Kişisel Veri Koruma, Saklama ve İmha Politikası

Matador Kiralama Hizmetleri Gayrimenkul A.Ş. (bundan sonra “Şirket” veya “Matador” olarak anılacaktır) olarak; müşterilerimiz, kiracılarımız, mal sahiplerimiz, ziyaretçilerimiz, tedarikçilerimiz, iş ortaklarımız ve çalışanlarımız dâhil olmak üzere tüm gerçek kişilerin kişisel verilerinin; Türkiye Cumhuriyeti Anayasası, insan haklarına ilişkin ülkemizin taraf olduğu uluslararası sözleşmeler ile 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) başta olmak üzere ilgili mevzuata uygun olarak işlenmesi ve verisi işlenen ilgili kişilerin haklarını etkin biçimde kullanabilmesinin sağlanması önceliğimizdir.

Bu nedenle; sayılanlarla sınırlı olmamak üzere çalışanlarımızın, kiracılarımızın, kiraya verenlerin, alıcı ve satıcıların, tedarikçilerimizin, ziyaretçilerimizin, internet sitemizi ve dijital kanallarımızı kullanan kişilerin, kısacası faaliyetlerimiz sırasında edindiğimiz tüm kişisel verilerin işlenmesi, saklanması, aktarılması ve imhasına ilişkin işlemleri işbu Kişisel Veri Koruma, Saklama ve İmha Politikası (“Politika”) çerçevesinde gerçekleştirmekteyiz.

Kişisel verilerin korunması için mevzuata ve güncel teknolojiye uygun şekilde, ilgili verinin niteliğinin gerektirdiği tüm idari ve teknik koruma tedbirlerini almaktayız.

İşbu Politika; ticari faaliyetlerimiz, gayrimenkul kiralama ve pazarlama süreçlerimiz ile sosyal sorumluluk ve benzeri faaliyetlerimiz sırasında paylaşılan kişisel verilerin KVKK'da anılan ilkeler çerçevesinde işlenmesi, saklanması, aktarılması, silinmesi, yok edilmesi ya da anonim hâle getirilmesine dair izlediğimiz yöntemleri açıklamaktadır.

Ziyaretçilerimiz, kiracılarımız, mal sahipleri, iş bağlantılarımız, iş ortaklarımız, çalışanlarımız, çalışan adaylarımız, tedarikçilerimiz ve üçüncü kişiler de dâhil olmak üzere Şirket tarafından işlenen tüm kişisel veriler bu Politika'nın kapsamındadır.

Politikamız; Şirket'in sahibi olduğu ya da Şirket tarafından yönetilen tüm kişisel verilerin işlenmesine yönelik faaliyetlerde, veri ortamı (fiziksel/elektronik) ayrımı gözetilmeksizin uygulanmakta olup KVKK, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve kişisel verilere ilişkin diğer mevzuat ile bu alandaki uluslararası standartlar gözetilerek hazırlanmıştır.

Kişisel verilerin korunması yalnızca gerçek kişilere ilişkindir; tüzel kişilere ait olup içerisinde gerçek kişiye ilişkin bilgi barındırmayan veriler bu Politika'nın kapsamı dışındadır.

İşbu Politika'nın uygulanmasında görev alan birim ve sorumlular ile görev tanımları aşağıda belirtilmiştir. Tüm sorumlular için sır saklama yükümlülüğü, görevin veya iş ilişkisinin sona ermesinden sonra da süresiz olarak devam eder.

4.1. Yönetim Kurulu

• Politika'nın onaylanmasından ve yürürlüğe konulmasından,
• Politika'ya, kural ve düzenlemelere uyulmaması durumunda bildirim alındığında yaptırım mekanizmalarının belirlenmesi ve işletilmesinin üst gözetiminden,
• Kişisel verilerin korunması için gerekli kaynakların tahsis edilmesinden sorumludur.

4.2. KVKK Sorumlusu / İrtibat Kişisi

• Politika'nın yürütülmesi, güncellenmesi ve geliştirilmesinden,
• İlgili kişi başvurularının kayda alınması, değerlendirilmesi ve mevzuatta öngörülen sürede yanıtlanmasının koordinasyonundan,
• Veri İşleme Envanteri'nin güncel tutulması ve VERBİS kaydının takibinden,
• Periyodik imha süreçlerinin başlatılması ve tutanağa bağlanmasından,
• Kurum ve Kurul ile yürütülecek yazışmaların takibinden,
• Politika'ya aykırı durumlarda Yönetim Kurulu'na gerekli bildirimlerin yapılmasından sorumludur.

