Kişisel Verilerin Saklanması, İşlenmesi ve İmhası Politikası

1.1 Giriş

Kişisel veri, Kişisel Verilerin Korunması Kanunu'nun (KVKK) "Tanımlar" başlığını taşıyan 3 üncü maddesinin (d) bendinde "kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi" olarak tanımlanmaktadır. Kişisel veri üç ana unsurdan oluşmaktadır: belirli veya belirlenebilir gerçek kişi, bilgi ve bilginin kişiye ilişkin olması.

Kanunda geçen "her türlü bilgi" ifadesi ile bir gerçek kişinin adı, soyadı, kimlik numarası, doğum tarihi, doğum yeri, e-posta adresi, telefon numarası, adresi, mesleği, sosyal güvenlik numarası, pasaport numarası, motorlu taşıt plakası, çehre görüntüsü, resmi, ses kaydı, her türlü mahkûmiyet bilgisi vs. kısacası gerçek kişiye ilişkin her türlü bilgi kişisel veri olarak kabul edilmektedir.

Kişisel verilerin korunması Şirketimizin en önemli öncelikleri arasındadır. Bu Politika ile yönetilen; müşterilerimizin, potansiyel müşterilerimizin, çalışan adaylarımızın, Şirketimiz hissedarlarının, Şirketimiz yetkililerinin, ziyaretçilerimizin, işbirliği içinde olduğumuz şirketlerin/kurumların çalışanlarının, hissedarlarının ve yetkililerinin ve üçüncü kişilerin kişisel verilerinin korunması, işlenmesi ve imhası bu konunun en önemli ayağını oluşturmaktadır.

Çalışanlarımızın kişisel verilerinin korunmasına ilişkin yürütülen faaliyetler, bu Politika ile paralel olarak kaleme alınan "Başkent Doğalgaz Dağıtım GYO A.Ş. Çalışanlarının Kişisel Verilerin Korunması, İşlenmesi ve İmhası Politikası" altında düzenlenmekte ve yönetilmektedir.

Türkiye Cumhuriyeti Anayasası'na göre herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bu Politika'da kişisel verilerin işlenmesinde Şirketimizin benimsediği temel ilkeler şunlardır:

• Kişisel verileri hukuka ve dürüstlük kurallarına uygun işleme
• Kişisel verileri doğru ve gerektiğinde güncel tutma
• Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi
• Kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü işleme
• Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme
• Kişisel veri sahiplerini aydınlatma ve bilgilendirme
• Kişisel veri sahiplerinin haklarını kullanması için gerekli sistemi kurma
• Kişisel verilerin muhafazasında gerekli tedbirleri alma
• Kişisel verilerin üçüncü kişilere aktarılmasında ilgili mevzuata ve Kurul düzenlemelerine uygun davranma
• Özel nitelikli kişisel verilerin işlenmesine ve korunmasına gerekli hassasiyeti gösterme

1.2 Amaç

Bu Politika'nın temel amacı, Şirketimiz tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen sistemler konusunda açıklamalarda bulunmak; müşterilerimiz, potansiyel müşterilerimiz, çalışan adaylarımız, şirket hissedarlarımız, şirket yetkililerimiz, ziyaretçilerimiz, işbirliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkilileri ile üçüncü kişileri bilgilendirerek şeffaflığı sağlamaktır.

1.3 Kapsam

Bu Politika; amaç kısmında zikredilen kişilerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerini kapsamaktadır.

1.4 Politikanın ve Mevzuatın Uygulanması

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan mevzuat Şirketimiz açısından öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ile Politika arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatı uygulamaya devam edecektir. Şirketimiz, KVKK'nda öngörülen yürürlük sürelerine uygun hareket ederek gerekli sistem ve hazırlıklarını yürütmektedir.

