Kişisel Veri Saklama ve İmha Politikası

I. VERİ SAKLAMA VE İMHA TAAHHÜDÜ

İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. nezdinde, 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun 7. Maddesi uyarınca oluşturulan ilgili Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik doğrultusunda ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. içerisinde ve/veya ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan uyulması gereken esasları belirleyecektir.

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., bünyesinde bulundurduğu, tamamen veya kısmen otomatik olan ya da herhangi bir kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin silinmesi, yok edilmesi veya anonimleştirilmesi sırasında işbu Politika’ya ve Politika’ya bağlı olarak uygulanacak araç, program ve süreçlere uygunluk sağlayacağını taahhüt eder. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş, işbu politika ile kişisel veri bulunan aşağıda belirtilen ortamlardaki ve belirtilen ortamlara ek ortaya çıkabilecek tüm ortamlardaki kişisel verileri kapsamayı kabul eder.

• ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. adına kullanılan bilgisayarlar/sunucular
• Ağ cihazları,
• Ağ üzerinde veri saklanması için kullanılan paylaşımlı/paylaşımsız disk sürücüleri
• Bulut sistemleri,
• Mobil telefonlar ve içerisindeki tüm saklama alanları,
• Kâğıt,
• Mikrofiş,
• Yazıcı, Parmak izi okuyucu gibi çevre birimler,
• Manyetik bantlar,
• Optik diskler,
• Flash hafizalar.

II. POLİTİKA’NIN KAPSAMI

İşbu Politika; ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin kişisel verileri işlediği herhangi bir sürece dâhil olan tüm departmanlarını, çalışanlarını ve 3. partileri kapsamaktadır.

İşbu Politika; ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin kişisel veriler üzerinde uygulayacağı tüm imha faaliyetlerini kapsayacak olup, her türlü imha gereksinimi sonucunda uygulanacaktır.

İşbu Politika kişisel veri olmayan veriler hakkında uygulanmayacaktır. Konuyla alakalı yeni mevzuatlar ile belirlenmesi veya ilgili mevzuatın güncellenmesi durumunda, ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. politikasını ilgili mevzuatlara uyumlu olacak şekilde güncelleyerek mevzuat gerekliliklerine uyacaktır.

İşbu Politika’nın ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan uygulanmasında hukuki bir engel olduğuna kanaat getirildiği durumlarda ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. uygulayacağı adımları, gerek görülmesi durumunda Kurul’a da danışarak, yeniden belirleyecektir.

Tanımlar:

İşbu Politika’da ve ilgili yönetmelikte geçen tanımlar şu şekilde açıklanmaktadır;

Yönetmelik: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Haline Getirilmesi Hakkında Yönetmelik’tir.

Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası

olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortama verilen addır.

Kişisel veri işleme envanteri: : Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçlarını, veri kategorilerini,

aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve detaylandırdıkları envanterdir.

Periyodik imha: Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemidir.

Sicil: Başkanlık tarafindan tutulan veri sorumluları sicilidir.

Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemidir

Doğrudan tanımlayıcılar: Tek başlarına, ilişki içinde oldukları kişiyi doğrudan açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcılardır.

Dolaylı tanımlayıcılar: Diğer tanımlayıcılar ile bir araya gelerek ilişki içinde oldukları kişiyi açığa çıkaran, ifşa eden ve ayırt edilebilir kılan tanımlayıcılardır.

İlgili kişi: Kişisel verisi işlenen gerçek kişidir.

İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen gerçek veya tüzel kişilerdir. Kişisel Verilerin Korunması Politikası içerisinde bulunan tanımlar işbu Politika için de geçerlidir.

III. KİŞİSEL VERİ İŞLEME ŞARTLARINI ORTADAN KALDIRAN HALLER

Kişisel verilerin işlenmesi ile ilgili hüküm ve esaslar ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin Kişisel Verilerin Korunması Politikası içerisinde belirtilmiş olup, tüm ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. çalışanları bu politikadaki hallerden sorumludur. İşbu Veri Saklama ve İmha Politikası içerisinde Veri Saklama ve İmha dışında kalan “İşleme” konusu ilgili Kişisel Verilerin Korunması Politikası’nın bir özeti şeklindedir.

Aşağıda belirtilen kapsamda bir ihlal olması durumunda Potansiyel Güvenlik İhlali Protokolü içerisindeki ihlal durumu kabul edilerek ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan aksiyon alınacaktır.

Kanun’a Aykırılık

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., kişisel verileri Kanun’da belirtildiği şekle aykırı olarak işlemediğini taahhüt eder.

Yani ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. Kanun’un 5 ve 6. maddelerindeki kişisel verilerin işlenmesi şartlarındaki istisnalar mevcut olmadığı sürece;

1. Kanun’da belirtilen istisnalar dışında açık rızasını almadığı kişilerin kişisel verilerini saklamaz.

b) ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., özel nitelikli kişisel verileri sakladığı durumlarda, verileri ilgili Kanun’a bağlı kalarak ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin KVKK Koordinasyon Sorumluları’nın bilgisi dâhilinde işler.

