Soma Belediyesi Kişisel Verilerin Korunması ve İşlenmesi Politikası

GİRİŞ

Veri sorumlusu sıfatıyla Soma Belediyesi (“Belediye”), vatandaşlar, çalışanlar ve Belediye ile çeşitli şekillerde ilişki kuran diğer gerçek kişilere ait kişisel verilerin hukuka uygun şekilde işlenmesini ve güvenliğinin sağlanmasını temel bir kurumsal sorumluluk olarak görür.

İşbu Soma Belediyesi Kişisel Verilerin Korunması ve İşlenmesi Politikası (“Politika”); Belediye ile ilişki kuran vatandaşların, çalışanların, çalışan adaylarının, ziyaretçilerin, iş birliği içinde olunan kurumların çalışanlarının ve diğer üçüncü kişilerin kişisel verilerinin, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) ve ilgili ikincil mevzuat ile Kişisel Verileri Koruma Kurulu düzenleme/kararları çerçevesinde işlenmesine ve korunmasına ilişkin temel ilke, süreç ve uygulama esaslarını ortaya koyar.

Bu kapsamda Belediye; Kanun’un öngördüğü yükümlülükler doğrultusunda kişisel verilerin korunması ve veri güvenliğinin sağlanması için gerekli idari ve teknik tedbirleri almakta, süreçlerini buna uygun şekilde yürütmekte ve geliştirmektedir.

2. POLİTİKANIN AMACI VE KAPSAMI

2.1. Politikanın Amacı

Bu Politika’nın amacı; Belediyemiz tarafından yürütülen kişisel veri işleme faaliyetlerinin Kanun ve ilgili mevzuata uygunluğunu sağlamak üzere benimsenen temel ilke ve uygulama esaslarını ortaya koymak, veri güvenliğine ilişkin yaklaşımı açıklamak ve Belediyemiz bünyesinde kişisel verilerin işlenmesi/korunmasına ilişkin kurumsal yönetişim çerçevesini belirlemektir.

Bu Politika, Belediyemizin kişisel veri işleme faaliyetlerinde şeffaflık ilkesini destekler; ancak ilgili kişilerin aydınlatılması, ilgili kişi gruplarına ve süreçlere özgü hazırlanan aydınlatma metinleri üzerinden yerine getirilir.

2.2. Politikanın Kapsamı

İşbu Politika; Belediyemiz ile ilişki kuran vatandaşlar, çalışanlar, çalışan adayları, ziyaretçiler, iş birliği içinde olunan kurumların çalışanları ve diğer üçüncü kişilere ait kişisel verilerin; tamamen veya kısmen otomatik yollarla ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işlenmesine ilişkin esasları kapsar.

3. KİŞİSEL VERİLERİN KORUNMASINA İLİŞKİN HUSUSLAR

 3.1. Kişisel Verilerin Korunması

Belediyemiz, KVKK’nın 12. maddesi uyarınca; işlediği kişisel verilerin hukuka aykırı olarak işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak ve uygun güvenlik düzeyini temin etmek amacıyla gerekli teknik ve idari tedbirleri alır.

Bu kapsamda Belediyemiz; erişim yetkilendirme ve loglama, ağ ve uygulama güvenliği, yedekleme, veri kayıt ortamlarının güvenliği, veri minimizasyonu ve saklama/imar süreçleri, olay yönetimi ve ihlal müdahale süreçleri gibi veri güvenliği tedbirlerini uygular; ihtiyaç halinde denetimleri bizzat gerçekleştirir veya yetkin kuruluşlardan destek almak suretiyle yaptırır. Belediyemiz, Kurul tarafından yayımlanan rehber ve kararlar doğrultusunda veri güvenliği yaklaşımını periyodik olarak gözden geçirir.

3.2. Özel Nitelikli Kişisel Verilerin Korunması

Özel nitelikli kişisel veriler, hukuka aykırı işlendiğinde kişilerin mağduriyetine veya ayrımcılığa sebep olma riski nedeniyle KVKK kapsamında ayrıca korunur. KVKK’nın 6. maddesinde sınırlı sayıda belirtilen özel nitelikli kişisel veri kategorileri; ırk, etnik köken, siyasi düşünce, felsefi inanç, din/mezhep ve diğer inançlar, kılık ve kıyafet, dernek/vakıf/sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile sağlık, cinsel hayat, biyometrik ve genetik veriler dâhil olmak üzere Kanun’da sayılan verilerden oluşur.

Belediyemiz, özel nitelikli kişisel verileri yalnızca KVKK m.6/3’te öngörülen işleme şartlarından uygun olanın bulunması halinde ve her bir işleme faaliyeti özelinde ilgili şart(lar) belirlenip kayıt altına alınarak işler; ayrıca bu veriler bakımından Kurul’un 31/01/2018 tarihli ve 2018/10 sayılı Kararı uyarınca öngörülen yeterli önlemleri uygular.

Özel nitelikli verilerin işlenmesine ilişkin teknik ve idari tedbirler ile erişim/yetkilendirme kuralları, Belediyemizin ilgili iç düzenlemelerinde (örn. özel nitelikli veri prosedürü/politikası, saklama-imha politikası, erişim yetkileri) ayrıca belirlenir ve denetlenir.

3.3. Alınan Tedbirlerin Denetimi ve Personel Eğitimi

Belediye bünyesinde kişisel verilerin korunması ve veri güvenliği süreçlerinin yürütülmesi amacıyla Kişisel Verilerin Korunması Komitesi oluşturulmuştur. Komite; KVKK’ya uyum, veri güvenliği tedbirlerinin uygulanması, iç denetim planlarının yürütülmesi, uygunsuzlukların tespiti ve giderilmesi, ihlal/olay yönetimi koordinasyonu ve farkındalık faaliyetlerinin planlanmasından sorumludur.

