MUSICHOOL KİŞİSEL VERİLERİN KORUNMASI VE İŞLENMESİ POLİTİKASI
İÇİNDEKİLER
- 4.1. ROL VE GÖREVLER
- 4.2. POLİTİKA, PROSEDÜR, REHBER VE KILAVUZLARIN HAZIRLANMASI
- 5.1. TEMEL İLKELER
- 5.2. HUKUKA UYGUN İŞLEME FAALİYETİ
- 5.3. HUKUKA UYGUN VERİ AKTARIMI
- 6.1. KVK Kurulu Tarafından Verilen Kararları Yerine Getirme Yükümlülüğü
- 6.2. Veri Sahibi İlişkileri Yükümlülüğü
- 6.3. Veri Sorumluları Siciline Kayıt ve Bildirim Yükümlülüğü
- 6.4. Veri Sahibini Aydınlatma Yükümlülüğü
- 6.5. Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü
- 7.1. İDARİ TEDBİRLER
- 7.2. TEKNİK TEDBİRLER
- 7.3. KİŞİSEL VERİ İHLALİ
1. HEDEF VE KAPSAM
Faaliyet gösterdiği sektörde saygın bir yer edinmeyi başaran Musichool OÜ ("Musichool"), hukuk düzenine uyum konusunda da azami özeni göstermeyi benimsemiştir. Binaenaleyh; kişisel verilerin korunmasına ilişkin mevzuata uyum açısından gerekli her türlü sistemi inşa etmektedir.
Musichool Kişisel Verilerin İşlenmesi ve Korunması Politikası (Bundan böyle "Musichool KVK Politikası" olarak anılacaktır) ile Musichool tarafından kişisel verilerin işlenmesinde benimsenen ilke ve esaslar düzenlenmektedir.
Musichool'un, kişisel verilerin korunmasına verdiği önem doğrultusunda, Musichool KVK Politikası ile Musichool tarafından yürütülen faaliyetlerin 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda (Bundan böyle "KVK Kanunu" olarak anılacaktır) yer alan düzenlemelere uyumuna ilişkin temel prensipler belirlenmekte ve bu kapsamda Musichool tarafından yerine getirilmesi gereken yükümlülükler ortaya konulmaktadır. İşbu politika ile Musichool'un benimsediği kişisel veri güvenliği ilkeleri sürdürülebilir kılınmış olacaktır.
Musichool KVK Politikası, Musichool tarafından KVK Kanunu ve sair mevzuat ile ortaya konulan düzenlemelerin uygulanması bakımından yol gösterme amacı taşımaktadır.
2. VERİ SORUMLUSU
Musichool; KVK Kanunu gereği amaç ve vasıtalarını belirlemekte olduğu kişisel veri işleme faaliyetlerinde "veri sorumlusu" sıfatını haizdir ve işbu politika ile veri sorumlusu sıfatı sebebiyle edinmiş olduğu yükümlülükleri kamuoyuna duyurmaktadır.
3. TANIMLAR
Musichool KVK Politikası'nda ve mevzuatta yer alan önemli tanımlar anlamlarıyla birlikte aşağıdadır:
| Terim | Tanım |
|---|---|
| Kişisel Veri | Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi |
| Özel Nitelikteki Kişisel Veri | Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler |
| Veri Sahibi | Kişisel verisi işlenen belirli yada belirlenebilir gerçek kişi (İlgili kişi) |
| Açık Rıza | Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan muvafakat |
| Anonim Hale Getirme | Kişisel verinin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi |
| Kişisel Verilerin İşlenmesi | Kişisel verilerin elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem |
| Veri Sorumlusu | Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi |
| Veri İşleyen | Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleme faaliyetinde bulunan organizasyon dışı gerçek ve tüzel kişi |
| KVK Kanunu (Kanun) | 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete'de yayımlanan, 24 Mart 2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu |
| KVK Kurulu | Kişisel Verileri Koruma Kurulu |
| KVK Kurumu (Kurum) | Kişisel Verileri Koruma Kurumu |
| VERBİS | KVK Kurulu gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı nezdinde kamuya açık şekilde tutulan Veri Sorumluları Sicili |
| Musichool (Şirket) | Musichool OÜ |