Veri İşlenme Şartlarının Ortadan Kalkması

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., veri işlenme şartlarının güncelliğinden sorumludur ve bu sorumluluğunu tüm çalışanları ile paylaşır.

Çalışanlar, veri işlenme şartlarının ortadan kalktığı durumlarda veri işlemeye devam edemez. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. Bilgi Sistemleri ekibi, şartların ortadan kalktığı ortamları işbu Politika’ya uygun bir şekilde ortadan kaldırmakla yükümlüdür.

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. aşağıda listelenen ve Yönetmelik içinde de belirtilen durumlarda veri işlenme şartlarının ortadan kalktığını kabul eder (İlgili maddeler Yönetmelik’ten alınmıştır):

1. Kişisel verileri işlemeye esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
2. Taraflar arasındaki sözleşmenin hiç kurulmamış olması, sözleşmenin geçerli olmaması, sözleşmenin kendiliğinden sona ermesi, sözleşmenin feshi veya sözleşmeden dönülmesi,
3. Kişisel verilerin işlenmesini gerektiren amacın ortadan kalkması,
4. Kişisel verileri işlemenin hukuka veya dürüstlük kuralına aykırı olması
5. Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin rızasını geri alması,
6. İlgili kişinin, Kanunun 11 inci maddesinin (e) ve (f) bentlerindeki hakları çerçevesinde kişisel verileri işleme faaliyetine ilişkin yaptığı başvurunun veri sorumlusu tarafindan kabul edilmesi,
7. Veri sorumlusunun, ilgili kişi tarafindan kişisel verilerinin silinmesi veya yok edilmesi talebi ile kendisine yapılan başvuruyu reddetmesi, verdiği cevabın yetersiz bulunması veya Kanunda öngörülen süre içinde cevap vermemesi hallerinde; Kurula şikâyette bulunulması ve bu talebin Kurul tarafindan uygun bulunması,
8. Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olmasına rağmen, kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması.

IV. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ

Kişisel verilerin imhası, verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi şeklinde üç farklı şekilde sağlanabilir. İmha işlemindeki amaç, kalan veriler ile gerçek kişiye ulaşabilmenin mümkün olmamasıdır.

İşbu Politika’nın, IV bölümünde kişisel verilerin silinmesi, yok edilmesi ve anonimleştirilmesi yöntemleri sıralanacak olup, V bölümünde imha ile ilgili bilgilendirme yer alacaktır.

1. Kişisel Verilerin Silinmesi
1. Kişisel Verilerin Silinme Süreci

Silme işlemi, ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin verileri tamamen veya otomatik yollarla işlediği durumlarda yapılacaktır ve ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., kişisel verileri sildiği durumlarda, verileri hiçbir şekilde erişilemez veya tekrar kullanılamaz hale getirmelidir. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., bu işlemi yaparken verilerin hiçbir kullanıcı tarafindan erişilemez veya tekrar kullanılamaz olduğunu garanti etmelidir. Bu garanti, veri sorumlusunun sorumluluğu altındadır. Silme sırasında, silinmemesi gereken kişisel veriler de yapılan silmeden etkileniyorsa ve erişilemeyecek ve/veya kullanılamayacak hale geliyorsa ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin,

Veri Sorumlusu ve ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin KVKK Koordinasyon Sorumluları ile birlikte karar alarak uygulayabileceği aşağıdaki yöntemlerin bir arada sağlanması da silme olarak değerlendirilecektir:

1. Kişisel verilerin ilgili kişiyle ilişkilendirilemeyecek şekilde arşivlenmesi
2. Her bir kişisel veri için ilgili kullanıcıların erişim, geri getirme, tekrar kullanma gibi yetkilerinin ve yöntemlerinin kapatılması ve ortadan kaldırılması
3. Kişisel verilere yalnızca gerekli durumlarda yalnızca yetkili kişiler tarafindan erişilmesini sağlayacak şekilde gerekli her türlü teknik ve idari tedbirlerin alınması

Belirtilen silme yöntemleri, Yönetmelik’e bağlı olup, ilgili durumlarda güncellenmesi Veri Sorumlusu’nun sorumluluğundadır.

1. Kişisel Verilerin Silinme Yöntemleri

Kişisel veriler kayıtlı oldukları ortamlara uygun yöntemlerle silinmelidir.

1. Basılı Dokümanlarda Yer Alan Kişisel Veriler

Basılı dokümanlarda bulunan kişisel veriler karartma yöntemi ile silinmelidir. Karartma işlemi, ilgili evrak üzerindeki kişisel verilerin, mümkün olan durumlarda kesilmesi, mümkün olmayan durumlarda ise geri döndürülemeyecek ve teknolojik çözümlerle okunamayacak şekilde sabit mürekkep kullanılarak ilgili kullanıcılara görünmez hale getirilmesi şeklinde yapılır.

