Kariyer

Gizlilik Koşulları ve Kişisel Verilerin Korunması

1. Veri Sorumlusu

İşbu Aydınlatma Metni kapsamında veri sorumlusu olan Göktekin Enerji Anonim Şirketi (“Göktekin Enerji” veya “Şirket”)’nin bilgileri aşağıdaki gibidir;

Unvan: Göktekin Enerji Anonim Şirketi Adres: Belediye Evleri Mahallesi 84249 Sk. Panorama Evleri Sit. C / Blok Apt. No: 2 E Çukurova/Adana Mersis No: 0406055253500001 Vergi Dairesi / No: Seyhan Vergi Dairesi / 4060552535 Ticaret Sicil Müdürlüğü / Ticaret Sicil No: Adana Ticaret Sicil Müdürlüğü / 72025 Elektronik Tebligat Adresi: 25949-39546-47410 Kurumsal İletişim Adresi: [email protected] KEP Adresi: [email protected].tr

2. Amaç ve Kapsam

İşbu Kişisel Verilerin Korunması ve Gizlilik Politikası, 6698 Sayılı Kişisel Verilerin Korunması Kanunu başta olmak üzere, ulusal ve uluslararası düzenlemelere uyum sağlamak amacı ile Göktekin Enerji Anonim Şirketi’nin kişisel verilerin korunması, gizliliğinin sağlanması ve işlenmesine ilişkin benimsemiş olduğu prensipleri açıklamaktadır.

İşbu Politika, Göktekin Enerji’nin, çalışanları dışında kalan ilgili kişilerin kişisel verilerinin işlenmesine ilişkindir.

İşbu Politika’da,

Hangi kişi gruplarının kişisel verilerinin işlendiği (İlgili Kişi Kategorizasyonu), Kişisel veri kategorileri ve örnek kişisel veri türleri, Kişisel veri toplama yöntemleri, Kişisel verilerin işlenmesine ilişkin ilkeler, Kişisel verilerin işlenmesindeki hukuki sebepler, İlgili kişisel verilerin işleme amaçları, Kişisel verilerin kimlere hangi amaçlarla aktarılabileceği, Kişisel verilerin güvenliğini sağlamak amacıyla alınan teknik ve idari tedbirleri, Kişisel verilerin saklanma süreleri, Kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi, İlgili kişilerin kendi kişisel verileri üzerindeki haklarının neler olduğunu ve bu hakları nasıl kullanabilecekleri ayrıntılı olarak açıklanmaktadır.

3. Tanımlar

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. Anonim Hale Getirme: Kişisel verinin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesi. Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. İlgili Kişi: Kişisel verisi işlenen gerçek kişi. Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hale getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem Kanun: 7 Nisan 2016 tarihli ve 29677 sayılı Resmi Gazete’de yayımlanan 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kurul: Kişisel Verileri Koruma Kurulu. Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler. Politika: Göktekin Enerji Kişisel Verilerin Korunması ve Gizlilik Politikası. Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişidir. Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri yöneten kişidir. Veri Minimizasyonu: Kişisel verilerin işlenme amacının gerektirdiği kadar talep edilmesi ve işlenmesi, kullanım amacının sona ermesi halinde ise verilerin tamamen silinmesi.

4. İlgili Kişi Kategorizasyonu

Göktekin Enerji, temel işleme faaliyetine konu ilgili kişiler bazında bir kategorizasyon yapmaktadır. i. Müşteri ii. Potansiyel Müşteri iii. Tedarikçi iv. Potansiyel Tedarikçi v. Ziyaretçiler & Çevrimiçi Ziyaretçiler

Yukarıda sıralanan ilgili kişi gruplarının, somut işleme karakteristiği doğrultusunda genişlemesi söz konusu olabilecektir.

5. İşlenen Kişisel Verileriniz

Göktekin Enerji, ilgili kişi ile olan ilişkisi kapsamında her bir işleme faaliyeti açısından farklı kişisel veriler işlemektedir. Bu kapsamda Göktekin Enerji, veri minimizasyonu ilkesi doğrultusunda Şirket’in yönetim faaliyetlerini sürdürmesi, taraflar arasındaki ilişkinin yürütülmesi ve hukuki yükümlülüklerin yerine getirilmesi amaçları ile doğru orantılı olarak sadece gerekli ve ilgili kişisel verileri işlemektedir.

Veri kategorizasyonu ve örnek veri türleri için lütfen işbu Politika’nın EK-1 başlığı altında yer alan açıklamalara bakınız.

6. Kişisel Verileri Toplama Yöntemleri

Göktekin Enerji, kişisel verileri doğrudan ilgili kişilerin kendisinden, işvereninden, aile ve yakınlarından, aracı kişilerden, tedarikçilerden, yatırımcılardan, iş ortaklarından, e-posta, faks, posta, çağrı merkezi, internet siteleri, sosyal medya hesapları, çerezler, idari ve adli makamlardan gelen tebligatlar ve sair iletişim kanalları aracılığıyla görsel, işitsel, elektronik veya yazılı olarak, Kanun’da belirtilen kişisel veri işleme şartlarına uygun olarak toplamaktadır.

