Kişisel Verilerin Korunması ve İşlenmesi Politikası
Bu Politika’nın temel amacı, Enpara Bank A.Ş.’nin (“Enpara”) sürdürmekte olduğu Bankacılık hizmetleri kapsamında hukuka uygun bir biçimde yürütülen kişisel veri işleme faaliyetini disiplin altına almak ve Anayasa’nın 17. maddesinde ifade edilen kişinin dokunulmazlığı, maddi ve manevi varlığı ile Anayasa’nın 20. maddesinde koruma altına alınan kişinin temel hak ve özgürlükleri ile bu bağlamda kişisel verilerin işlenmesine yönelik benimsenen prensipleri ortaya koymak, kurum kültürünün oluşturularak, bu kapsamda kişisel verileri Enpara tarafından işlenen Kişisel Veri Sahibi/İlgili Kişileri bilgilendirilerek şeffaflığı sağlamaktır.
Enpara, kişisel verilerin güvenliğine en üst düzeyde önem vererek, sunulan tüm ürün ve hizmetlerde kişisel verilerin güvenliğinin ön planda olduğu bilinci ile faaliyetlerine devam etmektedir.
Kişisel Verilerin bankacılık işlemleri için kullanılması, verisi işlenen kişinin özel hayatının gizliliği, temel hak ve özgürlüklerinin korunması, Enpara'nın temel prensibidir.
Kanunun uygulanması ve bu Politika kapsamında;
Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rızayı,
Anonim hâle getirme: Bir veri kümesindeki tüm doğrudan ve/veya dolaylı tanımlayıcıların çıkartılarak ya da değiştirilerek, ilgili kişinin kimliğinin saptanabilmesinin engellenmesini veya bir grup veya kalabalık içinde ayırt edilebilir olma özelliğini kaybetmesini, kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesini,
İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişileri,
İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini,
Kanun : 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nu,
Kişisel Veri Sahibi/ İlgili Kişi: Müşteriler, ya da kişisel verisi işlenen Müşteri olmayan; potansiyel müşteriler, çalışanlar, çalışan adayları, hissedarlar, ziyaretçiler, kendisi ile akdettiği bir sözleşme çerçevesinde (destek hizmeti, bağımsız denetim, derecelendirme, danışmanlık, hizmet, satın alma, iş birliği, çözüm ortaklığı vb.) iş ilişkisi içerisinde bulunulan kurum ve kuruluşlar ve bunların çalışanları, hissedarları ve yetkilileri ile üçüncü gerçek kişiyi,
Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi,
Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi,
Kurul: Kişisel Verileri Koruma Kurulunu,
Kurum: Kişisel Verileri Koruma Kurumunu,
Müşteri: Banka ile imzalamış olduğu sözleşmeye istinaden Bankadan hizmet alan ve verisi işlenen ilgili gerçek kişiyi,
Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,
Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini,
Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi, ifade eder.
Bu Politika, Enpara müşterileri, potansiyel müşterileri, çalışanları, çalışan adayları, hissedarları, ziyaretçileri, kendisi ile akdettiği bir sözleşme çerçevesinde (destek hizmeti, bağımsız denetim, derecelendirme, danışmanlık, hizmet, satın alma, iş birliği, çözüm ortaklığı vb.) iş ilişkisi içerisinde bulunduğu kurum ve kuruluşlar ve bunların çalışanları, hissedarları ve yetkilileri ile üçüncü kişilerin otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen tüm Kişisel Verilerine uygulanmaktadır.
Bu Politika 15/01/2024 tarihinde yürürlüğe girmiştir. Politika’nın tamamının veya bir kısmının yenilenmesi durumunda Politika’nın versiyonları güncellenecektir.
Politika, Enpara web sitesinde yayımlanmakta olup, Kişisel Veri Sahibi/ İlgili Kişinin talebi olması halinde kendileri ile de paylaşılır.
Bu Politika’nın Enpara genelinde uygulanmasından, tüm çalışanlar yetkileri dahilinde sorumludur.
Kanun’un geçici 1. maddesinin 3. fıkrasında, hâlihazırda işlenmiş Kişisel Verilerin durumu düzenlenmiştir. Buna göre, Kanun’un yayımı tarihinden önce işlenmiş olan Kişisel Veriler, Kanun’un yayımı tarihinden itibaren iki yıl içinde Kanun hükümlerine uygun hâle getirilir. Bu süreç içerisinde Kanun hükümlerine aykırı olduğu tespit edilen Kişisel Veriler derhâl silinir, yok edilir veya anonim hâle getirilir. Fakat Kanun’un yayım tarihi olan 07 Nisan 2016 tarihinden önce hukuka uygun olarak alınmış rızalar, bir yıl içinde aksine bir irade beyanında bulunulmaması hâlinde, Kanun’a uygun kabul edilir.
