Kişisel Verilerin Korunması ve İşlenmesi Politikası

1. Amaç

Özpaş Mağazacılık A.Ş. (“Özpaş” veya “Şirket”), hukuki ve sosyal sorumluluğunun bir gereği olarak, Türkiye Cumhuriyeti Anayasası, taraf olduğumuz uluslararası sözleşmeler ve başta 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) olmak üzere kişisel verilerin korunmasına ilişkin yürürlükteki tüm mevzuata uygun hareket etmeyi taahhüt etmektedir. Özpaş, kişisel verilerin korunmasını yalnızca yasal bir yükümlülük değil, aynı zamanda kurumsal değerlerinin ayrılmaz bir parçası olarak görmektedir. Bu kapsamda; kişisel mahremiyetin korunması, veri güvenliğinin sağlanması ve sürdürülebilir uyumun bir kurum kültürü haline getirilmesi amacıyla işbu Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”) hazırlanmıştır.

Politika’nın temel amacı; müşterilerimizin, potansiyel müşterilerimizin, çalışanlarımızın, çalışan adaylarımızın, tedarikçilerimizin, kiracıların, kiraya verenlerin, kurum yetkililerinin, ziyaretçilerin, hizmet sağlayıcıların, iş birliği yapılan üçüncü tarafların, kamu ve özel sektör temsilcilerinin ve diğer ilgili kişilerin kişisel verilerinin işlenmesine ilişkin süreçlerde mevzuata uyumu sağlamak ve bu kişileri bilgilendirmektir.

Özpaş, kişisel verileri;

• Kanunlarda açıkça öngörülen durumlarda,
• Bir sözleşmenin kurulması veya ifası için gerekli olduğunda,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi zorunlu olduğunda,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu hallerde,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaatlerin gerektirdiği hallerde,
• Ve açık rıza gereken durumlarda, ilgili kişinin rızasına dayanarak,

işlemektedir.

1.1 Kişisel Verilerin İşlenme Amaçları

Özpaş, müşterilerinin, çalışanlarının, iş ortaklarının ve diğer ilgili kişilerin kişisel verilerini 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) ve ilgili mevzuata uygun olarak aşağıdaki amaçlarla işlemektedir:

A. Müşteri Deneyimi ve Pazarlama

• Ürün ve hizmetlerimizin tanıtımı, müşteri ilişkilerinin geliştirilmesi ve müşteri memnuniyetinin artırılması,
• Kişiselleştirilmiş alışveriş deneyimi sunulması, müşteri anketleri, memnuniyet uygulamaları ve bilgilendirmelerin yapılması,
• Genel veya kişiye özel kampanya ve tekliflerin duyurulması, ticari elektronik iletilerin gönderilmesi (açık rıza alınması halinde),
• Segmentasyon, veri analizi, pazar araştırması, reklam ve pazarlama faaliyetlerinin yürütülmesi,
• İnternet siteleri, mobil uygulamalar, sosyal medya ve üçüncü taraf platformlar üzerinden kişiselleştirilmiş reklam gösterilmesi.

B. Satış ve Operasyonel Süreçler

• Mal ve hizmet satış sözleşmelerinin kurulması ve ifası,
• Siparişlerin alınması, hazırlanması, teslim edilmesi ve satış sonrası destek hizmetlerinin yürütülmesi,
• Faturalama, ödeme ve iade süreçlerinin yönetilmesi,
• Lojistik, tedarik ve stok yönetimi faaliyetlerinin yürütülmesi,
• Ürün iade, değişim ve inceleme taleplerinin karşılanması.

C. Hukuki ve Mevzuata Dayalı Yükümlülükler

• Vergi mevzuatı, tüketici mevzuatı, iş sağlığı ve güvenliği ile diğer yasal yükümlülüklerin yerine getirilmesi,
• Kamu güvenliği gereği kamu kurum ve kuruluşlarına bilgi verilmesi,
• Yetkili kişi, kurum ve kuruluşlara mevzuat uyarınca raporlama yapılması,
• Doğabilecek uyuşmazlıklarda delil olarak kullanılması,
• Yaş doğrulaması gerektiren ürün satışlarında (tütün, enerji içeceği vb.) yasal gerekliliklerin sağlanması.

D. Kurumsal Yönetim ve İç Süreçler

• Şirket’in ticari ve iş stratejilerinin planlanması ve uygulanması,
• İç denetim, risk yönetimi, etik süreçler, raporlama ve stratejik planlama faaliyetlerinin yürütülmesi,
• Çalışanların işe alım, özlük, performans, eğitim ve kariyer gelişimi süreçlerinin yönetilmesi,
• Çalışan memnuniyeti, bağlılığı ve yan hak süreçlerinin yürütülmesi,
• İnsan kaynakları ve stajyer/aday öğrenci süreçlerinin planlanması,
• İş sürekliliğinin sağlanması, acil durum yönetimi ve iş güvenliği faaliyetlerinin yürütülmesi.

