Protection and Processing of Personal Data Statement

1.1. INTRODUCTION

PART 1 – INTRODUCTION, POLICY PURPOSE, SCOPE. IMPLEMENTATION AND ENFORCEMENT

The protection of personal data is one of company’s top priorities, more importantly, the protection and processing of the personal data of our customers, prospective customers, employee candidates, company shareholders, company officials, and visitors, as well as the employees, shareholders, and officials of the organisations we cooperate with, and third parties that are covered by this Policy. Our Company’s activities regarding the protection of our employees’ personal data are managed under the Çimsa Çimento Sanayi ve Ticaret A.Ş. (Çimsa or Company) Employees’ Personal Data Protection and Processing Policy, which is prepared in line with the principles in this Policy.

According to the Constitution of the Republic of Türkiye, everyone is entitled to request protection of their personal data. Regarding this Constitutional right, Çimsa pays due attention to protecting the personal data of its employees and propsective employee, shareholders, officials, and third parties governed by this Policy, and makes it a Company policy.

To this end, Çimsa takes the necessary administrative and technical measures to protect the personal data processed in accordance with applicable legislation.

This Policy includes detailed explanations about the basic principles adopted by Çimsa in the processing of personal data as listed below:

1. Processing personal data in accordance with the rules of law and honesty,

2. Keeping personal data accurate and up-to-date when necessary,

3. Processing personal data for specified, explicit, and legitimate purposes,

4. Being relevant, limited, and proportionate to the purposes for which the personal data are processed,

5. Storing personal data for the period laid down by relevant legislation or the period required for the purpose for which the personal data are processed,

6. Informing the data subjects,

7. Establishing the necessary system for allowing the data subjects to exercise their rights,

8. Taking the necessary measures to protect personal data,

9. Acting in accordance with the relevant legislation and Personal Data Protection (PDP) Board regulations in transferring personal data to third parties in line with the requirements of the purpose of processing,

10. Demonstrating particular care over the processing and protection of sensitive personal data.

1.2. PURPOSE OF THE POLICY

The main purpose of this Policy is to clarify the personal data processing activities carried out by Çimsa in accordance with the law and the systems adopted for the protection of personal data and thereby ensure transparency by informing the persons including customers, prospective customers, employee candidates, Company shareholders, Company officials, and visitors, as well as the employees, shareholders, and officials of the organisations we cooperate with, and third parties whose personal data are processed by our Company.

1.3. KAPSAM

This policy relates to all the personal data of our customers, prospective customers, employee candidates, Company shareholders, Company officials, and visitors, as well as the employees, shareholders, and officials of the organisations we cooperate with, and third parties, processed through automated means or non-automated means provided that they are part of any data filing system.

Regarding how this Policy pertains to the groups of data subjects listed above, this entire Policy may apply (e.g., visitors who are also active customers) or just some of its provisions (e.g. visitors only).

1.4. IMPLEMENTATION OF THE POLICY AND APPLICABLE LEGISLATION

Current statutory regulations regarding the processing and protection of personal data shall take precedent. If there is a discrepancy between the current legislation and the Policy, our Company accepts that the current legislation shall prevail.

The Policy is prepared by incorporating the rules laid down by the relevant legislation into Çimsa practices. Our Company operates the necessary systems and carries out preparations required to act in accordance with the enforcement periods stipulated in the PDP Law.

1.5. ENFORCEMENT OF THE POLICY

This Policy issued by our Company entered into force on 7 October 2016 in accordance with Personal Data Protection Law No. 6698 published on 7 April 2016. In the event that all or specific articles of the Policy are amended, the Policy shall be updated.

The Policy shall be published on our Company’s website (https://www.cimsakariyerim.com) and made available to the data subjects upon their request.

PART 2 – MATTERS RELATING TO THE PROTECTION OF PERSONAL DATA

Our Company, in accordance with the legislation in force, takes all necessary technical and organisational measures to ensure an appropriate level of security to prevent the unlawful processing of or access to personal data, and protect such personal data, and conducts or commissions the necessary audits in this regard.

