM	Whatsapp, Telefon, Elden, E-Mail
SAĞLIK BİLGİLERİ	Elden
MÜŞTERİ İŞLEM	Whatsapp, Telefon, Elden, E-Mail
ÖZLÜK	Whatsapp, Telefon, Elden, E-Mail
MESLEKİ DENEYİM	Dijital Ortam
CEZA MAHKUMİYETİ VE GÜVENLİK TEDBİRLERİ	Elden
GÖRSEL VE İŞİTSEL KAYITLAR	Whatsapp, Telefon, Elden, E-Mail
FİNANS	Whatsapp, Telefon, Elden, E-Mail
FİZİKSEL MEKAN GÜVENLİĞİ	Dijital Ortam

5.4.2. Veri İşleme Hukuki Sebepleri

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. kişisel verileri yasal zorunluluklar nedeniyle ve paydaşlarımıza hizmet sunulması adına işlemektedir. Kişisel veriler işlenirken Kanun’un, 4(2) maddesindeki belirtilen ilkeler doğrultusunda veriler işlenmektedir. Veri işlemede Kanun ‘un 5(2) ve 6(3) gereksinimlerini karşılamaması durumunda açık rıza alınması esastır. Tam metnine www.mevzuat.gov.tr adresinden ulaşabileceğiniz Kanun’un 5(2) ve 6(3) maddelerinde belirtilen aşağıdaki hususlar doğrultusunda işlenmektedir;

5.4.2.1. 5(2) Kişisel Veri İşleme Gerekçesi

Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
Veri sahibinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kanunda öngörülmesine ilişkin ilgili kanunlar bu politikada detaylandırılmıştır.

5.4.2.2. 6 (3) Özel Nitelikli Kişisel Veri İşleme Gerekçesi

Yeterli önlemler alınmak kaydıyla; sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler bakımından kanunlarda öngörülmesi, sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler bakımından ise;

Kamu sağlığının korunması,
Koruyucu hekimlik,
Tıbbî teşhis,
Tedavi ve bakım hizmetlerinin yürütülmesi,
Sağlık hizmetleri ile finansmanının planlanması ve yönetimi gibi amaçlarla açık rıza temin edilmeksizin kişisel verileriniz aktarılabilecektir.

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. nin veri işleyebilmek için kullandığı hukuki dayanaklar “KVKK Veri Envanteri” dokümanında detaylandırılmıştır.

5.5. Kişisel Verilerin İşlenmesi İçin İlkeler

Kanun’un 4 (2) maddesindeki kişisel verilerin işlenmesi için ilkeler belirlenmiştir. TAFF Danışmanlık Sanayi ve Ticaret A.Ş. belirlenen ilkelere uygun şekilde kişisel verileri işlemektedir.

Kişisel verilerin işlenmesi aşağıdaki ilkelere uygun yapılmaktadır;

Hukuka ve dürüstlük kurallarına uygun olma,
Doğru ve gerektiğinde güncel olma,
Belirli, açık ve meşru amaçlar için işlenme,
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma,
İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme.

5.6. Kişisel Verilerin Yurtiçindeki Kişilere Aktarılması

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., kişisel verilerin üçüncü taraflarla paylaşılması hususunda, diğer kanunlarda yer alan hükümler saklı kalmak kaydıyla, Kanun’da düzenlenen şartlara özenle uymaktadır. Bu çerçevede, kişisel veriler, veri sahibinin açık rızası olmadan üçüncü kişilere aktarılmamaktadır. Ancak, Kanun’da belirtilen aşağıdaki şartlardan birinin varlığı halinde kişisel veriler; veri sahibinin açık rızası temin edilmeksizin de aktarılabilecektir:

Kanunlarda açıkça öngörülmesi,
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
Veri sahibinin kendisi tarafından alenileştirilmiş olması,
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Kamu sağlığının korunması,
Koruyucu hekimlik,
Tıbbî teşhis,
Tedavi ve bakım hizmetlerinin yürütülmesi,
Sağlık hizmetleri ile finansmanının planlanması ve yönetimi gibi amaçlarla açık rıza temin edilmeksizin kişisel verileriniz aktarılabilecektir.

Özel nitelikli kişisel verilerin aktarılmasında da bu verilerin işlenme şartlarında belirtilen koşullara uyulmaktadır.

5.7. Kişisel Verilerin Yurtdışındaki Kişilere Aktarılması

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. yurt dışına veri aktarımı yapmamaktadır.

5.8. Ziyaretçilerinin Kişisel Verileri

5.8.1. Kamera Kaydı

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından güvenliğin sağlanması amacıyla, bina içerisi güvenlik kamerasıyla izlenmektedir.