7. Kişisel Verilerin İşlenmesine İlişkin İlkeler

Kişisel veriler, aşağıda açıklanan Kanun’un 4. maddesinde belirtilen ilkelere uygun olarak işlenmektedir: 7.1. Kişisel verilerin hukuka ve dürüstlük kuralına uygun işlenmesi; Şirket, her işleme sürecinde hukuken öngörülmüş kuralları gözetmekte, işleme amacı ile sınırlı olarak işleme faaliyetlerini sürdürmekte ve ilgili kişilerin çıkarlarını ve makul beklentilerini dikkate almaktadır. 7.2. Kişisel verilerin doğru ve güncel olması; Şirket tarafından işlenen kişisel verilerinizin güncel olup olmadığına, buna ilişkin kontrollerin yapılmasına dikkat edilir. İlgili kişilerin bu kapsamda doğru ve güncel olmayan verilerinin düzeltilmesini veya silinmesini isteme hakkı güvence altına alınır. 7.3. Kişisel verilerin belirli, açık ve meşru amaçlar için işlenmesi; Şirket, işleme faaliyetlerinin meşru amaçlar doğrultusunda olduğunu temin eder, işleme faaliyetine ilişkin her detayı önceden belirler ve işleme faaliyetlerinin ilgili kişi tarafından açık bir şekilde anlaşılabilir olmasını sağlar. 7.4. Kişisel verilerin işlendiği amaçla bağlantılı, sınırlı ve ölçülü olması; Şirket, kişisel verileri yalnızca iş faaliyetlerinin gerektirdiği nitelikte ve ölçüde toplamakta olup belirlenen amaçlarla sınırlı olarak işlemektedir. 7.5. Kişisel verilerin mevzuatın ya da işleme amaçlarının gerektirdiği süre kadar saklanması; Şirket tarafından işleme amacının ortadan kalkmasından sonra ya da mevzuatta öngörülen sürenin dolması ile birlikte kişisel veriler silinmekte, yok edilmekte veya anonimleştirilmektedir.

8. Kişisel Verilerin İşlenmesine İlişkin Şartlar

Kanun’un 5. maddesinin 2. fıkrası kapsamında kişisel veriler, Göktekin Enerji tarafından aşağıdaki işleme şartları doğrultusunda işlenmektedir.

Gerekli olduğu durumlarda sizlerden aldığımız açık rızanız (örn. pazarlama ve reklam amaçları için kişisel verilerinizin işlenmesi) Sizlerle bir sözleşme ilişkisi kurmamız veya bu sözleşmeden kaynaklanan ifa yükümlülüğümüz ile doğrudan doğruya ilgili olması kaydıyla, sizlere ait kişisel verilerin işlenmesinin gerekli olması (örn. sözleşme kuruluş aşamasında kimlik bilgilerinizin işlenmesi) Veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi için zorunlu olması (örn. işyerinin, çalışanların veya ziyaretçilerin güvenliğinin sağlanması amacıyla güvenlik kamerası bulundurulması) İlgili kişinin kendisi tarafından alenileştirilmiş olması (örn. halka açık sosyal medya platformları veya internet siteleri üzerinden ticari ilişki kurulması amacıyla paylaşmış olduğunuz iletişim bilgileriniz aracılığı ile sizinle iletişime geçilmesi) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması (örn. dava zamanaşımı süresi boyunca gerekli olabilecek kişisel verilerin saklanması) Temel hak ve özgürlüklerinize zarar vermemek kaydı ile, Göktekin Enerji’nin meşru menfaatleri doğrultusunda zorunlu olması (örn. Şirket’in birleşme, bölünme ve devralma gibi süreçlerinde yapılması gereken incelemelerde ödeme kayıtları kişisel verilerinizi içerebilecek belgelerin ilgili taraflara/kurumlara sunulması) Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünü koruması için zorunlu olması Kanun’un 6. maddesinin 3. fıkrası uyarınca, özel nitelikli kişisel veriler aşağıdaki şartlar doğrultusunda açık rızanız olmaksızın işlenebilecektir:

Sağlık ve cinsel hayata ilişkin kişisel veriler dışında kalan özel nitelikli kişisel veriler açısından kanunlarda öngörülmesi Sağlık ve cinsel hayata ilişkin özel nitelikli kişisel veriler açısından ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenmesi

9. Kişisel Verilerin İşlenmesindeki Amaçlar

Kişisel veriler, işbu Politika’nın 8. maddesinde belirtilen işleme şartlarına uygun olarak her işleme süreci bakımından farklı amaçlar ile kullanabilecektir. Bu kapsamda, paylaşmış olduğunuz kişisel verileriniz farklı Şirket departmanları tarafından farklı işleme süreçlerinde, farklı işleme amaçları doğrultusunda kullanılabilecektir. Örneğin, mal/hizmet tedarik sürecinde satış departmanı tarafından “ürün ve/veya hizmetlerin tedarik süreçlerinin planlanması ve icrası” amacıyla işlenen ad/soyad bilginiz, faturalandırma sürecinde finans departmanı tarafından “finans ve muhasebe işlerinin yürütülmesi” amacıyla işlenebilecektir. Bu kapsamda, açık rıza alınmasını gerektiren durumlarda gerekli bilgilendirme yapılıp, ilgili kişisel veri sadece açık rızanın alınması ihtimalinde işlenebilecektir. Örneğin, yukarıdaki örnek ile paralel olarak, ürün/hizmet satış sürecinde toplanan kimlik bilgileri, pazarlama departmanı tarafından “reklam/kampanya/promosyon süreçlerinin yürütülmesi” amacıyla işlenecek olması halinde bu konuya ilişkin açık rıza talep edilecektir.

Kişisel verilerin hangi amaçlarla işlendiği hakkında detaylı bilgi için lütfen işbu Politika’nın EK-2 başlığı altında yer alan açıklamalara bakınız.

