KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
Kavramlar ve Tanımlar
İşbu Politika'da geçen temel kavram ve terimler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve ilgili mevzuat çerçevesinde aşağıdaki anlamları ifade eder:
- Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
- Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
- İlgili Kişi (Veri Sahibi): Kişisel verisi işlenen gerçek kişi (Çalışan, aday personel, stajyer, müşteri, tedarikçi, ziyaretçi vb.).
- Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (Ad, soyad, T.C. kimlik no, telefon, e-posta, kamera kaydı, IP adresi vb.).
- Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
- Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
- Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan tüzel kişilik: NORM MÜHENDİSLİK MAKİNE SANAYİ TAAHHÜT VE TİCARET LİMİTED ŞİRKETİ ("NORM Mühendislik" veya "Şirket").
- Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
- İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
- Kurul / Kurum: Kişisel Verileri Koruma Kurulu / Kişisel Verileri Koruma Kurumu.
Bölüm 1: Amaç, Kapsam ve Dayanak
1.1. Amaç: Bu Politikanın amacı; NORM Mühendislik tarafından hukuka ve dürüstlük kurallarına uygun biçimde yürütülen kişisel veri işleme faaliyetlerinde gözetilen ilkeleri, şirket içi organizasyonel yapıyı, teknik ve idari güvenlik tedbirlerini ile saklama ve periyodik imha standartlarını şeffaf bir kurumsal yönetim anlayışıyla düzenlemektir.
1.2. Kapsam: İşbu Politika; NORM Mühendislik'in yönetim organlarını, çalışanlarını, stajyerlerini, çalışan adaylarını, hissedar ve yetkililerini, ziyaretçilerini, tedarikçi ve kurumsal iş ortaklarının temsilcilerini kapsar. İnternet sitemiz üzerinden toplanan web erişim logları ve talep formlarına ilişkin doğrudan ziyaretçiye yönelik aydınlatma detayları ise KVKK Aydınlatma Metninde açıklanmaktadır.
1.3. Dayanak: İşbu Politika; 6698 sayılı Kişisel Verilerin Korunması Kanunu, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, Veri Sorumluları Sicili Hakkında Yönetmelik ile Kişisel Verileri Koruma Kurulu rehber ve ilke kararlarına dayanılarak hazırlanmıştır.
Bölüm 2: Kişisel Verilerin İşlenmesine İlişkin Temel İlkeler
NORM Mühendislik, KVKK'nın 4. maddesi doğrultusunda tüm kişisel veri işleme süreçlerinde aşağıdaki emredici ilkelere koşulsuz riayet eder:
- Hukuka ve dürüstlük kurallarına uygun olma: Veri işleme süreçlerinde şeffaf, dürüst ve ilgili kişilerin hak ve menfaatlerini zedelemeyecek biçimde hareket edilir.
- Doğru ve gerektiğinde güncel olma: Kişisel verilerin gerçeği yansıtması sağlanır, hatalı veriler derhal düzeltilir ve ilgilisine verilerini güncelleme kanalları sunulur.
- Belirli, açık ve meşru amaçlar için işlenme: Verilerin hangi amaçla işleneceği meşru ticari ve yasal sınırlar dâhilinde önceden belirlenir; belirsiz amaçlarla veri toplanmaz.
- İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Veri minimizasyonu esastır. İhtiyaç duyulmayan hiçbir kişisel veri toplanmaz; mevcut amaç için gerekli olandan fazlası işlenmez.
- İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Yasal saklama süreleri dolan veya işleme gerekçesi kalkan veriler, Şirketimizin periyodik imha takvimi doğrultusunda silinir, yok edilir veya anonimleştirilir.
Bölüm 3: İşlenen Veri Kategorileri ve İlgili Kişi Grupları
Şirketimiz operasyonlarında işlenen kişisel veriler, niteliklerine ve veri sahibi kategorilerine göre kurumsal veri envanterinde sınıflandırılmıştır:
- Kimlik Verisi: Ad, soyad, T.C. kimlik numarası, doğum tarihi ve yeri, imza sirküleri, nüfus cüzdanı sureti (Çalışanlar, stajyerler, şirket yetkilileri, tedarikçi ve müşteri temsilcileri).
