KVKK

1. KAPSAM

Paycon A.Ş. olarak; müşterilerimiz, çalışanlarımız, tedarikçilerimiz dahil şirketimiz ile ilişkili gerçek kişilerin kişisel verilerinin 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK") başta olmak üzere ilgili mevzuata uygun olarak işlenmesi ve verisi işlenen ilgili kişilerin haklarını etkin şekilde kullanılmasının sağlanması için çalışmamızı yaptık.

Bu nedenle, bahsi geçenlerle sınırlı olmamak üzere; çalışanlarımızın, ziyaretçilerimizin, iş bağlantılarımızın, iş ortaklarımızın, müşterilerimizin, internet sitemizi ziyaret eden kullanıcılarımızın, özetle faaliyetlerimiz sırasında edindiğimiz tüm kişisel verilere ilişkin verinin işlenmesi, saklanması, aktarılmasına ilişkin işlemleri Paycon Kişisel Verilerin Korunması ve İşlenmesi Politikasına ("Politika") göre gerçekleştirmekteyiz. Kişisel verilerin koruması sadece gerçek kişiler ile ilgili olup tüzel kişilere ait, içerisinde gerçek kişiye ilişkin bilgi içermeyen bilgiler kişisel veri koruması dışında bırakılmıştır

İşbu Politika, ticari ve benzeri faaliyetlerimiz sırasında paylaşılan kişisel verilerin KVKK mevzuatı çerçevesinde işlenmesi, saklanması, aktarılması ve silinmesi ya da anonim hale getirilmesine dair izlediğimiz yöntemleri açıklamaktadır.

2. TANIMLAR

İşbu aydınlatma metninde geçen;

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

Kişisel Verilerin Korunması Kanunu ("KVKK"): 7 Nisan 2016 tarihinde Resmi Gazete'de yayınlanarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu,

Şirket: Paycon

Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,

Anonim hâle getirme: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,

Aday çalışan: Paycon'a iş başvurusunda bulunan aday personeli,

Çalışan: Paycon A.Ş personelini,

İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,

İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,

Kişisel Veri Sahibi/ İlgili Kişi: Müşteriler, ya da kişisel verisi işlenen Müşteri olmayan; potansiyel müşteriler, çalışanlar, çalışan adayları, hissedarlar, ziyaretçiler, kendisi ile akdettiği bir sözleşme çerçevesinde (destek hizmeti, bağımsız denetim, derecelendirme, danışmanlık, hizmet, satın alma, iş birliği, çözüm ortaklığı vb.) iş ilişkisi içerisinde bulunulan kurum ve kuruluşlar ve bunların çalışanları, hissedarları ve yetkilileri ile üçüncü gerçek kişiyi,

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,

Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,

Kurul: Kişisel Verileri Koruma Kurulunu,

Kurum: Kişisel Verileri Koruma Kurumunu,

Müşteri: Şirket ile imzalamış olduğu sözleşmeye istinaden Şirket'dan hizmet alan ve verisi işlenen ilgili gerçek kişiyi,

Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,

Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,

Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder.

3. ROL VE SORUMLULUKLAR

Yönetim Kurulu, Politika'ya, kural ve düzenlemelere uyulmaması durumunda bildirim, inceleme ve yaptırım mekanizmalarının belirlenmesi ve işletilmesinin üst gözetiminden sorumludur. Kişisel Verilerin Korunması ve İşlenmesi Politikası Yönetim Kurulu tarafından onaylanmıştır. Politikanın oluşturulmasının, uygulanmasının ve gerektiğinde güncellenmesinin sağlanması konusunda yetkili onay mekanizmasıdır.

Veri Sorumlusu, İşbu Politikanın hazırlanması, geliştirilmesi, yürütülmesi ve güncellenmesinden Veri Sorumlusu sorumludur. Veri Sorumlusu oluşturulan veri envanteri ve silme yok etme ve anonimleştirme sürecinin uygulanması noktasında sorumluluk Bilgi Teknolojileri ekibinde olup, kontrol yükümlülüğü yine Veri Sorumlusu'ndadır. Veri Sorumlusu bu Politika'yı gerektiğinde güncelliği ve geliştirme ihtiyaçları açısından periyodik olarak değerlendirir ve gerektiğinde güncelleyerek Yönetim Kurulu uygunluğunu alır.

4. KİŞİSEL VERİ

Kimliği belirli ya da belirlenebilir nitelikteki gerçek bir kişiye ilişkin her türlü bilgidir. Kişisel veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.

