ESBAŞ KİŞİSEL VERİLERİSAKLAMA ve İMHA POLİTİKASI
1. AMAÇ:Kişisel Verilerin Korunması ve İşlenmesi Yönetmeliği çerçevesinde Şirketimiz tarafından
gerçekleştirilen kişisel veri işleme faaliyetlerinin yürütülmesinde benimsenen ilkeler ve Şirketimizinveri işleme faaliyetlerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) yer alandüzenlemelere uyumu bakımından benimsenen temel prensipler açıklanmakta ve böylelikleŞirketimiz, kişisel veri sahiplerini bilgilendirerek gerekli şeffaflığı sağlamaktadır. Bu kapsamdaki
sorumluluğumuzun tam bilinci ile kişisel verileriniz işbu Politika kapsamında işlenmekte,korunmakta ve imha edilmektedir.
2. KAPSAM VE UYGULAMA ALANI:KVK Kanunu’nun 3. maddesi uyarınca, kişisel verilerin tamamen veya kısmen otomatik olan ya daherhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi,
kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi,
açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya dakullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem, kişisel verilerinişlenmesi kapsamına girmektedir.
Kişisel verileri işlenmekte olan veri konusu kişi grupları tablosu aşağıdadır.
Çalışan AdaylarıÇalışanlar ve StajyerlerÜrün veya Hizmet AlanKişiler

PotansiyelÜrün/Hizmet
AlıcısıFirma Temsilcisi
Ziyaretçiler
Vali/vasi/temsilciÜçüncü Şahıslar

ESBAŞ’a iş başvurusunda bulunarak veya herhangi bir yollaözgeçmişini ve ilgili bilgilerini ESBAŞ’a erişilebilir kılan gerçekkişilerESBAŞ’a bağımlı olarak, belirli veya belirsiz süreli olarak iş gören
tüm gerçek kişiler
Herhangi bir sözleşmesel ilişki olup olmadığına bakılmaksızınESBAŞ tarafından yürütülen faaliyetler kapsamında iş ilişkileri
dolayısıyla kişisel verileri elde edilen gerçek kişiler;Örneğin, Kullanıcı çalışanları, UKT öğrenci, veli ve öğretmenleri,Çocuk Yuvası öğrenci ve velileri vb, OSGB müşterileri vb
Kullanıcı olmak için ya da diğer hizmetlerden faydalanmak içinbaşvuru yapan gerçek ya da tüzel kişiler ve/veya temsilcileri
Kullanıcı firmalaın kanuni temsilcileri, işbirliği yaptığımız kurum ve
kuruluşları temsil eden kişiler
ESBAŞ’ın fiziksel tesislerine çeşitli amaçlarla girmiş olan veya
internet sitesini ziyaret eden gerçek kişiler
Uzay Kampı ya da Çocuk Yuvasındaki çocukların kanuni velileri,
refakatçileri, iş ilişkisinde bulunduğumuz Şirketlerin kanuni
temsilcileriKişisel verileri işlenen kefil, hak sahibi, aile bireyleri vb. dâhil fakat
bunlarla sınırlı olmamak üzere diğer gerçek kişiler

Tedarikçi Yetkilisi
Tedarikçi Çalışanı
Hissedar/Ortak
Tedarikçi/Yüklenici
Çalışanları

Tedarik hizmeti aldığımız firmaların kanuni temsilcileri
Tedarik hizmeti aldığımız firmalarda çalışan kişiler
ESBAŞ’ın hisse sahipleri ve Yönetim Kurulu Üyeleri
Sözleşmeli tedarikçi ve yüklenicilierin ESBAŞ adresilerinde görev
yapan çalışanları

3. TANIMLAR:
Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür
iradeyle açıklanan rızaKişisel veri
: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiKişisel sağlık verileri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü sağlık
bilgisiKişisel verilerin işlenmesi : Kişisel verilerin tamamen veya kısmen otomatik olan ya daherhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi,
kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi,
açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya dakullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem
Özel nitelikli kişisel veri : Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini,mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel
hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri
Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel
verileri işleyen gerçek veya tüzel kişiKişisel Verilerin Silinmesi : Kişisel verilerin silinmesi, kişisel verilerin ilgili kullanıcılar için hiçbirşekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Kişisel Verilerin Yok Edilmesi : Kişisel verilerin yok edilmesi, kişisel verilerin hiç kimse
tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi
işlemidir.
Kişisel Verilerin Anonim Hale Getirilmesi: Kişisel verilerin anonim hale getirilmesi, kişisel
verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçekkişiyle ilişkilendirilemeyecek hale getirilmesidir
Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri
kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiZiyaretçi: ESBAŞ’ın fiziksel tesislerine çeşitli amaçlarla girmiş olan veya
internet sitelerini ziyaret eden gerçek kişiler
Kişisel Veri Envanteri: ESBAŞ’ın iş süreçlerine bağlı olarak gerçekleştirmekteolduğu kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, kişisel verilerin aktarıldığı alıcı
grubu ve ilgili kişisel veri sahibi grubuyla ilişkilendirerek oluşturduğu ve detaylandırdığı envanter
4. REFERANSLAR VE İLGİLİ DOKÜMANLAR:


6698 Sayılı Kişisel Verileri Koruma KanunuESBAŞ Kişisel Veri EnvanteriKişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik
Resmi Gazete Sayı:30224

5. SORUMULUK ve GÖREV DAĞILIMLARIESBAŞ’ın tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan
teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının
arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesininönlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin
hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri
güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu komiteye
aktif olarak destek ve geribildirim verir.
Kişisel verilerin saklama ve imha süreçlerinde görev alanların unvanları, birimleri ve görev
tanımlarına ait dağılım aşağıdaki tabloda verilmiştir.

KADRO
Bilgi Sistemleri ve
Teknoloji Müdürü

BİRİM
Bilgi Sistemleri ve
Teknoloji

Denetim ve Risk Yönetimi
Uzmanı

Denetim ve Risk Yönetimi
Direktörlüğü

Çeşitli Kadro

Risk Yönetim Komitesi

GÖREVPolitika,
Yöntemve
Yönetmeliklerin
hazırlanmasından,
gerekliteknik ve idari tedbirlerin
tesis
edilmesinden,
denetlenmesinden,
KVK
kurumu ile ilişkilerin ve
kurumabilgiakışınınsağlanmasından sorumludur.
Politika,yöntemveyönetmeliklerin
uygunşekildeyürütülmekteolduğunun
denetlenmesinden,
tesis
edilenkontrolmekanizmalarının etkin ve
verimliolduğunailişkingüvencefaaliyetlerinden
sorumludur.
Politika’nın kendi süreç vebirimleriözelindeuygulanmasından,kanun
kapsamında gerekli kontrol
mekanizmalarının
tesis
edilmesinden, birimlerindekiçalışanları ilişkili konularhakkında bilgilendirmektensorumludurlar.
6. KAYIT ORTAMLARIKişisel veriler aşağıdaki tabloda detaylandırılan elektronik olan yada olmayan kayıt ortamlarında
gerekli teknik tedbirler alınarak güvenli bir şekilde saklanmaktadır.

ELEKTRONİK ORTAMLAR-27001 Bilgi Güvenliği Sertifikasyonu
uyumlu sistem odasında yer alan disküniteleri ve sunucu bilgisayar sistemleri-Sanal sunucular (Etki alanı, yedekleme,e-posta,uygulama sunucuları,
veritabanları, web sunucuları, dosya
paylaşım sunucusu vb.)
-Yazılımlar (Kurumsal ERP yazılımı,
raporlama, süreç digitalleştirme
yazılımları, sistem yönetimi yazılımlarıvb.)-Bilgi güvenliği cihaz ve yazılımları(güvenlik duvarı, saldırı tespit veengelleme, günlük kayıt dosyaları,veri
sızıntısı engelleme antivirüs, yazılım
paketi dağıtma, uzaktan erişim ve destek
yazılımları vb. )- Kişisel bilgisayarlar (Masaüstü, dizüstü
bilgisayarlar)-Mobil cihazlar (telefonlar, tablet
bilgisayarlar, el terminalleri)-Elektronik Duyuru Panoları, Bilgilendirme
Ekranları-Çıkartılabilir bellekler (USB, Hafıza Kartı
vb.)-Yazıcılar

ELEKTRONİK OLMAYAN ORTAMLAR-Klasörlerde tasniflenmiş kağıtlar
-Hard copy veri kayıt sistemleri (anket
formları,temizlik çizelgesi vb.)
-Yazılı, basılı, görsel ortamlar(kurum içi
bülten, dergi vb.)

7. KİŞİSEL VERİLERİN SAKLANMASINA ve İMHASINA YÖNELİK AÇIKLAMALAR
7.1.

Genel İlkelerKişisel verilerin işlenmesinde aşağıdaki ilkelere uyulması zorunludur:
Hukuka ve dürüstlük kurallarına uygun olma

ESBAŞ, kişisel verileri işleme faaliyetlerini başta Anayasa olmak üzere, KVK Kanunu ve ilgili
mevzuata ve dürüstlük kurallarına uygun olarak yürütür.
Doğru ve gerektiğinde güncel olmaKişisel verilerin işlenmesi faaliyeti yürütülürken, kişisel verilerin doğruluğu ve güncelliğinin
sağlanmasına yönelik her türlü idari ve teknik tedbir ESBAŞ tarafından alınmaktadır.
Belirli, açık ve meşru amaçlar için işlenmeESBAŞ, kişisel verilerin işlenmesi faaliyetine başlamadan önce kişisel veri işleme amacını açık vekesin olarak belirlemektedir.
İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmaKişisel veriler, ESBAŞ tarafından belirli, açık ve meşru amaçlar için ilgili amaç ile bağlantılı olarak
gerektiği kadar işlenmektedir. Sonradan kullanılabileceği varsayımı ile veri işleme faaliyeti
yürütülmemektedir.
ESBAŞ, kişisel verileri, KVK Kanunu ve ilgili mevzuatta öngörülen şekilde veya veri işleme
faaliyetine ilişkin amaçlar doğrultusunda ve belirli süre ile sınırlı olarak saklamaktadır.
7.2.

