KVKK Politikası KİŞİSEL VERİLERİN İŞLENMESİ VE KORUNMASI POLİTİKASI AMAÇ VE KAPSAM Krea İçerik Hizmetleri Anonim Şirketi Kişisel Verilerin İşlenmesi ve Korunması Politikası, kişisel verilere ilişkin mevzuat çerçevesinde şeffaflığın ve hesap verilebilirliğin sağlanması temel amacıyla hazırlanmıştır. Bu politika ile Krea İçerik Hizmetleri Anonim Şirketi, Digital Platform Teknoloji Hizmetleri Anonim Şirketi ve Plüton Televizyon Yayıncılık Anonim Şirketi (Hep birlikte “Digiturk” olarak anılacaktır”) tarafından kişisel verileri işlenmekte olan bireylerin bilgilendirilmesi ve aydınlatılması hedeflenmektedir. Krea İçerik Hizmetleri Anonim Şirketi Kişisel Verilerin İşlenmesi ve Korunması Politikası kapsamına, Digiturk tarafından kişisel verileri işlenmekte olan tüm gerçek kişiler girmektedir. TANIMLAR Politika’da kullanılan metnin bütünlüğü açısından açıklanması gereken tanımlar aşağıdaki gibidir; • Açık rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza. • İlgili kullanıcı: Verilerin teknik olarak depolanması, korunması ve yedeklenmesinden sorumlu olan kişi ya da birim hariç olmak üzere veri sorumlusu organizasyonu içerisinde veya veri sorumlusundan aldığı yetki ve talimat doğrultusunda kişisel verileri işleyen kişiler. • Kişisel verilerin anonim hâle getirilmesi: Kişisel verilerin, başka verilerle eşleştirilerek dahi hiçbir surette kimliği belirli veya belirlenebilir bir gerçek kişiyle ilişkilendirilemeyecek hâle getirilmesi. • Kişisel veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. • Kişisel verilerin işlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem. • Kişisel verilerin imhası: Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi. • Kişisel verilerin silinmesi: Kişisel verilerin ilgili kullanıcılar için hiçbir şekilde erişilemez ve tekrar kullanılamaz hale getirilmesi. • Kişisel verilerin yok edilmesi: Kişisel verilerin hiç kimse tarafından hiçbir şekilde erişilemez, geri getirilemez ve tekrar kullanılamaz hale getirilmesi. • Kurul: Kişisel Verileri Koruma Kurulu. • KVK Kanunu: 6698 sayılı Kişisel Verilerin Korunması Kanunu. • Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler özel nitelikli veriler. • Politika : Krea İçerik Hizmetleri Anonim Şirketi Kişisel Verilerin İşlenmesi ve Korunması Politikası. • Digiturk : Krea İçerik Hizmetleri Anonim Şirketi. • Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi. • Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistem. • Veri sahibi ya da ilgili kişi: Kişisel verisi işlenen gerçek kişi. • Veri Sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi. VERİ SORUMLUSUNUN KİMLİĞİ Veri Sorumlusu : Krea İçerik Hizmetleri Anonim Şirketi, Digital Platform Teknoloji Hizmetleri Anonim Şirketi ve Plüton Televizyon Yayıncılık Anonim Şirketi (Hep birlikte “Digiturk” olarak anılacaktır) MERSİS No : 0295011114100016 Adres: Abbasağa Mah. Sungurlar İş Hanı No:45 Kat: 1-2-3 Beşiktaş 34353 İstanbul KEP Adresi: krea.hukuk@hs02.kep.tr E-posta Adresi : KVKBASVURU@digiturk.com.tr Veri sorumlusu ile ilgili bilgilere VERBİS üzerinden erişebilirsiniz. KİŞİSEL VERİLERİN İŞLENMESİNDE GENEL İLKELER KVK Kanunu m. 4, kişisel verilerin işlenmesi için uyulması gereken temel ilkeleri listelemektedir. Söz konusu ilkeler, Digiturk