Bu kapsamda Kurumumuz Anayasa, Kanun ve ilgili diğer mevzuata uygun olarak hareket etmektedir.

Kurumumuzun bina, tesis girişlerinde ve tesis içerisinde kamera ile izleme sistemi vasıtasıyla ziyaretçilerimizin görüntü kayıtları alınmaktadır.

Kurumumuz, güvenlik kamerası ile izleme faaliyeti kapsamında; kurumun çalışanlarının çalışan adaylarının, ve ziyaretçilerin güvenliğinin sağlaması amaçlanmaktadır.

Dijital ortamda kaydedilen ve muhafaza edilen kayıtlara yalnızca sınırlı sayıda kurum çalışanının erişimi bulunmaktadır. Canlı kamera görüntülerini ise, sadece yetkili personeller izleyebilmektedir. Kayıtlara erişimi olan sınırlı sayıda kişi gizlilik taahhütnamesi ile eriştiği verilerin gizliliğini koruyacağını beyan etmektedir.

Kurumumuz tarafından Kanunun 12. maddesine uygun olarak, kamera ile izleme faaliyeti sonucunda elde edilen kişisel verilerin güvenliğinin sağlanması için gerekli teknik ve idari tedbirler alınmaktadır.

5.8.2. İnternet Sitesi Ziyaretçilerinin Kişisel Verileri

Kurumumuz sahibi olduğu internet sitesine erişim sağlayan ziyaretçilerimizin herhangi bir çerez bilgisi alınmamaktadır.

5.9. Kişisel Veri Sahibinin Hakları

Kanun’dan kaynaklanan veri sahibinin hakları Kanun ‘un 11. maddesinde sayılmış olup şunlardır:

Kişisel verinizin işlenip işlenmediğini öğrenme,
Kişisel veriniz işlenmişse buna ilişkin bilgi talep etme,
Kişisel verinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
Yurt içinde veya yurt dışında kişisel verinizin aktarıldığı üçüncü kişileri bilme,
Kişisel verinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
Kişisel verinizin silinmesini veya yok edilmesini isteme,
Kişisel verinizin düzeltilmesi, silinmesi ya da yok edilmesi halinde bu işlemlerin, kişisel verinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,
İşlenen verinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
Kişisel verinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme haklarınız bulunmaktadır.

6. Kişisel Verilerin Saklanması ve İmhası

6.1. Veri Sorumlusu Organizasyonu ve Veri Ortamları

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. nin tüm çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması için aktif rol alırlar. Birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin ve erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik tedbirler alınır.

Kişisel veriler, TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından aşağıda belirtilen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır;

Elektronik Ortamlar

Elektronik Olmayan Ortamlar

Sunucular (Etki alanı, yedekleme, e-posta,Veritabanı, web, dosya paylaşım, vb.)Office uygulamalarıBilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb. )Kişisel bilgisayarlar (masaüstü, dizüstü)Mobil cihazlar (telefon, tablet vb.)Optik diskler (CD, DVD vb.)Çıkartılabilir bellekler (Usb, hafıza kartı vb.)Güvenlik kamera kayıt cihazları

Başvuru formlarıYazılı, basılı, görsel ortamlarFiziki dosya ve klasörlerKilitli dolaplar

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından; Veri Sahibi Kategorisi, Çalışan, Çalışan Yakını, Çalışan Adayı, Referans, Ziyaretçi, ve Müşterilere ait kişisel veriler Kanun ‘a uygun olarak saklanır ve imha edilir.

Kanun ‘un 3. maddesinde kişisel verilerin işlenmesi kavramı tanımlanmıştır. Kanun ‘un 4. maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği Kanun ‘un 5 ve 6. Maddelerinde ise kişisel verilerin işleme şartları sayılmıştır. Buna göre, TAFF Danışmanlık Sanayi ve Ticaret A.Ş. faaliyetleri çerçevesinde kişisel verileri, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklamaktadır.