| Musichool Kişisel Veri Saklama ve İmha Politikası | Bünyesinde barındırdığı kişisel verilerin saklanma, silinme, yok edilme ve anonim hale gelme süreçlerinin düzenlendiği Musichool tarafından tanzim edilmiş olan politika |
| Musichool Veri İhlali Prosedürü | Musichool bünyesinde oluşabilecek veri ihlali ihtimalinde izlenecek süreçlerin düzenlendiği prosedür |
| Musichool Veri Sahibi İlişkileri Kılavuzu | Veri sahipleri tarafından yapılacak başvuru usullerini ve bu başvuruların cevaplandırılması süreçlerini düzenleyen kılavuz |
| Musichool KVK Politikası | Musichool Kişisel Verilerin İşlenmesi ve Korunması Politikası |
| Kişisel Veri İşleme Envanteri | Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanter |
| Veri Sorumluları Sicili Hakkında Yönetmelik | 30 Aralık 2017 tarihli ve 30286 sayılı Resmi Gazete'de yayımlanan 1 Ocak 2018 tarihinde yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmelik |
4. VERİ GÜVENLİĞİ KURULU
Veri Güvenliği Kurulu; Musichool bünyesinde işlenen kişisel verilerin korunmasından ve kişisel verilerin korunması mevzuatına uyum sürecinin takibinden sorumlu olan birimdir. İnsan Kaynakları, İdari İşler ve Bilgi Teknolojileri departmanları temsilcilerinden oluşur.
Kurul tarafından gerek duyulması halinde veya talep doğrultusunda gerekli toplantılar gerçekleştirilir. Politikaların revizyonu ve mevzuata uyumu Veri Güvenliği Kurulu tarafından kontrol edilir. Bu kapsamda ilgili birim veya kişi tarafından yürütülecek temel faaliyetler aşağıda sıralanmaktadır:
- Kişisel verilerin korunması alanında gerekli rol ve görevlendirmelerin yapılması,
- Mevzuata uyum açısından ilgili dokümanların uygulanmasının temini ve gerekli denetimlerin yürütülmesi,
- KVK Kurumu, KVK Kurulu ve ilgili kişiler ile olan ilişkilerin takibi.
4.1. ROL VE GÖREVLER
Kurum ile kurulacak iletişim için veri sorumlusu tarafından VERBIS kayıt ve bilgi girişi işlemleri ve "Musichool Kişisel Veri Sahibi İlişkileri Kılavuzu" gereği 'Veri sahibi ilişkileri ve ilgili mekanizmaların işlerliğinin kontrolü' görevlerini ifa edecek olan "İrtibat kişisi" Veri Güvenliği Kurulu kararı ile atanır.
Yukarıda belirtilen asgari görevlere ek olarak, kişisel veri mahremiyeti uyumunun temini için duyulacak ihtiyaçlar sebebi ile atanacak görevli kişilere birtakım ek görev ve sorumluluklar verilebilir.
4.2. POLİTİKA, PROSEDÜR, REHBER VE KILAVUZLARIN HAZIRLANMASI
Kişisel verilerin korunması mevzuatına uyumun sağlanmasının temini amacıyla Veri Güvenliği Kurulu tarafından; Musichool adına veri sorumlusu sıfatı ile aşağıda yazılı dokümanlar hazırlanarak yayımlanır.
- Musichool Kişisel Verilerin Korunması ve İşlenmesi Politikası
- Musichool Kişisel Veri Saklama ve İmha Politikası
- Musichool Kişisel Veri İhlali Prosedürü
- Musichool Veri Sahibi İlişkileri Kılavuzu
5. POLİTİKA ESASLARI
5.1. TEMEL İLKELER
Musichool tarafından, kişisel verilerin işlenmesi esnasında aşağıda yazılı temel ilkeler benimsenecektir.
5.1.1. Kişisel verileri hukuka ve dürüstlük kurallarına uygun olarak işleme
Musichool, Türkiye Cumhuriyeti Anayasası ve KVK Kanunu başta olmak üzere, kişisel veri işleme faaliyetlerini, veri mahremiyeti mevzuatına ve dürüstlük kuralına uygun şekilde yürütür.
5.1.2. İşlenen kişisel verilerin doğruluğunu ve güncelliğini temin etme
Musichool, işlemekte olduğu kişisel verilerin doğruluğunu ve güncelliğini sağlayarak bu çerçevede gereken idari ve teknik tedbirleri alır ve süreç takibini sürdürür.