2.1. ENSURING THE SECURITY OF PERSONAL DATA

Our Company takes the necessary legal, technical, and organisational measures for data security as far as is technologically possible and exercises due care and diligence in this regard.

Employees are informed that they may not disclose the personal data they have learned to anyone else in violation of the provisions of the Personal Data Protection Law, and may not use it for purposes other than processing and that this obligation will continue after they leave their jobs, and they make the necessary commitments to this effect.

Our Company provides the necessary information throughout the company to prevent the imprudent or unauthorised disclosure, access, transfer, or other unlawful access to personal data, and it takes technical and organisational measures according to the nature of the data to be protected, technological means, and the cost of implementation.

Our Company obligations as a data controller when processing personal data, and its obligation to comply with the legal, organisational, and technical measures it has developed in this regard, are contractually imposed on data processing organisations that our Company deals with in various capacities such as suppliers and business partners, in accordance with the nature of their data processing activities.

Our Company conducts or commissions the necessary audits within its organisation in accordance with applicable legislation. The results of these audits are reported to the relevant department as part of the internal functioning of the Company and necessary activities are carried out to improve the measures taken.

If personal data processed in accordance with applicable legislation are obtained by others unlawfully, our Company operates a system that notifies the data subject affected and the Personal Data Protection Board as soon as possible.

2.2. OBSERVING THE RIGHTS OF THE DATA SUBJECT: CREATING CHANNELS SO THEY CAN COMMUNICATE THEIR RIGHTS TO THE COMPANY, AND EVALUATING THEIR REQUESTS

Our Company has the necessary channels, internal functioning procedures, and organisational and technical arrangements in accordance with applicable legislation to evaluate the rights of personal data subjects and to give the data subjects the necessary information.

If data subjects submit their requests regarding their rights listed below to our Company in writing, our Company shall conclude the request within the periods set forth in the applicable legislation, depending on the nature of the request.

Data subjects have the following rights:

1. To learn whether their personal data are processed or not,

2. To request information if their personal data have been processed,

3. To learn the purpose of the processing of their personal data and whether these personal data are used in compliance with the purpose,

4. To know the third parties to whom their personal data are transferred at home or abroad,

5. To request the rectification of incomplete or inaccurate data, if any,

6. To request the erasure or destruction of their personal data under the conditions stipulated in the applicable legislation,

7. To request that the third parties to whom their personal data has been transferred be notified of the rectification, reasure, and destruction procedures performed in accordance with the applicable legislation,

8. To object to an outcome detrimental to them as a result of processed data being analysed solely by automated systems.

9. To claim compensation for the damage arising from the unlawful processing of their personal data.

Pursuant to the legislation in force, data subjects are required to submit their requests to exercise the above-mentioned rights to our Company in writing or by other methods permitted by the legislation.

Since no additional method has been determined as of the effective date of this Policy, the relevant application must be submitted to our Company in writing in accordance with the mandatory provision of the legislation.

In order to exercise the above-mentioned rights, submitting the request by specifying the necessary information identifying the personal data subject and explanations regarding the right to be exercised, as well as which right the request is related to, will ensure that the application is handled more quickly and effectively.

You can send a petition containing your detailed explanation of the right to be exercised and the subject of your request to the address “Allianz Tower Küçükbakkalköy Mah. Kayışdağı Cad. No: 1 Kat: 23-24 34750 Ataşehir/İstanbul” by registered letter with return receipt requested.

2.3. PROTECTION OF SENSITIVE PERSONAL DATA

With the Personal Data Protection Law, special importance has been attributed to the risk of causing personal injury or discrimination when certain data is processed unlawfully.

These data are related to race, ethnic origin, political opinion, philosophical belief, religion, religious sect or other belief, appearance, membership of associations, foundations, or trade unions, data concerning health, sex life, criminal convictions and security measures, and biometric and genetic data.

Our Company exercises great care in the protection of sensitive personal data, called ‘special category’ by the Personal Data Protection Law and processed in accordance with the law. As such, our Company carefully applies the technical and organisational measures for the protection of personal data to the special categories of personal data, and performs the necessary controls.