6.2. Saklamayı Gerektiren Hukuki Sebepler

213 Sayılı Vergi Usül Kanunu
4857 Sayılı İş Kanunu
193 Sayılı Gelir Vergisi Kanunu
5510 Sayılı Sosyal Sigortalar Kanunu
6331 Sayılı İş Sağlığı ve Güvenliği Kanunu
- Saklamayı Gerektiren İşleme Amaçları

Süreç	İşleme Amacı
Faturalandırma Süreci	Finans Ve Muhasebe İşlerinin Yürütülmesi (12)
Özlük Oluşturma Süreci	İnsan Kaynakları Süreçlerinin Planlanması (19)
Agi Beyanı Oluşturulması	İnsan Kaynakları Süreçlerinin Planlanması (19)
Personel Sigorta İşlemlerinin Yapılması	Faaliyetlerin Mevzuata Uygun Yürütülmesi (11)
Personel Maaşlarının Yatırılması	İnsan Kaynakları Süreçlerinin Planlanması (19)
İşe Alım Süreci	İnsan Kaynakları Süreçlerinin Planlanması (19)
Fiziksel Güvenlik Süreci	Fiziksel Mekan Güvenliğinin Temini (14)
Web Sitesi İletişim Süreci	İletişim Faaliyetlerinin Yürütülmesi (18)
İş Sağlığı / Güvenliği Süreci	İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi (21)
TSE Belgelendirme Süreci	TSE Belgelendirme Süreci
Tasarım Süreci	Tasarım Faaliytlerinin Gerçekleştirilmesi
Randevu Takip Süreci	Renault Mais Müşterilerinin Randevu Takibi
Araç Bakım Onarım Süreci	Bakım ve Onarım Faaliyetlerinin Yürütülmesi
Hasar Yönetim Süreci	Hasar Yönetim Dosyalarının Kayıt Altına Alınması
Renault Mais Tutanak Süreci	Renault Mais Müşterilerinin Randevu Takibi

İmhayı Gerektiren Sebepler

Kişisel veriler;

İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi,
İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
Kanun ‘un 11. maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından kabul edilmesi,
TAFF Danışmanlık Sanayi ve Ticaret A.Ş. ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kişisel Verileri Koruma Kuruluna şikâyette bulunması ve bu talebin Kurul tarafından uygun bulunması,
Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
Durumlarında, TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir veya anonim hale getirilir.

6.3. Kişisel Verilerin Güvenliğinin Sağlanması

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., kişisel verilerin korunması için gerekli olan uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır.

KVKK’nın 12. Maddesinin 1. bendinde öngörülen;

Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
Kişisel verilerin muhafazasını sağlamak.

Sartları sağlamak adına gerekli tedbirlerini almaktadır.

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. nin kişisel verilerin güvenliğini sağlamak için uyguladığı tedbirler alt maddelerde detaylandırılmıştır:

6.3.1. Teknik Tedbirler

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. kişisel veri güvenliği doğrultusunda teknolojideki gelişmelere uygun teknik önlemler alınmaktadır. Gelişen teknolojiye uygun altyapı yatırımları yapılır. Virüs koruma sistemlerini içeren yazılımların ve donanımların kurulmasını sağlar. Sistemlerinin güncel ve bilinen açıklıklara karşı gerekli güvenlik önlemlerinin alınmış versiyonlarını kullanır. TAFF Danışmanlık Sanayi ve Ticaret A.Ş. en az yetki prensibine göre kişisel veriye erişim kısıtlamaları gerçekleştirir. Süreç gerekliliklerine uygun olarak erişim ve yetkilendirme tanımlarını yapar. Erişimlerin yetkilendirmelere uygunluğunu kontrol eder. Risk teşkil eden noktalar tespit edilerek gerekli teknik tedbirler alınır. Kişisel Verilerin güvenliğinin sürdürülebilmesi için teknik tedbirleri sürekli işleyen bir model ile kurum kültürünün bir parçası olması için farkındalığı yaygınlaştırır. Alınan tedbirlerin kontroller ile sürekli yaşatılmasını sağlar. Kurum bünyesinde kamera sistemleri ile fiziksel güvenlik önlemleri üst seviyede tutulur.

6.3.2. İdari Tedbirler

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., veri güvenliğini sağlamak amacıyla bilgili ve deneyimli kişiler istihdam eder. Kurulan sistemler için gerekli iç kontroller yapılır. Kişisel veri güvenliği için TAFF Danışmanlık Sanayi ve Ticaret A.Ş. bünyesinde Veri Sorumlusu İrtibat Kişisi çalışmaları yürütür. TAFF Danışmanlık Sanayi ve Ticaret A.Ş. kişisel verilerin güvenliğini sağlamak amacı ile gerekli idari tedbirleri alır ve çalışanların bu tedbirlere göre çalışmalarını denetler. Süreç gerekliliklerine uygun olarak erişim yetkilendirmelerini iş süreçlerinin aksamasına neden olmayacak düzeyde tanımlar. Çalışanlar, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamayacağı, işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmektedir. Çalışanlardan bu doğrultuda gerekli taahhütler alınmaktadır. Üçüncü taraflarla kişisel verilerin paylaşılmasıyla ilgili olarak kişisel verilerin paylaşıldığı kişilerle gizlilik sözleşmesi imzalar yahut sözleşmelere ekleyeceği hükümler ile kişisel veri güvenliğini sağlar. Kişisel veri paylaşılan üçüncü taraflar kişisel verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümleri kabul eder.

