KİŞİSEL VERİLERİNİN KORUNMASI VE İŞLENMESİ POLİTİKASI

Bu aydınlatma metni 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK") 10. Maddesi ile Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ kapsamında veri sorumlusu sıfatıyla Başoğlan Çınarı Turizm Ticaret Tarım Akaryakıt İnşaat Mimarlık Mühendislik İthalat ve İhracat Ltd.Şti. tarafından hazırlanmıştır. İşbu metinde Başoğlan Çınarı Turizm Ticaret Tarım Akaryakıt İnşaat Mimarlık Mühendislik İthalat ve İhracat Ltd.Şti.; NUUP Hotel, Sento, Krei ve Patisserie olarak hizmet vermekte olup, metin içerisinde kısaca “NUUP Hotel” olarak anılacaktır. NUUP Hotel olarak, sizlere ait her türlü kişisel verinin mümkün olabilen en iyi şekilde ve özenle işlenerek muhafaza edilmesine büyük hassasiyet göstermekteyiz. 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca, kişisel verileriniz; NUUP Hotel olarak aşağıda açıklanan amaçlar kapsamında; hukuka ve dürüstlük kurallarına uygun bir şekilde işleyebilecek, kaydedebilecek, saklayabilecek, sınıflandırabilecek, güncelleyebilecek ve mevzuatın izin verdiği hallerde ve/veya işlendikleri amaçla sınırlı olarak 3. kişilere açıklayabilecek/aktarabilecektir. Bu sorumluluğumuzun bilinci ile 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat kapsamında Veri Sorumlusu sıfatıyla ”www.nuup.com.tr“ internet sitesinde bulunan Kişisel Verilerin İşlenmesi Politikasında ayrıntılı olarak belirtilen kişisel verilerinizi işlemekteyiz.

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında NUUP Hotel Veri Sorumlusu sıfatıyla;

AMAÇ

6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) uyarınca, kişisel verileriniz; veri sorumlusu sıfatıyla NUUP Hotel tarafından işlenebilecektir. Bu Politika Şirket çalışanlarının kişisel verileri işlenirken hangi kurallara uygun olarak hareket edildiğini düzenlenmektedir. Dolayısıyla bu Politika’nın amacı, kişisel verilerin Şirket tarafından hukuka uygun şekilde işlenmesinin sağlanmasıdır.

KAPSAM

Bu Politika’nın uygulaması ve Politika’da yer alan düzenlemeler Şirket çalışanlarını ilgilendirmektedir. Şirket çalışanlarının otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir. Şirketimizin çalışan kişisel verilerinin işlenmesinden sorumlu birimleri, bu Politika’nın icra edilmesinde en önemli rolü üstleneceklerdir.

SORUMLULUKLAR

Hazırlayan: NUUP Hotel

Onaylayan: KVK Ekibi

Kullanan: NUUP Hotel çalışanları

TANIMLAR VE KISALTMALAR

Açık Rıza; Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

KVKK Başvuru Formu: İlgili kişi hak başvuruları için form.

İlgili Kullanıcı; Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.

İmha; Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

İş/Çözüm Ortağı: İş ortaklığı kurulan taraflar.

Kanun; KVKK 6698 Sayılı Kişisel Verilerin Korunması Kanunu.

Kanunen Yetkili Kamu Kurum ve Kuruluşları: Örn. Kişisel Verileri Koruma Kurumu, Kültür ve Turizm Bakanlığı.

Kayıt Ortamı; Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri; Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Verilerin İşlenmesi; Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Verilerin Anonim Hale Getirilmesi; Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Kişisel Verilerin Silinmesi; Kişisel verilerin silinmesi, kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.

Kişisel Verilerin Yok Edilmesi; Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”).

Kurul; Kişisel Verileri Koruma Kurulu.

Özel Nitelikli Kişisel Veri; Kanun m.6 kapsamındaki özel nitelikli veriler. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Periyodik İmha; Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re ’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Politika: NUUP Hotel Çalışan Kişisel Verilerin Korunması ve İşlenmesi Politikası.

Şirket: NUUP Hotel’i ifade eder.

Tedarikçi: Şirket adına hizmet sunan taraflar.

Veri Sahibi/İlgili Kişi; Kişisel verisi işlenen gerçek kişi.

Veri İşleyen; Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.

Veri Sorumlusu; Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.

Veri Sorumlusu İrtibat Kişisi ve Yardımcıları; Veri sorumlusu Türkiye’de yerleşik bir tüzel kişi olduğundan dolayı veri sorumlusu irtibat kişisi atanmıştır. Bu sebepten irtibat kişinin ve yardımcılarının temel görevi Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek kişilerdir.

Yönetmelik; 28 Ekim 2017 tarihinde Resmî Gazete’de yayımlanan Kişisel Kısaltma Tanım Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

UYGULAMA

POLİTİKANIN VE İLGİLİ MEVZUATIN UYGULANMASI

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir. Politika, ilgili mevzuat tarafından ortaya konulan kuralları Şirket uygulamaları kapsamında somutlaştırılarak düzenlemektedir.

İşbu Politika, Şirket Personel Yönetmeliği, NUUP Hotel Etik Davranış Kuralları ve Uygulama İlkeleri, Kişisel Verilerin Korunması Politikası ve diğer uyum politikaları ile uygulanır.

POLİTİKANIN YÜRÜRLÜĞÜ

NUUP Hotel tarafından düzenlenen bu Politika 1 Temmuz 2026 tarihlidir. Politika’nın tamamının veya belirli maddelerinin yenilenmesi durumunda Politika’nın yürürlük tarihi güncellenecektir. Politika NUUP Hotel web sitesinde yayımlanır ve kişisel veri sahiplerinin talebi üzerine ilgili kişilerin erişimine sunulur.

KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI

Şirketimiz, Kanun’un 12. maddesine uygun olarak, kişisel verilerin hukuka aykırı olarak işlenmesini, erişimini, aktarılmasını veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek ve muhafazasını sağlamak için, kişisel verilerin niteliği doğrultusunda gerekli tedbirlerini almaktadır. Bu kapsamda Şirketimiz Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından yayımlanmış olan rehberlere uygun olarak gerekli güvenlik düzeyini sağlamaya yönelik ve idari tedbirleri almakta, denetimleri yapmakta veya yaptırmaktadır.

Teknik ve İdari Tedbirler

NUUP Hotel, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi konusunda azami dikkat ve özeni göstermekte olup, Kanun’un 12’nci maddesi, Yönetmelik hükümleri ve Kurul’un Kişisel Veri Güvenliği Rehberi’nde yer alan başlıklar esas alınarak, kurumun mevcut teknolojik imkânları ve uygulama maliyeti gözetilerek aşağıdaki teknik ve idari tedbirler alınmaktadır. NUUP Hotel, bu tedbirleri düzenli olarak gözden geçirmekte ve teknolojik gelişmeler doğrultusunda güncellemektedir.

1. Log Kayıtları: Kullanıcıların sistem üzerindeki hareketlerine ilişkin erişim log kayıtları düzenli olarak tutulmaktadır.

2. Kişisel Verilerin Şifrelenmesi: Kişisel verilerin uygun kriptografik yöntemlerle şifrelenerek depolanması ve aktarılması hususu, sistemlerin kapasitesine göre değerlendirilmekte ve geliştirilmesi hedeflenmektedir.

3. Yazılım Güvenliği: Kullanılan uygulama ve yazılımların güncel tutulması ve güvenlik yamalarının uygulanması sağlanmaktadır.

4. Güvenlik Duvarları (Firewall): Ağ sınırlarını korumak amacıyla güvenlik duvarı (Mikrotik) yapılandırılmış olup, ağ trafiği bu kapsamda denetlenmektedir.

5. Güncel Antivirüs Sistemleri: Zararlı yazılımlara karşı korunmak amacıyla sunucu ve son kullanıcı cihazlarında güncel antivirüs/anti-malware yazılımları (Kaspersky, ESET) kullanılmaktadır.

6. Ağ Güvenliği: Kurum bünyesinde birbirinden fiziksel ve alansal olarak ayrılmış, ayrı yönetilebilen üç farklı ağ yapısı bulunmakta olup, bu segmentasyon ağ güvenliğine katkı sağlamaktadır.