Belediye, personelin farkındalığını artırmak üzere KVKK ve veri güvenliği kapsamında düzenli eğitimler sağlar; görev ve sorumluluklara uygun olarak erişim yetkilerini “asgari yetki” prensibiyle sınırlar.

Belediye tarafından dışarıdan hizmet alınması ve bu kapsamda kişisel veri paylaşımı/erişimi söz konusu olması halinde; hizmet sağlayıcıların veri işleyen sıfatıyla veri güvenliği tedbirlerini uygulamasını ve gizlilik yükümlülüklerine uymasını sağlayacak sözleşmesel hükümler tesis edilir.

Personel bakımından; 4857 sayılı İş Kanunu’na tabi çalışanlarla, veri güvenliği ve gizlilik yükümlülüklerini somutlaştıran iç düzenlemeler ve gerekli hallerde taahhütnameler uygulanabilir. 657 sayılı Devlet Memurları Kanunu’na tabi memurlar yönünden ise Kurul’un 26/12/2019 tarihli ve 2019/393 sayılı Kararı doğrultusunda hareket edilir; bu kapsamda “personel gizlilik sözleşmesi” yaklaşımı yerine, memurların tabi oldukları mevzuat ve görev gereklerine uygun bilgilendirme ve talimatlandırma süreçleri yürütülür.

4. KİŞİSEL VERİLERİN İŞLENMESİNE İLİŞKİN İLKELER

Belediyemiz, Anayasa’nın 20. maddesi ve KVKK’nın 4. maddesinde düzenlenen genel ilkelere uygun olarak kişisel veri işleme faaliyetinde bulunur.  

Belediyemiz, KVKK’nın 10. maddesi uyarınca ilgili kişileri uygun şekilde aydınlatır; açık rıza ise yalnızca Kanun’da öngörülen diğer hukuki sebeplerin bulunmadığı durumlarda ve ilgili işlem/faaliyet özelinde alınır.
Kişisel veriler, kanunlarda öngörülen veya işleme amacının gerektirdiği süre boyunca muhafaza edilir; işlenmesini gerektiren sebeplerin ortadan kalkması halinde KVKK m.7 ve ilgili Yönetmelik uyarınca silinir, yok edilir veya anonim hale getirilir.

4.1. Hukuka ve Dürüstlük Kuralına Uygun İşleme

Belediyemiz, kişisel veri işleme faaliyetlerini hukuka ve dürüstlük kuralına uygun şekilde yürütür; veri işleme amaçlarına ulaşırken ilgili kişilerin makul beklentilerini ve haklarını gözetir.

4.2. Kişisel Verilerin Doğru ve Gerektiğinde Güncel Olmasını Sağlama

Belediyemiz, işlediği kişisel verilerin doğru ve gerektiğinde güncel olmasını sağlamak için makul idari ve teknik tedbirleri uygular; ilgili kişilerin güncelleme taleplerini değerlendirebilecek kanalları işletir.

4.3. Belirli, Açık ve Meşru Amaçlarla İşleme

Belediyemiz, kişisel verileri belirli, açık ve meşru amaçlarla işler; veri işleme amaçlarını ilgili süreç ve kişi grupları bakımından dokümante eder.

4.4. İşlendikleri Amaçla Bağlantılı, Sınırlı ve Ölçülü Olma

Belediyemiz, kişisel verileri yalnızca işleme amaçlarıyla bağlantılı, sınırlı ve ölçülü şekilde işler; amacın gerçekleştirilmesi için gerekli olmayan kişisel verilerin işlenmesinden kaçınır (veri minimizasyonu).

4.5. İlgili Mevzuatta Öngörülen veya İşlendikleri Amaç İçin Gerekli Olan Süre Kadar Muhafaza Etme

Belediyemiz, kişisel verileri öncelikle ilgili mevzuatta belirlenen süreler boyunca saklar. Mevzuatta açık bir süre öngörülmemesi halinde, verileri işlendikleri amaç için gerekli olan süre ile sınırlı olarak; kişisel veri işleme envanterinde ve saklama-imha politikasında belirlenen süreler doğrultusunda muhafaza eder.
Belirlenen saklama sürelerinin sonunda kişisel veriler, KVKK m.7 ve Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik hükümlerine uygun olarak silinir, yok edilir veya anonim hale getirilir.

 

5. KİŞİSEL VERİLERİN İŞLENMESİ

Kişisel verilerin işlenmesinde açık rıza, hukuki dayanaklardan yalnızca biridir. KVKK’da öngörülen diğer işleme şartlarından birinin bulunması halinde, açık rıza aranmaksızın da kişisel veriler işlenebilir. Bir kişisel veri işleme faaliyeti, somut olayın niteliğine göre tek bir işleme şartına dayanabileceği gibi, aynı faaliyet bakımından birden fazla işleme şartı da birlikte dayanak teşkil edebilir.

Özel nitelikli kişisel verilerin işlenmesi söz konusu olduğunda, bu bölümdeki 5.2 hükümleri uygulanır; ayrıca özel nitelikli verilerin korunmasına ilişkin 3.2 bölümünde yer verilen ilke ve güvenlik tedbirleri gözetilir.