Kanun’un 2. maddesine göre Kanun hükümleri Kişisel Verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanır. Buna göre, tüzel kişilere ait Kişisel Veriler Kanun kapsamı dışındadır, ancak tüzel kişiye ait verilerden gerçek kişinin belirlenmesinin mümkün olması halinde bu veriler de Kanun kapsamında sayılacaktır.
Anonim hale gelmiş ve tanımlanamayan veriler ve tüzel kişilere ilişkin veriler Kişisel Veri olarak kabul edilmemektedir ve bu Politika’ya tabi değildir.
Kimliği belirli ya da belirlenebilir nitelikteki gerçek bir kişiye ilişkin her türlü bilgidir. Kişisel Veriden söz edebilmek için, verinin bir gerçek kişiye ilişkin olması ve bu kişinin de belirli ya da belirlenebilir nitelikte olması gerekmektedir.
a) Gerçek kişiye ilişkin olma: Kişisel Veri, gerçek kişiye ilişkin olup, tüzel kişilere ilişkin veriler Kişisel Verinin tanımının dışındadır. Dolayısıyla, bir şirketin ticaret unvanı ya da adresi gibi tüzel kişiliğe ilişkin bilgiler (bir gerçek kişiyle ilişkilendirilebilecekleri durumlar haricinde) Kişisel Veri sayılmayacaktır.
b) Kişinin belirli veya belirlenebilir olması: Kişisel Veri, veri sahibinin doğrudan kimliğini gösterebileceği gibi, o kişinin kimliğini doğrudan göstermemekle birlikte, herhangi bir kayıtla ilişkilendirilmesi sonucunda kişinin belirlenmesini sağlayan tüm bilgileri de kapsar.
c) Her türlü bilgi: Her türlü bilgi ifadesi son derece geniş olup, bir gerçek kişinin; adı, soyadı, doğum tarihi ve doğum yeri gibi bireyin sadece kimliğini ortaya koyan bilgiler değil; telefon numarası, motorlu taşıt plakası, sosyal güvenlik numarası, pasaport numarası, özgeçmiş, resim, görüntü ve ses kayıtları, parmak izleri, IP adresi, e-posta adresi, hobiler, tercihler, etkileşimde bulunulan kişiler, grup üyelikleri, aile bilgileri, sağlık bilgileri gibi kişiyi doğrudan veya dolaylı olarak belirlenebilir kılan tüm veriler, Kişisel Veri olarak kabul edilmektedir.
Kişisel Verilerin işlenmesi kavramı zincirleme döngüyü ifade etmektedir. Kanun’ un 2. maddesinde, Kişisel Verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla ilk defa elde edilmesiyle başlayan bir süreç ve devamındaki her türlü işleme, veri işleme olarak tanımlanmıştır. Kişisel Veriler belirtilen şekilde toplandıktan sonra silme, yok etme ya da anonim hale getirme işlemlerine kadar olan süreçte gerçekleştirilen her türlü faaliyet Kanun kapsamında Kişisel Verilerin işlenmesi olarak değerlendirilmektedir.
Kişisel Veriler çeşitli şekillerde işlenebilir:
- Toplama veya kaydetme: Kişisel Verilerin ilk defa elde edildikleri an itibariyle işleme fiili başlamaktadır.
- Organize etme/depolama: Dijital ya da fiziksel ortamda, Kişisel Verilerin saklanması, barındırılması ya da depolanması işleme kapsamında kabul edilir.
- Kullanma/değiştirme: Kişisel Verilerin, görüntülenmesi de dâhil olmak üzere, her türlü kullanımı işleme sayılır.
- Aktarma: Kişisel Verilerin çeşitli yöntemlerle iletilmesidir.
- Yayma/erişilebilir kılma: Fiziksel olarak dağıtmak veya paylaşmak gibi, verileri dijital ortamda üçüncü tarafların erişimine açmak da bir işleme türüdür.
- Engelleme: Kişisel Verilere erişimin ve kullanımın engellenmesi de bir işleme faaliyeti olarak kabul edilmektedir.
Kişisel Veriler otomatik veya otomatik olmayan yollarla işlenebilecektir:
a. Otomatik İşleme
Otomatik olarak veri işlenmesi; bilgisayar, telefon, saat vb. işlemci sahibi cihazlar tarafından yerine getirilen, yazılım veya donanım özellikleri aracılığıyla önceden hazırlanan algoritmalar kapsamında insan müdahalesi olmadan kendiliğinden gerçekleşen işleme faaliyetidir.
b. Otomatik Olmayan Yollarla İşleme (Veri Kayıt Sisteminin Parçası Olmak Kaydıyla)
Kişisel Veriler otomatik işlemeye tabi tutulmasalar da, “veri kayıt sistemi” aracılığıyla işlendiklerinde de Kanun hükümlerine tabi olacaklardır. Bu sistemler elektronik yahut fiziki ortamda oluşturulabilir.