• Gerçek kişiye ilişkin olma: Kişisel veri, gerçek kişiye ilişkin olup, tüzel kişilere ilişkin veriler kişisel verinin tanımının dışındadır. Dolayısıyla, bir Şirketin ticaret unvanı ya da adresi gibi tüzel kişiliğe ilişkin bilgiler (bir gerçek kişiyle ilişkilendirilebilecekleri durumlar haricinde) kişisel veri sayılmayacaktır.

• Kişinin belirli veya belirlenebilir olması: Kişisel veri, veri sahibinin doğrudan kimliğini gösterebileceği gibi, o kişinin kimliğini doğrudan göstermemekle birlikte, herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsar.

• Her türlü bilgi: Her türlü bilgi ifadesi son derece geniş olup, bir gerçek kişinin; adı, soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, IP adresi, e-posta adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler, kişisel veri olarak kabul edilmektedir.

5. HUKUKİ YÜKÜMLÜLÜKLER

Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlusu olarak Şirketimizin kişisel verilerin korunması ve işlenmesi kapsamındaki hukuki yükümlülükleri aşağıda sıralanmıştır.

6. KİŞİSEL VERİLERİN İŞLENME YÖNTEMLERİ

Kanun'un 2. maddesinde, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla ilk defa elde edilmesiyle başlayan bir süreç ve devamındaki her türlü işleme, veri işleme olarak tanımlanmıştır. Kişisel veriler belirtilen şekilde toplandıktan sonra silme, yok etme ya da anonim hale getirme işlemlerine kadar olan süreçte gerçekleştirilen her türlü faaliyet Kanun kapsamında kişisel verilerin işlenmesi olarak değerlendirilmektedir.

Kişisel veriler çeşitli şekillerde işlenebilir:

• Toplama veya kaydetme: Kişisel verilerin ilk defa elde edildikleri an itibariyle işleme fiili başlamaktadır.

• Organize etme/depolama: Dijital ya da fiziksel ortamda, kişisel verilerin saklanması, barındırılması ya da depolanması işleme kapsamında kabul edilir.

• Kullanma/değiştirme: Kişisel verilerin, görüntülenmesi de dâhil olmak üzere, her türlü kullanımı işleme sayılır.

• Aktarma: Kişisel verilerin çeşitli yöntemlerle iletilmesidir.

• Yayma/erişilebilir kılma: Fiziksel olarak dağıtmak veya paylaşmak gibi, verileri dijital ortamda üçüncü tarafların erişimine açmak da bir işleme türüdür.

• Engelleme: Bunlar da bir işleme faaliyeti olarak kabul edilmektedir. Kişisel veriler otomatik veya otomatik olmayan yollarla işlenebilecektir:

• Otomatik İşleme: Otomatik olarak veri işlenmesi; bilgisayar, telefon, saat vb. işlemci sahibi cihazlar tarafından yerine getirilen, yazılım veya donanım özellikleri aracılığıyla önceden hazırlanan algoritmalar kapsamında insan müdahalesi olmadan kendiliğinden gerçekleşen işleme faaliyetidir.

• Otomatik Olmayan Yollarla İşleme (Veri Kayıt Sisteminin Parçası Olmak Kaydıyla): Kişisel veriler otomatik işlemeye tabi tutulmasalar da, "veri kayıt sistemi" aracılığıyla işlendiklerinde de Kanun hükümlerine tabi olacaklardır. Bu sistemler elektronik yahut fiziki ortamda oluşturulabilir.

Verilerin hukuka uygun işlenmesi için aşağıdaki tüm şartların birlikte sağlanması gerekir:

• İşlemenin rıza veya istisnaya dayalı olması,

• Aydınlatmanın gerçekleşmiş olması,

• İşlemenin amaç ve süre ile sınırlı olması,

• Genel (temel) hukuk ilkelerine uygun olması.

Müşterilerimiz tarafından, Şirketimiz sunduğu hizmetler kullanıldığı süre boyunca ve her halükarda ilişkinin sona ermesinin ardından Paycon A.Ş., iş bu Politikada belirtilen amaçlara uymak suretiyle, Kişisel Veri Sahibi/İlgili Kişinin verilerini işleme hakkına sahiptir.

Paycon A.Ş., Kişisel Veri Sahibi/ İlgili Kişi bakımından Kanunda öngörülen hukuka uygunluk sebepleri devam ettiği surette Kişisel Veri Sahibi/İlgili Kişinin verilerini işleme hakkına sahiptir.

Paycon A.Ş. tarafından yapılan kişisel veri işleme, faaliyetleri kapsamında otomatik olan, yarı otomatik olan veya otomatik olmayan yollar kullanılarak veriye yönelik gerçekleştirilen işlemlerdir.