- İletişim Verisi: Telefon numarası, kurumsal/bireysel e-posta adresi, tebligat ve işyeri adresi, KEP adresi.
- Özlük Verisi: Bordro bilgileri, SGK giriş-çıkış bildirgeleri, askerlik durumu, adli sicil kaydı, çalışma saatleri, aile ve bakmakla yükümlü olunan kişi bilgileri, yıllık izin kayıtları (Çalışanlar).
- Mesleki Deneyim ve Eğitim: Özgeçmiş (CV), diploma, mezuniyet belgeleri, mesleki yeterlilik sertifikaları, yabancı dil düzeyi, referans bilgileri (Çalışan adayları, çalışanlar).
- Finans ve Muhasebe Verisi: Banka hesap ve IBAN bilgileri, cari hesap mutabakatları, vergi dairesi ve vergi kimlik numarası, fatura, çek/senet bilgileri (Müşteriler, tedarikçiler, çalışanlar).
- Fiziksel Mekân Güvenliği: Fabrika ve idari bina giriş-çıkış kayıtları, ziyaretçi defteri, güvenlik kamera (CCTV) görüntü kayıtları (Tesis ziyaretçileri, çalışanlar, taşeronlar).
- İşlem Güvenliği ve Bilgi Sistemleri: IP adresi kayıtları, 5651 sayılı Kanun erişim logları, kullanıcı adı ve parola geçmişleri, sistem hata ve güvenlik kayıtları.
- Hukuki İşlem ve Uyum Verisi: Dava ve icra takip dosyaları, arabuluculuk tutanakları, noter ihtarnameleri, adli ve idari makamlarla yapılan resmi yazışmalar.
- Özel Nitelikli Kişisel Veriler: Şirketimiz web sitemiz üzerinden kesinlikle özel nitelikli kişisel veri toplamaz. Özel nitelikli veriler (sağlık raporları, işe giriş periyodik muayene formları, engellilik durumu vb.) yalnızca İş Sağlığı ve Güvenliği (İSG) mevzuatı ve İş Kanunu yükümlülükleri gereğince çalışan ve aday personelden işyeri hekimi gözetiminde ve yasal şartlara uygun olarak işlenir.
Bölüm 4: Kişisel Verilerin Güvenliği — Teknik ve İdari Tedbirler
NORM Mühendislik, KVKK'nın 12. maddesi doğrultusunda kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak amacıyla risk odaklı teknik ve idari tedbirleri uygulamaktadır:
İdari Tedbirler
- Gizlilik Taahhütnameleri: Tüm çalışanlar, stajyerler ve şirket yetkilileri ile işe başlama aşamasında bağlayıcı gizlilik taahhütnameleri akdedilir; iş akdi sona erse dahi gizlilik yükümlülüğünün devam edeceği sözleşmesel hüküm altına alınır.
- Yetki Matrisi ve Rol Tabanlı Erişim: Şirket içi dijital ve fiziki verilere erişim "bilmesi gereken kadar" (need-to-know) kuralıyla sınırlandırılmıştır. Personel yalnızca görev tanımının gerektirdiği verilere erişebilir.
- Eğitim ve Farkındalık: Şirket personeline düzenli aralıklarla kişisel verilerin korunması, bilgi güvenliği, parola hijyeni ve sosyal mühendislik / oltalama (phishing) saldırılarına karşı bilinçlendirme eğitimleri verilir.
- Veri İşleyen ve Tedarikçi Sözleşmeleri: Şirketimiz adına veri işleyen üçüncü taraf teknik sağlayıcılarla (yazılım, sunucu, muhasebe, danışmanlık, İSG) akdedilen sözleşmelere KVKK uyum maddeleri, cezai şartlar ve denetim hakları eklenir.
- İç Denetim ve Risk Analizi: Şirket içi veri akış süreçleri periyodik olarak denetlenir; yeni bir süreç devreye alınırken etki ve risk analizi yapılır.