Verilerin hukuka uygun işlenmesi için aşağıdaki tüm şartların birlikte sağlanması gerekir:
- İşlemenin rıza veya Kanun’da belirtilen veri işleme şartlarına dayalı olması,
- Aydınlatmanın gerçekleşmiş olması,
- İşlemenin amaç ve süre ile sınırlı olması,
- Genel (temel) hukuk ilkelerine uygun olması.
Müşterilerimiz tarafından, Enpara tarafından sunulan bankacılık hizmetleri kullanıldığı süre boyunca ve herhalükarda ilişkinin sona ermesinin ardından Banka, işbu Politikada belirtilen amaçlara uymak suretiyle, Kişisel Veri Sahibi/İlgili Kişinin verilerini işleme hakkına sahiptir.
Kişisel Veri Sahibi/ İlgili Kişi bakımından ise, Kanunda öngörülen hukuka uygunluk sebepleri devam ettiği surette Enpara Kişisel Veri Sahibi/İlgili Kişinin verilerini işleme hakkına sahiptir.
Enpara tarafından yapılan Kişisel Veri işleme, bankacılık faaliyetleri kapsamında otomatik olan, yarı otomatik olan veya otomatik olmayan yollar kullanılarak veriye yönelik gerçekleştirilen işlemlerdir.
Kişisel Verilerin işlenmesi; verilerin elde edilmesi, ses ya da video kaydı alınması, bunların toplanması, kaydedilmesi muhafaza edilmesi, organize edilmesi, depolanması, kullanılması, değiştirilmesi, yeniden düzenlenmesi sınıflandırılması, açıklanması, yurtiçi ya da yurtdışına aktarılması, erişilebilir kılınması, devralınması, kullanılmasının engellenmesi, gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade etmektedir.
Enpara tarafından, Kişisel Veriler, Kanun'da öngörülen ilkelere ve bu Politikada yer verilen usul ve esaslara uygun olarak aşağıdaki kapsamda işlenir.
- Hukuka ve Dürüstlük Kurallarına Uygun Olma
Enpara, Kişisel Verileri, ilgili mevzuata ve dürüstlük kuralının gereklerine uygun olarak işler ve bu sınırlar içerisinde kullanır.
- Doğru ve Gerektiğinde Güncel Olma
Enpara Kişisel Veri Sahiplerinin temel haklarını ve meşru menfaatlerini dikkate alarak işlediği Kişisel Verilerin doğru ve güncel olmasını sağlar. Bu kapsamda verilerin elde edildiği kaynakların belirli olması, doğruluğunun teyit edilmesi, güncellenmesi gerekip gerekmediğinin değerlendirilmesi gibi hususları özenle dikkate alır.
- Belirli, Açık ve Meşru Amaçlar İçin İşlenme
Enpara, veri işleme amacını açık ve kesin olarak belirler ve bu amacın meşru olmasını sağlar. Amacın meşru olması, Enpara'nın işlediği Kişisel Verilerin, halihazırda sunmakta olduğu bankacılık hizmetleri ve bu kapsamda gerçekleştirdiği iş veya faaliyeti ile bağlantılı ve bunlar için gerekli olması anlamına gelir.
- İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma
Enpara, işlenen Kişisel Verilerin, belirlenen amaçların gerçekleştirilebilmesine elverişli olmasını sağlar ve amacın gerçekleştirilmesiyle ilgili olmayan veya ihtiyaç duyulmayan Kişisel Verilerin işlenmesinden kaçınır. Sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işlemek için, işlemeye ilk kez başlıyor gibi, Kanun’da düzenlenmiş olan Kişisel Verilerin işlenme şartlarını gerçekleştirir. Ayrıca işlenen veriyi, sadece amacın gerçekleştirilmesi için gerekli olanla sınırlı tutar.
- İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Edilme
Enpara, 5411 sayılı Bankacılık Kanunu ve faaliyeti kapsamında tabii olduğu tüm mevzuatlar gereği, verilerin saklanması için öngörülen bir süre bulunması halinde bu sürelere uyum gösterir; aksi durumda Kişisel Verileri, ancak işlendikleri amaç için gerekli olan süre kadar muhafaza eder. Enpara, tarafından bir Kişisel Verinin daha fazla saklanması için geçerli bir sebep olmaması durumunda, söz konusu veri Kişisel Veri Saklama ve İmha Politikası’nda yer alan düzenlemeler çerçevesinde silinir, yok edilir yahut anonim hale getirilir.
Kanun’da Müşterinin kendisiyle ilgili veri işlenmesine, özgürce, konuyla ilgili yeterli bilgi sahibi olarak, tereddüde yer bırakmayacak açıklıkta ve sadece o işlemle sınırlı olarak verdiği onay beyanı “açık rıza” olarak tanımlanmaktadır. Kanunun 5. maddesi uyarınca açık rıza Kanundaki kişisel veri işleme şartlarından biridir ve diğer kişisel veri işleme şartlarına göre karşılaştırmalı bir üstünlüğü bulunmamaktadır. Açık rıza veri işleme faaliyetine hukukilik kazandıran yegane unsur değildir.