tarafından gerçekleştirilen tüm kişisel veri işleme faaliyetleri kapsamında dikkate alınmakta ve titizlikle uygulanmaktadır. Bahsi geçen ilkeler ve bunlara ilişkin açıklamalar aşağıda yer almaktadır: • Hukuka ve Dürüstlük Kuralına Uygun Olmak: Digiturk, kişisel verilerin işlenmesi ve korunması yükümlülüğünü yerine getirirken, hukukun genel ilkelerine ve 4721 sayılı Türk Medeni Kanunu’nda düzenlenmiş olan dürüstlük kuralına uygun olarak hareket etmektedir. • Kişisel Verilerin Doğru ve Güncel Olmasını Sağlamak: Kişisel verilerin bireyler hakkında doğru ve güncel bilgileri sağlaması, bireylerin haklarının korunması için büyük bir önem taşımaktadır. Digiturk, işlenmekte olan kişisel verilerin doğru ve güncel olmasını sağlamak adına kendisinden beklenecek makul düzeyde özeni göstermektedir. • Belirli, Açık ve Meşru Amaçlarla Kişisel Veri İşlemek: Kişisel verilerin işlenmesi ile ulaşılmak istenilen amaçlar, kişisel veri işleme faaliyetinin hukuka uygun olup olmadığının belirlenmesinde en önemli kriteri oluşturmaktadır. Bu kapsamda KVK Kanunu veri işleme faaliyetlerinin belirli, açık ve meşru amaçlarla işlenmesini gerektirmektedir. Digiturk de bu ilke çerçevesinde ticari faaliyetlerinin gerektirdiği belirli, açık ve meşru amaçlarla kişisel veri işleme faaliyetleri yürütmektedir. • İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olmak: Digiturk, kişisel verileri ticari faaliyetleri kapsamında belirlenen amaçları gerçekleştirmesine yetecek kadar işlemektedir. Digiturk, ayrıca ihtiyaç olmayan kişisel verileri işlemekten kaçınarak sınırlı ve ölçülü olmak prensibine uygun hareket etmektedir. • İlgili Mevzuatta Öngörülen veya İşlendiği Amaç için Gerekli Olan Süre Kadar Muhafaza Etmek: Digiturk tarafından işlenmekte olan kişisel veriler, kişisel veri işleme şartları kapsamında değerlendirilebilecek kişisel veri işleme amaçlarının ortadan kalkmasına kadar geçecek süre boyunca muhafaza etmektedir. Söz konusu amaçlar ortadan kalktığında, Digiturk tarafından ilgili kişisel verilerin muhafaza edilmesi işlemleri sonlandırılacaktır. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUKUKİ SEBEPLER KVK Kanunu, kişisel verilerin işleme hukuki sebeplerini 5 numaralı maddesi altında listelemektedir. Eğer bir veri sorumlusu tarafından kişisel verilerin işlenme amaçları, KVK Kanununda listelenmiş olan kişisel veri işleme hukuki sebepleri çerçevesinde değerlendirilebiliyorsa, o veri sorumlusu kişisel verileri hukuka uygun olarak işleyebilmektedir. Bu kapsamda Digiturk tarafından da güdülmekte olan kişisel veri amaçlarının, KVK Kanununda düzenlenen kişisel veri işleme hukuki sebepleri kapsamında değerlendirilebildiği durumlarda Digiturk tarafından kişisel veri işleme faaliyetleri gerçekleştirilmektedir. KVK Kanununda yer alan kişisel veri işleme hukuki sebepleri aşağıda paylaşılmaktadır: • İlgili kişinin açık rızasının bulunması, • Kanunlarda açıkça öngörülmesi, • Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, • Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, • Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, • Veri sahibinin kendisi tarafından alenileştirilmiş olması, • Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, • Veri sahibinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması. ÖZEL