Kişisel Verilerin işlenmesi; verilerin elde edilmesi, ses ya da video kaydı alınması, bunların toplanması, kaydedilmesi muhafaza edilmesi, organize edilmesi, depolanması, kullanılması, değiştirilmesi, yeniden düzenlenmesi sınıflandırılması, açıklanması, yurtiçi ya da yurtdışına aktarılması, erişilebilir kılınması, devralınması, kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade etmektedir.

7. KİŞİSEL VERİLERİ İŞLEME AMAÇLARI

• Şirketimizce, 6493 Sayılı Kanun ve alt düzenlemeleri başta olmak üzere Ödeme Hizmetleri faaliyeti kapsamında tabii olduğu tüm mevzuatlar gereği yükümlülüklerini yerine getirmek,

• Ödeme Hizmetleri hizmetlerinin verilebilmesi için akdedilen ürün ve hizmetlere konu sözleşmelerin koşullarının ifası ve üstlenilen yükümlülükleri yerine getirebilmek,

• Müşterilerimizin ürün kullanım geçmişi, performansı, istatistiki verileri, vb. ile ilgili verilerini analiz etmesi sırasında Şirketin hizmetlerinin Müşterilerimize en iyi şekilde sunulabilmesi için kullanmak sureti ile geliştirilmesi;

• Müşterilerimizin kredibilite / verimlilik değerlemelerinin yapılması, istihbarat, bilgi araştırmaları, planlama, istatistiki çalışmaların yapılabilmesi,

• Müşterilerimize sunulan Ödeme Hizmetleri hizmetlerinin güncel durumu ve güncellemeler ile ilgili müşterilerimiz ile iletişime geçilebilmesi, bu hususta gerekli bilgilendirmelerin yapılabilmesi,

• Müşterilerimizin Ödeme Hizmetleri işlemlerinin ve/veya kredi geçmişinin ve/veya davranış modellerinin temin edilmesinin gerekli olduğu, yeni ve/ veya ilave bir kredi veya kredi dışı ürün teklif edilmesi yahut mevcut koşulların değiştirilmesi;

• Ödeme Hizmetleri, sigortacılık, yatırım ve finans ürünleri ile ilgili hizmetlerin verilebilmesi ve acente sıfatıyla sunulabilecekler de dahil olmak üzere bunlara ilişkin işlemlerin yerine getirilmesi, bu kapsamdaki faaliyetlerin yürütülmesi ve hizmetlerin geliştirilmesi,

• Müşterilerimizin kullanım alışkanlıkları göz önünde bulundurularak ilgilenebilecekleri ürünlere ilişkin yönlendirmede bulunulması ve kampanyalara ilişkin bilgi verilebilmesi, anılan hizmetlere ve ürünlere yönelik tanıtım, pazarlama, promosyon ve kampanya faaliyetlerinin yapılması,

• Anlaşmalı kurumlarımız ve çözüm ortaklarımız tarafından müşterilerimize öneri sunabilmek, hizmetlerimizle ilgili müşterilerimizi bilgilendirebilmek,

• Hizmetlerimiz ile ilgili müşteri şikayet ve önerilerini değerlendirebilmek,

• Yasal yükümlülüklerimizi yerine getirebilmek ve yürürlükteki mevzuattan doğan haklarımızı kullanabilmek,

• İnsan kaynakları politikalarımızın en iyi şekilde planlanması ve uygulanması, iş başvuruları esnasında paylaşılan Kişisel Verilerin değerlendirilmesi, amaçlarıyla sınırlı olarak Kanun'un 5. Ve 6. Maddelerinde belirtilen Kişisel Veri işleme şartları kapsamında işlenir

8. KİŞİSEL VERİLERİN İŞLENME ŞARTLARI

Kişisel Verilerin Korunması Kanunu'nda Müşterinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı "açık rıza" olarak tanımlanmaktadır.

Kanunun 5. maddesi uyarınca açık rıza Kanundaki kişisel veri işleme şartlarından biridir ancak Açık rıza veri işleme faaliyetine hukukilik kazandıran yegane unsur değildir. Aşağıdaki şartlardan birinin varlığı hâlinde, Kişisel Veri Sahibi/İlgili kişinin açık rızası aranmaksızın Kişisel Verilerinin işlenmesi mümkündür:

• Kanunlarda açıkça öngörülmesi,

• Ödeme Hizmetleri faaliyeleri nedeni ile tabii olduğu kanunların açıkça öngördüğü kapsamda işlem tesis edilmesi,

• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait Kişisel Verilerin işlenmesinin gerekli olması,

• Veri Sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,

• Kişisel Veri Sahibi/İlgili Kişinin kendisi tarafından alenileştirilmiş olması,

• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,

• Kişisel Veri Sahibi/İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Veri Sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.

