Politika Belgeleri

Tarım ve Kırsal Kalkınmayı Destekleme Kurumu (TKDK), Avrupa Birliği ve uluslararası kuruluşlardan sağlanan kaynakları, ülkemizde kırsal kalkınma programlarının uygulanmasına yönelik faaliyetlerin gerçekleştirilmesi için kullanan bir kurumdur.

TKDK’nın üç genel koordinatörlüğünden birisi olan Destek Hizmetleri Genel Koordinatörlüğü’ne bağlı olan Bilgi Sistemleri Koordinatörlüğü, TKDK’nın, kırsal kalkınma programlarını etkin, güvenilir ve sürdürülebilir bir şekilde yürütmesinde Bilgi ve İletişim Teknolojileri altyapısıyla kuruma destek sağlar. Kurumumuzun sahip olduğu bilgi varlıkları ve bu bilgileri üretme, işleme ve sunma imkânları kurumun en değerli kaynaklarıdır. TKDK’nın kurumsal amaçlarına ulaşırken bilginin bütünlük, erişilebilirlik, gizlilik ilkeleri gözetilerek bilgi teknolojilerinin etkin, etkili ve güvenli bir şekilde kullanılmasını sağlamak büyük önem taşımaktadır. Gizlilik, hassas bilgilerin yetkisiz kişilerin erişimine karşı korunması; Bütünlük, bilginin doğru ve eksiksiz olmasının sağlanması; Erişilebilirlik, bilginin ihtiyaç duyulduğu anda kullanıcının kullanımına hazır olmasının temin edilmesidir. Bu 3 temel kavram Bilgi Güvenliği Yönetim Sistemi (BGYS)’nin temelini oluşturmaktadır.

Kurumumuz Yönetimi, TKDK Bilgi Sistemlerini kullanarak veya doğrudan kurumsal bilgiye erişen tüm personel, misafir kullanıcılar, hizmet alınan 3.taraf firmalar, kurumlar, bilgisayar donanım ve yazılımlar kapsamında, Avrupa Komisyonu ile yapılan Sektörel Anlaşma çerçevesinde ISO/IEC 27001 Bilgi Güvenliği Yönetim Sisteminin kurulmasına karar vermiştir.

Bilgi Sistemleri Koordinatörlüğü kapsamında 2012 yılında kurulan ve 2013 yılında güncellenen standart ile birlikte kapsamına 42 İl Koordinatörlüğü ve Merkez Koordinatörlüklerin eklendiği Bilgi Güvenliği Yönetim Sisteminin uygulanması ve sürdürülmesi kurumumuzun önemli stratejik hedeflerinden birini oluşturmaktadır.

Kurumumuzda BGYS’ nin başarılı bir şekilde uygulanmasından tüm personel sorumludur. Personel, bilgi güvenliği ile ilişkili kılavuzlara, prosedürlere, standartlara ve Kurum politikalarına bağlı kalmakla yükümlüdür.

TKDK Bilgi Sistemlerini kullanarak veya doğrudan kurumsal bilgiye erişen tüm personel, misafir kullanıcılar, hizmet alınan 3.taraf firmalar, gizlilik sözleşmesinde ve kullanıcı taahhütnamesinde yer alan sorumlulukları kabul eder ve imzalar. Üst Yönetim onayıyla kurulan Bilgi Güveliği Yürütme ve Yönetim Komitesi, Bilgi Güvenliği Politikasının gözden geçirilmesinden, bilgi güvenliği tehdit unsurlarını önleyici ve düzeltici tedbirlerin alınmasından sorumludur. BSK, çalışanlara yönelik BGYS hakkında farkındalık yaratacak eğitim faaliyetlerde bulunur. Merkez ve İl Koordinatörlüklerinde görevlendirilen BGYS Sorumluları, BGYS Yöneticisi tarafından verilen Bilgi Güvenliği Yönetim Sistemi ile ilgili görevleri yerine getirmekle yükümlüdür.

Bilgi Güvenliği Politikası ve prosedürleri yılda bir kez önemli güvenlik arızaları, yeni savunmasızlıklar, riskler, düzeltici faaliyetler, örgütsel veya teknik altyapı değişiklikleri ile ilgili kontroller, yasal değişiklikler, iç ve dış denetim bulguları dikkate alınarak yönetim gözden geçirme toplantısında gözden geçirilir ve gerekli güncellemeler yapılır.

BGYS kapsamında sözleşme ve taahhütnamelerde yer alan yükümlülükler yerine getirilmediği takdirde, Bilgi Güvenliği Yürütme ve Yönetim Komitesi tarafından konu hakkında inceleme ve soruşturma yapılması için üst makama rapor sunulur. Kurallara uyulmadığı ve bilgi güvenliği ihlali gerçekleştiği takdirde kurumsal ve ulusal mevzuatın ilgili hükümlerine istinaden disiplin süreci başlatılır.

