Kişisel Verilerin Korunması ve İşlenmesi Politikası

1 – GİRİŞ

Novo Grand İnşaat Yapı Sanayi ve Ticaret Limited Şirketi (“Novo” veya “Şirket”), gayrimenkul geliştirme, konut satışı ve inşaat faaliyetleri kapsamında işlediği kişisel verilerin korunmasına önem vermektedir. Şirket, veri sorumlusu sıfatıyla; kişisel verilerin hukuka ve dürüstlük kurallarına uygun işlenmesi, doğru ve gerektiğinde güncel tutulması, belirli, açık ve meşru amaçlarla işlenmesi, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması, mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilmesi, ilgili kişilerin aydınlatılması ve gerekli idari ve teknik tedbirlerin alınması ilkelerine uygun hareket eder.

1.1. Politikanın Amacı

Bu Politika; Şirketin kişisel veri işleme faaliyetlerinde uyacağı temel ilkeleri, işleme şartlarını, aktarım esaslarını, saklama ve imha düzenini, ilgili kişilerin haklarını ve bu hakların kullanılma usulünü belirlemek; Şirket bünyesindeki tüm politika, prosedür ve metinlerin çatısını oluşturmak amacıyla hazırlanmıştır.

1.2. Politikanın Kapsamı

Politika; çalışan, stajyer, çalışan adayı, referans kişi, çalışan yakını, müşteri ve alıcı adayı, potansiyel müşteri, ziyaretçi ve etkinlik katılımcısı, internet sitesi kullanıcısı, tedarikçi ve alt yüklenici (taşeron) çalışanı ile yetkilisi, emlak danışmanı, arsa sahibi ve proje ortağı ile başvuru sahibi ilgili kişilere ait, tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm kişisel verileri kapsar. Politika, kişisel veri niteliğinde olmayan veriler hakkında uygulanmaz.

1.3. Politika Haritası

Bu Politika aşağıdaki alt düzenlemelerle birlikte uygulanır: İnsan Kaynakları Kişisel Veri Yönetimi Prosedürü; Özel Nitelikli Kişisel Veri Güvenliği Politikası; Kişisel Verileri Saklama ve İmha Politikası; Bilgi Güvenliği, Erişim Yetkilendirme, Cihaz Kullanımı ve Log Yönetimi Politikası; Kamera, Giriş Kontrol ve Fiziksel Güvenlik Prosedürü; Satış ve Pazarlama Kişisel Veri Yönetimi Prosedürü; Tedarikçi, Alt Yüklenici ve İş Ortağı Kişisel Veri Yönetimi Prosedürü; İlgili Kişi Başvuruları ve Hukuk İşleri Prosedürü; Kişisel Veri İhlali Müdahale ve Bildirim Prosedürü; Çerez Politikası ile kişi grubu bazındaki aydınlatma ve açık rıza metinleri.

2 – KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

2.1. Veri Güvenliğinin Sağlanması

Şirket, Kanun’un 12. maddesi uyarınca kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik idari ve teknik tedbirleri alır. Bu kapsamda asgari olarak; erişim yetkilendirmesi ve yetki matrisi, kişiye özel kullanıcı hesapları, güçlü parola ve çok faktörlü kimlik doğrulama, güncel zararlı yazılım koruması ve güvenlik duvarı, yedekleme, şifreleme, log kayıtlarının tutulması, fiziksel arşivlerin kilitli ortamda muhafazası, gizlilik taahhütnameleri, periyodik eğitim ve denetim uygulanır.

2.2. Özel Nitelikli Kişisel Verilerin Korunması

Şirket bünyesinde işlenen özel nitelikli kişisel veriler; çalışan, stajyer ve taşeron personeline ait sağlık verileri, kanunda açıkça öngörülen hâllerle sınırlı olmak üzere ceza mahkûmiyeti ve güvenlik tedbirlerine ilişkin veriler ile kıyafet ve koruyucu donanım tedariki kapsamındaki kılık-kıyafet (beden) bilgisidir. Bu veriler, Kanun’un 6. maddesindeki şartların varlığı hâlinde ve Kurul’un 31.01.2018 tarihli, 2018/10 sayılı kararındaki yeterli önlemler alınarak işlenir; erişim, görev gereği zorunlu kişilerle sınırlandırılır. Ayrıntılı kurallar Özel Nitelikli Kişisel Veri Güvenliği Politikası’nda düzenlenmiştir.

2.3. Tedbirlerin Denetimi

Alınan tedbirlerin işlerliği; erişim yetkilerinin periyodik kontrolü, imha kayıtlarının gözden geçirilmesi, tedarikçi taahhütlerinin değerlendirilmesi ve yıllık iç kontrol çalışması ile denetlenir. Tespit edilen eksiklikler kayıt altına alınarak giderilir.

2.4. Çalışanların Eğitimi ve Farkındalığı

Kişisel veri işleyen çalışanlara, göreve başlarken ve en az yılda bir kez kişisel verilerin korunması, bilgi güvenliği ve veri ihlali farkındalığı eğitimi verilir. Eğitim kayıtları saklanır. Çalışanlardan gizlilik taahhütnamesi alınır.