7. Bulut Güvenliği: Otel yönetim sistemi (PMS) kapsamında kullanılan bulut altyapısı yurt içinde (Türkiye) barındırılmakta olup, ilgili hizmet sağlayıcı ile veri güvenliğine ilişkin gerekli sözleşmesel güvenceler sağlanmaktadır.

8. Yedekleme: Kişisel veriler, fiziksel sunucu üzerinden düzenli disk yedeklemesine tabi tutulmakta ve ayrı bir yedek sunucusunda muhafaza edilmektedir.

9. Silme, Yok Etme veya Anonim Hale Getirme: Saklama süresi dolan kişisel veriler, ilgili politikalarda belirtilen yöntemlerle güvenli şekilde imha edilmektedir.

10. Fiziksel Ortam Güvenliği: Sunucu ve teknik altyapının bulunduğu alanlara erişim sınırlandırılmakta olup, fiziksel güvenlik uygulamaları işletilmektedir.

İdari Tedbirler

Yukarıda belirtilen teknik tedbirlere ek olarak, NUUP Hotel bünyesinde kişisel verilerin hukuka uygun olarak işlenmesini ve saklanmasını sağlamak amacıyla, Kurul’un Kişisel Veri Güvenliği Rehberi’nde yer alan başlıklar esas alınarak aşağıdaki idari tedbirler alınmaktadır:

1. Mevcut Risk ve Tehditlerin Belirlenmesi: NUUP Hotel bünyesinde işlenen kişisel veriler, tüm birimlerde gerçekleştirilen veri envanteri çalışması kapsamında tespit edilmiş; bu veriler üzerindeki olası riskler ve gizlilik seviyeleri değerlendirilerek uygun tedbirler planlanmıştır.

2. Çalışanların Eğitilmesi ve Farkındalık Çalışmaları: Resepsiyon, kat hizmetleri, misafir ilişkileri gibi misafir verisiyle doğrudan temas eden birimlerde çalışan personel başta olmak üzere tüm çalışanlar, kişisel veri güvenliği konusunda bilgilendirilmekte ve gerekli hallerde eğitime tabi tutulmaktadır.

3. Kişisel Veri Güvenliği Politikalarının ve Prosedürlerinin Belirlenmesi: NUUP Hotel, işbu Politika ile birlikte Kişisel Veri Saklama ve İmha Politikası, Özel Nitelikli Kişisel Verilerin İşlenmesi ve Güvenliği Politikası, Veri Toplama Akış ve İşleme Prosedürü ile Veri Aktarım ve Paylaşımı Prosedürü’nü yürürlüğe koymuş olup, bu dokümanların uygulanması düzenli olarak kontrol edilmektedir.

4. Kişisel Verilerin Mümkün Olduğunca Azaltılması: Kişisel veriler, yalnızca işlenme amacı için gerekli olan asgari kapsamda toplanmakta olup, bu ilke Veri Toplama Akış ve İşleme Prosedürü’nde ayrıca düzenlenmiştir.

5. Veri İşleyenler ile İlişkilerin Yönetimi: Rezervasyon motoru, otel yönetim sistemi ve diğer hizmet sağlayıcılar gibi veri işleyen sıfatıyla hareket eden üçüncü taraflarla olan ilişkilerde, veri güvenliğinin sağlanması amacıyla gerekli sözleşmesel güvenceler tesis edilmektedir.

6. Kişisel Veri Güvenliği Kurumsal Yapısının Oluşturulması: NUUP Hotel bünyesinde kişisel veri güvenliği süreçlerini koordine eden KVK Çalışma Komitesi oluşturulmuş olup, ilgili süreçler bu komite tarafından yürütülmektedir.

7. Disiplin Süreci: Güvenlik politika ve prosedürlerine uymayan çalışanlar hakkında ilgili iç yönetmelik hükümleri uyarınca disiplin süreci işletilmektedir.

ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI

Özel nitelikli kişisel veriler için gerek nitelikleri itibari ile gerekse kişilerin mağduriyetine veya ayrımcılığa yol açabilmesinden dolayı yeterli önlemlerin alınması gerekmektedir. KVK Kanunu’nun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiştir.

Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;

a) İlgili kişinin açık rızasının olması,

b) Kanunlarda açıkça öngörülmesi,

c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması, halinde mümkündür.”

Şirketimiz, KVK Kanunu ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında gerekli tedbirleri almaktadır. Kişisel verileri korumak için alınan teknik ve idari tedbirlerde özel nitelikli kişisel veriler için hassasiyet gösterilmektedir.

Şirketimiz tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından Kurul’un 31/01/2018 Tarihli ve 2018/10 Sayılı Kararı’nda öngörülen yeterli önlemler çerçevesinde Özel Nitelikli Kişisel Verilerin İşlenmesi ve Korunması Politikası içerisinde açıklanan kapsamda alınmakta ve bu doğrultuda yürütülen çalışmalar Şirketimiz bünyesinde gerçekleştirilen denetimler çerçevesinde takip edilmekte ve denetlenmektedir.

Özel nitelikli kişisel verilerin işlenmesi ile ilgili ayrıntılı bilgiye bu Politika’nın 5.4 bölümünde yer verilmiştir.

İŞ BİRİMLERİNİN KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ KONUSUNDA FARKINDALIKLARININ ARTTIRILMASI VE DENETİMİ

Şirketimiz, kişisel verilerin hukuka aykırı olarak işlenmesini, verilere hukuka aykırı olarak erişilmesini önlemeye ve verilerin muhafazasını sağlamaya yönelik farkındalığın artırılması amacıyla iş birimlerine gerekli eğitimlerin düzenlenmesini sağlamaktadır. Şirket tarafından organize edilen eğitim ve farkındalık çalışmaları, Kurum tarafından resmi internet sitesinde yayımlanmış olan “Kişisel Veri Güvenliği Rehberi” esas alınarak oluşturulmaktadır.

Gerçekleştirilen eğitimler ve farkındalık çalışmaları ile Şirketimiz tarafından çalışanların iş görevlerinin yerine getirilmesi esnasındaki kişisel veri işleme faaliyetlerinin Kanun ve ikincil mevzuata uygun bir şekilde yürütülmesinin sağlanması hedeflenmektedir.

Şirketimiz, mevcut çalışanlarının ve bünyesine yeni dâhil olan çalışanların kişisel verilerin korunması konusunda farkındalığının oluşması için gerekli sistemler kurmakta, konuya ilişkin ihtiyaç duyulması halinde danışmanlar ile çalışmaktadır. Bu doğrultuda Şirketimiz tarafından ilgili eğitimlere, seminerlere ve bilgilendirme oturumlarına yapılan katılımlar değerlendirmekte olup ilgili mevzuatın güncellenmesine paralel olarak yeni eğitimler düzenlemektedir.

KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

KİŞİSEL VERİLERİN MEVZUATTA ÖNGÖRÜLEN İLKELERE UYGUN OLARAK İŞLENMESİ

Hukuka ve Dürüstlük Kuralına Uygun İşleme

Kişisel veriler kişilerin temel hak ve özgürlüklerine zarar gelmeyecek şekilde genel güven ve dürüstlük kuralına uygun olarak işlenmektedir. Bu çerçevede, kişisel veriler Şirketimizin iş faaliyetlerinin gerektirdiği ölçüde ve bunlarla sınırlı olarak işlenmektedir.

Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

Şirketimiz kişisel verilerin işlendiği süre boyunca doğru ve güncel olması için gerekli önlemleri almakta ve belirli sürelerle kişisel verilerin doğruluğunun ve güncelliğinin sağlanmasına ilişkin gerekli mekanizmaları kurmaktadır.

Belirli, Açık ve Meşru Amaçlarla İşleme

Şirketimiz, kişisel verilerin işlenme amaçlarını açıkça ortaya koymakta ve yine iş faaliyetleri doğrultusunda bu faaliyetlerle bağlantılı amaçlar kapsamında işlemektedir.

İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirketimiz kişisel verileri yalnızca iş faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta olup belirlenen amaçlarla sınırlı olarak işlemektedir.

İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme

Şirketimiz, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili yasal mevzuatta öngörülen minimum süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya ilgili kişi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

İlgili kişinin açık rıza vermesi haricinde kişisel veri işleme faaliyetinin dayanağı aşağıda belirtilen şartlardan yalnızca biri olabileceği gibi birden fazla şart da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir.

(i) İlgili Kişinin Açık Rızasının Bulunması

Kişisel verilerin işlenme şartlarından biri ilgili kişinin açık rızasıdır. İlgili kişinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

Aşağıda yer alan kişisel veri işleme şartlarının varlığı durumunda ilgili kişinin açık rızasına gerek kalmaksızın kişisel veriler işlenebilecektir.

(ii) Kanunlarda Açıkça Öngörülmesi

İlgili kişinin kişisel verileri, kanunda açıkça öngörülmekte ise diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde işbu veri işleme şartının varlığından söz edilebilecektir.

(iii) Fiili İmkânsızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması

Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir.

(iv) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması

İlgili kişinin taraf olduğu bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, kişisel verilerin işlenmesinin gerekli olması halinde işbu şart yerine getirilmiş sayılabilecektir.

(v) Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi

Şirketimizin hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir.

(vi) İlgili Kişinin Kişisel Verisini Alenileştirmesi

İlgili kişinin, kişisel verisini alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.

(vii) Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir.

(viii) Şirketimizin Meşru Menfaati için Veri İşlemenin Zorunlu Olması

İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir.

ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

Çalışanlarımızın özel nitelikli kişisel verileri Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Özel Nitelikli Kişisel Verilerin İşlenmesi ve Güvenliği Politikası’nda açıklanan yöntemler ile idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde işlenmektedir:

(i) Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde ilgili kişinin açık rıza aranmaksızın işlenebilecektir. Aksi halde ilgili kişinin açık rızası alınacaktır.

(ii) Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde ilgili kişinin açık rızası alınacaktır.

ÇALIŞANLARIN AYDINLATILMASI

Şirketimiz, Kanun’un 10. maddesine ve ikincil mevzuata uygun olarak İlgili kişileri kişisel verilerinin veri sorumlusu olarak kim tarafından, hangi amaçlarla işlendiği, hangi amaçlarla kimlerle paylaşıldığı, hangi yöntemlerle toplandığı ve hukuki sebebi ve ilgili kişilerin kişisel verilerinin işlenmesi kapsamında sahip olduğu hakları konusunda bilgilendirmektedir.

Veri sorumlusunun ve varsa temsilcisinin kimliği,

Kişisel verilerin hangi amaçla işleneceği,

İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

Kişisel veri toplamanın yöntemi ve hukuki sebebi,

KVKK’nın 11. Maddesinde sayılan diğer haklar.

Öte yandan, KVKK’nın 28(1). Maddesi çerçevesinde, aşağıda sayılan durumlarda aydınlatma yükümlülüğü bulunmamaktadır:

Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi,

Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,

Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi,

Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.

Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.

Veri Sahiplerini aydınlatma ve açık rızalarının alınması için “Açık Rıza ve Aydınlatma Beyanı” hazırlanmıştır.

KİŞİSEL VERİLERİN AKTARILMASI

Şirketimiz hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak ilgili kişinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir. Şirketimiz bu doğrultuda Kanun’un 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir.

Kişisel Verilerin Aktarılması

İlgili kişinin açık rızası olmasa dahi aşağıda belirtilen veri işleme şartlardan (“Veri İşleme Şartları”) bir ya da birkaçının mevcut olması halinde Şirketimiz tarafından gerekli özen gösterilerek ve Kurul tarafından öngörülen yöntemler de dahil gerekli tüm güvenlik önlemleri alınarak kişisel veriler üçüncü kişilere aktarılabilecektir.

• Kişisel verilerin aktarılmasına ilişkin ilgili faaliyetlerin kanunlarda açıkça öngörülmesi,

• Kişisel verilerin Şirket tarafından aktarılmasının bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili ve gerekli olması,

• Kişisel verilerin aktarılmasının Şirketimizin hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

• Kişisel verilerin ilgili kişi tarafından alenileştirilmiş olması şartıyla, alenileştirme amacıyla sınırlı bir şekilde Şirketimiz tarafından aktarılması,

• Kişisel verilerin Şirket tarafından aktarılmasının Şirket’in veya ilgili kişinin veya üçüncü kişilerin haklarının tesisi, kullanılması veya korunması için zorunlu olması,

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirket meşru menfaatleri için kişisel veri aktarımı faaliyetinde bulunulmasının zorunlu olması,

• Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü koruması için zorunlu olması.

Kişisel Verilerin Yurt Dışında Mukim Üçüncü Taraflara Aktarılması

Kişisel veriler, 5. ve 6. maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:

a) Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.

b) Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.

c) Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.

d) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.

e) Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üyeolduğu küresel veya bölgesel kuruluşlara üye olma durumu.

f) Türkiye’nin taraf olduğu uluslararası sözleşmeler.

Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5 inci ve 6’ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

d) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

Yeterlilik kararının bulunmaması ve uygun güvencelerden herhangi birinin sağlanamaması hâlinde kişisel veriler, yalnızca arızi olmak kaydıyla aşağıdaki hâllerden birinin varlığı durumunda yurt dışına aktarılabilir:

a) İlgili kişinin, olası riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasında yapılan bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ile diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati bulunan kişinin talep etmesi kaydıyla aktarım yapılması.

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Şirketimiz, kişisel verilerin yurt dışına aktarılmasına ilişkin süreçleri KVKK’nın 9. maddesi ve Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik doğrultusunda yürütmektedir. Hizmet alınan bazı bilgi teknolojileri tedarikçilerinin (e-posta, bulut tabanlı yazılım, rezervasyon/kanal yönetimi, web sitesi barındırma ve analiz hizmetleri gibi) sunucularının yurt dışında bulunması nedeniyle, Veri Envanteri’nde belirtilen kişisel veriler yurt dışına aktarılabilmektedir. Bu aktarımlar, Kurul tarafından ilan edilen standart sözleşmeler başta olmak üzere Kanun’da öngörülen uygun güvencelerden birinin sağlanması suretiyle; bunun mümkün olmadığı hâllerde ise yalnızca arızi nitelikte ve Kanun’un 9. maddesinin 6. fıkrasında sayılan hâllerde gerçekleştirilmektedir. İmzalanan standart sözleşmeler, imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmektedir.

Özel Nitelikli Kişisel Verilerin Aktarılması

Özel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve Özel Nitelikli Kişisel Verilerin İşlenmesi ve Güvenliği Politikası’nda açıklanan yöntemler ile idari ve teknik tedbirler alınarak ve aşağıdaki şartların varlığı halinde aktarılabilecektir:

(i) Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm olması halinde ilgili kişinin açık rıza aranmaksızın işlenebilecektir. Aksi halde ilgili kişinin açık rızası alınacaktır.

(ii) Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde ilgili kişinin açık rızası alınacaktır.

KİŞİSEL VERİLERİN KATEGORİZASYONU VE KİŞİSEL VERİLERİN İŞLEME AMAÇLARI

Şirketimiz nezdinde, başta kişisel verilerin işlenmesine ilişkin Kanun’un 4. maddesinde belirtilen ilkeler olmak üzere Kanun’da belirtilen genel ilkelere uygun bir şekilde Veri İşleme Şartlarından en az birine dayalı ve sınırlı olarak, Şirketimiz iş faaliyetlerinin yürütülmesi çerçevesinde ortaya çıkan kişisel veri işleme amaçları doğrultusunda işlenmektedir.

Şirketimiz tarafından iş faaliyetlerinin yürütülmesi kapsamında, işbu Politika’da belirtilen amaçlar ve şartlar çerçevesinde kişisel veriler işlenmektedir. İşlenen kişisel veri kategorileri ve bu kategorilere ilişkin açıklamalar, kurum tarafından oluşturulan Veri Envanteri içerisinde tanımlanmıştır.

Söz konusu kişisel veri kategorileri, VERBİS sistemi (https://verbis.kvkk.gov.tr/) üzerinden Veri Konusu Kişi Grupları ve Veri Kategorileri bazında beyan edilerek güncel şekilde tutulmaktadır.

KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI

Şirketimiz, kişisel verileri işlendikleri amaç için gerekli olan süre ve ilgili yasal mevzuatta öngörülen minimum süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmaktadır. Yasal bir süre mevcut değil ise kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Kişisel veriler belirlenen saklama sürelerinin sonunda periyodik imha sürelerine veya ilgili kişi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

Şirketimiz tarafından işlenmekte olan kişisel veriler kategorik bazda ele alınarak her bir kişisel veri kategorisi için ilgili veri işleme süreci doğrultusunda azami veri saklama süreleri belirlenmiştir. Bahsi geçen süreler Şirketimiz’in Kişisel Veri Saklama ve İmha Politikası’nda yer alan tabloda ortaya konulmaktadır. Kişisel veriler, belirlenen azami saklama sürelerinin sonunda periyodik imha sürelerine veya ilgili kişi başvurusuna uygun olarak ve belirlenen imha yöntemleri (silme ve/veya yok etme ve/veya anonimleştirme) ile imha edilmektedir.

KİŞİSEL VERİLERİN İŞLENDİĞİ ÖZEL DURUMLAR

DİSİPLİN SORUŞTURMALARI VE DENETİM SÜREÇLERİNDE KİŞİSEL VERİLERİNİZİN İŞLENMESİ

Şirketimiz denetim süreçlerinde ve çalışanlara ilişkin yürütülecek disiplin soruşturmaları kapsamında sadece sürecin gerektirdiği kadar kişisel veri işlenir. Kişisel verilerin doğruluğu ve güncelliğinin kontrol edilmesi için gerekli çaba gösterilir ve bu kapsamda soruşturmanın ve denetimin etkinliğinin önemli şekilde ortadan kaldırılmaması kaydıyla gerekli aksiyonlar alınır.

SAĞLIK VERİLERİNİN AYRI SAKLANMASI VE SAĞLIK VERİLERİNİ İŞLEMEYE YETKİLİ KİŞİLER

Sağlık verileri, Şirket olanakları elverdiği oranda, yetkisiz erişimlerden korumak ve daha yüksek güvenlik sağlamak adına, diğer kişisel verilerden ayrı olarak saklanmaktadır. Şirket, sağlık verilerini mümkün olan en dar kapsamda işlemeye özen göstermektedir. Sağlık verilerinin işlenmesi gereken durumlarda, bu işlemeyi gerçekleştirmek amacıyla yetkilendirilen kişilerin, bu verilerin hassasiyetini anlamasına ve gerekli önemleri alabilmesine yönelik bilgilendirmeler yapılır. Bu kapsamda Kurul tarafından ortaya konulan idari ve teknik tedbirler alınır.

ELEKTRONİK HABERLEŞME ARAÇLARININ KULLANIMINA İLİŞKİN KİŞİSEL VERİLERİN İŞLENMESİ

Şirket tarafından çalışana sağlanmış veya sağlanabilecek olan cep telefonu, diz üstü bilgisayar, tablet ve benzeri elektronik haberleşme araçlarının kullanımına ilişkin olarak çalışan verileri işbu Politika çerçevesinde işlenebilir. Çalışanlara Şirket tarafından sağlanmış olan haberleşme cihazlarının yalnızca iş gereklilikleri için kullanılmalı, kişisel amaçlarla kullanılmamalıdır. Elektronik haberleşme araçlarının kişisel amaçlarla kullanımına ilişkin elde edilen kişisel veriler işbu Politika’da bulunan hükümler doğrultusunda silinecektir.

Şirket telefonundan yapılan iletişim, telefon görüşmesi yapılan numaralar ve iletişimin süresine ilişkin kişisel verilerin sadece işlendikleri amaçla sınırlı olarak kullanılmasına özen gösterilir. Çalışan kurumsal e-posta hesabı üzerinden elde edilen kişisel verilerin Şirket tarafından işlenmesinde; bu Politikada yer alan tüm hükümler uygulama alanı bulur.

GÜVENLİK KAMERASI UYGULAMASINA İLİŞKİN KİŞİSEL VERİLERİN İŞLENMESİ

İşyerinde güvenlik veya benzeri amaçlarla kamera kayıtları kullanımı nedeniyle kişisel verilerin elde edilmesi halinde; elde edilen kişisel verileriniz ileride bir şüpheli işlemin araştırılması, uyuşmazlığın çözümü veya şikâyet halinde delil olarak kullanmak gibi amaçlarla veya bu Politika’da belirtilen diğer amaçlarla işlenebilir.

İNTERNET KULLANIMINA İLİŞKİN KİŞİSEL VERİLERİN İŞLENMESİ

Şirket’in ilgili politika ve prosedürlerine uygun hareket edilmesini temin ve kontrol etmek amacıyla Şirket tarafından Çalışanlar’ın internet kullanımı izlenebilir. Bu kapsamda, kişisel verilerin elde edilmesi halinde; elde edilen kişisel verilere ilişkin, bu Politika’daki hükümler uygulama alanı bulur.

İLGİLİ KİŞİLERİN HAKLARI VE BU HAKLARIN KULLANILMASI

İLGİLİ KİŞİNİN HAKLARI

Kişisel verileriniz ile ilgili olarak aşağıda yer alan haklara sahip olduğunuzu bildiririz:

(1) Kişisel verilerin işlenip işlenmediğini öğrenme,

(2) Kişisel verilerin işlenmişse buna ilişkin bilgi talep etme,

(3) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

(4) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

(5) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,

(6) Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme,

(7) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

(8) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

İLGİLİ KİŞİNİN HAKLARINI KULLANMASI

İlgili kişiler, bölüm 7.1.’de (“İlgili kişinin Hakları”) sayılmış haklarına ilişkin taleplerini Kurul’un belirlemiş olduğu yöntemlerle Şirketimize iletebileceklerdir. Bu doğrultuda www.nuup.com.tr adresinden ulaşılabilecek “KVKK Başvuru Formu”ndan yararlanabileceklerdir.

ŞİRKETİMİZİN BAŞVURULARA CEVAP VERMESİ

Şirketimiz, ilgili kişi tarafından yapılacak başvuruları Kanun ve ikincil mevzuata uygun olarak sonuçlandırmak üzere gerekli idari ve teknik tedbirleri almaktadır.

İlgili kişinin, bölüm 7.1.’de (“İlgili kişinin Hakları”) yer alan haklara ilişkin talebini usule uygun olarak Şirketimize iletmesi durumunda, Şirketimiz talebin niteliğine göre en kısa sürede ve en geç 30 (otuz) gün içinde ilgili talebi ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyet gerektirmesi halinde, Kurul tarafından belirlenen tarife uyarınca ücret alınabilecektir.

Kişisel Veri İşleme Amaçlari

Kişisel veri işleme amaçları, NUUP Hotel tarafından hazırlanan Veri Envanteri kapsamında belirlenmiştir. Bu doğrultuda, ilgili birimlerle yapılan çalışmalar neticesinde işlenen kişisel veriler ile bu verilere ilişkin işleme amaçları beyan edilmiştir. Söz konusu bilgiler, VERBİS sistemine aktarılmıştır.

KİŞİSEL VERİ KATEGORİLERİ

KİŞİSEL VERİLERİN AKTARILDIĞI ÜÇÜNCÜ KİŞİLER VE AKTARILMA AMAÇLARI

Şirketimiz Kanun’un 8. ve 9. maddelerine uygun olarak müşterilerin kişisel verilerini aşağıda sıralanan kişi kategorilerine aktarılabilir:

(i) İş Ortakları

(ii) Tedarikçiler

(iii) İştirakler

(iv) Kanunen Yetkili Kamu Kurum ve Kuruluşları

(v) Kanunen Yetkili Özel Hukuk Kişileri

Aktarımda bulunulan yukarıda belirtilen kişilerin kapsamı ve veri aktarım amaçları Veri Envanteri çalışmasında gerçekleştirilmiş ve VERBİS’te de beyan edilmiştir.