6.3.3. Kişisel Verilerin Korunmasının Sürdürülebilirliği İçin Yapılan Denetimler

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., Kanun’un 12. maddesine uygun olarak, gerekli denetimleri yapar veya yaptırır. Kişisel veri güvenliğinin sürdürülebilirliğini sağlamak için iç denetimlerin yapılmasını sağlar.

6.3.4. Üçüncü Tarafların Kişisel Verilerin Korunmasını Sağlaması İçin Uygulanan Tedbirler

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., üçüncü taraflar ile yaptığı sözleşmelerde; kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, verilere hukuka aykırı olarak erişilmesinin önlenmesi ve verilerin muhafazasını sağlamaya yönelik gerekli yaptırım maddelerini karşılıklı olarak bulundurur. Üçüncü taraflar ile bilgi paylaşımı yapılmadan önce gizlilik sözleşmeleri imzalanır. Üçüncü taraflara farkındalığın artırılması için gerekli bilgilendirmeler yapılır.

6.3.5. Özel Nitelikli Kişisel Verilerin Koruması İçin Uygulanan Tedbirler

Özel nitelikli kişisel veriler için gerek nitelikleri itibari ile gerekse kişilerin mağduriyetine veya ayrımcılığa yol açabilmesinden dolayı yeterli önlemlerin alınması gerekmektedir. Kanun’un 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan kişisel veriler “Özel Nitelikli” olarak belirlenmiştir.

Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., Kanun ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında gerekli tedbirleri almaktadır. Kişisel verileri korumak için alınan teknik ve idari tedbirlerde özel nitelikli kişisel veriler için hassasiyet gösterilmektedir.

Özel nitelikli kişisel verilerin kullanımına ilişkin çalışanlara bu politika ile bilgilendirmeler yapılmaktadır. Özel nitelikli kişisel veriler kişinin rızası yada Kanun ‘un 6. Maddesinde belirtilen hususların olmaması durumunda işlenmez. Özel nitelikli kişisel verilerin işlenebileceği durumlarda, bilgilendirmesi yapılmış ve açık rızası alınmış 3. Taraf kişi / kurum harici kimseyle paylaşılmaz.

6.3.6. Kişisel Verilerin Korunmasının Sağlanması İçin Farkındalığın Yaratılması

Kişisel verilerin hukuka aykırı olarak işlenmesini, verilere hukuka aykırı olarak erişilmesini önlemeye ve verilerin muhafazasını sağlamaya yönelik farkındalığın artırılması için çalışanlara gerekli bilgilendirmeler yapılmakta, eğitimler düzenlenmekte ve etkinlikleri ölçülmektedir. “Kişisel Verilerin Korunması ve İmha Politikası” ile ilgili diğer dokümanlar, kurumumuzun web sitesinde yayınlanmıştır.

İlgili kanun, yönetmelik ya da mevzuatlarda değişiklik olması halinde politikalar revize edilmekte ve ilgililerine tekrardan duyurulmaktadır.

6.4. Kişisel Verilerin İmha Teknikleri

TAFF Danışmanlık Sanayi ve Ticaret A.Ş., elde ettiği kişisel verilerini kişisel veri sahiplerinin talebi doğrultusunda, yasal zorunluluklar, nedeniyle veya kamu düzeninin korunması için kullanması zorunlu değilse ve iş süreçlerini etkilememesi şartıyla imha eder. Veri sahiplerine ait kişisel veriler, Paydaşlarımıza hizmetin devam ettirebilmesi, hukuki yükümlülüklerin yerine getirilebilmesi, çalışan haklarının ve yan haklarının planlanması gereklilikleri ortadan kalktığında kurumun alacağı karara istinaden imha edilmektedir. Her yıl Veri Sorumlusu İrtibat Kişinin belirlediği tarihlerde saklanmasına gerek görülmeyen kişisel veriler mevzuata uygun olarak aşağıda belirtilen tekniklerle imha edilir. İmha işlemleri; silme, yok etme ve anonim hale getirme olarak üç farklı metodda gerçekleştirilir.