5.1. Kişisel Verilerin İşlenme Şartları (KVKK m.5)

Kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın işlenemez. Ancak aşağıdaki şartlardan birinin varlığı halinde ilgili kişinin açık rızası aranmaksızın kişisel verilerin işlenmesi mümkündür:

• KVKK m.5/2-a: Kanunlarda açıkça öngörülmesi
• KVKK m.5/2-b: Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• KVKK m.5/2-c: Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması
• KVKK m.5/2-ç: Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
• KVKK m.5/2-d: İlgili kişinin kendisi tarafından alenileştirilmiş olması
• KVKK m.5/2-e: Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
• KVKK m.5/2-f: İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması

Açık rıza (KVKK m.5/1) uygulanacaksa; rıza, belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır.

5.2. Özel Nitelikli Kişisel Verilerin İşlenmesi (KVKK m.6)

Özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. Ancak aşağıdaki şartlardan birinin varlığı halinde özel nitelikli kişisel veriler işlenebilir:

• KVKK m.6/3-a: İlgili kişinin açık rızasının olması
• KVKK m.6/3-b: Kanunlarda açıkça öngörülmesi
• KVKK m.6/3-c: Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
• KVKK m.6/3-ç: İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması
• KVKK m.6/3-d: Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması
• KVKK m.6/3-e: Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması
• KVKK m.6/3-f: İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması
• KVKK m.6/3-g: Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf/dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut/eski üyelerine ve mensuplarına veya bunlarla düzenli temasta olan kişilere yönelik olması

Özel nitelikli kişisel verilerin işlenmesinde ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması zorunludur.

Uygulama Notu: Belediyemiz, her bir özel nitelikli veri işleme faaliyetinde işlenen veri türüne göre yukarıdaki işleme şartlarından uygun olanını belirler ve bu dayanağı ilgili süreç dokümantasyonunda/kişisel veri işleme envanterinde kayıt altına alır.

6. KİŞİSEL VERİLERİN İŞLENME AMAÇLARI

Belediyemiz, kişisel verileri KVKK m.4’te düzenlenen genel ilkelere uygun olarak; belirli, açık ve meşru amaçlarla, işlendikleri amaçla bağlantılı, sınırlı ve ölçülü şekilde işlemektedir. Kişisel veriler; somut işleme faaliyetine göre KVKK m.5 ve (varsa) m.6’da öngörülen uygun işleme şartlarına dayanılarak işlenir.

Belediyemiz tarafından yürütülen kişisel veri işleme faaliyetlerine ilişkin amaçlar ile işlenen veri kategorileri, ilgili kişi grupları bazında EK-2 (Belediye Tarafından İşlenen Kişisel Veriler ve Amaçları) dokümanında ayrıca gösterilir. Bu ek, Belediyemizin faaliyetleri, süreçleri ve mevzuat gereklilikleri doğrultusunda periyodik olarak gözden geçirilir ve gerektiğinde güncellenir.

Ayrıca, Belediyemiz tarafından işlenen kişisel verilerin genel amaçlarına ilişkin bilgilere, mevzuat kapsamında gerekli olması halinde VERBİS kayıtları üzerinden de erişilebilir.

7. KİŞİSEL VERİ SAHİBİNİN AYDINLATILMASI VE BİLGİLENDİRİLMESİ

Belediyemiz, KVKK m.10 uyarınca kişisel verilerin elde edilmesi sırasında ilgili kişileri; veri işleme faaliyetinin niteliğine ve ilgili kişi grubuna uygun şekilde aydınlatır. Aydınlatma kapsamında asgari olarak;

• veri sorumlusunun (ve varsa temsilcisinin) kimliği,
• kişisel verilerin hangi amaçla işleneceği,
• kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
• kişisel veri toplamanın yöntemi ve hukuki sebebi,
• ilgili kişinin KVKK m.11 kapsamındaki hakları konularında bilgilendirme yapılır.

Aydınlatma; veri toplama kanalına göre aydınlatma metinleri, bina/tesis girişlerinde yer alan ön bilgilendirme metinleri (örn. kamera izleme bilgilendirmeleri), başvuru formları ve belediyemiz internet sitesi üzerinden yayımlanan dokümanlar aracılığıyla yerine getirilir. Belediyemiz internet sitesinde bu Politika ile birlikte, süreç ve kişi grubu bazlı aydınlatma metinleri, çerez politikası ve başvuru formu/prosedürü yayımlanır.

Aydınlatma yükümlülüğü ile açık rıza süreçleri birbirinden bağımsızdır; açık rıza alınması gereken hallerde rıza, ilgili işlem/faaliyet özelinde ve mevzuata uygun şekilde temin edilir.

8. KİŞİSEL VERİLERİN AKTARILMASI

Belediyemiz, kişisel verileri; hukuka uygun veri işleme amaçları doğrultusunda, gerekli teknik ve idari tedbirleri alarak ve amaçla sınırlı olmak üzere üçüncü kişilere aktarabilir.

8.1. Yurt İçine Aktarım (KVKK m.8)

Kişisel veriler, kural olarak ilgili kişinin açık rızası olmaksızın yurt içine aktarılamaz. Ancak KVKK m.8 uyarınca, KVKK m.5/2’deki işleme şartlarından birinin bulunması halinde (ör. kanunda açıkça öngörülmesi; sözleşmenin kurulması/ifası; hukuki yükümlülük; hakkın tesisi/kullanılması/korunması; meşru menfaat) kişisel veriler açık rıza aranmaksızın yurt içine aktarılabilir.

Özel nitelikli kişisel veriler bakımından ise yurt içine aktarım; KVKK m.6/3’te öngörülen şartlardan uygun olanın bulunması ve ayrıca Kurul tarafından belirlenen yeterli önlemlerin alınması kaydıyla gerçekleştirilebilir.