Kişisel Verilen KararPlması Örneği

3.2.2. Merkezi Sunucuda Yer Alan Ofis Dosyaları

Dosyanın işletim sistemindeki silme komutu ile silinmesi veya dosya ya da dosyanın bulunduğu dizin üzerinde ilgili kullanıcının erişim haklarının kaldırılması gerekir.

1. Taşınabilir Disk Üzerinde Bulunan Kişisel Veriler

Taşınabilir (harici) disk üzerinde bulunan kişisel veriler, şifreli olarak saklanmalı ve disk özelliğine uygun yazılımlar kullanılarak silinmelidir.

1. Veri Tabanları Üzerinde Bulunan Kişisel Veriler

Kişisel verilerin bulunduğu ilgili satırların veri tabanı komutları ile (DELETE vb.) silinmesi gerekir.

1. Kişisel Verilerin Yok Edilmesi

Yok etme işlemi, ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin verileri fiziksel kayıt ortamlarında işlediği durumlarda yapılacaktır ve ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. bu verileri tekrar geri getirilmesi ve tekrar kullanılması mümkün olmayacak hale getirmekle yükümlüdür. Bu işlemler sırasında ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. çalışanları ve ilgili departmanlar Veri Sorumlusu’na yok edilecek ilgili verileri bildirmekle yükümlüdür, sonrasında ise Veri Sorumlusu gerekli her türlü teknik ve idari tedbiri alacaktır.

1. Kişisel Verilerin Yok Edilmesi Yöntemler

Kişisel verilerin yok edilmesi için, verilerin bulunduğu tüm kopyaların tespiti ve verilerin tutulduğu sistemlere göre aşağıdaki yöntemlerden bir veya birkaçının kullanılmasıyla tek tek yok edilmesi gereklidir.

1. Yerel Sistemler Üzerindeki Kişisel Veriler
1. De-manyetize Etme

Manyetik medyanın özel bir cihazdan geçirilerek yüksek değerde manyetik alana maruz bırakılması ile üzerindeki verilerin okunamaz biçimde bozulması işlemidir.

1. Fiziksel Yok Etme

Optik medya ve manyetik medyanın eritilmesi, yakılması, toz haline getirilmesi veya metal öğütücüden geçirilmesi gibi fiziksel olarak yok edilmesi işlemidir. Katı hal diskler (SSD) gibi de- manyetize edilemeyen cihazlar için fiziksel yok etme işlemleri uygulanmalıdır.

2.1.2.3. Üzerine Yazma

Manyetik medya ve yeniden yazılabilir optik medya üzerine en az yedi kere 0 ve 1’lerden oluşan rastgele veriler yazarak eski verinin kurtarılmasının önüne geçilmesi işlemidir.

1. Çevresel Sistemler Üzerindeki Kişisel Veriler
1. Ağ cihazları (switch, router vb.)

Söz konusu cihazların silme komutları vardır ama yok etme özelliği bulunmamaktadır. (2.1.1)’de belirtilen uygun yöntemlerin bir ya da birkaçı kullanılarak yok edilmesi gerekir.

2.1.2.2. Flash tabanlı diskler

Flash tabanlı sabit disklerin ATA (SATA, PATA, vb.), SCSI ( SCSI Express vb.) ara yüzüne sahip olanları, destekleniyorsa komutunu kullanarak, desteklenmiyorsa üreticinin önerdiği yöntem ya da (2.1.1)’de belirtilen uygun yöntemleri kullanarak yok edilmesi gerekir.

1. Manyetik bant ve manyetik disk üniteleri

Manyetik bantları ve manyetik disk ünitelerini güçlü manyetik ortamlara maruz bırakıp de-manyetize ederek ya da yakma, eritme gibi fiziksel yok etme yöntemleriyle yok etmek gerekir.

1. Mobil telefonlar (Sim kart ve sabit hafıza alanları)

Mobil telefonlardaki sabit hafiza alanlarının (2.1.1)’de belirtilen uygun yöntemleri kullanarak yok edilmesi gerekir.

1. Optik diskler (CD, DVD vb.)

Optik disklerin yakma, küçük parçalara ayırma, eritme gibi fiziksel yok etme yöntemleri ile yok edilmesi gerekir.

1. Veri kayıt ortamı çıkartılabilir olan yazıcı, parmak izli kapı geçiş sistemi gibi çevre birimleri

Tüm veri kayıt ortamlarının söküldüğü doğrulanarak (2.1.1)’de belirtilen uygun yöntemlerin kullanılıp yok edilmesi gerekir.

1. Veri kayıt ortamı sabit olan yazıcı, parmak izli kapı geçiş sistemi gibi çevre birimleri

Söz konusu sistemler için (2.1.1)’de belirtilen uygun yöntemler kullanılarak yok edilme işlemi gerçekleştirilmelidir.

1. Kâğıt ve Mikrofiş Ortamları

Kalıcı ve fiziksel ortam üzerine yazılı olan kişisel verilerin yok edilmesi için ortamın kâğıt imha veya kırpma makineleri ile anlaşılmaz boyutta, mümkünse yatay ve dikey olarak, geri birleştirilemeyecek şekilde küçük parçalara bölünmesi gerekir.