Aşağıdaki şartlardan birinin varlığı hâlinde, Kişisel Veri Sahibi/İlgili kişinin açık rızası aranmaksızın Kişisel Verilerinin işlenmesi mümkündür:
a. Kanunlarda açıkça öngörülmesi,
b. Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
c. Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait Kişisel Verilerin işlenmesinin gerekli olması,
d. Veri Sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
e. Kişisel Veri Sahibi/İlgili Kişinin kendisi tarafından alenileştirilmiş olması,
f. Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
g. Kişisel Veri Sahibi/İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Veri Sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.
Enpara, Kişisel Verilerin korunmasına ilişkin temel ilkelere uyulması ve Enpara ile Kişisel Veri Sahibi/İlgili Kişinin menfaat dengesinin gözetilmesi konusunda gerekli hassasiyeti göstermektedir.
Enpara, Kişisel Verileri,
- 5411 sayılı Bankacılık Kanunu başta olmak üzere, bankacılık faaliyeti kapsamında tabii olduğu tüm mevzuatlar gereği yükümlülüklerini yerine getirmek,
- Bankacılık hizmetlerinin verilebilmesi için akdedilen ürün ve hizmetlere konu sözleşmelerin koşullarının ifası ve üstlenilen yükümlülükleri yerine getirebilmek,
- Müşterilerimizin kredibilite değerlemelerinin yapılması, istihbarat, bilgi araştırmaları, planlama, istatistiki çalışmaların yapılabilmesi,
- Müşterilerimizin kredi geçmişi, istatistiki verileri, vb. ile ilgili verilerini analiz etmesi sırasında Bankanın hizmetlerinin Müşterilerimize en iyi şekilde sunulabilmesi için kullanmak sureti ile geliştirilmesi;
- Müşterilerimize sunulan bankacılık hizmetlerinin güncel durumu ve güncellemeler ile ilgili müşterilerimiz ile iletişime geçilebilmesi, bu hususta gerekli bilgilendirmelerin yapılabilmesi,
- Müşterilerimizin bankacılık işlemlerinin ve/veya kredi geçmişinin ve/veya davranış modellerinin temin edilmesinin gerekli olduğu, yeni ve/ veya ilave bir kredi veya kredi dışı ürün teklif edilmesi yahut mevcut koşulların değiştirilmesi;
- Bankacılık, sigortacılık, yatırım ve finans ürünleri ile ilgili hizmetlerin verilebilmesi ve acente sıfatıyla sunulabilecekler de dahil olmak üzere bunlara ilişkin işlemlerin yerine getirilmesi, bu kapsamdaki faaliyetlerin yürütülmesi ve hizmetlerin geliştirilmesi,
- Müşterilerimizin kullanım alışkanlıkları göz önünde bulundurularak ilgilenebilecekleri ürünlere ilişkin yönlendirmede bulunulması ve kampanyalara ilişkin bilgi verilebilmesi, anılan hizmetlere ve ürünlere yönelik tanıtım, pazarlama, promosyon ve kampanya faaliyetlerinin yapılması,
- Müşteri memnuniyetini artırmak için alternatif dağıtım kanalları, internet bankacılığı ve/veya cep şubemizden bankacılık işlemleri yapan müşterilerimizi tanınabilmesi ve müşteri analizinde kullanılabilmesi, çeşitli pazarlama ve reklam faaliyetlerinin yapılabilmesi,
- Anlaşmalı kurumlarımız ve çözüm ortaklarımız tarafından müşterilerimize öneri sunabilmek, hizmetlerimizle ilgili müşterilerimizi bilgilendirebilmek,
- Hizmetlerimiz ile ilgili müşteri şikayet ve önerilerini değerlendirebilmek,
- Yasal yükümlülüklerimizi yerine getirebilmek ve yürürlükteki mevzuattan doğan haklarımızı kullanabilmek,
- İnsan kaynakları politikalarımızın en iyi şekilde planlanması ve uygulanması, iş başvuruları esnasında paylaşılan Kişisel Verilerin değerlendirilmesi,
amaçlarıyla sınırlı olarak Kanun’un 5. ve 6. maddelerinde belirtilen Kişisel Veri işleme şartları kapsamında işler.
Mevcut Çalışanlar: Enpara ile akdettiği iş sözleşmesi çerçevesinde bu sözleşmenin ifa edilmesi amacıyla, ve/veya bu sözleşmeden doğan özlük haklarının yerine getirilmesi ve bunların kesintisiz olarak sürdürülmesi, çalışanlara sağlanacak her türlü sigorta hizmetleri, iş sağlığı ve güvenliği hizmeti, performans yönetimi ile değerlendirmesi ve takibi, eğitim faaliyetleri, insan kaynakları ve eğitim süreçlerinin yerine getirilmesi gibi amaçlarla Enpara, Kişisel Veri Sahibi/İlgili kişinin iş ve/veya staja başlaması sebebiyle açıkladığı Kişisel Verilerini işleme hakkına sahiptir.