Kurum üst yönetimi, Bilgi Güvenliği Yönetim Sistemine uyacağını ve sistemin verimli şekilde çalışması için gerekli olan kaynakları tahsis edeceğini, etkinliğini, sürekli iyileştireceğini ve bunun tüm çalışanlar tarafından anlaşılmasını sağlayacağını taahhüt eder. Bilgi Güvenliği Politikasını ve politikaya uygunluğun önemini faydalanıcılara, hizmet sağlayıcı ve tedarikçilerin ilgili personeline duyurur. Bu taahhüdün sonucu olarak, kurum genelinde bilgi güvenliği farkındalık programları düzenler, alt yapı yatırımlarını sürdürür. Bilgi Güvenliği Politikası’nın uygulanmasının ve kontrolünün yapılmasının, güvenlik ihlallerinde de gerekli yaptırımın icra edilmesinin yönetim tarafından desteklendiğini beyan eder.

Etik İlkeler

Etik Komisyon Başkan ve Üye Bilgileri

Adı Soyadı Birimi Unvanı Görevi E-Posta
Personel ve Destek Hizmetleri Genel Koordinatörlüğü Genel Koordinatör Başkan
Hukuk Müşavirliği 1. Hukuk Müşaviri Üye
Tahakkuk Koordinatörlüğü Tahakkuk Koordinatörü Üye
Proje İzleme ve Kontrol Koordinatörlüğü Proje İzleme ve Kontrol Koordinatörü Üye
Personel İşleri Koordinatörlüğü Personel İşleri Koordinatörü Üye

Komisyonun Görevi

Etik Sözleşmesi

Kamu Görevlileri Etik Sözleşmesi:

  • Kamu hizmetinin her türlü özel çıkarın üzerinde olduğu ve kamu görevlisinin halkın hizmetinde bulunduğu bilinç ve anlayışıyla;
  • Halkın günlük yaşamını kolaylaştırmak, ihtiyaçlarını en etkin, hızlı ve verimli biçimde karşılamak, hizmet kalitesini yükseltmek ve toplumun memnuniyetini artırmak için çalışmayı,
  • Görevimi insan haklarına saygı, saydamlık, katılımcılık, dürüstlük, hesap verebilirlik, kamu yararını gözetme ve hukukun üstünlüğü ilkeleri doğrultusunda yerine getirmeyi,
  • Dil, din, felsefi inanç, siyasi düşünce, ırk, yaş, bedensel engelli ve cinsiyet ayrımı yapmadan, fırsat eşitliğini engelleyici davranış ve uygulamalara meydan vermeden tarafsızlık içerisinde hizmet gereklerine uygun davranmayı,
  • Görevimi, görevle ilişkisi bulunan hiçbir gerçek veya tüzel kişiden hediye almadan, maddi ve manevi fayda veya bu nitelikte herhangi bir çıkar sağlamadan, herhangi bir özel menfaat beklentisi içinde olmadan yerine getirmeyi,
  • Kamu malları ve kaynaklarını kamusal amaçlar ve hizmet gerekleri dışında kullanmamayı ve kullandırmamayı, bu mal ve kaynakları israf etmemeyi,
  • Kişilerin dilekçe, bilgi edinme, şikâyet ve dava açma haklarına saygılı davranmayı, hizmetten yararlananlara, çalışma arkadaşlarıma ve diğer muhataplarıma karşı ilgili, nazik, ölçülü ve saygılı hareket etmeyi,
  • Kamu Görevlileri Etik Kurulunca hazırlanan yönetmeliklerle belirlenen etik davranış ilke ve değerlerine bağlı olarak görev yapmayı ve hizmet sunmayı taahhüt ederim.
T.C.Kimlik No:
Adı Soyadı:
Unvanı:
Birimi:
İmza:
Tarih:

1. Giriş

Veri Sorumlusu olarak Tarım ve Kırsal Kalkınmayı Destekleme Kurumu için kişisel verilerin korunması, büyük hassasiyet arz etmekte olup Kurumun öncelikleri arasındadır. Kişisel verilerin işlenmesi ve korunması süreçleri için işbu Politika ve Kurum bünyesindeki diğer yazılı politikalar ile yönetilen süreç ve hedeflenen gaye; faydalanıcıların, potansiyel faydalanıcıların, çalışanların, çalışan adaylarının, ziyaretçilerin ve üçüncü kişilerin kişisel verilerinin hukuka uygun biçimde işlenmesi ve korunmasıdır.

2. Politikanın Amacı

Bu politikanın temel amacı, Kurum tarafından hukuka uygun bir biçimde elde edilen kişisel veri işlenmesi ve korunmasına yönelik benimsenen sistemler konusunda açıklamalarda bulunmak, bu kapsamda faydalanıcıları, potansiyel faydalanıcıları, çalışanları, çalışan adaylarını, ziyaretçileri ve üçüncü kişileri bilgilendirerek şeffaflık sağlamaktır.

3. Politikanın Kapsamı

Bu Politika faydalanıcıların, potansiyel faydalanıcıların, çalışanların, çalışan adaylarının, ziyaretçilerin ve üçüncü kişilerin otomasyona tabi ya da herhangi bir veri kayıt sisteminden hukuka uygun biçimde elde edilen tüm kişisel verileri kapsar.

4. Tanımlar

Aşağıda verilen tanımlar, 6698 sayılı kanundan ve ilgili mevzuattan alınmıştır:
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi,
Özel Nitelikli Kişisel Veri: Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri,
Kişisel Veri Sahibi: Kişisel verisi işlenen gerçek kişi. (Örneğin; Faydalanıcılar ve çalışanlar...),
Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi,
Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi,
Anonim Hale Getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi,
Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza,
Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

5. Kişisel Verilerin Korunmasına İlişkin Hususlar

Kurum, Kişisel Verilerin Korunması Kanunu’nun 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri almak, bu kapsamda gerekli denetimleri yapmak veya yaptırmakla yükümlüdür.