10. Kişisel Verilerin Aktarımı

Göktekin Enerji, kişisel verileri yalnızca işbu Politika’da belirtilen amaçlar doğrultusunda ve Kanun’un 8. ve 9. maddelerine uygun olarak yurt içinde ve yurt dışında bulunan taraflara aktarmaktadır.

Bu kapsamda gerçekleştirilen kişisel veri aktarımları güvenli ortam ve kanallar aracılığıyla gerçekleşmektedir. Üçüncü taraflardan alınan hizmetin içeriği ve kapsamına bağlı olarak; ilgili kişi kişisel verilerinin aktarımına gerek olmayan tüm hallerde pseudonymous data (takma adlı veri) kullanılarak aktarım yapılmaktadır.

Yurt içi ve yurt dışı aktarımlarında Göktekin Enerji, güncel teknolojilerin sunduğu ve ilgili uygulamanın maliyet dengesi çerçevesinde mümkün olan her türlü idari ve teknik tedbiri almakta, bu kapsamda ilgili yasal düzenlemeler ile Kurul kararları doğrultusunda güvenliğe ilişkin uygulamalarını güncel tutmaktadır. Söz konusu idari ve teknik tedbirler kapsamında, aktarım yapılan taraflar ile veri aktarımına ve işlenmesine ilişkin özel sözleşmeler yapılmakta ve gerekli taahhütler alınmaktadır.

Kanun’un 9. maddesi uyarınca, kural olarak, kişisel veriler ilgili kişinin açık rızası olmaksızın yurt dışına aktarılmaz. Bunun karşısında, kişisel veriler, işbu Politika’nın 8. maddesinde açıklanan şartların varlığı halinde, yeterli korumanın bulunduğu ülkelere; yeterli korumanın bulunmadığı hallerde ise aktarım yapılan veri sorumlusu ile imzalanan taahhütnamenin Kurul tarafından onaylanması durumunda, ilgili kişilerin açık rızası alınmaksızın yurt dışına aktarılabilecektir.

Kişisel verilerinizin hangi amaçlarla kimlere aktarıldığı hakkında detaylı bilgi için lütfen işbu Politika’nın EK-3 başlığı altında yer alan açıklamalara bakınız.

11. Kişisel Verilerin Güvenliğini Sağlamak Amacıyla Alınan İdari ve Teknik Tedbirler

Göktekin Enerji, kişisel verilerinizin gizliliğinin, bütünlüğünün ve güvenliğinin sağlanması için her işleme süreci bazında gerekli olan idari ve teknik tedbirleri almayı taahhüt etmektedir. Göktekin Enerji, kişisel verilerin hatalı kullanımını, hukuka aykırı olarak işlenmesini, verilere yetkisiz erişimi, verilerin ifşa edilmesini, değiştirilmesini veya imha edilmesini engellemek amaçları ile gerekli adımların atılması ve denetimin sağlanması adına Şirket içi yetkilendirmeler yapmakta ve gereklilik halinde dış hizmet sağlayıcılarından profesyonel destek almaktadır. Bu kapsamda Göktekin Enerji, ilgili mevzuata ve Kurul tarafından yayımlanmış olan rehberlere ve kararlara uygunluk sağlanmasını öncelikli olarak gözetir.

Kişisel verilerinizin korunmasına yönelik hangi önlemlerin alındığına ilişkin detaylı bilgi için lütfen işbu Politika’nın EK-4 başlığı altında yer alan açıklamalara bakınız.

12. Kişisel Verilerin Saklanma Süreleri

Göktekin Enerji, işlediği kişisel verileri ilgili mevzuatta öngörülen veya işleme amacının gerektirdiği süreler boyunca Kanun ile uyumlu olarak muhafaza eder. Şirket’in resmi internet sitesinde yer alan Kişisel Verilerin Saklanması ve İmhası Politikası’ndaki yaklaşık süreler için lütfen işbu Politika’nın EK-5 başlığı altında yer alan açıklamalara bakınız.

13. Kişisel Verilerin Silinmesi, Yok Edilmesi ve Anonimleştirilmesi Şartları

Göktekin Enerji, iş süreçleri kapsamında toplayarak işlediği kişisel verileri, Kanun’un 17. ve 7. maddesi ile Türk Ceza Kanunu’nun 138. maddesi uyarınca ilgili kanunların öngördüğü süreler ve/veya işleme amacının gerekli kıldığı süreler boyunca saklamaktadır. Bu sürelerin sona ermesi durumunda ise Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümleri ve Kurul tarafından yayımlanmış olan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi uyarınca silecek, yok edecek veya anonim hale getirecektir. Bu kapsamda;

Kişisel Verilerin Silinmesi: kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi işlemini Kişisel Verilerin Yok Edilmesi: kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi işlemini ifade etmektedir. Kişisel Verilerin Anonim Hale Getirilmesi: kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hale getirilmesini ifade etmektedir. Göktekin Enerji, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca hazırladığı Kişisel Verilerin Saklanması ve İmhası Politikası kapsamında silme, yok etme ve anonim hale getirmeye ilişkin yöntemleri ve aldığı teknik ve idari tedbirleri ayrıntılı olarak açıklamaktadır. Göktekin Enerji Kişisel Verilerin Saklanması ve İmhası Politikası’na Şirket’in resmi internet sitesi üzerinden erişebilirsiniz. İlgili Politika’da ayrıca Yönetmeliğin öngördüğü periyodik imhanın gerçekleştirileceği zaman aralığı 6 ay olarak belirlenmiştir.

14. Kanun’un 11. Maddesinde Sayılan Haklarınız

İlgili kişiler olarak, Kanun’un 11. maddesi doğrultusunda aşağıda sıralanan haklara sahipsiniz.