1.5 Politikanın Yürürlüğü

Şirketimiz tarafından düzenlenen bu Politika'nın yürürlük tarihi 29.12.2017'dir. Politika'nın tamamının veya belirli maddelerinin yenilenmesi durumunda Politika'nın yürürlük tarihi güncellenecektir. Politika, Şirketimizin internet sitesinde (www.baskentdogalgaz.com.tr) yayımlanır ve kişisel veri sahiplerinin talebi üzerine ilgili kişilerin erişimine sunulur.

2.1 Kişisel Verilerin Güvenliğinin Sağlanması

Şirketimiz tarafından KVK Kanunu'nun 12 inci maddesi uyarınca "veri güvenliğini" sağlamaya yönelik alınan aksiyonlar ve tedbirler:

• Teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler alınmakta; çalışanlar öğrendikleri kişisel verileri KVKK hükümlerine aykırı olarak açıklayamayacakları ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte, kendilerinden gerekli taahhütler alınmaktadır.
• Kişisel verilerin tedbirsizlikle veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını önlemek için korunacak verinin niteliğine göre teknik ve idari tedbirler alınmaktadır.
• Kişisel verileri aktarmış olduğu iş ortakları ve tedarikçiler gibi veri işleyen kurumlar nezdinde farkındalıklar arttırılmaktadır.
• Veri sorumlusu olarak uyulması zorunlu yükümlülükler, tedarikçi ve iş ortaklarına sözleşmesel olarak yükletilmektedir.
• Kişisel verilerin güvenli ortamlarda saklanması ve hukuka aykırı amaçlarla yok edilmesini, kaybolmasını veya değiştirilmesini önlemek için gerekli teknik ve idari tedbirler alınmaktadır.
• Şirket bünyesinde gerekli denetimler yapılmakta veya yaptırılmakta; sonuçlar ilgili birime raporlanarak tedbirlerin iyileştirilmesi sağlanmaktadır.
• İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, bu durumun en kısa sürede ilgili kişiye ve Kurul'a bildirilmesini sağlayan sistem yürütülmektedir.

2.2 Veri Sahibinin Haklarının Gözetilmesi

Şirketimiz, kişisel veri sahiplerinin haklarının değerlendirilmesi ve gereken bilgilendirmenin yapılması için KVK Kanunu'nun 13 üncü maddesine uygun olarak gerekli kanalları, iç işleyişi, idari ve teknik düzenlemeleri yürütmektedir. Talepler "yazılı" veya Kurul'un belirleyeceği diğer yöntemlerle iletildiğinde, Şirketimiz talebi en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırmaktadır (işlemin ayrıca maliyet gerektirmesi hâlinde Kurul'un belirlediği tarifedeki ücret alınır).

Kişisel veri sahipleri şu haklara sahiptir:

• Kişisel veri işlenip işlenmediğini öğrenme
• İşlenmişse buna ilişkin bilgi talep etme
• İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde/dışında aktarıldığı üçüncü kişileri bilme
• Eksik veya yanlış işlenmişse düzeltilmesini isteme ve bunun üçüncü kişilere bildirilmesini isteme
• İşlenmesini gerektiren sebepler ortadan kalkmışsa silinmesini veya yok edilmesini isteme ve bunun üçüncü kişilere bildirilmesini isteme
• Otomatik sistemlerle analiz sonucu kendisi aleyhine ortaya çıkan sonuca itiraz etme
• Kanuna aykırı işlenme sebebiyle uğranılan zararın giderilmesini talep etme

2.3 Özel Nitelikli Kişisel Verilerin Korunması

KVK Kanunu ile bazı kişisel verilere, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem atfedilmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir. Şirketimiz, bu verilerin korunması için alınan teknik ve idari tedbirleri özel nitelikli kişisel veriler bakımından özenle uygulamakta ve gerekli denetimleri sağlamaktadır.

2.4 Kişisel Veri Sahibinin Aydınlatılması ve Bilgilendirilmesi

Şirketimiz, KVK Kanunu'nun 10 uncu maddesine uygun olarak, kişisel verilerin elde edilmesi sırasında kişisel veri sahiplerini; Şirketin kimliği, verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile 11 inci madde kapsamındaki haklar konusunda aydınlatmaktadır. Şirketimiz ayrıca ilgili kişileri, "açık rıza"ya başvurduğu zamanlar başta olmak üzere, farklı yöntemlerle bilgilendirmede bulunmaktadır.