E. Güvenlik ve Bilgi Teknolojileri

• Fiziksel mekan güvenliğinin sağlanması (mağaza, depo, idari merkezler vb.),
• Kamera kayıt sistemleri aracılığıyla iş ve müşteri güvenliğinin temini,
• İşlem ve bilgi güvenliğinin sağlanması, hileli veya yasa dışı faaliyetlerin önlenmesi,
• Bilgi güvenliği, erişim yetkilerinin yönetimi ve siber güvenlik süreçlerinin uygulanması.

F. Kurumsal İletişim ve Sosyal Sorumluluk

• Kurumsal iletişim faaliyetlerinin yürütülmesi,
• Sponsorluk, sosyal sorumluluk ve sivil toplum projelerinin gerçekleştirilmesi,
• Organizasyon, etkinlik ve tanıtım faaliyetlerinin planlanması ve icrası.

Bu Politika kapsamında, Özpaş tarafından işlenen kişisel veriler; hangi veri kategorilerinin işlendiği, saklama süreleri, idari ve teknik koruma tedbirleri, aydınlatma ve bilgilendirme yükümlülükleri ile üçüncü kişilere aktarım süreçlerine ilişkin detaylar ayrıca açıklanmaktadır.

2. Kapsam

Bu Politika;

• Müşteriler, potansiyel müşteriler,
• Çalışanlar, çalışan adayları,
• Tedarikçiler, kiracılar, kiraya verenler,
• Hizmet sağlayıcılar, iş ortakları ve iş birliği yapılan üçüncü taraflar,
• Bu tarafların çalışanları, temsilcileri, hissedarları ve yetkilileri,
• Ziyaretçiler ve diğer üçüncü kişiler,

gibi Özpaş ile doğrudan veya dolaylı olarak ilişkili tüm gerçek kişilere ait, otomatik yollarla veya herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verileri kapsamaktadır.

Ayrıca, Özpaş bünyesinde kişisel veri işleyen ve saklayan tüm varlıklar ve bu varlıklarla ilişkili süreçler Politika kapsamındadır. Bunlar arasında:

• Kişisel veri içeren tüm basılı veya elektronik belgeler, dokümanlar ve dosyalar,
• Dijital veri tabanları, yazılımlar, uygulamalar ve bilgi işlem sistemleri,
• Fiziksel arşivler, kayıt üniteleri ve güvenlik sistemleri (kamera vb.),

yer almaktadır.

3. Tanımlar

Bu Politika’da geçen kavramlar aşağıdaki anlamlarda kullanılmaktadır:

• Açık Rıza: Belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan rıza.
• Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilse dahi hiçbir şekilde kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.
• Anayasa: Türkiye Cumhuriyeti Anayasası.
• Çalışan: Özpaş çalışanları.
• Çalışan Adayı: Özpaş’a herhangi bir yolla iş başvurusunda bulunmuş veya özgeçmişini ve ilgili bilgilerini incelemeye açmış gerçek kişiler.
• İlgili Kişi: Kişisel verisi işlenen gerçek kişi.
• İş Birliği İçerisinde Olduğumuz Kurumların Çalışanları, Hissedarları ve Yetkilileri: Özpaş ile iş ilişkisi bulunan (ifa yardımcısı, iş ortağı, tedarikçi, program ortağı vb. dahil) kurumların çalışanları, hissedarları ve yetkilileri.
• Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. (Örn. ad-soyad, T.C. kimlik numarası, adres, telefon, e-posta, doğum tarihi, kredi kartı bilgisi vb.)
• Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması veya kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.
• KVK Kanunu: 6698 sayılı Kişisel Verilerin Korunması Kanunu.
• KVK Kurulu: Kişisel Verileri Koruma Kurulu.
• KVK Kurumu: Kişisel Verileri Koruma Kurumu.
• Müşteri: Özpaş’ın sunduğu ürün ve hizmetleri kullanan veya kullanmış olan gerçek kişiler. (Şirketimizle sözleşmesel ilişkisi olup olmamasına bakılmaksızın).
• Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık-kıyafet, dernek/vakıf/sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler ile biyometrik ve genetik veriler.
• Özpaş Kişisel Veriler Hakkında Başvuru Formu: Veri sahiplerinin, KVKK’nın 11. maddesinde düzenlenen haklarını kullanırken yararlanacakları başvuru formu.
• Politika ve Prosedürler: Özpaş tarafından KVKK’ya uyum sağlamak üzere hazırlanan politika ve prosedürler.
• Potansiyel Müşteri: Ürün ve hizmetlerimizi satın alma veya kullanma talebinde bulunmuş ya da ticari teamül ve dürüstlük kuralları çerçevesinde bu yönde değerlendirilmiş gerçek kişiler.
• Şirket: Özpaş Mağazacılık A.Ş.
• Şirket Yetkilisi: Özpaş yönetim kurulu üyeleri ve diğer yetkili gerçek kişiler.
• Tedarikçi: Sözleşme temelli olarak Özpaş’a ürün ve/veya hizmet sağlayan üçüncü kişiler.
• Üçüncü Kişi: Yukarıda tanımlanan taraflarla Özpaş arasındaki ticari işlem güvenliğini sağlamak, tarafların haklarını korumak veya menfaat temin etmek amacıyla ilişki içerisinde bulunan üçüncü gerçek kişiler.
• Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişi.
• Veri Kayıt Sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
• Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) kuran ve yöneten kişi. Bu Politika kapsamında veri sorumlusu Özpaş’tır.
• Veri Sorumluları Sicili: Kişisel Verileri Koruma Kurumu tarafından tutulan ve kamuya açık olan sicil (VERBİS).
• Ziyaretçi: Özpaş’ın sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla giriş yapan veya internet sitelerini ziyaret eden gerçek kişiler.

