Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. GİRİŞ

Kişisel verilerin korunması, Tarfin Otomotiv ve Ticaret Anonim Şirketi'nin ("Şirket") öncelikli konuları arasındadır. İşbu Kişisel Verilerin Korunması ve İşlenmesi Politikası ("Politika"), Şirket tarafından gerçekleştirilen kişisel veri işleme faaliyetlerinde 6698 sayılı Kişisel Verilerin Korunması Kanunu ("Kanun") ve ikincil mevzuat ile Kişisel Verileri Koruma Kurulu ("Kurul") kararları (hepsi birlikte "Veri Koruma Mevzuatı") uyum kapsamında benimsenen temel ilke ve esasları belirlemek amacıyla hazırlanmıştır.

Şirket, kişisel verilerin hukuka uygun olarak işlenmesi, korunması ve ilgili kişilerin haklarının gözetilmesi için gerekli idari ve teknik tedbirleri almaktadır.

2. AMAÇ

Politika'nın amacı; Şirket tarafından gerçekleştirilen kişisel veri işleme ve aktarma faaliyetlerine ilişkin ilke ve esasları belirlemek, bu faaliyetlerin Veri Koruma Mevzuatı'na uygun şekilde yürütülmesini sağlamak ve ilgili kişileri Şirket'in kişisel veri işleme faaliyetleri hakkında bilgilendirmektir.

3. KAPSAM

Politika, Şirket tarafından tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilere uygulanır.

Bu kapsamda Politika; Şirket'in müşterileri, potansiyel müşterileri, çalışanları, çalışan adayları, stajyerleri, hissedarları, yetkilileri, ziyaretçileri, tedarikçileri, iş ortakları ile bunların çalışan ve yetkilileri ve Şirket ile herhangi bir hukuki veya fiili ilişki içinde bulunan diğer gerçek kişilere ait kişisel verileri kapsar.

4. TANIMLAR

Politika'da ayrıca tanımlanmayan kavramlar bakımından Veri Koruma Mevzuatı'nda yer alan tanımlar esas alınır.

5. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

5.1. Kişisel Verilerin Güvenliğinin Sağlanması

Şirket, kişisel verilerin hukuka aykırı olarak işlenmesini ve kişisel verilere hukuka aykırı olarak erişilmesini önlemek ile kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik Ek 1'de yer alan idari ve teknik tedbirleri alır.

Şirket, kişisel veri güvenliğine ilişkin tedbirlerin uygulanmasını takip eder, gerekli denetimleri yapar veya yaptırır ve tespit edilen risklerin giderilmesi için gerekli önlemleri alır.

5.2. Özel Nitelikli Kişisel Verilerin Korunması

Şirket, özel nitelikli kişisel verilerin korunmasında, bu verilerin niteliğini ve işlenmelerinden kaynaklanabilecek riskleri dikkate alarak gerekli özeni gösterir.

Şirket, özel nitelikli kişisel verilere erişimi görev ve yetkiyle sınırlandırır ve bu verilerin işlenmesi, saklanması ve aktarılması sırasında Kurul tarafından belirlenen yeterli önlemler dâhil olmak üzere Ek 1'de yer alan idari ve teknik tedbirleri uygular.

5.3. Kişisel Verilerin Korunması Komitesi ve Farkındalık Faaliyetleri

Şirket bünyesinde, kişisel verilerin korunması ve işlenmesine ilişkin süreçlerin Veri Koruma Mevzuatı'na uygun şekilde yürütülmesini sağlamak ve bu kapsamdaki çalışmaları koordine etmek üzere Kişisel Verilerin Korunması Komitesi oluşturulur.

Şirket, çalışanlarının kişisel verilerin korunması konusunda farkındalıklarının artırılması amacıyla gerekli bilgilendirme ve eğitim faaliyetlerini yürütür. Eğitimlerin içeriği ve tekrarlanma sıklığı; çalışanların görevleri, eriştikleri kişisel verilerin niteliği, mevcut riskler ve Veri Koruma Mevzuatı'ndaki gelişmeler dikkate alınarak belirlenir.

6. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

6.1. Kişisel Verilerin Genel İlkelere Uygun Olarak İşlenmesi

Şirket, kişisel verilerin işlenmesinde aşağıdaki ilkelere uygun hareket eder:

• Hukuka ve dürüstlük kurallarına uygun olma
• Doğru ve gerektiğinde güncel olma
• Belirli, açık ve meşru amaçlar için işlenme
• İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma
• Veri Koruma Mevzuatı'nda öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme

6.2. Kişisel Verilerin İşlenme Şartları

Şirket, kişisel verileri, aşağıdaki işleme şartlarından en az birinin bulunması hâlinde işler:

• İlgili kişinin açık rızasının bulunması
• Kişisel verilerin işlenmesinin kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatının veya beden bütünlüğünün korunması için kişisel verilerin işlenmesinin zorunlu olması
• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• Şirket'in hukuki yükümlülüklerini yerine getirebilmesi için kişisel verilerin işlenmesinin zorunlu olması
• Kişisel verilerin ilgili kişinin kendisi tarafından alenileştirilmiş olması
• Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin işlenmesinin zorunlu olması
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Şirket'in meşru menfaatleri için kişisel verilerin işlenmesinin zorunlu olması

Şirket, her bir kişisel veri işleme faaliyeti bakımından uygulanabilir işleme şartını belirler. Açık rıza dışındaki işleme şartlarından birinin mevcut olduğu hâllerde kişisel veri işleme faaliyeti ayrıca açık rızaya dayandırılmaz.

6.3. Özel Nitelikli Kişisel Verilerin İşlenmesi

Şirket, özel nitelikli kişisel verileri, işbu Politika'da belirtilen ilkelere uygun olarak, Kurul tarafından belirlenen yeterli önlemleri almak kaydıyla ve aşağıdaki şartlardan en az birinin bulunması hâlinde işler:

• İlgili kişinin açık rızasının bulunması
• İşlemenin kanunlarda açıkça öngörülmesi
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatının veya beden bütünlüğünün korunması için işlemenin zorunlu olması
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması
• Bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu olması
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için işlemenin zorunlu olması
• Kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesinin gerekli olması
• Siyasi, felsefi, dinî veya sendikal amaçlarla kurulmuş vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına ya da bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması

6.4. İlgili Kişilerin Aydınlatılması

Şirket, kişisel verilerin elde edilmesi sırasında ilgili kişileri Veri Koruma Mevzuatı'na uygun şekilde aydınlatır.

Bu kapsamda ilgili kişilere; Şirket'in kimliği, kişisel verilerin işlenme amaçları, kişisel verilerin kimlere ve hangi amaçlarla aktarılabileceği, kişisel veri toplamanın yöntemi ve hukuki sebebi ile Kanun kapsamında sahip oldukları haklar hakkında bilgi verilir.

Aydınlatma yükümlülüğü, kişisel verilerin elde edildiği kanala ve ilgili kişi grubuna uygun yöntemlerle yerine getirilir.

7. KİŞİSEL VERİLERİN AKTARILMASI

7.1. Kişisel Verilerin Yurt İçinde Aktarılması

Şirket, kişisel verileri ilgili kişinin açık rızasının bulunması hâlinde yurt içinde üçüncü kişilere aktarabilir.

İlgili kişinin açık rızası bulunmasa dahi kişisel veriler, Politika'nın 6.2. maddesinde belirtilen açık rıza dışındaki işleme şartlarından birinin bulunması hâlinde aktarılabilir. Özel nitelikli kişisel veriler ise Politika'nın 6.3. maddesinde belirtilen açık rıza dışındaki işleme şartlarından birinin bulunması ve Kurul tarafından belirlenen yeterli önlemlerin alınması kaydıyla aktarılabilir.

7.2. Kişisel Verilerin Yurt Dışına Aktarılması

Şirket, kişisel verileri yurt dışına ancak Politika'nın 6.2. ve 6.3. maddelerinde belirtilen işleme şartlarından en az birinin bulunması ve aşağıdaki şartlardan birinin sağlanması hâlinde aktarabilir:

• Aktarım yapılacak ülke, ülke içerisindeki sektör veya uluslararası kuruluş hakkında yeterlilik kararının bulunması
• Yeterlilik kararının bulunmaması hâlinde, ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması ve aşağıdaki uygun güvencelerden birinin sağlanması:
  • Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye'deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında uluslararası sözleşme niteliğinde olmayan bir anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi
  • Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı
  • Kurul tarafından ilan edilen standart sözleşmenin varlığı
  • Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi
• Yeterlilik kararının ve uygun güvencelerden birinin bulunmadığı hâllerde, yalnızca arızi olmak kaydıyla Veri Koruma Mevzuatı'nda belirtilen istisnai aktarım hâllerinden birinin mevcut olması

Şirket, yurt dışına kişisel veri aktarımı yapılması hâlinde Veri Koruma Mevzuatı kapsamında öngörülen bildirim, izin ve diğer usuli yükümlülükleri yerine getirir.

8. İLGİLİ KİŞİLERİN HAKLARI

İlgili kişiler aşağıda listelenen haklara sahiptir:

• Kişisel verilerinin işlenip işlenmediğini öğrenme
• Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
• Kişisel verilerinin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme
• Yurt içinde veya yurt dışında kişisel verilerinin aktarıldığı üçüncü kişileri bilme
• Kişisel verilerinin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerinizin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinin aktarıldığı üçüncü kişilere bildirilmesini isteme
• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme
• Kişisel verilerinin Kanun'a aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde bu zararın giderilmesini talep etme

İlgili kişiler belirtilen haklara ilişkin taleplerini Veri Sahibi Başvuru Formu'nu doldurarak Şirketimize yazılı olarak "Fulya Mah. Büyükdere Cad. Quasar No: 76 İç Kapı No: 134 Şişli/İstanbul" açık adresimiz üzerinden veya legal@tarfinflex.com e-posta adresimiz veya tarfinotomotiv@hs01.kep.tr KEP adresimiz kanalıyla yahut Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de öngörülen sair yöntemleri kullanmak suretiyle Şirketimize iletebilirler. Bu kapsamdaki talepler, mümkün olan en kısa sürede ve en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılacaktır; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ ile belirlenen tarifeye göre ilgili kişilerden ücret talep edilebilecektir.