1. Kişisel veri işlenip işlenmediğini öğrenme
2. Kişisel verileri işlenmişse buna ilişkin bilgi talep etme
3. Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme
4. Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme
5. Kanun’un 7. Maddesinde öngörülen şartlar çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme
6. (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme
7. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkmasına itiraz etme ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme

Haklarınıza ilişkin taleplerinizi belirtmek ve kişisel verileriniz üzerindeki haklarınızı kullanmak amacıyla, Göktekin Enerji’nin resmi internet sitesinden erişebileceğiniz “İletişim Formu”nu doldurmanız ve aşağıda sıralanan başvuru yöntemlerinden biri ile Şirket’e iletmeniz gerekmektedir. Şahsen Başvuru: İletişim Formu, Şirket merkezine şahsen teslim edilebilir. Bu durumda kişinin kimliğini ibraz etmesi gerekmektedir. Zarfın üzerine “Kişisel Verilerin Korunması Kanunu Kapsamında Başvuru” yazılmalıdır. Noter Vasıtası ile Tebligat: İletişim Formu, noter aracılığı ile gönderilebilir. Tebligat konusu olarak “Kişisel Verilerin Korunması Kanunu Kapsamında Başvuru” yazılmalıdır. KEP Üzerinden: 5070 Sayılı Elektronik İmza Kanunu’nda tanımlı olan “güvenli elektronik imza” ile imzalanarak Şirket’in kayıtlı elektronik posta adresine İletişim Form’u gönderilebilir. E-postanın konusu olarak “Kişisel Verilerin Korunması Kanunu Kapsamında Başvuru” yazılmalıdır. E-Posta Aracılığıyla: İletişim Formu, Göktekin Enerji’nin resmi e-posta adresine ([email protected]) gönderilebilir. E-postanın konusu olarak “Kişisel Verilerin Korunması Kanunu Kapsamında Başvuru” yazılmalıdır.

Başvuru sahibinin kimlik teyidi amacıyla ek belge talebinde bulunulabilir, bu durumda kimlik teyidi için istenen ek belgelerin başvuru sahibi tarafından iletilmesi ile birlikte başvuru yapılmış sayılır.

Belirtilen yöntemlerle taleplerinizi bize iletmeniz durumunda, Şirket talebinizin niteliğine göre talebi en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandıracaktır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Şirket tarafından Kişisel Verileri Koruma Kurulunca belirlenen tarifedeki ücret alınacaktır.

15. Kişisel Verilerin Korunması ve Gizlilik Politikası’nda Yapılacak Değişiklikler

Göktekin Enerji, işbu Kişisel Verilerin Korunması ve Gizlilik Politikası’nda her zaman değişiklik yapabilir. Bu değişiklikler, değiştirilmiş yeni bir politika yayınlanmasıyla birlikte derhal geçerlilik kazanır. İşbu Politika’daki değişikliklerden haberdar olmanız için, sizlere gerekli duyuru yapılacaktır.

EK 1 - VERİ KATEGORİZASYONU

Göktekin Enerji’nin işlemekte olduğu kişisel veri kategorileri genel olarak aşağıdaki gibidir.

Veri Kategorisi /Kategori Açıklaması

Kimlik Bilgisi

İlgili kişinin kimliğinin tespit edilmesinde dair her türlü bilgi. Örn. ad- soyad, doğum tarihi, doğum yeri, cinsiyet, medeni durum, kimlik fotokopisi, kimlik numarası, ehliyet

İletişim Bilgisi

İlgili kişi ile iletişim kurulmasını sağlayan her türlü veri. Örn. telefon numarası, e-posta adresi, adres bilgisi

Özlük Bilgisi

İlgili kişiye veya çalışanlarına ilişkin özlük dosyasında bulunabilir kişisel veriler. Örn. SGK belgeleri, eğitim geçmişi, sertifikalar, çalışmakta olduğu işyeri, sektör ve pozisyon

Hukuki İşlem Bilgisi

Şirket’in alacak ve haklarının korunması adına işlenen kişisel veriler. Örn. resmi tutanaklar, ihtarnameler, ödeme emirleri, dava dosyaları

Fiziksel Mekan Güvenliği

Fiziksel mekana girişte, fiziksel mekanın içerisinde kalış sırasında alınan kayıtlar ve belgelere ilişkin kişisel veriler. Örn. kamera kayıtları, araç bilgisi kayıtları ve güvenlik noktasında alınan kayıtlar vb.

İşlem Güvenliği Bilgisi

Şirket’in teknik, idari, hukuki ve ticari güvenliğini sağlamak için işlenen kişisel veriler. Örn. IP adresi bilgileri, internet giriş çıkış kayıtları, kredi kartı son kullanma tarihi, log kayıtları vb.

Risk Yönetimi

Ticari, teknik, idari risklerin yönetilmesi için işlenen kişisel veriler. Örn. kredibilite verileri.

Finansal Bilgi

Şirket’in ilgili kişi ile arasındaki ilişki kapsamında işlenebilen her türlü finansal bilgi, belge, kayıt, numara ve sonuç. Örn. banka hesap bilgileri, finansal hareket bilgileri, IBAN numarası, ödeme yöntemi

Görsel ve İşitsel Kayıtlar

İlgili kişinin basılı veya elektronik ortamda bulunan, hareketli veya sabit görüntü veya ses benzeri kayıtlar. Örn. güvenlik kamerası görüntüleri, videolar, fotoğraflar, çağrı merkezi kayıtları

Özel Nitelikli Kişisel Veriler

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik veriler

İLGİLİ KİŞİ BAZINDA VERİ KATEGORİZASYONU

Şirket’in işlemekte olduğu kişisel veri, ilgili kişi kategorileri bazında genel olarak aşağıdaki gibidir.

