Kişisel Veri Saklama ve İmha Politikası

Doküman Kontrolü

1. Amaç ve Kapsam

Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ("Yönetmelik") uyarınca, Hamurlabs Elektronik Hizmetler Yazılım ve Ticaret A.Ş. ("Şirket") tarafından işlenen kişisel verilerin saklanmasına ve imhasına ilişkin usul ve esasları belirlemek amacıyla hazırlanmıştır. Politika; çalışanlar, çalışan adayları, müşteri ve tedarikçi yetkilileri/çalışanları, ziyaretçiler ve diğer üçüncü kişilere ait, Şirket’in veri sorumlusu sıfatıyla işlediği tüm kişisel verileri kapsar.

Şirket’in, HaROS platformu üzerinden müşterileri adına veri işleyen sıfatıyla işlediği veriler bakımından saklama ve imha süreleri ilgili müşteri sözleşmeleri ve Veri Saklama ve İmha Politikası’nın (HL-ISMS-POL-10) 3. bölümü uyarınca belirlenir; bu veriler için imha talimatı ilgili veri sorumlusu müşteriye aittir.

2. Tanımlar

3. Kayıt Ortamları

Kişisel veriler, Şirket tarafından aşağıdaki ortamlarda hukuka uygun olarak ve güvenli şekilde saklanır:

• Elektronik ortamlar: Google Cloud üzerindeki üretim ortamı (europe-west1 bölgesi, Belçika) ve yedekleri; kurumsal e-posta ve ofis/iş birliği uygulamaları; kaynak kod depoları ve İTSM/destek sistemleri; muhasebe ve İK yazılımları; şirket bilgisayarları ve mobil cihazlar; yetkilendirilmiş taşınabilir medya.
• Fiziksel ortamlar: özlük dosyaları, sözleşme klasörleri, fatura ve muhasebe evrakı gibi kağıt ortamındaki kayıtlar ve bunların saklandığı kilitli dolaplar/arşiv alanları.

Yurt dışında yerleşik hizmet sağlayıcılar aracılığıyla gerçekleşen saklama işlemleri, KVKK m. 9 kapsamındaki aktarım mekanizmalarına (standart sözleşmeler ve Kurum bildirimleri dahil) uygun olarak yürütülür.

4. Saklamayı ve İmhayı Gerektiren Sebepler

4.1 Saklamayı gerektiren hukuki sebepler

• 6698 sayılı Kanun m. 5 ve 6’da yer alan işleme şartlarının varlığı (sözleşmenin kurulması/ifası, hukuki yükümlülük, meşru menfaat, açık rıza vb.)
• 6102 sayılı Türk Ticaret Kanunu (m. 82: defter ve belgelerin 10 yıl saklanması)
• 213 sayılı Vergi Usul Kanunu (5 yıllık muhafaza yükümlülüğü)
• 4857 sayılı İş Kanunu ve 5510 sayılı Sosyal Sigortalar ve Genel Sağlık Sigortası Kanunu ile ikincil mevzuat
• 6098 sayılı Türk Borçlar Kanunu kapsamındaki zamanaşımı süreleri (hukuki taleplerin ileri sürülmesi/savunulması)
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ve ilgili mevzuat (ticari elektronik ileti onay/ret kayıtları)

4.2 İmhayı gerektiren sebepler

• İşlemeye esas alınan mevzuat hükümlerinin değiştirilmesi veya yürürlükten kaldırılması
• İşlemeyi veya saklamayı gerektiren amacın ortadan kalkması
• İşlemenin yalnızca açık rızaya dayandığı hallerde ilgili kişinin rızasını geri alması
• İlgili kişinin KVKK m. 11 kapsamındaki başvurusunun Şirketçe kabul edilmesi
• Şirket’in başvuruyu reddetmesi üzerine Kurul’un imha kararı vermesi
• Azami saklama süresinin dolması ve daha uzun saklamayı haklı kılacak bir şartın bulunmaması

5. Teknik ve İdari Tedbirler

Kişisel verilerin güvenli saklanması ile hukuka aykırı işlenmesinin ve erişilmesinin önlenmesi için alınan başlıca tedbirler, Şirket’in Bilgi Güvenliği Yönetim Sistemi politika setinde ayrıntılandırılmıştır:

• Teknik tedbirler: aktarımda TLS 1.2+ ve depolamada AES-256 şifreleme (Şifreleme Politikası); en az yetki ilkesi, çok faktörlü kimlik doğrulama ve dönemsel erişim gözden geçirmeleri (Kullanıcı Erişim Kontrol Politikası); ağ güvenliği, güvenlik duvarı ve ortam ayrıştırması (Ağ Güvenliği Politikası); kayıt (log) tutma, izleme ve uyarı mekanizmaları (Veri Koruma Politikası); zafiyet yönetimi ve yama uygulamaları; yedekleme ve felaket kurtarma düzenlemeleri.
• İdari tedbirler: politika seti ve yıllık bilgi güvenliği/KVKK farkındalık eğitimleri; gizlilik taahhütnameleri ve iş sözleşmelerinde gizlilik hükümleri; tedarikçi sözleşmelerinde veri koruma hükümleri; görev ayrılığı; olay yönetimi ve ihlal bildirim süreci (Olay Yönetimi Politikası — Kurul’a 72 saat içinde bildirim dahil); varlık envanteri ve sınıflandırma (Varlık Yönetimi ve Veri Sınıflandırma Politikaları).

6. İmha Teknikleri

Gerçekleştirilen tüm imha işlemleri (verinin türü, tarih, yöntem, işlemi yapan ve onaylayan) kayıt altına alınır ve bu kayıtlar, diğer hukuki yükümlülükler hariç olmak üzere en az 3 yıl süreyle saklanır.

7. Saklama ve İmha Süreleri Tablosu

8. Periyodik İmha Süresi

Yönetmelik m. 11 uyarınca Şirket, periyodik imha süresini 6 ay olarak belirlemiştir. Saklama süresi dolan kişisel veriler, takip eden ilk periyodik imha döneminde (her yıl Haziran ve Aralık aylarında) re’sen silinir, yok edilir veya anonim hale getirilir. İlgili kişinin başvurusu üzerine yapılacak imha işlemleri, KVKK m. 13’teki süreler içinde (en geç 30 gün) sonuçlandırılır.

9. Sorumluluklar

10. Yürürlük ve Güncelleme

Bu politika, Şirket Yönetimi’nin onayı ile yürürlüğe girer; şirket içi doküman sisteminde yayımlanır ve yılda en az bir kez veya mevzuat/iş süreçlerindeki önemli değişikliklerde gözden geçirilir. VERİBİS kayıt yükümlülüğünün doğması halinde politika ve sicil bilgileri uyumlu hale getirilir.