Belediyemiz, kişisel verilerin üçüncü kişilere aktarımında; alıcı grubun niteliğine göre gerekli sözleşmesel ve organizasyonel önlemleri (örn. veri işleyen ile gizlilik/veri güvenliği hükümleri, erişim yetkilerinin sınırlandırılması, kayıt altına alma) tesis eder.

8.2. Yurt Dışına Aktarım (KVKK m.9)

Belediyemiz, kural olarak kişisel verileri yurt dışına aktarmamayı esas alır. Yurt dışına aktarımın gündeme gelmesi halinde ise, KVKK’nın 01.06.2024 tarihinde yürürlüğe giren m.9 hükümleri ile Kurum tarafından yayımlanan rehber ve ikincil düzenlemelere uygun mekanizmalar tesis edilerek aktarım gerçekleştirilir; aktarımın kapsamı, amacı, alıcıları ve güvenlik tedbirleri ayrıca dokümante edilir

9. BELEDİYE TARAFINDAN KİŞİSEL VERİLERİN AKTARILDIĞI ÜÇÜNCÜ KİŞİLER VE AKTARILMA AMAÇLARI

Belediyemiz; hukuka uygun veri işleme amaçları doğrultusunda, gerekli teknik ve idari tedbirleri alarak ve amaçla sınırlı olmak üzere ilgili kişilere ait kişisel verileri (gerekmesi halinde özel nitelikli kişisel veriler dâhil) üçüncü kişilere aktarabilir. Aktarım faaliyetleri; KVKK m.8 (yurt içine aktarım) ve yurt dışına aktarımın gündeme gelmesi halinde KVKK m.9 hükümleri çerçevesinde yürütülür.

Belediyemiz tarafından kişisel verilerin aktarılabileceği alıcı grupları, aktarımın amaçları, aktarımın hukuki dayanakları ve (varsa) aktarım kapsamında alınan ek güvenlik tedbirleri, ilgili kişi grupları ve süreçler bazında EK-3 (Belediyemiz Tarafından Kişisel Verilerin Aktarıldığı Üçüncü Kişiler ve Aktarılma Amaçları) dokümanında ayrıca gösterilmektedir. EK-3, Belediyemizin faaliyetleri ve mevzuat gereklilikleri doğrultusunda periyodik olarak gözden geçirilir ve gerektiğinde güncellenir.

10. BELEDİYE KİŞİSEL VERİ ENVANTERİ VE KİŞİSEL VERİLERİN SINIFLANDIRILMASI

Belediyemiz, meşru ve hukuka uygun kişisel veri işleme amaçları doğrultusunda; KVKK m.4’teki genel ilkelere ve KVKK’da düzenlenen yükümlülüklere uygun şekilde kişisel veri işleme faaliyetlerini yürütür. Kişisel veri işleme faaliyetleri, somut sürece göre KVKK m.5 ve (varsa) m.6 kapsamındaki uygun işleme şartlarına dayanılarak gerçekleştirilir.

Belediyemiz, Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca kişisel veri işleme envanteri oluşturmuştur. Envanter; Belediyemizin iş süreçlerine bağlı kişisel veri işleme faaliyetlerini; işleme amaçları ve hukuki sebep, veri kategorisi, veri konusu kişi grubu, aktarımı yapılan alıcı grupları, azami saklama süresi, yurt dışına aktarımı öngörülen veriler ve veri güvenliğine ilişkin alınan tedbirler ile ilişkilendirerek detaylandırır.

 Kişisel veri işleme envanteri için mevzuatta ayrıca bir şekil şartı öngörülmemiş olup, envanterin kolay erişilebilir ve faaliyetler hakkında doğru bilgi sağlayacak düzeyde olması esastır.  

Envanter, Belediyemizin süreç ve sistemlerindeki değişiklikler doğrultusunda periyodik olarak gözden geçirilir ve güncellenir. Belediyemiz bünyesinde envanterde kullanılan veri kategorileri (örnekleme mahiyetinde) aşağıdaki gibidir:

KİŞİSEL VERİ KATEGORİZASYONU	KİŞİSEL VERİ KATEGORİZASYONU AÇIKLAMA
Kimlik Verisi	Kişi kimliğine dair bilgilerin bulunduğu veri grubudur.
İletişim Verisi	Kişiye ulaşmak için kullanılabilecek veri grubudur.
Görsel ve İşitsel Veri	Kişiye ait görsel ve işitsel verilerin bulunduğu veri grubudur.
Özlük Verisi	Bu veri kategorisi kişilere ait bordro bilgileri, mal bildirimi bilgileri, özgeçmiş bilgileri gibi veri türlerini ifade etmektedir.
Finansal Veri	Kişinin finansal bilgilerinin bulunduğu veri grubudur.
Mesleki Deneyim	Kişinin mesleğine, mesleki tecrübelerine ve eğitim bilgilerine ait bilgilerin bulunduğu veri grubudur.
Müşteri İşlem Verisi	Bu veri kategorisi çağrı merkezi kayıtları, fiş, alındı belgesi, kıymetli evrak bilgileri ve fatura bilgileri gibi veri türlerini ifade etmektedir.
Hukuki İşlem Verisi	Bu veri kategorisi adli makamlarla yazışmalardaki bilgiler, dava dosyasındaki bilgiler gibi veri türlerini ifade etmektedir.
İşlem Güvenliği Verisi	Kişiye ait IP bilgisi, log kaydı ve çerezler gibi işlem güvenliği verilerinin bulunduğu veri grubudur.
Fiziksel Mekan Güvenliği Verisi	Kişiye ait kamera kayıtları, giriş çıkış kayıtları gibi fiziksel mekan güvenliği verilerinin bulunduğu veri grubudur.
Sendika Üyeliği	Kişinin üyeliğinin bulunduğu sendika bilgisini içermektedir.
Risk Yönetimi	Bu veri kategorisi teknik, idari risklerin yönetilmesi için işlenen bilgiler gibi veri türlerini ifade etmektedir.
Ceza Mahkumiyeti Verisi	Kişinin geçmişinde aldığı kamusal ve cezai yaptırımlara ilişkin veri grubudur
Sağlık Verisi	Kişinin sağlık verilerine ilişkin veri grubudur.
Diğer	Veri Sorumluları Sicili’nde kategorize edilmeyen Askerlik Durum Bilgisi, Araç Plaka Bilgisi, Tapu Kaydı, Bilgisi verilerini ifade etmektedir.