İlgili Kişi Kategorisi

İşlenen Örnek Veri Kategorileri

Müşteri

Kimlik Bilgisi, İletişim Bilgisi, Özlük Bilgisi, Hukuki İşlem Bilgisi, Fiziksel Mekan Güvenliği, Risk Yönetimi Bilgisi, Finansal Bilgi, Görsel ve İşitsel Kayıtlar

Potansiyel Müşteri

Kimlik Bilgisi, İletişim Bilgisi, Özlük Bilgisi

Tedarikçi

Kimlik Bilgisi, İletişim Bilgisi, Özlük Bilgisi, Fiziksel Mekan Güvenliği, Risk Yönetimi Bilgisi, Finansal Bilgi, Görsel ve İşitsel Kayıtlar, Özel Nitelikli Kişisel Veriler

Ziyaretçi / 3. Kişiler

Fiziksel Mekan Güvenliği, Görsel ve İşitsel Kayıtlar

Her hukuki ve ticari ilişki kapsamında işlenen kişisel veri kategorileri ve kişisel veriler farklılık gösterebilmektedir. Size ilişkin hangi kişisel verilerin işlendiğini saptamak için lütfen tarafınıza sunulan aydınlatma metnini inceleyiniz.

EK 2 - KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

Acil Durum Yönetimi Süreçlerinin Yürütülmesi Bilgi Güvenliği Süreçlerinin Yürütülmesi Çalışanlar İçin İş Akdi Ve Mevzuattan Kaynaklı Yükümlülüklerin Yerine Getirilmesi Denetim / Etik Faaliyetlerinin Yürütülmesi Eğitim Faaliyetlerinin Yürütülmesi Faaliyetlerin Mevzuata Uygun Yürütülmesi Finans Ve Muhasebe İşlerinin Yürütülmesi Fiziksel Mekan Güvenliğinin Temini Görevlendirme Süreçlerinin Yürütülmesi İletişim Faaliyetlerinin Yürütülmesi İş Faaliyetlerinin Yürütülmesi / Denetimi İş Sağlığı / Güvenliği Faaliyetlerinin Yürütülmesi İş Sürekliliğinin Sağlanması Faaliyetlerinin Yürütülmesi Mal / Hizmet Satın Alım Süreçlerinin Yürütülmesi Mal / Hizmet Satış Sonrası Destek Hizmetlerinin Yürütülmesi Mal / Hizmet Satış Süreçlerinin Yürütülmesi Mal / Hizmet Üretim Ve Operasyon Süreçlerinin Yürütülmesi Risk Yönetimi Süreçlerinin Yürütülmesi Saklama Ve Arşiv Faaliyetlerinin Yürütülmesi Sözleşme Süreçlerinin Yürütülmesi Stratejik Planlama Faaliyetlerinin Yürütülmesi Taşınır Mal Ve Kaynakların Güvenliğinin Temini Tedarik Zinciri Yönetimi Süreçlerinin Yürütülmesi Ürün / Hizmetlerin Pazarlama Süreçlerinin Yürütülmesi Yatırım Süreçlerinin Yürütülmesi Yönetim Faaliyetlerinin Yürütülmesi

EK 3 - KİŞİSEL VERİLERİN YURT İÇİ/DIŞI AKTARIMI

Paylaşılan Taraf Amaç Örnek Tedarikçi Mal / Hizmet Satış ve Satış Sonrası Destek Süreçlerinin Yürütülmesi, Lojistik Faaliyetlerinin Yürütülmesi Kişisel verilerin, sözleşmesel ilişkinin ifası kapsamında bankalar, kargo şirketleri, danışmanlar ve destek veren diğer taraflarla paylaşılması Tedarikçi İletişim Süreçlerinin Yürütülmesi Güvenli bir şekilde e-posta üzerinden iletişim kurulması amacıyla, sunucu ve bulut hizmeti kullanarak e-posta hizmeti sağlayan tedarikçilere aktarılması Tedarikçi Hukuki Süreçlerin Takibi Kişisel verilerin, tüketici hakem heyeti ve dava süreçleri dahil olmak üzere danışmanlık alınan avukat veya hukuk hizmetleri tedarikçileriyle paylaşılması Müşteri Mal / Hizmet Satış ve Satış Sonrası Destek Süreçlerinin Yürütülmesi Şirket tarafından yürütülen satış süreçlerine ilişkin iletişim, lojistik, kurulum, destek vs. süreçlerinin tamamlanması adına tedarikçilere ilişkin kişisel verilerin müşteriler ile paylaşılması İş Ortakları (Yatırımcılar) Yönetim Faaliyetlerinin Yürütülmesi Kişisel verilerin, iştirak ve bağlı ortaklılara karşı olan hukuki, mali ve idari yükümlülüklerin yerine getirilmesi ve raporlama yapılması amacıyla aktarılması Yetkili, Kişi, Kurum ve Kuruluşlar Yetkili Kişi, Kurum ve Kuruluşlara Bilgi Verilmesi Kişisel verilerin, kanun tarafından kendilerine yetki verilmiş kişi, kurum ve kuruluşlara ilgili mevzuat yükümlülüğü çerçevesinde paylaşılması Her hukuki ve ticari ilişki kapsamında yurt içine veya yurt dışına yapılan aktarımlar farklılık gösterebilmektedir. Sizin kişisel verilerinize ilişkin yapılan aktarımlar hakkında daha fazla bilgi için lütfen tarafınıza sunulan aydınlatma metnini inceleyiniz.

