TÜRK P&I

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

1. Amaç ve Dayanak

Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanununa dayanılarak çıkarılmış bulunan Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca; Türk P Ve I Sigorta A. Ş. tarafından işlenmekte olan kişisel verilerin saklanması ve imha edilmesi süreçlerinin mevzuata uygun olarak yerine getirilmesine yönelik usul ve esasların belirlenmesi amacıyla uygulamaya alınmıştır.

2. Tanımlar

3. Kayıt Ortamları

İşlenmekte olan kişisel veriler aşağıda belirtilen kayıt ortamlarında hukuka uygun bir şekilde muhafaza edilmektedir.

3.1. Elektronik Ortamlar

Masaüstü ve dizüstü bilgisayarlar

Ağ cihazları ve sunucular

Şirket bünyesinde kullanılan yazılımlar

Mobil cihazlar

Optik ve çıkarılabilir diskler

Yazıcı, tarayıcı, fotokopi makinesi gibi ofis araçları

3.2. Elektronik Olmayan Ortamlar

Kağıt, bloknot, ajanda ve formlar

4. Saklama Ve İmha Sebepleri

4.1. Saklama Sebepleri

1. Kanunun 3. maddesinde kişisel verilerin depolanması ve muhafaza edilmesinin de kişisel veri işleme faaliyetine dahil olduğu, 4/1. maddesinde kişisel verilerin ancak bu kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği ve 4/2-d maddesinde ise ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi gerekliliği düzenlenmiş olup işlenmekte olan kişisel veriler öncelikle kanunun bu maddeleri gereğince saklanmaktadır.
2. İlgili mevzuatta muhafaza edilmesi öngörülen kişisel verilerin saklanması bakımından

• 6698 sayılı Kişisel Verilerin Korunması Kanunu,
• 4857 sayılı İş Kanunu,
• 5510 sayılı Sosyal Sigortalar ve Genel Sagˆlık Sigortası Kanunu,
• 6331 sayılı I·s¸ Sagˆlıgˆı ve Gu¨venligˆi Kanunu,
• 6098 sayılı Tu¨rk Borc¸lar Kanunu,
• 5651 sayılı I·nternet Ortamında Yapılan Yayınların Du¨zenlenmesi ve Bu Yayınlar Yoluyla I·s¸lenen Suc¸larla Mu¨cadele Edilmesi Hakkında Kanun,
• 213 sayılı Vergi Usul Kanunu,
• 6102 sayılı Türk Ticaret Kanunu
• 5684 sayılı Sigortacılık Kanunu
• 6502 sayılı Tüketicinin Korunması Hakkında Kanun

başta olmak üzere bu kanunlara dayanılarak yürürlüğe alınmış bulunan tüm alt mevzuat ile sektörel mevzuat hükümleri dikkate alınmaktadır.

3. İşlendikleri amaç doğrultusunda muhafaza edilmesi öngörülen kişisel verilerin saklanması bakımından ise kanunun 5/2-f maddesinde yer alan “ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması” ile açık rıza dışındaki diğer veri işleme şartlarının bulunmadığı durumlar için kanunun 5/1 maddesinde yer alan “açık rıza” veri işleme şartına dayanılmaktadır.

4.2. İmha Sebepleri

Kişisel veriler;

1. Kanunun geçici 1/3 maddesinde düzenlenmiş bulunan bu kanunun yayımı tarihinden önce işlenmiş olan kişisel verilerin yayımı tarihinden itibaren iki yıl içinde bu kanun hükümlerine uygun hâle getirilmesi gerektiği, bu kanun hükümlerine aykırı olduğu tespit edilen kişisel verilerin derhâl silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekliliği,
2. Kanunun 7. maddesinde düzenlenmiş bulunan bu kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekliliği,
3. Kanunun 4. maddesinde düzenlenen

• Hukuka ve dürüstlük kurallarına uygun olma,
• Doğru ve gerektiğinde güncel olma,
• Belirli, açık ve meşru amaçlar için işlenme,
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma kriterlerinin karşılanmaması,