5.1. Teknik Tedbirler

Kurum tarafından, işlediği kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:
• ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifikasyon çalışmaları kapsamında tetkikler gerçekleştirilmektedir.
• Sızma (Penetrasyon) testleri ile Kurumumuz bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
• Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
• Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
• Kurumun bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
• Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
• Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır.
• Kurum içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
• Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
• Kurum, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
• Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
• Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
• Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
• Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
• Kurum internet sayfasına erişimde güvenli protokol (HTTPS) kullanılmaktadır.
• Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamlar kriptografik yöntemler kullanılarak muhafaza edilmekte, kriptografik anahtarlar güvenli ortamlarda tutulmakta, tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testleri düzenli olarak yapılmaktadır. Test sonuçları kayıt altına alınmaktadır.
• Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.

5.2. İdari Tedbirler

Kurum tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:
• Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması, iletişim teknikleri, teknik bilgi beceri ve bilgi güvenliği yönetim sistemleri ve ilgili mevzuat hakkında eğitimler verilmektedir.
• Kurum tarafından yürütülen faaliyetlere ilişkin çalışanlara, firmalara gizlilik sözleşmeleri imzalatılmaktadır.
• Güvenlik politika ve prosedürlerine uymayan çalışanlara yönelik uygulanacak disiplin prosedürü hazırlanmıştır.
• Kişisel veri işlemeye başlamadan önce Kurum tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
• Kişisel veri işleme envanteri hazırlanmaktadır.
• Kurum içi periyodik ve rastgele denetimler yapılmaktadır.
• Çalışanlara yönelik bilgi güvenliği eğitimleri verilmektedir.

6. Kişisel Verilerin İşlenmesine İlişkin Hususlar

Kurum, Anayasa’nın 20. maddesine ve KVK Kanunu’nun 4. maddesine uygun olarak, kişisel verilerin işlenmesi konusunda; hukuka ve dürüstlük kurallarına uygun; doğru ve gerektiğinde güncel; belirli, açık ve meşru amaçlar güderek; amaçla bağlantılı, sınırlı ve ölçülü bir biçimde kişisel veri işleme faaliyetinde bulunmaktadır. Kurum, Kanunlarda öngörülen veya kişisel veri işleme amacının gerektirdiği süre kadar kişisel verileri muhafaza etmektedir. Kurum, Anayasa’nın 20. ve KVK Kanunu’nun 5. maddeleri gereğince, kişisel verileri, kişisel verilerin işlenmesine ilişkin KVK Kanunu’nun 5. maddesindeki şartlardan bir veya birkaçına dayalı olarak işlemektedir. Kurum, Anayasa’nın 20. ve KVK Kanunu’nun 10. maddelerine uygun olarak, kişisel veri sahiplerini aydınlatmakta ve kişisel veri sahiplerinin bilgi talep etmeleri durumunda gerekli bilgilendirmeyi yapmaktadır. Kurum, KVK Kanunu’nun 6. maddesine uygun olarak özel nitelikli kişisel verilerin işlenmesi bakımından öngörülen düzenlemelere uygun hareket etmektedir. Kurum, KVK Kanunu’nun 8. ve 9. maddelerine uygun olarak, kişisel verilerin aktarılması konusunda kanunda öngörülen ve KVK Kurulu tarafından ortaya konulan düzenlemelere uygun davranmaktadır.
Kurum, KVK Kanunu’nun 10. maddesine uygun olarak veri sahiplerini aydınlatmaktadır ve rıza alınması gereken durumlarda veri sahiplerinden rızalarını talep etmekte, bu kişisel verileri aşağıda belirtilen kriterleri esas alarak işlemektedir.

6.1. Hukuka ve Dürüstlük Kuralına Uygun İşleme

Kurum, kişisel verilerin işlenmesinde hukuksal düzenlemelerle getirilen ilkeler ile genel güven ve dürüstlük kuralına uygun hareket etmektedir. Bu kapsamda Kurum, kişisel verilerin işlenmesinde orantılılık gerekliliklerini dikkate almakta, kişisel verileri amacın gerekleri dışında kullanmamaktadır.

6.2. Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

Kurum, kişisel veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini dikkate alarak işlediği kişisel verilerin doğru ve güncel olmasını sağlamaktadır. Bu doğrultuda gerekli tedbirleri almaktadır.

6.3. Belirli, Açık ve Meşru Amaçlarla İşleme

Kurum, meşru ve hukuka uygun olan kişisel veri işleme amacını açık ve kesin olarak belirlemektedir. Kurum, kişisel verileri sunmakta olduğu hizmetle bağlantılı ve bunlar için gerekli olan kadar işlemektedir. Kurum tarafından kişisel verilerin hangi amaçla işleneceği henüz kişisel veri işleme faaliyeti başlamadan ortaya konulmaktadır.

6.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Kurum, kişisel verileri belirlenen amaçların gerçekleştirilebilmesine elverişli bir biçimde işlemekte ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan kişisel verilerin işlenmesinden kaçınmaktadır.