6.4.1. Kişisel Verilerin Silinmesi

Kişisel verilerin silinme yöntemleri aşağıdaki tabloda belirtilmiştir;

Veri Kayıt Ortamı	Açıklama
Sunucularda Yer Alan Kişisel Veriler	Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.
Elektronik Ortamda Yer Alan Kişisel Veriler	Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veritabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Operasyonel süreçlerde dosyası sonuçlanarak tamamlanmış kişisel veri ortamları sadece yetki verilmiş yöneticinin erişim sağlayacağı şekilde silinir.
Fiziksel Ortamda Yer Alan Kişisel Veriler	Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler için evrak arşivinden sorumlu personel hariç diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.
Taşınabilir Medyada Bulunan Kişisel Veriler	Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

6.4.2. Kişisel Verilerin Yok Edilmesi

Kişisel verilerin yok edilmesi aşağıdaki tabloda belirtilmiştir;

Veri Kayıt Ortamı	Açıklama
Fiziksel Ortamda Yer Alan Kişisel Veriler	Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler geri döndürülemeyecek şekilde yok edilir.
Optik / Manyetik Medyada Yer Alan Kişisel Veriler	Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler geri döndürülemeyecek şekilde fiziksel olarak okunamaz hale getirilir.

6.4.3. Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonim hale getirilmesi, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel verilerin anonim hale getirilmiş olması için; kişisel verilerin, veri sorumlusu veya üçüncü kişiler tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesi gerekir.

6.5. Saklama ve İmha Süreleri

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. tarafından, faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili saklama süreleri, süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel veriler Veri Envanteri dokümanında detaylandırılmıştır.

TAFF Danışmanlık Sanayi ve Ticaret A.Ş. nin tabii olduğu kanunlar, ilgili taraflar ile yapılan sözleşme hükümleri ve TAFF Danışmanlık Sanayi ve Ticaret A.Ş. ‘nin operasyonel faaliyetleri için ihtiyaç duyulan süreler dikkate alınarak saklama süreleri belirlenmiştir.

Söz konusu saklama süreleri üzerinde, gerekmesi halinde Kişisel Veri İrtibat Kişisi tarafından güncellemeler yapılır.

Saklama süreleri sona eren kişisel veriler için re’sen imha edilir.

Kişisel verilerin kategori bazlı azami saklama süreleri aşağıdaki gibidir;

Veri	Saklama Süreleri
Müşteri Kimlik Bilgileri	15 Yıl
Müşteri İletişim Bilgileri	15 Yıl
Sağlık Bilgileri	15 Yıl
Müşteri İşlem Kayıtları	15 Yıl
Çalışan Kimlik Bilgileri	15 Yıl
Çalışan İletişim Bilgileri	15 Yıl
Özlük Bilgileri	15 Yıl
Ceza Mahkumiyeti ve Güvenlik Tedbirleri	10 Yıl
Görsel ve İşitsel Kayıt Bilgileri	10 Yıl
Finansal Bilgiler	10 Yıl
Müşteri Kimlik Bilgileri	15 Yıl
Müşteri İletişim Bilgileri	15 Yıl
Fiziksel Mekan Güvenliği	2 gün
Çalışan Adayı Bilgileri	10 Yıl

7. Başvuru Yöntemleri

İlgili Kişi, 6698 Sayılı Kanun kapsamında kişisel verileri ile ilgili haklarını aşağıda belirtilen yöntemleri kullanarak gerçekleştirebilir;

Kişisel veri başvuruları web sayfasında bulunan Kişisel Veri Başvuru Formu dokümanını doldurarak yapılmalıdır.

Veri Sorumlusu Kimliği: TAFF Danışmanlık Sanayi ve Ticaret A.Ş.

Aydınlatma başvuru yöntemleri aşağıdaki gibidir;

Elden : Dap Vadisi Merkez Mahallesi Seçkin Sokak Z ofis A2-4A Zemin kat No:102 Kağıthane / İstanbul

E- mail : kvkk@taff.com.tr

Kargo: Dap Vadisi Merkez Mahallesi Seçkin Sokak Z ofis A2-4A Zemin kat No:102 Kağıthane / İstanbul

Elden teslim yöntemiyle yapılan başvuruları kişisel veri sahibi tarafından yapılmalıdır. Kişisel veri sahibi kimliğini ibraz etmelidir. Başvurunun Kişisel Veri Sahibi haricinde birisi tarafından teslim edilmesi durumunda noter tasdikli vekâletname ile başvurulmalıdır.

Noter vasıtasıyla onaylanan Başvuru Formu ‘nun posta ile gönderilmesi durumunda yasal sürecin başlangıç zamanının tespiti için iadeli taahhütlü olarak gönderilmelidir.

KİŞİSEL VERİLERİN KORUNMASI VE İMHA POLİTİKASI

1. Amaç