EK 4 - İDARİ VE TEKNİK TEDBİRLER

Göktekin Enerji, işlediği kişisel verilere hukuka aykırı erişimin engellenmesi, bu verilerin hukuka aykırı işlenmesinin önlenmesi ve kişisel verilerin muhafazasının sağlanmasına ilişkin olarak Kanun’un 12. maddesi doğrultusunda aşağıdaki teknik ve idari tedbirleri almaktadır:

1. İdari Tedbirler

1.1 Kişisel Veri Güvenliği Politikalarının ve Prosedürlerinin Belirlenmesi Göktekin Enerji kişisel verilerin korunmasına ilişkin olarak, hem genel işleme faaliyetlerine hem de özellik gösteren işleme süreçlerine yönelik politika ve prosedürler belirlenmiştir. Bu kapsamda Şirket başlıca aşağıdaki politikaları yürürlüğe koymuştur:

Kişisel Verilerin Korunması ve Gizliliği Politikası Özel Nitelikli Kişisel Verilerin Korunması Politikası Kişisel Verilerin Saklanması ve İmhası Politikası Çerez Politikası Bunlara ek olarak Şirket’in, çalışanlarının ve yöneticilerinin kişisel veri işleme faaliyetlerine ilişkin olarak da daha detaylı iç yönergeleri mevcuttur. Şirket politikalarını, prosedürlerini ve iç yönergelerini meydana gelen mevzuat değişiklikleri ve yeni Kurul kararları doğrultusunda günceller. Çalışanların Şirket politika ve prosedürlerine uygun hareket edip etmedikleri düzenli olarak denetlenir.

1.2 Mevcut Risk ve Tehditlerin Belirlenmesi

Göktekin Enerji kişisel veri güvenliğini zafiyete uğratabilecek her türlü risk ve tehditleri, bir ihlal meydana gelmeden önce belirler. Bu kapsamda risk ve tehditlerin hangi veri kategorilerine, hangi işleme faaliyetlerine ve araçlarına ilişkin olduğu konusunda iç değerlendirme yapar. Söz konusu değerlendirme yapılırken, özellikle risk ve tehditlerin özel nitelikli kişisel verilere ilişkin olup olmadığına dikkat eder.

Göktekin Enerji belirlemiş olduğu risk ve tehditlerin minimize edilmesi, önlenmesi ve ortadan kaldırılması için gerekli adımları atar.

1.3 Çalışanlara Yönelik Önlemler

Göktekin Enerji çalışanlarının, çeşitli bilgi güvenliği ihlallerine karşı farkındalıklarını artırmak, kişisel verilerin hukuka uygun işlenmesi ve bilgi ihlali olaylarında insan faktörünün etkisini en aza indirmek amacıyla gerek Şirket içi departmanlarımızca, gerekse de hukuki ve teknik danışmanlık hizmeti aldığımız taraflarca eğitimler verilmektedir.

Göktekin Enerji, çalışanlarını kişisel verilerin korunmasına ilişkin bilinçlenmeleri adına düzenli eğitim süreçleri, bilgilendirme yazıları, sözlü bilgilendirmeler ve iç yönergeler sunar. Bu kapsamda çalışanlar, kişisel verilerin toplanmasından imha edilmesi sürecine kadar karşılaşacakları her işleme süreci hakkında detaylı yönergeler alırlar. Çalışanlara yönelik bilinçlendirme faaliyetleri kişisel verilerin korunmasına ilişkin güncel mevzuat değişiklikleri ve Kurul kararlarını da içerecek şekilde istihdam süresi boyunca devam eder.

Çalışanlar iş sözleşmelerinde bulunan gizlilik yükümlülüklerine ek olarak, kişisel verilerin korunmasına ilişkin taahhütname de imzalarlar.

1.4 Veri Minimizasyonu

Göktekin Enerji, Kanun’un 4. maddesinde öngörülen ilkeler doğrultusunda, ilgili kişinin işleme faaliyeti kapsamında gerekli olmayan hiçbir verisini işlememeye özen gösterir. Bu noktada Şirket, işleme faaliyetini önceden inceler ve hukuki/ticari yükümlülüklerini yerine getirebilmesi için gerekli olan kişisel verileri ilgili kişiden talep eder. İlgili kişinin talep edilmeyen bir kişisel veri aktarması halinde bu kişisel veri derhal imha edilir veya maskelenir.

1.5 Veri İşleyene Yönelik Tedbirler

Göktekin Enerji, yürütmekte olduğu bir işleme faaliyetlerine ilişkin olarak alt- işleten desteği alacağı zaman öncelikle alt-işleyenin kişisel verilerin korunması konusundaki yetkinliğini ve yeterliliğini analiz eder. Bu kapsamda alt-işleyen asgari olarak Şirket’in öngörmüş olduğu kişisel verilerin korunması politikalarına ve prosedürlerine uygun hareket edeceğini yazılı bir şekilde taahhüt eder. Alt-işleyenin işleme faaliyetleri ve kişisel verileri korumasına yönelik çabaları Şirket tarafından denetlenir.

2. Teknik Tedbirler

2.1. Bilgi Teknolojileri Sistemleri

Göktekin Enerji, kişisel veri güvenliğinin sağlanması adına bilgi teknolojileri sistemleri tedarik eden uzman hizmet sağlayıcılarla çalışmaktadır. Bu kapsamda, Şirket’in gereksinimleri ve zafiyetleri güncel olarak takip edilip, gerekli görülen noktalarda destek sağlanmaktadır.

