Kişisel Veri Saklama ve İmha Politikası

EDU OCTO

KİŞİSEL VERİ SAKLAMA VE İMHA POLİTİKASI

İşbu Kişisel Veri Saklama ve İmha Politikası (“Politika”), 6698 sayılı Kişisel Verilerin Korunması Kanunu, Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik ve ilgili Kurul kararları çerçevesinde hazırlanmıştır.

Politika; Edu Octo tarafından internet sitesi, mobil uygulama ve bağlantılı platform hizmetleri kapsamında işlenen kişisel verilerin hangi kayıt ortamlarında saklandığını, hangi gerekçelerle muhafaza edildiğini, hangi sürelerin sonunda ve hangi yöntemlerle silineceğini, yok edileceğini veya anonim hale getirileceğini açıklamaktadır.

1. Amaç ve Kapsam

Bu Politika’nın amacı; Edu Octo tarafından işlenen kişisel verilerin işlendikleri amaç için gerekli olan azami muhafaza sürelerinin belirlenmesi, söz konusu verilerin güvenli şekilde saklanması ve işleme şartlarının ortadan kalkması halinde hukuka uygun yöntemlerle imha edilmesine ilişkin usul ve esasların ortaya konulmasıdır.

Politika; internet sitesi ziyaretçileri, demo/teklif talep eden kişiler, okul/kurum yetkilileri, öğretmenler, veliler, öğrenciler, kursiyerler, katılımcılar, danışanlar ve gerektiğinde reşit kullanıcılar ve diğer yetkili kullanıcılar hakkında platform kapsamında işlenebilen kimlik, iletişim, işlem güvenliği, müşteri işlem, finans, konum, görsel/işitsel kayıt ve özel nitelikli veriler dâhil olmak üzere ilgili tüm veri kategorilerini kapsar.

2. Dayanak, İlke ve Tanımlar

Bu Politika, başta 6698 sayılı Kişisel Verilerin Korunması Kanunu olmak üzere Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, ilgili ikincil düzenlemeler ve Kişisel Verileri Koruma Kurulu kararları dikkate alınarak hazırlanmıştır.

• kişisel verileri belirli, açık ve meşru amaçlarla işlemek,

• işlenen verileri amaçla bağlantılı, sınırlı ve ölçülü tutmak,

• gerekenden uzun süre saklamamak,

• rol bazlı erişim, sınırlı görüntüleme, loglama ve veri azaltma ilkeleri ile saklama-imha süreçlerini desteklemek,

• çocuklara ait veriler ile sağlık verileri bakımından daha sıkı koruma ve erişim kontrolleri uygulamak.

Temel tanımlar

• Kayıt ortamı: Tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenen kişisel verilerin bulunduğu her türlü ortamı ifade eder.

• İmha: Kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesini ifade eder.

• Periyodik imha: İşleme şartları ortadan kalkmış veriler bakımından, Politika’da belirlenen tekrar eden aralıklarla resen gerçekleştirilecek silme, yok etme veya anonim hâle getirme işlemini ifade eder.

• İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu kişi veya birim hariç olmak üzere, veri sorumlusu organizasyonu içinde ya da talimatla kişisel verileri işleyen gerçek/tüzel kişileri ifade eder.

3. Kayıt Ortamları

Edu Octo kapsamında işlenen kişisel veriler, verinin niteliğine ve iş sürecine göre elektronik ve elektronik olmayan ortamlarda saklanabilir. Kayıt ortamları aşağıdaki örneklerle sınırlı olmaksızın değerlendirilir.

4. Kişisel Verilerin Saklanmasını Gerektiren Sebepler

Kişisel veriler, Edu Octo tarafından aşağıdaki hukuki ve operasyonel sebeplerle saklanabilir:

• bir sözleşmenin kurulması veya ifası kapsamında hesap açılışı, kullanıcı yetkilendirmesi, okul/kurum üyeliği ve platform hizmetlerinin yürütülmesi,

• öğrenci/kursiyer/katılımcı/danışan günlük akışı, duyuru, mesajlaşma, servis takibi, fotoğraf/video paylaşımı ve benzeri operasyonel süreçlerin yönetilmesi,

• faturalama, tahsilat, mutabakat, muhasebe ve denetim yükümlülüklerinin yerine getirilmesi,

• platform güvenliğinin sağlanması, yetkisiz erişimlerin önlenmesi, log kayıtlarının tutulması ve olay yönetiminin yürütülmesi,

• bir hakkın tesisi, kullanılması veya korunması amacıyla uyuşmazlık, başvuru ve delil süreçlerinin yürütülmesi,

• ilgili kişinin açık rızasına dayanılan süreçlerde rıza kayıtlarının ve tercih yönetimi bilgilerinin ispat ve uyum amacıyla saklanması,

• özel nitelikli veriler bakımından ilgili kişinin güvenliğinin sağlanması, acil durum yönetimi ve bakım/eğitim süreçlerinin doğru yürütülmesi.

5. Kişisel Verilerin İmhasını Gerektiren Sebepler

Aşağıdaki hâllerde kişisel veriler resen veya talep üzerine silinir, yok edilir ya da anonim hâle getirilir:

• kişisel verinin işlenmesini gerektiren amaçların ortadan kalkması,

• ilgili mevzuatta öngörülen saklama süresinin veya veri envanterinde belirlenen azami sürenin dolması,

• kişisel veriyi daha uzun süre saklamayı haklı kılacak geçerli bir hukuki sebebin kalmaması,

• yalnızca açık rızaya dayalı işleme yapılan hâllerde ilgili kişinin açık rızasını geri alması ve işleme için başka bir şartın bulunmaması,

• ilgili kişinin silme / yok etme talebinin mevzuat çerçevesinde kabul edilmesi veya Kurul/mahkeme/yetkili kurum kararıyla imha yükümlülüğünün doğması.