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

AMAÇ

İşbu Politika ile Şirketimiz, İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 Sayılı Kişisel Verilerin Korunması Kanunu (“KVKK” ya da “Kanun”) ve Kanun’un ikincil düzenlemesini teşkil eden 28 Ekim 2017 tarihli Resmi Gazete’de yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (“Yönetmelik”) uyarınca yükümlülüklerimizin yerine getirilmesi ve kişisel verilerin işlendikleri amaç için gerekli olan azami saklama süresinin belirlenmesi işlemi ile silme, yok etme ve anonim hale getirme işlemleri için dayanak olarak kullanılması ve bu işlemler hakkında ilgili kişilerin bilgilendirilmesi amacıyla, veri sorumlusu sıfatıyla Başoğlan Çınarı Turizm Ticaret Tarım Akaryakıt İnşaat Mimarlık Mühendislik İthalat ve İhracat Ltd.Şti. tarafından hazırlanmıştır.

İşbu metinde Başoğlan Çınarı Turizm Ticaret Tarım Akaryakıt İnşaat Mimarlık Mühendislik İthalat ve İhracat Ltd.Şti.; NUUP Hotel, Sento, Krei ve Patisserie olarak hizmet vermekte olup, metin içerisinde kısaca “NUUP Hotel” olarak anılacaktır.

KAPSAM

Bu politika, kurum nezdinde tutulan, kurumun tüm çalışanlarını ve kişisel veri paylaşımı söz konusu olan tüm durumlarda iştiraklerini, tedarikçilerini ve kurumun diğer hukuki ilişkiye girdiği gerçek ve tüzel kişileri, bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kanun ile tanımlanan kişisel verileri ve özel nitelikli kişisel verileri kapsamaktadır. Politikada aksi belirtilmedikçe kişisel veriler ve özel nitelikli kişisel veriler birlikte “Kişisel Veriler” olarak adlandırılacaktır.

SORUMLULUKLAR

Hazırlayan: NUUP Hotel

Onaylayan: KVK Ekibi

Kullanan: NUUP Hotel çalışanları

TANIMLAR VE KISALTMALAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Alıcı Grubu: Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

Anayasa: Türkiye Cumhuriyeti Anayasası.

İlgili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi/birim hariç; veri sorumlusu organizasyonunda veya veri sorumlusundan aldığı yetki ve talimatla kişisel verileri işleyen kişiler.

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi (örn. ad-soyad, TCKN, e-posta, adres, doğum tarihi, kredi kartı numarası, banka hesap numarası). Tüzel kişilere ilişkin bilgiler Kanun kapsamında değildir.

İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

Kişisel Verilerin İşlenmesi: Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.

Kişisel Verilerin Silinmesi: Kişisel verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.

Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.

Kurul: Kişisel Verileri Koruma Kurulu.

Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.

Periyodik İmha: Kanun’daki işleme şartlarının tamamının ortadan kalkması durumunda, Politika’da belirtilen aralıklarla re’sen gerçekleştirilen silme, yok etme veya anonim hale getirme işlemi.

Veri Sahibi/İlgili Kişi: Kişisel verisi işlenen gerçek kişi.

Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi.

Yönetmelik: 28 Ekim 2017 tarihinde Resmi Gazete’de yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik

UYGULAMA

POLİTİKA İLE DÜZENLENEN KAYIT ORTAMLARI

Şirketimiz, Kanun kapsamındaki veri işleme faaliyetlerine konu tüm kişisel verileri, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu ve aşağıda belirtilen ortamlarda saklamaktadır:

• Fiziksel arşiv

• Şirketimizin veri tabanları

• E-posta hesapları

• Yedekleme Alanları

• Masaüstü bilgisayarlar

• Şirket çalışanlarının taşınabilir cihazları

KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

Şirketimiz, kişisel veri işleme faaliyetlerinde aşağıdaki ilkeleri esas almaktadır:

• Hukuka ve Dürüstlük Kuralına Uygun Olunması,

• Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama,

• Belirli, Açık ve Meşru Amaçlarla İşleme,

• İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma,

• İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Etme.

Şirketimiz, kişisel verileri, yukarıda bahsi geçen ilkelerle uyumlu şekilde, NUUP Hotel Kişisel Verilerin Korunması ve İşlenmesi Politikası ile NUUP Hotel Çalışanları Kişisel Verilerin Korunması ve İşlenmesi Politikası’nın ilgili maddelerinde yer alan kişisel veri işleme amaçlarıyla ve aşağıda belirtilen Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarına istinaden kişisel verileri saklamakta ve kullanmakta olup, söz konusu şartların tamamının ortadan kalkması halinde, kişisel verileri re’sen veya ilgili kişinin talebi üzerine imha etmektedir.

(a) İlgili Kişinin Açık Rızasının Bulunması

Kişisel verilerin işlenme şartlarından biri sahibinin açık rızasıdır. İlgili kişinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

(b) Kanunlarda Açıkça Öngörülmesi

İlgili kişinin kişisel verileri, kanunlarda açıkça öngörülmesi halinde açık rızası alınmadan hukuka uygun olarak işlenebilecektir.

(c) Fiili İmkansızlık Sebebiyle İlgili Kişinin Açık Rızasının Alınamaması

Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir.

(d) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması

Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi mümkündür.

(e) Hukuki Yükümlülük

Şirketimizin hukuki yükümlülüklerini yerine getirmesi için veri işlemenin zorunlu olması halinde ilgili kişinin verileri işlenebilecektir.

(f) İlgili Kişinin Kişisel Verisini Alenileştirmesi

İlgili kişinin, kişisel verisini kendisi tarafından alenileştirmiş olması halinde ilgili kişisel veriler alenileştirme amacıyla sınırlı olarak işlenebilecektir.

(g) Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir

(h) Şirketimizin Meşru Menfaati İçin Veri İşlemenin Zorunlu Olması

İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde ilgili kişinin kişisel verileri işlenebilecektir.

Bu doğrultuda, kişisel veri işleme faaliyetinin dayanağı yukarıda belirtilen şartlardan yalnızca biri olabildiği gibi bu şartlardan birden fazlası da aynı kişisel veri işleme faaliyetinin dayanağı olabilmektedir.

KİŞİSEL VERİLERİN İMHA EDİLMESİ İŞLEMİ İLE İLGİLİ UYGULANAN YÖNTEMLER VE KİŞİSEL VERİLERİN HUKUKA UYGUN OLARAK İMHA EDİLMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER

Şirketimiz, Kanun’un 5’inci ve 6’ncı maddelerinde yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması halinde, kişisel verileri aşağıdaki yöntemlerle silmekte, yok etmekte veya anonim hale getirilmesi getirmektedir. Şirketimiz, kişisel verilerin imhasında azami dikkat ve özeni göstermektedir. Bu kapsamda Şirketimiz, Kanun’un 12’nci maddesi ve Yönetmelik hükümleri, yukarıda belirtilen genel ilkeler ile işbu Politika ve Kurul kararları uyarınca aşağıda belirtilen hususlar ile ilgili teknolojik imkanlar ve uygulama maliyetine göre gerekli teknik ve idari tedbirleri almaktadır. İmha kapsamında gerçekleştirilen tüm işlemler Şirketimiz tarafından kayıt altına alınmaktadır. Şirketimiz, Kurul tarafından aksine bir karar alınmadıkça, kişisel verileri re’sen silme, yok etme veya anonim hale getirme yöntemlerinden uygun olanını teknolojik imkanlar ve uygulama maliyetine göre seçmekte olup, ilgili kişinin talebi halinde uygun yöntemin gerekçesini açıklamaktadır.

(a) Kişisel Verilerin Silinme Yöntemleri

Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Şirketimiz, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için teknolojik imkanlar ve uygulama maliyetine göre gerekli her türlü teknik ve idari tedbirleri almaktadır.

Bu kapsamda Şirketimiz, kişisel verileri silme işlemi için aşağıdaki yöntemleri uygulamaktadır:

1. Kağıt Ortamında Bulunan Kişisel Veriler

Şirketimiz, kağıt ortamında ve fiziksel arşivlerde tutulan kişisel verileri kağıt kırpma makinesi ile verilerin geri dönüştürülemez hale getirilmesi şeklinde yapılır.

2. Taşınabilir Cihazlarda Bulunan Kişisel Veriler

Şirketimiz taşınabilir cihazlardaki kişisel verileri şifreli olarak saklar ve bu ortamlara uygun yazılımlar kullanarak kişisel verilerin silinmesini sağlar.