4. Kişisel Veri Kategorileri

Aşağıda, Özpaş tarafından işlenebilecek kişisel veriler kategoriler halinde açıklanmıştır:

4.1 Politika Kapsamı Dışında Kalan Veriler

Aşağıda belirtilen kişisel veri içeren tüm varlıklar bu Politika kapsamındadır:

• Kişisel veri içeren tüm uygulamalar,
• Kişisel veri içeren tüm veri tabanları,
• Kişisel veri içeren tüm sistemler,
• Kişisel verileri barındıran tüm cihazlar,
• Kişisel veri içeren tüm ses kayıtları,
• Kişisel veri içeren tüm log kayıtları (denetim izleri),
• Kişisel veri içeren tüm görüntü kayıtları.

Bununla birlikte, anonim hale getirilmiş veriler (istatistiki değerlendirmeler veya kimliği belirlenemeyen çalışmalar), tüzel kişilere ilişkin veriler ile 6698 sayılı Kanun kapsamında kişisel veri olarak kabul edilmeyen veriler, işbu Politika’nın kapsamı dışında tutulmaktadır.

4.2 Yürürlük ve Güncellemeler

Bu Politika ve ilgili prosedürler, Özpaş tarafından Kurumsal web sitesinde yayımlanarak tüm çalışanların ve kamuoyunun erişimine sunulacaktır.

6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) başta olmak üzere yürürlükteki mevzuat hükümleri ile bu Politika ve prosedürlerde yer alan düzenlemeler arasında farklılık bulunması halinde, öncelikle mevzuat hükümleri uygulanır.

Özpaş, yasal düzenlemelerde meydana gelebilecek değişikliklere uyum sağlamak veya yeni süreçleri kapsamak amacıyla, işbu Politika ve prosedürlerde değişiklik yapma hakkını saklı tutar. Politika’da yapılan her türlü güncelleme derhal yürürlüğe girecek ve güncel versiyon Kurumsal web sitesinde yayımlanarak ilgililerin bilgisine sunulacaktır.

5. Kişisel Verilerin Kategorizasyonu

Özpaş tarafından yürütülen veri işleme faaliyetleri kapsamında, kısmen veya tamamen otomatik yollarla ya da veri kayıt sisteminin bir parçası olmak kaydıyla otomatik olmayan yöntemlerle işlenen; ait olduğu gerçek kişiyi belirleyen veya belirlenebilir kılan kişisel veri kategorileri aşağıda tanımlanmıştır:

• Kimlik Bilgisi: Ad-soyad, T.C. kimlik numarası, pasaport, ehliyet ve benzeri kimlik bilgileri.
• İletişim Bilgisi: Telefon numarası, adres, e-posta, faks bilgileri.
• Finansal Bilgi: Banka hesap numarası, kredi kartı bilgileri, finansal işlem kayıtları.
• Müşteri Bilgisi ve İşlem Bilgisi: Alışveriş bilgileri, işlem geçmişi, talep/şikâyet kayıtları.
• Görsel ve İşitsel Veri: Kamera kayıtları, fotoğraf ve ses kayıtları.
• Fiziksel Mekân Güvenlik Verileri: Giriş-çıkış kayıtları, güvenlik kameraları, biyometrik veriler.
• Özel Nitelikli Kişisel Veriler: Sağlık bilgileri, sendika/dernek üyelikleri, biyometrik ve genetik veriler vb.
• Lokasyon Verileri: Mağaza içi veya dijital uygulamalar yoluyla elde edilen konum bilgileri.
• Diğer Veriler: İtibar yönetimi, denetim ve risk yönetimine ilişkin işlenen veriler.

6. Kişisel Verilerin İşlenmesi

Özpaş, kişisel verilerin hukuka uygun olarak işlenmesini sağlamak amacıyla teknolojik imkânlar ve maliyet unsurları dikkate alınarak gerekli teknik ve idari tedbirleri almaktadır.

Çalışanların Yükümlülüğü

Özpaş çalışanları, görevleri kapsamında öğrendikleri kişisel verileri KVKK’ya aykırı şekilde üçüncü kişilerle paylaşamaz, işleme amacı dışında kullanamaz. Bu yükümlülük,

görevden ayrıldıktan sonra da devam eder. Çalışanlardan bu hususta yazılı taahhüt alınmaktadır.

Veri İşleme Yöntemi

Özpaş’ın kişisel veri işleme faaliyetleri; otomatik, yarı otomatik veya manuel yöntemlerle gerçekleştirilebilmekte olup, veri üzerinde yapılan her türlü işlem bu kapsamda değerlendirilir.