Kişisel Verilerin İşlenme ŞartlarıESBAŞ, kişisel veri sahibinin açık rızası ile veya KVK Kanunu’nun 5. maddesinde öngörülen veaşağıda sıralanmış olan hallerde açık rıza olmaksızın kişisel verileri işleyebilmektedir:









Kanunlarda açıkça öngörülmesi
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden
bütünlüğünün korunması için zorunlu olması.
Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla,sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.
ESBAŞ’ın hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.
Kişisel veri sahibinin kendisi tarafından alenileştirilmiş olması.
Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.
Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, ESBAŞ’ınmeşru menfaatleri için veri işlenmesinin zorunlu olması.
Kişisel Veri Sahibinin Açık Rızasının BulunmasıESBAŞ, hukuka aykırı olarak işlendiklerinde ayrımcılık yaratma riski taşıyan özel nitelikli kişisel
verilerin işlenmesini, KVK Kanunu’nun 6. maddesinde ortaya konulan veri işleme şartlarına uygun
olarak gerçekleştirmektedir.
7.3.

Özel Nitelikli Kişisel Verilerin İşlenme ŞartlarıÖzel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve
Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler
alınarak ve aşağıdaki şartların varlığı halinde işlenmektedir:(i)Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça öngörülmesi diğer
bir ifade ile ilgili faaliyetin tabi olduğu kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm
olması halinde veri sahibinin açık rızası aranmaksızın işlenebilecektir. Aksi durumda söz konusuözel nitelikli kişisel verilerin işlenebilmesi için veri sahibinin açık rızası alınacaktır.
(ii)Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu
hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının
planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili
kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi durumda söz konusuözel nitelikli kişisel verilerin işlenebilmesi için veri sahibinin açık rızası alınacaktır.
7.4.

Kişisel Veri Sahibinin Aydınlatılması

ESBAŞ, Kanun’un 10. maddesine ve ikincil mevzuata uygun olarak, kişisel veri sahiplerini
aydınlatmaktadır. Bu kapsamda ESBAŞ, kişisel verilerin veri sorumlusu olarak kim tarafından,
hangi amaçlarla işlendiği, hangi amaçlarla kimlerle paylaşıldığı, hangi yöntemlerle toplandığı ve
hukuki sebebivle veri sahiplerinin kişisel verilerinin işlenmesi kapsamında sahip olduğu hakları
konusunda ilgili kişileri bilgilendirmektedir.
7.5.

Kişisel Verilerin Aktarılması

Kişisel veri aktarımlarında uygulanacak usul ve esaslar KVK Kanunu’nun 8. ve 9. maddelerinde
düzenlenmiştir. ESBAŞ’ın sunmuş olduğu hizmetlerin yerine getirilmesi amacıyla, kişisel veriler
Kanun ve sair mevzuat (Başta 3568 sayılı Serbest Bölge Kanunu olmak üzere ilgili mevzuat, sairyönetmelikler, denetleyici ve düzenleyici kurum ve kuruluşların düzenlemeleri ile kamu
otoritelerinin zorunlu kıldığı haller dahil olmak fakat bunlarla sınırlı olmamak üzere) hükümleriçerçevesinde işlenmekte ve bankalar/finansman şirketleri, sigorta şirketleri, ilgili danışmanlık ve
denetim şirketleri, vekalet ilişkisi içerisinde olduğumuz gerçek ve tüzel kişiler, iş ortaklarımız vediğer üçüncü kişilerle paylaşılabilmektedir. Kişisel verilerin, KVK Kanunu’nda belirtilen istisna haller
hariç olmak üzere kişisel veri sahibinin açık rızası olmaksızın aktarılması mümkün değildir.
7.5.1. Kişisel Verilerin Yurt İçinde Aktarımı
KVK Kanunu’nun 8. maddesine uygun olarak, kişisel verilerin yurt içinde aktarımı işbuYönetmeliğin “Kişisel Verilerin İşlenme Şartları” başlıklı 7.2 bölümünde belirtilen koşullardan birininsağlanmış olması kaydıyla mümkündür.
KVK Kanunu’nun 9. maddesine uygun olarak, kişisel verilerin yurt dışına aktarılması halinde, yurt
içi aktarımlarına ilişkin koşulların sağlanmış olmasının yanı şıra aşağıdaki hususlardan birinin varlığı
aranmaktadır: Aktarım yapılacak ülkenin KVK Kurulu tarafından ilan edilen yeterli korumaya sahip ülkelerarasında sayılması



Aktarım yapılacak ülkede yeterli korumanın bulunmaması halinde, Türkiye’deki ve ilgili
yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve
KVK Kurulu’nun buna yönelik izninin bulunması .