1. Bulut Ortamı

Söz konusu sistemlerde yer alan kişisel verilerin depolanması ve kullanımı sırasında, kriptografik yöntemlerle şifrelenmesi ve mümkünse kişisel verilerin depolandığı her bir bulut çözümü için ayrı ayrı şifreleme anahtarları kullanılması gerekmektedir. Kişisel verilerin yok edilmesi için gerekli şifreleme anahtarlarının tüm kopyalarının yok edilmesi gerekir.

Yukarıda yer alan ortamlara ek olarak arızalanan ya da bakıma gönderilen cihazlarda yer alan kişisel verilerin yok edilmesi işlemleri ise aşağıdaki şekilde gerçekleştirilir:

1. İlgili cihazların bakım, onarım işlemi için üretici, satıcı, servis gibi üçüncü kurumlara

aktarılmadan önce içinde yer alan kişisel verilerin (2.1.1)’de belirtilen uygun yöntemleri kullanarak yok edilmesi,

1. Yok etmenin mümkün olmadığı durumlarda, veri saklama ortamının sökülerek saklanması, arızalı diğer parçaların üretici, satıcı, servis gibi üçüncü kurumlara gönderilmesi,
2. Dışarıdan bakım, onarım gibi amaçlarla gelen personelin, kişisel verileri kopyalayarak kurum dışına çıkartmasının engellenmesi için gerekli önlemlerin alınması gerekir.

3. Kişisel Verilerin Anonimleştirilmesi

Anonim hale getirme işlemi, ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin kişisel verileri tamamen veya otomatik yollarla işlediği durumlarda, bu verilerin doğrudan ve/veya dolaylı tanımlayıcılarının çıkartılarak ya da değiştirilerek, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesidir.

Kişisel verilerin anonimleştirilmesi ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. içerisinde KVKK Sorumlusu’nun görevidir. KVKK Sorumlusu, verilerin yok edilmesi için denetimi kendisi tarafindan yapılmak kaydıyla ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin farklı departmanlarından destek alabilir.

Verilerin anonimleştirilmesi sırasında ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. geri dönülemez şekilde maskeleme, tek yönlü fonksiyonlar ile şifreleme gibi yöntemler kullanılabilir. Uygulanacak yöntemin doğruluğu, Veri Sorumlusu tarafindan onaylanamıyorsa kurula danışılmalıdır.

1. Kişisel Verilerin Anonim Hale Getirilmesi Yöntemleri

Anonim hale getirme yöntemleri

1. Değer Düzensizliği Sağlamayan Anonim Hale Getirme Yöntemleri

Değer düzensizliği sağlamayan yöntemlerde kümedeki verilerin sahip olduğu değerlerde bir değişiklik ya da ekleme, çıkartma işlemi uygulanmaz, bunun yerine kümede yer alan satır veya sütunların bütününde değişiklikler yapılır. Böylelikle verinin genelinde değişiklik yaşanırken, alanlardaki değerler orijinal hallerini korurlar.

1. Değişkenleri Çıkartma

Değişkenlerden birinin veya birkaçının tablodan bütünüyle silinerek çıkartılmasıyla sağlanan bir anonim hale getirme yöntemidir. Bu yöntem değişkenin yüksek dereceli bir tanımlayıcı olması, daha uygun bir çözümün var olmaması, değişkenin hassas bir veri olması gibi sebeplerle kullanılabilir.

Değişkenleri çıkartma örneği

b. Kayıtları Çıkartma

Bu yöntemde ise veri kümesinde yer alan tekillik ihtiva eden bir satırın çıkartılması ile anonimlik kuvvetlendirilir. Genellikle çıkartılan kayıtlar diğer kayıtlarla ortak bir değer taşımayan ve veri kümesine dair fikri olan kişilerin kolayca tahmin yürütebileceği kayıtlardır.

Örneğin anket sonuçlarının yer aldığı bir veri kümesinde, herhangi bir sektörden yalnızca tek bir kişi ankete dahil edilmiş olsun. Böyle bir durumda tüm anket sonuçlarından “sektör” değişkenini çıkartmaktansa sadece bu kişiye ait kaydı çıkartmak tercih edilebilir.

Kayıtları çıkartma örneği

1. Bölgesel Gizleme

Bölgesel gizleme yönteminde de amaç veri kümesini daha güvenli hale getirmek ve tahmin edilebilirlik riskini azaltmaktır. Belli bir kayda ait değerlerin yarattığı kombinasyon çok az görülebilir bir durum yaratıyorsa ve bu durum o kişinin ilgili toplulukta ayırt edilebilir hale gelmesine yüksek olasılıkla sebep olabilecekse istisnai durumu yaratan değer “bilinmiyor” olarak değiştirilir.