6. Saklama Sürecinde Uygulanan Teknik ve İdari Tedbirler

Saklama ve imha süreçleri, verinin niteliğine uygun teknik ve idari kontrollerle desteklenir. Özellikle çocuklara ait veriler ve sağlık verileri bakımından daha sıkı erişim yönetimi esas alınır.

• rol bazlı yetkilendirme ve kullanıcı bazlı görünürlük kısıtları uygulanır;

• erişim logları, işlem geçmişi ve olay kayıtları düzenli tutulur;

• şifreleme, güvenli veri iletimi, oturum kontrolleri ve kimlik doğrulama tedbirleri kullanılır;

• yedekleme, felaket kurtarma ve iş sürekliliği önlemleri uygulanır;

• gizlilik yükümlülükleri, sözleşmesel tedbirler ve tedarikçi kontrolleri yürütülür;

• özel nitelikli veriler bakımından veri azaltma, maskeleme ve sınırlı görüntüleme ilkeleri uygulanır;

• eğitim, farkındalık, iç denetim ve politika/prosedür mekanizmalarıyla uygulama düzenli gözden geçirilir.

Özel erişim kurguları

• veli/vasi/yasal temsilci, kural olarak yalnızca temsil ettiği çocuğa/ilgili kişiye ait kayıtları görüntüleyebilir; reşit kullanıcı ise kural olarak kendisine ait kayıtları görüntüleyebilir;

• öğretmen, yalnızca sorumlu olduğu öğrenci/kursiyer/katılımcı/danışan ile sınıf/grup/şube/program verilerine erişebilir;

• fotoğraf ve video içerikleri üçüncü kişilere açık değildir; yalnızca ilgili sınıfın/grubun/programın velileri/vasileri/yasal temsilcileri, öğretmenleri ve yetkili okul kullanıcıları rol bazlı kurallar çerçevesinde görebilir;

• finans ve muhasebe kullanıcılarının sağlık verisine erişimi bulunmaz;

• teknik destek ve geliştirici ekipler, zorunlu teknik ihtiyaç olmadıkça canlı ortamdaki özel nitelikli verilere doğrudan erişmez; erişim gerektiğinde sınırlı, kayıt altına alınmış ve mümkün olduğunca maskelenmiş veri setleri kullanılır.

7. İmha Yöntemleri

İmha işlemi; verinin bulunduğu kayıt ortamı, verinin niteliği, erişim riskleri ve geri getirilebilirlik ihtimali dikkate alınarak seçilir. İşleme şartları ortadan kalkmış veriler bakımından uygun olan yöntem uygulanır.

7.1. Silme

Silme, kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hâle getirilmesidir. Bulut ortamı, merkezi sunucu, dosya sistemi veya veri tabanı üzerinde silme komutu verilmesi; erişim yetkilerinin kaldırılması; ilgili kayıt veya satırların sistemden çıkarılması gibi yöntemler kullanılabilir.

7.2. Yok etme

Yok etme, kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hâle getirilmesidir. Fiziksel imha, parçalama, eritme, yakma veya geri döndürülemeyecek biçimde bertaraf etme gibi yöntemler, ortamın niteliğine göre uygulanabilir.

7.3. Anonim hâle getirme

Anonim hâle getirme, kişisel verilerin başka verilerle eşleştirilse dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesidir. Maskeleme, genelleştirme, kayıt/sütun çıkarma, bölgesel gizleme, veri değiş tokuşu, gürültü ekleme ve benzeri teknikler uygun senaryolarda kullanılabilir.

7.4. Ortam bazlı örnek uygulamalar

8. Periyodik İmha, Talep Süreci ve Kayıt Altına Alma

Edu Octo bakımından periyodik imha süresi altı ay olarak belirlenmiştir. İşleme şartları ortadan kalkmış kişisel veriler, yükümlülüğün doğduğu tarihi takip eden ilk periyodik imha işleminde resen silinir, yok edilir veya anonim hâle getirilir.

İlgili kişinin silme veya yok etme talebinde bulunması hâlinde, başvuru yürürlükteki mevzuat çerçevesinde değerlendirilir. İşleme şartlarının tamamı ortadan kalkmışsa talep en geç otuz gün içinde sonuçlandırılır ve ilgili kişiye bilgi verilir.

Silme, yok etme veya anonim hâle getirme işlemlerine ilişkin süreçler ve mümkün olduğunda işlem kayıtları / tutanaklar muhafaza edilir. İmha işlemlerine ilişkin kayıtlar, diğer hukuki yükümlülükler saklı kalmak üzere asgari mevzuat süreleri boyunca saklanır.

9. Saklama ve İmha Süreleri Tablosu

Aşağıdaki süreler, mevcut veri envanteri taslağı ile yüklenen örnek politika esas alınarak belirlenmiştir. Nihai süreç envanteri ve fiilen kullanılan sistem mimarisi doğrultusunda güncellenebilir.

10. Sorumlu Birimler ve Görev Dağılımı

Saklama ve imha süreçleri, tek birim tarafından değil; veri envanteri, sistem altyapısı ve operasyonel süreçlere göre ilgili birimlerin koordinasyonuyla yürütülür.

11. Güncelleme ve Yürürlük

Bu Politika; mevzuat değişiklikleri, veri envanterinin güncellenmesi, kullanılan hizmet sağlayıcıların değişmesi, yeni modüllerin devreye alınması veya operasyonel süreçlerde değişiklik olması hâlinde gözden geçirilir ve gerektiğinde güncellenir.

Politika’nın güncel sürümü internet sitesi ve/veya ilgili dijital kanallarda yayımlandığı tarihten itibaren yürürlüğe girer.