5.1.3. Kişisel verileri amaçla bağlantılı, sınırlı ve ölçülü bir biçimde işleme
Musichool; kişisel verileri, veri işleme şartları ile bağlantılı ve bu hizmetlerin gerçekleştirilmesi için gerektiği kadar işlemelidirler. Bu kapsamda, kişisel veri işleme amacının, kişisel veri işleme faaliyetine başlanmadan önce belirlenmesini gerektirmektedir. Diğer bir deyişle, kişisel verilerin yalnızca ileride kullanılabileceği varsayımı ile işlenmemesi (kişisel verilerin muhafaza edilmesi de veri işleme faaliyetidir) gerekmektedir. Bu çerçevede Musichool, veri sahiplerinin temel haklarını ve kendi meşru menfaatlerini göz önünde bulundurur.
5.1.4. Kişisel verileri ilgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza etme
Musichool; işlemekte olduğu kişisel verileri, ilgili mevzuatta öngörülen veya veri işleme amacının gerektirdiği süre ile sınırlı olarak muhafaza eder. Musichool, mevzuatta öngörülen sürenin bitimi veya kişisel verilerin işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verileri silebilir, yok edebilir veya anonim hale getirebilir. Bu doğrultuda oluşturulmuş olan Musichool Kişisel Veri Saklama ve İmha Politikası'na riayet edilir.
5.2. HUKUKA UYGUN İŞLEME FAALİYETİ
Musichool; kişisel verilerin işlenmesi faaliyetlerini yürütürken, temel ilkelere uymak kaydıyla, KVK Kanunu'nun 5. ve 6. maddelerinde belirlenen veri işleme şartlarına ve Şirket tarafından belirlenen "veri işleme amaçlarına" uygun şekilde hareket eder.
Musichool, kişisel verilerin hukuka uygun olarak işlenmesi için iç sistemlerinde gerekli mekanizmaları kurgular. Ayrıca kurum içi eğitimlerle veri mahremiyeti konusunda personel farkındalığını sağlayarak sürecin sürekliliğini hassasiyetle yürütür.
Musichool; kişisel verilerin işlenmesi kapsamında Türkiye Cumhuriyeti Anayasası başta olmak üzere, 5237 Sayılı Türk Ceza Kanunu, KVK Kanunu ve sair mevzuat ile Musichool KVK Politikası'nda ortaya konulan kurallara paralel şekilde faaliyet göstermektedir.
5.3. HUKUKA UYGUN VERİ AKTARIMI
Musichool tarafından; kişisel verilerin 3. kişilerle paylaşımında veya kişisel verilerin 3. kişilerin paylaşımına açılmasında KVK Kanunu'nun 8. ve 9. maddelerinde düzenlenmiş olan kişisel veri aktarım şartlarına riayet edilir.
6. YÜKÜMLÜLÜKLER
Musichool; KVK Kanunu'nun veri sorumluları için öngördüğü yükümlülüklere uymalıdır. Bu kapsamda işbu politikada Musichool'un uymakla yükümlü olduğu başlıca hususlar aşağıda sıralanmaktadır:
6.1. KVK Kurulu Tarafından Verilen Kararları Yerine Getirme Yükümlülüğü
Musichool; kişisel verilerin korunması faaliyetlerini düzenleyen ve bu alanda ülkemizin idari otoritesi olan KVK Kurumu'nun icra organı olan KVK Kurulu tarafından, şikayet halinde ya da resen yapılan inceleme sonucunda tebliğ edilen kararları derhal uygular. Ayrıca KVK Kurulu tarafından tesis edilen ilke kararlarını da veri mahremiyeti kuralları olarak benimser.
6.2. Veri Sahibi İlişkileri Yükümlülüğü
Musichool; veri sorumlusu sıfatıyla KVK Kanunu'nun 13. maddesi gereğince, veri sahiplerinin kişisel verilerine ilişkin taleplerini, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde sonuçlandırır.
KVK Kanunu'nun 11. maddesi uyarınca, kişisel veri sahipleri veri sorumlularına başvurarak kendileri ile ilgili aşağıda yer alan konularda talepte bulunabilirler:
- Kişisel verilerinin işlenip işlenmediğini öğrenmek,
- Kişisel verileri işlenmişse buna ilişkin bilgi talep etmek,
- Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenmek,
- Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilmek,
- Kişisel verilerin eksik veya yanlış işlenmiş olması halinde bunların düzeltilmesini istemek ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek,
- KVK Kanunu ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması halinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini istemek,
- İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etmek,
- Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması halinde zararın giderilmesini talep etmek.