7.5.2. Özel Nitelikli Kişisel Verilerin Aktarılması
Özel nitelikli kişisel veriler Şirketimiz tarafından, işbu Politika’da belirtilen ilkelere uygun olarak ve
Kurul’un belirleyeceği yöntemler de dahil olmak üzere gerekli her türlü idari ve teknik tedbirler
alınarak ve aşağıdaki şartların varlığı halinde aktarılabilecektir:(i)Sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler, kanunlarda açıkça
öngörülmesi diğer bir ifade ile ilgili kanunda kişisel verilerin işlenmesine ilişkin açıkça bir hüküm
olması halinde veri sahibinin açık rıza aranmaksızın işlenebilecektir. Aksi halde veri sahibinin açık
rızası alınacaktır.
(ii)Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması,
koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile
finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler
veya yetkili kurum ve kuruluşlar tarafından açık rıza aranmaksızın işlenebilecektir. Aksi halde veri
sahibinin açık rızası alınacaktır.
7.5.3. ESBAŞ Tarafından Kişisel Verilerin Aktarıldığı Veri Aktarım/Alıcı GruplarıESBAŞ, KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak ve işbu Politika kapsamı dâhilindeolan kişisel veri sahiplerinin kişisel verilerini aşağıda belirtilen kişi gruplarına belirtilen amaçlarçerçevesinde aktarabilmektedir:VERİ AKTARIM/ALICIGRUPLARI
Yetkili Kamu
KuruluşlarıTANIMAKTARIM AMACIİlgili mevzuat hükümlerine uygunİlgili
kamu
kurum
ve
Kurum ve olarak Şirketimiz’in bilgi vekuruluşlarınıntalepettiğibelgelerini talep eden kamu
amaçla sınırlı olarak
kurum ve kuruluşları

Özel Hukuk Kişileriİlgilimevzuathükümleriİlgili mevzuat hükümlerine uygunçerçevesinde ve Şirketimiz’inolarak Şirketimiz’in bilgi ve belge
faaliyet gösterdiği alanlarda
paylaşımında bulunduğu özelhizmetini
devam
ettirmesi
hukuk kişileri
amacıyla sınırlı olarak

Tedarikçi

Gerçekleştirilen
ürün/hizmetŞirketimizin temel faaliyetlerini tedariği
operasyonları
gerçekleştirirken
ürün/hizmet çerçevesinde gerekli bilgilerin
satın alımı yaptığı üçüncü taraflar paylaşılması, ilgili sözleşmelerin
ifası amacıyla

Hizmetlerimizin arzu edilen
memnuniyet ve performas
seviyesinde verilebilmesi amacı
Bankalar,
Sigorta
Firmaları, çerçevesinde finans, reklam,
Denetim Firmaları, Basın Yayın sigorta işlemleri, dış denetim
Kuruluşları
operasyonlarının yürütülmesi
amacıyla ilgili operasyonun
ihtiyaç duyduğu asgari aktarımçerçevesi ile sınırlı olarak

Diğer

7.6.

Saklamayı Gerektiren Hukuki SebeplerESBAŞ, Ege Serbest Bölge Kurucusu ve İşleticisi olarak gerek varoluş, gerekse gerçekleştirdiği
operasyonlar gereği işlediği kişisel verileri, ilgili mevzuatta öngörülen süre kadar muhafaza
etmektedir. Bu kapsamda kişisel veriler; 6698 sayılı Kişisel Verilerin Korunması Kanunu,
 30224 Kişisel Verilerin Silinmesi, Yok Edilmesi Veya Anonim Hale Getirilmesi Hakkinda
Yönetmelik,
 3218 Serbest Bölgeler Kanunu,
 21520 Serbest Bölge Uygulama Yönetmeliği, 6772 Serbest Bölgeler Kanunu ile Bazı Kanun Hükmünde Kararnamelerde Değişiklik
Yapılmasına Dair Kanun ile yenilenen metin,
 29863 Kişisel sağlık verilerinin işlenmesi ve veri mahremiyetinin sağlanması hakkında
yönetmelik, 29342 Aile Sosyal Politikalar Bakanliği Özel Kreş Ve Gündüz Bakimevleri Kuruluş Ve İşleyiş
Esaslari Hakkinda Yönetmelik, 5651 İnternet Ortamında Yapılan Yayınların Düzenlenmesi Ve Bu Yayınlar Yoluyla Suçlarla
Mücadele Edilmesi Hakkında Kanun, 6563 Sayılı Elektronik Ticaretin Düzenlenmesi Kanunu,
 28145 Gıda İşletmelerinin Kayıt ve Onay İşlemlerine Dair Yönetmelik, Gıda Hijyeni
Yönetmeliği
 TS 22000 Gıda Zincirindeki Tüm Kuruluşlar İçin Şartlar,
 4857 İŞ KANUNU VE EK DÜZENLEMELER,
 4458 Gümrük Kanunu,
 27369 Gümrük Yönetmeliği, 28509 Bağımsız Denetim Yönetmeliği, 28512 İş Sağlığı ve Güvenliği Hizmetleri Yönetmeliği, 28695 Kişisel Koruyucu Donanımların İşyerlerinde Kullanılması Hakkında Yönetmelik, 6331 İş Sağlığı ve Güvenliği Kanunu,
 28713 İşyeri Hekimi ve Diğer Sağlık Personelinin Görev, Yetki, Sorumluluk ve Eğitimleri
Hakkında Yönetmelik 28512 İş Güvenliği Uzmanlarının Görev, Yetki, Sorumluluk ve Eğitimleri Hakkında
Yönetmelik 4925 Karayolu Taşıma Kanunu,