6.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç için Gerekli Olan Süre Kadar Muhafaza Etme

Kurum, kişisel verileri ancak ilgili mevzuatta belirtildiği veya işlendikleri amaç için gerekli olan süre kadar muhafaza etmektedir. Bu kapsamda, Kurum öncelikle ilgili mevzuatta kişisel verilerin saklanması için bir süre öngörülüp öngörülmediğini tespit etmekte, bir süre belirlenmişse bu süreye uygun davranmakta, bir süre belirlenmemişse kişisel verileri işlendikleri amaç için gerekli olan süre kadar saklamaktadır. Sürenin bitimi veya işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel veriler Kurum tarafından silinmekte, yok edilmekte veya anonim hale getirilmektedir.

7. Kişisel Verilerin Aktarılması

Kurum, hukuka uygun olan kişisel veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak kişisel veri sahibinin kişisel verilerini ve özel nitelikli kişisel verilerini üçüncü kişilere aktarabilmektedir.

8. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi

KVK Kanunu’nun 7. maddesinde düzenlendiği üzere ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Kurumun kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel veriler silinir, yok edilir veya anonim hâle getirilir.

8.1. Kişisel Verilerin Silinmesi ve Yok Edilmesi

Kurum ilgili kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kendi kararına istinaden veya kişisel veri sahibinin talebi üzerine kişisel verileri silebilir veya yok edebilir.

8.2. Kişisel Verileri Anonim Hale Getirme

Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder. Kurum, hukuka uygun olarak işlenen kişisel verilerin işlenmesini gerektiren sebepler ortadan kalktığında kişisel verileri anonimleştirebilmektedir. KVK Kanunu’nun 28. maddesine uygun olarak; anonim hale getirilmiş olan kişisel veriler araştırma, planlama ve istatistik gibi amaçlarla işlenebilir. Bu tür işlemeler KVK Kanunu kapsamı dışında olup, kişisel veri sahibinin açık rızası aranmaz.

9. Kişisel Veri Sahiplerinin Hakları; Bu Hakların Kullanılması ve Değerlendirilmesi Usulü

Kurum, KVK Kanunu’nun 10. maddesine uygun olarak kişisel veri sahibinin haklarını kendisine bildirmekte, bu hakların nasıl kullanılacağı konusunda kişisel veri sahibine yol göstermektedir. Kurum, kişisel veri sahiplerinin haklarının değerlendirilmesi ve kişisel veri sahiplerine gereken bilgilendirmenin yapılması için KVK Kanunu’nun 13. maddesine uygun olarak gerekli kanalları, iç işleyişi, idari ve teknik düzenlemeleri ifa ederek gerekli işlemleri yürütmektedir.

9.1. Kişisel Veri Sahibinin Hakları

Kişisel veri sahipleri aşağıda yer alan haklara sahiptirler:
1. Kişisel veri işlenip işlenmediğini öğrenme,
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
5. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
6. KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
7. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme,
8. Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

9.2. Kişisel Veri Sahibinin Haklarını İleri Süremeyeceği Haller

Kişisel veri sahipleri, KVK Kanunu’nun 28. maddesi gereğince aşağıdaki haller KVK Kanunu kapsamı dışında tutulduğundan, kişisel veri sahiplerinin bu konularda 9.1’de sayılan haklarını ileri süremezler:
1. Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
2. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
3. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
4. Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi. KVK Kanunu’nun 28/2 maddesi gereğince; aşağıda sıralanan hallerde kişisel veri sahipleri zararın giderilmesini talep etme hakkı hariç, 9.1’de sayılan diğer haklarını ileri süremezler:
1. Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
2. Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
3. Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
4. Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

9.3. Kişisel Veri Sahibinin Haklarını Kullanması

Kişisel veri sahipleri; KVK Kanunu’nun 13’üncü maddesinin 1’inci fıkrası gereğince yukarıda belirtilen haklarını kullanmakla ilgili talebini, “yazılı” veya Kişisel Verilerin Korunması Kurulunun belirlediği diğer yöntemlerle Kuruma iletmesi gerekmektedir. Bu çerçevede kişisel veri sahibinin talebi; KVK Kanunu’nun 11’inci maddesi kapsamında yapılacak başvurularda, yukarıda belirtilen hakları kullanmak için kimlik bilgileri ve kullanmak istenilen haklara yönelik açıklamalar ile birlikte KVK Kanunu’nun 11’inci maddesinde belirtilen hangi hakkın kullanımına ilişkin olduğu da belirtilerek aşağıdaki Kurum adresine iadeli taahhütlü mektup yoluyla iletilebilir.
Tarım ve Kırsal Kalkınmayı Destekleme Kurumu
Hilal Mahallesi Turan Güneş Bulvarı No:68 Çankaya/ANKARA

Kişisel veri sahipleri adına üçüncü kişiler tarafından talepte bulunulması mümkün değildir. Kişisel veri sahibinin kendisi dışında bir kişinin talepte bulunması için konuya ilişkin olarak kişisel veri sahibi tarafından başvuruda bulunacak kişi adına düzenlenmiş özel vekâletname bulunmalıdır.

9.4. Başvurulara Cevap Verme

9.4.1. Kurumun Başvurulara Cevap Verme Usulü ve Süresi

Kişisel veri sahibi, bu bölümün 9.3. başlıklı kısmında yer alan usule uygun olarak talebini Kuruma iletmesi durumunda Kurum talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ilgili talebi sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyet gerektirmesi hâlinde, Kurum tarafından başvuru sahibinden KVK Kurulunca belirlenen tarifedeki ücret alınacaktır.