Veri İşleme Süreçlerinde Benimsediği İlkeler

Özpaş, hizmet ilişkisi devam ettiği sürece ve sonrasında kişisel verilerin işlenmesinde aşağıdaki prensiplere uymaktadır:

• Farkındalık ve Denetim: Kişisel verilerin hukuka aykırı işlenmesinin önlenmesi, verilere yetkisiz erişimin engellenmesi ve verilerin güvenli saklanması amacıyla iş ortakları ve tedarikçiler nezdinde farkındalık oluşturulmakta, gerekli denetimler yapılmaktadır.
• Yükümlülüklerin Yükletilmesi: Özpaş’ın kendi sorumlulukları yanında, kişisel verilerin işlendiği iş ortağı, tedarikçi ve hizmet sağlayıcılar gibi üçüncü taraflara da, gerçekleştirdikleri faaliyetin niteliğine uygun yükümlülükler yüklenmekte ve bu yükümlülüklerin yerine getirilip getirilmediği denetlenmektedir.
• Teknik ve İdari Tedbirler: Verilerin kaybolması, yetkisiz şekilde değiştirilmesi, silinmesi veya hukuka aykırı olarak ifşa edilmesini önlemek için gerekli güvenlik önlemleri alınmaktadır. Ayrıca, siber güvenlik tehditlerine karşı güncel teknik tedbirler uygulanmaktadır.
• İç Denetim Mekanizması: KVK Kanunu m.12’ye uygun olarak periyodik denetimler yapılmakta, raporlanmakta ve eksiklikler giderilmektedir.
• İhlal Bildirimi: Kişisel verilerin kanuni olmayan yollarla üçüncü kişiler tarafından elde edilmesi durumunda, Özpaş en kısa sürede hem ilgili kişiyi hem de KVK Kurulu’nu bilgilendirmektedir.

6.1 Kişisel Verilerin İşlenmesinin Kapsamı

Kişisel verilerin işlenme kapsamı, bu Politika’nın 2. ve 6. bölümlerinde düzenlenmiştir. Özpaş, hizmetlerin kullanım süresi boyunca ve ilişkinin sona ermesinden sonra da, işbu Politika’da belirtilen ilkelere uymak kaydıyla ilgili kişilerin verilerini işleme hakkına sahiptir.

Kişisel veri işleme; otomatik, yarı otomatik veya manuel yöntemlerle gerçekleştirilen tüm işlemleri kapsar. Bu kapsamda;

• Verilerin toplanması, kaydedilmesi, depolanması, muhafaza edilmesi,
• Fotoğraf, ses ve video kayıtlarının alınması,
• Verilerin düzenlenmesi, değiştirilmesi, sınıflandırılması,
• Verilerin aktarılması, yurtdışına transfer edilmesi, açıklanması veya paylaşılması,
• Verilerin bloklanması, silinmesi, yok edilmesi veya anonim hale getirilmesi,

gibi her türlü işlem kişisel veri işleme faaliyeti olarak kabul edilir.

6.2 Kişisel Verilerin Mevzuata Uygun Olarak İşlenmesi

KVK Kanunu’nun 5. maddesi uyarınca, kişisel veriler yalnızca Kanun’da ve ilgili mevzuatta öngörülen usul ve esaslara uygun olarak işlenebilir. Özpaş, tüm veri işleme faaliyetlerinde Türkiye Cumhuriyeti Anayasası, KVK Kanunu ve diğer mevzuat hükümlerine uygun hareket etmektedir.

Kişisel verilerin işlenmesinde aşağıdaki ilkelere riayet edilmektedir:

• Hukuka ve Dürüstlük Kurallarına Uygunluk

Özpaş, kişisel verilerin işlenmesinde hukuka ve dürüstlük kuralına uygun davranır; veri sahibinin güvenini sarsacak her türlü işlemden kaçınır.

• Doğruluk ve Güncellik

Kişisel verilerin doğru ve gerektiğinde güncel tutulması için gerekli teknik ve idari tedbirler alınır. İlgili kişilerin verilerini güncelleyebilmesi ve yanlış bilgilerin düzeltilmesi için gerekli mekanizmalar oluşturulmuştur.

• Belirli, Açık ve Meşru Amaçlarla İşleme

Veri işleme faaliyetlerine başlamadan önce amaçlar açıkça belirlenir ve ilgili kişilere aydınlatma yükümlülüğü çerçevesinde bildirilir. Veriler yalnızca meşru ve hukuka uygun amaçlarla işlenir.

• Amaçla Bağlantılı, Sınırlı ve Ölçülü İşleme

Kişisel veriler, yalnızca belirlenen amaçların gerçekleştirilmesi için gerekli olduğu ölçüde işlenir. İleride kullanılabileceği varsayımıyla gereksiz veri işlenmesi yoluna gidilmez.

• Muhafaza Süresiyle Sınırlı Olma

Kişisel veriler, ilgili mevzuatta öngörülen süreler boyunca veya işlendikleri amaç için gerekli olan süre kadar saklanır. Sürenin sona ermesi veya işleme amacının ortadan kalkması halinde veriler, silinir, yok edilir veya anonim hale getirilir.