27255 Karayolu Taşıma Yönetmeliği,3516 Ölçüler Ve Ayar Kanunu
22000 Ölçü Ve Ölçü Aletleri Muayene Yönetmeliği,26687 İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik,
28363 Telekomünikasyon Sektöründe Kişisel Bilgilerin İşlenmesi ve Gizliliğin Korunması,
29745 Elektrik Piyasası Kanunu,
24130 GSM Yönetmeliği
6102 Türk Ticaret Kanunu,
6098 Türk Borçlar Kanunu

Kanun, yönetmelik ve ilişkili tebliğleri çerçevesinde düzenlenen saklama süreleri kadar
saklanmaktadır.
7.7.

Saklamayı Gerektiren İşleme Amaçları

ESBAŞ, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda
saklamaktadır.






























Acil Durum Yönetim Süreçlerinin Yürütülmesi
Bilgi Güvenliği Süreçlerinin Yürütülmesi
Çalışan Adayı/Stajyer/Öğrenci Seçme ve Yerleştirme İşlemlerinin Yürütülmesi
Çalışan Adaylarının başvuru süreçlerinin yürütülmesi
Çalışan memnuniyeti ve bağlılığı süreçlerinin yürütülmesi
Çalışanlar için iş akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi
Çalışanlar için yan haklar ve menfaatleri süreçlerinin yürütülmesi
Denetim/etik faaliyetlerin yürütülmesi
Eğitim faaliyetlerinin yürütülmesi
Erişim yetkilerinin yürütülmesi
Faaliyetlerin mevzuata uygun yürütülmesi
Finans ve muhasebe işlemlerinin yürütülmesi
Firma ürün/hizmet/bağlılık süreçlerinin yürütülmesi
Fiziksel mekan güvenliğinin temini
Görevlendirme Süreçlerinin Yürütülmesi
Hukuk İşlerinin Takibi Ve Yürütülmesi
İç Denetim/ Soruşturma / İstihbarat Faaliyetlerinin Yürütülmesi
İletişim Faaliyetlerinin Yürütülmesi
İnsan Kaynakları Süreçlerinin Planlanması
İş Faaliyetlerinin Yürütülmesi / Denetimi
İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi
İş Süreçlerinin İyileştirilmesine Yönelik Önerilerin Alınması Ve Değerlendirilmesi
İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi
Lojistik Faaliyetlerinin Yürütülmesi
Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi
Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi
Mal / Hizmet Satış Süreçlerinin Yürütülmesi
Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi
Müşteri İlişkileri Yönetimi Süreçlerinin Yürütülmesi Müşteri Memnuniyetine Yönelik Aktivitelerin Yürütülmesi
 Organizasyon Ve Etkinlik Yönetimi
 Ortak Sağılık ve Güvenlik Faaliyetleri kapsamında , kamu sağlığının korunması, koruyucu
hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile
finansmanının planlanması ve yönetilmesi
 Pazarlama Analiz Çalışmalarının Yürütülmesi
 Performans Değerlendirme Süreçlerinin Yürütülmesi
 Reklam / Kampanya / Promosyon Süreçlerinin Yürütülmesi
 Risk Yönetimi Süreçlerinin Yürütülmesi
 Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi
 Sosyal Sorumluluk Ve Sivil Toplum Aktivitelerinin Yürütülmesi
 Sözleşme Süreçlerinin Yürütülmesi
 Sponsorluk Faaliyetlerinin Yürütülmesi
 Stratejik Planlama Faaliyetlerinin Yürütülmesi
 Talep/şikayetlerin takibi
 Taşınır mal ve kaynakların güvenilirliğinin takibi
 Tedarik zinciri süreçlerinin yönetimi süreçlerinin yürütülmesi
 Ücret politikasının yürütülmesi
 Ürün/hizmet/pazarlama süreçlerinin yürütülmesi
 Veri sorumlusu operasyonlarının güvenliğinin temini
 Yabancı personel çalışma ve oturum izni işlemleri
 Yatırım süreçlerinin yürütülmesi
 Yetenek/kariyer gelişimi faaliyetlerinin yürütülmesi
 Yetkili kişi/kurum ve kuruluşlara bilgi verilmesi
 Yönetim faaliyetlerinin yürütülmesi
 Ziyaretçi kayıtlarının oluşturulması ve takibi
7.8.