4.3. Bilgi İşlem / Bilgi Teknolojileri Sorumlusu

• Politika'ya uyum için gerekli teknik tedbirlerin alınması ve sürdürülmesinden,
• Yetki matrisi, erişim logları, yedekleme, şifreleme ve güvenlik yazılımlarının yönetiminden,
• Elektronik ortamdaki kişisel verilerin silinmesi ve yok edilmesi işlemlerinin teknik olarak gerçekleştirilmesinden,
• Güncel dokümanların Şirket internet sitesinde yayınlanmasından,
• Politika'ya aykırı durumlarda KVKK Sorumlusu ve Yönetim Kurulu'na bildirim yapılmasından sorumludur.

4.4. İnsan Kaynakları Sorumlusu

• Güncel dokümanın kurum içi dağıtımının yapılması ve yeni işe başlayan çalışanlara bildirilmesinden,
• Çalışan ve çalışan adaylarına ait kişisel verilerin (özlük, bordro, sağlık bilgileri vb.) güncelliğinin ve gizliliğinin sağlanmasından,
• Çalışanlara yönelik kişisel verilerin korunması farkındalık eğitimlerinin planlanmasından,
• Gizlilik taahhütnamelerinin alınması ve saklanmasından,
• Politika'ya aykırı durumlarda KVKK Sorumlusu ve Yönetim Kurulu'na bildirim yapılmasından sorumludur.

4.5. Muhasebe, İdari İşler ve Operasyon (Portföy/Kiralama) Sorumlusu

• Kiralama, satış ve tahsilat süreçlerinde elde edilen kişisel verilerin güncelliğinin ve gizliliğinin sağlanmasından,
• Sözleşme, tapu, fatura ve benzeri fiziki evrakın kilitli/erişimi sınırlı ortamlarda saklanmasından,
• Politika'ya uyum için gerekli tedbirlerin alınması ve görev alan çalışanlarla birlikte uygulanmasından,
• Politika'ya aykırı durumlarda KVKK Sorumlusu ve Yönetim Kurulu'na bildirim yapılmasından sorumludur.

KVKK uyarınca veri sorumlusu sıfatıyla, kişisel verilerin korunması ve işlenmesi kapsamındaki hukuki yükümlülüklerimiz aşağıda sıralanmıştır.

5.1. Aydınlatma Yükümlülüğümüz

Veri sorumlusu olarak kişisel verileri toplarken İlgili Kişi'yi;

• Kişisel verilerinin hangi amaçla işleneceği,
• Veri sorumlusunun ve varsa temsilcisinin kimliği,
• İşlenen kişisel verilerinin kimlere ve hangi amaçla aktarılabileceği,
• Kişisel veri toplama yöntemimiz ve hukuki sebebi,
• KVKK'nın 11. maddesinde sayılan haklar,

hususlarında aydınlatma yükümlülüğümüz bulunmaktadır. Şirket olarak, “Matador Kiralama Hizmetleri Gayrimenkul A.Ş. Kişisel Verilerin Korunması Kanunu Aydınlatma Metni” ile İlgili Kişileri yukarıda geçen hususlar konusunda aydınlatmaktayız. Kamuoyuna açık olan işbu Politika'mızın açık, anlaşılır ve kolay erişilebilir olmasına özen göstermekteyiz.

5.2. Veri Güvenliğini Sağlama Yükümlülüğümüz

Veri sorumlusu olarak uhdemizde bulunan kişisel verilerin güvenliğini sağlamak amacıyla mevzuatta öngörülen idari ve teknik tedbirleri almaktayız. Veri güvenliğine ilişkin yükümlülükler ve alınan tedbirler işbu Politika'nın 9. bölümünde detaylandırılmaktadır.

5.3. İlgili Kişi Başvurularını Cevaplama Yükümlülüğümüz

İlgili Kişi'nin KVKK'nın 11. maddesi kapsamındaki taleplerini, yazılı olarak veya Kurul'un belirlediği diğer yöntemlerle Şirket'imize iletmesi hâlinde, talebin niteliğine göre en kısa sürede ve her hâlükârda en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırmaktayız. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurul'ca belirlenen tarifedeki ücret talep edilebilir.

6.1. Kişisel Veriler

Kişisel veriler; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Kişisel verilerin korunması yalnızca gerçek kişilerle ilgili olup, tüzel kişilere ait ve içerisinde gerçek kişiye ilişkin bilgi içermeyen veriler kişisel veri korumasının dışında bırakılmıştır. Bu nedenle işbu Politika tüzel kişilere ait verilere uygulanmaz.