Bölgesel gizleme orjinal veri kümesi

Bu sebeple; bölgesel gizleme yöntemi ile bahsedilen kaydın yaş hanesi “bilinmiyor” olarak değiştirilirse ve yeni durum elde edilirse, veri kümesine dair tahmin edilebilirlik riskinde azalma sağlanacaktır.

Bölgesel Gizleme Sonrası Veri Kümesi

1. Genelleştirme

İlgili kişisel veriyi özel bir değerden daha genel bir değere çevirme işlemidir. Kümülatif raporlar üretirken ve toplam rakamlar üzerinden yürütülen operasyonlarda en çok kullanılan yöntemdir. Sonuç olarak elde edilen yeni değerler gerçek bir kişiye erişmeyi imkânsız hale getiren bir gruba ait toplam değerler veya istatistikleri gösterir.

1. Alt ve Üst Sınır Kodlama

Alt ve üst sınır kodlama yöntemi belli bir değişken için bir kategori tanımlayarak bu kategorinin yarattığı gruplama içinde kalan değerleri birleştirerek elde edilir

Alt ve üst sınır kodlama orijinal veri kümesi

Tablodaki Gelir ve Harcamalar (Aylık) değişkenlerine ait değerler alt ve üst sınır kodlama yöntemi ile aşağıdaki şekilde değiştirilir :

• Gelir (Yıllık) : Düşük = 100.000’den küçük ve eşit değerler

Orta = 100.000 ve 120.000 arası değerler Yüksek = 120.000’den büyük ve eşit değerler

• Harcamalar (Aylık): Düşük = 10.000’den küçük ve eşit değerler

Orta = 10.000 ve 11.000 arası değerler

Yüksek = 11.000’den yüksek ve eşit değerler Bu kodlamaya göre anonim hale getirilmiş tablo aşağıdaki şekli alacaktır.

Alt ve üst sınır kodlama sonrası anonim hale getirilmiş veri kümesi

1. Global Kodlama

Global kodlama yöntemi alt ve üst sınır kodlamanın uygulanması mümkün olmayan, sayısal değerler içermeyen veya numerik olarak sıralanamayan değerlere sahip veri kümelerinde kullanılan bir gruplama yöntemidir.

Global kodlama orijinal veri kümesi

Bu veri kümesinde tek bir ilçedeki kadınların nüfusuna ait verinin meslek değişkeninde tek bir kategori elde edilebilir ve bu durumda veri daha güvenli hale getirilmiş olur.

Global kodlama sonrası meslek alanı anonim hale getirilmiş veri kümesi

g. Örnekleme

Örnekleme yönteminde bütün veri kümesi yerine, kümeden alınan bir alt küme paylaşılır. Böylelikle bütün veri kümesinin içinde yer aldığı bilinen bir kişinin açıklanan ya da paylaşılan örnek alt küme içinde yer alıp almadığı bilinmediği için kişilere dair isabetli tahmin üretme riski düşürülmüş olur.

1. Değer Düzensizliği Sağlayan Anonim Hale Getirme Yöntemleri

Değer düzensizliği sağlayan yöntemlerle mevcut değerler değiştirilerek veri kümesinin değerlerinde bozulma yaratılır. Veri kümesindeki değerler değişiyor olsa bile toplam istatistiklerin bozulmaması sağlanarak hala veriden fayda sağlanmaya devam edilebilir.

1. Mikro Birleştirme

Bu yöntem ile veri kümesindeki bütün kayıtlar öncelikle anlamlı bir sıraya göre dizilip sonrasında bütün küme belirli bir sayıda alt kümelere ayrılır. Daha sonra her alt kümenin belirlenen değişkene ait değerinin ortalaması alınarak alt kümenin o değişkenine ait değeri ortalama değer ile değiştirilir. Böylece o değişkenin tüm veri kümesi için geçerli olan ortalama değeri de değişmeyecektir.

Aşağıdaki tabloda “Gelir” sütunundaki değerlerine göre birbirine yakın olan üçerli gruplara ayrılmıştır. Her grup, içindeki değerlerin aritmetik ortalaması alınmış ve bulunan yeni değerler orijinal değerlerin yerine yazılmıştır.

Mikro birleştirme orjinal veri kümesi

• Grup 1 için mikro birleştirme sonucunda yeni değer : (25.000 + 28.000 + 37.000) / 3 = 30.000
• Grup 2 için mikro birleştirme sonucunda yeni değer : (49.000 + 56.000 + 60.000) / 3 = 55.000

Mikro birleştirme sonucu elde edilen yeni veri kümesi

1. Veri Değiş Tokuşu

Veri değiş tokuşu yöntemi, kayıtlar içinden seçilen çiftlerin arasındaki bir değişken alt kümeye ait değerlerin değiş tokuş edilmesiyle elde edilen kayıt değişiklikleridir. Bu yöntem temel olarak kategorize edilebilen değişkenler için kullanılmaktadır.