İmhayı Gerektiren SebeplerKişisel veriler; İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası, İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması, Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin
açık rızasını geri alması, Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve
yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
 ESBAŞ’ın, ilgili kişi tarafından kişisel verilerinin silinmesi, yok edilmesi veya anonim hale
getirilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabı yetersiz bulması
veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunması
ve bu talebin Kurul tarafından uygun bulunması, Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri dahauzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,
durumlarında, ESBAŞ tarafından ilgili kişinin, yada Kişisel Verileri Koruma Kurumunun talebi üzerine
silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.
8. TEKNİK ve İDARİ TEDBİRLER

ESBAŞ tarafından alınan teknik ve idari tedbirler ile Kanunun 12. maddesiyle Kanunun 6. maddesi
dördüncü fıkrası gereği kişisel verilerin güvenli bir şekilde saklanması, hukuka aykırı olarakişlenmesi ve erişilmesinin önlenmesi ile kişisel verilerin hukuka uygun olarak imha edilmesi için
gerek önleyici, gerekse olay anında aksiyon alıcı bir yaklaşım gösterilmektedir.
8.1. Teknik TedbirlerESBAŞ tarafından alınan teknik tedbirlerin detaylı listesi aşağıdadır: Ana veri merkezi sistem odası 27001 Bilgi Güvenliği Yönetim Sistemi gerekliliklerine uygun
olarak yapılandırılmıştır. Bu kapsamda; sistem odasına sadece yetkili personelin girişini
sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar
anahtarların fiziksel güvenliğinin sağlanması, yükseltilmiş zemin, novec yangın söndürme
sistemi, iklimlendirme sistemi gereklilikleri tam olarak yerine getirilmiş durumdadır.
 Güvenlik duvarı cihazı ve yazılımı ile dış dünyadan gelebilecek siber saldırılar IPS, IDS sistemleriönleyici yaklaşımla engellenmektedir.
 Yetkili firmaya yaptırılan Sızma (Penetrasyon) testleri ile ESBAŞ bilişim sistemlerine yönelik risk,
tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
 Etkin bilgi güvenliği olay yönetimi süreci ile güvenlik krizleri kriz ekibi tarafından aktif olarakdeğerlendirilmekte, aksiyonlar ivedi olarak alınmaktadır. Uygulanan aksiyonların sürekliliğinin
sağlanabilmesi için risk yönetimi bakış açısıyla detaylı risk azaltımı çalışmaları sonucunda bilişim
sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
 Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, insan kaynakları işe giriş, rotasyonve işten çıkış süreçlerine entegre olarak AGS yetki seviyesinde verilmektedir.
 Bilişim sistemleri üzerinde AGS dışındaki yetki talepleri Bilgi Sistemleri Yetki Talep süreci
üzerinden uygun onay ve görevler ayrılığı prensibine dayalı değerlendirme mekanizmalarından
geçerek onaylanmaktadır.
 Tüm bilişim sistemleri üzerindeki yetkiler, yetki matrisi dokümanında çalışan bazında tanımlı
olup yetki matrisi dokümanı, ilgili sorumlular tarafından periyodik olarak gözden
geçirilmektedir.
 Mobil olarak taşınabilenler de dahil olmak üzere bilişim sistemleri teçhizatı, yazılım ve verilerin
fiziksel güvenliği için gerekli önlemler alınmaktadır.
 Bilişim sistemleri üzerinde zafiyet tarama yazılımı aracılığı ile taramalar yapılarak güncel
firmware, yama gereksinimleri belirlenmekte, sistemlerin güvenlik açısından güncel yazılım
versiyonları ile çalıştırılması sağlanmaktadır.
 Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler Bilgi Güvenliği Yönetim
riskleri çerçevesinde belirlenmekte, bu risklere uygun teknik ve idari tedbirlerin alınmasısağlanmakta ve gerçekleştirilen risk değerlendirme faaliyetleri sonrasında alınan tedbirlere
yönelik teknik kontroller yapılmaktadır.
 Veri sızıntısı yazılımı aracılığı ile Kişisel Veri içeren dosyalara erişim otomatik olarak
raporlanabilmekte, verinin uygunsuz kullanılma riskine karşı etkin önlemler alınabilmektedir.
 Gerek yazılımlar gerekse veri kayıt sistemleri çerçevesinde silinen kişisel verilerin ilgili
kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirler alınmaktadır.
 Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgilikişiye ve Kurula bildirmek için gerekli süreç tanımlanmıştır.
 Bilgi Güvenliği Yönetim Sistemi gereği tüm bilişim sistemlerine erişimde güvenli parola politikası
uygulanmaktadır.