PART 3 – MATTERS RELATING TO THE PROCESSING OF PERSONAL DATA

Regarding the processing of personal data in accordance with legislation, our Company conducts personal data processing activities in accordance with the law and the rules of honesty, by processing accurate, and up-to-date data when necessary for specified, explicit, and legitimate purposes, relevant, limited, and proportionate to the purposes for which they are processed. Our Company stores personal data for the period laid down by relevant legislation or the period required for the purpose for which the personal data are processed.

3.1.PROCESSING OF PERSONAL DATA ACCORDING TO THE PRINCIPLES STIPULATED IN THE LEGISLATION

3.1.1. Processing in accordance with the law and the rules of honesty

Our Company acts in accordance with the principles introduced by legal regulations and the general rule of trust and honesty in the processing of personal data. As such, our Company takes into consideration the proportionality requirements in the processing of personal data and does not use personal data other than for its intended purpose.

3.1.2. Ensuring accuracy and keeping up-to-date where necessary

Our Company ensures that the personal data it processes are accurate and up-to-date, taking into account the fundamental rights of data subjects and their legitimate interests. It takes necessary measures in this regard.

3.1.3. Processing for Specified, Explicit and Legitimate Purposes

Our Company clearly and precisely determines the legitimate and lawful purpose of processing personal data. Our Company processes personal data in connection with the services it provides and to the extent required for these services. The purpose for which personal data will be processed by our Company is determined before the personal data processing activity begins.

3.1.4. Being Relevant, Limited, and Proportionate to the Purposes for which They are Processed

Our Company processes personal data conducive to achieving the specified purposes, and it avoids processing personal data that is not required or not related to said purpose. For instance, personal data are not processed to meet needs that may arise later.

3.1.5. Storing for the period laid down by relevant legislation or the period required for the purpose for which they are processed

Our Company stores personal data only for the period required by the applicable legislation or for the purpose for which they were processed. To this end, our Company first determines whether the applicable legislation stipulates a period for the storage of personal data; if a period has been specified, it complies with that period; if a period is not specified, it stores personal data for the period required for the purpose of processing them. If the period expires or the purposes of processing are no longer applicable, our Company erases, destroys, or anonymises the personal data.

3.2. PROCESSING PERSONAL DATA BASED ON ONE OR MORE PERSONAL DATA PROCESSING CONDITIONS SPECIFIED IN THE LEGISLATION AND PROCESSING LIMITED TO THESE CONDITIONS

Although the legal basis for processing personal data by our Company varies, all personal data processing activities are performed in accordance with the general principles set out in the legislation.

(i) Seeking the explicit consent of the data subject

One of the conditions for processing personal data is the explicit consent of the data subject. The explicit consent of the data subject should be given on a specific subject, based on information and freely.

For processing personal data based on the explicit consent of the data subject, explicit consent of the customers, prospective customers, and visitors is obtained through the relevant methods.

(ii) Expressly stipulated by the laws

The personal data of the data subject may be processed in accordance with the law if clearly prescribed by law.

(iii) Failure to obtain explicit consent of the data subject due to actual impossibility

Personal data of the data subject may be processed if it is necessary to protect the life or physical integrity of the person himself/herself or of any other person who is unable to explain his/her consent due to physical disability or whose consent is not deemed legally valid.

For example, giving the blood type details of a fainting customer to the doctors by his/her friends.

(iv) Being directly related to the establishment or performance of the contract

Personal data may be processed if the processing of personal data of the parties of a contract is necessary, provided that they are directly related to the establishment or performance of the contract.

(v) Company’s compliance with legal obligations

As the data controller, our Company may process the personal data of the data subject if it is necessary for compliance with legal obligations.

(vi) Publication of Personal Data by the Data Subject

The personal data of the data subject may be processed if they have been made public by the data subject himself/herself.