6.3 Kişisel Verilerin İşlenme Şartları

Özpaş, kişisel verileri yalnızca 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. maddesinde öngörülen şartlara uygun olarak işlemektedir. Bu kapsamda, kişisel veriler kural olarak ilgili kişinin açık rızası ile işlenir. Ancak Kanun’un 5/2. maddesinde düzenlenen hallerde, açık rıza aranmaksızın da kişisel veri işlenmesi mümkündür. Aşağıda belirtilen şartlardan herhangi birinin varlığı, tek başına kişisel verilerin işlenmesi için yeterlidir; aynı işleme faaliyeti birden fazla şartla da dayanak bulabilir.

Kanunda Açıkça Öngörülmesi
Kanunlarda kişisel verilerin işlenmesine dair açık bir düzenleme bulunması halinde, ilgili kişinin rızası aranmaksızın veri işlenebilir.
Örnek: İş Kanunu gereğince çalışanlara ait özlük dosyalarının tutulması.

Fiili İmkânsızlık Hali
Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan veya rızasına hukuki geçerlilik tanınmayan kişilerin ya da üçüncü kişilerin hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde veriler işlenebilir.
Örnek: Mağazada kaza geçiren müşterinin sağlık bilgisinin acil müdahale amacıyla ailesi tarafından paylaşılması.

Sözleşmenin Kurulması veya İfası
Bir sözleşmenin kurulması veya ifasıyla doğrudan ilgili olması halinde, sözleşmenin taraflarına ait kişisel veriler işlenebilir.
Örnek: E-ticaret siparişinde teslimat için ad, soyad, adres ve telefon bilgilerinin kargo şirketiyle paylaşılması.

Hukuki Yükümlülüklerin Yerine Getirilmesi
Veri sorumlusunun hukuki yükümlülüklerini yerine getirebilmesi için gerekli olması durumunda kişisel veriler işlenebilir.
Örnek: Savcılık kararı doğrultusunda müşteri bilgilerinin yetkili makamlara iletilmesi.

Kişisel Verilerin İlgili Kişi Tarafından Alenileştirilmiş Olması
Veri sahibinin kişisel verisini kendisinin kamuya açıklamış olması halinde, bu veriler açık rıza aranmaksızın işlenebilir.
Örnek: Sosyal medyada kamuya açık olarak paylaşılmış iletişim bilgileri.

Bir Hakkın Tesisi, Kullanılması veya Korunması
Bir hakkın tesisi, kullanılması veya korunması için veri işlenmesinin zorunlu olması halinde veriler işlenebilir.
Örnek: Uyuşmazlık halinde delil niteliği taşıyan satış sözleşmesinin saklanması.

Meşru Menfaat
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumunda veriler işlenebilir.
Örnek: Mali işler birimi tarafından yapılan finansal raporlamalarda kişisel verilerin işlenmesi.

 Açık Rıza
Yukarıda sayılan istisnaların bulunmadığı hallerde, kişisel veriler yalnızca ilgili kişinin açık rızası ile işlenir. Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş irade beyanıdır.

7. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİ

7.1 Özel Nitelikli Kişisel Verilerin İşlenme Şartları

KVK Kanunu’nun 6. maddesinde; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf veya sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler özel nitelikli kişisel veri olarak sayılmıştır.

Bu verilerin işlenmesi kural olarak ilgili kişinin açık rızasına tabidir. Ancak Kanun’un 6/3. fıkrasında öngörülen istisnalar saklıdır. Buna göre:

Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, yalnızca kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilir.

Diğer özel nitelikli kişisel veriler ise kanunlarda öngörülen hallerde açık rıza aranmaksızın işlenebilir.

Özpaş, özel nitelikli kişisel verileri ancak Kişisel Verileri Koruma Kurulu’nca belirlenen yeterli önlemleri almak kaydıyla işler.

7.2 Özel Nitelikli Kişisel Verilerin Korunması

Özel nitelikli kişisel veriler, niteliği gereği hukuka aykırı işlendiğinde kişilerin mağduriyetine veya ayrımcılığa yol açma riski taşıdığından Özpaş, bu verilere yönelik özel güvenlik tedbirlerini uygulamaktadır.

Bu kapsamda alınan idari ve teknik tedbirler aşağıda özetlenmiştir:

a) İdari Tedbirler:

• Özel nitelikli verilerin işlendiği süreçlerde görev alan çalışanlara düzenli eğitimler verilmekte, gizlilik sözleşmeleri imzalatılmakta, yetki kapsamı ve süreleri net olarak tanımlanmaktadır.
• Görev değişikliği veya işten ayrılma hallerinde, çalışana tanınan tüm erişim yetkileri derhal iptal edilir ve kendisine tahsis edilen envanter iade alınır.
• Periyodik olarak yetki kontrolleri yapılır ve güncellemeler sağlanır.

b) Teknik Tedbirler (Elektronik Ortam):