9.4.2. Kurumun Başvuru Yapan Kişisel Veri Sahibinden Talep Edebileceği Bilgiler

Kurum başvuruda bulunan kişinin kişisel veri sahibi olup olmadığını tespit etmek adına ilgili kişiden bilgi talep edebilir. Kurum kişisel veri sahibinin başvurusunda yer alan hususları netleştirmek adına, kişisel veri sahibine başvurusu ile ilgili soru yöneltebilir.

9.4.3. Kurumun, Kişisel Veri Sahibinin Başvurusunu Reddetme Hakkı

Kurum aşağıda yer alan hallerde başvuruda bulunan kişinin başvurusunu, gerekçesini açıklayarak reddedebilir:
1. Kişisel verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
2. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
3. Kişisel verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
4. Kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.
5. Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
6. Kişisel veri sahibi tarafından kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
7. Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
8. Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.
9. Kişisel veri sahibinin talebinin diğer kişilerin hak ve özgürlüklerini engelleme ihtimali olması
10. Orantısız çaba gerektiren taleplerde bulunulmuş olması.
11. Talep edilen bilginin kamuya açık bir bilgi olması.

10. Diğer Hükümler

Bu politika yayınlandığı tarihte yürürlüğe girer. Politika zaman içerisinde değişen durum ve ihtiyaçlar kapsamında güncellenebilecektir. Bu politikaya ilişkin her türlü soru kvkk@tkdk.gov.tr adresine iletilebilecektir.

1.GİRİŞ

1.1 Amaç

Kişisel Verileri Saklama ve İmha Politikası (“Politika”), Kurum tarafından gerçekleştirilmekte olan saklama ve imha faaliyetlerine ilişkin iş ve işlemler konusunda usul ve esasları belirlemek amacıyla hazırlanmıştır. Kurum; Stratejik Planda belirlenen misyon, vizyon ve temel ilkeler doğrultusunda; Kurum çalışanları, çalışan adayları, faydalanıcılar, potansiyel faydalanıcılar, ziyaretçiler ve üçüncü kişilere ait kişisel verilerin T.C. Anayasası, uluslararası sözleşmeler, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve diğer ilgili mevzuata uygun olarak işlenmesini ve ilgili kişilerin haklarını etkin bir şekilde kullanmasının sağlanmasını öncelik olarak belirlemiştir. Kişisel verilerin saklanması ve imhasına ilişkin iş ve işlemler, Kurum tarafından bu doğrultuda hazırlanmış olan Politikaya uygun olarak gerçekleştirilir.

1.2 Kapsam

Kurum çalışanları, çalışan adayları, faydalanıcılar, potansiyel faydalanıcılar, ziyaretçiler ve üçüncü kişilere ait kişisel veriler bu Politika kapsamında olup Kurumun sahip olduğu ya da Kurumca yönetilen kişisel verilerin işlendiği tüm kayıt ortamları ve kişisel veri işlenmesine yönelik faaliyetlerde bu Politika uygulanır.

1.3 Kısaltmalar ve Tanımlar

Alıcı Grubu

Veri sorumlusu tarafından kişisel verilerin aktarıldığı gerçek veya tüzel kişi kategorisi.

Açık Rıza

Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme

Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi.

Çalışan

Tarım ve Kırsal Kalkınmayı Destekleme Kurumu personeli.

BELGENET/EBYS

Elektronik Belge Yönetim Sistemi

Elektronik Olmayan Ortam

Kişisel verilerin elektronik aygıtlar ile oluşturulabildiği, okunabildiği, değiştirilebildiği ve yazılabildiği ortamlar.

İlgili Kişi

Kişisel verisi işlenen gerçek kişi.

İlgili Kullanıcı

Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler.

İmha

Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi.

Kanun

6698 Sayılı Kişisel Verilerin Korunması Kanunu

Kayıt Ortamı

Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortam.

Kişisel Veri

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi.

Kişisel Veri İşleme Envanteri

Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel verileri işleme faaliyetlerini; kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter.

Kişisel Verilerin İşlenmesi

Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, saklanması, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

Özel Nitelikli Kişisel Veri

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri.

Periyodik İmha

Kanunda yer alan kişisel verilerin işlenme şartlarının tamamının ortadan kalkması durumunda kişisel verileri saklama ve imha politikasında belirtilen ve tekrar eden aralıklarla re’sen gerçekleştirilecek silme, yok etme veya anonim hale getirme işlemi.

Politika

Kişisel Verileri Saklama ve İmha Politikası

Veri İşleyen

Veri sorumlusunun verdiği yetkiye dayanarak veri sorumlusu adına kişisel verileri işleyen gerçek veya tüzel kişi.

Veri Kayıt Sistemi

Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.

Veri Sorumlusu

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasında ve yönetilmesinden sorumlu gerçek veya tüzel kişi.

Veri Sorumluları Sicil Bilgi Sistemi

Veri sorumlularının Sicile başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Kişisel Verileri Koruma Kurumu tarafından oluşturulan ve yönetilen bilişim sistemi.