(vii) Data processing is necessary for the establishment, exercise, or protection of any right

The personal data of the data subject may be processed if data processing is necessary for the establishment, exercise, or protection of any right.

(viii) Processing of data is necessary for the legitimate interests of our Company

The personal data of the data subject may be processed if the processing of data is necessary for the legitimate interests pursued by our Company, provided that this processing does not violate the fundamental rights and freedoms of the data subject.

3.3. PROCESSING SENSITIVE PERSONAL DATA

Our Company shalldiligently comply with the regulations stipulated by the PDP Law when processing ‘sensitive’ personal data as specified by the Personal Data Protection (PDP) Law.

Article 6 of the PDP Law categorises certain personal data as ‘sensitive’ personal data which may cause victimisation or discrimination when processed unlawfully. These data are related to race, ethnic origin, political opinion, philosophical belief, religion, religious sect or other belief, appearance, membership to associations, foundations, or trade unions, data concerning health, sexual life, criminal convictions and security measures, and biometric and genetic data.

In accordance with the PDP Law, our Company shall process sensitive personal data in the following cases, provided that adequate measures to be determined by the PDP Board are taken:

1. If the data subject expresses his/her explicit consent, or

2. If the data subject does not express his/her explicit consent

3. The data subject’s sensitive personal data, other than his/her health and sex life, in cases stipulated by law,

The data subject’s sensitive personal data concerning health and sex life may only be processed by the persons subject to the obligation of secrecy or competent public institutions and organisations for the purposes of protecting public health, providing preventive medicine, medical diagnosis, treatment and nursing services, planning and managing health-care services as well as financing them.

3.4. TRANSFER OF PERSONAL DATA

In line with the lawful purposes of personal data processing, our Company may transfer the subject’s personal data and sensitive personal data to third parties (third-party companies, group companies, natural third parties) by taking the necessary security measures. Our Company shall act in accordance with the regulations stipulated in the legislation.

In line with the lawful purposes of personal data processing, our Company may transfer the subject’s personal data and sensitive personal data to third parties by taking necessary security measures and within the extent and framework permitted by the legislation.

3.5. CONDITIONS FOR ERASING, DESTROYING, AND ANONYMISING PERSONAL DATA

Despite being processed in compliance with the provisions of the legislation, personal data shall be erased, destroyed, or anonymised by our Company ex officio or on the request of the data subject, when the reasons for processing them no longer exist.

Our Company has taken the necessary technical and organisational measures within the Company to fulfill its related obligations in this regard, and has developed the necessary mechanisms to do this; it trains the relevant business units, gives them assignments, and raises their awareness so they can comply with these obligations.

KVKK Aydınlatma Metni

1.1. GİRİŞ

1. BÖLÜM – GİRİŞ, POLİTİKA AMAÇ, KAPSAM. UYGULAMA ve YÜRÜRLÜK

Kişisel verilerin korunması, Şirketimizin en önemli öncelikleri arasındadır. Bu konunun en önemli ayağını ise işbu Politika ile yönetilen; müşterilerimizin, potansiyel müşterilerimizin, çalışan adaylarımızın, Şirket hissedarlarının, Şirket yetkililerinin, ziyaretçilerimizin, işbirliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkililerinin ve üçüncü kişilerin kişisel verilerinin korunması ve işlenmesi oluşturmaktadır. Çalışanlarımızın kişisel verilerinin korunmasına ilişkin Şirketimizin yürüttüğü faaliyetler ise, bu Politika’ daki esaslarla paralel olarak kaleme alınan Çimsa Çimento Sanayi ve Ticaret A.Ş. (Çimsa veya Şirket) Çalışanları Kişisel Verilerin Korunması ve İşlenmesi Politikası altında yönetilmektedir.

Türkiye Cumhuriyeti Anayasası’na göre, herkes, kendisiyle ilgili kişisel verilerin korunmasını isteme hakkına sahiptir. Bir Anayasal hak olan kişisel verilerin korunması konusunda, Çimsa işbu Politika ile yönetilen; çalışanlarının ve çalışan adaylarının, hissedarları ve yetkililerinin ve üçüncü kişilerin kişisel verilerinin korunmasına gerekli özeni göstermekte ve bunu bir Şirket politikası haline getirmektedir.