 

11. KİŞİSEL VERİLERİN SAKLANMA SÜRELERİ

Belediyemiz, kişisel verileri; öncelikle ilgili mevzuatta öngörülen saklama süreleri boyunca, mevzuatta açık bir süre öngörülmemişse işlendikleri amaç için gerekli olan azami süre ile sınırlı olarak saklar. Saklama süreleri; kişisel veri işleme envanteri ve Kişisel Veri Saklama ve İmha Politikası ile uyumlu şekilde belirlenir ve periyodik olarak gözden geçirilir.

KVKK m.7 uyarınca; kişisel verilerin hukuka uygun olarak işlenmiş olmasına rağmen, işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde kişisel veriler resen veya ilgili kişinin talebi üzerine veri sorumlusu tarafından silinir, yok edilir veya anonim hâle getirilir. Bu süreçler, “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik” hükümlerine uygun olarak yürütülür.

Belediyemiz, Yönetmelik uyarınca:

• Kişisel veri saklama ve imha politikası hazırlama yükümlülüğü bulunan veri sorumlusu sıfatıyla; silme/yok etme/anonimleştirme yükümlülüğünün doğduğu tarihi takip eden ilk periyodik imha işleminde imhayı gerçekleştirir; periyodik imha aralığı her hâlde 6 ayı geçemez.
• Politika hazırlama yükümlülüğü bulunmayan hallerde ise; yükümlülüğün doğduğu tarihi takip eden 3 ay içinde imhayı gerçekleştirir.
• Silme/yok etme/anonimleştirme işlemlerine ilişkin tüm işlemler kayıt altına alınır ve bu kayıtlar (diğer hukuki yükümlülükler saklı kalmak kaydıyla) en az 3 yıl süreyle saklanır.

Ayrıca, KVKK m.7’ye aykırı şekilde kişisel verilerin silinmemesi/anonim hale getirilmemesi durumunda, KVKK m.17/2’deki atıf nedeniyle Türk Ceza Kanunu kapsamında doğabilecek sorumluluklar saklıdır.

12. KİŞİSEL VERİ SAHİPLERİNİN HAKLARI; BU HAKLARIN KULLANILMASI

Belediyemiz, KVKK m.10 uyarınca ilgili kişileri aydınlatır; KVKK m.11 kapsamında tanınan haklar konusunda ilgili kişilere yol gösterir ve başvuruların alınması/değerlendirilmesi/yanıtlanması için KVKK m.13 ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ uyarınca gerekli kanalları ve iç işleyişi işletir.

12.1. KVKK m.11 Kapsamındaki Haklar

İlgili kişi, KVKK m.11 uyarınca veri sorumlusuna başvurarak kendisiyle ilgili olarak;
a) Kişisel verilerinin işlenip işlenmediğini öğrenme,
b) Kişisel verileri işlenmişse buna ilişkin bilgi talep etme,
c) Kişisel verilerin işlenme amacını ve bunların amacına uygun kullanılıp kullanılmadığını öğrenme,
ç) Yurt içinde veya yurt dışında kişisel verilerin aktarıldığı üçüncü kişileri bilme,
d) Kişisel verilerin eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
e) KVKK m.7 çerçevesinde kişisel verilerin silinmesini veya yok edilmesini isteme,
f) (d) ve (e) bentleri uyarınca yapılan işlemlerin, kişisel verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
g) İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişinin kendisi aleyhine bir sonucun ortaya çıkması hâlinde bu sonuca itiraz etme,
ğ) Kişisel verilerin kanuna aykırı olarak işlenmesi sebebiyle zarara uğraması hâlinde zararın giderilmesini talep etme.

12.2. KVKK m.28 Kapsamında Hakların Kullanılamayacağı / Sınırlanacağı Haller

KVKK m.28 uyarınca Kanun’un uygulanmadığı veya ilgili kişi haklarının kısmen sınırlandığı hallerde, ilgili kişi KVKK m.11 kapsamındaki haklarını Kanun’da öngörülen ölçüde ileri süremeyebilir. (Tam istisna hallerinde Kanun hükümleri uygulanmaz; kısmi istisna hallerinde ise “zararın giderilmesini talep etme” hakkı saklı kalmak üzere diğer haklar sınırlanabilir.)

12.3. Kişisel İlgili kişinin Haklarını Kullanması

Kişisel verisi işlenen ilgili kişiler bu Politikada belirtilen haklarına ilişkin taleplerini kimliklerini tespit edecek bilgi ve belgelerle ve aşağıda belirtilen yöntemlerle veya Kişisel Verileri Koruma Kurulu’nun belirlediği diğer yöntemlerle başvuru formunu doldurup imzalayarak Belediye’ye ücretsiz olarak iletebileceklerdir. Bu konuda düzenlemeler Soma Belediyesi Kişisel Veri Başvuru ve Yanıt Prosedürü’nde ve aydınlatma metinleri içerisinde yapılmıştır.