VERBİS

Veri Sorumluları Sicil Bilgi Sistemi

Yönetmelik

28 Ekim 2017 tarihli Resmi Gazetede yayımlanan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik.

 

2.SORUMLULUK VE GÖREV DAĞILIMLARI

Kurumun tüm birimleri ve çalışanları, sorumlu birimlerce Politika kapsamında alınmakta olan teknik ve idari tedbirlerin gereği gibi uygulanması, birim çalışanlarının eğitimi ve farkındalığının arttırılması, izlenmesi ve sürekli denetimi ile kişisel verilerin hukuka aykırı olarak işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ve kişisel verilerin hukuka uygun saklanmasının sağlanması amacıyla kişisel veri işlenen tüm ortamlarda veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin alınması konularında sorumlu birimlere aktif olarak destek verir.

3.KAYIT ORTAMLARI

Kişisel veriler, Kurum tarafından Tablo 2’de listelenen ortamlarda hukuka uygun olarak güvenli bir şekilde saklanır.

Tablo 2: Kişisel veri saklama ortamları

Elektronik Ortamlar

Elektronik Olmayan Ortamlar

  • Sunucular (Etki alanı, yedekleme, e-posta, veritabanı, web, dosya paylaşım, vb.)
  • Yazılımlar (ofis yazılımları, portal, BELGENET/EBYS…)
  • Bilgi güvenliği cihazları (güvenlik duvarı, saldırı tespit ve engelleme, günlük kayıt dosyası, antivirüs vb. )
  • Kişisel bilgisayarlar (Masaüstü, dizüstü)
  • Mobil cihazlar (telefon, tablet vb.)
  • Optik diskler (CD, DVD vb.)
  • Çıkartılabilir bellekler (USB, Hafıza Kart vb.)
  • Yazıcı, tarayıcı, fotokopi makinesi
  • Kâğıt
  • Manuel veri kayıt sistemleri (formlar, ziyaretçi kayıt defteri)
  • Yazılı, basılı, görsel ortamlar

 

4.SAKLAMA VE İMHAYA İLİŞKİN AÇIKLAMALAR

Kurum tarafından; çalışanlar, çalışan adayları, faydalanıcılar, potansiyel faydalanıcılar, ziyaretçiler ve üçüncü kişilere ait kişisel veriler kanuna uygun olarak saklanır ve imha edilir.

Bu kapsamda saklama ve imhaya ilişkin detaylı açıklamalara aşağıda sırasıyla yer verilmiştir.

4.1 Saklamaya İlişkin Açıklamalar

Kanunun 3’üncü maddesinde kişisel verilerin işlenmesi kavramı tanımlanmış, 4 üncü maddesinde işlenen kişisel verinin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması ve ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli süre kadar muhafaza edilmesi gerektiği belirtilmiş, 5 ve 6’ncı maddelerde ise kişisel verilerin işleme şartları sayılmıştır.

Buna göre, Kurumumuz faaliyetleri çerçevesinde kişisel veriler, ilgili mevzuatta öngörülen veya işleme amaçlarımıza uygun süre kadar saklanır.

4.1.1 Saklamayı Gerektiren Hukuki Sebepler

Kurumda, faaliyetleri çerçevesinde işlenen kişisel veriler, ilgili mevzuatta öngörülen süre kadar muhafaza edilir. Bu kapsamda kişisel veriler;

  • 5648 sayılı Tarım ve Kırsal Kalkınmayı Destekleme Hizmetleri Hakkında Kanun
  • TKDK Teşkilatı Hakkında Kararname (4 Sayılı Cumhurbaşkanlığı Kararnamesi – Otuzbeşinci Bölüm)
  • TKDK Personel Yönetmeliği
  • Sektörel Antlaşma
  • Çerçeve Antlaşma
  • 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun
  • 6698 Sayılı Kişisel Verilerin Korunması Kanunu
  • Bu kanunlar uyarınca yürürlükte olan diğer ikincil düzenlemeler

çerçevesinde öngörülen saklama süreleri kadar saklanmaktadır.

4.1.2 Saklamayı Gerektiren İşleme Amaçları

Kurum, faaliyetleri çerçevesinde işlemekte olduğu kişisel verileri aşağıdaki amaçlar doğrultusunda saklar.

  • İnsan kaynakları süreçlerini yürütmek.
  • Kurumsal iletişimi sağlamak.
  • Kurum güvenliğini sağlamak,
  • İstatistiksel çalışmalar yapabilmek.
  • İmzalanan sözleşmeler ve protokoller neticesinde iş ve işlemleri ifa edebilmek.
  • Yasal düzenlemelerin gerektirdiği veya zorunlu kıldığı şekilde, hukuki yükümlülüklerin yerine getirilmesini sağlamak.
  • Kurum ile iş ilişkisinde bulunan gerçek / tüzel kişilerle irtibat sağlamak.
  • Yasal raporlamalar yapmak.
  • Çağrı merkezi süreçlerini yönetmek.
  • İleride doğabilecek hukuki uyuşmazlıklarda delil olarak ispat yükümlülüğü.