Bu kapsamda, ilgili mevzuat gereğince işlenen kişisel verilerin korunması için Çimsa tarafından gereken idari ve teknik tedbirler alınmaktadır.

Bu Politika’ da kişisel verilerin işlenmesinde Çimsa’ nın benimsediği ve aşağıda sıralanan temel ilkelere ilişkin detaylı açıklamalarda bulunulacaktır:

1. Kişisel verileri hukuka ve dürüstlük kurallarına uygun işleme,

2. Kişisel verileri doğru ve gerektiğinde güncel tutma,

3. Kişisel verileri belirli, açık ve meşru amaçlar için işleme,

4. Kişisel verileri işlendikleri amaçla bağlantılı, sınırlı ve ölçülü işleme,

5. Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme,

6. Kişisel veri sahiplerini aydınlatma ve bilgilendirme,

7. Kişisel veri sahiplerinin haklarını kullanması için gerekli sistemi kurma,

8. Kişisel verilerin muhafazasında gerekli tedbirleri alma,

9. Kişisel verilerin işleme amacının gereklilikleri doğrultusunda üçüncü kişilere aktarılmasında, ilgili mevzuata ve KVK Kurulu düzenlemelerine uygun davranma,

10. Özel nitelikli kişisel verilerin işlenmesine ve korunmasına gerekli hassasiyeti gösterme.

1.2. POLİTİKANIN AMACI

Bu Politika’ nın temel amacı, Çimsa tarafından hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyeti ve kişisel verilerin korunmasına yönelik benimsenen sistemler konusunda açıklamalarda bulunmak, bu kapsamda müşterilerimiz, potansiyel müşterilerimiz, çalışan adaylarımız, Şirket hissedarlarımız, Şirket yetkililerimiz, ziyaretçilerimiz, işbirliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkilileri ve üçüncü kişiler başta olmak üzere kişisel verileri Şirketimiz tarafından işlenen kişileri bilgilendirilerek şeffaflığı sağlamaktır.

1.3. KAPSAM

Bu Politika; müşterilerimizin, potansiyel müşterilerimizin, çalışan adaylarımızın, Şirket hissedarlarının, Şirket yetkililerinin, ziyaretçilerimizin, işbirliği içinde olduğumuz kurumların çalışanları, hissedarları ve yetkililerinin ve üçüncü kişilerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verilerine ilişkindir.

Yukarıda belirtilen kategorilerde yer alan kişisel veri sahipleri gruplarına ilişkin işbu Politika’ nın uygulama kapsamı Politika’ nın tamamı olabileceği gibi (Örn. Ziyaretçimiz de olan aktif müşterilerimiz gibi); yalnızca bir kısım hükümleri de (Örn. Yalnızca ziyaretçilerimiz gibi) olabilecektir.

1.4. POLİTİKANIN VE İLGİLİ MEVZUATIN UYGULANMASI

Kişisel verilerin işlenmesi ve korunması konusunda yürürlükte bulunan ilgili kanuni düzenlemeler öncelikle uygulama alanı bulacaktır. Yürürlükte bulunan mevzuat ve Politika arasında uyumsuzluk bulunması durumunda, Şirketimiz yürürlükteki mevzuatın uygulama alanı bulacağını kabul etmektedir.

Politika, ilgili mevzuat tarafından ortaya konulan kuralların Çimsa uygulamaları kapsamında somutlaştırılarak düzenlenmesinden oluşturulmuştur. Şirketimiz, KVK Kanunu’nda öngörülen yürürlük sürelerine uygun hareket etmek üzere gerekli sistem ve hazırlıklarını yürütmektedir.

1.5. POLİTİKANIN YÜRÜRLÜĞÜ

Şirketimiz tarafından düzenlenen bu Politika, 07.04.2016 tarihinde yayınlanan ve 07.10.2016 tarihinde 6698 sayılı Kişisel Verileri Korunması Kanunu doğrultusunda yürürlüğe girmiştir. Politika’ nın tamamının veya belirli maddelerinin yenilenmesi durumunda Politika güncellenecektir.

