Kişisel Veri Saklama ve İmha Politikası

1. Amaç

Bu politika, GÜN GIDA VE İHTİYAÇ MADDELERİ SANAYİ VE TİCARET ANONİM ŞİRKETİ tarafından işlenen kişisel verilerin saklanma sürelerini, imha yöntemlerini ve periyodik imha esaslarını; 6698 sayılı Kanun ile Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik uyarınca düzenler.

2. Saklamayı Gerektiren Sebepler

• Konaklama sözleşmesinin kurulması ve ifası
• 1774 sayılı Kimlik Bildirme Kanunu'ndan doğan bildirim yükümlülüğü
• 213 sayılı Vergi Usul Kanunu ve 6102 sayılı Türk Ticaret Kanunu'ndan doğan defter ve belge saklama yükümlülükleri
• 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülüğü
• Olası hukuki uyuşmazlıklarda delil teşkil etmesi ve zamanaşımı süreleri
• Tesis ve kişi güvenliğinin sağlanması

3. İmhayı Gerektiren Sebepler

• İşlemeye esas hukuki sebebin ortadan kalkması
• Açık rızaya dayanan işlemelerde rızanın geri alınması
• İlgili kişinin silme veya yok etme talebinin kabul edilmesi
• Mevzuatta öngörülen azami saklama süresinin dolması

4. Saklama Süreleri

Bir uyuşmazlık, denetim veya soruşturma süreci başlamışsa, ilgili veriler süre dolmuş olsa dahi süreç kesinleşene kadar saklanır.

5. İmha Yöntemleri

5.1. Silme

5.2. Yok etme

Fiziksel kayıt ortamlarının (disk, yedek ünitesi) tekrar kullanılamayacak biçimde fiziksel olarak imha edilmesi veya güvenli silme yazılımı ile üzerine yazılmasıdır.

5.3. Anonim hâle getirme

Verinin, başka verilerle eşleştirilse dahi kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. İstatistik amaçlı kullanılacak veriler için tercih edilir.

6. Saklamaya İlişkin Teknik ve İdari Tedbirler (KVKK m.12)

Saklama süresi boyunca kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, muhafazasını sağlamak için aşağıdaki tedbirler alınır. Bu tedbirler KVKK Politikası'nın 7. bölümüyle aynıdır.

6.1. Teknik tedbirler

• Tüm web trafiği HTTPS üzerinden şifreli taşınır; HSTS uygulanır.
• Oturum çerezleri HttpOnly, SameSite ve Secure bayraklarıyla korunur.
• Yetkisiz erişime karşı rol bazlı yetkilendirme uygulanır; yönetim paneli kimlik doğrulaması gerektirir.
• Veritabanı erişimi yalnızca uygulama sunucusundan yapılır; kimlik bilgileri ortam değişkenlerinde tutulur.
• Formlarda enjeksiyon ve kötüye kullanıma karşı doğrulama, hız sınırı ve bot koruması uygulanır.
• Sunucu hata çıktıları dışarı verilmez; yalnızca kayıt altına alınır.
• Üçüncü taraf içerikler açık rıza alınmadan yüklenmez.

6.2. İdari tedbirler

• Kişisel veriye erişen personel gizlilik yükümlülüğü altındadır.
• Personele KVKK farkındalık eğitimi verilir.
• Erişim yetkileri görev değişikliği ve işten ayrılma hâlinde derhal güncellenir.
• İşleme faaliyetleri envanterde kayıt altına alınır ve düzenli olarak gözden geçirilir.

7. Periyodik İmha

Yönetmelik'in 11. maddesi uyarınca, saklama süresi dolan kişisel veriler için periyodik imha süresi 6 ay olarak belirlenmiştir. İmha işlemleri her yıl Haziran ve Aralık aylarında gerçekleştirilir.

Her periyodik imha işlemi tutanağa bağlanır; tutanaklar en az 3 yıl saklanır.

8. Görev ve Sorumluluklar

Roller tesisin gerçek organizasyon yapısına göre güncellenmeli ve sorumlu kişiler isim bazında belirlenmelidir.

9. İlgili Kişinin Talebi Üzerine İmha

İlgili kişinin silme veya yok etme talebi, Başvuru Formu sayfasındaki kanallardan alınır ve en geç 30 gün içinde sonuçlandırılır. Talep kabul edilirse veri gecikmeksizin imha edilir ve varsa aktarıldığı üçüncü kişilere bildirilir. Saklamayı gerektiren hukuki bir sebep mevcutsa talep gerekçesiyle birlikte reddedilir.