6.2. Özel Nitelikli Kişisel Veriler

Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları ile kılık ve kıyafeti, dernek, vakıf ya da sendika üyelikleri, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir. Özel nitelikli kişisel veriler, KVKK gereğince yalnızca İlgili Kişi'nin açık rızası ile veya kanunlarda öngörülen hâllerde işlenebilir.

Şirket politikası gereği; çalışanlarımızın istihdamından kaynaklanan ve mevzuat gereği zorunlu olan sınırlı sağlık verileri dışında özel nitelikli kişisel veri işlenmemektedir. Kiralama ve satış süreçlerinde tarafımıza iletilen belgelerde yer alan özel nitelikli veriler (örneğin kimlik fotokopisindeki kan grubu, din hanesi vb.) işleme amacı bulunmadığından karartılmakta veya talep edilmemektedir.

6.3. İşlenen Kişisel Veri Kategorileri ve İlgili Kişi Grupları

Şirket faaliyetleri kapsamında işlenen başlıca kişisel veri kategorileri aşağıdaki gibidir. Ayrıntılı döküm Veri İşleme Envanteri'nde yer almaktadır.

Kişisel verileri, mevzuatta öngörülen saklama süreleri saklı kalmak kaydıyla, işleme amacının gerektirdiği süre boyunca saklamaktayız.

Kişisel verileri birden fazla amaçla işlediğimiz hâllerde; verinin işleme amaçlarının tamamının ortadan kalkması veya İlgili Kişi'nin talebi üzerine verilerin silinmesine mevzuatta bir engel bulunmaması durumunda veriler silinir, yok edilir veya anonim hâle getirilir. Yok etme, silme veya anonimleştirme hususlarında mevzuat hükümlerine ve Kurul kararlarına uyulur.

Saklamayı gerektiren başlıca hukuki sebepler; sözleşmenin kurulması ve ifası, Şirket'in hukuki yükümlülüklerini yerine getirmesi, bir hakkın tesisi, kullanılması veya korunması ile meşru menfaatlerimizdir.

7.1. Başlıca Saklama Süreleri

Yukarıdaki süreler asgari süreler olup, devam eden bir dava, soruşturma veya idari inceleme bulunması hâlinde ilgili veriler süreç kesinleşinceye kadar saklanmaya devam edilir.

Saklama süresi sona eren veya işlenmesini gerektiren sebepler ortadan kalkan kişisel veriler; re'sen ya da İlgili Kişi'nin talebi üzerine, aşağıda belirtilen yöntemlerle imha edilir.

8.1. Periyodik İmha

Saklama süresi dolan kişisel veriler, KVKK Sorumlusu koordinasyonunda altı (6) ayda bir, her yıl Haziran ve Aralık aylarında yapılan periyodik imha işlemi ile re'sen imha edilir. İmha işlemi tutanağa bağlanır ve bu tutanaklar en az üç (3) yıl saklanır.

İlgili Kişi'nin verilerinin silinmesi veya yok edilmesi talebinde bulunması hâlinde; işlenme şartlarının tamamı ortadan kalkmışsa talep en geç otuz (30) gün içinde yerine getirilir ve İlgili Kişi'ye bilgi verilir. İşlenme şartları ortadan kalkmamışsa talep gerekçesi açıklanarak reddedilebilir.

9.1. Kişisel Verilerin Aktarılması

Kişisel veriler, KVKK'nın 8. ve 9. maddelerinde öngörülen şartlara uygun olarak ve işleme amacıyla sınırlı biçimde; mal sahipleri ve kiracılar arasında sözleşmenin ifası için gerekli olduğu ölçüde, yetkili kamu kurum ve kuruluşlarına, tapu ve noter işlemleri kapsamında ilgili mercilere, bankalar ve ödeme kuruluşlarına, mali müşavir ve hukuk danışmanlarımıza, bilişim ve barındırma hizmeti aldığımız tedarikçilerimize aktarılabilmektedir.

Veri işleyen sıfatıyla hizmet aldığımız taraflarla, veri güvenliğine ilişkin yükümlülükleri içeren gizlilik ve veri işleme sözleşmeleri akdedilmekte; bu tarafların yalnızca talimatlarımız doğrultusunda ve sözleşmede belirtilen amaçla sınırlı olarak veri işlemesi sağlanmaktadır.