Çalışan Adayları: İş başvurularının değerlendirilmesi, istihbarat, araştırma ve diğer işe alım süreçlerinin yürütülmesi ilgili kanun düzenlemelerine uygun olarak yürütülür.
İş ilişkisiyle ilgili olan ancak ilk başta iş sözleşmesinin ifasının bir parçası olmayan Kişisel Verinin işlenmesi için Kanun’da belirtilen diğer hukuka uygunluk sebeplerinin olması gerekir.
Enpara, güvenlik kamerası ile Genel Müdürlük ve Saha Ofislerinde video kaydı ile; kendi ve 3. kişilerin güvenliğini sağlamaya ilişkin menfaatlerini korumak gibi amaçlar taşımaktadır.
Yukarıda açıklanan kapsamdaki veri işleme faaliyeti 5188 sayılı Özel Güvenlik Hizmetlerine Dair Kanun ve ilgili mevzuata uygun olarak gerçekleştirilmektedir.
Enpara, güvenliğin sağlanması amacıyla, yürürlükte bulunan ilgili mevzuatta öngörülen amaçlarla ve Kanunda sayılan Kişisel Veri işleme şartlarına uygun olarak güvenlik kamerası izleme faaliyetinde bulunmaktadır.
Enpara ile telefon üzerinden iletişim kurulduğunda da Kişisel Veri Sahibi /İlgili Kişi’nin bilgilendirilmesi sureti ile Banka Çağrı Merkezlerinin Hizmet Seviyesinin ve Kalitesinin Belirlenmesine İlişkin Yönetmelik çerçevesinde ses kaydı yapılmaktadır.
Ziyaretçilere İlişkin Verilerin İşlenmesi
Enpara tarafından; güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla, Enpara Genel Müdürlük, ziyaretçi giriş çıkışlarının takibine yönelik Kişisel Veri işleme faaliyetinde bulunulmaktadır.
Ziyaretçi olarak Enpara Genel Müdürlük binasına gelen kişilerin isim ve soyadları elde edilirken ya da Enpara Genel Müdürlük, nezdinde asılan ya da diğer şekillerde ziyaretçilerin erişimine sunulan aydınlatma metinleri aracılığıyla söz konusu Kişisel Veri Sahibi / İlgili Kişiler aydınlatılmaktadırlar.
Ziyaretçi giriş-çıkış takibi yapılması amacıyla elde edilen veriler yalnızca bu amaçla işlenmekte ve ilgili kişisel veriler fiziki ortamda veri kayıt sistemine kaydedilmektedir.
Ziyaretçilere Sağlanan İnternet Erişimlerine İlişkin Kayıtların Saklanması
Enpara tarafından güvenliğin sağlanması ve bu Politika’da belirtilen amaçlarla; Enpara tarafından Genel Müdürlük Binaları içerisinde bulunulan süre içerisinde talep eden ziyaretçilere internet erişimi sağlanabilmektedir. Bu durumda internet erişimlerine ilişkin log kayıtları 5651 Sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun ve bu kanuna göre düzenlenmiş olan mevzuatın amir hükümlerine göre kayıt altına alınmakta; bu kayıtlar ancak yetkili kamu kurum ve kuruluşları tarafından talep edilmesi veya Enpara içinde gerçekleştirilecek denetim süreçlerinde ilgili hukuki yükümlülüğümüzü yerine getirmek amacıyla işlenmektedir.
Bu çerçevede elde edilen log kayıtlarına yalnızca sınırlı sayıda Enpara çalışanının erişimi bulunmaktadır. Bahsi geçen kayıtlara erişimi olan Enpara çalışanları bu kayıtları yalnızca yetkili kamu kurum ve kuruluşundan gelen taleplerin cevaplanmasında veya denetim süreçlerinde kullanmak üzere erişmekte ve yalnızca hukuken yetkili olan kişilerle paylaşmaktadır.
Web Sitesi Ziyaretçileri
Enpara mülkiyetinde bulunan web sitelerinde; bu siteleri ziyaret eden kişilerin sitelerdeki ziyaretlerini ziyaret amaçlarıyla uygun bir şekilde gerçekleştirmelerini temin etmek; kendilerine özelleştirilmiş içerikler gösterebilmek ve çevrimiçi reklamcılık faaliyetlerinde bulunabilmek maksadıyla teknik vasıtalarla (Örn. Çerez-cookie gibi) site içerisindeki internet hareketleri kaydedilmektedir.
Enpara'nın gerçekleştirmekte olduğu bu faaliyetlere ilişkin Kişisel Verilerin korunması ve işlenmesine ilişkin detaylı açıklamalar ilgili web sitelerinin “Gizlilik Politikası” metinleri içerisinde yer almaktadır.
Enpara tarafından, Kanun ile “özel nitelikli” olarak belirlenen kişisel verilerin işlenmesinde, Kanunda öngörülen düzenlemelere uygun davranılmaktadır.