NİTELİKLİ KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN HUKUKİ SEBEPLER Digiturk, KVK Kanunu’nun 6. maddesinde yer alan veri işleme hukuki sebeplerinin varlığı halinde özel nitelikli kişisel verileri işleyebilmektedir. Özel nitelikli kişisel veriler, bireyler arasında ayrımcılık yapılmasını sağlayacak herhangi bir amaçla ya da bir bireyin hukuka aykırı muamelelere maruz kalmasına sebep olacak şekilde işlenmemektedir. Ayrıca Digiturk tarafından ilgili mevzuatta öngörüldüğü şekilde ek güvenlik önlemleri, özel nitelikli kişisel verilerin güvenliğinin sağlanması amacıyla alınmaktadır. KVK Kanunu m. 6’da yer alan özel nitelikli kişisel verilerin işlenme hukuki sebepleri şunlardır: • Özel nitelikli veri sahibinin açık rızası, • Sağlık ve cinsel hayata ilişkin kişisel veriler dışındaki kişisel veriler için kanunlarda öngörülen hâller, • Sağlık ve cinsel hayata ilişkin kişisel veriler için ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından işlenme. KİŞİSEL VERİLERİN KATEGORİZASYONUNA İLİŞKİN AÇIKLAMALAR Kimlik Ad soyad, anne – baba adı, anne kızlık soyadı, doğum tarihi, doğum yeri, medeni hali, nüfus cüzdanı seri sıra no, tc kimlik no gibi İletişim Adres no, e-posta adresi, iletişim adresi, kayıtlı elektronik posta adresi (KEP), telefon no gibi Hukuki İşlem Adli makamlarla yazışmalardaki bilgiler, dava dosyasındaki bilgiler gibi. Müşteri İşlem Çağrı merkezi kayıtları, fatura, senet, çek bilgileri, gişe dekontlarındaki bilgiler, sipariş bilgisi, talep bilgisi gibi. Fiziksel Mekan Güvenliği Çalışan ve ziyaretçilerin giriş çıkış kayıt bilgileri, kamera kayıtları gibi. İşlem Güvenliği IP adresi bilgileri, internet sitesi giriş çıkış bilgileri, şifre ve parola bilgileri gibi) Finans Bilanço bilgileri, finansal performans bilgileri, kredi ve risk bilgileri, malvarlığı bilgileri gibi. Pazarlama Alışveriş geçmişi bilgileri, anket, çerez kayıtları, kampanya çalışmasıyla elde edilen bilgiler gibi. Görsel ve İşitsel Kayıtlar Görsel ve işitsel kayıtlar gibi Sağlık Bilgileri Engellilik durumuna ait bilgiler gibi. KİŞİSEL VERİLERİN SAKLANMASI VE İMHASI Digiturk’ün kişisel verileri saklama süresi ilgili mevzuatta belirlenen süreler dikkate alınarak hesaplanmaktadır. Bu sürelerin dolmasına rağmen KVK Kanununda yer alan kişisel veri işleme şartlarından herhangi birisinin bulunmasını sağlayacak veri işleme amaçlarının varlığı halinde bireylerin kişisel verileri işlenmeye ve saklanmaya devam edilecektir. KVK Kanununda yer alan kişisel veri işleme şartlarının varlığını ortadan kaldıracak kişisel veri işleme amaçlarının sona ermesi halinde, Digiturk tarafından kişisel veriler imha edilecektir. Söz konusu imha işlemleri ilgili mevzuatın hükümlerine uygun olarak altı aylık periyotlarla re’sen gerçekleştirilmekte ya da veri sahiplerinden gelen taleplerin gerektirmesi halinde neticeye bağlanmaktadır. Digiturk tarafından kişisel verilerin imhası, kişisel verilerin yer aldığı ortamlara göre silme, anonimleştirme ya da yok etme teknikleri kullanılarak yerine getirilmektedir. Söz konusu teknikler hakkında detaylı bilgiler Kurul tarafından yayınlanmış olan Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Rehberi içerisinde yer almaktadır. KİŞİSEL VERİLERİN