Paycon A.Ş Kişisel Verilerin korunmasına ilişkin temel ilkelere uyulması ve Kişisel Veri Sahibi/İlgili Kişinin menfaat dengesinin gözetilmesi konusunda her türlü özeni ve hassasiyeti göstermektedir.

9. KİŞİSEL VERILERIN IŞLENMESI

Özel nitelikli kişisel veriler kanunlarda öngörülen ve KVK Kurulu'nun öngördüğü idari ve teknik tedbirler alınarak ve açık rıza var ise, veya mevzuatın zorunlu kıldığı hallerde, işlenebilir. Kanun 6. Maddesinde bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler olarak belirlenmiştir.

Özel nitelikli kişisel veriler, Kurul tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla; kişisel veri sahibinin açık rızası var ise veya Kişisel veri sahibinin açık rızası yok ise;

• Kişisel veri sahibinin sağlığı ve cinsel hayatı dışındaki özel nitelikli kişisel veriler, kanunlarda öngörülen hallerde,

• Kişisel veri sahibinin sağlığına ve cinsel hayatına ilişkin özel nitelikli kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilmektedir.

• Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilmekte olduğundan, tarafımızdan çalışanlarımızın verisi dışında işlenmez. Çalışanlarımıza ait bu tür veriler ise açık rızası alınarak kanunlarda öngörülen kişilerce işlenebilir.

Paycon A.Ş., web sitesini daha kullanıcı dostu hale getirmek ve başvuru, talep gibi belirli fonksiyonların çalışmasını sağlamak için çerezler kullanılmakta olup, Çerezler, bilgisayarınıza veya mobil cihazınıza kaydedilen küçük metin dosyalarıdır. Bir çerez etkinleştirildiğinde tarayıcınız bu çerezden tespit edilebilir ve söz konusu çerezde yer alan bilgiler kullanılabilir.

Bu süreçte, belirli bir kişiyi tanımlayabilecek hiçbir kişisel veri depolanmaz. İlgili süreç Şirketmız internet sitesinde yer verilen Çerez Politikası'nda açıklanmıştır.

10. İŞİSEL VERİLERİN AKTARILMASI

Paycon A.Ş., hukuka uygun olan Kişisel Veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak Kişisel Veri Sahibi/İlgili Kişinin Kişisel Verilerini üçüncü kişilere aktarabilmektedir. Paycon A.Ş. bu doğrultuda Kanunun 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir. Paycon A.Ş., meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda aşağıda sayılan Kanunun 5. Maddesinde belirtilen kişisel veri işleme şartlarından bir veya birkaçına dayalı ve sınırlı olarak kişisel verileri üçüncü kişilere aktarabilmektedir:

• Kişisel veri sahibinin açık rızası var ise,

• Kanunlarda Kişisel Verinin aktarılacağına ilişkin açık bir düzenleme var ise,

• Kişisel Veri Sahibi/İlgili Kişinin veya başkasının hayatı veya beden bütünlüğünün korunması için zorunlu ise ve Kişisel Veri Sahibi/İlgili Kişi fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda ise veya rızasına hukuki geçerlilik tanınmıyorsa;

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait Kişisel Verinin aktarılması gerekli ise,

• Paycon A.Ş.' ın hukuki yükümlülüğünü yerine getirmesi için Kişisel Veri aktarımı zorunlu ise,

• Kişisel Veriler, Kişisel Veri Sahibi/İlgili Kişi tarafından alenileştirilmiş ise,

• Kişisel Veri aktarımı bir hakkın tesisi, kullanılması veya korunması için zorunlu ise,

• Kişisel Veri Sahibinin/İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Paycon A.Ş.'ın meşru menfaatleri için Kişisel Veri aktarımı zorunlu ise.

11. KİŞİSEL VERİLERİN YURT DIŞINA AKTARIMI

Paycon A.Ş. tarafından; Kurul tarafından yeterli korumaya sahip olduğu ilan edilen yabancı ülkelere ("Yeterli Korumaya Sahip Yabancı Ülke") veya yeterli korumanın bulunmaması durumunda, Türkiye'deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt ettiği ve Kurulun izninin bulunduğu yabancı ülkelere ("Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülke") kişisel veriler aktarılabilmektedir. Paycon A.Ş., Kanunun 9. maddesinde öngörülen bu düzenlemelere uygun hareket etmektedir. Paycon A.Ş., meşru ve hukuka uygun Kişisel Veri işleme amaçları doğrultusunda Kişisel Veri Sahibi/ Ilgili Kişinin açık rızası var ise veya açık rızası yok ise aşağıdaki hallerden birinin varlığı durumunda Kişisel Verileri Yeterli Korumaya Sahip veya Yeterli Korumayı Taahhüt Eden Veri Sorumlusunun Bulunduğu Yabancı Ülkelere aktarabilir:

• Kanunlarda Kişisel Verinin aktarılacağına ilişkin açık bir düzenleme var ise,

• Kişisel Veri Sahibinin/İlgili Kişinin veya başkasının hayatı veya beden bütünlüğünün korunması için zorunlu ise ve Kişisel Veri Sahibi/İlgili Kişi fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda ise veya rızasına hukuki geçerlilik tanınmıyorsa;

• Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait Kişisel Verinin aktarılması gerekli ise,

• Paycon A.Ş.' ın hukuki yükümlülüğünü yerine getirmesi için Kişisel Veri aktarımı zorunlu ise,

• Kişisel Veriler, Kişisel Veri Sahibi/İlgili Kişi tarafından alenileştirilmiş ise,

• Kişisel Veri aktarımı bir hakkın tesisi, kullanılması veya korunması için zorunlu ise,

• Kişisel Veri Sahibi/İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla,

Paycon A.Ş.' ın meşru menfaatleri için Kişisel Veri aktarımı zorunlu ise. Paycon'in hali hazırda personel verisinin ana grup firması ile paylaşılması ve gmail. yahoo uzantılı müşteri mail adreslerine müşterilerimizin talep ettikleri bilgilendirme maillerinin gönderilmesi haricinde yurtdışına bir veri aktarımı bulunmamaktadır

12. AKTARILMA AMAÇLARI

Paycon A.Ş., işlediği Kişisel Verileri, gerçekleştirmekte olduğu faaliyetleri kapsamında, stratejilerinin planlanması ve yürütülmesi, kendisi ile akdettiği bir sözleşme çerçevesinde (destek hizmeti, bağımsız denetim, derecelendirme, danışmanlık, hizmet, satın alma, iş birliği, çözüm ortaklığı vb.) iş ilişkisi içerisinde bulunduğu kurum ve kuruluşlara sözleşmenin ifası amacı ile Paycon A.Ş.'ın hukuki, ticari ve fiziki güvenliğinin temini, kurumsal işleyişinin sağlanması, sunulan ürün ve hizmetlerden müşterileri en iyi şekilde faydalandırmak için çalışmaların yapılması; web sitesinde sunulan hizmetlerin geliştirilmesi, insan kaynakları politikalarımızın en iyi şekilde planlanması ve uygulanması Paycon A.Ş.'a talep ve şikayetlerini iletenler ile iletişime geçilmesi amaçlarıyla sınırlı olarak Kanun'un 8. ve 9. Maddelerinde belirtilen şartlar kapsamında aktarılır.

13. KİŞİSEL VERİLERİN SAKLANMASI VE GÜVENLİK TEDBİRLERİ

Paycon A.Ş., ana mevzuatı olan 6493 Sayili Kanun başta olmak üzere mevzuatta öngörülen saklama süreleri saklı kalmak kaydıyla, kişisel verilerin işleme amacının gerektirdiği süre boyunca saklar. Şirketimiz her bir veri kategorisi kapsamındaki saklama süreleri yasal yükümlülükleri doğrultusunda belirlenir.

Paycon A.Ş., Kanun'un 12. maddesine uygun olarak, işlemekte olduğu kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, verilere hukuka aykırı olarak erişilmesini önlemek ve verilerin muhafazasını sağlamak için imkanlar dahilinde ve korunacak verinin niteliğine göre uygun güvenlik düzeyini sağlamaya yönelik gerekli tüm teknik ve idari tedbirleri alır, bu kapsamda gerekli denetimleri gerçekleştirir.

14. TEKNİK TEDBİRLER

Kişisel verileri korumak için sayılanlarla sınırlı olmamak üzere;

• Kişisel verilerin mevzuata uygun olarak işlenmesi ve saklanması için şirket içi her türlü teknik organizasyon yapılır,

• Kişisel verilerin saklanacağı veri tabanlarının güvenliğini sağlamak için her türlü teknik altyapı gerek Ödeme Hizmetleri Mevzuatı Sır Saklama Yükümlülüğü gerek Kişisel Verilerin Korunması Kanunu kapsamında sağlanır ve izlenir.