2.2. Siber Güvenlik Tedbirlerinin Alınması

Göktekin Enerji, elektronik ortamda işlenen kişisel verilerin güvenliğinin sağlanması amacıyla siber güvenlik önlemleri almaktadır. Bu kapsamda, hem şirket içi bilişim teknolojisi çalışanlarının hem de uzman hizmet tedarikçilerin yardımıyla Şirket, bir siber güvenlik zafiyetine uğranmaması adına gerekli tüm tedbirleri alır. Örneğin, Anti-Virüs: Göktekin Enerji’nin bilgi teknolojileri altyapısında bulunan tüm bilgisayar ve sunucularda periyodik olarak güncellenen lisanslı anti-virüs uygulaması yüklüdür. Firewall: Göktekin Enerji’nin sunucularını barındıran Data Center ve Felaket Kurtarma Merkezleri periyodik olarak güncellenen yazılım yüklü firewall tarafından korunmakta olup, ilgili yeni nesil firewalllar tüm personellerin internet bağlantılarını kontrol etmekte ve bu kontrol sırasında virüs ve benzeri tehditlere karşı koruma sağlamaktadır. VPN: Sunucu sistemlerine IP-SEC VPN ile bağlanılmakta olup, 2 nokta arasındaki trafik şifreli bir şekilde iletilmektedir. Tedarikçiler de Göktekin Enerji’nin sunucu ya da sistemlerine Firewalllar üzerinde tanımlı bulunan SSL- VPN aracılığı ile erişim sağlayabilmektedirler. Her bir tedarikçi için ayrı SSL- VPN tanımı yapılmış olup, yapılan tanımlama ile tedarikçi sadece kullanması gereken ya da yetkilendirmesi yapılan sistemlere erişim sağlamaktadır. Kullanıcı Tanımlamaları ve Need to Know: Göktekin Enerji’nin çalışanlarının Göktekin Enerji sistemlerine olan yetkileri sadece iş tanımları ile gerekli olduğu ölçüde sınırlandırılmış olup, herhangi bir yetki ve görev değişikliği söz konusu olması durumunda sistemsel yetkileri de ivedi olarak güncellenmektedir.

2.3. Kişisel Veri Güvenliğinin Takibi

Göktekin Enerji fiziksel işlenen kişisel verilerin korunmasına ilişkin düzenli olarak denetim yapmaktadır. Örneğin, çalışanların “clean table & clean desk” prensibine uyup uymadığı, fiziksel ortamda bulunan kişisel veri içeren belgelerin kilit altına alınıp alınmadığı düzenli olarak yapılan ofis denetimlerinde kontrol edilmektedir.

Göktekin Enerji aynı zamanda elektronik ortamda işlenen kişisel verilerin güvenliğinin sağlanıp sağlanmadığına da ilişkin olarak testler yapmaktadır. Bu kapsamda özellikle koruyucu yazılım sistemlerinin çalışıp çalışmadığı, log kayıtları aracılığı ile elektronik yetkilendirmelerde usulüne uygun hareket edilip edilmediği gibi hususlar sürekli olarak denetlenmektedir. Söz konusu denetlemeler aşağıda örneklenen testler aracılığı ile de yapılmaktadır:

Fishing E-mail Testler: Göktekin Enerji sistem kullanıcılarının farkındalığını artırmak için düzenli olarak kullanıcılara Fishing e-mailleri gönderilmektedir. Çıkan sonuçlara göre kullanıcılara Göktekin Enerji Kullanıcı Portalı üzerinden eğitim tanımlanmaktadır. Sızma Testi: Periyodik olarak Göktekin Enerji sistemindeki sunuculara, bilgisayarlarına ve örnek bir mağazaya sızma testi manuel olarak tedarikçi bir firma tarafından yapılmaktadır. Bu test sonucunda oluşan güvenlik açıkları kapatılarak, ilgili güvenlik açıklarının kapatıldığına dair doğrulama testi yapılmaktadır. Ayrıca Bilgi Güvenliği Tehdit ve Olay Yönetimi sistemi tarafından da otomatik olarak sızma testi yapılmaktadır. Bilgi Güvenliği Tehdit ve Olay Yönetimi: Göktekin Enerji sunucularında ve Firewall’larında oluşan olaylar “Bilgi Güvenliği Tehdit ve Olay Yönetimi” sistemine aktarılmaktadır. Bu sistem güvenlik tehdidi oluştuğunda sorumlu personelleri uyarmakta ve ivedi bir şekilde tehdide cevap verilmesi imkanı sağlamaktadır.

2.4. Kişisel Veri İçeren Ortamların Güvenliğinin Sağlanması

Göktekin Enerji fiziksel ortamda muhafaza edilen kişisel verilerin güvenliğine ilişkin olarak özel güvenlik tedbirleri uygulamaktadır. Örneğin,

Kişisel veri muhafaza edilen fiziki ortamlar kilit altında tutulmaktadır. Bu kapsamda erişim yetkileri sınırlandırılmıştır. Yangın, sel, hırsızlık gibi durumlara karşı gerekli önlemler alınmaktadır. Kağıt yoluyla aktarılan kişisel veriler için ekstra önlemler alınmaktadır. Bu kapsamda kağıt yoluyla kişisel verilerin aktarılmasında, kapalı ve mühürlü zarf metodu kullanılmaktadır. Sunucu veya arşiv odalarına giriş çıkışlar ek güvenlik tedbirleri ile korunmaktadır. 2.5. Kişisel Verilerin Yedeklenmesi

Göktekin Enerji, kişisel verilerin herhangi bir sebeple zarar görmesi, yok olması, çalınması veya kaybolması gibi hallerde yedeklenen kişisel verileri kullanarak kayıp riskini ortadan kaldırmaktadır. Yedeklenen kişisel verilerin güvenliği de en üst düzeyde sağlanmaktadır.