 Bilişim sistemleri üzerinde gerçekleştirilen veri erişimleri, önceden belirlenen senaryo ve erişilen
verinin kritiklik durumuna göre üretilen loglardan otomatik alarmlar üretecek şekilde takip
edilmektedir.
 USB, Flash Disk gibi taşınabilir medyalar üzerine veri aktarımı engellenmiş durumdadır. Kişisel
veriler bu tip elektronik medyalar üzerine aktarılamamaktadır.
 Bilişim sistemlerinin güvenli yedeklenmesini ve sürekliliğini saylayan yedekleme politikaları
uygun yedekleme araçları ile desteklenmektedir.
 Kurum internet sayfasına erişimde ssl güvenlik sertifikası kullanılmakta veri transferi şifreli bir
biçimde sağlanmaktadır.
 Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel
veriler hakkında farkındalığı arttırıcı eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilereerişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
 Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar
kriptografik yöntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar güvenli
ortamlarda tutulmakta, tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri
sürekli takip edilmektedir.
 Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların
yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar
engellenmektedir.
 Özel nitelikli kişisel veriler e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal eposta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Taşınabilir bellek, CD, DVD gibi
ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmekte ve kriptografik
anahtar farklı ortamda tutulmaktadır.
 Kağıt ortamı yoluyla aktarımı gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler
tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta
gönderilmektedir.
8.2. İdari TedbirlerESBAŞ tarafından alınan idari tedbirlerin detaylı listesi aşağıdadır: Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmeninönlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin
muhafazasının sağlanması, iletişim teknikleri, teknik bilgi beceri, 657 sayılı Kanun ve ilgili diğer
mevzuat hakkında eğitimler verilmekte, bilgilendirmeler yapılmaktadır.
 Bilgi Güvenliği Yönetim Sistemi kapsamında çalışanlara gizlilik sözleşmeleri imzalatılmaktadır.
 Bilgi Güvenliği Yönetim sistemi kapsamındaki politika, yöntem ve yönetmeliklerde uygunsuzçalışan davranışlarının sonuçları disiplin yönetmeliği ile entegre edilmiştir.
 Kişisel veri işlemeye başlamadan önce, ilgili kişileri aydınlatma yükümlülüğü yerine
getirilmektedir ve gerekli olduğu hallerde açık rıza alınmaktadır.
 Kişisel veri işleme envanteri tüm süreç sahipleri ve ilgili çalışma grubunun katkıları ile
hazırlanmıştır.
 Şirket içerisinde periyodik ve log inceleme sonucunda gerekli olduğunda periyodik KVKK
denetimleri ve sorgulamaları yapılmaktadır.
 Çalışanlara yönelik bilgi güvenliği farkıdalık eğitimleri verilmekte, Kişisel Verileri Koruma
Kurulunun web sitesinde yayınlanan ve emsal teşkil edebilecek veri ihlal bildirimleri hakkındabilgilendirme duyuruları yapılmaktadır.

9. KİŞİSEL VERİ İMHA YÖNTEMLERİ
İlgili mevzuatta öngörülen süre yada işlendikleri amaç için gerekli olan saklama süresinin
sonunda ESBAŞ tarafından yada kişisel verisi işlenen kişinin başvurusu durumunda ilgili
mevzuat hükümlerine uygun şekilde aşağıdaki tabloda belirtilen teknikler ile imha işlemi
gerçekleştirilmektedir.

VERİ KAYIT
ORTAMI
Elektronik
ortam(sunucu,
disk ünitesi,
bilgisayar)

Fiziksel Ortam

10.

SİLME

YOK ETME

Kişisel veriler tüm
kullanıcılarınerişemeyeceği
şekildeortamdansilinerekteypmedyalarınakaldırılır.
Teypmedyadan verinin
geri alınması özelyetki talep ve onaysüreci ile sistem
yöneticisi tarafından
yapılabilmektedir.
Evraklar arşive
kaldırılır. Sadecearşiv yöneticisi
evraklara erişebilir
durumdadır.

Bilgisayarlarvebilgisayar
diskleriüzerindekikişiselveriler düşük seviye
format(lowlevelformat) işlemi ile
güvenliolaraksilinmektedir.