ÜÇÜNCÜ KİŞİLERLE PAYLAŞILMASI Digiturk tarafından kişisel verilerin yurt içinde bulunan kişiler/kurumlarla paylaşılması söz konusu olabilmektedir. Digiturk tarafından kişisel veri paylaşımlarının takip edilmesi amacıyla, paylaşım yapılan kişiler aşağıda yer alan kategorilere ayrılmıştır. Veri Alıcısı Grubu Bayilerimiz İştiraklerimiz ve Grup Şirketlerimiz İş Ortaklarımız Tedarikçilerimiz Kanunen yetkili kamu kurumları Kanunen Yetkili Özel Kişiler VERİ SAHİBİNİN HAKLARI Kişisel veri sahibi olarak Kanun’un 11. maddesi uyarınca aşağıdaki haklara sahip olduğunuzu bildiririz: • Kişisel verilerinizin işlenip işlenmediğini öğrenme, • Kişisel verileriniz işlenmişse buna ilişkin bilgi talep etme, • Kişisel verilerinizin işlenme amacını ve kişisel verilerinizin amacına uygun kullanılıp kullanılmadığını öğrenme, • Yurt içinde veya yurt dışında kişisel verilerinizin aktarıldığı üçüncü kişileri bilme, • Kişisel verilerinizin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme, • Kanun ve ilgili diğer kanun hükümlerine uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel verilerin silinmesini veya yok edilmesini isteme ve bu kapsamda yapılan işlemin kişisel verilerinizin aktarıldığı üçüncü kişilere bildirilmesini isteme, • İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkması durumunda buna itiraz etme, • Kişisel verilerinizin kanuna aykırı olarak işlenmesi sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme. Digiturk, yukarıda sıralanan haklarınıza ilişkin ileteceğiniz talepleri, iletim tarihinden itibaren sonra talebinizin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılacaktır; ancak işlemin ayrıca bir maliyet gerektirmesi halinde Kişisel Verileri Koruma Kurulu tarafından belirlenecek tarifeye göre tarafınızdan ücret talep edilebilecektir. Veri sahipleri tarafından yapılan başvuruların yanıtlanması amacıyla Digiturk tarafından başvurucunun kimliğinin doğrulanması ile başvurucu talebinin netleştirilmesi amacıyla ek bilgi ve belge talep edilebilecektir. KİŞİSEL VERİLERİN GÜVENLİĞİNE İLİŞKİN TEDBİRLER Digiturk, işlemekte olduğu kişisel verilerin gizliliğinin ve güvenliğinin sağlanması konusunda gereken her türlü makul dikkat ve özeni sağlamaktadır. Digiturk, KVK Kanunu’nun 12. maddesi çerçevesinde veri gizliliğinin ve güvenliğinin sağlanması için de gereken her türlü teknik ve idari tedbirlerini makul düzeyde almaktadır. Söz konusu idari ve teknik güvenlik tedbirleriyle birlikte kişisel verilerin hukuka aykırı işlenmesinin önlenmesi, kişisel verilere hukuka aykırı olarak erişilmesinin önlenmesi ile kişisel verilerin uygun güvenlik düzeyinde muhafaza edilmesi hedeflenmektedir. Digiturk, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi (veri işleyen) tarafından işlenmesi hâlinde, yukarıda belirtilen tedbirlerin ilgili veri işleyenler tarafından da alınmasını sağlayacaktır. Kişisel verilerin üçüncü kişiler tarafından hukuka aykırı olarak ele geçirilmesi halinde, ilgili mevzuat hükümleri uyarınca veri sahiplerine, Kurul’a ve diğer ilgili kamu kurum ve kuruluşlarına bildirimde bulunacaktır. Kişisel verilerin güvenliğine ilişkin tedbirler alınırken Kurul tarafından yayınlanmış olan Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) göz önünde bulundurulmaktadır.