• Özel nitelikli veriler kriptografik yöntemlerle şifrelenerek saklanır.
• Kriptografik anahtarlar güvenli ve farklı ortamlarda muhafaza edilir.
• Verilere erişim ve bu veriler üzerinde yapılan tüm işlemler log kayıtlarıyla izlenir.
• Sistem güvenlik güncellemeleri düzenli olarak takip edilir, gerekli sızma testleri yaptırılır ve tespit edilen güvenlik açıkları gecikmeksizin kapatılır.
• Verilere erişim sağlayan yazılımlar için yetkilendirme kontrolleri yapılır.
• Uzaktan erişim gerekiyorsa, en az iki aşamalı kimlik doğrulama uygulanır.

c) Teknik Tedbirler (Fiziksel Ortam):

• Fiziksel ortamlarda saklanan özel nitelikli veriler için yangın, su baskını, hırsızlık, elektrik arızası gibi risklere karşı fiziksel güvenlik önlemleri alınır.
• Bu ortamlara giriş-çıkışlar yetkili kişilerle sınırlandırılır ve erişimler kayıt altına alınır.

8. KİŞİSEL VERİLERİN AKTARILMASI

Özpaş, kişisel verileri yalnızca KVK Kanunu’nun 8. ve 9. maddelerinde belirtilen şartlara uygun olarak ve ilgili kişilerin temel hak ve özgürlüklerini gözeterek üçüncü kişilere aktarır.

Kişisel veriler; hizmetlerin ifası, müşteri memnuniyetinin sağlanması, ticari faaliyetlerin yürütülmesi, Özpaş’ın ve iş ortaklarının hukuki/ticari güvenliğinin sağlanması ve yasal yükümlülüklerin yerine getirilmesi amaçlarıyla iş ortakları, tedarikçiler, iştirakler, bağlı ortaklıklar, hizmet sağlayıcılar, alt yükleniciler, GSM operatörleri ile yetkili kamu kurumları ve özel hukuk kişilerine aktarılabilir.

Aktarımlarda gerekli idari ve teknik tedbirler alınır ve özel nitelikli kişisel veriler açısından KVK Kurulu tarafından belirlenen ek önlemler uygulanır.

8.1 Kişisel Verilerin Yurtiçinde Aktarılması

Özpaş, veri sahiplerinin taleplerini karşılamak, hizmet kalitesini artırmak, müşteri memnuniyeti sağlamak, teknik sorunları çözmek ve ticari faaliyetlerini yürütmek amacıyla kişisel verileri yurtiçinde;

• İş ortaklarına,
• Tedarikçilere,
• Hizmet sağlayıcılara ve alt yüklenicilere,
• Özpaş Yönetim Kurulu ve bağlı şirketlerine,
• Hukuken yetkili kamu kurum ve kuruluşlarına,
• Hukuken yetkili özel hukuk kişilerine

KVK Kanunu m.8 kapsamında aktarabilir.

8.1.1 Özel Nitelikli Kişisel Verilerin Yurtiçinde Aktarılması

Özpaş, özel nitelikli kişisel verileri yalnızca KVK Kurulu’nca belirlenen yeterli önlemler alınmak şartıyla ve Politika’nın 7. bölümünde öngörülen şartlara uygun olarak yurtiçindeki üçüncü kişilere aktarabilir.

8.2 Kişisel Verilerin Yurtdışına Aktarılması

Kişisel veriler, Özpaş tarafından KVK Kanunu m.9 kapsamında yalnızca aşağıdaki şartların sağlanması halinde yurtdışına aktarılabilir:

• Kişisel verinin aktarılacağı ülke Kurul tarafından yeterli korumaya sahip ülke ilan edilmişse,
• Yeterli koruma bulunmaması halinde, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yazılı olarak yeterli korumayı taahhüt etmesi ve Kurul’un izninin bulunması.

8.2.1 Özel Nitelikli Kişisel Verilerin Yurtdışına Aktarılması

Özel nitelikli kişisel veriler, yalnızca:

• Kurul tarafından güvenli ülke ilan edilen ülkelere,
• Veya yeterli koruma taahhüdü bulunan ülkelere Kurul izniyle

aktarılabilir.

Teknik önlemler:

• E-posta ile aktarım gerekiyorsa, veriler yalnızca kurumsal e-posta veya Kayıtlı Elektronik Posta (KEP) yoluyla ve şifrelenmiş şekilde gönderilir.
• Taşınabilir bellek/CD/DVD gibi ortamlarda aktarım gerekiyorsa, veri kriptografik yöntemlerle şifrelenir ve anahtar farklı bir ortamda saklanır.
• Sunucular arası aktarım gerekiyorsa VPN veya SFTP kullanılır.
• Fiziksel ortamda aktarım gerekiyorsa, belgeler gizlilik dereceli evrak formatında hazırlanır ve kaybolma/çalıntı riskine karşı gerekli güvenlik önlemleri alınır.