ANONİM HALE
GETİRME
Veri
kayıt
sistemiüzerinde,
veritabanında
tutulmakta olan veriler
maskeleme,sistemüzerideyeralanveriden tekil kişiyi
işaret eden bilginineldeedilemeyeceği
şekildedeğiştirmeyöntemleri ile anonim
hale getirilir.

Evraklarkağıt
kırpmamakinelerinde geri
döndürülemeyecekşekilde imha edilir.

SAKLAMA, İMHA SÜRELERİ

İşlenmekte olan verilerden süreçler ve süreç faaliyetleri kapsamında olan kişisel verilerin saklama
süreleri ESBAŞ Kişisel veri envanterinde, bu envanterden faydalanarak veri kategorileri bazında
saklama süreleri VERBİS sistemi üzerinde kayıtlı haldedir.
Kişisel veri envanteri, saklama süreleri, VERBİS sistemi üzerinde gerekli görülen güncellemeler
Bilgi Sistemleri ve Teknoloji Müdürü tarafından gerçekleştirilir.
Süreçler bazında saklama ve imha süreleri aşağıdaki tabloda verilmektedir.
Çocuk Yuvası Hizmeti Faaliyetlerinin Yürütülmesi

10 YılAcil Durum Ekiplerinin Yönetilmesi

10 YılGıda İşletmeleri Ziyaretçi Kayıtları Yönetimi

1 Yıl

Personel Hijyen Ölçümleri
İş Sağlığı Güvenliği Yönetimi Kapsamındaki VerilerÇalışan Özlük Dosyasının Yönetimi

2 Yıl
10 Yıl
10 YılÇalışan Bordro/Maaş/Yan Haklar/YetkinlikGelişimi/Performans Yönetimi/Sosyal
Faaliyetler/Bölgeye Giriş Çıkış İşlemlerinin
Düzenlenmesi/İş Davaları/İcralar
Yabancı Personel Çalışma İzinleri
Toplantı/Organizasyon Kayıt İşlemleri
Serbest Bölge İçi Ürün Satış Faaliyetleri
Ziyaretçi Giriş Bilgileri
Salon Kira Sözleşmelerinin Yönetimi
Kargo Gönderi ve Takip İşlemleri
Tüm Muhasebesel İşlemler/BA-BS Mutabakatı
Ortak Sağlık Güvenlik Birimi Poliklinik FaaliyetleriÇalışanın İşten Ayrılmasından İtibaren
10 Yılİş Sağlığı Güvenliği Hizmetleri/Eğitimleri, İlkYardımcı Eğitimleri ve Sertifikasyon
Uzay Kampı Türkiye Faaliyetleri Kapsamında
Katılımcı Sağlığının Yönetimi
Kapalı Devre Kamera Sistemi Kayıtları
Restoran/FoodCourt Sipariş Bilgileri
Tedarik Zinciri Yönetimi FaaliyetleriMüşteri Hizmet Tekliflerinin/Sözleşmelerinin
Yönetimi
Araç Takip Sistemi Verileri
Uzay Kampı Türkiye Operasyonlarının Yönetimi

10 Yıl
2 Yıl
1 Yıl
2 Yıl
10 Yıl
2 Yıl
10 YılÇalışanın İşten Ayrılmasından İtibaren
15 Yıl
10 Yıl
5 Yıl30-60 Gün
5 Yıl
10 Yıl
10 YılÇalışanın İşten Ayrılmasından İtibaren
15 Yıl
10 YılPeriyodik İmha işlemleri yılda 1 defadan az olmayacak şekilde gerçekleştirilen KVKK denetimlerini
müteakiben kurul denetim ve kontrolünde gerçekleştirilmektedir.
11.
SORUMLULUK







İş bu yönetmeliğin takibinin gerçekleştirilmesi ve gereken durumlarda güncellenmesi
kapsamında Genel Müdür onayına sunulması,Kişisel verilerin korunması, işlenmesi ve imhası ile ilgili iş bu politikanın dışındaki diğer politika
ve prosedürlerin ilgili Şirket birimleri ile eş güdüm halinde oluşturması,
Politika, yönetmelik ve prosedürlerin uygulanması için gerekli görev dağılımının yapılması veüst yönetimin onayına sunulması,
Kanun’un 12. maddesi uyarınca alınan her türlü teknik ve idari tedbirlerin uygulanmasının
takip edilmesi ve denetiminin planlanması,Kişisel veri sahipleri tarafından yapılan başvuru ve taleplerle ilgili süreçlerin takibinin yapılması
ve ortaya çıkabilecek sorunların çözümü için gerekli koordinasyonun sağlanması,
KVK Kanunu ve ilgili mevzuata uyumun sağlanması için yapılması gereken hususların tespit
edilmesi ve uygulanmasının gözetilmesi,Kişisel Verileri Koruma Kurumu ile olan ilişkilerin yürütülmesi ile Bilgi Sistem ve Teknolojileri
Müdürü yetkili ve sorumludur.