Kanun 6. maddesinde, hukuka aykırı olarak işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski taşıyan bir takım kişisel veri “özel nitelikli” olarak belirlenmiştir. Bu veriler; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verilerdir.
Kanuna uygun bir biçimde Enpara tarafından; özel nitelikli kişisel veriler, Kurul tarafından belirlenecek olan yeterli önlemlerin alınması kaydıyla;
- İlgili kişinin açık rızasının olması,
- Kanunlarda açıkça öngörülmesi,
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
- İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
- Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
- Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
- İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
- Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması hallerinde işlenmektedir.
Enpara, hukuka uygun olan Kişisel Veri işleme amaçları doğrultusunda gerekli güvenlik önlemlerini alarak Kişisel Veri Sahibi/İlgili Kişinin Kişisel Verilerini üçüncü kişilere aktarabilmektedir. Enpara bu doğrultuda Kanunun 8. maddesinde öngörülen düzenlemelere uygun hareket etmektedir.
Enpara meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda aşağıda sayılan Kanunun 5. maddesinde belirtilen Kişisel Veri işleme şartlarından bir veya birkaçına dayalı ve sınırlı olarak Kişisel Verileri üçüncü kişilere aktarabilmektedir:
- Kişisel veri sahibinin açık rızası var ise,
- Kanunlarda Kişisel Verinin aktarılacağına ilişkin açık bir düzenleme var ise,
- Kişisel Veri Sahibi/İlgili Kişinin veya başkasının hayatı veya beden bütünlüğünün korunması için zorunlu ise ve Kişisel Veri Sahibi/İlgili Kişi fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda ise veya rızasına hukuki geçerlilik tanınmıyorsa;
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olmak kaydıyla sözleşmenin taraflarına ait Kişisel Verinin aktarılması gerekli ise,
- Enpara'nın hukuki yükümlülüğünü yerine getirmesi için Kişisel Veri aktarımı zorunlu ise,
- Kişisel Veriler, Kişisel Veri Sahibi/İlgili Kişi tarafından alenileştirilmiş ise,
- Kişisel Veri aktarımı bir hakkın tesisi, kullanılması veya korunması için zorunlu ise,
- Kişisel Veri Sahibinin/İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, Enpara'nın meşru menfaatleri için Kişisel Veri aktarımı zorunlu ise.
Yurtdışına Aktarım
Enpara hukuka uygun Kişisel Veri işleme amaçları doğrultusunda gerekli güvenlik önlemleri alarak Kişisel Veri Sahibinin/İlgili Kişinin kişisel verilerini üçüncü kişilere aktarabilmektedir.
Enpara tarafından; Kanun’un 5. ve 6. maddelerinde belirtilen veri işleme şartlarından birinin varlığı ve aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından verilmiş bir yeterlilik kararı bulunması halinde, Kişisel Veriler yurt dışına aktarılabilmektedir. Enpara, Kanunun 9. maddesinde öngörülen düzenlemelere uygun hareket etmektedir.
Enpara, meşru ve hukuka uygun Kişisel Veri işleme amaçları doğrultusunda Kişisel Verileri, yeterlilik kararının bulunmaması durumunda, Kanun’un 5. ve 6. maddelerinde belirtilen şartlardan birinin varlığı, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun güvencelerden birinin taraflarca sağlanması halinde yurt dışına aktarılabilir:
- Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.
- Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
- Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.
- Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.
Yeterlilik kararının bulunmaması ve yukarıda öngörülen uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına Kişisel Veri aktarabilir:
- İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
- Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
- Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
- Aktarımın üstün bir kamu yararı için zorunlu olması.
- Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
- Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
Aktarılma Amaçları
Enpara'nın işlediği Kişisel Verileri, gerçekleştirmekte olduğu bankacılık faaliyetleri kapsamında, stratejilerinin planlanması ve yürütülmesi, kendisi ile akdettiği bir sözleşme çerçevesinde (destek hizmeti, bağımsız denetim, derecelendirme, danışmanlık, hizmet, satın alma, iş birliği, çözüm ortaklığı vb.) iş ilişkisi içerisinde bulunduğu kurum ve kuruluşlara sözleşmenin ifası amacı ile Enpara'nın hukuki, ticari ve fiziki güvenliğinin temini, kurumsal işleyişinin sağlanması, sunulan ürün ve hizmetlerden müşterileri en iyi şekilde faydalandırmak için çalışmaların yapılması; sunulan ürün ve hizmetlerin müşterilerin talep, ihtiyaç ve isteklerine göre özel hale getirilerek önerilmesi, web sitesinde sunulan hizmetlerin geliştirilmesi, insan kaynakları politikalarımızın en iyi şekilde planlanması ve uygulanması Enpara'ya talep ve şikayetlerini iletenler ile iletişime geçilmesi amaçlarıyla sınırlı olarak Kanun’un 8. ve 9. maddelerinde belirtilen şartlar kapsamında aktarılır.
Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi
Kişisel Verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin diğer kanunlarda yer alan hükümler saklı kalmak kaydı ile Enpara, bu Kanun ve diğer kanun hükümlerine uygun olarak işlemiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde Kişisel Verileri resen veya Kişisel Veri Sahibinin/İlgili Kişinin talebi üzerine “Kişisel Veri Saklama ve İmha Politikası"nda yer alan prensipler çerçevesinde siler, yok eder veya anonim hale getirir.
Kişisel verilerin silinmesi; Kişisel Verilerin İlgili Kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Verilerin yok edilmesi ise, Kişisel Verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemidir.
Verilerin anonim hale getirilmesiyle, bir veri kümesindeki tüm doğrudan ve/veya dolaylı tanımlayıcıların çıkartılarak ya da değiştirilerek, ilgili kişinin kimliğinin saptanabilmesinin engellenmesini veya bir grup veya kalabalık içinde ayırt edilebilir olma özelliğini kaybetmesi, Kişisel Verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi sağlanır.
Kişisel Verilerin Saklanma Süresi
Enpara, Kişisel Verileri kanunlarda ve sair mevzuatta öngörülen süreler uyarınca saklamaktadır. Kişisel Verinin işleme amacının gerçekleşmesi ve bunu takiben ilgili kanun düzenlemelerinde yer alan sürenin sona ermesi ile, Kişisel Veriler “Kişisel Veri Saklama ve İmha Politikası”nda yer alan prensipler çerçevesinde resen ya da Kişi Veri Sahibinin/İlgili Kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir.
Kişisel Verilerin söz konusu yöntemler vasıtasıyla imha edilmesi durumunda, bu veriler tekrar hiçbir şekilde kullanılamayacak ve geri getirilemeyecektir. Ancak Enpara'nın meşru menfaatinin olduğu durumlar veya işlenme amacının ve ilgili kanunlarda belirtilen sürelerin de sona ermesine rağmen Kişisel Veri Sahibi/ İlgili Kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla kişisel veriler saklanabilecektir.
Her Kişisel Veri Sahibi/ İlgili Kişi aşağıdaki haklara sahiptir.
a) Kişisel Verilerin işlenip işlenmediğini öğrenme, b) Kişisel Veriler işlenmişse buna ilişkin bilgi talep etme, c) Kişisel Verilerin işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, ç) Kişisel Verilerin yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, d) Kişisel Verilerin eksik veya yanlış işlenmiş ise düzeltilmesini isteme, e) Kişisel Verilerin silinmesini veya yok edilmesini isteme, f) Kişisel Verilerin aktarıldığı üçüncü kişilere yukarıda sayılan (d) ve (e) bentleri uyarınca yapılan işlemlerin bildirilmesini isteme, g) Kişisel Verilerin münhasıran otomatik sistemler ile analiz edilmesi nedeniyle aleyhine bir sonucun ortaya çıkmasına itiraz etme ve ğ) Kişisel Verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğranılması halinde zararın giderilmesini talep etme.
Enpara, bu Politikanın ve Kanunun uygulanması ile ilgili talepleri başvuruda yer alan talebin niteliğine göre en kısa sürede ve en geç 30 gün içerisinde ücretsiz olarak sonuçlandırır. Ancak işlemin ayrıca bir maliyeti gerektirmesi halinde, Kurulca belirlenen ve aşağıda yer verilen ücretler alınabilir. Başvurunun, Enpara'nın hatasından kaynaklanması hâlinde alınan ücret Kişisel Veri Sahibi/ İlgili Kişi’ye iade edilir.
Başvuru usulü
Kişisel Veri Sahibi/İlgili Kişi olarak kanunun 11. maddesinde belirtilen haklarınız kapsamında taleplerinizi Kişisel Verilere İlişkin İlgili Kişi Başvuru Formu’nu kullanılarak veya yazılı olarak kimliğiniz ile (nüfus cüzdanı, ehliyet, pasaport vb.) birlikte şahsen başvuru yapmak sureti ile bankamıza teslim edebilirsiniz.
Başvurularınıza Enpara tarafından yapılacak olan kimlik doğrulamasını takiben kabul edilecek olup, yasal süreler içerisinde yazılı olarak veya elektronik ortamda cevap verilecektir.
Başvurularınızı,
- Bankamız Esentepe Mah. Büyükdere Cad. No:215 34394 Şişli/İstanbul adresine posta yolu ile,
- Kep adresine sahip iseniz Enpara'nın Kayıtlı Elektronik Posta (KEP) adresine (enparabank@verikorumayonetimi.hs05.kep.tr) güvenli elektronik imza ile,
- E-posta aracılığı ile başvurmayı tercih ederseniz kvkk_bilgi@enpara.com elektronik posta adresine iletebilirsiniz.