2.6. Diğer Örnekler

Kişisel verilerin alındığı web sitesindeki tüm alanlar SSL ile korur. Birincil işleme amacı dışında kalan tüm ikincil veri işlemeler bakımından, Pseudonymization (takma adlı veri) yöntemini kullanır (Örnek: Ahmet Yılmaz→“A... Y...”). Kağıt ortamdaki kişisel verilerin mutlaka kilitli dolaplarda muhafaza edilmesini ve sadece yetkili kişiler tarafından erişilmesini sağlar. Hizmet alınan üçüncü taraflara ait çerezler aracılığıyla işlenen kişisel veriler, üyelik sona erdiği takdirde üçüncü taraflara ait sistemlerden silinmektedir. Kapalı sistem ağ kullanılmakta olup, ağ ve yazılım güvenliği güncel ve lisanslı programlar ile veri kaybı önleme yazılımlarıyla korunmaktadır. Ağ ve yazılımlar üzerinde kullanıcı tanımlamaları ve yetki matrisleri mevcuttur. Yazılım sistemleri ve bulut depolama sistemleri çalışan yetkisine göre şifreli olarak kullanılmaktadır. Log kayıtları, kullanıcı müdahalesi olmayacak şekilde tutulmaktadır Gerektiği noktalarda veri maskeleme yöntemi kullanılmaktadır.

3. Özel Nitelikli Kişisel Verilere Özgü Tedbirler

Kurul’un 01/01/2018 Tarihli ve 2018/10 Sayılı Kararı gereği;

Özel nitelikli kişisel verilerin işlenmesine yönelik olarak çalışanlara, periyodik eğitimler verilmektedir. Özel nitelikli kişisel verilerin işlendiği sözleşme süreçlerinde, özel nitelikli kişisel verilere özgü gizlilik sözleşmeleri ve taahhütnameleri imzalanmaktadır. Özel nitelikli kişisel verilere erişim yetkisine sahip çalışanların, yetki kapsamları ve süreleri net olarak tanımlanmıştır, bu yetkiler periyodik olarak denetlenmektedir. Özel nitelikli kişisel verilerin muhafaza edildiği elektronik ortamların kriptografik anahtarlarla, fiziksel ortamların ise anahtarlarının yetki matrislerine göre özel olarak temin edildiği kilitli ortamlarda güvenliği sağlanmaktadır. Log kayıtları düzenli olarak tutulmaktadır. Özel nitelikli kişisel verilerin bulunduğu yazılımlar sürekli olarak güncellenmektedir. Özel nitelikli kişisel verilere uzaktan erişim sağlanması gerekiyorsa, çift taraflı doğrulama anahtarları suretiyle erişim sağlanmaktadır. Özel nitelikli kişisel verilerin aktarımı elektronik ortamda, kriptografik yöntemlerle şifrelenmiş taşınabilir belleklerle, KEP adresiyle veya VPN kurularak veya sFTP yöntemiyle; fiziksel ortamlarda ise kişiye özel mühürlü ve zarflı belgeler ile aktarılmaktadır. Özel nitelikli kişisel verilere ilişkin detaylı açıklamalar için lütfen Göktekin Enerji Özel Nitelikli Kişisel Verilerin Korunması Politikası’nı inceleyiniz.

EK 5 - KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ

Kişisel verileri, ilgili mevzuat gereği daha uzun bir süre boyunca muhafaza edilmesi gerekmediği sürece, ortalama olarak aşağıdaki süreler doğrultusunda saklanacaktır.

Veri Tipi Saklama Süresi Hukuki Dayanağı İmha Süresi Müşterilere İlişkin Kişisel Veriler Hukuki ilişkinin sona ermesinden itibaren 10 yıl 6563 Sayılı Kanun, 6102 Sayılı Kanun, 6098 Sayılı Kanun, 213 Sayılı Kanun, 6502 Sayılı Kanun Saklama süresinin bitimini takip eden ilk periyodik imha süresinde Tedarikçilere İlişkin Kişisel Veriler Hukuki ilişkinin sona ermesinden itibaren 10 yıl 6102 Sayılı Kanun, 6098 Sayılı Kanun ve 213 Sayılı Kanun Saklama süresinin bitimini takip eden ilk periyodik imha süresinde Potansiyel Müşterilere/ Tedarikçilere İlişkin Kişisel Veriler 2 yıl Geriye ve İleriye Dönük Olarak Analiz Yapılması Saklama süresinin bitimini takip eden ilk periyodik imha süresinde Çevrimiçi Müşterilere İlişkin Kişisel Veriler 2 yıl, Hukuki ilişki kurulması halinde, ilişkinin ermesinden itibaren 10 yıl 6563 Sayılı Kanun, 6102 Sayılı Kanun, 6098 Sayılı Kanun, 213 Sayılı Kanun, 6502 Sayılı Kanun Saklama süresinin bitimini takip eden ilk periyodik imha süresinde Ziyaretçilere İlişkin Kişisel Veriler 1 ay Veri Sorumlusunun Meşru Menfaati Saklama süresinin bitimini takip eden ilk periyodik imha süresinde