• Oluşturulan teknik alt yapının takibini sağlar ve denetimlerini yapar,

• Alınan teknik tedbirlerin ve denetim süreçlerinin raporlanmasına ilişkin prosedürleri belirler,

• Teknik tedbirleri periyodik olarak günceller ve yeniler

• Riskli durumlar yeniden incelenerek gerekli teknolojik çözümler üretilir,

• Virüs koruma sistemleri, güvenlik duvarı ve benzeri yazılımsal veya donanımsal güvenlik ürünleri kullanmakta ve teknolojik gelişmelere uygun güvenlik sistemleri kurar, Ağ güvenliği ve uygulama güvenliği sağlar.

• Çalışanlar için yetki matrisi oluşturur ve izinsiz bilgi erişimlerini engeller.

• Gerektiğinde veri maskeleme önlemi uygulanır.

• Teknik konularda uzman çalışanlar istihdam eder.

• Saldırı tespit ve önleme sistemleri kullanılır.

• Siber güvenlik önlemleri alınır ve düzenli olarak izlenir.

• Veri kaybı önleme yazılımları kullanılır.

15. İDARİ TEDBİRLER

Kişisel verilerinizi korumak için sayılanlarla sınırlı olmamak üzere;

• Şirket içerisinde kişisel verilere erişim politika ve prosedürleri oluşturur,

• Çalışanlarını kişisel verilerin hukuka uygun bir şekilde korunması ve işlenmesine ilişkin bilgilendirir ve eğitir,

• Çalışanları ile yapılan sözleşmelerde ve/veya oluşturduğu Politikalarda, Çalışanlar tarafından kişisel verilerin hukuka aykırı olarak işlenmesi durumlarında alınacak tedbirler kayıt altına alınır,

• Destek Hizmeti kuruluşlarının veri erişim faaliyetleri denetlenir ve amaca uygunluğu her daim sorgulanır.

• Şirket bünyesinde her türlü bilginin korunması ve risklerin takibi için kurulan "Bilgi Güvenliği Komitesi" kurulmuştur ve en önemli önceliği müşteri sırrı ve kişisel veri kavramı ve onların korunmasıdır.

• Şirket çalışanları, kişisel verilerin korunması ve hukuka uygun olarak işlenmesi konusunda düzenli olarak bilgilendirilir ve eğitilir.

• Şirket'in yürütmüş olduğu tüm faaliyetler detaylı olarak tüm iş birimleri özelinde analiz edilmiş; bu analiz neticesinde ilgili iş birimlerinin gerçekleştirmiş olduğu iş süreçleri özelinde kişisel veri işleme faaliyetleri belirlenmiş ve kişisel veri envanterine işlenir. Envanter Şirket tarafından düzenli olarak güncellenir.

• Şirket iş birimlerinin yürütmüş olduğu kişisel veri işleme faaliyetleri özelinde, kişisel veri işleme şartlarına uygunluğun sağlanması için yerine getirilecek olan gereklilikler; her bir iş birimi ve detay faaliyet özelinde belirlenir.

• Üçüncü taraf şahıs/kurumlar ve çalışanlar ile imzalanan sözleşme ve belgelere, kişisel verilerin hukuka uygun olarak işlenmesi, korunması ve veri gizliliğini sağlamak amacıyla hükümler eklenir, tarafların sorumlulukları açıkça düzenlenerek hukuka ve sözleşmeye aykırı veri işleme faaliyetleri için yaptırım getiren hükümler uygulanır.

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri hayata geçirilir.

• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılır.

• Personelden ve Destek Hizmeti Kuruluşu Çalışanlarından Gizlilik taahhütnameleri alınır

• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanır ve uygulanır.

• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalık sağlanır.

• Kâğıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilir.

• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanır.

16. KİŞİSEL VERİ SAHİBİNİN HAKLARI

Şirketimiz Aydınlatma yükümlülüğü kapsamında Kişisel Veri Sahibi'ni bilgilendirir ve bu bilgilendirmeye ilişkin sistem ve alt yapılarını tesis eder. Kişisel Veri Sahibi kişisel verileri üzerinde;

• Kişisel verilerin işlenip işlenmediğini öğrenme,

• Kişisel veriler işlenmişse buna ilişkin bilgi talep etme,

• Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,

• Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,

• Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini isteme,

• Kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerin silinmesini veya yok edilmesini isteme,

• Yukarıda bahsedilen düzeltme, silme veya yok etme işlemlerinin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,

• İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhe bir sonuç ortaya çıkmasına itiraz etme,

• Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etme, haklarına sahiptir.