4. Kanunun 4/2-d maddesinde düzenlenen ilgili mevzuatta öngörülen kişisel veri işleme süresinin dolması,
5. I·s¸lenmesine esas tes¸kil eden ilgili mevzuat hu¨ku¨mlerinin degˆis¸tirilmesi veya ilgası,
6. Kanunun 4/2-d maddesinde düzenlenen saklanmasını gerektiren amacın ortadan kalkması,
7. Kanunun 4/2-d maddesinde düzenlenen saklanmasını gerektiren amaç için gerekli olan azami su¨renin gec¸mis¸ olması ile birlikte kis¸isel verileri daha uzun su¨re saklamayı haklı kılacak herhangi bir s¸artın mevcut olmaması,
8. Kanunun 5/1 maddesinde düzenlenen açık rıza şartına dayanarak veri işlemenin söz konusu olduğu durumlarda ilgili kişinin açık rızasını geri alması,
1. Kanunun 5/2. maddesinde düzenlenen veri işleme şartlarının artık mevcut olmaması,
10. Kanunun 11. maddesinde düzenlenmiş bulunan haklar kapsamında ilgili kişi tarafından silme veya yok etme talebinin iletilmesi ile birlikte bu talebin gereğini yerine getirebilmeyi engelleyen bir mevzuat hükmü bulunmaması ve talebin kabul edilmesi,
11. Kanunun 15. maddesinde düzenlenmiş bulunan kurul tarafından kişisel verilerin imhasına karar verilmesi,

durumlarında silinir, yok edilir veya anonim hale getirilir. İlaveten bu konuyu düzenleyen 5237 sayılı Türk Ceza Kanunun 138/1 maddesinde kanunların belirlediği sürelerin geçmiş olması durumunda verilerin sistem içinde yok edilmemesi bir suç tipi olarak tanımlanmıştır.

5. Teknik Ve İdari Tedbirler

İşlenmekte olan kişisel verileri güvenli bir şekilde muhafaza etmek, hukuka aykırı olarak işlenmesini  ve erişilmesini önlemek, imha süreçlerini hukuka uygun bir şekilde gerçekleştirmek için her türlü teknik ve idari tedbirleri alınmaktadır.

5.1. Teknik Tedbirler

1. Sızma (Penetrasyon) testleri ile şirketimiz bilis¸im sistemlerine yo¨nelik risk, tehdit, zafiyet ve varsa ac¸ıklıklar ortaya c¸ıkarılarak gerekli o¨nlemler alınmaktadır.
2. Bilgi gu¨venligˆi olay yo¨netimi ile gerc¸ek zamanlı yapılan analizler sonucunda bilis¸im sistemlerinin su¨rekliligˆini etkileyecek riskler ve tehditler su¨rekli olarak izlenmektedir.
3. Bilis¸im sistemlerine eris¸im ve kullanıcıların yetkilendirilmesi, eris¸im ve yetki matrisi ile kurumsal aktif dizin u¨zerinden gu¨venlik politikaları aracılıgˆı ile yapılmaktadır.
4. Şirketimiz bilis¸im sistemleri tec¸hizatı, yazılım ve verilerin fiziksel gu¨venligˆi ic¸in gerekli o¨nlemler alınmaktadır.
5. C¸evresel tehditlere kars¸ı bilis¸im sistemleri gu¨venligˆinin sagˆlanması ic¸in, donanımsal (sistem odasına sadece yetkili personelin giris¸ini sagˆlayan eris¸im kontrol sistemi, 7/24 c¸alıs¸an izleme sistemi, yerel alan agˆını olus¸turan kenar anahtarların fiziksel gu¨venligˆinin sagˆlanması, yangın so¨ndu¨rme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (gu¨venlik duvarları, atak o¨nleme sistemleri, agˆ eris¸im kontrolu¨, zararlı yazılımları engelleyen sistemler vb.) o¨nlemler alınmaktadır.
6. Kis¸isel verilerin hukuka aykırı is¸lenmesini o¨nlemeye yo¨nelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sagˆlanmakta ve alınan tedbirlere yo¨nelik teknik kontroller yapılmaktadır.
7. Şirket ic¸erisinde eris¸im prosedu¨rleri olus¸turularak kis¸isel verilere eris¸im ile ilgili raporlama ve analiz c¸alıs¸maları yapılmaktadır.
8. Kis¸isel verilerin bulundugˆu saklama alanlarına eris¸imler kayıt altına alınarak uygunsuz eris¸imler veya eris¸im denemeleri kontrol altında tutulmaktadır.
1. Silinen kis¸isel verilerin ilgili kullanıcılar ic¸in eris¸ilemez ve tekrar kullanılamaz olması ic¸in gerekli tedbirler alınmaktadır.
10. Kis¸isel verilerin hukuka aykırı olarak bas¸kaları tarafından elde edilmesi halinde bu durumu ilgili kis¸iye ve Kurula bildirmek ic¸in buna uygun bir sistem, prosedür ve altyapı olus¸turulmus¸tur.
11. Gu¨venlik ac¸ıkları takip edilerek uygun gu¨venlik yamaları yu¨klenmekte ve bilgi sistemleri gu¨ncel halde tutulmaktadır.
50. Kis¸isel verilerin is¸lendigˆi elektronik ortamlarda gu¨c¸lu¨ parolalar kullanılmaktadır.
1000. Kis¸isel verilerin is¸lendigˆi elektronik ortamlarda gu¨venli kayıt tutma (loglama) sistemleri kullanılmaktadır.
14. Kis¸isel verilerin gu¨venli olarak saklanmasını sagˆlayan veri yedekleme programları kullanılmaktadır.
15. Elektronik olan veya olmayan ortamlarda saklanan kis¸isel verilere eris¸im, eris¸im prensiplerine go¨re sınırlandırılmaktadır.
16. Şriketimiz internet sayfasına eris¸imde gu¨venli protokol (HTTPS) kullanılarak SHA 256 Bit RSA algoritmasıyla s¸ifrelenmektedir.
17. O¨zel nitelikli kis¸isel verilerin gu¨venligˆine yo¨nelik ayrı politika belirlenmis¸tir.
18. O¨zel nitelikli kis¸isel veri is¸leme su¨rec¸lerinde yer alan c¸alıs¸anlara yo¨nelik o¨zel nitelikli kis¸isel veri gu¨venligˆi konusunda egˆitimler verilmis¸, gizlilik so¨zles¸meleri yapılmıs¸, verilere eris¸im yetkisine sahip kullanıcıların yetkileri tanımlanmıs¸tır.
19. O¨zel nitelikli kis¸isel verilerin is¸lendigˆi, muhafaza edildigˆi ve/veya eris¸ildigˆi elektronik ortamlar kriptografik yo¨ntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar gu¨venli ortamlarda tutulmakta, tu¨m is¸lem kayıtları loglanmakta, ortamların gu¨venlik gu¨ncellemeleri su¨rekli takip edilmekte, gerekli gu¨venlik testlerinin du¨zenli olarak yapılması/yaptırılması, test sonuc¸larının kayıt altına alınması sağlanmaktadır.
20. O¨zel nitelikli kis¸isel verilerin is¸lendigˆi, muhafaza edildigˆi ve/veya eris¸ildigˆi fiziksel ortamların yeterli gu¨venlik o¨nlemleri alınmakta, fiziksel gu¨venligˆi sagˆlanarak yetkisiz giris¸ c¸ıkıs¸lar engellenmektedir.
21. O¨zel nitelikli kis¸isel veriler e-posta yoluyla aktarılması gerekiyorsa s¸ifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Tas¸ınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yo¨ntemlerle s¸ifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır. Farklı fiziksel ortamlardaki sunucular arasında aktarma gerc¸ekles¸tiriliyorsa, sunucular arasında VPN kurularak veya sFTP yo¨ntemiyle veri aktarımı gerc¸ekles¸tirilmektedir. Kagˆıt ortamı yoluyla aktarımı gerekiyorsa evrakın c¸alınması, kaybolması ya da yetkisiz kis¸iler tarafından go¨ru¨lmesi gibi risklere kars¸ı gerekli o¨nlemler alınmakta ve evrak “gizli” formatta go¨nderilmektedir.