Teknik Tedbirler
- Ağ Güvenliği ve Güvenlik Duvarı: Şirket yerel ağı ve sunucu sistemleri yeni nesil kurumsal güvenlik duvarları (Firewall) ve saldırı tespit/engelleme mekanizmaları ile izole edilir.
- Güçlü Şifreleme Standartları: Web altyapımızda ve dijital veri iletim kanallarında 256-bit SSL / TLS 1.3 güçlü şifreleme protokolleri kullanılır.
- Uç Nokta Koruması (EDR / Antivirüs): Şirket bünyesindeki tüm bilgisayar, sunucu ve mobil cihazlar merkezi yönetimli güvenlik yazılımları ile donatılmış olup güvenlik yamaları düzenli uygulanır.
- Erişim ve İşlem Logları: Bilgi sistemlerindeki kullanıcı hareketleri, yetkisiz erişim denemeleri ve 5651 sayılı Kanun kapsamındaki trafik logları değiştirilemez biçimde zaman damgasıyla saklanır.
- Yedekleme ve Felaket Kurtarma: Kritik kurumsal veriler, fidye yazılımlarına (ransomware) ve donanım arızalarına karşı çevrimdışı ve izole ortamlarda periyodik olarak yedeklenir; yedekten geri dönme testleri icra edilir.
Bölüm 5: Saklama ve Periyodik İmha Esasları
Kişisel veriler, ilgili yasal mevzuatta öngörülen süreler veya işlendikleri amaç için gerekli olan süre boyunca saklanır. Saklama süresi dolan veya işleme gerekçesi kalkan veriler, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri uyarınca imha edilir.
| Veri / Süreç Kategorisi |
Saklama Süresi |
Hukuki / Operasyonel Dayanak |
| Personel Özlük Dosyaları |
İş sözleşmesinin sona ermesinden itibaren 10 yıl |
4857 Sayılı İş Kanunu, 5510 Sayılı Kanun, 6098 Sayılı TBK |
| İş Başvuru ve CV Kayıtları |
Başvuru tarihinden itibaren 1 yıl (Olumsuz adaylar) |
İnsan Kaynakları Meşru Menfaati (KVKK m. 5/2-f) |
| Muhasebe, Fatura ve Finans Kayıtları |
Mali yıl kapanışından itibaren 10 yıl |
6102 Sayılı Türk Ticaret Kanunu m. 82, 213 Sayılı Vergi Usul Kanunu |
| Müşteri ve Tedarikçi Sözleşmeleri |
Sözleşme ilişkisinin sona ermesinden itibaren 10 yıl |
6098 Sayılı Türk Borçlar Kanunu zamanaşımı hükümleri |
| Güvenlik Kamerası (CCTV) Kayıtları |
Kayıt tarihinden itibaren azami 30 gün (Döngüsel imha) |
Fiziksel Mekân Güvenliği Meşru Menfaati (KVKK m. 5/2-f) |
| Ziyaretçi Giriş-Çıkış Defteri / Kayıtları |
Ziyaret tarihinden itibaren 1 yıl |
Tesis ve Çalışan Güvenliği (KVKK m. 5/2-f) |
| Web Trafik ve Erişim Logları |
Oluştuğu tarihten itibaren 2 yıl |
5651 Sayılı Kanun m. 4 ve m. 7, Kanuni Yükümlülük (KVKK m. 5/2-ç) |
| Teklif, Keşif ve İletişim Formları |
Talebin yanıtlanmasından veya uyuşmazlık süresinden itibaren 3 yıl |
Sözleşme Öncesi Görüşmeler & Hakların Korunması (KVKK m. 5/2-c, f) |
Periyodik İmha Takvimi: NORM Mühendislik, her yılın Haziran ve Aralık aylarında (6 ayı aşmayan periyotlarla) periyodik imha kontrolü icra eder. Saklama süresi dolan kayıtlar; fiziksel ortamda kağıt imha makineleriyle yok edilir, dijital ortamda ise geri getirilemeyecek biçimde güvenli silme yazılımlarıyla silinir. Yapılan imha işlemlerine ilişkin tutanaklar mevzuat uyarınca en az 3 yıl saklanır.