3.1 Mevzuatta Öngörülen İlkelere Uygun İşleme

Hukuka ve dürüstlük kuralına uygun veri işleme — Şirketimiz, kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, verileri amacın gerektirdiği dışında kullanmamaktadır.

Doğru ve gerektiğinde güncel olmasını sağlama — Kişisel veri sahiplerinin temel haklarını ve Şirketin meşru menfaatlerini dikkate alarak işlenen verilerin doğru ve güncel olması için gerekli tedbirler alınmaktadır.

Belirli, açık ve meşru amaçlarla veri işleme — İşleme amacı, faaliyet başlamadan önce açık ve kesin olarak belirlenmektedir; veriler sunulan hizmetle bağlantılı ve gerekli olan kadar işlenmektedir.

İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma — Amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan verilerin işlenmesinden kaçınılmakta; sonradan ortaya çıkması muhtemel ihtiyaçlara yönelik veri işleme faaliyeti yürütülmemektedir.

Gerekli olan süre kadar muhafaza — Mevzuatta bir süre öngörülmüşse bu süreye uyulmakta; öngörülmemişse veriler işlendikleri amaç için gerekli olan süre kadar saklanmakta, sürenin bitiminde veya sebeplerin ortadan kalkmasıyla silinmekte, yok edilmekte veya anonim hale getirilmektedir.

3.2 KVK Kanunu'nun 5. Maddesindeki İşleme Şartları

Anayasa'nın 20. maddesinin üçüncü fıkrası gereğince, kişisel veriler ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir. Açık rıza dışında, aşağıdaki şartlardan birinin (veya birden fazlasının) varlığı durumunda da kişisel veriler işlenebilir:

• Kişisel veri sahibinin açık rızasının bulunması
• Kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık sebebiyle ilgilinin açık rızasının alınamaması
• Sözleşmenin kurulması veya ifasıyla doğrudan ilgi olması
• Şirketin hukuki yükümlülüğünü yerine getirmesi
• Kişisel veri sahibinin kişisel verisini alenileştirmesi
• Bir hakkın tesisi veya korunması için veri işlemenin zorunlu olması
• Şirketimizin meşru menfaati için veri işlemenin zorunlu olması

3.3 Özel Nitelikli Kişisel Verilerin İşlenmesi

Özel nitelikli kişisel veriler, Kurul tarafından belirlenecek yeterli önlemlerin alınması kaydıyla; kişisel veri sahibinin açık rızası varsa, ya da açık rıza yoksa sağlık ve cinsel hayat dışındaki özel nitelikli veriler kanunlarda öngörülen hallerde işlenmektedir. Sağlığa ve cinsel hayata ilişkin özel nitelikli veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum/kuruluşlar tarafından işlenmektedir.

3.4 Kişisel Verilerin Aktarılması

Şirketimiz, hukuka uygun kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel verileri ve özel nitelikli kişisel verileri üçüncü kişilere (üçüncü kişi şirketlere, grup şirketlerine, üçüncü gerçek kişilere) aktarabilmektedir. Kural olarak ilgili kişinin açık rızası aranır; ancak aşağıdaki hallerden en az birinin bulunması hâlinde açık rıza olmaksızın da aktarım yapılabilir:

• Kanunlarda açıkça öngörülmesi
• Kişinin hayatı veya beden bütünlüğünün korunması için zorunluluk (rızasını açıklayamayacak durumda olması hâlinde)
• Sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması
• Veri sorumlusunun hukuki yükümlülüğünün yerine getirilmesi için zorunluluk
• Verinin ilgili kişi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için zorunluluk
• Temel hak ve özgürlüklere zarar vermemek kaydıyla veri sorumlusunun meşru menfaati