4.2 İmhayı Gerektiren Sebepler

Kişisel veriler;

  • İşlenmesine esas teşkil eden ilgili mevzuat hükümlerinin değiştirilmesi veya ilgası,
  • İşlenmesini veya saklanmasını gerektiren amacın ortadan kalkması,
  • Kişisel verileri işlemenin sadece açık rıza şartına istinaden gerçekleştiği hallerde, ilgili kişinin açık rızasını geri alması,
  • Kanunun 11 inci maddesi gereği ilgili kişinin hakları çerçevesinde kişisel verilerinin silinmesi ve yok edilmesine ilişkin yaptığı başvurunun Kurum tarafından kabul edilmesi,
  • Kişisel verilerin saklanmasını gerektiren azami sürenin geçmiş olması ve kişisel verileri daha uzun süre saklamayı haklı kılacak herhangi bir şartın mevcut olmaması,

durumlarında, Kurum tarafından ilgili kişinin talebi üzerine silinir, yok edilir ya da re’sen silinir, yok edilir veya anonim hale getirilir.

5.TEKNİK VE İDARİ TEDBİRLER

Kurum, Kişisel Verilerin Korunması Kanunu’nun 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için uygun güvenlik düzeyini sağlamaya yönelik gerekli teknik ve idari tedbirleri alır.

5.1          Teknik Tedbirler

Kurum tarafından, işlediği kişisel verilerle ilgili olarak alınan teknik tedbirler aşağıda sayılmıştır:

  • ISO 27001 Bilgi Güvenliği Yönetim Sistemi Sertifikasyon çalışmaları kapsamında tetkikler gerçekleştirilmektedir.
  • Sızma (Penetrasyon) testleri ile Kurumumuz bilişim sistemlerine yönelik risk, tehdit, zafiyet ve varsa açıklıklar ortaya çıkarılarak gerekli önlemler alınmaktadır.
  • Bilgi güvenliği olay yönetimi ile gerçek zamanlı yapılan analizler sonucunda bilişim sistemlerinin sürekliliğini etkileyecek riskler ve tehditler sürekli olarak izlenmektedir.
  • Bilişim sistemlerine erişim ve kullanıcıların yetkilendirilmesi, erişim ve yetki matrisi ile kurumsal aktif dizin üzerinden güvenlik politikaları aracılığı ile yapılmaktadır.
  • Kurumun bilişim sistemleri teçhizatı, yazılım ve verilerin fiziksel güvenliği için gerekli önlemler alınmaktadır.
  • Çevresel tehditlere karşı bilişim sistemleri güvenliğinin sağlanması için, donanımsal (sistem odasına sadece yetkili personelin girişini sağlayan erişim kontrol sistemi, 7/24 çalışan izleme sistemi, yerel alan ağını oluşturan kenar anahtarların fiziksel güvenliğinin sağlanması, yangın söndürme sistemi, iklimlendirme sistemi vb.) ve yazılımsal (güvenlik duvarları, atak önleme sistemleri, ağ erişim kontrolü, zararlı yazılımları engelleyen sistemler vb.) önlemler alınmaktadır.
  • Kişisel verilerin hukuka aykırı işlenmesini önlemeye yönelik riskler belirlenmekte, bu risklere uygun teknik tedbirlerin alınması sağlanmakta ve alınan tedbirlere yönelik teknik kontroller yapılmaktadır.
  • Kurum içerisinde erişim prosedürleri oluşturularak kişisel verilere erişim ile ilgili raporlama ve analiz çalışmaları yapılmaktadır.
  • Kişisel verilerin bulunduğu saklama alanlarına erişimler kayıt altına alınarak uygunsuz erişimler veya erişim denemeleri kontrol altında tutulmaktadır.
  • Kurum, silinen kişisel verilerin ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz olması için gerekli tedbirleri almaktadır.
  • Güvenlik açıkları takip edilerek uygun güvenlik yamaları yüklenmekte ve bilgi sistemleri güncel halde tutulmaktadır.
  • Kişisel verilerin işlendiği elektronik ortamlarda güçlü parolalar kullanılmaktadır.
  • Kişisel verilerin işlendiği elektronik ortamlarda güvenli kayıt tutma (loglama) sistemleri kullanılmaktadır.
  • Kişisel verilerin güvenli olarak saklanmasını sağlayan veri yedekleme programları kullanılmaktadır.
  • Elektronik olan veya olmayan ortamlarda saklanan kişisel verilere erişim, erişim prensiplerine göre sınırlandırılmaktadır.
  • Kurum internet sayfasına erişimde güvenli protokol (HTTPS) kullanılmaktadır.
  • Özel nitelikli kişisel veri işleme süreçlerinde yer alan çalışanlara yönelik özel nitelikli kişisel veri güvenliği konusunda eğitimler verilmiş, gizlilik sözleşmeleri yapılmış, verilere erişim yetkisine sahip kullanıcıların yetkileri tanımlanmıştır.
  • Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği elektronik ortamların güvenliği sağlanmakta ve tüm işlem kayıtları loglanmakta, ortamların güvenlik güncellemeleri sürekli takip edilmekte, gerekli güvenlik testleri düzenli olarak yapılmaktadır. Test sonuçları kayıt altına alınmaktadır.
  • Özel nitelikli kişisel verilerin işlendiği, muhafaza edildiği ve/veya erişildiği fiziksel ortamların yeterli güvenlik önlemleri alınmakta, fiziksel güvenliği sağlanarak yetkisiz giriş çıkışlar engellenmektedir.