İlgili kişi,

• ....................................................................................................... adresinde bulunan formun doldurulduktan sonra ıslak imzalı bir nüshasının bizzat elden veya yazılı olarak iadeli taahhütlü posta aracılığı ile Kurtuluş Mah. Cengiz Topel Meydanı No: 8 Soma / Manisa, Türkiye” adresine iletilmesi veya şahsen başvuru,
• Formun doldurulması ve 5070 Sayılı Elektronik İmza Kanunu kapsamındaki “güvenli elektronik imza” ile imzalandıktan sonra güvenli elektronik imzalı formun somabelediyebaskanligi@hs01.kep.t  adresine kayıtlı elektronik posta ile gönderilmesi, güvenli elektronik imza, mobil imza ya da ilgili kişi tarafından belediyeye daha önce bildirilen ve belediyenin sisteminde kayıtlı bulunan elektronik posta adresini kullanmak suretiyle veya başvuru amacına yönelik geliştirilmiş bir yazılım ya da uygulama vasıtasıyla bilgi@soma.bel.tr adresine başvuru yapılması

yolları ile haklarını kullanabilir.

Yukarıda sayılan başvurunun geçerli bir başvuru olarak kabul edilebilmesi için, Veri Sorumlusuna Başvuru Usulleri Hakkında Tebliğ uyarınca başvuruda, ilgili kişinin;

a) Ad, soyad ve başvuru yazılı ise imza,

b) Türkiye Cumhuriyeti vatandaşları için T.C. kimlik numarası, yabancılar için uyruğu, pasaport numarası veya varsa kimlik numarası,

c) Tebligata esas yerleşim yeri veya iş yeri adresi,

ç) Varsa bildirime esas elektronik posta adresi, telefon ve faks numarası,

d) Talep konusu,

bilgilerini belirtmesi zorunludur. Aksi halde başvuru geçerli bir başvuru olarak değerlendirilmeyecektir. Başvuru formu doldurmadan yapılacak başvurularda burada sayılan hususların eksiksiz olarak belediyeye iletilmesi gerekmektedir.

Kişisel verisi işlenen ilgili kişilerin adına üçüncü kişilerin başvuru talebinde bulunabilmesi için ilgili kişi tarafından başvuruda bulunacak kişi adına noter kanalıyla düzenlenmiş özel vekâletname bulunmalıdır.

 

Veri Sorumlusu : Soma Belediyesi

Adres                                “Kurtuluş Mah. Cengiz Topel Meydanı No: 8 Soma / Manisa, Türkiye”

 

Aşağıda politikanın incelenmesinde yardımcı olunması için tanımlar ve kişisel verilerin işlenme amaçları ve aktarılma amaçları tablosu sunulmuştur.

 

EK-1 TANIMLAR

Açık Rıza: Belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza.

Anonim Hale Getirme: Kişisel verinin, kişisel veri niteliğini kaybedecek ve bu durumun geri alınamayacağı şekilde değiştirilmesidir. Ör: Maskeleme, toplulaştırma, veri bozma vb. tekniklerle kişisel verinin bir gerçek kişi ile ilişkilendirilemeyecek hale getirilmesi.

Başvuru Formu: Kişisel verisi işlenen ilgili kişilerin haklarını kullanmak için yapacakları başvuruyu içeren “6698 Sayılı Kişisel Verilerin Korunması Kanunu Gereğince İlgili Kişi Tarafından Veri Sorumlusuna Yapılacak Başvurulara İlişkin Başvuru Formu”.

Çalışan Adayı: Soma Belediyesine herhangi bir yolla iş başvurusunda bulunmuş ya da özgeçmiş ve ilgili bilgilerini açmış olan gerçek kişiler.

İşbirliği İçinde Olunan Kurumların Çalışanları, Hissedarları ve Yetkilileri: Belediye’nin her türlü iş ilişkisi içerisinde bulunduğu kurumlarda (iş ortağı, tedarikçi gibi, ancak bunlarla sınırlı olmaksın) çalışan, bu kurumların hissedarları ve yetkilileri dâhil olmak üzere, gerçek ve tüzel kişiler.

İş Ortağı: Belediye’nin faaliyetlerini yürütürken bizzat veya ile birlikte muhtelif projeler yürütmek, hizmet almak gibi amaçlarla iş ortaklığı kurduğu taraflar.

Kişisel Verilerin İşlenmesi: Kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlem.

İlgili kişi: Kişisel verisi işlenen gerçek kişi. Örneğin; ziyaretçi, personel, vatandaş vb.

Kişisel Veri: Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi. (Örneğin; ad-soyad, TCKN, e-posta, adres, doğum tarihi, kredi kartı numarası vb.) Tüzel kişilere ilişkin bilgilerin işlenmesi Kanun kapsamında değildir.

Özel Nitelikli Kişisel Veri: Irk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkumiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik veriler.

Tedarikçi: Belediye’nin faaliyetlerini yürütürken Belediye’nin emir ve talimatlarına uygun, sözleşme temelli olarak Belediye’ye hizmet sunan taraflar.

Üçüncü Kişi: Politika kapsamında farklı bir şekilde tanımlanmamış olan, kişisel verileri politika kapsamında işlenen gerçek kişiler. Örneğin; aile bireyleri, eski çalışanlar.

Veri İşleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek ve tüzel kişi. Örneğin; belediyenin hizmet aldığı firmalar vb.

Veri Sorumlusu: Kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, verilerin sistematik bir şekilde tutulduğu yeri (veri kayıt sistemi) yöneten kişi. Bu politika kapsamında Soma Belediyesi veri sorumlusudur.

Verilerin Silinmesi: Belediye içindeki tüm ilgili kullanıcıların, kişisel veriye erişimin engellenecek şekilde şifrelenmesi ve sadece veri koruma sorumlusunun bu şifreye sahip olması durumunu ifade etmektedir.

Verilerin Yok Edilmesi: Kişisel verinin bir daha geri döndürülemeyecek bir biçimde fiziksel olarak veya teknolojik yöntemlerle tamamen ortadan kaldırılması durumunu ifade etmektedir.

Ziyaretçi: Belediye’nin sahip olduğu fiziksel yerleşkelere çeşitli amaçlarla girmiş olan ziyaret eden gerçek kişiler.

 

 

 

EK 2- BELEDİYE TARAFINDAN İŞLENEN KİŞİSEL VERİLER VE AMAÇLARI

İlgili Kişi	İşlenen Kişisel Veri Kategorisi	Kişisel Verilerin İşlenme Amaçları
Çalışan (Genel)	Kimlik; İletişim; Mesleki Deneyim; Özlük; Finansal; Hukuki İşlem; Görsel/İşitsel; Diğer (örn. askerlik)	4857/657/5510/6331 başta olmak üzere ilgili mevzuat kapsamında; çalışan özlük ve bordro süreçlerinin yürütülmesi, yan hak ve menfaat süreçleri, görevlendirme ve iç organizasyon süreçleri, eğitim ve kariyer süreçleri, finans-muhasebe işlemleri, hukuk işlerinin takibi, yetkili kurum/kuruluşlara bilgi verilmesi, iç denetim ve disiplin/inceleme süreçlerinin yürütülmesi, iletişim süreçlerinin yürütülmesi.
Çalışan	Ceza Mahkûmiyeti ve Güvenlik Tedbirleri (Adli Sicil)	657 sayılı Kanun m.48’deki şartların sağlanıp sağlanmadığının tespiti (kadro/pozisyonun niteliğine göre gerekli olması halinde).
Çalışan	Sendika Üyeliği	Üyelik ödentisi kesintisi ve sendika üyelik listelerinin mevzuata uygun yönetimi (4688 m.25).
Çalışan	Sağlık Verisi	6331 sayılı Kanun ve işyeri hekimliği mevzuatı kapsamında işe giriş/periyodik muayeneler, işe uygunluk, iş sağlığı ve güvenliği faaliyetlerinin yürütülmesi (işyeri hekimi/OSGB süreçleri dâhil).
Ziyaretçi (Fiziki)	Kimlik; Fiziksel Mekân Güvenliği	Ziyaretçi giriş-çıkışlarının takibi, bina/tesis güvenliğinin sağlanması, güvenlik olaylarının tespiti ve gerektiğinde inceleme/delil süreçlerinin yürütülmesi.
İnternet Sitesi / E-Belediye Kullanıcısı	İşlem Güvenliği; (gerekli hallerde) Kimlik; İletişim	5651 ve ilgili düzenlemeler kapsamında trafik/erişim kayıtlarının tutulması (IP, log vb.), e-belediye işlemlerinin yürütülmesi, kullanıcı doğrulama ve güvenlik kontrollerinin yapılması.
Çalışan Adayı	Kimlik; İletişim; Mesleki Deneyim; Görsel/İşitsel; Diğer (başvuru/değerlendirme notları, referans gibi)	Başvuru süreçlerinin yürütülmesi, mülakat/değerlendirme, uygun pozisyon için adayın değerlendirilmesi, iletişim süreçlerinin yürütülmesi ve aday havuzunun yönetimi.
Vatandaş / Başvuru Sahibi (İmar/Kazı/Ruhsat vb.)	Kimlik; İletişim; Diğer (örn. tapu); (başvurunun niteliğine göre) Mesleki Deneyim	3194 sayılı Kanun ve ilgili mevzuat kapsamında başvuru/ruhsat/izin süreçlerinin yürütülmesi, imar uygulamalarının değerlendirilmesi, teknik rapor/inceleme süreçleri ve tahakkuk-tahsilat işlemleri.
Vatandaş / Taşınmaz – kiralama/ihale/tescil işlemleri	Kimlik; İletişim; Finansal; Diğer (tapu); Hukuki İşlem (gerektikçe)	1319 sayılı Kanun ve taşınmazlara ilişkin mevzuat kapsamında tescil, kiralama/ihale ve sözleşme süreçlerinin yürütülmesi, ödeme/tahsilat süreçleri ve hukuki süreçlerin yürütülmesi. (Not: Bu satırın mevzuat kısmına, belediyenin fiili sürecine göre 2886/4734/4735 gibi dayanaklar ayrıca eklenebilir.)
Vatandaş (Çağrı Merkezi / Talep-Şikâyet)	Kimlik; İletişim; Müşteri İşlem Verisi (İşlem Bilgisi)	5393 sayılı Kanun kapsamındaki hizmetler için talep/şikâyet başvurularının alınması, kayıt altına alınması, değerlendirilmesi ve sonuçlandırılması; vatandaşla iletişim kurulması.
Vatandaş (Kabahat/İcra/Hukuk süreçleri)	Kimlik; İletişim; Finansal; Hukuki İşlem	5326 sayılı Kanun ve ilgili mevzuat kapsamında kabahat süreçleri, alacak/borç ve icra takiplerinin yürütülmesi, hukuk-icra işlerinin yürütülmesi.
Vatandaş (Sosyal hizmetler/kültürel hizmetler)	Kimlik; İletişim; Görsel/İşitsel (gerektikçe); Sağlık Verisi (gerektikçe)	5393 sayılı Kanun ve ilgili mevzuat kapsamında sosyal yardım/sosyal hizmet süreçlerinin yürütülmesi, hizmetlerin planlanması ve ilgili kişilerin ihtiyaçlarına göre destek sağlanması.
Vatandaş (Mali işlemler / tahsilat / ödeme)	Kimlik; İletişim; Finansal	1319 sayılı Kanun ve mali mevzuat kapsamında tarh-tahakkuk, tahsilat, ödemeler, muhasebe kayıtlarının tutulması ve raporlama.
Vatandaş (Evlendirme işlemleri)	Kimlik; İletişim; Din Bilgisi	Evlendirme iş ve işlemlerinin yürütülmesi kapsamında, nüfus kayıtlarında yer alan “dini” bilgisinin dayanak belgedeki kayıtla uyumlu şekilde işlenmesi (5490 m.7).
Encümen ve Meclis Üyeleri	Kimlik; İletişim; Diğer (Mal beyanı)	Belediye Meclisi/Encümen karar süreçlerinin yürütülmesi; huzur hakkı/ödenek ve mali süreçlerin yürütülmesi; görevlendirme/temsil süreçleri.
Veli/Vasi/Temsilci	Kimlik; İletişim	Sosyal hizmet/kurs/huzurevi vb. hizmetlerden yararlanma başvurularının yürütülmesi; başvuru ve iletişim süreçlerinin yönetimi.
Habere Konu Kişi	Kimlik; Görsel/İşitsel	Belediye faaliyetlerinin duyurulması ve kurumsal iletişim faaliyetleri kapsamında haber içeriğinin hazırlanması/yayımlanması.
Tedarikçi Yetkilisi/Çalışanı	Kimlik; İletişim; Finansal; Mesleki Deneyim; Diğer (örn. araç plaka); (ihtiyaca göre) Ceza Mahkûmiyeti ve Güvenlik Tedbirleri	4734 sayılı Kanun ve ilgili satınalma/ihale süreçleri kapsamında tedarikçi seçimi, sözleşme ve ödeme süreçleri, mevzuata uyum (yasaklılık sorguları dâhil; özellikle gerçek kişi isteklilerde), tedarikçi performansının değerlendirilmesi ve kalite kayıtlarının tutulması.

 

 

 

 

 

 

 

 

EK 3- BELEDİYEMİZ TARAFINDAN KİŞİSEL VERİLERİN AKTARILDIĞI ÜÇÜNCÜ KİŞİLER VE AKTARILMA AMAÇLARI

Veri Aktarımı Yapılabilecek Kişiler (Alıcı Grubu)	İlgili Kişiler	Veri Aktarım Amacı
İş Ortakları / İştirakler / Birlikte Hizmet Sunulan Kuruluşlar	Vatandaş (ve hizmetin niteliğine göre diğer ilgili kişi grupları)	Kamu hizmetlerinin planlanması, koordinasyonu ve yürütülmesi; hizmetlerin bütünleşik sunumu için gerekli entegrasyon/iş birliği süreçlerinin işletilmesi; yalnızca hizmetin gerektirdiği ölçüde bilgi paylaşımı.
Tedarikçiler / Hizmet Sağlayıcılar (veri işleyenler dâhil)	Vatandaş (ve hizmetin niteliğine göre diğer ilgili kişi grupları)	Belediyenin dış kaynak kullanarak temin ettiği hizmetlerin (örn. bilgi sistemleri/e-belediye altyapısı, bakım-destek, SMS/e-posta gönderimi, arşivleme, güvenlik vb.) sunulabilmesi ve sürekliliğinin sağlanması; yalnızca hizmetin ifası için gerekli ölçüde aktarım/erişim. (Veri işleyen sıfatıyla gizlilik ve veri güvenliği yükümlülükleri sözleşmesel olarak tesis edilir.)
Yetkili Kamu Kurum ve Kuruluşları / Yargı Mercileri	Vatandaş (ve ilgili tüm kişi grupları)	Mevzuattan kaynaklı bildirim/raporlama yükümlülüklerinin yerine getirilmesi; denetim/inceleme süreçlerinin yürütülmesi; usulüne uygun bilgi-belge taleplerinin karşılanması; yalnızca talep ve hukuki dayanakla sınırlı aktarım.
Bankalar ve Ödeme Kuruluşları (varsa)	Vatandaş	İnternet sitesi/e-belediye üzerinden yapılan tahsilat ve ödeme işlemlerinin gerçekleştirilmesi; ödeme doğrulama, mutabakat, iade/itiraz (chargeback) ve kayıt süreçlerinin yürütülmesi; yalnızca ödeme için gerekli verilerle sınırlı aktarım.
Avukatlık Büroları / Hukuki Danışmanlık Hizmet Sağlayıcıları	Vatandaş (ve ilgili tüm kişi grupları)	Belediyenin taraf olduğu uyuşmazlık ve hukuki süreçlerde hukuk işlerinin takibi ve yürütülmesi; dava/icra/başvuru süreçlerinin yönetimi; yalnızca dosya ile sınırlı aktarım.
Denetim Firmaları	Vatandaş (ve ilgili tüm kişi grupları)	Mevzuat veya sözleşmesel gereklilikler kapsamında bağımsız denetim/kontrol faaliyetlerinin yürütülmesi; yalnızca denetim kapsamı ile sınırlı aktarım.