8.3 Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarım Amaçları

Özpaş tarafından kişisel veriler aşağıdaki taraflara aktarılabilmektedir:

• İş Ortakları: Ürün/hizmet sunumunun planlanması, geliştirilmesi, pazarlama faaliyetlerinin yürütülmesi.
• Tedarikçiler ve Alt Yükleniciler: Lojistik, IT desteği, müşteri hizmetleri ve operasyonel süreçlerin yönetimi.
• Hukuken Yetkili Kamu Kurum ve Kuruluşları: Yasal yükümlülüklerin yerine getirilmesi, kamu güvenliğinin sağlanması.
• Hukuken Yetkili Özel Hukuk Kişileri: Denetçiler, bağımsız denetim şirketleri, meslek kuruluşları.
• Avukatlar/Hukuk Büroları/Danışmanlar: Hukuki uyuşmazlıkların çözümü, dava ve icra takipleri.
• Grup Şirketleri ve Yönetim Kurulu: Stratejik planlama, kurumsal yönetim ve ortak iş süreçleri.

9. KİŞİSEL VERİLERE İLİŞKİN HAKLAR VE YÜKÜMLÜLÜKLER

9.1 İlgili Kişilerin Aydınlatılması Yükümlülüğü

KVKK’nın 10. maddesi uyarınca Özpaş, kişisel verilerin elde edilmesi sırasında ilgili kişileri aydınlatmakla yükümlüdür.
Bu kapsamda, veri sahiplerine;

• Kişisel verilerin Özpaş tarafından işleneceği,
• Hangi amaçlarla işleneceği,
• İşlenen verilerin kimlere ve hangi amaçlarla aktarılabileceği,
• Veri toplama yöntemi ve hukuki sebebi,
• KVKK’nın 11. maddesinde düzenlenen hakları,

bildirilmekte ve gerektiğinde açık rızaları alınmaktadır.

9.2 İlgili Kişilerin Hakları

KVKK’nın 11. maddesi kapsamında kişisel veri sahipleri Özpaş’a başvurarak aşağıdaki haklarını kullanabilir:

1. Kişisel verilerinin işlenip işlenmediğini öğrenme,
2. İşlenmişse buna ilişkin bilgi talep etme,
3. Verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmiş verilerin düzeltilmesini talep etme,
6. KVKK m.7 kapsamında verilerin silinmesini veya yok edilmesini isteme,
7. Bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini talep etme,
8. Münhasıran otomatik sistemler ile analiz sonucu aleyhlerine bir durum çıkmasına itiraz etme,
9. Kanuna aykırı veri işlenmesi sebebiyle zarara uğranması halinde zararın giderilmesini talep etme.

9.3 Hakların Kullanılamayacağı Haller

KVKK m.28/1’de düzenlenen istisnalar çerçevesinde bazı durumlarda veri sahipleri, kanunda sayılan haklarını ileri süremez. Ayrıca, m.28/2’de belirtilen hallerde ise yalnızca zararın giderilmesini talep etme hakkı saklı olup, diğer hakların kullanımı mümkün değildir.

9.4 Veri Sahibinin Başvuru Usulü

İlgili kişiler, KVKK m.13 ve “Veri Sorumlusuna Başvuru Usul ve Esasları Tebliği” uyarınca haklarını kullanmak için Özpaş Kişisel Veriler Hakkında Başvuru Formu aracılığıyla başvuru yapabilir.

Başvurular;

• Güvenli elektronik imza ile bilgi@ozpasmarket.com adresine veya ozturkzahirecilik@hs01.kep.tr KEP adresine,
• Islak imzalı olarak Sakarya 1. OSB, 10. Cadde No:19 Arifiye/Sakarya adresine,

iletilmelidir.

Başvurularda bulunması zorunlu bilgiler:

• Ad, soyad ve imza (yazılı başvurularda),
• T.C. kimlik numarası (yabancılar için uyruğu ve pasaport/kimlik numarası),
• Yerleşim yeri veya iş adresi,
• Varsa bildirime esas e-posta, telefon veya faks numarası,
• Talep konusu.

Üçüncü kişiler adına başvuru yapılması, ancak özel vekâletname ile mümkündür.

9.5 Özpaş’ın Başvurulara Cevap Yükümlülüğü

Özpaş, usule uygun olarak iletilen başvuruları en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırır.

• Talep kabul edilir veya gerekçesi açıklanarak reddedilir.
• Yanıt, başvuruda belirtilen iletişim adresine yazılı veya elektronik ortamda iletilir.
• İşlemin ayrıca maliyet doğurması halinde, KVKK Kurulu’nca belirlenen tarifedeki ücret talep edilebilir.
• Başvurunun Özpaş’ın hatasından kaynaklanması durumunda alınan ücret iade edilir.

Eksik veya hatalı başvurular, yanlış iletişim bilgileri, usule aykırı yöntemlerle yapılan başvurular Özpaş’ın cevap yükümlülüğünü ortadan kaldırır.

9.6 Kurula Şikâyet Hakkı

Kişisel veri sahibi, başvuru hakkını kullandıktan sonra KVKK m.14 uyarınca Kişisel Verileri Koruma Kurulu’na şikâyet yoluna başvurabilir. Doğrudan Kurul’a şikâyet, başvuru yoluna başvurmadan yapılamaz.