Politika Şirketimizin internet sitesinde (https://www.cimsakariyerim.com) yayımlanır ve kişisel veri sahiplerinin talebi üzerine ilgili kişilerin erişimine sunulur.

2. BÖLÜM – KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

Şirketimiz, yürürlükteki mevzuata uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almakta, bu kapsamda gerekli denetimleri yapmak veya yaptırmaktadır.

2.1. KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI

Şirketimiz, veri güvenliği konusunda teknolojik imkânlar dâhilinde gerekli hukuki, teknik ve idari tedbirleri almakta, bu konuda gereken özen ve itinayı göstermektedir.

Çalışanlar, öğrendikleri kişisel verileri KVK Kanunu hükümlerine aykırı olarak başkasına açıklayamayacağı ve işleme amacı dışında kullanamayacağı ve bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceği konusunda bilgilendirilmekte ve bu doğrultuda kendilerinden gerekli taahhütler alınmaktadır.

Şirketimiz, kişisel verilerin tedbirsizlikle veya yetkisiz olarak açıklanmasını, erişimini, aktarılmasını veya başka şekillerdeki tüm hukuka aykırı erişimi önlemek için gerekli bilgilendirmeleri şirket içinde yapmakta ve korunacak verinin niteliği, teknolojik imkânlar ve uygulama maliyetine göre teknik ve idari tedbirler almaktadır.

Şirketimizin veri sorumlusu olarak kişisel verileri işlerken uymak zorunda olduğu yükümlülükler ve bu konuda geliştirdiği hukuksal, idari ve teknik tedbirlere uyma zorunluluğu Şirketimizin tedarikçi, iş ortağı gibi çeşitli sıfatlarla ilişkide olduğu veri işleyen kurumlara veri işleme konusunda gerçekleştirdikleri faaliyetin niteliğiyle uyumlu bir şekilde sözleşmesel olarak yükletilmektedir.

Şirketimiz, yürürlükteki mevzuata uygun olarak, kendi bünyesinde gerekli denetimleri yapmakta veya yaptırmaktadır. Bu denetim sonuçları Şirketin iç işleyişi kapsamında konu ile ilgili bölüme raporlanmakta ve alınan tedbirlerin iyileştirilmesi için gerekli faaliyetler yürütülmektedir.

Şirketimiz, yürürlükteki mevzuata uygun olarak işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi halinde bu durumu en kısa sürede ilgili kişisel veri sahibine ve KVK Kurulu’na bildirilmesini sağlayan sistemi yürütmektedir.

2.2. VERİ SAHİBİNİN HAKLARININ GÖZETİLMESİ; BU HAKLARI ŞİRKETİMİZE İLETECEĞİ KANALLARIN YARATILMASI VE VERİ SAHİPLERİNİN TALEPLERİNİN DEĞERLENDİRMESİ

Şirketimiz, kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine gereken bilgilendirmenin yapılması için yürürlükteki mevzuata uygun olarak gerekli kanalları, iç işleyişi, idari ve teknik düzenlemeleri yürütmektedir.

Kişisel veri sahipleri aşağıda sıralanan haklarına ilişkin taleplerini yazılı olarak Şirketimize iletmeleri durumunda Şirketimiz talebin niteliğine göre talebi yürürlükteki mevzuatın emrettiği süreler içinde sonuçlandırmaktadır.

Kişisel veri sahipleri;

1. Şahsınıza ait kişisel veri işlenip işlenmediğini öğrenme,

2. Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme,

3. Kişisel verilerinizin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

4. Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme,

5. Kişisel verilerinizin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,

6. İlgili mevzuatta öngörülen şartlar çerçevesinde kişisel verilerinizin silinmesini veya yok edilmesini isteme,

7. İlgili mevzuat uyarınca yapılan düzeltme, silme ve yok edilme işlemlerinin, kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme,

8. İşlenen verilerinizin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,

9. Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız halinde zararın giderilmesini talep etme haklarına sahipsiniz.