3 – KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUSUSLAR

3.1. Genel İlkeler

• Hukuka ve dürüstlük kurallarına uygun işleme: Veriler, ilgili kişinin makul beklentisini aşmayacak şekilde ve şeffaflık ilkesine uygun işlenir.
• Doğru ve gerektiğinde güncel olma: İlgili kişinin talebi üzerine veya Şirketin tespiti hâlinde veriler düzeltilir.
• Belirli, açık ve meşru amaçlarla işleme: Her işleme faaliyetinin amacı envanterde açıkça gösterilir.
• Amaçla bağlantılı, sınırlı ve ölçülü olma: Süreç için gerekli olmayan veri talep edilmez; kart verisi gibi gerekliliği sona eren veriler saklanmaz.
• Mevzuatta öngörülen veya amaç için gerekli süre kadar muhafaza: Süreler Saklama ve İmha Politikası’nda belirlenir ve periyodik imha uygulanır.

3.2. İşleme Şartları

Şirket, kişisel verileri Kanun’un 5. maddesindeki şartlardan en az birine dayanarak işler: kanunlarda açıkça öngörülme; fiili imkânsızlık; sözleşmenin kurulması veya ifasıyla doğrudan ilgili olma; veri sorumlusunun hukuki yükümlülüğü; ilgili kişinin alenileştirmesi; bir hakkın tesisi, kullanılması veya korunması; ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati. Bu şartlardan biri mevcutsa ayrıca açık rıza aranmaz; açık rıza yalnızca başka bir şarta dayanılamayan hâllerde (pazarlama iletişimi, hedefleme, görsel kullanımı, aday havuzu, zorunlu olmayan çerezler ve beden bilgisi) alınır ve hizmetin şartı hâline getirilmez.

3.3. Aydınlatma Yükümlülüğü

Kişisel veriler elde edilirken ilgili kişilere, Kanun’un 10. maddesi ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ uyarınca aydınlatma yapılır. Verinin ilgili kişiden elde edilmediği hâllerde (ör. emlak danışmanı aracılığıyla gelen müşteri adayı verileri) aydınlatma, makul süre içinde ve en geç ilk iletişim anında yapılır. Aydınlatma metinleri kişi grubu ve kanal bazında hazırlanır; kamera ve Wi-Fi gibi alanlarda katmanlı bilgilendirme uygulanır.

3.4. Kişisel Verilerin Aktarılması

Kişisel veriler, Kanun’un 8. maddesindeki şartlara uygun olarak; mevzuattan kaynaklanan yükümlülükler kapsamında yetkili kamu kurum ve kuruluşlarına (SGK, Çalışma ve Sosyal Güvenlik Bakanlığı, tapu müdürlükleri, belediyeler, yargı mercileri), hizmetin ifası kapsamında bankalara, noterlere, işyeri hekimi ve OSGB’ye, site/tesis yönetimlerine, emlak danışmanlarına ve Şirket adına veri işleyen sıfatıyla hareket eden hizmet sağlayıcılarına (muhasebe/bordro, bilgi teknolojileri, barındırma, reklam ve sosyal medya ajansları, kamera bakım firması) aktarılabilir. Veri işleyenlerle Kişisel Verilerin İşlenmesine İlişkin Ek Protokol, ayrı veri sorumlularıyla Veri Paylaşım Protokolü imzalanır.

3.5. Yurt Dışına Aktarım

Şirket, reklam, analitik ve sosyal medya hizmetleri ile bulut tabanlı hizmetler nedeniyle yurt dışına aktarım gerçekleşen hâllerde Kanun’un 9. maddesindeki sıralamaya uyar: yeterlilik kararı bulunması; yeterlilik kararı yoksa uygun güvencelerden birinin (standart sözleşme ve Kurum’a imza tarihinden itibaren beş iş günü içinde bildirim, bağlayıcı şirket kuralları, taahhütname) sağlanması; bu güvencelerin bulunmaması hâlinde yalnızca arızi aktarım hâllerinin (ilgili kişinin açık rızası dâhil) uygulanması. Uygun bir mekanizma kurulmadan düzenli yurt dışı aktarımı doğuran yeni araç veya entegrasyon devreye alınmaz.

4 – KİŞİSEL VERİ ENVANTERİ VE VERİ KATEGORİLERİ

Şirket, veri işleme faaliyetlerini süreç, kişi grubu, veri kategorisi, işleme amacı, hukuki sebep, alıcı grubu, yurt dışı aktarım, azami saklama süresi ile idari ve teknik tedbirler bazında kişisel veri işleme envanterinde kayıt altına alır. Envanter; aydınlatma metinlerinin, saklama sürelerinin, VERBİS bildirimlerinin ve ilgili kişi başvurularına verilecek cevapların dayanağıdır ve en az yılda bir kez güncellenir.

