KVKK Politikası

1. GİRİŞ

Kişisel Verilerin Korunması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KANUN”) ve Türkiye Cumhuriyeti Anayasası’nın 20. maddesinin 3. fıkrası çerçevesinde güvence altına alınan bir hak olup, HUN İÇ MİMARİ DANIŞMANLIK SANAYİ VE TİCARET ANONİM ŞİRKETİ (“ŞİRKET”) tarafından büyük bir özenle korunmaktadır. Şirket, veri işleme faaliyetlerini ilgili kanun ve mevzuatlarda yer alan sınırlamalar doğrultusunda, gerekli hassasiyet göstererek gerçekleştirmektedir.

Kanun’un 4. maddesinde belirtilen temel ilkelere, Şirket tarafından yürütülen veri işleme süreçlerinde titizlikle uyulmaktadır.

2. POLİTİKANIN AMACI

İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikasının (“Politika”) temel amacı HUN İÇ MİMARİ DANIŞMANLIK SANAYİ VE TİCARET ANONİM ŞİRKETİ (“ŞİRKET”) tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen sistemler konusunda açıklamalarda bulunarak Şirket ile olan ilişkisi gereği veri işleyen kişilerin uyacağı usul ve esasları belirlemek ve verisi işlenen kişilere karşı şeffaflığı sağlamaktır.

Şirket, kişisel verilerin korunması ve gizliliğiyle ilgili başta T.C. Anayasası ve tarafı olduğumuz uluslararası sözleşme hükümleri olmak üzere, Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili mevzuatla uyarınca faaliyetlerini sürdürmektedir. Şirket, kişisel verilerin ve temel hak ve özgürlüklerin korunmasına hassasiyetle yaklaşmakta; tüm faaliyetlerinde özel hayatın gizliliği ve düşünce özgürlüğü gibi temel insan haklarını odak noktasında tutmaktadır.

3. POLİTİKANIN KAPSAMI VE UYGULAMASI

İşbu Politika, yürürlükteki düzenlemeler ve uluslararası standartlar gözetilerek hazırlanmıştır. Şirket, veri işleme, aktarma, değiştirme gibi tüm veri işleme faaliyetlerinde öncelikli olarak bu Politika’yı uygulayacaktır.

Şirket, belirli iş faaliyetleri ve süreçleri ile ilgili olarak kişisel verilerin korunması ve bilgi güvenliğinin sağlanmasını ele alan farklı politikalara da sahiptir. Bu Politika, ek şartlar içermedikçe veya kişisel verilerin korunması için daha yüksek standart talep etmedikçe, Şirket’in söz konusu farklı politikalarındaki veri koruma şartlarını geçersiz kılmaz. Bu Politika, uygun düştüğü ölçüde söz konusu diğer politika ve prosedürler ile birlikte uygulanmaktadır.

Kişisel verilerin korunması ve işlenmesi hakkında yürürlükteki ilgili mevzuat hükümleri ile bu Politika’nın hükümleri arasında çelişki bulunduğu takdirde, güncel mevzuat hükümleri öncelikli olarak geçerli olacaktır.

İşbu “Politika”, “ŞİRKET” faaliyetleri kapsamında doğrudan veya dolaylı olarak işlenen tüm kişisel verileri kapsamakta olup, bu veriler çalışanlar, kurum yöneticileri, ziyaretçiler, müşteriler ve diğer üçüncü kişilere ait olabilir. Ayrıca, kişisel veriler otomatik yöntemlerle ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenebilir.

4. TANIMLAR

Aşağıda açıklamalarına yer verilen tanımlar, 6698 Sayılı Kanun ile yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmelikten alınmıştır.

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızadır.

Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

GDPR: Avrupa Birliği Genel Veri Koruma Tüzüğünü,

İmha: Kişisel verilerin yok edilmesi, silinmesi veya anonim hale getirilmesi işlemlerini ifade eder.

İrtibat Kişisi: Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kanun ve Kanun’a dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişim için veri sorumlusu tarafından Sicile kayıt esnasında bildirilen gerçek kişidir.

İlgili Kişi (Veri Sahibi): Kişisel verisi işlenen gerçek kişidir.

6698 Sayılı Kanun: 7 Nisan 2016 tarihli ve 29677 sayılı Resmî Gazete’de yayımlanan, 6698 sayılı Kişisel Verilerin Korunması Kanunu.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Kişisel Verilerin Silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesini,

Kişisel Verilerin Yok Edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini,

Kurul: Kişisel Verileri Koruma Kurulu.

Kurum: Kişisel Verileri Koruma Kurumu.

Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

VERBİS: Kişisel verileri işleyen gerçek ve tüzel kişilerin, kişisel veri işlemeye başlamadan önce kaydolmaları gereken ve işlemekte oldukları kişisel verilerle ilgili kategorik olarak bilgi girişi yapacakları bir kayıt sistemidir.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade eder.

Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemidir.

Yönetmelik: 28 Ekim 2017 tarihli Resmî Gazetede yayımlanarak yürürlüğe giren Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliktir.

5. ŞİRKET İÇİ KVKK BİRİMLERİ

İşbu Politika, “ŞİRKET”in veri güvenliğini sağlamak, Kanun ve ikincil mevzuata uyumun sürekliliğini temin etmek, ayrıca verilerin hukuka aykırı bir şekilde işlenmesini engellemek amacıyla, her departmandan (İK, Satış Pazarlama, Dış Ticaret, Muhasebe ve Finans) en az bir personelin görevlendirildiği “Kişisel Verileri Koruma Birimi” kurulduğunu ve bir İrtibat Kişisi atandığını belirtmektedir. Bu çerçevede, Şirket tarafından gerçekleştirilen kişisel veri işleme faaliyetlerinde …………… kişi, irtibat kişisi olarak atanmıştır.

KVKK Birimi, kişisel veri işleme envanterinin hazırlanması, sözleşmelerin düzenlenmesi, şirket içi periyodik veya rastgele denetimlerin yapılması, ilgili kişilerin bilgilendirilmesi, politikanın gerektiğinde güncellenmesi, yeni düzenlemelerin takip edilmesi, çalışanlara KVKK farkındalık eğitimlerinin verilmesi, Veri Sorumluları Sicil Bilgi Sistemi’ne (VERBİS) gerekli bildirimlerin yapılması ve Bilgi İşlem Müdürlüğü tarafından belirlenen idari ve teknik tedbirlerin alınması ve uygulanmasından sorumludur.

Bu yükümlülüklerin yerine getirilmesinde, Yönetim Kurulu yetkili ise durum yazılı olarak Yönetim Kurulu’na, Genel Müdür yetkili ise durum Genel Müdür’e bildirilir. “ŞİRKET”in mali ve teknik imkanları çerçevesinde, Birimlerin talepleri doğrultusunda gerekli işlemler yapılır.

6. İRTİBAT KİŞİSİ GÖREV, YETKİ VE SORUMLULUKLARI

İrtibat Kişisi, veri sorumlusunu Kanun ve Yönetmelik hükümleri çerçevesinde temsile yetkili değildir. İrtibat Kişisi, ilgili kişilerin veri sorumlusuna ileteceği taleplerin yanıtlanması sürecinde iletişimi sağlamakla sorumludur.

İrtibat Kişisi, Şirket adına VERBİS kayıt işlemlerini gerçekleştirmekten ve Kurul ile ilişkileri yürütmekten sorumludur. Ayrıca, ilgili kişilerin yasal taleplerini, ilgili departmanlardaki KVKK birim yetkilileri ile değerlendirerek “ŞİRKET” adına gerekli işlemleri yürütmekle yükümlüdür.

İrtibat Kişisi, “ŞİRKET”in Kişisel Veri İşleme, İmha ve Yok Etme politikalarının hazırlanmasına katkı sağlar ve kişisel veri envanterinin oluşturulmasını takip eder. Ayrıca, kişisel verilerin korunmasıyla ilgili idari ve teknik tedbirlerin alınmasında, KVKK birim yetkilileri ve diğer ilgili birimlerle iş birliği içinde çalışır.

7. KİŞİSEL VERİLERİN İŞLENMESİ HUSUSUNDA GENEL İLKELER

“Şirket” tarafından kişisel veriler, Kanunda öngörülen usul ve esaslara uygun şekilde işlenmekte olup, aşağıda yer alan ve Kanunun 4. Madde hükmünde belirtilen ilkelere uyulmaktadır.

• Hukuka ve dürüstlük kurallarına uygun olma: Mevzuat ve uluslararası standartlar, hukukun genel ilkeleri gözetilerek işlenir.

• Doğru ve gerektiğinde güncel olma: Şirket tüm işleme faaliyetlerinde verilerin güncel olmasını sağlar. Eksik, hatalı veya yanlış veriler en kısa sürede imha edilir veya düzeltilir. Şirket düzenli aralıklarla verilerin güncelliğini kontrol eder.

• Belirli, açık ve meşru amaçlar için işlenme: Şirket, veri işleme faaliyetlerinin öncesinde işleme faaliyetinin amacını belirler. Veriler, yalnızca ilk işleme amacıyla uyumlu olan ilave amaçlarla işlenir. Her bir ilave amaç için ilk amaçla uyum uluslararası düzende kabul gören kriterlere göre belirlenir. Şirket’in veri işleme amaçları hakkında ilgili kişileri şeffaflık ilkesini gözeterek bilgilendirir.

• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma: Şirket, veri işleme amacı için zorunlu olan miktarda veri işler. Veriler, veri gizliliği ve güvenliği konusunda en uygun olan yöntemle elde edilir. İşleme faaliyetlerimizde ilgili kişilerin hakları, menfaatleri ve özgürlüklerine orantısız müdahaleden kaçınılır.

• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme: Veri işleme amaçlarının ortadan kalkmasıyla birlikte en kısa sürede veriler silinir, yok edilir veya anonim hale getirilir.

8. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel Verileri Şirket tarafından ilgili kişinin açık rızası olmadıkça işlenemez. Kanunun 5. ve 6. Madde hükümlerinde açık rızanın aranmayacağı haller düzenlenmiş olup, bu hallerde faaliyet konusu amaçla sınırlı olmak üzere kişisel veriler açık rıza aranmaksızın işlenebilir. Bu haller şu şekildedir:

• Kanunlarda açıkça öngörülmesi.

• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması.

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması.

• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması.

• İlgili kişinin kendisi tarafından alenileştirilmiş olması.

• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması.

• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

9. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Özel nitelikli kişisel veriler, kanunda örneklemelerle belirtilmiş olup; bunlar arasında kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlık durumu, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler, biyometrik ve genetik veriler yer almaktadır. Bu tür veriler, yalnızca ilgili kişinin açık rızasıyla işlenebilir.

Sağlık ve cinsel hayata dair kişisel veriler dışında, diğer özel nitelikli kişisel veriler, yalnızca kanunlarda belirtilen durumlarda, ilgili kişinin açık rızası olmaksızın işlenebilir. Sağlık ve cinsel hayatla ilgili kişisel veriler ise, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin sağlanması, sağlık hizmetleri ve finansmanının yönetimi amacıyla, sır saklama yükümlülüğü bulunan kişiler tarafından, ilgili kişinin açık rızası olmaksızın işlenebilir.

Sağlıkla ilgili kişisel veriler, iş yeri hekimi veya iş yeri hekimi bulunmaması durumunda, bu konuyla görevli İnsan Kaynakları (İK) yetkilisi ile ilgili birim müdürü ya da şefi tarafından işlenebilir. Özel nitelikli kişisel verilerin işlenmesi sırasında Şirket tarafından yeterli önlemler alınmaktadır. Özel nitelikli kişisel veriler fiziki ortamlarda ikinci kilit/şifreleme, dijital ortamlarda da en düşük güvenlik önlemli olarak ikinci şifre sistemi kullanılarak muhafaza edilir ve bunlara ancak yetkili personel tarafından erişilir.

10. KİŞİSEL VERİLERİN TOPLANMA YÖNTEMLERİ

Kişisel veriler, Şirket’in faaliyet alanı ile ilgili olarak, işbu protokolde belirtilen amaçların gerçekleştirilmesi için, özgeçmişler, başvuru formları, iş sözleşmeleri, sözleşmeler, internet üzerinden doldurulan kayıt/başvuru formları, alındı ve harcama belgeleri, bilgi sistemleri, elektronik cihazlar, görüntü ve ses kayıt cihazları, güvenlik kamera kayıtları ve benzeri vasıtalarla toplanan her türlü sözlü, yazılı ve elektronik ortamda, otomatik ya da otomatik olmayan yöntemlerle Şirket’in ilgili birimleri, yetkilileri, internet sitesi, sosyal medya platformları ve diğer kanallar aracılığıyla toplanmaktadır.

Kişisel veriler, fiziken evrak gönderilmesi, Şirketin sağladığı bir evrakın fiziken doldurulması, Şirkete ait diğer numaraların aranması suretiyle de toplanmaktadır.

Kişisel veriler ayrıca otomatik yollarla https://hunn.com.tr/iletisim/ adresi vasıtasıyla toplanmaktadır.

11. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HÂLE GETİRİLMESİ

Şirket, Kanun ve ilgili mevzuata uygun şekilde işlenmiş olsa da verilerin işlenmesini gerektiren sebeplerin ortadan kalkması durumunda, kişisel verileri re’sen veya ilgili kişinin talebi üzerine, hazırlanan imha politikasına uygun olarak siler, yok eder veya anonim hale getirir.

Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin mevzuatta yer alan hükümler saklı olmakla beraber, kişisel verilerin silinmemesini gerektiren bir yasal yükümlülüğün mevcudiyeti halinde bu yükümlülük ortadan kalktıktan sonra kişisel veriler silinir, yok edilir veya anonim hâle getirilir.

Kişisel verilerin silinmesi, yok edilmesi ve imhasına ilişkin süreçlerden ilgili departman yetkilisi sorumludur.

12. KİŞİSEL VERİLERİN ÜÇÜNCÜ KİŞİLERE AKTARILMASI

Kişisel veriler, ilgili kişinin açık rızası olmaksızın üçüncü kişilere aktarılmaz.

Kişisel veriler KVKK’nın 5. maddenin ikinci fıkrasında, 6. maddesinin üçüncü fıkrasında yer alan hallerde, yeterli önlemler alınmak kaydıyla, ilgili kişinin açık rızası aranmaksızın aktarılabilir.

Buna göre kişisel veriler aşağıdaki tabloda belirtilen kişi ve kurumlara, belirtilen amaçlarla sınırlı olarak aktarılmaktadır.

13. KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI

Kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.

Kişisel veriler, KVKK’nın 5. maddesinin ikinci fıkrası ile 6. maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;

• Yeterli korumanın bulunması,

• Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul’un izninin bulunması,

kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir.

14. AYDINLATMA YÜKÜMLÜLÜĞÜ

Kişisel verilerin elde edilmesi sırasında “ŞİRKET” tarafından yetkilendirilen kişi/kişiler, ilgili kişilere;

• Veri sorumlusunun (Şirket) ve varsa temsilcisinin kimliği,

• Kişisel verilerin hangi amaçla işleneceği,

• İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,

• Kişisel veri toplamanın yöntemi ve hukuki sebebi,

• Kanun’un 11 inci madde hükmünde ve işbu Politika’nın 15. maddesinde sayılan diğer hakları,

konusunda bilgi vermekle yükümlüdür.

Bu bilgi öncelikli olarak “ŞİRKET”in internet sitesinde, diğer başvuru kanallarında ve kişisel veri işlenen mecralarda herkesin görüp okuyabileceği biçimde gerektiğinde katmanlı olarak internet sitesine yönlendirmek şekliyle ilgili kişilere sunulur.

15. İLGİLİ KİŞİNİN HAKLARI

Kişisel veri sahipleri olarak, haklarınıza ilişkin taleplerinizi, işbu Politika’da aşağıda düzenlenen yöntemlerle Şirket’e iletmeniz durumunda Şirket, talebin niteliğine göre talebi en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandıracaktır. Ancak, Kişisel Verileri Koruma Kurulunca bir ücret öngörülmesi halinde, Şirket tarafından belirlenen tarifedeki ücret alınacaktır. Bu kapsamda kişisel veri sahipleri;

• Kişisel veri işlenip işlenmediğini öğrenme,

• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,

• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

• Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,

• 7 nci maddede öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,

• (e) ve (f) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,

• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme,

haklarına sahiptir.

İlgili kişi, kanundan doğan ve işbu politikada sayılan hakları ile ilgili olarak Şirket İnternet sitesinde yer alan başvuru formu aracılığıyla Şirkete müracaat etmesi imkânı sunulur. Kanun’un 13. madde hükmünde yer alan usule uygun başvuruya ilişkin olarak şirket tarafından KVKK m.13/2 gereğince, en geç 30 gün içerisinde cevap verilir. İlgili kişi başvuruları ile ilgili süreçlerin takibinden ve yönetilmesinden İrtibat Kişisi sorumludur.

Kişisel verileriniz ile ilgili başvuru ve taleplerinizi İlgili Kişi Başvuru Formu vasıtasıyla,

1. Başvuruda bulunanın şahsen ıslak imza ve kimlik fotokopisi ile birlikte Gayrettepe Mah. Yıldız Posta Cad. Akın Sitesi No: 8 İç Kapı No: 13 Beşiktaş / İstanbul adresine,

2. Güvenli elektronik imza veya mobil imza ile imzalayarak Şirket’in “hunn@hunn.com.tr” KVKK e-posta adresine,

3. Noter vasıtası ile,

4. Geçerli bir kimlik belgesi ile Şirket’e bizzat başvurarak

iletebilirsiniz.

16. VERİ GÜVENLİĞİNİN SAĞLANMASI

“ŞİRKET” kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı olarak erişilmesini önlemek, kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

Anılan idari tedbirlerden bazıları şunlardır:

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.

• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

• Gizlilik taahhütnameleri yapılmaktadır.

• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

• Kâğıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.

• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

• Kişisel veriler mümkün olduğunca azaltılmaktadır.

• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.

• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

• Mevcut risk ve tehditlerin belirlenmesi,

• Kişisel veri güvenliği politikalarının ve prosedürlerinin belirlenmesi, envanter oluşturulması,

• Kişisel verilerin minimizasyonu çalışmaları,

• Veri işleyenler ile ilişkilerin yönetimi.

Alınan teknik tedbirlerden bazıları şunlardır:

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

• Anahtar yönetimi uygulanmaktadır.

• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.

• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.

• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

• Güncel anti-virüs sistemleri kullanılmaktadır.

• Güvenlik duvarları kullanılmaktadır.

• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.

• Saldırı tespit ve önleme sistemleri kullanılmaktadır.

• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.

• Şifreleme yapılmaktadır.

• Veri kaybı önleme yazılımları kullanılmaktadır.

• Sızıntı testlerinin yapılması,

• Kişisel Veri Güvenliğinin Takibi,

• Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması,

• Bilgi Teknolojileri Sistemleri Tedariği, Geliştirme ve Bakımı.

Kişisel verilerin üçüncü kişiler tarafından hukuka aykırı olarak ele geçirilmesi ve veri güvenliğinin tehlikeye düşürülmesi halinde, ilgili mevzuat hükümleri ve Politika uyarınca Şirket, veri sahiplerine, Kurul’a ve diğer ilgili kamu kurum ve kuruluşlarına bildirimde bulunmakla yükümlüdür.

17. KİŞİSEL VERİ ENVANTERİ

Şirket KVKK kapsamında işlenen kişisel verilere ilişkin Kanunun öngördüğü detaylarla bir veri envanteri oluşturmuştur. Şirketin veri envanteri aşağıdaki detayları içermektedir:

• Kişisel verinin kullanıldığı iş süreçleri,

• Kişisel verinin kategorisi,

• İşlenen kişisel veriler,

• İşlenen özel nitelikli kişisel veriler,

• İşleme faaliyetinin amacı ve hukuki sebebi,

• Kişisel verilerin yurt içindeki alıcıları,

• Kişisel verilerin yurt dışına aktarılıp aktarılmadığı,

• Kişisel verileri saklama süreleri.

Şirket’in işleme faaliyetlerinde bir değişiklik olması halinde Kişisel Veri Envanteri güncellenir. Şirket, Kişisel Veri Envanteri’nde yer alan bilgileri ve varsa güncellemeleri Veri Sorumluları Kayıt Sicili’ne bildirir. Şirket’in, bu Politika’nın 14. Maddesi’nde anılan aydınlatma yükümlülüğü çerçevesinde ilgili kişiye vereceği bilgiler, Sicile açıklanan bilgilerle uyumludur.

18. KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

“ŞİRKET” kişisel verileri mevzuatta belirlenen sürelerle sınırlı olarak, veri işleme amacına uygun şekilde, gerekli teknik ve idari güvenlik tedbirlerini alarak saklamaktadır.

Kişisel veri işleme amaçlarının sona ermesi halinde, “ŞİRKET” tarafından kişisel veriler imha edilecektir. Söz konusu imha işlemleri ilgili mevzuatın hükümlerine uygun olarak 6 aylık dönemlerde re’sen veya veri sahiplerinden gelen taleplerin yerinde bulunması halinde gerçekleştirilecektir.

Kişisel Verilerin imhası ile ilgili tutanaklar ise “ŞİRKET” tarafından 3 yıl süre ile saklanacaktır. Özel mevzuatlarda öngörülen süreler saklı olup, KVKK ve ilgili mevzuatında yapılan değişiklikler sebebiyle buradaki sürelerin değişmesi durumunda söz konusu güncel süreler uygulanacaktır.

İmhaya ilişkin süreçler KVKK Birimleri tarafından yürütülür ve karara bağlanır.

19. GİZLİLİK

“ŞİRKET” çalışanları ve yöneticileri öğrendikleri kişisel verileri KVKK ve ilgili mevzuat ile bu politika hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

20. BİLDİRİM

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin tespiti hâlinde, konudan haberdar edilen İrtibat Kişisi durumu en kısa sürede ilgilisine ve üst yönetime bildirir. Yaşanan ihlal İrtibat Kişisi tarafından aynı zamanda Kurul’a da bildirilir.

21. İLGİLİ KİŞİNİN HAKLARI, BAŞVURU YAPILMASI VE DEĞERLENDİRİLMESİ

İlgili Kişinin Hakları

Kişisel verileriniz ile ilgili başvuru ve talepleri, ilgili kişi, İlgili Kişi Başvuru Formu vasıtasıyla,

• Başvuruda bulunanın şahsen ıslak imza ve kimlik fotokopisi ile Gayrettepe Mah. Yıldız Posta Cad. Akın Sitesi No: 8 İç Kapı No: 13 Beşiktaş / İstanbul adresine,

• Güvenli elektronik imza veya mobil imza ile imzalayarak Şirket’in “hunn@hunn.com.tr” KVKK e-posta adresine,

• Noter vasıtası ile,

• Geçerli bir kimlik belgesi ile Şirket’e bizzat başvurarak

iletebilirsiniz.

Süreci ilgili kişiler için en etkin şekilde Şirket adına yürütülebilmesi için talep konusunda hangi hakkın kullanılmak istediği, talep edilen işleme ilişkin detayların açık ve anlaşılır şekilde belirtilmiş olması gerekmektedir.

Talep konusu, ilgili kişinin kendisiyle ilgili olmalıdır. Başkası adına başvuru yapılıyor ise, talebi yapan kişinin talep edilen işleme yönelik özel olarak belgelendirilmiş bir yetkiye dayanması (vekaletname) gerekmektedir. Yetkisiz yapılan başvurular ise değerlendirilmeye alınmaz.

Talebin, yukarıda yer alan yöntemlerden birisi kullanılarak Şirket’e iletilmesi durumunda, talebin Şirket’e iletilmiş olduğu tarihten en geç 30 (otuz) gün içinde değerlendirilerek ilgili kişiye konuyla ilgili bilgi verilir. Talep kabul edilirse, gerekli işlemler derhal veri sorumlusu sıfatıyla Şirket tarafından yerine getirilir. Değerlendirme ve karar verme işleminin ayrıca bir maliyeti gerektirmesi durumunda Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret esas alınacaktır.

Başvurunun Değerlendirilmesi

Başvurular değerlendirilerek en kısa sürede ve en geç başvurunun Şirket’e ulaştığı tarihten itibaren 30 gün içerisinde sonuçlandırılır.

Değerlendirme sürecinde, gerekmesi halinde ek bilgi ve belge talep edilebilir, ilgili mevzuata uygun düşen hallerde talebin yerine getirilmesi için ücret talep edilebilir.

Şirket, ilgili kişi tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri alır.

Başvurunun Reddedilmesi

• Başvuru yukarıda belirtilen usule uygun yapılmadığında,

• Başvuru yürürlükteki mevzuatlara aykırı bir talep içerdiğinde,

• Başvuru haklı bir nedene dayanmadığında veya hakkın kötüye kullanımı niteliğinde olduğunda,

• Başvuru konusu kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi,

• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi,

• KVKK 28. Maddesi kapsamına giren diğer hallerden birinin varlığı

halinde reddedilir. Başvurunun reddedilmesi halinde Şirket, gerekçesini açıklayarak ilgili kişiye ret cevabını bildirir.

Şikâyet Hakkı

Şirket’e yapılan başvurularda ilgili kişi, başvurusu reddedildiğinde veya Şirket tarafından verilen cevabın yetersiz olduğunu düşünmesi durumunda veya Şirket tarafından başvuru hakkında 30 gün içerisinde cevap verilmediğinde Kurul’a şikâyet hakkını kullanabilir.

İlgili kişi, Şirket’in cevabını öğrendiği tarihten itibaren 30 ve her halde başvuru tarihinden itibaren 60 gün içinde şikâyet hakkını kullanabilir.

22. YÜRÜRLÜK

Şirket tarafından düzenlenen bu Politika 12/08/2026 Tarihinde yürürlüğe girmiş ve şirket internet sitesinde kamuoyuna sunulmuştur. Başta Kanun olmak üzere, Kurul kararları ve yürürlükteki mevzuat ile bu Politika’da yer verilen düzenlemelerin çelişmesi halinde öncelikli olarak mevzuat hükümleri, daha sonra Kurul kararları uygulanır.

Şirket, yasal düzenlemeler ve Kurul kararlarına paralel olarak Politika’da her zaman değişiklik yapma hakkını saklı tutar. Politika’nın güncel hali https://hunn.com.tr/iletisim/ internet adresinde yayınlanır ve ilgili kişi ile ayrıca talebi üzerine paylaşılabilir.