Kişisel veri sahiplerinin yürürlükteki mevzuat gereğince yukarıda belirtilen haklarını kullanmakla ilgili taleplerini “yazılı” veya mevzuatın izin verdiği diğer yöntemlerle Şirketimize iletmeleri gerekmektedir.

İşbu Politika yürürlük tarihi itibariyle herhangi bir ilave yöntem belirlenmediği için ilgili başvurunun mevzuatın amir hükmü gereği yazılı olarak Şirketimize iletilmesi gerekmektedir.

Yukarıda belirtilen hakların kullanılması için, kişisel veri sahibinin kimliğini tespit edici gerekli bilgiler ve kullanılmak istenen hakka yönelik açıklamalarla birlikte talebin, hangi hakkın kullanımına ilişkin olduğunu da belirtilerek iletilmesi; talebe ilişkin başvurunun daha hızlı ve etkili bir şekilde cevaplandırılmasını sağlayacaktır.

Bu çerçevede kullanmak istediğiniz hakkı ve talebinizin konusunu anlatan detaylı açıklamanızı içeren dilekçeyi Allianz Tower Küçükbakkalköy Mah. Kayışdağı Cad. No: 1 Kat: 23-24 34750 Ataşehir/İstanbul adresine iadeli taahhütlü mektup kullanarak gönderebilirsiniz.

2.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN KORUNMASI

KVK Kanunu ile bir takım kişisel verilere, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle özel önem atfedilmiştir.

Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

Şirketimiz tarafından, KVK Kanunu ile “özel nitelikli” olarak belirlenen ve hukuka uygun olarak işlenen özel nitelikli kişisel verilerin korunmasında hassasiyetle davranılmaktadır. Bu kapsamda, Şirketimiz tarafından, kişisel verilerin korunması için alınan teknik ve idari tedbirler, özel nitelikli kişisel veriler bakımından özenle uygulanmakta ve gerekli denetimler sağlanmaktadır.

3. BÖLÜM – KİŞİSEL VERİLERİN İŞLENMESİYLE İLGİLİ HUSUSLAR

Şirketimiz, mevzuata uygun olarak, kişisel verilerin işlenmesi konusunda; hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlar güderek; amaçla bağlantılı, sınırlı ve ölçülü bir biçimde kişisel veri işleme faaliyetinde bulunmaktadır. Şirketimiz kanunlarda öngörülen veya kişisel veri işleme amacının gerektirdiği süre kadar kişisel verileri muhafaza etmektedir.

3.1. KİŞİSEL VERİLERİN MEVZUATTA ÖNGÖRÜLEN İLKELERE UYGUN OLARAK İŞLENMESİ

3.1.1. Hukuka ve Dürüstlük Kuralına Uygun İşleme

Şirketimiz; kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu kapsamda Şirketimiz, kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, kişisel verileri amacın gerektirdiği dışında kullanmamaktadır.

3.1.2. Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

Şirketimiz; kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır. Bu doğrultuda gerekli tedbirleri almaktadır.

3.1.3. Belirli, Açık ve Meşru Amaçlarla İşleme

Şirketimiz, meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir. Şirketimiz, kişisel verileri sunmakta olduğu hizmetle bağlantılı ve bunlar için gerekli olan kadar işlemektedir. Şirketimiz tarafından kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır.

3.1.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Şirketimiz, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır. Örneğin, sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik kişisel veri işleme faaliyeti yürütülmemektedir.

3.1.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme

Şirketimiz, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Şirketimiz öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Şirketimiz tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

3.2. KİŞİSEL VERİLERİN, MEVZUATTA BELİRTİLEN KİŞİSEL VERİ İŞLEME ŞARTLARINDAN BİR VEYA BİRKAÇINA DAYALI VE BU ŞARTLARLA SINIRLI OLARAK İŞLEME

Şirketimiz tarafından kişisel verilerin işlenmesine yönelik hukuki dayanaklar farklılık gösterse de, her türlü kişisel veri işleme faaliyetinde mevzuatta belirtilen genel ilkelere uygun olarak hareket edilmektedir.