3. Veri Tabanlarında Bulunan Kişisel Veriler

Şirketimiz veri tabanlarında bulunan kişisel verilerin veri tabanı silme komutları ile silinmesini sağlar. Anılan işlem gerçekleştirilirken veri tabanına erişim yetkisi olan kullanıcının aynı zamanda veri tabanı yöneticisi olmadığına dikkat edilir.

KİŞİSEL VERİLERİN GÜVENLİ BİR ŞEKİLDE SAKLANMASI İLE HUKUKA AYKIRI OLARAK İŞLENMESİ VE ERİŞİLMESİNİN ÖNLENMESİ İÇİN ALINMIŞ TEKNİK VE İDARİ TEDBİRLER

NUUP Hotel, kişisel verilerin güvenli bir şekilde saklanması ile hukuka aykırı olarak işlenmesi ve erişilmesinin önlenmesi konusunda azami dikkat ve özeni göstermekte olup, Kanun’un 12’nci maddesi, Yönetmelik hükümleri ve Kurul’un Kişisel Veri Güvenliği Rehberi’nde yer alan başlıklar esas alınarak, kurumun mevcut teknolojik imkânları ve uygulama maliyeti gözetilerek aşağıdaki teknik ve idari tedbirler alınmaktadır. NUUP Hotel, bu tedbirleri düzenli olarak gözden geçirmekte ve teknolojik gelişmeler doğrultusunda güncellemektedir.

1. Log Kayıtları: Kullanıcıların sistem üzerindeki hareketlerine ilişkin erişim log kayıtları düzenli olarak tutulmaktadır.

2. Kişisel Verilerin Şifrelenmesi: Kişisel verilerin uygun kriptografik yöntemlerle şifrelenerek depolanması ve aktarılması hususu, sistemlerin kapasitesine göre değerlendirilmekte ve geliştirilmesi hedeflenmektedir.

3. Yazılım Güvenliği: Kullanılan uygulama ve yazılımların güncel tutulması ve güvenlik yamalarının uygulanması sağlanmaktadır.

4. Güvenlik Duvarları (Firewall): Ağ sınırlarını korumak amacıyla güvenlik duvarı (Mikrotik) yapılandırılmış olup, ağ trafiği bu kapsamda denetlenmektedir.

5. Güncel Antivirüs Sistemleri: Zararlı yazılımlara karşı korunmak amacıyla sunucu ve son kullanıcı cihazlarında güncel antivirüs/anti-malware yazılımları (Kaspersky, ESET) kullanılmaktadır.

6. Ağ Güvenliği: Kurum bünyesinde birbirinden fiziksel ve alansal olarak ayrılmış, ayrı yönetilebilen üç farklı ağ yapısı bulunmakta olup, bu segmentasyon ağ güvenliğine katkı sağlamaktadır.

7. Bulut Güvenliği: Otel yönetim sistemi (PMS) kapsamında kullanılan bulut altyapısı yurt içinde (Türkiye) barındırılmakta olup, ilgili hizmet sağlayıcı ile veri güvenliğine ilişkin gerekli sözleşmesel güvenceler sağlanmaktadır.

8. Yedekleme: Kişisel veriler, fiziksel sunucu üzerinden düzenli disk yedeklemesine tabi tutulmakta ve ayrı bir yedek sunucusunda muhafaza edilmektedir.

9. Silme, Yok Etme veya Anonim Hale Getirme: Saklama süresi dolan kişisel veriler, işbu Politika’da belirtilen yöntemlerle güvenli şekilde imha edilmektedir.

10. Fiziksel Ortam Güvenliği: Sunucu ve teknik altyapının bulunduğu alanlara erişim sınırlandırılmakta olup, fiziksel güvenlik uygulamaları işletilmektedir.

İdari Tedbirler

Yukarıda belirtilen teknik tedbirlere ek olarak, NUUP Hotel bünyesinde kişisel verilerin hukuka uygun olarak işlenmesini ve saklanmasını sağlamak amacıyla, Kurul’un Kişisel Veri Güvenliği Rehberi’nde yer alan başlıklar esas alınarak aşağıdaki idari tedbirler alınmaktadır:

1. Mevcut Risk ve Tehditlerin Belirlenmesi: NUUP Hotel bünyesinde işlenen kişisel veriler, tüm birimlerde gerçekleştirilen veri envanteri çalışması kapsamında tespit edilmiş; bu veriler üzerindeki olası riskler ve gizlilik seviyeleri değerlendirilerek uygun tedbirler planlanmıştır.

2. Çalışanların Eğitilmesi ve Farkındalık Çalışmaları: Resepsiyon, kat hizmetleri, misafir ilişkileri gibi misafir verisiyle doğrudan temas eden birimlerde çalışan personel başta olmak üzere tüm çalışanlar, kişisel veri güvenliği konusunda bilgilendirilmekte ve gerekli hallerde eğitime tabi tutulmaktadır.

3. Kişisel Veri Güvenliği Politikalarının ve Prosedürlerinin Belirlenmesi: NUUP Hotel, işbu Politika ile birlikte Kişisel Verilerin Korunması ve İşlenmesi Politikası, Özel Nitelikli Kişisel Verilerin İşlenmesi ve Güvenliği Politikası, Veri Toplama Akış ve İşleme Prosedürü ile Veri Aktarım ve Paylaşımı Prosedürü’nü yürürlüğe koymuş olup, bu dokümanların uygulanması düzenli olarak kontrol edilmektedir.

4. Kişisel Verilerin Mümkün Olduğunca Azaltılması: Kişisel veriler, yalnızca işlenme amacı için gerekli olan asgari kapsamda toplanmakta olup, bu ilke Veri Toplama Akış ve İşleme Prosedürü’nde ayrıca düzenlenmiştir.

5. Veri İşleyenler ile İlişkilerin Yönetimi: Rezervasyon motoru, otel yönetim sistemi ve diğer hizmet sağlayıcılar gibi veri işleyen sıfatıyla hareket eden üçüncü taraflarla olan ilişkilerde, veri güvenliğinin sağlanması amacıyla gerekli sözleşmesel güvenceler tesis edilmektedir.

6. Kişisel Veri Güvenliği Kurumsal Yapısının Oluşturulması: NUUP Hotel bünyesinde kişisel veri güvenliği süreçlerini koordine eden KVK Çalışma Komitesi oluşturulmuş olup, ilgili süreçler bu komite tarafından yürütülmektedir.

7. Disiplin Süreci: Güvenlik politika ve prosedürlerine uymayan çalışanlar hakkında ilgili iç yönetmelik hükümleri uyarınca disiplin süreci işletilmektedir.

KİŞİSEL VERİLERİ SAKLAMA VE İMHA SÜREÇLERİNDE YER ALANLARIN UNVANLARI, BİRİMLERİ VE GÖREV TANIMLARI

Şirketimiz, kişisel verilerin saklanması ve imha edilmesi süreçlerinde yer alan kişileri, kişisel verilerin korunması hukuku ve kişisel verilerin hukuka uygun olarak işlenmesi konusunda bilgilendirilmekte ve eğitilmektedir. Bu kapsamda, Şirketimiz çalışanları ve görevleri dolayısıyla kişisel verileri öğrenen kişiler, bahse konu bilgileri Kanun ve diğer ilgili mevzuat hükümlerine uyun olarak saklamakta ve imha etmektedir. Bu yükümlülük, ilgili kişilerin görevden ayrılmalarından sonra da devam etmektedir.

Bu kapsamda, Şirketimizin saklama ve imha süreçlerinde yer alan kişilere ilişkin detaylar aşağıda açıklanmaktadır:

Bu kapsamda ilgili kişi tarafından yürütülecek işler:

Kişisel verilerin korunması ve işlenmesine ilişkin süreçlerin dizaynına ilişkin belgelerin hazırlanması, takibi ve bunların ilgili kişilerin onaylarına sunulması,

Kişisel verilerin korunmasına ve işlenmesine ilişkin dokümanların uygulanmasının temini ve gerekli denetimlerin yapılması,

KVK Kurumu ile olan ilişki ve yazışmaların takibi

YÜRÜRLÜK

İşbu Politika 1 Temmuz 2026 tarihinde yürürlüğe girmiştir. Politika değişen şartlara ve mevzuata uyum sağlamak amacıyla zaman zaman güncellenebilecektir.