9.2. Teknik Tedbirler

Kişisel verileri korumak için sayılanlarla sınırlı olmamak üzere;

• Kişisel verilerin mevzuata uygun olarak işlenmesi ve saklanması için Şirket içi teknik organizasyonu yapmakta,
• Kişisel verilerin saklanacağı veri tabanlarının güvenliğini sağlamak için gerekli teknik altyapıyı oluşturmakta,
• Yetki matrisi uygulayarak erişimleri görev tanımıyla sınırlandırmakta ve erişim kayıtlarını (log) tutmakta,
• Kritik verilerde şifreleme ve güvenli yedekleme yöntemleri kullanmakta,
• Virüs koruma sistemleri, güvenlik duvarı ve benzeri yazılım veya donanım güvenlik ürünleri kullanmakta ve teknolojik gelişmelere uygun güvenlik sistemleri kurmakta,
• Teknik tedbirleri periyodik olarak gözden geçirmekte, güncellemekte ve yenilemekte,
• Riskli durumları yeniden inceleyerek gerekli teknolojik çözümleri üretmekte,
• Teknik konularda uzman çalışan istihdam etmekte ve gerektiğinde danışmanlık hizmeti almaktayız.

9.3. İdari Tedbirler

Kişisel verileri korumak için sayılanlarla sınırlı olmamak üzere;

• Çalışanlarımızı kişisel verilerin hukuka uygun şekilde korunması ve işlenmesi konusunda bilgilendirmekte ve düzenli olarak eğitmekte,
• Çalışanlarımızdan gizlilik taahhütnamesi almakta ve sır saklama yükümlülüğünün iş ilişkisi sona erse dahi süresiz devam ettiğini bildirmekte,
• Veri İşleme Envanteri'ni hazırlamakta ve güncel tutmakta,
• Kişisel veri içeren fiziki evrakı kilitli dolaplarda ve erişimi sınırlandırılmış alanlarda saklamakta,
• Tedarikçi ve iş ortaklarımızla veri güvenliği hükümleri içeren sözleşmeler akdetmekte,
• İşbu Politika ve ilgili dokümanları düzenli olarak gözden geçirmekteyiz.

Kişisel verilerin yetkisiz olarak ifşa edildiğini tespit etmemiz hâlinde, bu durumu en kısa sürede ve her hâlükârda öğrenme tarihinden itibaren yetmiş iki (72) saat içinde Kurul'a, ilgili kişiye ise makul olan en kısa sürede bildirmekteyiz.

Alınan tüm idari ve teknik tedbirlere rağmen hukuka aykırı bir ifşa gerçekleşmesi durumunda, Kurul tarafından gerek görülmesi hâlinde bu durum Kurul'un internet sitesinde veya başka bir yöntemle ilan edilebilecektir.

Kişisel verilerin hukuka aykırı ifşasının oluşması durumunda, hukuka aykırı davranan kişiler hakkında disiplin cezası ve iş akdinin feshi gibi idari tedbirler uygulanmakta; gerektiğinde hukuki ve cezai yollara başvurulmaktadır.

KVKK'nın 11. maddesi uyarınca her ilgili kişi; kişisel verisinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme, yurt içinde veya yurt dışında aktarıldığı üçüncü kişileri bilme, eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhine bir sonucun ortaya çıkmasına itiraz etme ve kanuna aykırı işleme sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme haklarına sahiptir.

Başvurular; Şirket adresimize yazılı olarak ıslak imzalı dilekçe ile, kayıtlı elektronik posta (KEP) adresimize, güvenli elektronik imza veya mobil imza ile ya da Şirket sistemimizde kayıtlı bulunan e-posta adresiniz üzerinden “Bilgi Talep Formu” doldurularak iletilebilir.

İşbu Politika, Şirket internet sitesinde kamuoyunun erişimine açık olarak yayımlanır ve elektronik ortamda saklanır. Gerekli hâllerde basılı nüshası da düzenlenerek ilgili birimlere dağıtılır.

İşbu Politika en az yılda bir kez gözden geçirilir; mevzuat değişikliği, Kurul kararı veya Şirket süreçlerinde değişiklik olması hâlinde ihtiyaç duyulduğunda Yönetimin Gözden Geçirme Toplantısı'nda güncellenir. Güncellemeler revizyon numarası artırılarak kayıt altına alınır.

İşbu Politika, Yönetim Kurulu onayının ardından Şirket internet sitesinde yayımlanmasıyla yürürlüğe girmiş kabul edilir. Politika hükümleri ile ilgili mevzuat arasında çelişki bulunması hâlinde mevzuat hükümleri uygulanır.

• Bilgi Talep Formu (MTD-KVKK-F01)
• Çalışan Aydınlatma Metni (MTD-KVKK-F02)
• Tedarikçi, Müşteri, İnternet Sitesi ve Yazılım Kullanıcısı Aydınlatma Metni (MTD-KVKK-F03)
• Veri İşleme Envanteri (MTD-KVKK-F04)
• Periyodik İmha Tutanağı (MTD-KVKK-F05)