Veri değiş tokuşu orjinal veri kümesi

Söz konusu tablodan görüleceği üzere Yaş=”24”, Cinsiyet=”K”, İl=”Ankara” olan kayda ait gelir bilgisi ile Yaş=”45”, Cinsiyet=”E”, İl=”İzmir” olan kaydın gelir bilgisi birbirleriyle değiştirilmiştir. Aynı şekilde Yaş=”35”, Cinsiyet=”E”, İl=”İzmir” olan kayda ait gelir bilgisi ile Yaş=”50”, Cinsiyet=”E”, İl=”İzmir” olan kayıtların gelir bilgisi birbirleriyle değiştirilmiş ve yeni veri kümesi oluşturulmuştur.

Veri değiş tokuşu sonucu elde edilen yeni veri kümesi

1. Gürültü Ekleme

Bu yöntem ile seçilen bir değişkende belirlenen ölçüde bozulmalar sağlamak için ekleme ve çıkarmalar yapılır. Bu yöntem çoğunlukla sayısal değer içeren veri kümelerinde uygulanır. Bozulma her değerde eşit ölçüde uygulanır.

Gürültü ekleme orjinal veri kümesi

Değişkenleri için her bir kaydın değerlerine -5.000 işlemi uygulanmış

Gürültü ekleme sonucu elde edilen veri kümesi

3.3. Anonim Hale Getirmeyi Kuvvetlendirici İstatistik Yöntemler

Anonim hale getirilmiş veri kümelerinde kayıtlardaki bazı değerlerin tekil senaryolarla bir araya gelmesi sonucunda, kayıtlardaki kişilerin kimliklerinin tespit edilmesi veya Kişisel Verilerine dair varsayımların türetilebilmesi ihtimali ortaya çıkabilmektedir. Bu sebeple anonim hale getirilmiş veri kümelerinde çeşitli istatistiksel yöntemler kullanılarak veri kümesi içindeki kayıtların tekilliğini minimuma indirerek anonimlik güçlendirilebilmektedir.

Bu yöntemlerdeki temel amaç, anonimliğin bozulması riskini en aza indirerek veri kümesinden sağlanacak faydayı da belli bir seviyede tutabilmektir.

1. K-Anonimlik

K-anonimlik, bir veri kümesindeki belirli alanlarla, birden fazla kişinin tanımlanmasını sağlayarak, belli kombinasyonlarda tekil özellikler gösteren kişilere özgü bilgilerin açığa çıkmasını engellemek için geliştirilmiştir. Bir veri kümesindeki değişkenlerden bazılarının bir araya getirilerek oluşturulan kombinasyonlara ait birden fazla kayıt bulunması halinde, bu kombinasyona denk gelen kişilerin kimliklerinin saptanabilmesi olasılığı azalmaktadır.

1. L-Çeşitlilik

K-anonimliğin eksikleri üzerinden yürütülen çalışmalar ile oluşan L-çeşitlilik yöntemi aynı değişken kombinasyonlarına denk gelen hassas değişkenlerin oluşturduğu çeşitliliği dikkate almaktadır.

1. T-Yakınlık

Kişisel Verilerin, değerlerin kendi içlerinde birbirlerine yakınlık derecelerinin hesaplanması ve veri kümesinin bu yakınlık derecelerine göre alt sınıflara ayrılarak anonim hale getirilmesi sürecine T- yakınlık yöntemi denmektedir

1. SAKLAMA VE İMHA SÜRELERİ

1. Periyodik İmha ve Yasal Saklama Süreleri

Yasal saklama ve imha sürelerini dolduran fiziksel ve dijital veriler, periyodik olarak imha edilir. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., Kişisel Verileri silme, yok etme veya anonim hale getirme yükümlülüğünün ortaya çıktığı tarihi takip eden ilk periyodik imha işleminde, Kişisel Verileri siler, yok eder veya anonim hale getirir. Periyodik imha, tüm Kişisel Veriler için 6 aylık zaman aralıklarında gerçekleştirilir. Periyodik imha sırasında baz alınacak yasal saklama ve imha süreleri, ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. Kişisel Veri İşleme Envanteri’nde belirlenmiştir. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., Yönetmelik madde 11(4) kapsamında Kurul’un süreleri kısaltması durumunda, yeni sürelere uyum sağlayacağını taahhüt eder.

Silinen, yok edilen ve anonim hale getirilen verilere ilişkin işlemlerin diğer hukuki yükümlülüklerden ari en az 3 yıl süre ile saklanır. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin diğer hukuki yükümlülüklerden kaynaklanan Kişisel Veri saklama hakları saklıdır.

1. Veri Sahiplerinin Talep Etmesi Durumunda Silme ve Yok Etme Süreci

Veri sahiplerinin ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’ye başvurarak kendisine ait Kişisel Verilerin silinmesini veya yok edilmesini talep ettiği durumlarda Kişisel Verileri işleme şartlarının mevcut durumunu kontrol eder ve buna bağlı ilgili aksiyonları alır.

Kişisel Verileri işleme şartlarının tamamı ortadan kalkmışsa talebe konu Kişisel Verileri siler, yok eder veya anonim hale getirir. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., ilgili kişinin talebini en geç otuz gün içinde sonuçlandırır ve ilgili kişiye bilgi verir.

Kişisel Verileri işleme şartlarının tamamı ortadan kalkmış ve talebe konu olan Kişisel Veriler üçüncü

kişilere aktarılmışsa veri sorumlusu bu durumu üçüncü kişiye bildirir; üçüncü kişi nezdinde Yönetmelik kapsamında gerekli işlemlerin yapılmasını temin eder.

Kişisel Verileri işleme şartlarının tamamı ortadan kalkmamışsa, ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. ilgili veri sahibine gerekçesini açıklayarak talebi reddedebilir ve ret cevabını ilgili kişiye en geç otuz gün içinde yazılı olarak ya da elektronik ortamda bildirir.

1. KİŞİSEL VERİLERİN SAKLANMASI, İŞLENMESİ VE İMHASI İÇİN ALINAN TEDBİRLER

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., Kişisel Verilerin hukuka uygun şekilde saklanması, işlenmesi ve erişimini sağlamak için korunacak verinin niteliği, teknolojik imkânlar ve uygulama maliyetlerine göre teknik ve idari tedbirler almaktadır.

1. Teknik Tedbirler

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan Kişisel Verilerin hukuka aykırı saklanması, işlenmesi ve erişimini engellemek için alınan başlıca teknik tedbirler aşağıda sıralanmaktadır:

• Teknolojideki gelişmelere uygun teknik önlemler alınmakta, alınan önlemler periyodik olarak güncellenmekte ve yenilenmektedir.
• İş birimi bazlı belirlenen hukuksal uyum gerekliliklerine uygun olarak yetki matrisi

oluşturulmuş, kişisel hesap yönetimi sistemi kurulmuş ve şifreleme sistemleri aktive edilmiştir.

• Bu kapsamda virüs koruma sistemleri ve güvenlik duvarlarını içeren yazılım ve donanımlar kurulmakta, log kayıtları tutulmakta, düzenli yedeklemeler yapılmaktadır.
• Bu kapsamda güvenlik duvarları ve saldırı tespit ve önleme sistemleri kullanılmakta yetki kontrolleri ve sızma testleri gerçekleştirilmektedir.
• Alınan teknik önlemler periyodik olarak iç denetim mekanizması gereği ULSTURK KVKK Komitesi’ne raporlanmakta, risk teşkil eden hususlar yeniden değerlendirilerek gerekli teknolojik çözüm üretilmektedir.
• Teknik konularda bilgili personel istihdam edilmekte ve bu kişiler kurulmuş olan Şirket KVKK Komitesi’nin daimi üyesi yapılmaktadır.

1. İdari Tedbirler

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan Kişisel Verilerin hukuka aykırı saklanması, işlenmesi ve erişimini engellemek için alınan başlıca idari tedbirler aşağıda sıralanmaktadır:

• ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. çalışanlarına Kişisel Verileri Koruma mevzuatı kapsamında bilgilendirmiş ve bu konuda gerekli eğitimlerden geçirmiştir. Eğitimler kapsamında, çalışanlara rolleri ve sorumlulukları anlatılmış, “yasaklanmadıkça her şey

serbest” değil “izin verilmedikçe her şey yasak” prensibi hakkında bilgilendirme yapılmıştır. Çalışanlar ile öğrendikleri Kişisel Verileri ilgili mevzuat hükümlerine aykırı olarak başkasına açıklayamayacağı, işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda gizlilik sözleşmesi imzalanarak Kişisel Verilerin Korunması adına gerekli taahhütler alınmıştır. Bu kapsamda İş Sözleşmeleri ve disiplin yönetmeliklere Kanun’a uygun hükümler eklenmiştir. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. içi organizasyonlarında, bu taahhütlere ve sair gizlilik yükümlülüklerine uyulmaması durumunda işletilecek disiplin süreçlerini hazırlamıştır.

• Veri Sorumluları Sicil Bilgi Sistemine bildirim yapılabilmesi için gerekli hazırlıklarını tamamlamıştır.

• İş birimi bazlı hukuksal uyum gerekliliklerine uygun olarak ULSTURK DIŞ TİCARET

DANIŞMANLIK A.Ş. içinde Kişisel Verilere erişim ve yetkilendirme süreçleri tasarlanmış ve uygulanmaktadır.

• ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan Kişisel Verilerin hukuka uygun olarak aktarıldığı kişiler ile akdedilen sözleşmelere; Kişisel Verilerin aktarıldığı kişilerin, Kişisel Verilerin korunması amacıyla gerekli güvenlik tedbirlerini alacağına ve kendi kuruluşlarında bu tedbirlere uyulmasını sağlayacağına ilişkin hükümler eklenmektedir.

• Erişim, Bilgi Güvenliği, Kullanım, Saklama ve İmha konularında işbu Politika kapsamında gerekli düzenlemeleri yapmıştır.
• Kişisel Veri İşleme Envanteri hazırlanmış ve Kişisel Verilerin işlenmesi, muhafazası ve aktarılmasına ilişkin sözleşmelerde gerekli hükümlere yer vermiş,
• Kurum İçi Periyodik ve/veya Rastgele Denetimler için gerekli hazırlıklar yapılmıştır. Risk Analizleri gerçekleştirilerek gerekli önlemler alınmıştır.
• İhlal durumunda kurumsal iletişim prosedürleri ve bilgilendirme süreçleri işbu Politika’da belirleniştir.
• Kişisel Verilerin Korunması Konusunda Alınan Tedbirlerin Denetimi.
• ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., KVK Kanunu’nun 12. maddesine uygun olarak, kendi bünyesinde oluşturduğu ULSTURK DIŞ TİCARET DANIŞMANLIK KVKK Komitesi aracılığı ile gerekli denetimleri yapmakta veya yaptırmaktadır. Bu denetim sonuçları ULSTURK DIŞ

TİCARET DANIŞMANLIK A.Ş.’nin iç işleyişi kapsamında konu ile ilgili bölüme raporlanmakta ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir.

1. SAKLAMA VE İMHA SÜREÇLERİNDE YER ALACAK KİŞİLERİN BİLGİLERİ

ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. kendi bünyesinde, işbu Politika ve bu Politika ile ilişkili diğer politikaları yönetmek üzere ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. Yönetim Kurulu kararı gereğince “ULSTURK KVKK Komitesi” kurmuştur. Bu komitenin görevleri aşağıda belirtilmektedir.

• Kişisel Verilerin Korunması ve İşlenmesi ile ilgili temel politikaları hazırlamak ve yürürlüğe koymak üzere Yönetim Kurulu’nun onayına sunmak.
• Kişisel Verilerin Korunması ve İşlenmesine ilişkin politikaların uygulanması ve denetiminin ne şekilde yerine getirileceğine karar vermek ve bu çerçevede ULSTURK DIŞ TİCARET

DANIŞMANLIK A.Ş. içi görevlendirmede bulunmak ve koordinasyonu sağlamak hususlarını Yönetim Kurulu’nun onayına sunmak.

• Kanun ve ilgili mevzuata uyumun sağlanması için yapılması gereken hususları tespit etmek ve yapılması gerekenleri Yönetim Kurulu’nun onayına sunmak; uygulanmasını gözetmek ve koordinasyonunu sağlamak.
• Kişisel Verilerin Korunması ve İşlenmesi konusunda ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. içerisinde ve ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin işbirliği içerisinde olduğu kurumlar nezdinde farkındalığı arttırmak.
• ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş.’nin Kişisel Veri işleme faaliyetlerinde oluşabilecek riskleri tespit ederek gerekli önlemlerin alınmasını temin etmek; iyileştirme önerilerini Yönetim Kurulu’nun onayını sunmak.
• Kişisel Verilerin korunması ve politikaların uygulanması konusunda eğitimler tasarlamak ve icra edilmesini sağlamak.
• Kişisel Veri sahiplerinin başvurularını en üst düzeyde karara bağlamak.

• Kişisel Veri sahiplerinin; Kişisel Veri işleme faaliyetleri ve kanuni hakları konusunda

bilgilenmelerini temin etmek üzere bilgilendirme ve eğitim faaliyetlerinin icrasını koordine etmek

• Kişisel Verilerin Korunması ve İşlenmesi ile ilgili temel politikalardaki değişiklikleri hazırlamak ve yürürlüğe koymak üzere Yönetim Kurulu’nun onayına sunmak.
• Kişisel Verilerin Korunması konusundaki gelişmeleri ve düzenlemeleri takip etmek; bu

gelişmelere ve düzenlemelere uygun olarak ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. içinde yapılması gerekenler konusunda Yönetim Kurulu’na tavsiyelerde bulunmak.

• Kişisel Verilerin Korunması Kurulu ve Kurumu ile olan ilişkileri koordine etmek.
• Yönetim Kurulu’nun Kişisel Verilerin korunması konusunda vereceği diğer görevleri icra etmek.

1. POLİTİKA’DA YAPILACAK DEĞİŞİKLİKLER

1. İlgili mevzuatta yapılacak her türlü resmi değişikliğin ardından bu değişiklerle uyumlu olacak şekilde ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş. tarafindan işbu Politika’da değişiklik yapılabilir.

1. ULSTURK DIŞ TİCARET DANIŞMANLIK A.Ş., Politika üzerinde yaptığı değişiklikler izlenebilecek şekilde, güncellenen Politika’yı e-posta yolu ile çalışanlarıyla paylaşacak ve aşağıdaki web adresi üzerinden çalışanlarının erişimine sunacaktır.

İlgili web adresi: www.ulsturk.com

1. POLİTİKA’NIN YÜRÜRLÜK TARİHİ

İşbu Politika 11.11.2024 tarihinde yürürlüğe girmiştir.