İşbu Politika ile Kanun, Yönetmelik ve NUUP Hotel Kişisel Verilerin Korunması ve İşlenmesi Politikası hükümleri arasında herhangi bir çelişki olması halinde, Kanun, Yönetmelik ve NUUP Hotel Kişisel Verilerin Korunması ve İşlenmesi Politikası’nda yer alan hükümler geçerli olacaktır.

SAKLAMA VE İMHA SÜRELERİ

Şirketimiz, kişisel verileri ancak ilgili uymakla yükümlü olduğu mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza ve imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri Kişisel Veri Envanteri'nde süreç bazında belirlenen ve VERBİS'e beyan edilen azami süreler boyunca saklamakta ve imha etmektedir. Bu kapsamda NUUP Hotel, tüm birimlerinde kişisel veri envanteri çalışması gerçekleştirmiş olup, işlenen verilere ait saklama ve imha süreleri Kişisel Veri Envanteri'nde süreç bazında tespit edilmiştir. Yapılan bu çalışmanın sonuçları VERBİS sistemine aktarılmış ve saklama süreleri VERBİS'te kişisel veri bazlı olarak beyan edilmiştir.

Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, kişisel verileri imha etmektedir. Bu kapsamda Şirketimiz, kişisel verileri imha etme yükümlülüğünün ortaya çıkması halinde kişisel verileri yıllık (1 Yıl ) olarak yapılan periyodik imha işlemine tabi tutmaktadır. Anılan süre, her hal ve koşulda Yönetmelik'in 11'inci maddesinde belirtilen azami periyodik imha süresini aşmamaktadır.

İlgili kişinin, Şirketimize başvurarak kendisine ait kişisel verilerin imha edilmesini talep etmesi halinde Şirketimiz:

a) kişisel verileri işleme şartlarının tamamı ortadan kalkmışsa:

(i) ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir, ve

(ii) talebe konu olan kişisel veriler üçüncü kişilere aktarılmışsa, bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde gerekli işlemlerin yapılmasını temin eder.

b) kişisel verileri işleme şartlarının tamamı ortadan kalkmamışsa, ilgili kişinin talebini Kanun'un 13'üncü maddesinin üçüncü fıkrası uyarınca gerekçesini açıklayarak reddedilebilir ve ret cevabını ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

Başvuru süreçleri için NUUP Hotel web sitesi üzerinden KVKK Başvuru formu doldurularak talep edilmesi halinde saklama ve imha sürelerine dair bilgilere erişilebilecektir.

REFERANS DOKÜMANLAR

6698 Sayılı Kişisel Verilerin Korunması Kanunu,

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

Açık Rıza ve Aydınlatma Beyanı,

Kişisel Verileri Koruma Kurulunun kararları ve rehberleri (Kişisel Veri Güvenliği Rehberi dahil),

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) beyanı.

POLİTİKANIN YAYIMLANMASI VE GÜNCELLENMESİ

İşbu Politika Şirket’in internet sitesinde (www.nuup.com.tr) yayınlanır ve talep üzerine kişisel veri sahiplerinin erişimine sunulur.

İşbu Politika gerek duyulan hallerde ve ihtiyaç halinde güncellenir ve değişiklik yine internet sitesinde yayınlanmak suretiyle yürürlüğe girer.

VERİ AKTARIM VE PAYLAŞIMI PROSEDÜRÜ

AMAÇ

Bu dokümanın amacı, Başoğlan Çınarı Turizm Ticaret Tarım Akaryakıt İnşaat Mimarlık Mühendislik İthalat ve İhracat Ltd.Şti. tarafından gerçek kişilerden toplanan ve işlenen kişisel verilerin, kendi içindeki aktarımı veya yurt içinde ve yurt dışına aktarımı yapılması sırasındaki süreci belirlemek ve kişisel verilerin gizliliği ve güvenliğini sağlamaktır. İşbu metinde Başoğlan Çınarı Turizm Ticaret Tarım Akaryakıt İnşaat Mimarlık Mühendislik İthalat ve İhracat Ltd.Şti.; NUUP Hotel, Sento, Krei ve Patisserie olarak hizmet vermekte olup, metin içerisinde kısaca “NUUP Hotel” olarak anılacaktır.

KAPSAM

Şirketin tüm yerleşkelerindeki kişisel verileri kapsamaktadır.

TANIMLAR

Kanun: 6698 sayılı Kişisel Verilerin Korunması Kanununu,

Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

Veri sorumlusu: Kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı olarak erişilmesini önlemek, ayrıca verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almakla yükümlü tutulan tüzel veya gerçek kişiyi,

KVK Çalışma Komitesi: Veri sorumlusu tarafından atanmış ve Kanun kapsamında oluşturulmuş süreçlerin idari takibi yapan gerçek kişi veya kişileri,

Veri Sahibi: Kişisel verilerin işlendiği Şirket bünyesinde bulunan fiziksel (basılı kopyalar, sözleşmeler vb.) ve elektronik (veri tabanı, uygulama seviyesi vb.) ortamlar üzerinde yer alan kişisel verilerden sorumlu olan, ilgili verilere erişimi kısıtlayarak yetkisiz erişimi engellemekle yükümlü olan ve diğer çalışanların prosedürlere uyumuna yardımcı olan gerçek veya tüzel kişileri,

Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

Kurul: Kişisel Verileri Koruma Kurulunu,

Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanterini,

Veri sorumluları sicil bilgi sistemi veya VERBİS: Veri sorumlularının Sicile başvuruda üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemini,

SORUMLULAR

Şirket çalışanları, kişisel veri ile teması bulunan tedarikçiler.

UYGULAMA

Aktarım İçin Açık Rızaların Alınması

Yurtiçinde Aktarım Yapılırken Açık Rıza Alınması

Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. Ancak kişisel veriler;

Aşağıdaki şartlardan birinin varlığı hâlinde,

a) Kanunlarda açıkça öngörülmesi,

b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,

d) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

e) İlgili kişinin kendisi tarafından alenileştirilmiş olması,

f) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

g) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumlarında ilgili kişinin açık rızası aranmaksızın aktarılabilir.

Yeterli önlemler alınmak kaydıyla kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri gibi özel nitelikli kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın aktarılabilir.

Kişisel Verilerin Yurt Dışına Aktarılma Şartları

Kişisel veriler, 5. ve 6. maddelerde belirtilen şartlardan birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir.

Yeterlilik kararı, Kurul tarafından verilir ve Resmî Gazete ’de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere değiştirebilir, askıya alabilir veya kaldırabilir.

Yeterlilik kararı verilirken öncelikle aşağıdaki hususlar dikkate alınır:

Kişisel verilerin aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.

Kişisel verilerin aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.

Kişisel verilerin aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının bulunması.

Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası kuruluşlara üye olma durumu.

Kişisel verilerin aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu küresel veya bölgesel kuruluşlara üye olma durumu.

Türkiye’nin taraf olduğu uluslararası sözleşmeler.

Kişisel veriler, yeterlilik kararının bulunmaması durumunda, 5’inci ve 6’ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler tarafından yurt dışına aktarılabilir:

Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir.

Yeterlilik kararının bulunmaması ve uygun güvencelerden herhangi birinin sağlanamaması hâlinde kişisel veriler, yalnızca arızi olmak kaydıyla aşağıdaki hâllerden birinin varlığı durumunda yurt dışına aktarılabilir:

a) İlgili kişinin, olası riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasında yapılan bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ile diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati bulunan kişinin talep etmesi kaydıyla aktarım yapılması.

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Kişisel Verilerin Şirket İçi Aktarım Süreci

Şirket çalışanları ve kişisel veri ile teması bulunan tedarikçileri tarafından “Veri Toplama, Akış ve İşleme Prosedürü” kapsamında temin edilen veriler ‘Kişisel Veri Envanteri’nde belirtildiği şekilde farklı departmanlara aktarılmaktadır.