3.5 Bina/Tesis Girişleri, Kamera İzleme ve İnternet Sitesi Ziyaretçileri

Güvenliğin sağlanması amacıyla, Şirketimiz binalarında ve tesislerinde güvenlik kamerasıyla izleme ile misafir giriş-çıkışlarının takibine yönelik kişisel veri işleme faaliyetinde bulunulmaktadır. Görüntü kayıtları alınan bölgelerde uyarı levhaları bulunmaktadır. Kayıtlara yalnızca sınırlı sayıda Şirket çalışanı erişebilmekte; canlı görüntüleri ise dışarıdan hizmet alınan güvenlik görevlileri izleyebilmektedir. Erişimi olan kişiler gizlilik taahhütnamesi ile verilerin gizliliğini koruyacağını beyan etmektedir.

Bina ve tesislerde kalınan süre boyunca talep eden ziyaretçilere internet erişimi sağlanabilmekte; bu erişime ilişkin log kayıtları 5651 sayılı Kanun'a göre kayıt altına alınmakta ve yalnızca yetkili kamu kurumlarının talebi veya iç denetim süreçlerinde işlenmektedir.

Şirketimizin internet sitesini ziyaret eden kişilerin site içerisindeki hareketleri, ziyaret amaçlarına uygun ve kişiselleştirilmiş içerik sunmak amacıyla çerezler (cookie) gibi teknik vasıtalarla kaydedilmektedir. Detaylı açıklamalar ilgili internet sitelerinin "Gizlilik Politikası" metinlerinde yer almaktadır.

4.1 Kişisel Verilerin Silinmesi

Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesi işlemidir. Evrak, hard disk ve CD gibi verilerin tutulduğu yerlerden geri dönüşüm sağlanmayacak şekilde silinmesini ifade eder.

4.2 Kişisel Verilerin Yok Edilmesi

Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesi işlemidir; verinin bulunduğu evrakın fiziki olarak yok edilmesini ifade eder.

4.3 Kişisel Verilerin Anonim Hâle Getirilmesi

Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Örneğin TÜİK tarafından yayımlanan istatistiki bilgiler gibi.

5.1 Diğer Politikalarla İlişki

Şirketimiz, işbu Politika ile ortaya koyduğu esasların icrasına yönelik politika, prosedür ve uygulama rehberleri ile Şirket içerisinde uygulanmasını temin etmektedir; bu esaslar Şirketin diğer alanlarda yürüttüğü politika ve prosedürlerle de bağı kurularak uyumluluk sağlanmaktadır.

5.2 Kişisel Verilerin Korunması Komitesi

Şirket Yönetim Kurulu kararı gereğince, işbu Politika'yı ve bağlı düzenlemeleri yönetmek üzere "Kişisel Verilerin Korunması Komitesi" oluşturulmuştur.

5.3 Komitenin Görevleri

• Temel politikaları ve gerektiğinde değişiklikleri hazırlamak ve üst yönetimin onayına sunmak
• Politikaların uygulanması ve denetiminin ne şekilde yerine getirileceğine karar vermek, şirket içi görevlendirme ve koordinasyonu sağlamak
• KVKK ve ilgili mevzuata uyumun sağlanması için yapılması gerekenleri tespit etmek, uygulanmasını gözetmek
• Şirket içinde ve iş ortakları nezdinde farkındalığı arttırmak
• Veri işleme faaliyetlerindeki riskleri tespit ederek gerekli önlemlerin alınmasını temin etmek
• Eğitimler tasarlamak ve icra edilmesini sağlamak
• Kişisel veri sahiplerinin başvurularını en üst düzeyde karara bağlamak ve taleplerini cevaplandırmak
• İlgili kişilerin bilgilenmesini temin etmek üzere bilgilendirme ve eğitim faaliyetlerini koordine etmek
• Gelişmeleri ve düzenlemeleri takip ederek üst yönetime tavsiyelerde bulunmak
• Kişisel Verileri Koruma Kurulu ve Kurumu ile ilişkileri koordine etmek
• Üst yönetimin vereceği diğer görevleri icra etmek