Kişisel Veri Saklama ve İmha Politikası
Hangi veri ne kadar saklanır, süre dolunca nasıl imha edilir ve bu işi kim yürütür.
Bu politika, 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca DEV YAPIMCILIK YAYINCILIK SAN. TİC. LTD. ŞTİ. tarafından hazırlanmıştır. Hangi verinin ne kadar saklandığını, süre dolduğunda nasıl imha edildiğini ve bu işi kimin yürüttüğünü belirler.
1. Amaç ve kapsam
Politika; GirişimciTürk Akademi platformunda öğrenci, eğitmen, ziyaretçi ve çalışan adaylarına ait, tamamen veya kısmen otomatik yollarla ya da bir veri kayıt sisteminin parçası olarak işlenen tüm kişisel verileri kapsar.
2. Kayıt ortamları
- Elektronik
- Uygulama veritabanı, nesne depolama (video ve dosyalar), e-posta sunucusu, log ve yedek sistemleri, muhasebe yazılımı, ödeme kuruluşunun sistemleri, kurumsal bulut dosya alanı.
- Elektronik olmayan
- Basılı sözleşmeler, gider pusulaları ve resmî yazışma evrakı; kilitli dolapta muhafaza edilir.
3. Sorumluluk ve görev dağılımı
| Rol | Görev |
|---|---|
| [Veri Sorumlusu Temsilcisi] | Politikanın yürütülmesi, periyodik imha kararlarının onayı, ilgili kişi başvurularının sonuçlandırılması. |
| [Teknik Sorumlu] | İmha işlemlerinin teknik olarak uygulanması, yedeklerden silme, erişim yetkilerinin gözden geçirilmesi, log tutulması. |
| [Mali Müşavir] | Vergi ve ticaret mevzuatı kaynaklı saklama sürelerinin doğrulanması. |
4. Saklamayı gerektiren sebepler
- Üyelik ve satış sözleşmesinin kurulması ve ifası (KVKK m. 5/2-c).
- Vergi Usul Kanunu, Türk Ticaret Kanunu ve tüketici mevzuatı kaynaklı belge saklama yükümlülükleri (m. 5/2-ç).
- Uyuşmazlık hâlinde hakkın tesisi, kullanılması ve korunması (m. 5/2-e).
- İçerik güvenliği ve yetkisiz paylaşımın tespiti bakımından meşru menfaat (m. 5/2-f).
5. İmhayı gerektiren sebepler
- İşlemeyi gerektiren sebeplerin ortadan kalkması.
- Açık rızaya dayalı işlemede rızanın geri alınması (ör. pazarlama izninin kapatılması).
- İlgili kişinin silme talebinin kabul edilmesi.
- Mevzuattaki azami saklama süresinin dolması.
6. Saklama ve imha süreleri
| Veri | Saklama süresi | İmha süresi |
|---|---|---|
| Üyelik kaydı (ad, e-posta, profil) | Hesap açık olduğu sürece | Kapatma talebinden itibaren 6 ay içinde |
| Öğrenme verisi (ilerleme, notlar) | Hesap açık olduğu sürece | Kapatma talebinden itibaren 6 ay içinde |
| Sipariş, fatura ve muhasebe kayıtları | 10 yıl (VUK / TTK) | Sürenin bitiminden sonraki ilk periyodik imhada |
| Eğitmen hak ediş ve ödeme kayıtları | 10 yıl | Sürenin bitiminden sonraki ilk periyodik imhada |
| Erişim ve işlem log kayıtları | 2 yıl | Sürenin bitiminden sonraki ilk periyodik imhada |
| Destek ve şikâyet yazışmaları | 3 yıl | Sürenin bitiminden sonraki ilk periyodik imhada |
| Pazarlama izni / rıza kayıtları | İznin geri alınmasından itibaren 3 yıl | Sürenin bitiminden sonraki ilk periyodik imhada |
| Çerez rıza kaydı | 12 ay | Süre sonunda otomatik |
| Yedekler | En fazla 90 gün (dönüşümlü) | Rotasyonla otomatik üzerine yazma |
Süreler, Aydınlatma Metni'ndeki beyanla birebir aynıdır; birini değiştirirken diğerini de güncelle.
7. İmha yöntemleri
7.1 Silme
Veri, ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilir: veritabanı kaydının kalıcı olarak kaldırılması, nesne depolamadaki dosyanın silinmesi, erişim yetkilerinin kapatılması.
7.2 Yok etme
Fiziki evrak kâğıt imha makinesinden geçirilir; kullanım dışı kalan depolama üniteleri fiziksel olarak imha edilir veya güvenli silme yazılımıyla üzerine yazılır.
7.3 Anonim hâle getirme
Ürün analitiği ve raporlama için gereken veriler, kimliği belirli veya belirlenebilir bir kişiyle ilişkilendirilemeyecek biçimde toplulaştırılır (maskeleme, toplama, kayıt sayısı eşiği). Anonimleştirilmiş veri KVKK kapsamı dışındadır ve süresiz saklanabilir.
7.4 Yedekler
Silme talebi anında yedeklere de uygulanamıyorsa, ilgili kayıt silinmiş olarak işaretlenir, yedeğe erişim kısıtlanır ve yedek rotasyonu tamamlandığında (en geç 90 gün) veri fiilen ortadan kalkar.
8. Periyodik imha
Saklama süresi dolan veriler için periyodik imha, Yönetmelik m. 11 uyarınca 6 ayı geçmeyen aralıklarla — her yıl Haziran ve Aralık aylarında — gerçekleştirilir. Her imha işlemi için tarih, kapsam, yöntem ve sorumluyu içeren bir kayıt tutulur ve bu kayıtlar en az 3 yıl saklanır.
9. Teknik ve idari tedbirler
- Yetki matrisi ve en az yetki ilkesi; erişimlerin 6 ayda bir gözden geçirilmesi.
- Aktarımda ve durağan hâlde şifreleme; kart verisinin hiç alınmaması.
- Log kayıtlarının tutulması ve değiştirilemez biçimde saklanması.
- Tedarikçilerle veri işleyen sözleşmeleri ve gizlilik taahhütnameleri.
- Çalışanlara yılda bir KVKK farkındalık eğitimi.
- İhlal hâlinde Kurul'a 72 saat içinde, ilgili kişilere makul sürede bildirim.
10. Güncelleme
Politika yılda en az bir kez gözden geçirilir. Mevzuat değişikliği veya yeni bir işleme faaliyeti hâlinde, ilgili değişiklik [Veri İşleme Envanteri] ile birlikte güncellenir. Sorular için: bilgi@girisimciturk.com.