6.3. Veri Sorumluları Siciline Kayıt ve Bildirim Yükümlülüğü
Musichool; Veri Sorumluları Sicili Hakkında Yönetmelik'te bahsi geçen kriterleri sağlaması halinde, KVK Kanunu'nun 16. maddesine ve yönetmelik usul ve esaslarına uygun olarak, Veri Sorumluları Sicili'ne kaydolmalıdır. Sicil; kamuya açık şekilde tutulmakta olup, ilgili kişi veya kişiler tarafından incelenebilmektedir.
6.4. Veri Sahibini Aydınlatma Yükümlülüğü
Musichool; KVK Kanunu'nun 10. Maddesine ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'e uygun şekilde kişisel verilerin elde edilmesi sırasında veri sahiplerinin, yetkilendirdiği kişiler tarafından bilgilendirilmesini sağlamak için gerekli süreçleri yürütür.
6.5. Kişisel Verilerin Güvenliğini Sağlama Yükümlülüğü
Musichool, KVK Kanunu'nun 12. maddesine uygun olarak, kişisel verilerin güvenliğinin sağlanmasının ve veri sahiplerinin temel hak ve özgürlüklerinin gözetilmesinin öneminin bilinciyle;
- Kişisel verilerin hukuka aykırı işlenmesini önlemek,
- Kişisel verilere hukuka aykırı olarak erişilmesini önlemek ve
- Kişisel verilerin muhafazasını sağlamak
amaçlarıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almaktadır. Ayrıca, veri güvenliğini sağlamaya yönelik mekanizmaların işletilmesi kapsamında gerekli denetimleri yapmakta veya yaptırmaktadır.
7. KİŞİSEL VERİLERİN GÜVENLİĞİNİN SAĞLANMASI
Musichool, kişisel verilerin hukuka aykırı olarak işlenmesini, kişisel verilere hukuka aykırı olarak erişilmesini veya başka şekillerde meydana gelebilecek güvenlik eksikliklerini önlemek ve kişisel verilerin güvenli şekilde muhafazasını sağlamak amacı ile imkanlar dahilinde, korunacak verinin niteliğine göre gerekli her türlü tedbiri alır.
Bu kapsamda Musichool; Kanun'un 12. maddesi ve KVK Kurulu tarafından hazırlanarak internet sitesinde yayımlanmış olan Veri Güvenliği Rehberi'ne riayet eder. Musichool tarafından; kişisel veri güvenliği amacı ile aşağıda yazılı idari ve teknik tedbirler alınır.
7.1. İDARİ TEDBİRLER
- Çalışanlar için veri güvenliği hükümleri içeren disiplin düzenlemeleri mevcuttur.
- Çalışanlar için veri güvenliği konusunda belli aralıklarla eğitim ve farkındalık çalışmaları yapılmaktadır.
- Erişim, bilgi güvenliği, kullanım, saklama ve imha konularında kurumsal politikalar hazırlanmış ve uygulamaya başlanmıştır.
- Gizlilik taahhütnameleri yapılmaktadır.
- İmzalanan sözleşmeler veri güvenliği hükümleri içermektedir.
- Kişisel veri güvenliği politika ve prosedürleri belirlenmiştir.
- Kişisel veri güvenliği sorunları hızlı bir şekilde raporlanmaktadır.
- Kişisel veri güvenliğinin takibi yapılmaktadır.
- Kişisel veri içeren fiziksel ortamlara giriş çıkışlarla ilgili gerekli güvenlik önlemleri alınmaktadır.
- Kişisel veri içeren fiziksel ortamların dış risklere (yangın, sel vb.) karşı güvenliği sağlanmaktadır.
- Kişisel veri içeren ortamların güvenliği sağlanmaktadır.
- Kişisel veriler mümkün olduğunca azaltılmaktadır.
- Kurum içi periyodik ve/veya rastgele denetimler yapılmakta ve yaptırılmaktadır.
- Mevcut risk ve tehditler belirlenmiştir.
- Özel nitelikli kişisel veri güvenliğine yönelik protokol ve prosedürler belirlenmiş ve uygulanmaktadır.
