Kişisel verilerin Korunması ve İşlenmesi Politikası

1. Amaç

Bu politikanın amacı; Anarat Hotel (Toros Turizm İşletmeleri ve Yatırımları A.Ş.) (Firma) tarafından yürütülen her türlü faaliyette 6698 Sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) uygun olarak kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen yöntemleri tarif etmek, Başta Firmanın idari yetkilileri, personeli, müşterileri, personel adayları, tedarikçileri, ziyaretçileri, iş birliği içinde olduğu kurumların çalışanları ve üçüncü kişiler olmak üzere kişisel verileri Firma tarafından işlenen tüm kişileri, Firmanın kişisel verilerin korunmasına yönelik benimsemiş olduğu ilkeler ve kurmuş olduğu sistemler konusunda bilgilendirerek şeffaflığı sağlamaktır.

2. Kapsam

Başta Firmanın idari yetkilileri, personeli, müşterileri, personel adayları, tedarikçileri, ziyaretçileri, iş birliği içinde olduğu kurumların çalışanları ve üçüncü kişiler olmak üzere kişisel verileri Firma tarafından işlenen tüm kişilerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla Firmanın süreçlerinde işlenen tüm kişisel verileri kapsar.

3. Yetki ve Sorumluluklar

Firma içerisinde Kanun, Yönetmelik ve Politika ile belirtilen verinin imhasına dair gereklerin yerine getirilmesinde tüm çalışanlar, dış hizmet sağlayıcıları ve diğer surette kurum nezdinde kişisel veri saklayan ve işleyen herkes bu gerekleri yerine getirmekten sorumludur. Her iş birimi kendi iş süreçlerinde ürettiği veriyi saklamak ve korumakla yükümlüdür. İş süreçlerini etkileyecek ve veri bütünlüğünün bozulmasına, veri kaybına ve yasal düzenlemelere aykırı sonuçlar doğmasına neden olacak imhalara; ilgili kişisel verinin türü, içinde yer aldığı sistemler ve veri işlemeyi yapan iş birimi dikkate alınarak ilgili yönetici ve belirleyeceği ekip karar verecektir. Kişisel Verileri Koruma Kurumu ile yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme ve sicile kayıt gibi işlemlerin sorumluluğu veri sorumlusu irtibat kişisindedir.

4. Tanımlar ve Kısaltmalar

Firma: Anarat Hotel (Toros Turizm İşletmeleri ve Yatırımları A.Ş.)
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.
İlgili/Yetkili Kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişilerdir.
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.
Kanun: 6698 Sayılı Kişisel Verilerin Korunması Kanunu.
Kayıt Ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi.
Kişisel Verilerin Silinmesi: Kişisel verilerin ilgili/yetkili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi.
Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemi.
Kurul: Kişisel Verileri Koruma Kurulu.
Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.
Periyodik İmha: Kanun’da yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.
Veri Sahibi/İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
Yönetmelik: 28 Ekim 2017 tarihinde Resmî Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

5. Kişisel Verilerin Korunması ve İşlenmesi Politikası

Firma kişisel verileri korunması ve işlenmesi için gerekli tedbirleri ve uygulanan süreci politika ile somut bir şekilde ortaya koymaktadır. İlgili kanunlar ve yönetmelikler ile bu politikanın uyumsuz olduğu durumlarda ya da güncellenen mevzuatlar doğrultusunda politikanın güncel olmaması halinde Firma yürürlükteki mevzuata uyacağını kabul etmektedir. Kanun, yönetmelik e mevzuatlarda olan değişikliklere göre bu politika güncellenir.

5.1.1. Kişisel Verilerin Güvenliğinin Sağlanması

Firma, kişisel verilerin korunması için gerekli olan uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır. KVKK’nın 12. Maddesinin 1. bendinde öngörülen aşağıdaki maddeler için tedbirlerini almaktadır:

Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
Kişisel verilerin muhafazasının sağlanması.

5.1.2. İdari Tedbirler

Firma veri güvenliğini sağlamak amacıyla bilgili ve deneyimli kişiler istihdam eder ve personeline gerekli bilgi güvenliği farkındalığı ve kişisel verileri koruma ile ilgili eğitimleri verir. Çalışanlar, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı, işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmektedir. Üçüncü taraflarla kişisel verilerin paylaşılmasıyla ilgili olarak gizlilik hükümleri içeren sözleşmeler yapılarak veri güvenliği sağlanır.

5.1.3. Teknik Tedbirler

Firma; virüs koruma sistemleri, güvenlik duvarları, veri sınıflandırması ve erişim yetki kontrolleri gibi teknik önlemler almaktadır. Kişisel verilerin saklandığı fiziksel ve dijital ortamlar dış risklere karşı koruma altındadır. Şifreleme algoritmaları ve güncel yazılım versiyonları kullanılmaktadır.

5.1.4. Kişisel Verilerin Korunmasının Sürdürülebilirliği İçin Yapılan Denetimler

Firma, gerekli denetimleri yapar ve yaptırır. Sistem sızma testleri ve iz kayıtlarının takibi ile güvenliği sürekli kılar.

5.1.7. Özel Nitelikli Kişisel Verilerin Koruması İçin Uygulanan Tedbirler

Firma, özel nitelikli verilerin işlenmesinde KVK Kurulu tarafından belirlenen yeterli önlemleri hassasiyetle uygular ve bu verileri ancak kanunun izin verdiği şartlarda veya açık rıza ile işler.

5.2. Kişisel Verilerin İşlenmesi İçin İlkeler

Firma; hukuka ve dürüstlük kurallarına uygunluk, doğruluk, belirli ve meşru amaçlar için işleme, ölçülülük ve gerekli süre kadar muhafaza etme ilkelerine tam uyum sağlar.

5.3. Kişisel Verinin İşlenmesi Şartları

Firma, KVKK 5/2 maddesindeki istisnalar (kanunlarda öngörülme, sözleşme ifası, hukuki yükümlülük vb.) haricinde ancak veri sahibinin açık rızası ile işlem yapar.

5.6. Kişisel Verilerin Yurtdışındaki Kişilere Aktarılması

Firma hiçbir şekilde yabancı ülkelere kişisel veri aktarmamaktadır ve yabancı ülkelerde tutulan sunucularda kişisel veri tutmamaktadır.

5.7. Kişisel Veri Sahibinin Hakları

Veri sahipleri 11. madde kapsamındaki tüm haklarını "Kişisel Veri Sahibi Başvuru Formu" ile kullanabilirler.

Veri sorumlusu: Anarat Hotel (Toros Turizm İşletmeleri ve Yatırımları A.Ş.)
Veri sorumlusu irtibat kişisi: Bilgi İşlem Personeli

5.9. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Şartları

Firma elde ettiği kişisel verileri işleme amacı ortadan kalktığında veya yasal süreler dolduğunda siler, yok eder ya da anonimleştirir.

Yayın Tarihi: 28.08.2020

Güncellenme Tarihi: 01.02.2021