(i) Kişisel Veri Sahibinin Açık Rızasının Bulunması

Kişisel verilerin işlenme şartlarından biri sahibinin açık rızasıdır. Kişisel veri sahibinin açık rızası belirli bir konuya ilişkin, bilgilendirilmeye dayalı olarak ve özgür iradeyle açıklanmalıdır.

Kişisel verilerin, kişisel veri sahibinin açık rıza vermesine bağlı olarak işlenmesi için, müşteri, potansiyel müşteri ve ziyaretçilerden ilgili yöntemler ile açık rızaları alınmaktadır.

(ii) Kanunlarda Açıkça Öngörülmesi

Veri sahibinin kişisel verileri, kanunda açıkça öngörülmesi halinde hukuka uygun olarak işlenebilecektir.

(iii) Fiili İmkânsızlık Sebebiyle İlgilinin Açık Rızasının Alınamaması

Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına geçerlilik tanınamayacak olan kişinin kendisinin ya da başka bir kişinin hayatı veya beden bütünlüğünü korumak için kişisel verisinin işlenmesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

Örnek: Baygınlık geçiren müşterinin kan grubu bilgisinin arkadaşları tarafından doktorlara verilmesi.

(iv) Sözleşmenin Kurulması veya İfasıyla Doğrudan İlgi Olması

Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması halinde kişisel verilerin işlenmesi mümkündür.

(v) Şirketin Hukuki Yükümlülüğünü Yerine Getirmesi

Şirketimizin veri sorumlusu olarak hukuki yükümlülüklerini yerine getirmesi için işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

(vi) Kişisel Veri Sahibinin Kişisel Verisini Alenileştirmesi

Veri sahibinin, kişisel verisini kendisi tarafından alenileştirilmiş olması halinde ilgili kişisel veriler işlenebilecektir.

(vii) Bir Hakkın Tesisi veya Korunması için Veri İşlemenin Zorunlu Olması

Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

(viii) Şirketimizin Meşru Menfaati için Veri İşlemenin Zorunlu Olması

Kişisel veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla Şirketimizin meşru menfaatleri için veri işlemesinin zorunlu olması halinde veri sahibinin kişisel verileri işlenebilecektir.

3.3. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

Şirketimiz tarafından, KVK Kanunu ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, KVK Kanunu’nda öngörülen düzenlemelere hassasiyetle uygun davranılmaktadır.

KVK Kanunu’nun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.

KVK Kanunu’na uygun bir biçimde Şirketimiz tarafından; özel nitelikli kişisel veriler, KVK Kurulu tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla aşağıdaki durumlarda işlenmektedir:

1. Kişisel veri sahibinin açık rızası var ise veya

2. Kişisel veri sahibinin açık rızası yok ise;

3. Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde,

Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmektedir.

3.4. KİŞİSEL VERİLERİN AKTARILMASI

Şirketimiz hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere (üçüncü kişi şirketlere, grup şirketlerine, üçüncü gerçek kişilere) aktarabilmektedir. Şirketimiz bu doğrultuda mevzuatta öngörülen düzenlemelere uygun hareket etmektedir.

Şirketimiz hukuka uygun kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemleri alarak ve mevzuatın izin verdiği ölçü ve çerçevede kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir.

3.5. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VE ANONİMLEŞTİRİLMESİ ŞARTLARI

Mevzuat hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Şirketimiz tarafından resen veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir.

Bu kapsamda Şirketimiz ilgili yükümlülüğünü yerine getirmek üzere Şirket içerisinde gerekli teknik ve idari tedbirleri alarak; bu konuda gerekli işleyiş mekanizmaları geliştirmiş olup; bu yükümlüklerine uygun davranmak üzere ilgili iş birimlerini eğitmekte, görevlendirme ve farkındalıklarını sağlamaktadır.