17. KİŞİSEL VERİLERE İLİŞKİN HAKLARIN KULLANILMASI

Kişisel Veri Sahibi, Kişisel verileri ile ilgili talebini Paycon (ŞİRKET ADRESİ EKLE) adresine yazılı ve ıslak imzalı olarak, destek@paycon.io adresimize aynı şekilde yazılı ve imzalı olarak ya da şirketin kayıtlı elektronik posta adresine güvenli elektronik imza ile imzalanmış olarak gönderebilecektir. Kişisel Veri Sahibi yukarıda belirtilen hakları kullanmak için yapacağı ve kullanmayı talep ettiği hakka ilişkin açıklamaların içeren başvuruda; talep edilen hususun açık ve anlaşılır olması, talep edilen konunun başvuranın şahsı ile ilgili olması veya başkası adına hareket ediliyor ise bu konuda özel olarak yetkili olması ve bu yetkinin belgelendirilmesi, ayrıca başvurunun kimlik ve adres bilgilerini içermesi ve başvuruya kimliğini tevsik edici belgelerin eklenmesi gerekmektedir. Söz konusu talepler bireysel olarak yapılacak olup yetkisiz üçüncü kişilerin kişisel veriler ile ilgili yaptığı talepler değerlendirmeye alınmayacaktır.

18. BAŞVURUNUN CEVAPLANDIRILMA SÜRESİ

Kişisel verilere ilişkin talepler, niteliğine göre en kısa sürede ve her halükarda en geç 30 (otuz) gün içinde ücretsiz olarak sonuçlandırılır ve yanıt dönülür. Başvuru sırasında veya başvuru değerlendirilirken başvuru sahibinden ek bilgi ve belge talep edilmesi söz konusu olabilecektir.

19. BAŞVURUNUN DEĞERLENDİRİLME USULÜ

Başvuru cevaplandırma süresinin başlayabilmesi için yapılan eksiksiz, tevsik edici belgeleri içerir şekilde yapılması gerekmektedir. Talebin reddi halinde ise, gerekçesi açıklanarak yazılı veya elektronik ortamda başvuru sahibine bildirilir.

20. KİŞİSEL VERİLERİ KORUMA KURULU'NA OLAN ŞİKAYET HAKKI

Başvurunun reddedilmesi, verdiğimiz cevabı yetersiz bulunması veya süresinde cevap verilmemesi hallerinde; başvuru sahibinin cevabı öğrendiği tarihten itibaren 30 (otuz) gün ve her halde başvuru tarihinden itibaren 60 (altmış) gün içerisinde KVK Kurulu'na şikayette bulunma hakkı bulunmaktadır.

21. KİŞİSEL VERİLERİN SİLİNMESİ, YOK EDİLMESİ VEYA ANONİM HÂLE GETİRİLMESİ

Kişisel Verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklı kalmak kaydı ile Paycon A.Ş., bu Kanun ve diğer kanun hükümlerine uygun olarak işlemiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Kişisel Verileri resen veya Kişisel Veri Sahibinin/İlgili Kişinin talebi üzerine "Politika"'da yer alan prensipler çerçevesinde siler, yok eder veya anonim hale getirir. Kişisel verilerin silinmesi; Kişisel Verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir. Verilerin yok edilmesi ise, Kişisel Verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.

Verilerin anonim hale getirilmesiyle, Kişisel Verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanma işlemidir.

22. YÜRÜTME ve YÜRÜRLÜK

Bu politikanın ve bağlantılı referans dokümanların uygulatılmasından Yönetim Kurulu sorumlu olup, ilgili süreçlerin sağlıksız ve eksiksiz yürütülmesinden Yönetim Kurulu müteselsilen sorumludur. Bu politika kapak sayfasında belirtilen tarih itibariyle yürürlüğe girer.

23. DAĞITIM VE GÜNCELLEME

Doküman ilgili kullanıcıların erişimine açık olarak ypayfs platformu üzerinde bulundurulur. Yılda bir ve/veya gerektiğinde Veri Sorumlusu tarfından, diğer birimlerden gelen görüş ve istekler de göz önünde bulundurularak gözden geçirilecek ve gerekirse güncellemesi yapılacaktır. Doküman üzerinde değişiklik yapıldıysa, son hali Yönetim Kuruluna onay için sunulacak, onay alımından sonra yayımlanarak yürürlüğe girecektir.

24. KİŞİSEL VERİLERİN SAKLANMASINI VE İMHASINI GEREKTİREN SEBEPLER

Kişisel veriler ilgili mevzuatta öngörülen veya işleme amaçlarına uygun süreler boyunca Şirket politikalarına uygun olarak saklanır ve işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde resen veya ilgili kişinin talebi üzerine imha edilir.

25. TEKNİK VE İDARİ TEDBİRLER

Şirket tarafından kişisel verilerin korunması yükümlülükleri kapsamında uygulanan teknik ve idari tedbirler aşağıdadır.

• Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.

• Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.

• Anahtar yönetimi uygulanmaktadır.

• Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.

• Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.

• Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.

• Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.

• Çalışanlar için yetki matrisi oluşturulmuştur.

• Erişim logları düzenli olarak tutulmaktadır.

• Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.

• Gerektiğinde veri maskeleme önlemi uygulanmaktadır.

• Gizlilik taahhütnameleri yapılmaktadır.

• Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.

• Güncel anti-virüs sistemleri kullanılmaktadır.

• Güvenlik duvarları kullanılmaktadır.

• İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.

• Kağıt yoluyla aktarılan kişisel veriler için ekstra güvenlik tedbirleri alınmakta ve ilgili evrak gizlilik dereceli belge formatında gönderilmektedir.

• Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.

• Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.

• Kişisel veri güvenliğinin takibi yapılmaktadır.

• Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.

• Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.

• Kişisel veri içeren ortamların güvenliği sağlanmaktadır.

• Kişisel veriler mümkün olduğunca azaltılmaktadır.

• Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.

• Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.

• Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.

• Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.

• Mevcut risk ve tehditler belirlenmiştir.

• Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.

• Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.

• Özel nitelikli kişisel veriler için güvenli şifreleme / kriptografik anahtarlar kullanılmakta ve farklı birimlerce yönetilmektedir.

• Saldırı tespit ve önleme sistemleri kullanılmaktadır.

• Sızma testi uygulanmaktadır.

• Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.

• Şifreleme yapılmaktadır.

• Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.

• Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.

• Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.

• Veri kaybı önleme yazılımları kullanılmaktadır.

26. İMHA TEKNİKLERİ

Şirket tarafından kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi sürecinde aşağıdaki imha yöntemleri ve tedbirleri uygulanacaktır.

SAKLAMA VE İMHA SÜRELERİ

Saklama süreleri sona eren kişisel veriler için Paycon tarafından en geç saklama süresinin bitimini takip eden ilk periyodik imha süresinde silme, yok etme veya anonim hale getirme işlemleri gerçekleştirilir.

Kişisel verilerinizin saklama süresi aşağıdaki şekildedir:

Kanunda veya ilgili mevzuatta verinin saklanması için bir süre belirlenmişse, söz konusu veri en az bu süre kadar saklanmak zorundadır. Aksi mevzuatta öngörülmüyor ise kişisel verileriniz kural olarak istihdam sözleşmenin bitiminden itibaren 10 yıl süre ile saklanmaktadır.

Olası bir mahkeme talebinin veya kanunla yetkili kılınmış bir idari merciinin ilgili veriye ilişkin talebinin tarafımıza geç ulaşması veya tarafı olabileceğimiz bir ihtilafın meydana gelmesi gibi ihtimaller gözetilerek, verilerinizin saklanması için mevzuatta öngörülen sürelere 6 ay ila 1 yıl arası bir süre eklenerek verilerin saklama süresi belirlenmekte ve belirlenen sürenin sonunda söz konusu veriler silinmekte, yok edilmekte veya anonimleştirilmektedir.

Mevzuatta, işlediğimiz verinin saklanma süresine yönelik bir süre öngörülmemiş ise aramızdaki ilişkinin gereği olarak ve tarafınızla yapılan sözleşmede belirlenen süre boyunca verileriniz saklanır. Bahsi geçen ilişkinin bitiminden sonra veya sözleşmede belirlenen süre geçtikten sonra verileriniz herhangi bir talebinize gerek olmadan silinir, yok edilir veya anonim hale getirilir.

Kişisel verilerin işleme şartlarının tamamı ortadan kalkmış ya da tarafımızca beyan edilen veya mevzuat kapsamında belirlenen saklama süresi dolmuş ise verileriniz, ilk periyodik imha tarihinde veya en geç 6 ay içerisinde re'sen silinir, yok edilir veya anonim hale getirilir. Geçerli bir sebep ile verilerinizin silinmesine dair talepte bulunmanız halinde ise verileriniz en geç 30 gün içerisinde silinir. Saklama süresi mevzuatta belirlenmiş verilerinizin öngörülen sürelerden önce silinmesini veya imha edilmesini talep etmeniz halinde söz konusu talebiniz gerçekleştirilemeyecektir.

GEÇERLİLİK

Politika Paycon tarafından yayımlandığı tarih itibariyle geçerli olacaktır. Paycon, Politika'da, gerekli olduğu takdirde, her zaman değişiklik yapabilir. Paycon tarafından yapılacak değişiklikler, Politika'nın "URL" adresinde yayımlanmasıyla birlikte derhal geçerlilik kazanır.