5 – KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

• İnsan kaynakları, özlük, ücret ve iş sağlığı ve güvenliği süreçlerinin yürütülmesi
• Çalışan adayı seçme ve yerleştirme süreçlerinin yürütülmesi
• Satış, rezervasyon, sözleşme, tapu devri, teslim ve satış sonrası destek süreçlerinin yürütülmesi
• Finans ve muhasebe işlerinin, tahsilat ve ödeme süreçlerinin yürütülmesi
• Pazarlama, tanıtım, kampanya ve müşteri ilişkileri yönetimi süreçlerinin yürütülmesi (açık rızaya bağlı hâller dâhil)
• Proje geliştirme, arsa sahipleri ve iş ortaklarıyla ilişkilerin yönetimi
• Tedarik ve alt yüklenici süreçlerinin yürütülmesi ile saha güvenliğinin sağlanması
• Fiziksel mekân güvenliğinin temini, ziyaretçi kayıtlarının oluşturulması ve acil durum yönetimi
• Bilgi güvenliği süreçlerinin yürütülmesi ve mevzuattan kaynaklanan log yükümlülüklerinin yerine getirilmesi
• Hukuk işlerinin takibi, ilgili kişi başvurularının karşılanması ve yetkili kurumlara bilgi verilmesi

6 – SAKLAMA SÜRELERİ VE İMHA

Kişisel veriler, mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre boyunca saklanır. Süreler, veri grubu bazında Kişisel Verileri Saklama ve İmha Politikası’nda gösterilmiştir. Süresi dolan veriler, altı ayı aşmayan periyodik imha dönemlerinde (Haziran ve Aralık) silme, yok etme veya anonim hâle getirme yoluyla imha edilir ve her imha işlemi tutanağa bağlanır. İlgili kişinin silme talebi, saklamayı gerektiren hukuki sebep bulunmadıkça en geç otuz gün içinde yerine getirilir.

7 – BİNA GİRİŞLERİ, KAMERA VE SAHA FAALİYETLERİ

Şirket; merkez ofis, satış ofisi ve örnek daire ile şantiye alanlarında fiziksel mekân güvenliğinin temini, iş sağlığı ve güvenliği yükümlülüklerinin yerine getirilmesi ve acil durum yönetimi amacıyla kamera ile izleme yapar, giriş-çıkış ve ziyaretçi kayıtları tutar. Kameralarda ses kaydı alınmaz; mahremiyet beklentisi yüksek alanlarda kamera bulundurulmaz. İzlenen alanlarda bilgilendirme tabelası ve katmanlı aydınlatma metni bulundurulur. Ayrıntılı kurallar Kamera, Giriş Kontrol ve Fiziksel Güvenlik Prosedürü’nde düzenlenmiştir.

8 – İLGİLİ KİŞİNİN HAKLARI

İlgili kişi, Kanun’un 11. maddesi uyarınca; kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, düzeltme ve silme işlemlerinin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemlerle analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme nedeniyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Başvurular; LEVENT MAH. ÇİLEKLİ CAD. NO: 14 BEŞİKTAŞ / İSTANBUL adresine yazılı olarak, novogrand@hs01.kep.tr KEP adresine, noter aracılığıyla veya Şirkete daha önce bildirilen ve sistemde kayıtlı bulunan elektronik posta adresi üzerinden yapılabilir. Başvurular, Şirkete ulaştığı tarihten itibaren en geç otuz gün içinde sonuçlandırılır. Süreç, İlgili Kişi Başvuruları ve Hukuk İşleri Prosedürü ile Başvuru Formu’na göre yürütülür. İlgili kişi, başvurusunun reddedilmesi, verilen cevabı yetersiz bulması veya süresinde cevap verilmemesi hâlinde Kurul’a şikâyette bulunabilir.

9 – GÖREV VE SORUMLULUKLAR

10 – POLİTİKANIN YÜRÜRLÜĞÜ VE GÜNCELLENMESİ

Bu Politika, Şirket yönetiminin onayı ile yürürlüğe girer ve Şirketin internet sitesinde kamuya açık olarak yayımlanır. Mevzuat değişiklikleri, Kurul kararları, organizasyon yapısındaki ve veri işleme süreçlerindeki değişiklikler doğrultusunda gözden geçirilir. Politika ile alt düzenlemeler arasında çelişki bulunması hâlinde, ilgili konuya özgü düzenleme öncelikle uygulanır; tereddüt hâlinde KVKK sorumlusunun değerlendirmesi esas alınır.

Yürürlük ve Güncelleme

İşbu doküman, Şirket yönetiminin onayı ile …/…/…… tarihinde yürürlüğe girer. Mevzuatta, Şirket organizasyon yapısında, kullanılan sistemlerde veya kişisel veri işleme süreçlerinde meydana gelen değişiklikler doğrultusunda gözden geçirilir ve gerektiğinde güncellenir. Güncel sürüm Şirket içinde erişilebilir ortamda bulundurulur ve ilgili çalışanlara duyurulur.

Veri Sorumlusu İletişim Bilgileri