5.2. İdari Tedbirler

1. Veri işleme ilkeleri, veri işleme şartları, verilerin güvenli bir şekilde muhafazası, hukuka aykırı olarak işlenmesi  ve erişilmesinin önlenmesi, olası veri ihlal durumlarında kimler tarafından hangi adımlar atılacağı, özel nitelikli verilerin işlenmesi başta olmak üzere kişisel verilerin korunması mevzuatının tamamı hakkında belirli periyotlarla bilinçlendirme ve farkındalık eğitimleri yapılmaktadır.
2. Kişisel veri paylaşımı yapılan üçüncü kişilere, olabilecek aktarım ihtimallerinin tamamı için (veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri sorumlusuna, veri işleyenden veri işleyene) veri aktarım sözleşmeleri imzalatılmaktadır
3. Çalıs¸anlara gizlilik so¨zles¸meleri imzalatılmaktadır.
4. Kis¸isel veri is¸lemeye bas¸lamadan o¨nce ilgili kis¸ileri aydınlatma yu¨ku¨mlu¨lu¨gˆu¨ yerine getirilmektedir.
5. Kis¸isel veri is¸leme envanteri hazırlanmıs¸ ve VERBİS sistemine bildirimler gerçekleştirilmiştir.
6. Şirket ic¸i periyodik ve rastgele denetimler yapılmaktadır.

6. Kişisel Verilerin İmhası

Kişisel verilerin hukuka uygun olarak imha edilmesi için aşağıda belirtilen teknik ve idari tedbirler uygulanmaktadır.

