Kişisel Verilerin İşlenmesi Politikası

Kişisel Verilerin İşlenmesi Saklanması Ve İmhasına İlişkin Politika

AloTech, https://alotech.com.tr/kisisel-verilerin-islenmesi-politikasi adresinde yayımlanan işbu Kişisel Verilerin İşlenmesi, Saklanması ve İmhasına İlişkin Politika (“Politika”) ile 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlusu sıfatıyla sorumlu olduğunu ilan etmektedir.

AloTech, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel verilerinizin kanun ve ilgili sair mevzuata uygun olarak işlenerek muhafaza edilmesine büyük önem vermektedir. AloTech, bu bilinçle, yasal yükümlülüklerini ve iştigal konusuyla uygun olan faaliyetlerini gerçekleştirebilmek amacıyla kişisel verileri mevzuata uygun olarak işlemekte ve muhafaza etmektedir.

Amaç ve Kapsam

İşbu Politika’nın amacı, AloTech tarafından kişisel verilerin Kanun’a uygun olarak işlenmesi ve korunması ile Yönetmelik’e uygun olarak saklanması ve imhasını sağlamak amacıyla benimsenen ilkeleri ve bu kapsamda izlenecek olan yöntemleri açıklamaktır.

İşbu Politika, AloTech’in ve AloTech’in bağlı bulunduğu grup veya grupların, diğer şirketlerinin, doğrudan ve dolaylı bağlı ortaklık ve iştirakleri de dâhil olmak üzere yurtiçi ve yurtdışındaki iş ve çözüm ortaklarının yetkililerine, çalışanlarına, eski çalışanlarına, çalışan adaylarına, stajyerlerine, ziyaretçilerine, işbirliği içinde olduğu kurum ve kuruluşlarda çalışanlara ve yetkililerine, iştigal konusuyla ilgili olarak hizmet tedarik ettiği veya hizmet temin ettiği üçüncü kişilere ait kişisel veriler başta olmak üzere AloTech tarafından tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerin işlenmesi, korunması, saklanması ve imhası kapsamında AloTech tarafından yönetilen tüm faaliyetlerde uygulanmaktadır.

2. KİŞİSEL VERİLERİN İŞLENMESİNE VE AKTARILMASINA İLİŞKİN ESASLAR

2.1 KİŞİSEL VERİLERİN İŞLENMESİ SIRASINDA ESAS ALINAN İLKELER

AloTech, Kanun’un 4. maddesi uyarınca işbu Politika kapsamındaki kişisel verileri aşağıdaki genel ilkeler doğrultusunda işlemektedir.

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işleme
• İşlendikleri amaçla sınırlı ve ölçülü olma
• İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

2.2 KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

AloTech, kişisel verileri ilgili kişinin açık rızası olmak şartıyla işlemektedir. AloTech’in Kanun’un 5. maddesi kapsamında (i) kanunlarda açıkça öngörülmesi, (ii) fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, (iii) bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, (iv) veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, (v) ilgili kişinin kendisi tarafından alenileştirilmiş olması, (vi) bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, (vii) ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması hallerinde ilgili kişinin açık rızası olmaksızın da işlemesi mümkündür.

AloTech, özel nitelikli kişisel verileri ilgili kişinin açık rızası olmaksızın işlememektedir. Ancak, ilgili kişinin ırkını, etnik kökenini, siyasi düşüncesini, felsefi inancını, dinini, mezhebini veya diğer inançlarını, kılık ve kıyafetini, dernek, vakıf ya da sendika üyeliğini, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verilerini kanunlarda öngörülen hâllerde ilgili kişinin açık rızası olmaksızın da işleyebilmesi mümkündür.

2.3. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

AloTech tarafından kişisel veriler aşağıdaki belirtilen amaçlar doğrultusunda işbu Politika’nın 2.1. maddesi ile 2.2. maddesinde belirtilen ilke ve şartlara uygun şekilde işlenmektedir.

A – İş başvuruları kapsamında, çalışan adaylarının ve stajyerlerin insan kaynakları süreçlerinin planlanması ve takibi, çalışan adayı / stajyer seçme ve yerleştirme süreçlerinin yürütülmesi, çalışan adaylarının başvuru süreçlerinin yürütülmesi, insan kaynakları süreçlerinin planlanması, yetenek / kariyer gelişimi faaliyetlerinin yürütülmesi,

B – İnsan Kaynakları süreçleri kapsamında çalışan ve stajyerlerin bordro ve özlük hakları ile ilgili işlemlerin yürütülmesi, yasal bildirimlerin yapılması, sağlık sigortası işlemlerinin takip edilmesi, çalışan hak ve menfaatlerinin planlanması, çalışan memnuniyeti ve bağlılığı süreçlerinin yürütülmesi, akdi ve mevzuattan kaynaklı yükümlülüklerin yerine getirilmesi, yan haklar ve menfaatleri süreçlerinin yürütülmesi, performans değerlendirme süreçlerinin yürütülmesi, yetenek / kariyer gelişimi faaliyetlerinin yürütülmesi, maaş politikalarının belirlenmesi, görevlendirme süreçlerinin yürütülmesi, yabancı personel çalışma ve oturma izni işlemlerinin takibi, yetkili kişi kurum ve kuruluşlara bilgi verilmesi,

C – Sunulan ürün ve hizmetler üçüncü kişilerin beğenilerini, kullanım alışkanlıkları ve ihtiyaçları doğrultusunda özelleştirilerek önerilmesi ve tanıtılması için gerekli olan faaliyetlerin planlanması ve icrası kapsamında müşteri memnuniyeti faaliyetlerinin planlanması ve/veya icrası, ürün ve hizmetlerle ilgili pazar araştırma ve pazarlama faaliyet ve süreçlerinin planlanması ve/veya icrası, sunulan ürün veya hizmetlerden en yüksek faydanın elde edilmesi için ilgili süreçlerin planlanması ve/veya icrası,

D – AloTech tarafından sunulan ürün ve hizmetlerden üçüncü kişileri faydalandırmaya yönelik çalışmaların ilgili iş birimleri tarafından yapılması ve ilgili iş süreçlerinin yürütülmesi kapsamında ürün ve/veya hizmetlerin satış süreçlerinin planlanması ve/veya icrası, satış sonrası destek hizmetlerinin planlanması ve/veya icrası, müşteri ilişkileri yönetimi süreçlerinin planlanması ve/veya icrası, müşteri talep ve şikayetlerinin takibi, sözleşme süreçlerinin ve/veya hukuki taleplerin takibi,

E – AloTech’in ve onunla iş ilişkisi içerisinde olan ilgili kişilerin hukuki, teknik ve ticari iş güvenliğinin temin edilmesi kapsamında; denetim faaliyetlerinin planlanması ve/veya icrası, faaliyetlerin şirket prosedürleri ve/veya ilgili mevzuata uygun olarak yürütülmesinin temini için gerekli operasyonel faaliyetlerin planlanması ve icrası, operasyonların güvenliğinin temini, verilerin doğru ve güncel olmasının sağlanması, yetkili kuruluşlara mevzuattan kaynaklı bilgi verilmesi

F – AloTech tarafından yürütülen ticari faaliyetlerin gerçekleştirilmesi için ilgili iş birimleri tarafından gerekli çalışmaların yapılması ve buna bağlı iş süreçlerinin yürütülmesi kapsamında bilgi güvenliği süreçlerinin planlanması, denetimi ve icrası, bilgi teknolojileri alt yapısının oluşturulması ve yönetilmesi, finans ve/veya muhasebe işlerinin takibi, hukuk işlerinin takibi, iş faaliyetlerinin etkinlik/verimlilik ve/veya yerindelik analizlerinin gerçekleştirilmesi faaliyetlerinin planlanması ve/veya icrası, iş faaliyetlerinin planlanması ve icrası, kurumsal iletişim faaliyetlerinin planlanması ve icrası, lojistik faaliyetlerinin planlanması ve icrası, operasyon süreçlerinin planlanması ve icrası

G – AloTech’in ticari ve/veya iş stratejilerinin planlanması ve icrası kapsamında iş ortakları, müşteriler ve/veya tedarikçilerle olan ilişkilerin yönetimi, stratejik planlama faaliyetlerinin icrası, iş ortakları ve/veya tedarikçilerin performans değerlendirme süreçlerinin planlanması ve takibi,

H – Fiziksel mekân güvenliğinin sağlanması, taşınır mal ve kaynaklarının güvenliğinin sağlanması,

İ – AloTech faaliyetlerinin sürekliliğinin sağlanması, finans ve muhasebe işlerinin yürütülmesi, hukuk işlerinin takibi ve yürütülmesi, iç denetim/ soruşturma / istihbarat faaliyetlerinin yürütülmesi, iletişim faaliyetlerinin yürütülmesi, yönetim faaliyetlerinin yürütülmesi, organizasyon ve etkinlik yönetimi, erişim yetkilerinin yürütülmesi.

2.4. KİŞİSEL VERİLERİN AKTARILMASI

Kişisel veriler, AloTech tarafından verilen hizmetler ve işçi-işveren ilişkisi kapsamında, sigorta şirketleri, hizmet tedarik ve temin edilen şirketler ile bu şirketlerin çalışanları, yazılım firmaları, yurtdışı ve yurtiçi banka ve finans kuruluşları, lisanslı ödeme kuruluşları, verilerin bulut ve benzeri ortamlarda tutulması ve korunması için hizmet alınan yurtiçi ve yurtdışı kuruluşlar, sunucu hizmeti alınan yurtiçi ve yurtdışı kuruluşlar, ticari elektronik ileti gönderilmesi için hizmet alınan yurtiçi ve yurtdışı kuruluşlar, Bankalararası Kart Merkezi (BKM), reklam ve iletişim ajansları, kredi kartı hizmet sağlayıcıları, ödeme hizmet sağlayıcıları, internet servis sağlayıcıları, mobil uygulama ve internet sitesi yazılım bakım ve destek hizmetleri sağlayanlar, AloTech’in pay sahipleri, bağlı bulunduğu grup veya grupların diğer şirketleri, doğrudan ve dolaylı bağlı ortaklık ve iştirakleri de dâhil olmak üzere AloTech’in yurtiçi ve yurtdışındaki iş ve çözüm ortakları başta olmak üzere AloTech’in iştigal konusuna giren faaliyetleri doğrultusunda, sözleşmesel ilişki içinde olduğu üçüncü gerçek ve tüzel kişilerle, bunların faaliyetleri kapsamında kullanacakları bilgilerle sınırlı olmak kaydıyla paylaşılmaktadır.

AloTech, ayrıca kişisel verileri yasal mevzuat gereği bilgi verilmesi zorunlu olan adli, idari ya da resmi sair makamlarla da paylaşmaktadır. Söz konusu veri paylaşımlarıyla; AloTech tarafından verilen hizmetlerin güvenli bir şekilde, kesintisiz olarak ve üstün kalitede sunulabilmesi ve yasal yükümlülüklerin yerine getirilmesi amaçlanmaktadır.

AloTech, kişisel verilerin aktarılması sürecinde, verilerin hukuka aykırı olarak kullanılmasını önlemek ve muhafazasını sağlamak için mevzuat uyarınca uygun güvenlik düzeyini sağlamak için gerekli tüm tedbirleri almaktadır.

3. KİŞİSEL VERİLERİN KATEGORİZASYONU

AloTech, kimliği belirli veya belirlenebilir bir gerçek kişiye ait olduğu açık olan ilgili kişinin kişisel verilerini, kısmen veya tamamen otomatik şekilde veya veri kayıt sisteminin bir parçası olarak otomatik olmayan bir şekilde işbu Politika’nın 2.1. maddesi ile 2.2. maddesinde belirtilen ilke ve şartlara uygun şekilde işleyebilmektedir.

AloTech, kişisel verileri, işçi işveren ilişkisi, hizmet ilişkisi ve AloTech’in iştigal konusuna giren faaliyetleri ve sözleşmeler çerçevesinde başta çalışanları, eski çalışanları, çalışan adaylarını, stajyerleri, ziyaretçileri, iş birliği içinde olduğu kurum ve kuruluşların çalışanları ve yetkilileri, iştigal konusuyla ilgili olarak hizmet tedarik ettiği veya hizmet temin ettiği üçüncü kişiler olmak üzere ilgili kişilerin kişisel verilerini aşağıdaki kategorilerde işlemektedir.

• Kimlik
• İletişim
• Özlük
• Hukuki İşlem
• Fiziksel Mekân Güvenliği
• İşlem Güvenliği
• Finans
• Mesleki Deneyim
• Görsel ve İşitsel Kayıtlar
• Sağlık Bilgileri
• Irk ve Etnik Köken
• Din
• Ceza Mahkumiyeti

4. KİŞİSEL VERİLERİN SAKLANMA AMAÇLARI VE SEBEPLERİ

AloTech, işbu Politika kapsamında ele alınan kişisel verileri Türkiye Cumhuriyeti Devleti’nin Anayasası ile ilgili kanunların, yönetmeliklerin, tüzüklerin ve tüm sair yasal mevzuatın ve bağlı bulunduğu grup veya grupların diğer şirketleri ile doğrudan ve dolaylı bağlı ortaklık ve iştiraklerinin tabi olduğu ilgili yasal düzenlemelerin kendisine yüklediği yükümlülükler nedeniyle işbu Politika’nın 2.3. maddesinde belirtilen amaçları doğrultusunda saklamaktadır.

5. KİŞİSEL VERİLERİN SAKLANDIĞI ORTAMLAR

AloTech, kişisel verileri, ilgili verinin türüne ve niteliğine uygun biçimde Kanun ve Yönetmelik kapsamında belirtilen ilkeler ve şartlar ile Kanun ve Yönetmelik başta olmak üzere sair mevzuat uyarınca kendisine veri sorumlusu sıfatıyla yüklenen yükümlülükler doğrultusunda uygun bir kayıt ortamında muhafaza eder.

Bu doğrultuda AloTech, kişisel verileri başta kağıt olmak üzere sair matbu ortamlarda fiziksel olarak; veri tabanı, bulut (cloud) ortamı, e-posta, web sitesi, yazılımlar, bilgisayarlar, mobil cihazlar, CD, DVD, flash bellek başta olmak üzere sair elektronik ortamlarda dijital olarak güvenli bir şekilde saklamaktadır.

6. KİŞİSEL VERİLERİN İMHASI

6.1 Kişisel Verilerin İmha Edilme Amaçları ve Sebepleri

AloTech, işlediği kişisel verileri, Kanun ve Yönetmelik uyarınca, bunların işlenmesini gerektiren sebeplerin ortadan kalkması halinde re’sen veya ilgili kişinin talebi üzerine işbu Politika’da belirtilen sürelere uygun olarak silme, yok etme veya anonim hale getirme suretiyle imha eder.

Bu kapsamda;

a. Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,

b. Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması,

c. Sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,

d. Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,

e. Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olduğunun tespit edilmesi,

f. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,

g. İlgili kişinin, Kanunun 11. maddesinin 1. fıkrasının (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafından kabul edilmesi,

h. Veri sorumlusunun, ilgili kişi tarafından kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunulması ve bu talebin Kurul tarafından uygun bulunması,

i. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

j. Kanun’un 5. ve 6. maddelerindeki kişisel verilerin işlenmesini gerektiren şartların ortadan kalkması

halleri başta olmak üzere, AloTech’in Politika kapsamında işlediği kişisel verilerin saklanmasında lüzum görmediği ve Kanun ve Yönetmelik’te belirtilen tüm durumlarda, kişisel veriler AloTech tarafından silinmek, yok edilmek veya anonim hale getirilmek suretiyle imha edilecektir.

6.3.1 Kişisel Verilerin Silinmesi

Kişisel Veriler aşağıda yer alan tabloda belirtilen yöntemler ile silinmektedir:

6.3.2 Kişisel Verilerin Yok Edilmesi

Kişisel Veriler aşağıda yer alan tabloda belirtilen yöntemler ile yok edilir:

6.3.3 Anonim Hale Getirme

Kişisel veriler, veri sorumlusu veya alıcı grupları tarafından geri döndürülmesi ve/veya verilerin başka verilerle eşleştirilmesi gibi kayıt ortamı ve ilgili faaliyet alanı açısından uygun tekniklerin kullanılması yoluyla dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemez hale getirilmesini sağlayacak şekilde maskeleme, türetme, genelleştirme, rastgele hale getirme gibi yöntemlerle anonim hale getirilmektedir.

7. KİŞİSEL VERİLERİN SAKLAMA VE İMHA EDİLME SÜRELERİ

8. KİŞİSEL VERİLERİN SAKLANMASI VE İMHA EDİLMESİ ADINA ALINMIŞ OLAN TEDBİRLER

8.1. TEKNİK TEDBİRLER

AloTech, kişisel verilerin saklanması ve imha edilmesine ilişkin olarak Kanun ve Yönetmelik kapsamında yükümlülüklerini yerine getirebilmek adına aşağıda belirtilen teknik tedbirleri almış bulunmaktadır.

• Sızma (Penetrasyon) testleri ile bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
• Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
• Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi işlemi erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
• Bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
• Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
• Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirler alınmalı ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır.
• Şirket içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
• Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
• Silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri alınmaktadır.
• Kişisel verilerin hukuka aykırı olarak başkaları tarafından elde edilmesi halinde bu durumu ilgili kişiye ve Kişisel Verileri Koruma Kurulu’na bildirmek için buna uygun bir sistem ve altyapı oluşturulmaktadır.
• Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
• Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
• Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• İnternet sitesine erişimde güvenli protokol (HTTPS) kullanılarak site SHA 256 Bit RSA algoritmasıyla şifrelenmektedir.
• Özel nitelikli kişisel verilerin güvenliğine yönelik ayrı politika belirlenmektedir.
• Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmekte, gizlilik sözleşmeleri yapılmakta, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmaktadır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar kriptografik yöntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar güvenli ortamlarda tutulmakta, tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testleri düzenli olarak yapılmakta/yaptırılmakta, test sonuçları kayıt altına alınmaktadır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamlarda yeterli güvenlik önlemleri alınmakta, fiziksel güvenlik sağlanarak yetkisiz giriş çıkışlar engellenmektedir.
• Özel nitelikli kişisel verilerin e-posta yoluyla aktarılması gerekiyorsa şifreli olarak kurumsal e-posta adresiyle veya KEP hesabı kullanılarak aktarılmaktadır. Taşınabilir bellek, CD, DVD gibi ortamlar yoluyla aktarılması gerekiyorsa kriptografik yöntemlerle şifrelenmekte ve kriptografik anahtar farklı ortamda tutulmaktadır. Farklı fiziksel ortamlardaki sunucular arasında aktarma gerçekleştirilecekse, sunucular arasında VPN kurularak veya sFTP yöntemiyle veri aktarımı gerçekleştirilmektedir. Kağıt ortamı yoluyla aktarım gerekiyorsa evrakın çalınması, kaybolması ya da yetkisiz kişiler tarafından görülmesi gibi risklere karşı gerekli önlemler alınmakta ve evrak “gizli” formatta gönderilmektedir.

8.2 İDARİ TEDBİRLER

AloTech, kişisel verilerin saklanması ve imha edilmesine ilişkin olarak Kanun ve Yönetmelik kapsamında yükümlülüklerini yerine getirebilmek adına aşağıda belirtilen idari tedbirleri almış bulunmaktadır.

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
• Gizlilik taahhütnameleri yapılmaktadır.
• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
• Kişisel veri güvenliğinin takibi yapılmaktadır.
• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
• Kişisel veriler mümkün olduğunca azaltılmaktadır.
• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
• Mevcut risk ve tehditler belirlenmiştir.
• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

9. POLİTİKA’NIN UYGULANMASI VE SÜRECİN TAKİBİ

AloTech’in, işbu Politika uyarınca ilgili kişilerin verilerinin Kanun ve Yönetmelik’e uygun olarak işlenmesi, saklanması ve imhasına yönelik gerekli işlemleri yapmak/yaptırmak ve süreçleri yönetmek üzere görevlendirdiği kişiler aşağıdaki gibidir.

10. İLGİLİ KİŞİNİN HAKLARI

İlgili kişi, Kanun’un 11. maddesi uyarınca AloTech’e başvurarak;

• a. Kişisel verilerinin işlenip işlenmediğini öğrenme,
• b. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
• c. Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
• d. Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme,
• e. Kişisel verilerinin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
• f. Amaç, süre ve meşruiyet prensipleri dâhilinde değerlendirilmek üzere kişisel verilerinin işlenmesini gerektiren sebeplerin ortadan kalkması halinde silinmesini veya yok edilmesini isteme,
• g. Kişisel verilerinin düzeltilmesi, silinmesi ya da yok edilmesi halinde bu işlemlerin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
• h. İşlenen kişisel verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi durumunda aleyhinize bir sonucun ortaya çıkması hâlinde bu sonuca itiraz etme,
• i. Kişisel verilerinin kanuna aykırı olarak işlenmesi ve bu sebeple zarara uğraması hâlinde zararın giderilmesini talep etme

haklarına sahiptir.

AloTech nezdinde tutulan kişisel verilerin güncellenmesi, düzeltilmesi ve kişisel veriler ile ilgili diğer her türlü soru, talep ve görüşler için https://alotech.com.tr/basvuru-formu adresinde yer alan AloTech İlgili Kişi Başvuru Formu’nda düzenlenen yöntemlerle AloTech’e her zaman ulaşılabilmektedir. Başvurular, AloTech’e iletilmesinin akabinde en kısa sürede ve en geç 30 (otuz) gün içerisinde değerlendirilerek sonuçlandırılmaktadır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, AloTech’in Kurul tarafından belirlenen tarife üzerinden ücret talep etme hakkı saklıdır.

Policy on the Processing, Storage, and Destruction of Personal Data

AloTech, with this Policy on the Processing, Storage, and Destruction of Personal Data (“Policy”) published at https://alotech.com.tr/kisisel-verilerin-islenmesi-politikasi, declares that it is responsible as a data controller under the Law on the Protection of Personal Data No. 6698.

AloTech places great importance on the processing and preservation of your personal data in accordance with the Law on the Protection of Personal Data No. 6698 and other relevant legislation. With this awareness, AloTech processes and preserves personal data in compliance with the legislation to fulfill its legal obligations and carry out activities consistent with its field of business.

1. Purpose and Scope

The purpose of this Policy is to explain the principles adopted by AloTech for the processing and protection of personal data in accordance with the Law, and its storage and destruction in accordance with the Regulation, and the methods to be followed in this context.

This Policy applies to all activities managed by AloTech regarding the processing, protection, storage, and destruction of all personal data processed by AloTech through fully or partially automated means or non-automated means provided that they are part of a data recording system. This includes, but is not limited to, personal data belonging to officials, employees, former employees, employee candidates, interns, visitors of AloTech and its affiliated group(s), other companies, direct and indirect subsidiaries and affiliates, as well as officials and employees of collaborating institutions and organizations, and third parties from whom services are procured or to whom services are provided in relation to its field of business, both domestically and internationally.

2. Principles Regarding the Processing and Transfer of Personal Data

2.1 Principles Underlying the Processing of Personal Data

AloTech processes personal data within the scope of this Policy in accordance with the following general principles, pursuant to Article 4 of the Law.

• Compliance with the law and principles of fairness
• Being accurate and up-to-date when necessary
• Processing for specific, explicit, and legitimate purposes
• Being relevant, limited, and proportionate to the purpose for which they are processed
• Being retained for the period stipulated by relevant legislation or required for the purpose for which they are processed

2.2 Conditions for Processing Personal Data

AloTech processes personal data with the explicit consent of the data subject. It is also possible for AloTech to process personal data without the explicit consent of the data subject in the cases specified under Article 5 of the Law, namely: (i) it is expressly provided for by the laws, (ii) it is necessary for the protection of life or physical integrity of the person or of any other person who is bodily incapable of giving his consent or whose consent is not legally valid, (iii) processing of personal data of the parties of a contract is necessary, provided that it is directly related to the establishment or performance of the contract, (iv) it is necessary for compliance with a legal obligation to which the data controller is subject, (v) the data has been made public by the data subject himself/herself, (vi) data processing is necessary for the establishment, exercise or protection of any right, (vii) processing of data is necessary for the legitimate interests of the data controller, provided that it does not harm the fundamental rights and freedoms of the data subject.

AloTech does not process special categories of personal data without the explicit consent of the data subject. However, it is possible to process the data subject’s race, ethnic origin, political opinion, philosophical belief, religion, sect or other beliefs, appearance and dress, membership in associations, foundations or unions, criminal convictions and security measures, as well as biometric and genetic data without the explicit consent of the data subject in cases prescribed by law.

2.3. Purposes of Processing Personal Data

Personal data is processed by AloTech for the following purposes in accordance with the principles and conditions specified in Articles 2.1 and 2.2 of this Policy.

A – Within the scope of job applications, planning and monitoring human resources processes for employee candidates and interns, carrying out candidate/intern selection and placement processes, executing application processes for employee candidates, planning human resources processes, and conducting talent/career development activities,

B – Within the scope of Human Resources processes, carrying out procedures related to the payroll and personal rights of employees and interns, making legal notifications, monitoring health insurance processes, planning employee rights and benefits, conducting employee satisfaction and loyalty processes, fulfilling contractual and legal obligations, executing fringe benefits and interests processes, conducting performance evaluation processes, conducting talent/career development activities, determining salary policies, executing assignment processes, monitoring work and residence permit processes for foreign personnel, and providing information to authorized persons, institutions, and organizations,

C – Within the scope of planning and executing activities necessary for recommending and promoting the products and services offered by customizing them according to the tastes, usage habits, and needs of third parties, planning and/or executing customer satisfaction activities, planning and/or executing market research and marketing activities and processes related to products and services, and planning and/or executing relevant processes to obtain the maximum benefit from the products or services offered,

D – Within the scope of the work carried out by the relevant business units to enable third parties to benefit from the products and services offered by AloTech and the execution of related business processes, planning and/or executing the sales processes of products and/or services, planning and/or executing after-sales support services, planning and/or executing customer relationship management processes, tracking customer requests and complaints, and tracking contract processes and/or legal claims,

E – Within the scope of ensuring the legal, technical, and commercial-business security of AloTech and the related persons in a business relationship with it; planning and/or executing audit activities, planning and executing necessary operational activities to ensure that activities are carried out in accordance with company procedures and/or relevant legislation, ensuring the security of operations, ensuring that data is accurate and up-to-date, and providing information to authorized institutions arising from legislation,

F – Within the scope of carrying out the necessary work by the relevant business units for the realization of commercial activities conducted by AloTech and executing the related business processes, planning, auditing, and executing information security processes, creating and managing information technology infrastructure, tracking finance and/or accounting affairs, tracking legal affairs, planning and/or executing activities for the analysis of the efficiency/productivity and/or appropriateness of business activities, planning and executing business activities, planning and executing corporate communication activities, planning and executing logistics activities, and planning and executing operational processes,

G – Within the scope of planning and executing AloTech’s commercial and/or business strategies, managing relationships with business partners, customers, and/or suppliers, executing strategic planning activities, and planning and monitoring the performance evaluation processes of business partners and/or suppliers,

H – Ensuring the security of physical premises, and ensuring the security of movable property and resources,

I – Ensuring the continuity of AloTech’s activities, carrying out finance and accounting affairs, tracking and executing legal affairs, conducting internal audit/investigation/intelligence activities, conducting communication activities, conducting management activities, organizing and managing events, and managing access authorizations.

2.4. Transfer of Personal Data

Within the scope of the services provided by AloTech and the employer-employee relationship, personal data is shared with insurance companies, service procurement and provision companies and their employees, software firms, domestic and foreign banks and financial institutions, licensed payment institutions, domestic and foreign organizations from which services are received for storing and protecting data in the cloud and similar environments, domestic and foreign organizations from which server services are received, domestic and foreign organizations from which services are received for sending commercial electronic messages, the Interbank Card Center (BKM), advertising and communication agencies, credit card service providers, payment service providers, internet service providers, mobile application and website software maintenance and support service providers, AloTech’s shareholders, other companies of the group or groups to which it is affiliated, its direct and indirect subsidiaries and affiliates, including but not limited to AloTech’s domestic and foreign business and solution partners, and third-party natural and legal persons with whom it has a contractual relationship, in line with AloTech’s field of business, limited to the information they will use within the scope of their activities.

AloTech also shares personal data with judicial, administrative, or other official authorities to whom it is legally obligated to provide information. The purpose of these data sharing activities is to provide the services offered by AloTech securely, uninterruptedly, and with high quality, and to fulfill legal obligations.

During the transfer of personal data, AloTech takes all necessary measures to ensure an appropriate level of security in accordance with the legislation to prevent the unlawful use of data and to ensure its preservation.

3. Categorization of Personal Data

AloTech may process the personal data of the data subject, which clearly belongs to an identified or identifiable natural person, partially or fully automatically, or non-automatically as part of a data recording system, in accordance with the principles and conditions specified in Articles 2.1 and 2.2 of this Policy.

AloTech processes the personal data of data subjects—including primarily its employees, former employees, employee candidates, interns, visitors, employees and officials of collaborating institutions and organizations, and third parties from whom it procures or provides services related to its field of business—within the framework of employer-employee relationships, service relationships, and AloTech’s business activities and contracts, in the following categories:

• Identity
• Contact
• Personnel
• Legal Transaction
• Physical Space Security
• Transaction Security
• Finance
• Professional Experience
• Visual and Auditory Records
• Health Information
• Race and Ethnic Origin
• Religion
• Criminal Conviction

4. Purposes and Reasons for Storing Personal Data

AloTech stores the personal data covered by this Policy for the purposes stated in Article 2.3 of this Policy, due to the obligations imposed on it by the Constitution of the Republic of Turkey and the relevant laws, regulations, statutes, and all other legal legislation, as well as the relevant legal regulations to which the group or groups it is affiliated with and its direct and indirect subsidiaries and affiliates are subject.

5. Environments Where Personal Data is Stored

AloTech stores personal data in a suitable recording medium in accordance with the type and nature of the relevant data, in line with the principles and conditions specified in the Law and Regulation, and the obligations imposed on it as a data controller under the legislation, primarily the Law and Regulation.

In this context, AloTech securely stores personal data physically in printed media, primarily paper; and digitally in electronic environments such as databases, cloud environments, e-mail, websites, software, computers, mobile devices, CDs, DVDs, and flash drives.

6. Destruction of Personal Data

6.1 Purposes and Reasons for the Destruction of Personal Data

AloTech destroys the personal data it processes, either ex officio or upon the request of the data subject, by deleting, destroying, or anonymizing it in accordance with the periods specified in this Policy, in cases where the reasons requiring its processing cease to exist, pursuant to the Law and Regulation.

In this context:

a. Amendment or repeal of the relevant legislative provisions that form the basis for processing personal data,

b. The contract between the parties was never established, is not valid,

c. The contract terminates automatically, is terminated, or is rescinded,

d. The purpose requiring the processing of personal data ceases to exist,

e. It is determined that the processing of personal data is unlawful or contrary to the principle of fairness,

f. In cases where the processing of personal data is based solely on explicit consent, the data subject withdraws their consent,

g. The data controller accepts the application made by the data subject regarding the personal data processing activity within the framework of their rights in paragraphs (e) and (f) of Article 11(1) of the Law,

h. The data controller rejects the application made by the data subject for the deletion or destruction of their personal data, finds the response insufficient, or does not respond within the period prescribed by the Law; a complaint is filed with the Board and this request is found to be appropriate by the Board,

i. The maximum period for retaining personal data has passed, and there are no conditions that justify retaining the personal data for a longer period,

j. The conditions requiring the processing of personal data in Articles 5 and 6 of the Law cease to exist,

personal data will be destroyed by AloTech by deleting

For updating, correcting personal data held by AloTech, and for any other questions, requests, and opinions regarding personal data, AloTech can always be reached through the methods set out in the AloTech Data Subject Application Form available at https://alotech.com.tr/basvuru-formu. Applications are evaluated and concluded as soon as possible and within 30 (thirty) days at the latest after being communicated to AloTech. However, if the transaction requires an additional cost, AloTech reserves the right to charge a fee based on the tariff determined by the Board.