Bölüm 6: Fiziksel Mekân Güvenliği ve Kamera ile İzleme Faaliyetleri
NORM Mühendislik; fabrika, üretim atölyeleri, sevkiyat alanları ve idari binalarında çalışanların, ziyaretçilerin ve şirket malvarlığının güvenliğini temin etmek, iş sağlığı ve güvenliği kurallarının uygulanmasını izlemek amacıyla güvenlik kamerası (CCTV) kayıt sistemi işletmektedir.
- Alan Sınırlaması: Kameralar sadece tesis çevre sınırları, bina giriş-çıkışları, sevkiyat kapıları, ortak koridorlar ve üretim hatlarında konumlandırılmıştır. Kişilerin mahremiyet alanı olan dinlenme odaları, lavabolar, tuvaletler ve soyunma kabinlerinde asla kamera izlemesi yapılmaz.
- Şeffaflık ve Aydınlatma: Kamera ile izlenen alanların girişlerinde ilgili kişilerin kolayca görebileceği kamera uyarı sembolleri ve fiziki aydınlatma tabelaları asılıdır.
- Erişim Yetkisi: Kayıtlara erişim yalnızca yetkilendirilmiş fabrika yöneticisi ve güvenlik amiri ile sınırlandırılmıştır; kayıtlar harici ağlara veya genel internete kapalı tutulur.
- Kayıt Süresi: Kamera kayıtları teknik altyapı kapasitesine bağlı olarak en fazla 30 gün boyunca saklanır; sürenin bitiminde otomatik döngü ile üzerine yazılarak silinir.
Bölüm 7: Kişisel Verilerin Aktarılması İlkeleri
NORM Mühendislik kişisel verilerin aktarılmasında KVKK'nın 8. ve 9. maddelerine tam uyum sağlar. Şirketimizce işlenen hiçbir kişisel veri ticari kazanç, reklam, pazarlama veya harici profil çıkarma amacıyla üçüncü taraflarla paylaşılmaz, satılmaz veya devredilmez.
Kişisel veriler yalnızca aşağıdaki kanuni ve operasyonel zorunluluklar çerçevesinde aktarılabilir:
- Yetkili Kamu Kurum ve Kuruluşları: Kanunen yetkili resmi kurum ve mercilere (Sosyal Güvenlik Kurumu, Vergi Daireleri, Adli Makamlar, İcra Müdürlükleri, Kolluk Kuvvetleri) yasal zorunluluklar ve resmi talepler doğrultusunda.
- Bağımsız Denetçiler ve Mali Müşavirler: Türk Ticaret Kanunu ve Vergi Usul Kanunu uyarınca şirketin yasal mali denetim ve muhasebe yükümlülüklerinin ifası amacıyla.
- Bankalar ve Finans Kuruluşları: Çalışan maaş ödemeleri ve ticari ödemelerin gerçekleştirilmesi amacıyla.
- Lojistik ve Operasyonel İş Ortakları: İmzalanan sözleşmelerin ifası için zorunlu olan nakliye, montaj veya teknik servis firmalarına yalnızca ilgili işin gerektirdiği asgari veriyle sınırlı olarak.
- Yurt Dışı Aktarım Esasları: Kişisel veriler kural olarak yurt dışına aktarılmaz. Web sitemizin siber saldırılardan (bot, spam, DDoS) korunması için kullanılan teknik güvenlik doğrulayıcılarına (Cloudflare Turnstile vb.) ilişkin anlık teknik güvenlik ve doğrulama süreçleri, ilgili kişilerin açıkça bilgilendirildiği KVKK Aydınlatma Metninde yer almaktadır.
Bölüm 8: Kişisel Veri İhlali Yönetimi ve Bildirim Prosedürü
NORM Mühendislik bünyesinde işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin veya sistem güvenliğinin aşıldığının tespit edilmesi halinde aşağıdaki acil eylem adımları işletilir:
İhlal Müdahale Protokolü (72 Saat Kuralı)
- Acil İç Müdahale: İhlal emareleri tespit edildiği anda Bilgi İşlem ve KVKK Sorumlusu tarafından etkilenen sistemler derhal izole edilir, veri sızıntı kaynağı durdurulur ve deliller kayıt altına alınır.