6.1. Kişisel Verilerin Silinmesi

Bu politikanın 2 numaralı tanımlar bölümünde de yer aldığı üzere silme; kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemi olup farklı ortam tiplerine göre silme işlemi aşağıdaki şekillerde gerçekleştirilmektedir.

1. Sunucularda yer alan kişisel veriler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır
2. Elektronik ortamda yer alan kişisel veriler veri tabanı yöneticisi hariç¸ diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir
3. Fiziksel ortamda tutulan kişisel veriler evrak arşivinden sorumlu birim yöneticisi hariç¸ diğer çalışanlar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir. Ayrıca, üzeri okunamayacak şekilde çizilerek/boyanarak/silinerek karartma işlemi de uygulanır.
4. Taşınabilir medyada bulunan kişisel veriler sistem yöneticisi tarafından şifrelenerek ve erişim yetkisi sadece sistem yöneticisine verilerek şifreleme anahtarlarıyla güvenli ortamlarda saklanır.

6.2. Kişisel Verilerin Yok Edilmesi

Bu politikanın 2 numaralı tanımlar bölümünde de yer aldığı üzere yok etme; kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi olup farklı ortam tiplerine göre yok etme işlemi aşağıdaki şekillerde gerçekleştirilmektedir.

1. Fiziksel ortamda tutulan kişisel veriler kağıt öğütücü makinelerde geri döndürülemeyecek şekilde yok edilir, arşivde bulunan kişisel veriler ise yakılarak yok etme işlemi gerçekleştirilir.
2. Optik/manyetik medyada yer alan kişisel veriler yakılarak veya toz haline getirilerek fiziksel olarak yok etme işlemi uygulanır. Ayrıca, manyetik medya özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması suretiyle üzerindeki veriler okunamaz hale getirilir.

6.3. Kişisel Verilerin Anonim Hale Getirilmesi

Bu politikanın 2 numaralı tanımlar bölümünde de yer aldığı üzere anonim hale getirme; kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi işlemi olup maskeleme, toplulaştırma ve veri üretme gibi yöntemlerle anonimleştirme işlemi gerçekleştirilmektedir.

7. Sorumluluk Ve Görev Dağılımı

Kişisel verilerin hukuka uygun olarak güvenli bir şekilde saklanması ve imha edilmesi süreçleri aşağıdaki birimler tarafından yerine getirilir.

1. Kişisel Verilerin Korunması Komite Başkan ve üyeleri:

Şirket nezdinde işlenen kişisel verilerin mevzuata uygun olarak işlenmesini temin etmek, yönetmek, kontrol etmek ve gerekli kararları almak için kişisel verilerin korunması komitesi oluşturulmuştur. Bu komitenin başkan ve üyeleri tarafından belirli periyotlarla değerlendirme toplantıları yapılarak KVK mevzuatına uyum noktasında güncel gelişmeler, veri koruma görevlisi yönetiminde alınan aksiyonlar ve sonraki adımlarda yerine getirilmesi planlanan yasal gereklilikler etraflıca değerlendirilir. Ayrıca üzerine karar alınmayı gerektirecek kritik önemdeki konular hakkında karar alarak uygulanmaya alınması sağlanır.

2. Veri Koruma Görevlisi:

Bu politikanın hazırlanması, güncellenmesi, geliştirilmesi, yürütülmesi ve ilgili ortamlarda yayınlanmasını temin eder. Kişisel verilerin korunması mevzuatına uyum için gerekli tüm adımları planlar, bu politikada belirtilen kişisel verilerin saklanması ve imha edilmesi işlemlerinin şirketin tüm departmanları tarafından yerine getirilmesini temin eder.

3. Bilgi Teknolojileri Yöneticisi:

Bu politika uyarınca kişisel verilerin saklanması ve imhası konusunda şirketin ilgili tüm departmanlarına ihtiyaç duyulan teknik çözümleri sunar. Politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

4. İnsan Kaynakları Yöneticisi:

Bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

5. İşyeri Sağlık Birimi Yöneticisi (İşyeri Hekimi ve İSG Yöneticisi):

Bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

6. Mali İşler Yöneticisi:

Bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

7. İdari İşler Yöneticisi:

Bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

8. Satış ve Pazarlama Yöneticisi:

Bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

1. Hasar Departman Yöneticisi:

Bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

10. İlgili tüm departmanların yöneticileri de bu politikada belirtilen saklama ve imha gerekliliklerini mevzuata uygun şekilde yerine getirir.

8. Saklama Ve İmha Süreleri

9. Periyodik İmha Süresi

Yönetmeliğin 11/2 maddesi gereğince kişisel verilerin imhası açısından şirketimiz periyodik imha süresi 6 ay olup haziran ve aralık aylarında periyodik imha işlemi gerçekleştirilmektedir.