10. KİŞİSEL VERİLERİN GÜVENLİ SAKLANMASI, HUKUKA AYKIRI İŞLENMESİNİN VE ERİŞİMİN ÖNLENMESİ

Özpaş, KVKK’nın 12. maddesi uyarınca kişisel verilerin güvenliğini sağlamak için gerekli her türlü teknik ve idari tedbiri almakta, düzenli denetimler gerçekleştirmekte veya bu denetimleri üçüncü taraf hizmet sağlayıcılar aracılığıyla yaptırmaktadır. Denetimler sonucunda tespit edilen eksiklikler; maliyet, efor ve risk analizi (kritiklik düzeyi) dikkate alınarak en kısa sürede giderilmektedir.

10.1 Kişisel Verilerin İşlenmesinde Gizlilik

• Özpaş tarafından hukuka uygun işlenen tüm kişisel veriler gizlilik esasına tabidir.
• Özel nitelikli kişisel veriler ile dijital kanallar (web sitesi, uygulamalar vb.) aracılığıyla elde edilen kişisel verilerin gizliliği ve güvenliği için gerekli teknik ve organizasyonel önlemler alınmaktadır.
• Çalışanların, görev kapsamı dışında kişisel verilere erişmesi, bunları işlemesi, paylaşması veya ticari/özel amaçlarla kullanması yasaktır.
• Çalışanlar yalnızca görev tanımları ve yetki seviyeleri doğrultusunda verilere erişebilir. Bu yetkilendirmeler net olarak ayrıştırılmıştır.
• Çalışanlara istihdam sürecinin başında veri gizliliği yükümlülükleri bildirilmekte ve bu yükümlülük, iş akdinin sona ermesinden sonra da devam etmektedir.

10.2 Kişisel Verilerin İşlenmesinde Güvenlik

• Kişisel veriler, yetkisiz erişim, yasa dışı işleme, ifşa, kayıp, değiştirilme veya imhaya karşı korunmaktadır.
• Veriler; yalnızca yetkili Özpaş çalışanları, yükleniciler ve aracı kişiler tarafından erişilebilecek güvenli ortamlarda saklanmaktadır.
• Bu güvenlik önlemleri, hem elektronik ortamda hem de fiziki ortamlarda geçerlidir.
• Yeni teknolojiler ve riskler dikkate alınarak güvenlik önlemleri sürekli güncellenmektedir.

10.3 Teknik Tedbirler

• Kişisel veriler, gelişen teknolojiye uygun güncel güvenlik sistemleri ile korunmaktadır.
• Alınan teknik önlemler düzenli aralıklarla güncellenmekte, iç denetimlerle raporlanmakta ve riskler yeniden değerlendirilmektedir.
• Teknik güvenliği sağlamak üzere uzman personel görevlendirilmekte, gerektiğinde üçüncü taraflardan da destek alınmaktadır.

10.4 İdari Tedbirler

• Çalışan sözleşmelerine, verilerin işlenmesi, ifşa edilmemesi ve amaç dışı kullanılmaması yönünde bağlayıcı hükümler ve taahhütler eklenmektedir.
• Çalışanların bu yükümlülüklere uyumu denetlenmekte, sürekliliği sağlanmaktadır.
• Verilerin aktarıldığı üçüncü kişilerle yapılan sözleşmelere, kişisel verilerin korunmasına ilişkin güvence hükümleri eklenmektedir.
• 10.5 Denetim Faaliyetleri

• Özpaş, KVKK m.12 kapsamında düzenli denetimler yapmakta veya yetkilendirilmiş firmalara yaptırmaktadır.
• Denetim sonuçları ilgili departmanlara raporlanmakta ve eksikliklerin giderilmesi için iyileştirme çalışmaları yapılmaktadır.

11. KAYIT ORTAMLARI

11.1 Mağaza ve İdari Merkezlerde Kamera ile İzleme

Özpaş, sunduğu hizmetlerin kalitesini artırmak, güvenilirliği sağlamak, şirketin, müşterilerin ve üçüncü kişilerin güvenliğini temin etmek ve müşterilerin hizmetten kaynaklı menfaatlerini korumak amacıyla mağaza, idari merkez, depo ve diğer tesislerde güvenlik kamerası ile izleme faaliyetinde bulunmaktadır.

Bu faaliyet:

• Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun şekilde yürütülmektedir.
• Mahremiyet alanları (örneğin tuvaletler) hiçbir şekilde izlemeye tabi tutulmamaktadır.
• KVK Kanunu’nun 10. maddesi uyarınca ilgili kişiler,

İnternet sitesinde yayımlanan Gizlilik ve Veri Güvenliği Politikası,

Kamera bulunan alanların girişlerine asılan aydınlatma yazıları aracılığıyla bilgilendirilmektedir.

• Elde edilen görüntüler, Politika’da belirtilen teknik ve idari tedbirler kapsamında korunmaktadır.

11.2 İnternet Erişim ve Log Kayıtları

• Kurum tesislerinde sağlanan internet erişimine ilişkin log kayıtları, 5651 sayılı Kanun ve ilgili mevzuata uygun olarak tutulmaktadır.

Bu kayıtlar yalnızca:

• Yetkili kamu kurumlarının talebi üzerine,
• Veya kurum içi denetim süreçlerinde hukuki yükümlülüklerin yerine getirilmesi amacıyla kullanılmaktadır.