- Veri işleyen hizmet sağlayıcılarının veri güvenliği konusunda belli aralıklarla denetimi sağlanmaktadır.
- Veri işleyen hizmet sağlayıcılarının, veri güvenliği konusunda farkındalığı sağlanmaktadır.
7.2. TEKNİK TEDBİRLER
- Ağ güvenliği ve uygulama güvenliği sağlanmaktadır.
- Ağ yoluyla kişisel veri aktarımlarında kapalı sistem ağ kullanılmaktadır.
- Bilgi teknolojileri sistemleri tedarik, geliştirme ve bakımı kapsamındaki güvenlik önlemleri alınmaktadır.
- Bulutta depolanan kişisel verilerin güvenliği sağlanmaktadır.
- Çalışanlar için yetki matrisi oluşturulmuştur.
- Erişim logları düzenli olarak tutulmaktadır.
- Gerektiğinde veri maskeleme önlemi uygulanmaktadır.
- Görev değişikliği olan ya da işten ayrılan çalışanların bu alandaki yetkileri kaldırılmaktadır.
- Güncel anti-virüs sistemleri kullanılmaktadır.
- Güvenlik duvarları kullanılmaktadır.
- Kişisel veriler yedeklenmekte ve yedeklenen kişisel verilerin güvenliği de sağlanmaktadır.
- Kullanıcı hesap yönetimi ve yetki kontrol sistemi uygulanmakta olup bunların takibi de yapılmaktadır.
- Log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır.
- Özel nitelikli kişisel veriler elektronik posta yoluyla gönderilecekse mutlaka şifreli olarak ve KEP veya kurumsal posta hesabı kullanılarak gönderilmektedir.
- Saldırı tespit ve önleme sistemleri kullanılmaktadır.
- Siber güvenlik önlemleri alınmış olup uygulanması sürekli takip edilmektedir.
- Taşınabilir bellek, CD, DVD ortamında aktarılan özel nitelikli kişiler veriler şifrelenerek aktarılmaktadır.
- Veri kaybı önleme yazılımları kullanılmaktadır.
7.3. KİŞİSEL VERİ İHLALİ
Musichool; işlenen kişisel verilerin hukuka aykırı şekilde yetkisiz kimseler tarafından elde edilmesi durumunda, 72 saat içerisinde durumu KVK Kurulu'na ve ilgili veri sahiplerine bildirir. Bu sebeple Musichool Veri İhlali Prosedürü oluşturulmuş; bu prosedür kapsamında Veri Güvenliği Kurulu tarafından Musichool bünyesindeki tüm ihlal tatbikatları kurgulanmaktadır.
8. KİŞİSEL VERİLERİN İMHASI
Musichool; KVK Kanunu'nun 7. maddesi gereğince, hukuka uygun olarak işlenmiş olmasına rağmen işleme sebebi ortadan kalkan kişisel verilerin silinmesi, anonim hale getirilmesi veya yok edilmesine yönelik oluşturduğu Musichool Kişisel Veri Saklama ve İmha Politikası gereği kişisel verilerin imhasına ilişkin gerekli tüm iç sistemlerini oluşturmuştur.
9. REVİZYON
İşbu politika, Veri Güvenliği Kurulu tarafından onaylandığı andan itibaren yürürlüğe girer. İşbu politikanın yürürlükten kaldırılması hususu hariç olmak üzere; doküman içerisinde yapılacak değişiklikler ve ne şekilde yürürlüğe konacağı konusunda da Veri Güvenliği Kurulu yetkilidir.
İşbu politika her halükarda yılda bir kez gözden geçirilir, gerekli değişiklikler varsa, Veri Güvenliği Kurulu onayına sunularak güncellenir. Başta KVK Kanunu olmak üzere yürürlükteki mevzuat ile işbu Politika'da yer verilen düzenlemelerin çelişmesi halinde mevzuat hükümleri uygulanır.
İdari otorite olan KVK Kurumu tarafından yapılacak olan yasal düzenlemelere paralel olarak Musichool, Kişisel Veri Saklama ve İmha Politikası'nda değişiklik yapma hakkını saklı tutar. İşbu politikada veya mevzuatta oluşabilecek revizyonlar tarih ve konu belirtilerek politikaya eklenecek, gerekli duyurular yapıldıktan sonra politikanın ayrılmaz bir parçası olarak kabul edilecektir.