Başvuruya cevap
Enpara, Kişisel Veri Sahibi/ İlgili Kişi tarafından yapılacak başvuruları etkin, hukuka ve dürüstlük kuralına uygun olarak sonuçlandırmak üzere gerekli her türlü idari ve teknik tedbirleri almakla yükümlüdür.
Enpara, başvuruyu kabul eder veya gerekçesini açıklayarak reddeder. Enpara , cevabını Kişisel Veri Sahibi/Ilgili Kişiye yazılı olarak veya elektronik ortamda bildirir.
Kişisel Veri Sahibi/ İlgili Kişi’ nin talebinin kabul edilmesi hâlinde, Enpara tarafından talebin gereği en kısa sürede yerine getirilir ve Kişisel Veri Sahibi/ İlgili Kişi bilgi verilir.
Ücret
İlgili Kişi başvurusuna yazılı olarak cevap verilecekse, on sayfaya kadar ücret alınmaz. On sayfanın üzerindeki her sayfa için 1 Türk Lirası işlem ücreti alınabilir.
Başvuruya cevabın CD, flash bellek gibi bir kayıt ortamında verilmesi halinde veri sorumlusu tarafından talep edilebilecek ücret kayıt ortamının maliyetini geçemez.
Kanun ve bu Politika ve hükümleri aşağıdaki hâllerde uygulanmayacaktır:
- Kişisel Verilerin, üçüncü kişilere verilmemek ve veri güvenliğine ilişkin yükümlülüklere uyulmak kaydıyla gerçek kişiler tarafından tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler kapsamında işlenmesi.
- Kişisel Verilerin resmi istatistik ile anonim hâle getirilmek suretiyle araştırma, planlama ve istatistik gibi amaçlarla işlenmesi.
- Kişisel Verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini, ekonomik güvenliği, özel hayatın gizliliğini veya kişilik haklarını ihlal etmemek ya da suç teşkil etmemek kaydıyla, sanat, tarih, edebiyat veya bilimsel amaçlarla ya da ifade özgürlüğü kapsamında işlenmesi.
- Kişisel Verilerin millî savunmayı, millî güvenliği, kamu güvenliğini, kamu düzenini veya ekonomik güvenliği sağlamaya yönelik olarak kanunla görev ve yetki verilmiş kamu kurum ve kuruluşları tarafından yürütülen önleyici, koruyucu ve istihbari faaliyetler kapsamında işlenmesi.
- Kişisel Verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi.
Bu Politikanın ve Kanunun amacına ve temel ilkelerine uygun ve orantılı olmak kaydıyla veri sorumlusunun aydınlatma yükümlülüğünü düzenleyen 10 uncu, zararın giderilmesini talep etme hakkı hariç, ilgili kişinin haklarını düzenleyen 11 inci ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16'ıncı maddeleri aşağıdaki hâllerde uygulanmayacaktır:
- Kişisel Veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
- Kişisel Veri Sahibi/ İlgili kişinin kendisi tarafından alenileştirilmiş Kişisel Verilerin işlenmesi.
- Kişisel Veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
- Kişisel Veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.
Enpara gerçekleştirdiği bankacılık faaliyetleri çerçevesinde yürüttüğü veri işleme süreçlerini öncelikle, 5411 Sayılı Bankacılık Kanunu ve alt düzenlemeleri olan Bankalarda Bilgi Sistemleri Yönetiminde Esas Alınacak İlkelere İlişkin Tebliğ ve İç Sistemler Tebliği kapsamında veri güvenliği ilkelerine tabii tutar.
Bu itibar ile Enpara'nın herhangi bir çalışanının bu verilere yetkisiz şekilde erişmesi, bu verileri işlemesi veya kullanması yasaktır.
Enpara'nın meşru görevi çerçevesinde yetkilendirilmemiş olan herhangi bir çalışanının bu verileri işlemesi yetkisiz işlem anlamına gelmektedir.
Enpara çalışanları kişisel verilere ancak söz konusu görevlerinin türü ve kapsamı çerçevesinde uygun şekilde erişebilir. Bunun için görevler ayrılığı prensibi gereği rol ve sorumluluklar ayrıştırılarak detaylandırılmıştır.
Enpara çalışanlarının kişisel verileri özel veya ticari amaçlarla kullanması, bu verileri yetkisiz kişilerle paylaşması veya başka bir yöntemle bu verileri erişilebilir hale getirmeleri yasaktır.
Enpara, Kanunun düzenlemelerine uygun şekilde veri işleme faaliyetini gereçekleştirmekte olup, Kişisel Verilerin Korunması ve İşlenmesi Politikasını kurumsal yönetiminin bir parçası olarak ele alır. Ayrıca, Kanuna istinaden yayımladığı Politika ve Prosedürlerin yürürlüğünü sağlamak için gerekli tüm idari ve teknik tedbirleri alır.
Enpara tarafından gerçekleştirilen veri işleme faaliyetleri Enpara'nın ilgili birimlerinde görevli yetkili kişiler tarafından düzenli olarak kontrol edilerek denetime tabi tutulur.