Kişisel verilerin uygulamadan dışarı aktarılarak paylaşımı yalnızca kısıtlı sayıda ve yetkili personelin kontrolünde olmalıdır.

Kişisel verilerin aktarımı için veri sahibinden ve KVK Çalışma Komitesinden izin alınmalıdır.

Kişisel Verilerin aktarım yetkileri yalnızca kısıtlı sayıda ve yetkili personelde bulunmalı, yetkiler yıllık olarak KVK Çalışması Komitesi tarafından gözden geçirilir.

Şirket içinde prosedürlerin ve işleyişlerin yerine getirilmesi amacı ile departmanlar arası işlenecek veriler için müşterilerden gerekli açık rızaların sözleşmeler aracılığı ile alınmış olması gerekmektedir.

Fiziksel ya da elektronik olarak aktarılacak kişisel verilerin aktarımı sırasında, kişisel verilerin güvenliği için aktarım yapılan ortamın güvenliğinden emin olunmalıdır. Gizli (Veri envanteri listesi içerisinde yer alan özel nitelikli veriler) olarak sınıflandırılmış dokümanlar için veri aktarımı;

E-posta içeriğinde yapılıyor ise, veriler ayrı bir doküman olarak e-postaya eklenir, doküman şifrelenir ve şifresi ayrı bir yöntemle iletilir.

E-posta iletisine eklenmiş bir doküman olarak yapılıyor ise, doküman şifrelenir ve şifresi ayrı bir yöntemle iletilir.

Fiziksel olarak yapılıyor ise, kapalı bir zarfta iletilir.

Ortak alan üzerinden yapılıyor ise, ilgili ortak alana erişim yetkileri sınırlandırılır ve yetkiler periyodik olarak kontrol edilir.

Kişisel Verilerin Üçüncü Taraflara Aktarım Süreci

Şirket çalışanları ve kişisel veri ile teması bulunan tedarikçileri tarafından “Veri Toplama, Akış ve İşleme Prosedürü” kapsamında temin edilen veriler ‘Veri Envanteri’nde belirtildiği şekilde yurt içinde farklı alanlarda hizmet veren üçüncü taraf firmalara aktarılmaktadır.

Kişisel verilerin aktarımı yalnızca kısıtlı sayıda ve yetkili personelin kontrolünde olmalıdır.

Kişisel verilerin aktarımı için veri sahibinden ve KVK Çalışma Komitesinden elektronik ortam kayıt altına alınacak şekilde izin alınmalıdır.

Kişisel Verilerin aktarım yetkileri yalnızca kısıtlı sayıda ve yetkili personelde bulunmalı, yetkiler yıllık olarak KVK Çalışma Komitesi tarafından gözden geçirilir.

Aktarım yapılacak üçüncü parti firma ile gizlilik sözleşmesi yapılmalıdır. Gizlilik sözleşmelerinde amaçlar, limit ve kısıtlamalar açıkça belirtilir ve tarafların sözleşmeye uyumu sağlanır.

Aktarım yapılmadan önce hukuksal açıdan kontroller yapılmalı ve üçüncü parti firmalarla minimum sayıda bilgi paylaşılmalıdır.

Aktarım yapılan firmanın güvenlik sistemlerine ilişkin aktarım yapıldıktan sonra denetlenmesine yönelik çalışmalar/sözleşmeler yapılmalıdır.

Aktarım yapılan firma, aktarımı yapılan verilerden sorumludur ve farklı bir firmaya aktarım yaparken gerekli koşulları sağlayan firmalarla çalışmalı ve sözleşmeler yapmalıdır. Kontrat bitiminde tüm firmalar verileri imha etmeleri yönünde bilgilendirilir.

Aktarıma ilişkin hukuksal dayanağı olan kayıtlar detaylı olarak tutulmalı ve saklanmalıdır.

Kişisel verilerin üçüncü parti bir firmaya aktarımı yapılırken 5.1 maddesinde belirtilen koşullar dahilinde açık rıza alınmalıdır.

Fiziksel ya da elektronik olarak aktarılacak kişisel verilerin aktarımı sırasında, Kişisel verilerin güvenliği için aktarım yapılan ortamın güvenliğinden emin olunmalıdır. Veri aktarımı;

File Transfer Protocol (FTP) ile yapılıyor ise, Secure File Transfer Protocol (SFTP) kullanılmalıdır.

E-posta içeriğinde yapılıyor ise, veriler ayrı bir doküman olarak e-postaya eklenir, doküman şifrelenir ve şifresi ayrı bir yöntemle iletilir.

E-posta iletisine eklenmiş bir doküman olarak yapılıyor ise, doküman şifrelenir ve şifresi ayrı bir yöntemle iletilir.

Kişisel Verilerin Yurtdışına Aktarım Süreci

NUUP Hotel tarafından “Veri Toplama, Akış ve İşleme Prosedürü” kapsamında temin edilen kişisel veriler, Veri Envanteri’nde belirtildiği şekilde, sunucuları yurt dışında bulunan bazı hizmet sağlayıcıların sistemlerine aktarılabilmekte ve bu sistemlerde saklanabilmektedir.

Kişisel verilerin yurt dışına aktarımı yalnızca kısıtlı sayıda ve yetkili personelin kontrolündedir.

Kişisel verilerin yurt dışına aktarımı öncesinde KVK Çalışma Komitesinin onayı, elektronik ortamda kayıt altına alınacak şekilde alınmalıdır.

Kişisel Verilerin aktarım yetkileri yalnızca kısıtlı sayıda ve yetkili personelde bulunur, yetkiler yıllık olarak KVK Çalışması Komitesi tarafından gözden geçirilir.

Yurt dışına aktarım, öncelikle yeterlilik kararına; yeterlilik kararı bulunmaması hâlinde Kurul tarafından ilan edilen standart sözleşme başta olmak üzere uygun güvencelerden birine dayanılarak yapılır. Açık rıza, yalnızca arızi nitelikteki aktarımlarda ve ilgili kişinin olası riskler hakkında bilgilendirilmesi şartıyla başvurulabilecek bir istisnadır.

Aktarıma ilişkin hukuksal dayanağı olan kayıtlar detaylı olarak tutulmalı ve saklanmalıdır.

İmzalanan standart sözleşmeler, imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilir ve bildirim kayıtları saklanır.

Kişisel verilerin yurt dışına aktarımı yapılırken;

Kişisel verilerin korunması için sözleşmeler yapılır ve Gizlilik sözleşmelerinde amaçlar, limit ve kısıtlamalar açıkça belirtilir ve tarafların sözleşmeye uyumunun sağlanması,

Aktarım yapılacak ülkenin fiziki konumu ve güvenlik şartlarının değerlendirilmesi,

Farklı bir kuruma aktarılıyorsa, diğer kurumunda verileri işlerken gerekli özeni gösterdiğinden emin olunması,

Kurumun bağlı olduğu kurum veya kuruluşların değerlendirilmesi gerekmektedir.

Fiziksel ya da elektronik olarak aktarılacak kişisel verilerin aktarımı sırasında, Kişisel verilerin güvenliği için aktarım yapılan ortamın güvenliğinden emin olunmalıdır. Veri aktarımı;

File Transfer Protocol (FTP) ile yapılıyor ise, Secure File Transfer Protocol (SFTP) kullanılmalıdır.

E-posta içeriğinde yapılıyor ise, veriler ayrı bir doküman olarak e-postaya eklenir, doküman şifrelenir ve şifresi ayrı bir şekilde iletilir.

E-posta iletisine eklenmiş bir doküman olarak yapılıyor ise, doküman şifrelenir ve şifresi ayrı bir şekilde iletilir.

Referanslar

6698 Sayılı Kişisel Verilerin Korunması Kanunu

Yukarıda sıralanan haklarınıza yönelik başvurularınızı, www.nuup.com.tr adresinden ulaşabileceğiniz İlgili Kişi Başvuru Formu’nu doldurarak Şirketimize iletebilirsiniz. Talebinizin niteliğine göre en kısa sürede ve en geç otuz gün içinde başvurularınız ücretsiz olarak sonuçlandırılacaktır; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenecek tarifeye göre tarafınızdan ücret talep edilebilecektir.

Ad-Soyad:

Tarih:

İmza: