KİŞİSEL VERİLERİN İŞLENMESİ GİZLİLİK PROTOKOLÜ

Ateş Tur Otobüs İşletmesi San. ve Tic. A.Ş.’de, Kişisel Verilerin Korunması Kanunu’na uygun olarak kişisel verilerin hukuka aykırı biçimde elde edilmesini, işlenmesini ve bu verilere erişilmesini önlemek amaçlanmaktadır.

Belirli, meşru ve açık amaçlar doğrultusunda işlenen kişisel veriler üzerinde gerekli organizasyonel, teknik, idari ve teknolojik önlemlerin alınmasını sağlamak protokolün temel amacıdır.

Bu protokol; şirketimizde Kişisel Verilerin Korunması Kanunu’na uygun olarak alınmış, işlenmiş veya işlenmekte olan kişisel verilerin, dijital ya da fiziksel ortamda kayıtlı olmasına bakılmaksızın, tüm mekân ve ortamlardaki güvenliğinin sağlanmasını kapsar.

1. Şirketimizde Kişisel Veri Güvenliği Yönetim Sistemi kurulmuştur. Her çalışan, kişisel veri ve bilgi güvenliği kurallarına uygun çalışmaktan sorumludur. Kurallara aykırı durumlarda “Bilgi Güvenliği Olay İhlal Formu” doldurularak kurumun veri güvenliğine katkı sağlanır.
2. Ateş Tur; Kişisel Verilerin Korunması Kanunu ve Kişisel Verileri Koruma Kurumu düzenlemelerine uygun çalışmak amacıyla gerekli politika, prosedür, talimat ve formları geliştirir. Yönetilebilir sistemin kurulması, denetlenmesi ve iyileştirilmesi için Veri Sorumlusu sıfatıyla Yönetim Kurulu, Kişisel Verileri Koruma Komitesi ve Veri Sorumlusu İrtibat Kişisi atar.
3. Kişisel verilerin kurum tarafından hazırlanan KVKK politika ve prosedürlerine uygun biçimde korunmasından, ilgili sürece dâhil olan tüm çalışanlar müteselsilen sorumludur.
4. Kişisel veriler; organizasyonel, idari, teknik ve teknolojik imkânlar ile uygulamalar kullanılarak korunur. İç ve dış denetimler yoluyla güvenlik sıkılaştırması düzenli olarak gerçekleştirilir.
5. Bilgi ve kişisel veri güvenliğinin sağlanması için konusunda deneyimli, teknik tecrübeye sahip uzmanlar istihdam edilir veya alanında uzman bir kurumla çalışılır.
6. Ateş Tur çalışanları; kişisel veriler, özel nitelikli kişisel veriler, verilerin korunması ve hukuka uygun işlenmesi konularında bilinçlendirme eğitimleri alır. KVKK/GDPR Komitesi ile Veri Sorumlusu İletişim Temsilcisi’ne KVKK konusunda teknik eğitimler verilir.
7. Şirketimizde kişisel verilere erişim yetkilendirmeye tabidir. Erişim ihtiyacı bulunan çalışanlar için gerekli KVK prosedürleri işletilir. Bu prosedürlerin oluşturulması ve uygulanmasından Veri Sorumlusu İrtibat Kişisi ile KVKK/GDPR Komitesi müteselsilen sorumludur.
8. Ateş Tur çalışanları kişisel verilere yalnızca kendilerine tanımlanan yetki dâhilinde ve ilgili KVKK prosedürüne uygun olarak erişebilir. Sehven fazladan yetki tanımlanması hâlinde bunu bildirmek çalışanın sorumluluğundadır. Yetki aşımıyla gerçekleştirilen erişim ve işleme hukuka aykırı olup iş akdinin haklı nedenle feshine sebep olabilir.
9. Kişisel veri güvenliğinin ihlali, yetkisiz erişim, özel nitelikli kişisel verilerin ifşası veya yeterli güvenliğin sağlanmadığı şüphesi oluşursa çalışan durumu derhâl Bilgi Güvenliği Olay İhlal Formu aracılığıyla Veri Sorumlusu İletişim Temsilcisi’ne bildirir. Her ihlal şüphesi ilgili görevliler aracılığıyla KVKK/GDPR Komitesi’ne iletilir.
10. Kişisel verilerin alınması, işlenmesi, güvenliğinin sağlanması, güncellenmesi, silinmesi ve anonim hâle getirilmesi gibi işlemlere ilişkin ayrıntılı KVKK politika, prosedür, talimat ve formları Veri Sorumlusu Temsilcisi ile Komite tarafından oluşturulur.
11. Kendisine kurum mobil cihazı tahsis edilen her çalışan Ayrıcalıklı Haklar Tablosu’na alınır. Çalışanlar, kendi kullanımlarına tahsis edilen mobil cihazların güvenliğinden sorumludur.
12. Ateş Tur çalışanları kendi sorumluluk alanlarındaki fiziki dosyaların güvenliğinden sorumludur. Dosyalar, Temiz Masa Temiz Ekran Politikası’na uygun biçimde korunur.
13. Kişisel verilerin güvenliği için talep edilen veya sonradan talep edilecek ek güvenlik önlemlerine tüm çalışanlar uymak ve bu önlemlerin sürekliliğini sağlamakla yükümlüdür.
14. Ateş Tur, Kişisel Verilerin Korunması Kanunu’na uyum için gerekli yazılım ve teknolojik önlemleri alır. Firewall, antivirüs, UTM, Sandbox, HoneyPot, DLP, şifreleme ve veri karartma çözümlerini kurum bütçesi ile önceliklerine uygun biçimde hayata geçirir; zafiyet taramaları, sızma ve penetrasyon testleri gerçekleştirir.
15. Şirketimizde iş sürekliliği esastır. Verilerin ve kişisel verilerin kaybolmasını, zarar görmesini veya bütünlüğünün bozulmasını önlemek amacıyla yedekleme programları kullanılır ve yeterli güvenlik önlemleri alınır.
16. Ateş Tur’da kişisel verilerin yer aldığı belgeler dijital ve fiziksel ortamlarda korunur. Kişisel veriler ortak alanlarda veya masaüstünde saklanmaz; ilgili dosya ve klasörler masaüstüne ya da ortak klasöre taşınmaz. KVKK/GDPR Komitesi, Veri Sorumlusu İletişim Temsilcisi ve ilgili BT yöneticisinin önceden yazılı onayı olmadan bilgisayarlardaki bilgiler USB ve benzeri aygıtlara aktarılamaz veya kurum dışına çıkarılamaz.
17. KVKK/GDPR Komitesi, Yönetim Kurulu ile birlikte kurum bünyesindeki kişisel verilerin korunmasına yönelik teknik ve idari önlemleri almak; gelişmeleri ve faaliyetleri izlemek; gerekli politika, prosedür, talimat ve formları Yönetim Kurulu onayına sunmak; onaylanan düzenlemeleri duyurmak, uygulanmasını sağlamak ve denetlemekle yükümlüdür. Komite ve Veri Sorumlusu İletişim Temsilcisi, çalışanların farkındalığını artıracak eğitimlerin düzenlenmesini sağlar.
18. Bir departmanın özel nitelikli kişisel veri işlemesi hâlinde ilgili departman, Komite tarafından bu verilerin önemi, güvenliği ve gizliliği hakkında bilgilendirilir ve Komite talimatlarına uygun hareket eder. Erişim yetkisi yalnızca sınırlı sayıdaki çalışana verilir; yetkili çalışanların listesi ve takibi Komite tarafından yapılır.
19. Şirketimizde işlenen özel nitelikli kişisel verilerin tamamı “Gizli Bilgi” kabul edilir. Özel nitelikli kişisel verilerin kâğıt üzerinde bulunması hâlinde dosyanın ilk sayfasına beyaz A4 üzerine kırmızı renkte “KVKK/GDPR Kişisel Veri Gizlidir” kaşesi vurulur.
20. Şirket çalışanları, kişisel verilerin güvenliği ve gizliliğine ilişkin yükümlülüklerinin iş ilişkisinin sona ermesinden sonra da devam edeceği konusunda bilgilendirilir ve çalışanlardan bu kurallara uyacaklarına dair taahhüt alınır.
21. Ateş Tur’da kişisel veri güvenliği konusunda güvenlik sıkılaştırması uygulanır. KVKK/GDPR uyumunun sağlanması amacıyla her yıl bağımsız bir göz tarafından denetim gerçekleştirilir ve rapor hazırlanır. Rapor KVKK/GDPR Komitesi’ne iletilir ve Komite tarafından üst yönetime sunulur.
22. Her yıl gerçekleştirilen KVKK/GDPR kişisel veri güvenliği iç tetkiklerinde sorulacak KVKK soruları ayrı bir liste hâlinde iç tetkikçilere verilir. İç tetkikçiler, tetkik öncesi eğitimlerde KVKK konusunda bilgilendirilir.
23. İç tetkiklerde tespit edilen KVKK uygunsuzlukları KVKK/GDPR Komitesi ile Veri Sorumlusu İletişim Temsilcisi’ne iletilir ve uygunsuzlukların giderilmesi sağlanır.
24. Ateş Tur, Kişisel Veri Güvenliği Taahhütnamesi gereği veri işleyen sıfatına sahip kurumları denetleyebilir. Denetimde iç tetkikçiler, Komite üyeleri ve kurumun bilgi güvenliği danışmanı bulunabilir. Denetim sonuç raporu KVKK/GDPR Komitesi’ne sunulur.
25. Kurumumuz, veri işleyen sıfatına sahip kurumlarda uygunsuzluk tespit ederse KVKK/GDPR Komitesi’ni derhâl toplantıya davet eder ve tespit edilen uygunsuzluklara karşı gerekli aksiyonların alınmasını sağlar.
26. Ateş Tur’da bilgi güvenliği veya kişisel veri güvenliğini ihlal eden çalışanlar hakkında kurumsal düzenlemeler, yönetmelikler ve yasal mevzuata uygun olarak disiplin, soruşturma ve adli işlemler uygulanır.
27. Veri minimizasyonu için gerekli önlemler alınır; çalışanlar konu hakkında yılda iki kez e-posta yoluyla periyodik olarak uyarılır.

KVKK/GDPR Komitesi

Kişisel Veri Yönetimi ve Güvenliği Prosedürü’nün geliştirilmesinden; politikanın yayımlanması, güncellenmesi ve kurum içerisinde yayılımının sağlanmasından sorumludur.

Veri Sorumlusu İrtibat Kişisi

Dokümanın düzenlenmesi ve revize edilmesinden; KVKK ile ilgili iç tetkik sorularının hazırlanması ve iç tetkikçilerin eğitilmesinden sorumludur.

İç Tetkikçiler

Kişisel verilerin korunmasına ilişkin soruları iç denetim sırasında sormaktan ve tespitleri ilgili birimlere iletmekten sorumludur.

Tüm Yöneticiler

İç tetkik sonuçlarının takibi ve iyileştirilmesinden; kişisel verilerin yasalara uygun biçimde alınması, işlenmesi, güncellenmesi, korunması ve gerektiğinde silinmesi veya yok edilmesinden sorumludur.

Çalışanlar

Kişisel verilerin yasalara uygun biçimde alınması, işlenmesi, güncellenmesi ve korunmasından; KVKK ile ilgili tüm kurumsal politikalara uygun çalışmak ve davranmaktan sorumludur.