- Kurul'a Bildirim (En Geç 72 Saat): Veri sorumlusu, veri ihlalini öğrendiği andan itibaren gecikmeksizin ve en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na resmi İhlal Bildirim Formu ile bildirimde bulunur.
- İlgili Kişilere Bildirim: İhlalden etkilenen veri sahiplerine, etkilenen veri kategorileri ve alınabilecek önlemler hakkında makul olan en kısa sürede doğrudan iletişim kanalları veya web sitemizde yayımlanacak resmi duyuru ile açık ve anlaşılır şekilde bilgi verilir.
- İnceleme ve Önleyici Aksiyonlar: İhlale yol açan zafiyetin kök neden analizi yapılarak idari ve teknik tedbirler güncellenir ve rapor altına alınır.
Bölüm 9: Şirket İçi Rol, Görev ve Sorumluluk Dağılımı
Politikanın şirket genelinde eksiksiz uygulanması için görev ve yetki matrisi tanımlanmıştır:
- Şirket Yönetim Kurulu / Genel Müdür: Politikanın onaylanması, uygulanması için gerekli bütçe, teknik altyapı ve yetkili personelin tahsis edilmesi ile en üst düzey gözetim sorumluluğu.
- KVKK İrtibat Kişisi / Veri Koruma Komitesi: Politikanın güncelliğinin takibi, veri işleme envanterinin yönetilmesi, imha süreçlerinin denetlenmesi, ilgili kişi başvurularının koordine edilmesi ve Kurul ile resmi yazışmaların yürütülmesi.
- Bilgi İşlem ve Sistem Yöneticisi: Ağ ve sunucu güvenliği, veri yedekleme, parola ve şifreleme yönetimi, güvenlik duvarı kuralları ve siber güvenlik tedbirlerinin uygulanması.
- İnsan Kaynakları Birimi: Çalışan özlük süreçleri, iş sözleşmeleri, gizlilik taahhütnameleri, İSG gereklilikleri ve personel farkındalık eğitimlerinin yürütülmesi.
- Tüm Personel: Görev gereği erişim sağladığı verileri gizli tutma, kullanıcı parolalarını üçüncü kişilerle paylaşmama, yetkisiz veri aktarımı yapmama ve şüpheli durumları derhal KVKK sorumlusuna raporlama yükümlülüğü.
Bölüm 10: İlgili Kişi Hakları ve Başvuru Yönetimi
Kişisel veri sahipleri (ilgili kişiler), 6698 sayılı Kanun’un 11. maddesi uyarınca veri sorumlusu sıfatıyla Şirketimize başvurarak aşağıdaki yasal haklarını serbestçe kullanabilirler:
- Öğrenme Hakkı: Kişisel verilerinin işlenip işlenmediğini öğrenme.
- Bilgi Talep Etme: Kişisel verileri işlenmişse buna ilişkin bilgi talep etme.
- İşlenme Amacını ve Amaca Uygunluğu Denetleme: Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme.
- Aktarılan Üçüncü Kişileri Bilme: Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme.
- Düzeltme İsteme: Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini talep etme.
- Silme ve Yok Edilmesini İsteme: KVKK'nın 7. maddesi ve ilgili mevzuat çerçevesinde kişisel verilerin silinmesini veya yok edilmesini talep etme.
- Yapılan İşlemlerin Bildirilmesini İsteme: Düzeltme, silme ve yok edilme işlemlerinin, verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme.
- Münhasıran Otomatik Sistem Sonuçlarına İtiraz: İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme.
- Zararın Giderilmesini Talep Etme: Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğranması hâlinde zararın giderilmesini talep etme.
Şirketimiz, usulüne uygun iletilen başvuruları, talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandıracaktır. Başvuru usulü, kanalları ve ayrıntılı başvuru rehberi için KVKK Aydınlatma Metni Başvuru Usulünü ve Veri Sahibi Başvuru Formunu inceleyebilirsiniz.
Veri Sorumlusu İletişim Kanalları
Bu Politika kapsamındaki tüm soru, talep ve başvurularınız için NORM Mühendislik kurumsal iletişim kanalları aşağıdadır:
