”Çalışan” Kişisel Verilerin Korunması ve İşlenmesi Politikası – ITserv
ITSERV TEKNOLOJİ HİZMETLERİ A.Ş.
“ÇALIŞAN” KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
Bu Politika ITSERV TEKNOLOJİ HİZMETLERİ A.Ş (“Şirket”) çalışanlarının kişisel verilerinin nasıl işleneceğini düzenlenmekte ve aynı zamanda çalışanların kişisel verilerinin işlenmesi konusunda bilgilendirilmesini hedeflemektedir.
İşbu Politika, Şirket çalışanlarını kapsamakta ve onların kişisel verileri bakımından uygulama alanı bulmaktadır. Çalışanların yanı sıra hala kişisel verileri işlenmekte olan eski çalışanlar ile stajyerler de bu politikada yer alan kurallara tabi olacaktır. Bu politika kapsamında “Çalışan” ifadesi, eski çalışanlar ile stajyerleri de kapsamaktadır.
1. ÇALIŞANLARIN KİŞİSEL VERİLERİNİN İŞLENMESİNE İLİŞKİN İLKELER
Şirket tarafından Çalışan kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket edilmektedir.
Çalışanların meşru menfaatleri dikkate alınarak, işlenen verilerin doğru ve güncel olması için dönemsel kontrol ve güncellemeler yapılmakta ve bu doğrultuda gerekli tedbirler alınmaktadır. Bu kapsamda kişisel verilerin doğruluğunu kontrol etme ve gerekli düzeltmeleri yapmaya yönelik sistemler Şirket bünyesinde oluşturulmaktadır.
Kişisel veriler açık, belirli ve meşru veri işleme amaçlarına dayalı olarak işlenmektedir. Verilerin hangi amaçla işleneceği, kişisel veri işleme faaliyeti başlamadan önce çalışana açıklanır.
Şirket kişisel verileri ancak ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediği tespit edilmekte, bir süre belirlenmişse bu süreye uygun davranılmakta, bir süre belirlenmemişse kişisel veriler işlendikleri amaç için gerekli olan süre kadar saklanmaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde, daha uzun süre işlenmelerine izin veren hukuki bir sebep bulunmaması halinde, kişisel veriler Şirketin Kişisel Verilerin Saklanması ve İmhası Politikası’na göre silinmekte, yok edilmekte veya anonim hale getirilmektedir.
2. ÇALIŞANLARIN KİŞİSEL VERİLERİNİN İŞLENMESİ ŞARTLARI
Çalışanın açık rızası, kişisel verilerin hukuka uygun olarak işlenmesini olanaklı kılan hukuka uygunluk sebeplerinden biridir. Açık rıza dışında, aşağıda yer alan diğer hukuka uygunluk sebeplerinden birinin varlığı durumunda da kişisel veriler işlenebilir.
Çalışanlar, işlenen kişisel verilerinin hangileri olduğu, kişisel verilerinin hangi amaçlarla ve hangi sebeplerle işlendiği, kişisel verilerinin hangi kaynaklardan toplandığı, bu kişisel verilerin kimlerle paylaşılacağı ve nasıl kullanılacağı gibi konular hakkında işbu politika aracılığı ile bilgilendirilmektedir.
Kanunlarda açıkça veri sahibinin kişisel verilerinin işleneceği öngörüldüğü hallerde, çalışanın ayrıca açık rızasını almadan Şirket, çalışan kişisel verilerini işleyebilecektir.
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan çalışanın kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde çalışanın açık rızası alınmaksızın verileri işlenebilecektir.
2.3 Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması
Sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde veriler işlenebilecektir.
2.4 Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi
Veri sorumlusu olarak hukuki yükümlülükleri yerine getirmek için işlemenin zorunlu olması halinde açık rıza alınmaksızın çalışan verileri işlenebilecektir.
2.5 Çalışanın Kişisel Verisini Alenileştirmesi
Çalışanın, kişisel verisinin kendisi tarafından alenileştirilmiş olması halinde, açık rızaya gerek olmaksızın veriler işlenebilecektir.
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde çalışanın açık rızası alınmaksızın verileri işlenebilecektir.
Çalışanın temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketin meşru menfaatleri için veri işlemenin zorunlu olması halinde çalışanın açık rızası alınmaksızın verileri işlenebilecektir.
2.8 Çalışan Kişisel Verilerinin Açık Rızaya Dayalı Olarak İşlenmesi
Çalışan kişisel verilerinin, işbu politikada belirtilen şartlardan herhangi birine dayalı olarak işlenemediği durumlarda, açık rızaya dayalı olarak işlenmektedir.
3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENEBİLECEĞİ HALLER
Özel nitelikli kişisel veriler, çalışanın açık rızası olması halinde, bu politikada belirtilen ilkeler ve gerekli idari ve teknik tedbirler alınarak işlenebilir.
Özel nitelikli kişisel veriler, Çalışanın açık rızası bulunmayan durumlarda Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla çalışanın sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde, işlenebilecektir.
4. ÇALIŞANIN AYDINLATILMASI VE BİLGİLENDİRİLMESİ
Kişisel verilerin elde edilmesi sırasında çalışan, Şirket tarafından işbu politikanın iletilmesi yolu ile bilgilendirilir. Ayrıca çalışana ilişkin Aydınlatma Metni iletilir.
5. KİŞİSEL VERİLERİN KATEGORİZE EDİLMESİ
Bu politika kapsamında, Şirket tarafından çalışanların aşağıda belirtilen kategorilerdeki kişisel verileri işlenebilmektedir.
Çalışan Adayı Stajyer
Eski Çalışan Emekli Kimlik Bilgisi Ad-Soyad, Cinsiyet, TC Kimlik Numarası, TC Kimlik Bilgileri (Cüzdan seri no, aile sıra no vb.), Doğum Tarihi, Doğum Yeri, Medeni Hali, Pasaport Numarası
İletişim Bilgisi Adres (ev), E-posta, Telefon / Cep Telefonu
Finansal Bilgi Banka Hesap Bilgileri, Maaş Bilgisi, Borç Bakiyesi, IBAN Numarası, Ödeme Bilgileri
Çalışan Bilgisi İş Başlama / Bitiş Tarihi, Departman, Unvan, Bordro Bilgileri, İzin Durumu, Ücret Bilgileri, Atama Bilgileri
Özlük ve Meslek Bilgisi Sigorta Bilgisi, Öğrenim Durumu, Mezuniyet Bilgisi, Askerlik Durumu, Geçmiş İş Deneyimi, Hobileri, İş Mülakatları ve Değerlendirmeler, Kişilik Envanteri, İşe Giriş / Çıkış Kayıtları, Performans Değerlendirmeleri, AGİ Bilgileri, Emeklilik Bilgisi, Referanslar
Hukuki İşlem ve Uyum Bilgisi Sözleşme, Dava Dosyaları, Vekâletname
Özel Nitelikli Kişisel Veri İmza, Kan Grubu, Engellilik Durumu, Sabıka Kayıtları, Sağlık Raporu
Yan Haklar ve Menfaatler Prim Bilgileri, Yemek Kartı ve Araç Tahsil Bilgileri, Özel Sağlık Sigorta Bilgileri
Aile Bireyleri ve Yakın Bilgileri Ad-Soyad, Yakınlık Derecesi, Meslek, Okul, Doğum Tarihi, Cep Telefonu, Cinsiyet
Diğer Fotoğraf, CCTV
Çalışan Yakını Kimlik Bilgisi Ad-Soyad, Cinsiyet, TC Kimlik Numarası, TC Kimlik Bilgileri (Cüzdan seri no, aile sıra no vb.), Doğum Tarihi, Doğum Yeri, Medeni Hali, Pasaport Numarası, Ehliyet Bilgileri
Finansal Bilgi Gelir Bilgisi
Özlük ve Meslek Bilgisi Yakınlık Derecesi, Meslek, Okul, Doğum Tarihi, Cep Telefonu, Cinsiyet, Bağlı Bulunduğu Kurum, Mezuniyet Bilgisi
Şirkette, aşağıda sıralanan amaçlarla; 6698 sayılı Kanun’un 5. ve 6. maddelerinde belirtilen kişisel veri işleme şartları dâhilinde, aşağıda yer alan amaçlar doğrultusunda:
Şirketin insan kaynakları politikalarının yürütülmesinin temini amacı doğrultusunda; terfi ve atama süreçleri operasyonlarının, çalışan sağlığı operasyonlarının ve insan kaynakları operasyonlarının yürütülmesi, vardiya/ mesai sürelerinin yönetilmesi ve raporlanması, insan kaynakları planlaması ve istatistik çalışmalarının yapılması, çalışan eğitim operasyonlarının yürütülmesi, yan hak ve menfaatler sürecinin planlanması, kurum içi iletişim ödüllendirme aktiviteleri, expat ve yurt dışı görevlendirme süreçlerinin yönetimi maksadıyla,
Şirketin ve Şirket ile iş ilişkisi içerisinde olan kişilerin hukuki ve ticari güvenliğinin temini amacı doğrultusunda; iş ortağı, müşteri ve tedarikçi (yetkili veya çalışanlar) değerlendirme süreçlerinin yönetilmesi, hukuki ve ticari risk analizlerinin yapılması, iletişime yönelik idari operasyon ile hukuki uyum sürecinin yönetilmesi maksadıyla,
Şirketin ticari ve iş stratejilerinin belirlenmesi ve uygulanması amacı doğrultusunda; genel rapor çalışmalarının planlanması ve düzenlenmesi maksadıyla,
İş sağlığı ve güvenliğini sağlama ve geliştirmeye ilişkin yükümlülükleri kapsamında; acil durum listelerinin oluşturulması ve acil durum operasyonlarının yürütülmesi, acil durum analiz raporlarının oluşturulması, iş kazası muayenelerinin gerçekleştirilebilmesi, işe giriş muayenesinin yapılması, işyeri hekiminden sağlık raporu elde edilmesine bağlı süreçlerin yürütülmesi, rıza verilmesi halinde, tespit edilen sağlık durumuna göre pozisyon değişikliklerinin yapılması ve bu yolla çalışan sağlığı için uygun olan iş pozisyonlarının sağlanması maksadıyla,
Şirket içinde ve dışında temsil ile görevlendirilme kapsamında gerçekleştirilecek vekâletname ve imza sirküleri süreçlerinin yönetilmesi maksadıyla,
Şirket’in ilgili mevzuattan doğan yükümlülüklerini yerine getirmesi, rıza verilmesi halinde, hayat sigortası ve sağlık sigortası operasyonlarının yürütülmesi, zorunlu bireysel emeklilik sigortası operasyonlarının yürütülmesi maksadıyla,
Çalışanların işe başlama ve özlük süreçlerinin planlanması ve yürütülmesi, mesai takibi, yetenek /kariyer faaliyetlerinin planlanması, çalışanlar için kurumsal sorumluluk projelerinin planlanması, iş akdi ve/ya mevzuattan kaynaklanan yükümlülüklerin yerine getirilmesi, yan haklar ve menfaatlerin planlanması, ücret yönetimi, oryantasyon aktivitelerinin planlanması, çalışanların performans yönetimi ve performans değerlendirme süreçlerinin yürütülmesi, atama, terfi, işten ayrılma yönetimi, şirket içi ve dışı eğitim faaliyetlerinin planlanması, yabancı personel oturum ve izin işlemleri, çalışan memnuniyeti ve bağlılığı süreçlerinin planlanması maksadıyla,
Çalışanlar arasında ırk, etnik köken, din, mezhep, engellilik ve cinsel tercihler gibi farklılıklar nedeniyle ayrımcılık yapmamak ve tüm çalışanlar arasında fırsat eşitliğini sağlamak maksadıyla,
Şirket bünyesinde yapılabilecek usulsüz işlemleri engellemek maksadıyla,
Çalışana ilişkin referans vermek maksadıyla,
Şirketin kurumsal ve ticari işlemlerinin yürütülmesi maksadıyla,
Çalışan hakkında yapılabilecek disiplin soruşturmalarının yürütülmesi maksadıyla, çalışan kişisel verisi işlenebilecektir.
8. KİŞİSEL VERİLERİN ÜÇÜNCÜ KİŞİLERE AKTARILMASI
Çalışana ait kişisel veriler ve özel nitelikli kişisel veriler, işleme amaçları doğrultusunda gerekli güvenlik önlemleri alınarak üçüncü kişilere (üçüncü taraf şirketlere, grup şirketlere, üçüncü gerçek kişilere) aktarılabilmektedir.
Kişisel veriler, veri işleme amaçları doğrultusunda, yukarıda belirtilen hallerin varlığı durumunda üçüncü kişilere aktarılabilir.
Yapılabilecek Kişiler Tanım Veri Aktarım Amacı
İş Ortağı Şirketin ürün veya hizmet temini gibi amaçlarla iş ortaklığı kurduğu tüm tarafları tanımlamaktadır. İş ortaklığının kurulma amaçlarının yerine getirilmesini temin etmek amacıyla sınırlı olarak
Hissedarlar Şirketin ticari faaliyetlerine ilişkin stratejilerinin ve denetim faaliyetlerinin tasarlanması konusunda yetkili olan ana hissedarlar Şirketin ticari faaliyetlerine ilişkin stratejilerin tasarlanması ve denetim amaçlarıyla sınırlı olarak
Hukuken Yetkili Kamu Kurum ve Kuruluşları İlgili mevzuat hükümlerine göre Şirketten bilgi ve belge almaya yetkili kamu kurum ve kuruluşları İlgili kamu kurum ve kuruluşlarının hukuki yetkisi dâhilinde talep ettiği amaçla sınırlı olarak
Hukuken Yetkili Özel Hukuk Kişileri İlgili mevzuat hükümlerine göre Şirketten bilgi ve belge almaya yetkili özel hukuk kişileri İlgili özel hukuk kişilerinin hukuki yetkisi dâhilinde talep ettiği amaçla sınırlı olarak
Kişisel veriler; Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere veya yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurul’un izninin bulunduğu yabancı ülkelerde mukim üçüncü kişilere, yukarıda belirtilen hallerden birinin varlığı durumunda ve gerekli görülen hallerde aktarılabilmektedir.
10. KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ
Veri Tipi Saklama Süresi Hukuki Dayanağı
Çalışanlara İlişkin Kişisel Veriler Hukuki ilişki sona erdikten itibaren 10 yıl 4857 Sayılı Kanun, 6098 Sayılı Kanun, 213 Sayılı Kanun
Çalışan Adayı ve Stajyere İlişkin Kişisel Veriler 5 yıl Yeni Pozisyonlar Hakkında İletişime Geçilmesi, İç İletişim, Gerekli Staj İşlemleri
Çalışan Yakınına İlişkin Kişisel Veriler Hukuki ilişkinin niteliğine göre: (i) hukuki ilişki süresi boyunca veya (ii) hukuki ilişki sona erdikten itibaren 10 yıl 4857 Sayılı Kanun, 6098 Sayılı Kanun, 213 Sayılı Kanun
Kişisel verilerin işlenme amacı sona ermiş; ilgili mevzuat ve Şirketin belirlediği saklama sürelerinin de sonuna gelinmişse; kişisel veriler yalnızca olası hukuki uyuşmazlıklarda delil teşkil etmesi veya kişisel veriye bağlı ilgili hakkın ileri sürülebilmesi veya savunmanın tesis edilmesi amacıyla saklanabilmektedir. Buradaki sürelerin tesisinde bahsi geçen hakkın ileri sürülebilmesine yönelik zamanaşımı süreleri ile zamanaşımı sürelerinin geçmesine rağmen daha önce aynı konularda Şirkete yöneltilen taleplerdeki örnekler esas alınarak saklama süreleri belirlenmektedir. Bu durumda saklanan kişisel verilere herhangi bir başka amaçla erişilmemekte ve ancak ilgili hukuki uyuşmazlıkta kullanılması gerektiği zaman ilgili kişisel verilere erişim sağlanmaktadır. Burada da bahsi geçen süre sona erdikten sonra kişisel veriler silinmekte, yok edilmekte veya anonim hale getirilmektedir.
Kişisel verileri işleyen çalışanlar, işlenen verilerin güvenliğinin sağlanması amacıyla aşağıdaki yükümlülüklere uyar:
12. ÇALIŞANLARIN İŞ FAALİYETLERİ İLE BAĞLANTILI GERÇEKLEŞTİRDİKLERİ ELEKTRONİK HABERLEŞME İŞLEMLERİNE İLİŞKİN KİŞİSEL VERİLERİNİN İŞLENMESİ
Çalışanların elektronik haberleşme işlemleri sırasında kişisel verilerin işlenmesi işlemleri aşağıdaki kurallara tabidir.
12.1 Elektronik Haberleşme İşlemlerine İlişkin Özel Kurallar
Elektronik haberleşme işlemleri ile elde edilen çalışanlara ilişkin kişisel veriler, işbu Politika’da yer alan kişisel verilerin korunması ve işlenmesi kurallarına uygun işlenir. Bu politika ile getirilen kurallara aykırı davranarak çalışanlar hakkında hukuka aykırı veri işleyen; ya da bu faaliyetler sonucunda elde edilen bilgileri başka amaçlarla kullanan çalışanlar hakkında ceza, zarar tazmin işlemleri yürütülür ve disiplin soruşturması başlatılabilir.
12.2 Elektronik Haberleşme Araçlarının Kullanımına İlişkin Kişisel Verilerin İşlenmesi
Şirket tarafından çalışana sağlanmış veya sağlanabilecek olan cep telefonu, diz üstü bilgisayar, tablet ve benzeri elektronik haberleşme araçları sadece iş amaçlı kullanımı mümkündür. İşbu elektronik haberleşme araçlarının kullanımına ilişkin olarak Çalışan verileri işlenebilir. Elde edilen verilerin özel nitelikli kişisel veri olduğu durumlarda; özel nitelikli kişisel verilerin işlenmesine ilişkin bu politika hükümleri dikkate alınır. Elektronik haberleşme araçlarının kullanımına ilişkin elde edilen kişisel verilere ilişkin, bu politikadaki diğer hükümler uygulama alanı bulur.
12.3 Telefon Görüşmelerine İlişkin Kişisel Verilerin İşlenmesi
Şirket telefonundan yapılan iletişim, telefon görüşmesi yapılan numaralar ve iletişimin süresine ilişkin kişisel verilerin sadece işlendikleri amaçla sınırlı olarak kullanılmasına özen gösterilir. Elde edilen verilerin özel nitelikli kişisel veri olduğu durumlarda; özel nitelikli kişisel verilerin işlenmesine ilişkin bu politika hükümleri dikkate alınır. Çalışanın iş telefonu ile sadece iş görüşmeleri yapması ve işe ilişkin işlemler yapmak amaçlı kullanması gerekir ve böyle olduğu kabul edilerek işlemler yürütülür.
12.4 İnternet Kullanımına İlişkin Kişisel Verilerin İşlenmesi
Yasal mevzuat çerçevesinde, çalışanların internet kullanımı sırasında kişisel verilerin elde edilmesi halinde; elde edilen kişisel verilere ilişkin, bu politikadaki ilgili hükümler uygulama alanı bulur. Çalışanın iş bilgisayarı sadece işe ilişkin işlemler yapmak amaçlı kullanması gerekir ve böyle olduğu kabul edilerek işlemler yürütülür.
12.5 Güvenlik Kamerası Uygulamasına İlişkin Kişisel Verilerin İşlenmesi
12.6 Araç Kullanımına İlişkin Kişisel Verilerin İşlenmesi
Çalışanlara Şirket tarafından tahsis edilen veya ileride edilebilecek araçlara ilişkin faaliyetler sırasında elde edilen kişisel verilerin işlenmesine ilişkin olarak bu politikada yer alan hükümler uygulama alanı bulur. Çalışanın iş aracı ile sadece işe ilişkin işlemler yapması gerekir ve böyle olduğu kabul edilerek işlemler yürütülür.
12.7 Üçüncü Kişiler Tarafından Verilen Bilgilerin İşlenmesi
Gerekli görülen hallerde üçüncü kişilerden çalışanlar hakkında bilgi talep edilebilmektedir. Bu yönde bir uygulamanın olması halinde, işlenen kişisel verilere ilişkin olarak bu politikada yer alan hükümler uygulama alanı bulur.
13. ÇALIŞANLARIN YASAL HAKLARI VE KULLANMA YÖNTEMLERİ
13.1 Kişisel Verilere İlişkin Yasal Haklar
Kişisel verilere ilişkin olarak çalışanların kullanabileceği kanuni haklar aşağıda sayılmaktadır. Bu haklar işbu politikada belirlenen şekilde çalışanlar tarafından kullanılabilir:
İşbu 13.1. madde (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
13.2 Kişisel Verilere İlişkin Yasal Hakların Kullanılmasına İlişkin Esaslar
Kişisel verilere ilişkin hakları kullanmak için çalışanlar xxxxxxx@yyyyyy.com.tr üzerinden yazılı başvuru yapabilir. Bu halde yapılan yazılı başvurunun ulaşmasından itibaren en geç 30 gün içerisinde yazılı başvuruya ilişkin cevap verilecektir. İşlemin ayrıca bir maliyeti gerektirmesi hâlinde, Şirket tarafından Kişisel Verileri Koruma Kurulunca belirlenen tarifedeki ücret çalışandan işlemin sonlandırılması için talep edilebilecektir.
14. ŞİRKETİN ÇALIŞAN KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI YÖNETİŞİM YAPISI
Şirket bünyesinde bu politika ve bu politikaya bağlı ve ilişkili diğer politika ve prosedürleri yönetmek üzere “Kişisel Verileri Koruma Komitesi” kurulmuştur. Bu Kurulun görevleri, Şirket’in KVK Kanunu kapsamında uygulama ve prosedürlerinin güncelliğini, mevzuata uygunluğunu, değişen koşullara uyarlanmasını takip eden, yöneten, süreçleri işletmek ve yönetimi, işbu hususlarda tavsiye ve raporlamada bulunmaktır. İşbu politika söz konusu yönetişim yapısında yer alır ve güncelliği sağlanır.
İşbu Politika …………tarihinde yürürlüğe girmiştir. Politika değişen koşullara ve mevzuata uyum amacıyla güncellenebilecektir. İlgili güncelleme hakkında [Doküman Yönetim Sistemi] üzerinden çalışanlara bilgi verilecektir. Bu politikanın uygulanmasından Kişisel Verileri Koruma Komitesi sorumludur.