5.2. İdari Tedbirler

Kurum tarafından, işlediği kişisel verilerle ilgili olarak alınan idari tedbirler aşağıda sayılmıştır:

  • Çalışanların niteliğinin geliştirilmesine yönelik, kişisel verilerin hukuka aykırı olarak işlenmenin önlenmesi, kişisel verilerin hukuka aykırı olarak erişilmesinin önlenmesi, kişisel verilerin muhafazasının sağlanması, iletişim teknikleri, teknik bilgi beceri ve bilgi güvenliği yönetim sistemleri ve ilgili mevzuat hakkında eğitimler verilmektedir.
  • Kurum tarafından yürütülen faaliyetlere ilişkin çalışanlara, firmalara gizlilik sözleşmeleri imzalatılmaktadır.
  • Güvenlik politika ve prosedürlerine uymayan çalışanlara yönelik uygulanacak disiplin prosedürü hazırlanmıştır.
  • Kişisel veri işlemeye başlamadan önce Kurum tarafından, ilgili kişileri aydınlatma yükümlülüğü yerine getirilmektedir.
  • Kişisel veri işleme envanteri hazırlanmaktadır.
  • Kurum içi periyodik ve rastgele denetimler yapılmaktadır.
  • Çalışanlara yönelik bilgi güvenliği eğitimleri verilmektedir.

6.KİŞİSEL VERİLERİ İMHA TEKNİKLERİ

İlgili mevzuatta öngörülen süre ya da işlendikleri amaç için gerekli olan saklama süresinin sonunda kişisel veriler, Kurum tarafından re’sen veya ilgili kişinin başvurusu üzerine yine ilgili mevzuat hükümlerine uygun olarak aşağıda belirtilen tekniklerle imha edilir.

6.1 Kişisel Verilerin Silinmesi

Kişisel veriler Tablo-3’te verilen yöntemlerle silinir.

Veri Kayıt Ortamı

Açıklama

Sunucularda Yer Alan Kişisel Veriler

Sunucularda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler için sistem yöneticisi tarafından ilgili kullanıcıların erişim yetkisi kaldırılarak silme işlemi yapılır.

Elektronik Ortamda Yer Alan Kişisel Veriler

Elektronik ortamda yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, veritabanı yöneticisi hariç diğer çalışanlar (ilgili kullanıcılar) için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Fiziksel Ortamda Yer Alan Kişisel Veriler

Fiziksel ortamda tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler ilgili mevzuatlar doğrultusunda hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilir.

Taşınabilir Medyada Bulunan Kişisel Veriler

Flash tabanlı saklama ortamlarında tutulan kişisel verilerden saklanmasını gerektiren süre sona erenler, bu ortamlara uygun yazılımlar kullanılarak silinmektedir.

 

6.2 Kişisel Verilerin Yok Edilmesi

Kişisel veriler, Kurum tarafından Tablo-4’te verilen yöntemlerle yok edilir.

 

Tablo 4: Kişisel Verilerin Yok Edilmesi

Veri Kayıt Ortamı

Açıklama

Fiziksel Ortamda Yer Alan Kişisel Veriler

Kâğıt ortamında yer alan kişisel verilerden saklanmasını gerektiren süre sona erenler, Kurumumuz Genel Evrak Yönergesi ve Arşiv Prosedürüne göre yok edilir.

Optik/Manyetik Medyada Yer Alan Kişisel Veriler

Optik medya ve manyetik medyada yer alan kişisel verilerden saklanmasını gerektiren süre sona erenlere fiziksel olarak yok edilmesi işlemi uygulanır.

 

6.3 Kişisel Verilerin Anonim Hale Getirilmesi

Kişisel verilerin anonimleştirilmesi, kişisel verilerin başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini ifade eder.

7. SAKLAMA VE İMHA SÜRELERİ

Kurum tarafından, faaliyetleri kapsamında işlenmekte olan kişisel verilerle ilgili olarak;

  • Süreçlere bağlı olarak gerçekleştirilen faaliyetler kapsamındaki tüm kişisel verilerle ilgili kişisel veri bazında saklama süreleri Kişisel Veri İşleme Envanterinde;
  • Veri kategorileri bazında saklama süreleri VERBİS’e kayıtta;

yer alır.

Söz konusu saklama süreleri üzerinde, gerekmesi halinde Kurumumuzca güncellemeler yapılır.

Saklama süreleri sona eren kişisel veriler için re’sen silme, yok etme veya anonim hale getirme işlemi ilgili Koordinatörlüklerce yapılır.

8. PERİYODİK İMHA SÜRESİ

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğinin 11 inci maddesi gereğince Kurum, periyodik imha süresini 6 ay olarak belirlemiştir.

9. POLİTİKA’NIN YAYINLANMASI VE SAKLANMASI

Politika, elektronik ortamda yayımlanır ve internet sayfasında kamuya açıklanır.

10.POLİTİKA’NIN GÜNCELLENME PERİYODU

Politika, ihtiyaç duyuldukça gözden geçirilir ve gerekli olan bölümler güncellenir.

11.POLİTİKANIN YÜRÜRLÜĞÜ VE YÜRÜRLÜKTEN KALDIRILMASI

Politika, Kurumun internet sitesinde yayınlanmasının ardından yürürlüğe girmiş kabul edilir.